QI 2001 und AMLR 2027: Lehren aus der letzten grossen Regelwerk-Einführung

Die AMLR wird derzeit meist als etwas Neues besprochen. Das ist sie inhaltlich auch. In ihrer Bauart ist sie es nicht. Ein verbindliches Regelwerk mit fester Frist, das gleichzeitig Kundendaten, Prozesse, Systeme, Dokumentation und Kontrollen verändert und über mehrere Jurisdiktionen hinweg konsistent umgesetzt werden muss: Diese Aufgabe hatte die Branche schon einmal.

Um die Jahrtausendwende führte die US-Steuerbehörde das Qualified-Intermediary-Regelwerk ein. Banken ausserhalb der USA, die für ihre Kunden US-Wertschriften hielten, konnten den QI-Status beantragen. Im Gegenzug mussten sie den steuerlichen Status jedes betroffenen Kunden dokumentieren, daraus die richtige Quellensteuer ableiten, entsprechend melden und sich extern prüfen lassen. Wer den Status nicht erlangte, verlor faktisch den Zugang zu einem ganzen Anlageuniversum.

Ich habe diese Einführung an internationalen Standorten einer Schweizer Grossbank begleitet, von London und Frankfurt bis Singapur und Hongkong. Die folgenden fünf Beobachtungen haben sich damals durchgesetzt, und sie gelten aus meiner Sicht für die AMLR-Vorbereitung genauso.

Lektion 1: Der Aufwand steckt im Bestand, nicht im Neugeschäft

Neue Kunden nach einem neuen Standard aufzunehmen ist Fleissarbeit. Man passt das Formular an, schult die Kundenberater, richtet die Kontrolle ein, fertig. Das war bei QI innerhalb weniger Monate erledigt.

Das Projekt war der Bestand. Zehntausende bestehende Kundenbeziehungen mussten nachdokumentiert werden, teils mit Unterlagen, die es im Dossier schlicht nicht gab. Jeder fehlende Nachweis bedeutete Kundenkontakt, und Kundenkontakt bedeutet Zeit, Rückfragen und in einem Teil der Fälle keine Antwort. Wer die Bestandsaufarbeitung erst nach dem Neugeschäftsprozess anfing, geriet unter Druck.

Die AMLR stellt dieselbe Aufgabe. Sie legt erstmals europaweit verbindliche Höchstfristen für die Aktualisierung der Kundendaten fest, ein Jahr bei erhöhtem Risiko und fünf Jahre bei allen übrigen. Wer heute einen Review-Rückstand mitschleppt, trägt ihn in ein Regime hinein, in dem er nicht mehr toleriert wird. Die erste nützliche Frage lautet deshalb nicht, was die Verordnung fordert, sondern wie viele Dossiers heute nicht auf dem geforderten Stand sind.

Lektion 2: Ein Datenfeld ist nie nur ein Datenfeld

Bei QI klang die Anforderung zunächst harmlos: Erfasse den steuerlichen Status des Kunden. In der Umsetzung hängt an diesem einen Feld eine Kette. Es muss erhoben werden, also braucht es einen Prozessschritt und eine zuständige Person. Es muss gespeichert werden, also braucht es ein Feld im System und meist eine Schnittstelle. Es steuert eine Berechnung, also braucht es Regeln und Testfälle. Es geht in eine Meldung ein, also braucht es Reporting. Es muss geprüft werden, also braucht es eine Kontrolle. Und alle Beteiligten müssen wissen, was der Wert bedeutet, also braucht es Schulung.

Wer die neuen Pflichtangaben der AMLR zählt und daraus den Aufwand ableitet, wird die Zahl deutlich unterschätzen. Der belastbare Weg führt über die Frage, welche Kette an jedem einzelnen Feld hängt. Genau deshalb ist eine strukturierte Standortbestimmung am Anfang keine Formalie, sondern die Voraussetzung für ein Budget, das haltbar ist.

Lektion 3: Zentral entscheiden, lokal übersetzen

Bei QI liefen beide Extreme vor die Wand. Ein rein zentral definiertes Vorgehen, das jedem Standort dieselbe Vorlage schickte, scheiterte an unterschiedlichen Ausgangslagen: andere Systeme, andere Kundenstruktur, andere lokale Vorschriften. Umgekehrt führte volle lokale Autonomie dazu, dass am Ende neun Standorte neun Auslegungen desselben Regelwerks hatten, was spätestens in der Prüfung unangenehm wurde.

Was funktionierte, war die Mitte: Die Auslegung des Regelwerks wurde zentral festgelegt und schriftlich fixiert. Die Umsetzung lag beim Standort, mit klarer Verantwortung und einem Ansprechpartner, der die Auslegung wirklich verstanden hatte. Dazu kam ein bewusster Wissenstransfer vor Ort statt einer Videokonferenz.

Für ein Institut mit mehreren Standorten oder Gesellschaften gilt das unverändert. Und selbst ein Haus an einem einzigen Standort hat dieselbe Aufgabe im Kleinen: Front, Compliance und Betrieb legen sonst jeder eine eigene Auslegung an.

Lektion 4: Die Dokumentation entsteht während der Arbeit

Die unangenehmste Erfahrung aus der QI-Zeit war nicht die Arbeit selbst, sondern die nachträgliche Beweisführung. Die Entscheidungen waren getroffen worden, meist sauber und gut begründet. Nur lag die Begründung im Kopf einer Mitarbeiterin, in einer E-Mail oder in einer Nebenliste. In der Prüfung zählt sie dann nicht.

Was heute eindeutig erscheint, ist in zwei oder drei Jahren nicht mehr selbsterklärend, besonders nach Personalwechseln oder bei einem neuen Prüfer. Eine Entscheidung, die im Moment ihrer Entstehung dokumentiert wird, kostet wenige Minuten. Dieselbe Entscheidung zwei Jahre später zu rekonstruieren, kostet Stunden und gelingt manchmal gar nicht.

Praktisch hilft eine einfache Regel: Zu jeder Auslegungsentscheidung gehören die Fundstelle, die Begründung, das Datum und die entscheidende Person, an einem Ort, den eine Prüfung findet.

Lektion 5: Die Frist verschiebt sich nicht, die Ressourcen werden knapp

Gegen Ende der QI-Vorbereitung wurde externe Kapazität spürbar knapp und entsprechend teuer. Alle Institute arbeiteten am selben Stichtag, und die Zahl der Fachleute, die das Regelwerk wirklich beherrschten, war begrenzt. Wer spät startete, zahlte doppelt: einmal den Knappheitspreis und einmal in Form von Abstrichen bei der Sorgfalt.

Bei der AMLR zeichnet sich dasselbe Muster ab. Der Anwendungsbeginn im Juli 2027 gilt für alle Verpflichteten im Anwendungsbereich gleichzeitig. Wer 2026 mit der Standortbestimmung beginnt, hat die Wahl zwischen Eigenleistung und externer Unterstützung und kann in Etappen umsetzen. Wer 2027 beginnt, hat diese Wahl nicht mehr.

Was diesmal schwieriger ist

Zwei Punkte machen die AMLR anspruchsvoller als QI. Erstens die Breite: QI betraf einen abgrenzbaren Teil des Kundenbestands, nämlich Kunden mit US-Wertschriften. Die AMLR betrifft jeden Kunden, jede Risikoklassifizierung, jede laufende Überwachung. Zweitens die Tiefe der Verzahnung: Ein neues Datenfeld im Onboarding wirkt auf das Risk-Rating, das Rating auf den Review-Zyklus, der Zyklus auf die Kapazitätsplanung und die Dokumentation auf alles zusammen.

Ein Punkt ist einfacher geworden. Die verfügbare Technologie ist der von 2001 deutlich voraus. Das hilft allerdings nur bei ordentlicher Datenqualität. Ein Werkzeug, das auf unvollständige Dossiers gesetzt wird, macht die Lücken schneller sichtbar, es schliesst sie nicht.

Fazit

Die AMLR ist inhaltlich neu, als Aufgabenstellung ist sie es nicht. Die Muster, an denen regulatorische Einführungen scheitern oder gelingen, sind seit zwei Jahrzehnten dieselben: Der Bestand ist teurer als das Neugeschäft, hinter jedem Datenfeld hängt eine Kette, zentrale Auslegung und lokale Umsetzung müssen zusammenspielen, Dokumentation entsteht während der Arbeit, und die Frist verhandelt nicht.

Wer diese fünf Punkte in der eigenen Planung ehrlich beantwortet, hat den grösseren Teil des Risikos bereits adressiert.