Mit der Aufsichtsmitteilung 04/2026 ergänzt die FINMA ihre bereits 2023 veröffentlichten Erkenntnisse zur Geldwäschereirisikoanalyse. Grundlage sind unter anderem erneute Analysen eines Teils der bereits 2023 untersuchten Banken sowie die Prüfung von Risikoanalysen weiterer Banken und von FINIG-Instituten. Das Bild ist gemischt: Bei den Banken sind Fortschritte erkennbar, gleichzeitig bestehen weiterhin Defizite bei der Definition der Risikotoleranz und bei der methodischen Umsetzung der Risikoanalyse. Auch bei FINIG-Instituten hat die FINMA entsprechende Verbesserungsmöglichkeiten festgestellt.
Die neue Mitteilung stellt die bisherigen Grundsätze nicht auf den Kopf. Vielmehr zeigt sie anhand konkreter Beobachtungen aus der Aufsicht, worauf Institute bei der Ausgestaltung und Anwendung ihrer Risikoanalyse besonders achten sollten. Im Zentrum stehen dabei die Risikotoleranz, aussagekräftige Kennzahlen, die nachvollziehbare Beurteilung von Kontrollen und das Zusammenspiel von inhärentem Risiko, Kontrollrisiko und Nettorisiko.
Risikotoleranz braucht klare Grenzen
Die Risikoanalyse soll nicht bei einer allgemeinen Beschreibung des Risikoappetits stehen bleiben. Entscheidend ist, welche Risiken ein Institut aufgrund seines Geschäftsmodells tatsächlich akzeptieren will – und welche Geschäfte oder Konstellationen von vornherein nicht Teil des Geschäftsmodells sein sollen.
Je nach Ausrichtung können beispielsweise bestimmte Länder, Kundensegmente, komplexe Strukturen, Dienstleistungen oder Produkte bewusst ausgeschlossen werden. Nach den Feststellungen der FINMA fehlten solche konkreten Ausschlüsse teilweise oder passten nicht ausreichend zur tatsächlichen Geschäftstätigkeit. Eine blosse Beschreibung von Massnahmen zur Risikoreduktion ersetzt dabei nicht die Entscheidung, ob ein bestimmtes Risiko überhaupt innerhalb der Risikotoleranz liegt.
Auch Ausnahmen von der definierten Risikotoleranz müssen eng begrenzt bleiben. Ein sogenannter Exception-to-Policy-Prozess kann für begründete Einzelfälle sinnvoll sein. Wird jedoch eine grosse Zahl von Ausnahmen bewilligt, kann die ursprünglich festgelegte Risikogrenze faktisch ihre Wirkung verlieren. Soll dauerhaft ein höheres Risikoniveau akzeptiert werden, muss dies gemäss FINMA über eine entsprechende Anpassung der Risikotoleranz erfolgen und nicht über eine Vielzahl von Einzelgenehmigungen.
Kennzahlen müssen das tatsächliche Risiko sichtbar machen
Eine Risikotoleranz lässt sich nur wirksam überwachen, wenn sie in geeignete Kennzahlen und Limiten übersetzt wird. Die FINMA weist dabei ausdrücklich darauf hin, dass Schlüsselrisikoindikatoren und Risikolimiten nicht dasselbe sind. Entscheidend ist, dass die gewählten Indikatoren die wesentlichen Risiken tatsächlich abbilden.
Als Beispiele nennt die FINMA unter anderem die Anzahl und die verwalteten Vermögen von Geschäftsbeziehungen mit erhöhten Risiken, die PEP-Exposition, bewilligte Ausnahmefälle oder das Engagement in Ländern mit erhöhten Risiken ausserhalb der eigentlichen Zielmärkte. Für eine aussagekräftige Darstellung können mehrere Kennzahlen erforderlich sein – insbesondere sowohl die Anzahl der Geschäftsbeziehungen als auch deren Vermögensvolumen.
Dabei kommt es auf die richtige Differenzierung an. Werden Risiken mit unterschiedlicher Kritikalität in einer einzigen Kennzahl zusammengeführt, kann das Ergebnis wichtige Unterschiede verdecken. Eine Gesamtquote für Kunden aus Ländern mit tiefem, mittlerem und hohem Risiko sagt beispielsweise wenig darüber aus, wie sich die einzelnen Risikostufen tatsächlich entwickeln. Auch eine rein relative Betrachtung gegenüber dem Vorjahr kann problematisch sein, wenn dadurch eine schrittweise Ausweitung des akzeptierten Risikos entsteht, ohne dass die Risikotoleranz formell angepasst wurde.
Nicht jede Kontrolle ist automatisch risikomindernd
Ein weiterer Schwerpunkt betrifft die Methodik der Risikoanalyse. Inhärentes Risiko, Kontrollrisiko und Nettorisiko müssen getrennt betrachtet und nachvollziehbar miteinander verknüpft werden. Risikomindernde Massnahmen dürfen beispielsweise nicht bereits bei der Beurteilung des inhärenten Risikos berücksichtigt werden.
Für die Beurteilung des Kontrollrisikos genügt es deshalb nicht, lediglich auf interne Weisungen, Prozesse oder die Durchführung bestimmter Kontrollen hinzuweisen. Entscheidend ist vielmehr, welchen Beitrag die Kontrollen tatsächlich zur Risikoreduktion leisten. Hierfür können beispielsweise Ergebnisse aus Kontrolltests, Stichproben oder andere quantitative Angaben zur Qualität und Wirksamkeit der Kontrollen herangezogen werden.
Das macht einen wesentlichen Unterschied: Die Risikoanalyse sollte nicht nur dokumentieren, dass eine Kontrolle existiert und durchgeführt wird, sondern auch erkennen lassen, wie gut sie funktioniert und welchen Einfluss dies auf die Risikobeurteilung hat.
Das Nettorisiko muss zur Risikotoleranz passen
Aus der Bewertung des inhärenten Risikos und des Kontrollrisikos wird das Nettorisiko abgeleitet. Dieses Ergebnis muss anschliessend mit der festgelegten Risikotoleranz verglichen werden. Den aktuellen Feststellungen der FINMA zufolge reicht es dabei nicht, nur für einzelne Risikokriterien ein Nettorisiko zu bestimmen. Die Risiken müssen zusätzlich zu einer Gesamtbetrachtung zusammengeführt werden. Nur so lässt sich beurteilen, ob auch das gesamte Geldwäschereirisiko des Instituts innerhalb des akzeptierten Rahmens liegt.
Wird eine definierte Toleranz überschritten, darf dies nicht folgenlos bleiben. Vielmehr sind geeignete risikomindernde Massnahmen erforderlich, um die Exposition wieder in den akzeptierten Bereich zu bringen. Ebenso sollte die Entwicklung der verschiedenen Risikokomponenten über die Zeit nachvollziehbar sein. Veränderungen beim inhärenten Risiko, bei den Kontrollen und beim Nettorisiko können wichtige Hinweise darauf geben, wo Handlungsbedarf entsteht.
Proportionalität – aber keine Beliebigkeit
Die Anforderungen gelten sinngemäss auch für FINIG-Institute. Die FINMA betont allerdings ausdrücklich den Grundsatz der Proportionalität. Umfang und Detailgrad der Risikoanalyse sollen sich an der Art, dem Umfang, der Komplexität und dem Risikogehalt der jeweiligen Geschäftstätigkeit orientieren. Je höher die inhärenten Risiken, desto differenzierter sollte die Analyse ausgestaltet sein.
Das bedeutet zugleich: Ein einfacheres Geschäftsmodell rechtfertigt eine weniger granulare Analyse, nicht aber eine methodisch weniger belastbare. Umgekehrt führt eine höhere Risikotoleranz oder ein komplexeres Geschäftsmodell zu entsprechend höheren Anforderungen an die Differenzierung der Risiken und an die Überwachung.
Auch die Ressourcen gehören in dieses Bild. Die FINMA erwartet, dass Institute ihren qualitativen und quantitativen Ressourcenbestand kritisch beurteilen und dessen Entwicklung mit geeigneten Kennzahlen überwachen. Das Risikoprofil eines Instituts sollte sich somit auch in der tatsächlichen personellen und fachlichen Ausstattung des Geldwäschereidispositivs widerspiegeln.
Fazit
Die Aufsichtsmitteilung 04/2026 macht deutlich, dass die Geldwäschereirisikoanalyse mehr sein soll als eine periodische regulatorische Dokumentation. Sie muss das Geschäftsmodell, die darin liegenden inhärenten Risiken, die Wirkung der Kontrollen und das verbleibende Risiko in einer nachvollziehbaren Systematik zusammenführen.
Für die Praxis bedeutet dies vor allem, dass Risiken vollständig erfasst, ausreichend differenziert bewertet und mit belastbaren Kennzahlen überwacht werden müssen. Gleichzeitig sollte jederzeit erkennbar sein, ob das tatsächliche Risikoniveau noch mit der vom Institut festgelegten Risikotoleranz vereinbar ist – und welche Massnahmen bei Abweichungen greifen.
Damit wird die Qualität einer Risikoanalyse letztlich nicht daran gemessen, wie umfangreich sie dokumentiert ist, sondern daran, ob sie der Geschäftsleitung und dem Oberleitungsorgan eine belastbare Grundlage für konkrete Entscheidungen über Risiken, Kontrollen und Ressourcen liefert.