Was ist Risikomanagement für Finanzkriminalität (Financial Crime Risk Management, FCRM)?

• Persönliche Einkäufe. Mitarbeiter verwenden Firmengelder, um Dinge zu kaufen, die nichts mit der Arbeit zu tun haben.
• Diebstahl. Mitarbeiter stehlen Geld (z. B. aus einer Registrierkasse oder einem Safe) oder Gegenstände aus dem Geschäft, um sie gegen Bargeld zu verkaufen.
• Skimming. Mitarbeiter schöpfen bei jeder Transaktion einen kleinen Betrag ab, in der Regel Beträge, die klein genug sind, um unentdeckt zu bleiben, die sich aber im Lauf der Zeit summieren – ein besonderes Problem in bargeldbasierten Einzelhandelsgeschäften.
• Gehaltsabrechnungsbetrug. Ein Mitarbeiter der Lohnbuchhaltung erstellt einen gefälschten Mitarbeiter und leitet dann die Gehaltsschecks des gefälschten Mitarbeiters auf ein Bankkonto um, auf das er Zugriff hat. In anderen Fällen stellt die Lohnbuchhaltung nicht genehmigte Schecks oder Boni aus oder gibt die Stunden eines Mitarbeiters zu hoch an.
• Abrechnungsbetrug. Mitarbeiter reichen falsche Rechnungen ein, die das Unternehmen dann bezahlt, und der Mitarbeiter oder ein Komplize erhält die Zahlung.
• Fälschung. Mitarbeiter unterschreiben oder vervielfältigen Dokumente mit der Unterschrift einer anderen Person. Zu den Dokumenten können Zeiterfassungsbögen, Spesenabrechnungen, Verträge und sogar Schecks gehören.

Die Täter aus dem Bereich der Finanzkriminalität reichen von kleinen Dieben bis hin zu schwergewichtigen globalen Verbrechersyndikaten:

• Organisierte Kriminelle: Großangelegte Operationen, die mächtige, gefährliche Personen involvieren können.
• Einzeltäter: Dazu zählen Hacker, die keine Verbindung zum Unternehmen haben, oder Kunden, Lieferanten oder Auftragnehmer mit einigen Kenntnissen über das Unternehmen.
• Führungskräfte: Führungskräfte oder Vorstandsmitglieder, die das Unternehmen bestehlen oder die Leistung des Unternehmens falsch darstellen (Beispiel: Manipulation von Finanzdaten, um die Gewinne höher aussehen zu lassen).
• Mitarbeiter: In der Regel werden Gelder auf irgendeine Weise gestohlen und Schritte unternommen, um die Spuren zu verwischen (z. B. Skimming). Kriminelle von außen suchen sich oft Mitarbeiter als Partner, die ihnen bei der Durchführung dieser Aktivitäten helfen.

Was sind die wahren Kosten von Finanzkriminalität?

Finanzkriminalität hat einen erheblichen Einfluss auf den Umsatz eines Unternehmens. Laut der PwC Global Economic Crime and Fraud Survey von 2018 gaben 49 % der Befragten an, dass ihr Unternehmen Opfer von Betrug oder Wirtschaftskriminalität geworden ist – ein Anstieg gegenüber 36 % im Jahr 2016 –, während 64 % der Befragten angaben, dass die direkt durch Betrug verursachten Verluste mindestens 1 Million US-Dollar betragen können. Darüber hinaus gaben 46 % der Befragten in der PwC-Umfrage an, dass ihr Unternehmen zusätzlich mindestens den durch Betrug verlorenen Betrag oder mehr für Ermittlungen und andere Präventivmaßnahmen ausgibt. Und 52 % aller Betrugsfälle werden von Personen innerhalb des Unternehmens verübt.

Die Kosten für die Erkennung und Beseitigung von Sicherheitsverstößen, die Compliance-Strafen und die Kosten für Rechtsstreitigkeiten machen oft einen großen Teil des Gewinns zunichte. Schwerer wiegt noch, dass der Schaden für den Ruf des Unternehmens jahrelang anhalten kann.

Was ist Compliance im Hinblick auf Finanzkriminalität?

Compliance im Hinblick auf Finanzkriminalität ist der Prozess, mit dem sichergestellt wird, dass Ihr Unternehmen die Standards, Richtlinien und Vorschriften (sowohl intern als auch extern) einhält, die für Ihre Branche und Organisation gelten.

In den USA bestimmt das FinCEN (Financial Crimes Enforcement Network) die Compliance-Grundlagen im Bereich Finanzkriminalität:

• Der Bank Secrecy Act (BSA), auch bekannt als Currency and Foreign Transactions Reporting Act, verpflichtet Finanzinstitute zur Zusammenarbeit mit der US-Regierung bei Verdacht auf Geldwäsche und Betrug.
• Der U.S. Patriot Act sieht Maßnahmen vor, „um internationale Geldwäsche und Terrorismusfinanzierung zu verhindern, aufzudecken und strafrechtlich zu verfolgen.“
• Know Your Customer (KYC) ist ein Teil des Patriot Act, der von Unternehmen verlangt, die Identität von Kunden zu überprüfen und ihre Aktivitäten nachzuvollziehen.

Welche Risiken des Verstoßes gegen das Geldwäscheverbot bestehen?

Jedes Finanzinstitut ist einem Risiko des unbeabsichtigten Verstoßes gegen das Geldwäscheverbot ausgesetzt. Das Risiko wird hauptsächlich von drei Faktoren bestimmt:

• Produkte und Services wurden auf den Onlinevertrieb umgestellt. Angebote, die verbraucherfreundlicher sind, wie z. B. Online-Vorqualifikation und mobile Zahlungen, sind schwieriger zu überwachen als Bargeldtransaktionen.
• Die Priorität von Compliance wird heruntergestuft. Finanzinstitute kürzen die für Compliance bereitgestellten Ressourcen, um ihre Konkurrenten zu unterbieten und bessere Angebote zu machen.
• Die Einhaltung der Vorschriften stellt eine Herausforderung dar. Die schiere Menge an Kunden- und Transaktionsdaten ist für Unternehmen einfach zu groß, um sie vorschriftsmäßig zu verwalten, geschweige denn zu analysieren und für die Untersuchung verdächtiger Aktivitäten zu nutzen.

Das hat zur Folge, dass Unternehmen nicht das tun, was zur Einhaltung der Compliance im Hinblick auf das Geldwäscheverbot erforderlich ist – und das kann zu empfindlichen Strafen führen. Daher müssen Finanzinstitute unbedingt die folgenden Punkte umsetzen:

• Erstellen interner Richtlinien und Verfahren, die speziell zur Verhinderung von Geldwäsche entwickelt wurden.
• Einstellung von Geldwäsche-Ermittlern (AML-Investigators) und deren Unterstützung durch Anti-Geldwäsche-Software, die Daten schnell und effizient verarbeiten kann.
• Fortlaufende Schulung von Mitarbeitern, damit sie Geldwäsche sowohl verstehen als auch wissen, was im Verdachtsfall zu tun ist.
• Führung eines strengen Systems zur Aufzeichnung und Berichterstattung.

Welche Aufgaben hat ein AML-Analyst?

Ein AML-Analyst, auch Ermittler genannt, konzentriert sich auf die Überwachung und Untersuchung von verdächtigen Finanzaktivitäten und setzt entsprechende Maßnahmen um. Die Tätigkeit eines Geldwäsche-Ermittlers erfordert eine fundierte Kenntnis des Unternehmens, der Arbeitsweise, der Kunden sowie der Produkte und Services. Zu den Aufgaben können folgende Aspekte gehören:

• Festlegen und Interpretieren von Verfahren und Protokollen für die anderen Mitarbeiter, um Risiken zu reduzieren.
• Dokumentieren von Kundentransaktionen.
• Erklären der getroffenen Maßnahmen gegen Geldwäsche und andere Straftaten gegenüber den Aufsichtsbehörden und Wirtschaftsprüfern.
• Sicherstellen, dass das Unternehmen alle Bestimmungen gegen Geldwäsche einhält.

Wie können Sie Finanzkriminalität in Ihrer Organisation verhindern?

Die Gesetze legen den Präzedenzfall dafür fest, wie Ihr Unternehmen Finanzkriminalität innerhalb der Organisation verhindern und bekämpfen kann. Ihre oberste Priorität ist es, zu wissen, welche Regeln für Sie gelten, Änderungen an den Gesetzen zu verfolgen und ein Bewusstsein für die Gesetze und Regeln in der gesamten Organisation zu schaffen. Diese Best Practices werden Ihnen auch helfen, kriminelle Aktivitäten zu verhindern:

• Beginnen Sie ganz oben: Die effektivsten FCRM-Strategien werden von allen Beteiligten getragen, von den Mitarbeitern an der Front bis hinauf zur Führungsebene, wobei die Führungskräfte aktiv in den Prozess eingebunden werden. Das Security-Team sollte sich ausführlich mit den Geschäftsführern austauschen, um Schmerzpunkte und Schwachstellen zu besprechen, und die Führungskräfte sollten Zugang zu Intelligence Reports haben, die ein klares Bild davon vermitteln, wie das Unternehmen mit Bedrohungen umgeht.
• Weisen Sie klare Zuständigkeiten und Rollen zu: Bieten Sie Mitarbeitern ausreichend Möglichkeiten, darauf aufmerksam zu machen, wenn sie verdächtige Aktivitäten sehen, und schulen Sie die Mitarbeiter angemessen, die für die Erkennung von und den Umgang mit Bedrohungen durch Finanzkriminalität verantwortlich sind. Schulen Sie alle Mitarbeiter zu den FCRM-Richtlinien des Unternehmens, wie sie ihre Rolle im Unternehmen im Einzelnen betreffen und wie kriminelle Aktivitäten erkannt werden können.
• Bilden Sie abteilungsübergreifende Teams: Die IT spielt eine große Rolle bei der Prävention von Finanzkriminalität, ebenso wie die Rechts- und Compliance-Teams, aber Sie sollten auch Mitarbeiter aus dem Kundenservice, der Personalabteilung, dem Vertrieb, der Buchhaltung, dem Business Development und anderen Bereichen einbeziehen, insbesondere, wenn Sie alle möglichen Risikoszenarien untersuchen.
• Überprüfen Sie Drittanbieter: Die Anbieter, mit denen Sie Geschäfte machen, könnten Sie einem Haftungsrisiko aussetzen, also stellen Sie sicher, dass sie die gleichen Vorschriften wie Ihr Unternehmen einhalten.
• Unterstützen Sie Ihre Analysten und Ermittler für Finanzkriminalität und Geldwäsche mit Technologie: Investieren Sie unter anderem in Betrugserkennung, Lösungen zur Bekämpfung der Geldwäsche und Sicherheitsautomatisierung. Je weniger Zeit Ihre Ermittler mit Sackgassen, Fehlalarmen und sich wiederholenden Aufgaben verbringen, desto mehr können sie sich auf echte Bedrohungen und Compliance-Aktivitäten konzentrieren.

Was ist Risikobewertung für Finanzkriminalität?

Eine Risikobewertung für Finanzkriminalität (Financial Crime Risk Assessment) ist ein systematischer, schrittweiser Prozess zur Analyse der Anfälligkeit einer Organisation für Finanzkriminalität. Für eine vollständige Finanzrisikobewertung müssen Sie die folgenden Schritte befolgen:

Identifizieren Ihrer Risiken: Sie müssen die Risiken sowohl verstehen als auch dokumentieren, ausgehend von der Komplexität Ihres Unternehmens, dem Markt, in dem Sie tätig sind, den Services und Produkten, die Sie anbieten, und dem Anteil Ihres Geschäfts, der online abgewickelt wird. Mit Blick auf frühere Vorfälle in Ihrem Unternehmen und die allgemeine Verbreitung dieser Finanzkriminalität auf dem Markt müssen Sie Ihr Risikoniveau für jeden der folgenden Punkte einschätzen:

• Geldwäsche
• Terrorfinanzierung
• Betrug
• Bestechung und Korruption
• Marktmissbrauch und Insiderhandel
• Steuerhinterziehung
• Veruntreuung
• Fälschung
• Counterfeiting
• Identitätsdiebstahl
• Cyberkriminalität
• Persönliche Einkäufe
• Diebstahl
• Skimming
• Lohnbuchhaltungsbetrug
• Rechnungsbetrug

Nachdem Sie Ihre Risiken dokumentiert haben, können Sie sie priorisieren, ausgehend von der größten Bedrohung.

Festlegen von Schutzmaßnahmen, um Ihre Risiken zu mindern: Wenn Sie wissen, wo Sie besonders gefährdet sind, können Sie die Kontrollen und Systeme planen, die Sie zum Verhindern von Finanzkriminalität in Ihrem und gegen Ihr Unternehmen implementieren möchten. Diese Kontrollen umfassen:

• Das Zuweisen der Zuständigkeit für die Sicherstellung der Compliance an Einzelpersonen (z.B. übertragen Sie diese Aufgabe einem Mitglied des Security-Teams oder stellen einen neuen AML-Analysten ein)
• Das Festlegen organisationsweit gültiger Richtlinien und Vorgehensweisen.
• Das Implementieren der allgemeinen Sorgfaltspflicht gegenüber Kunden (Customer Due Diligence, CDD) und der erweiterten Sorgfaltspflicht (Enhanced Due Diligence, EDD), um sicherzustellen, dass Sie alle Kundeninformationen erfassen, die zur Beurteilung des Risikos erforderlich sind.
• Das Erstellen effektiver Management-Informationsberichte (MI), die sowohl Daten als auch Kontext liefern.
• Die Angemessene Schulung der Mitarbeiter in der gesamten Organisation über die IT hinaus, damit sie wissen, wie sie Finanzkriminalität erkennen und melden können.

Überprüfen und Verbessern der Kontrollen: Ihr Unternehmen sollte regelmäßig Audits durchführen, um sicherzustellen, dass die von Ihnen eingerichteten Kontrollen neue Risiken abdecken. Wenn sich der Markt und das allgemeine Umfeld ändern, müssen Sie neue Verfahren und Richtlinien erstellen, um neue Probleme anzugehen und die Einhaltung der Vorschriften sicherzustellen.

Monitoring und Berichterstellung: Es ist zwingend erforderlich, dass Sie die Effektivität Ihrer Kontrollen überwachen, also dokumentieren Sie verdächtige Aktivitäten und die Schritte, die Sie unternommen haben, um das Problem zu lösen. Eine ordnungsgemäße Berichterstattung ist im Rahmen verschiedener Compliance-Vorschriften erforderlich, daher ist es wichtig, dass diese Informationen jederzeit verfügbar sind.

Was ist ein FCRM-System?

FCRM-Tools ermöglichen es dem Security-Team, potenzielle Schwachstellen proaktiv zu identifizieren, Aktivitäten kontinuierlich zu untersuchen, laufende Risikobewertungen durchzuführen sowie fragwürdige Aktivitäten zu verwalten und auf sie zu reagieren. Hier ist eine Aufschlüsselung der geforderten Fähigkeiten:

Erkennen von Bedrohungen in Echtzeit: FCRM-Systeme erkennen verdächtige Aktivitäten sofort – selbst bei einem großen Transaktionsvolumen – und senden Benachrichtigungen an die Sicherheitsmitarbeiter, die dann entscheiden können, welche Maßnahmen als nächstes zu ergreifen sind.

• Aufdecken von anomalem Benutzerverhalten. Einige FCRM-Tools nutzen Advanced Behavior Analytics und Machine Learning, um bösartiges oder ungewöhnliches Verhalten in Bezug auf Benutzer, Geräte und Anwendungen zu erkennen.
• Verbessern der Effizienz und der Ergebnisse der Untersuchungen. Die besten FCRM-Lösungen ermöglichen es Ihnen, schnell riesige Mengen aktueller oder historischer Maschinendaten zu durchsuchen, um Finanzkriminalität aufzudecken.
• Vermeiden von Over-Alerting. Sie können benutzerdefinierte Regeln und Automatisierungsroutinen einrichten, um sich wiederholende Warnmeldungen und Fehlalarme zu reduzieren.
• Einhaltung der Compliancevorschriften zu Betrug und Geldwäsche. Die FCRM-Lösung bringt Ordnung in unstrukturierte Daten und ermöglicht es Ihnen, die Vorschriften adäquat zu erfüllen.
• Bereitstellen von Analysen und Berichten. Mit FCRM-Lösungen können Sie die Gefahren durch Finanzkriminalität auf einfache Weise analysieren, messen und verwalten und wichtige Informationen mit den Beteiligten im gesamten Unternehmen teilen.

Wie wählen Sie eine FCRM-Lösung?

Wenn es um die Wahl einer FCRM-Lösung geht, hängt die von Ihnen gewählte Plattform stark von Ihren Bedürfnissen ab. Dies macht es unabdingbar, dass Sie eine gründliche Risikobewertung durchführen, bevor Sie mit der Suche nach Tools beginnen. Hier sind einige der Features, die Sie darüber hinaus in Betracht ziehen sollten:

• Zuverlässige und vollständige Daten. Suchen Sie nach Tools, die Advanced Behavior Analytics und Machine Learning nutzen, um in Echtzeit umfassende 360-Grad-Profile der Personen und Unternehmen zu erstellen, mit denen Sie Geschäfte machen.
• Maßgeschneiderte Dashboards und mühelose Berichterstellung. Sie benötigen unter anderem allgemeine Übersichten, Statistiken zur Trendanalyse und workflowbasierte Berichte sowie die Möglichkeit, Drilldowns durchzuführen, auf spezifische Daten zur Unterstützung einer Untersuchung zuzugreifen und Berichte zu erstellen, um Compliance-Anforderungen zu genügen.
• Features zur Einhaltung von behördlichen Vorschriften. FCRM-Tools ermöglichen Ihnen die Einhaltung von lokalen, staatlichen, bundesstaatlichen und internationalen Vorschriften. Wählen Sie einen Anbieter, der Ihnen die Möglichkeit bietet, Logdaten schnell abzurufen und Berichte für Audit-Anfragen zu erstellen.
• Benutzerfreundlichkeit. Sie wünschen sich eine unkomplizierte Plattform, die mit individuellen Anpassungen und einer intuitiven Benutzer-Oberfläche funktioniert. Vergewissern Sie sich, dass der Anbieter, für den Sie sich entscheiden, auch kontinuierliche Schulungen und Support anbietet, damit Sie das Beste aus Ihrer Investition herausholen können.

Nehmen Sie Finanzkriminalität ernst

Kunden erwarten eine auf allen Kanälen sichere und echtzeitfähige Erfahrung. E-Commerce und digitale Datentransaktionen schaffen neue Herausforderungen bei der Bewertung und dem Management Ihres Risikos durch Finanzkriminalität. Sie sollten diesen Aspekt also besser nicht aufschieben oder ignorieren.

Die Aufsichtsbehörden werden Ihr Unternehmen für alle Finanzdelikte verantwortlich machen, die unter Ihrer Aufsicht geschehen, auch für solche, die durch externe Angreifer verursacht wurden. Die Einführung einer FCRM-Lösung macht es einfacher, diese Bedrohungen zu erkennen, darauf zu reagieren und sie zu verhindern, während gleichzeitig sichergestellt wird, dass Ihr Unternehmen Compliance-Regelungen einhält – selbst bei einer wachsenden und zunehmend komplexen Menge an Vorschriften.