Was die FinCEN-Verfügung gegen die Bank of America Compliance-Verantwortlichen lehrt

Die FinCEN stellte drei vorsätzliche Verstösse fest.

1. Kein angemessenes AML-Programm (31 U.S.C. § 5318(h)(1), 31 C.F.R. § 1020.210). Die Verfügung konzentriert sich auf zwei Pfeiler: die internen Kontrollen, also das Transaktionsüberwachungssystem, und die Sorgfaltspflichten gegenüber Kunden (Customer Due Diligence, CDD). Die unabhängige Prüfung kommt als die Funktion ins Spiel, die beides hätte aufdecken müssen.

2. Keine ordnungsgemässe Sorgfaltsprüfung bei Korrespondenzkonten ausländischer Finanzinstitute (31 U.S.C. § 5318(i), 31 C.F.R. § 1010.610). Hier gehörten die Konten den eigenen ausländischen Niederlassungen und Konzerngesellschaften der Bank.

3. Verdächtige Transaktionen nicht korrekt und nicht rechtzeitig gemeldet (31 U.S.C. § 5318(g), 31 C.F.R. § 1020.320). Eine Verdachtsmeldung (Suspicious Activity Report, SAR) ist innerhalb von 30 Tagen nach der ersten Feststellung der Tatsachen fällig. Bei der Bank of America wurde ein erheblicher Teil erst mehr als sechs Monate nach der Aktivität eingereicht.

Zu «vorsätzlich»: Die Verfügung sagt unmissverständlich, dass dafür keine böse Absicht nötig ist. Wer von den eigenen Tests erfährt, dass etwas nicht funktioniert, und es so lässt, bewegt sich bereits in diesem Bereich.

Die FinCEN ging ihre zehn Durchsetzungsfaktoren durch. Einige gewichtete sie besonders stark, und genau die lohnen einen genaueren Blick:

• Schaden für den Gesetzeszweck. Mehr als ein Drittel der Untersuchungen ging auf Strafverfolgungsbehörden oder andere externe Hinweise zurück, nicht auf das eigene System der Bank. Das, so die FinCEN, laufe dem Zweck des BSA zuwider.
• Finanzieller Vorteil. Als die Bank ihren Schwellenwert endlich korrigierte, rechnete sie mit einer Verdoppelung der Fallzahlen. Dafür wären rund 750 zusätzliche Mitarbeitende nötig gewesen, dazu 800 externe Berater für eine einmalige rückwirkende Überprüfung (Lookback). Die FinCEN folgerte, die Bank habe Compliance-Kosten in Höhe von Hunderten von Millionen eingespart. Zudem behielt sie ertragsstarke Kunden, die die Compliance loswerden wollte.
• Systemischer Charakter. Ein einziges System, bankweit im Einsatz. Die Schwäche zog sich durch alle Geschäftsbereiche.
• Wissen des Managements. Spätestens 2023 waren der BSA Officer und der Leiter des betroffenen Geschäftsbereichs informiert. Die Risiken bestanden weiter.
• Behebung und Kooperation. Ernsthafte Korrekturen begannen erst, als sich die Aufsicht und die FinCEN einschalteten. Unterlagen wurden verspätet eingereicht, und die Bank untersuchte die historischen Aktivitäten nicht aus eigenem Antrieb.
• Keine freiwillige Offenlegung.

Der Satz, den ich auf eine Folie setzen würde: Das Management habe sich «auf die Auswirkungen auf die Ressourcen der Bank konzentriert statt auf eine Behebung, die den Problemen gerecht wird».

Was passiert ist. Der Event Processor bewertete jeden Alert mit Punkten, fasste die Alerts pro Kunde zu Gruppen (Event Groups) zusammen und eröffnete erst dann einen Fall, wenn eine Gruppe innerhalb von 13 Monaten 20 Punkte erreichte. Ältere Alerts «verfielen» und zählten nicht mehr. Beide Werte wurden «ursprünglich nach Einschätzung der Stakeholder festgelegt» und blieben bis Dezember 2023 unverändert.

Die eigenen Tests der Bank zeigten immer wieder auf das Problem. 2022 und Anfang 2023 führten Gruppen mit 16 bis 19 Punkten, also knapp unter der Linie, in 38 bis 45 Prozent der Fälle zu einer SAR. Bei Gruppen mit 20 bis 24 Punkten, die tatsächlich untersucht wurden, waren es rund 33 Prozent. Der nicht untersuchte Stapel war also ergiebiger als der untersuchte. Eine Validierung von 2022 hielt fest, der Schwellenwert «muss begründet werden». Ein weiterer Test zeigte, dass eine andere Modellkonfiguration weit mehr SARs finden würde (85,4 gegenüber 20,2 Prozent bei Stichproben unter der Linie). Die Bank lehnte ab, mit Verweis auf die «praktische Sorge, zu viele Event Groups unter der Linie zu Fällen zu machen».

Nachdem die Aufsicht eingegriffen hatte, sank der Schwellenwert auf 10 beziehungsweise 12. Der Lookback förderte knapp 8'900 verpasste SARs über rund USD 4 Milliarden zutage.

Richtig wäre gewesen: ein Schwellenwert, der sich auf Evidenz stützt, mit einer schriftlich festgelegten Toleranz für falsch negative Ergebnisse. Die Bank führte eine solche (5 Prozent) erst gegen Ende ein, und da lag die SAR-Quote unter der Linie bereits sieben- bis neunmal höher. Zeigen Tests, dass SARs verpasst werden, braucht es Übergangskontrollen, solange das Modell repariert wird.

Mehrere Risikofaktoren hatten SAR-Quoten über 50 Prozent und ein Gewicht von 1 Punkt. Grosse Bareinzahlungen am Geldautomaten, Stückelung von Bareinzahlungen (Cash-Structuring), das HIDTA-Kennzeichen für Drogenhandelsgebiete. Berichte von 2019, 2020 und 2022 wiesen alle darauf hin. Von 2018 bis 2023 blieben 76 Prozent der Gewichte unverändert, und rund 80 Prozent der Änderungen, die es doch gab, waren Senkungen.

Die Rekalibrierung von 2021 machte es noch schlimmer. Ihr erklärtes Ziel: «damit das ganze Gewichtssystem eine bessere SAR-Quote hat». In der Praxis hiess das weniger Fälle, über 8'200 weniger. Von sieben Structuring-Faktoren mit Quoten von 50 Prozent oder mehr wurden bei fünf die Gewichte gesenkt.

Die Bank jagte einer schöneren Quote nach statt einer besseren Abdeckung. Hohe Quote bei tiefem Gewicht ist ein Signal, das Gewicht zu erhöhen. Stattdessen antwortete das Modellteam auf eine Validierungsfeststellung von 2022, sekundäre Faktoren seien «redundant» und sollten gesenkt werden, um «die SAR-Quote insgesamt zu verbessern». Ein Faktor mit 44 Prozent Quote wurde ohne Begründung als «schwach» bezeichnet. Das ist das Sechs- bis Achtfache der Toleranz für verpasste SARs, die die Bank später einführte.

Die FinCEN fügt eine Fussnote an, die man sich merken sollte: Die SAR-Quote ist eine nützliche Kennzahl, aber nicht die einzige, und sie muss im Licht des eigenen Risikoprofils gelesen werden.

Was passiert ist. Das System konnte Risikofaktoren auf null herabstufen (Rescoring) oder Alerts für ausgewählte Rechtsträger unterdrücken. Rund 150'000 aktive Event Groups waren von einer solchen Logik betroffen, als sie im Dezember 2023 abgeschaltet wurde. Eine Liste umfasste Unternehmen, die an bestimmten Börsen kotiert sind, angeblich von der Compliance genehmigt. In den Unterlagen der Bank findet sich jedoch keine solche genehmigte Liste.

Das deutlichste Beispiel betrifft die CTR-Befreiungsliste. Bei Kunden auf dieser Liste wurden Structuring-Alerts auf null gesetzt. Eine CTR-Befreiung hebt aber nur die Pflicht auf, Bargeldmeldungen (Currency Transaction Reports, CTR) einzureichen. Die Vorschrift sagt ausdrücklich, dass sie die SAR-Pflicht nicht verringert. Bei Kunde B wurden auf diese Weise mehr als 20 Event Groups mit gestückelten Bareinzahlungen heruntergestuft. Nur drei wurden je zu Fällen.

Richtig wäre gewesen: jede Unterdrückungsregel als eigenständige Kontrolle zu behandeln. Mit dokumentierter Begründung, namentlich bezeichneten Verantwortlichen, genehmigte Liste unter Versionskontrolle, regelmässige Tests dessen, was sie ausblendet. Und eine klare Trennlinie zwischen «von Meldung X befreit» und «von der Überwachung befreit».

Manche Ereignisse eröffneten automatisch einen Fall: Beschlagnahmeverfügungen, Grand-Jury-Vorladungen, Meldungen von Mitarbeitenden, Anfragen nach 314(a) und 314(b). Mehrere Jahre lang lieferte dieser Weg mehr als ein Drittel aller Fälle, 2023 fast die Hälfte. Bei Kunde B enthielten 80 Prozent der AML-Fälle zwischen 2018 und 2023 mindestens eine Meldung oder ein externes Ereignis. Dass sich im Modell Punkte ansammelten, war nicht der Grund, weshalb dieser Kunde untersucht wurde.

Die FinCEN sagt nicht, externe Hinweise seien schlecht. Die Zusammenarbeit mit Strafverfolgungsbehörden und der Informationsaustausch nach 314(b) bleiben wichtig. Das Problem ist die Abhängigkeit. Wenn Ihr bester Detektor eine Vorladung ist, machen Ihre eigenen Szenarien ihre Arbeit nicht.

Richtig wäre gewesen: eine laufend verfolgte Kennzahl für den Anteil der Fälle, die aus der eigenen Erkennung stammen. Ein steigender externer Anteil ist als Feststellung zur Modellleistung zu behandeln.

Die Tests fragten vor allem, ob sich die SAR-Quote beidseits des Schwellenwerts statistisch signifikant unterschied. Sie fragten nicht, was übersehen wurde und ob das zunahm. Als ein Bericht feststellte, dass die Gewichte für Alerts mit hoher Quote zu tief waren, lautete die Empfehlung, das Gewicht des einen Alerts mit tiefer Quote zu senken. Und als 2023 ein Test unter der Linie eine Quote von 18 Prozent ergab, bat der damalige Global Head of Financial Crimes einen Senior Manager, ihn zu wiederholen. Die Wiederholung erklärte das frühere Ergebnis für «inkorrekt», schob es auf unerfahrene Ermittler und verzerrte Stichproben und kam zum Schluss, das Team sei «zuversichtlich, dass der EP wie vorgesehen funktioniert». Die FinCEN führt diese Episode bei ihren Durchsetzungsfaktoren auf.

Für mich ist das der unangenehmste Teil der Verfügung, weil er so menschlich und alltäglich ist. Niemand hat etwas gefälscht. Ein Ergebnis war unbequem, also liess man den Test wiederholen.

Richtig wäre gewesen: objektive Massstäbe, die vor dem Test vereinbart werden, Prüfer, die von den Modellverantwortlichen unabhängig sind, und ein Massnahmenregister, das jede Feststellung bis zur Erledigung verfolgt. Ein Test, den man so lange wiederholt, bis er besteht, ist keine unabhängige Prüfung.

Der Event Processor erfasste einen Teil der Käufe von handelbaren Zahlungsinstrumenten (Negotiable Instruments), aber keine Einzahlungen, und konnte eine Zahlungsanweisung (Money Order) nicht von einem Scheck unterscheiden. Auch bei Kreditkarten war die Abdeckung dünn: Das Structuring-Modell bezog Kartenaktivität erst nach einer Neuentwicklung im Oktober 2024 ein. Ein im Januar 2024 gebautes «TBML Feature» wurde nur auf Fälle angewendet, die ohnehin schon untersucht wurden. 2025 hatte die Bank für Zahlungsinstrumente noch immer keine Abdeckungsanalyse durchgeführt.

Kleinere Beispiele zeigen, wie grundsätzlich die Lücke war. Ein Edelmetallhändler erhielt über 3'500 Einzahlungen von Zahlungsinstrumenten mit runden Dollarbeträgen, zusammen knapp USD 3 Millionen. Ein selbsternannter Anlageberater zahlte drei Jahre lang Money Orders mit fortlaufenden Nummern und runden Beträgen ein. In keinem der beiden Fälle gab es einen Alert.

Richtig wäre gewesen: eine Abdeckungsmatrix, Produkte und Kanäle gegen Typologien, und die leeren Felder mit Termin im Risikoregister. Auch eine neue Warnmitteilung (Advisory) der FinCEN ist ein Anlass zu prüfen, ob die eigenen Szenarien sie abdecken.

Kunde A betreibt einen Online-Marktplatz für Unfallfahrzeuge, ist seit 1995 bei der Bank, bringt ihr rund USD 6 Millionen Ertrag pro Jahr und hat zusätzlich eine Kreditbeziehung (die Bank führte eine Refinanzierung über USD 200 Millionen an). Bis Mitte 2022 zählte die Compliance seit 2020 mehr als 100 AML-Fälle, rund 90 Prozent davon Betrug: Business Email Compromise, Romance Scams, Vorschussbetrug. Das Kernproblem war nach den Worten der Compliance, dass der Kunde «weder Einblick in noch Verständnis für die Herkunft der Mittel hat». Im Zentrum standen Zahlungen Dritter.

Die Compliance empfahl Mitte 2022 die Schliessung und rechnete angesichts des «erheblichen Kreditengagements» mit «etwas Widerstand gegen die Schliessung». Der Kundenberater antwortete mit einem Memo über einen «grossen und geschätzten Kunden». Mehr als sechs Monate später, im März 2023, wurde die Schliessungsempfehlung zurückgezogen, im Gegenzug für vier Auflagen. Die wichtigste: Kunde A sollte nur noch Zahlungen von registrierten Händlern annehmen. Das tat er nicht. Zahlungen Dritter liefen bis Juni 2025 weiter, einzelne Money Orders bis etwa Juli 2025. In dieser ganzen Zeit wurden weder das Risikoprofil des Kunden noch die Überwachung angepasst.

Richtig wäre gewesen: Die FinCEN stellt klar, dass die Schliessung nicht die einzige zulässige Antwort ist. Wer aber einen Hochrisikokunden behält, muss das Risiko mindern und das auch überprüfen. Das heisst: eine aktualisierte Risikoeinstufung, eine Überwachung, die auf das konkrete Risiko zielt (hier Zahlungen Dritter), eine Frist und eine echte Konsequenz, wenn sie verpasst wird. Hier wurde die Auflage vereinbart und nie kontrolliert. Und die Eskalation braucht einen Weg, der nicht über den Ertragsverantwortlichen führt.

Kunde B ist eine börsenkotierte Plattform für Unfallfahrzeuge. Jahrelang Alerts, Untersuchungen und Anfragen von Strafverfolgungsbehörden, und die Einstufung blieb auf «Standard», bis im Februar 2020 eine Grand-Jury-Vorladung kam. Danach ging sie auf «Erhöht» und «Hoch», ohne dass sich an der Sorgfaltsprüfung wirklich etwas änderte. Im Juli 2022 stand sie wieder auf «Standard», nach einer weiteren Vorladung im März 2023 wurde sie erneut erhöht. Im November 2023 machte das Unternehmen öffentlich, dass das US-Justizministerium (DOJ) seine Praktiken zur Geldwäschereibekämpfung untersuchte. Die Bank änderte nichts.

Die vierteljährlichen Überprüfungen dieses «Hochrisikokunden» erwähnten nicht, dass die Überweisungen seiner verbundenen Gesellschaft in den VAE in einem einzigen Quartal um über 200 Prozent auf rund USD 1,1 Milliarden gestiegen waren. Auch nicht, dass Money Orders im Umfang von Dutzenden Milliarden eingezahlt wurden. Das Modell hätte Negativmeldungen erfassen sollen. Die eigene Pflichtmeldung des Kunden an die Börsenaufsicht entging ihm.

Richtig wäre gewesen: eine Einstufung, die auf den eigenen Daten beruht (Alerts, SARs, Geografie, Produkte, negative Medienberichte) und in die externe Ereignisse einfliessen, ohne sie zu bestimmen. Und «Hoch» muss etwas verändern: Tiefe der Sorgfaltsprüfung, Überwachung, Überprüfungsrhythmus. Hier war es ein Etikett.

Kunde C, ein Fahrzeugexporteur, wurde mit einem erwarteten Jahresumsatz von USD 1 bis 4 Millionen aufgenommen. In rund drei Jahren wickelte er über USD 700 Millionen an Überweisungen mit Bezug zu Hochrisikoländern ab, vor allem Georgien. In seiner Akte waren nicht einmal seine Beziehungen in mehrere Hochrisikoländer vermerkt. Überweisungen mit Bezug zu Belarus und Georgien schnellten direkt nach Russlands Einmarsch in die Ukraine in die Höhe. Im Juli 2022 schickte eine andere Bank eine Informationsanfrage. Die erste SAR folgte im August 2023 und deckte rund 10 Prozent der Aktivität ab. Der grösste Teil des Rests wurde im Juni 2025 gemeldet, nach Informationsanfragen der FinCEN selbst.

Die Bank trennte sich im Dezember 2023 von Kunde C. Die Kunden A und B, die geschäftliche Beziehungen zu ihm öffentlich gemacht hatten, schaute sie sich nicht noch einmal an.

Richtig wäre gewesen: eine Abweichungsprüfung, die anschlägt, wenn die tatsächliche Aktivität um Grössenordnungen über der erwarteten liegt, danach eine Aktualisierung des Profils und ein SAR-Entscheid innerhalb der 30 Tage, nicht zwei Jahre später. Und wer sich wegen verdächtiger Aktivitäten von einem Kunden trennt, schaut, wer sonst noch mit ihm verbunden ist.

Von Oktober 2020 bis Mai 2025 gingen bei den Kunden A und B über 680'000 einzelne Transaktionen ein. Sie bildeten rund 220'000 Gruppen verdächtiger Einzahlungen über mehr als USD 660 Millionen. Die Warnsignale: runde Dollarbeträge, fortlaufende Seriennummern und immer wieder Sätze von drei Money Orders, die zusammen USD 2'900 bis 3'000 ergaben. Letzteres ist ein Klassiker: Die Käufer bleiben unter der Grenze von USD 3'000, ab der Money Services Businesses (Geldübermittler und ähnliche Finanzdienstleister ohne Banklizenz) die Identität erfassen müssen. Etwa jede dritte Gruppe wurde in der Nähe der Südwestgrenze gekauft.

Die Warnung kam früh. Im September 2021 schickte ein Money Services Business der Bank eine Informationsanfrage zu genau diesem Muster. Die Bank antwortete, sie sehe weder eine ungewöhnliche Frequenz noch Hinweise auf illegale Aktivitäten, und liess Profil und Überwachung, wie sie waren. Rund 51'000 Gruppen bei Kunde B und 72'000 bei Kunde A wurden abgewickelt, nachdem Warnzeichen vorlagen, ohne rechtzeitige Meldung.

Richtig wäre gewesen: Eine externe Anfrage, die ein konkretes Muster beschreibt, heisst, dass man dieses Muster in den eigenen Daten testet, nicht, dass man sich verteidigt. Zahlungsinstrumente gehören in die periodischen Überprüfungen von Kunden, die sie intensiv nutzen. Und fortlaufende Seriennummern oder Summen knapp unter der Schwelle zu erkennen, ist einfache Analytik.

Hunderte Millionen Dollar, die den Typologien chinesischer Geldwäschereinetzwerke (Chinese Money Laundering Networks, CMLN) entsprachen, wurden verspätet oder gar nicht gemeldet. Die Kunden traten als Logistik- oder Elektronikfirmen auf. Das Muster: Kreditkartenkäufe in rascher Folge bei grossen Händlern und Versanddienstleistern, hohe ACH- und Bill-Pay-Zahlungen zur Begleichung von Karten, die auf andere Personen lauteten, Überweisungen nach China mit dem blossen Vermerk «für Waren» und wiederholte Transfers an Gegenparteien ohne Webpräsenz, an Wohnadressen. Einiges davon geschah nach der Senkung des Schwellenwerts 2023. Für Konten kleiner Unternehmen gab es bei der Bank keine Obergrenze für Zusatzkarten, und Kartenausgaben, die regelmässig über dem angegebenen Einkommen lagen, lösten keine Untersuchung aus.

Richtig wäre gewesen: Szenarien, die aus öffentlichen Warnmitteilungen abgeleitet sind (die CMLN-Advisory der FinCEN vom August 2025 listet Warnsignale bei Kreditkarten auf) und gegen jedes Produkt geprüft werden. Karten gehören in die Kundenrisikobeurteilung. Und zu einem Geschäftsprofil muss ein geschäftlicher Fussabdruck passen: Website, Geschäftsräume, echte Gegenparteien.

Bis Ende 2024 erlaubte die Weisung der Bank eine «vereinfachte» Sorgfaltsprüfung bei Korrespondenzkonten ihrer eigenen ausländischen Niederlassungen und Konzerngesellschaften. Die FinCEN sah sich zwölf davon an. In den Akten standen Dinge wie «Treasury Services» oder «Cash Management», die lokale Aufsichtsbehörde war genannt, ohne dass das Aufsichtsregime beschrieben wurde, und in einzelnen Akten lag ein Chart mit dem Aktienkurs der Muttergesellschaft. Die Bank ging davon aus, dass über diese Konten vor allem Abwicklungen unter Banken liefen. Tatsächlich bedienten die Niederlassungen mehr als 250 Finanzinstitute, die keine Banken sind, darunter Money Services Businesses, deren Zahlungsflüsse mit einer Abwicklung von Bank zu Bank nichts gemein haben.

Richtig wäre gewesen: dasselbe Programm wie für jedes andere ausländische Finanzinstitut. Die Vorschrift kennt keine konzerninterne Ausnahme. Zweck und erwartete Aktivität verstehen, die Jurisdiktion und die Kunden hinter dem Konto beurteilen und die tatsächliche Aktivität daran messen. Fragen, wessen Geld durchfliesst, nicht nur, welche Art von Institut die direkte Gegenpartei ist.

Weil das System Aktivitäten über lange Zeiträume aggregierte, bevor ein Mensch sie ansah, ging ein erheblicher Teil der SARs erst mehr als sechs Monate nach der Aktivität an die FinCEN. Die Ermittler konnten die zugrunde liegende Aktivität teils nicht richtig prüfen, also waren auch die SARs selbst unvollständig. Der Lookback nach der Änderung des Schwellenwerts ergab über 8'000 SARs über rund USD 3,96 Milliarden. Bei 34 davon zeigten sich starke Hinweise auf Geldwäscherei: handelsbasierte Geldwäscherei mit Gegenparteien aus Hochrisikoländern, Korrespondenzüberweisungen mit Bezug zu einem russischen Petrochemieunternehmen in sanktioniertem Besitz und gestückelte Bareinzahlungen im Gesundheitswesen, die auf Leistungsbetrug hindeuten.

Richtig wäre gewesen: die Zeit vom ersten Indikator bis zur SAR als KPI, mit einer Toleranz. Aggregationsfenster dienen der Erkennung, sie dürfen sie nicht verzögern. Und eine Personalausstattung der Untersuchungen, die sich nach dem Volumen richtet, das Ihr Risiko erzeugt, nicht nach dem, das Ihr Budget vorsieht.

Streng genommen ist das kein Sanktionsfall. Die FinCEN setzt keine Sanktionsvorschriften durch. Das tut die OFAC, und deren Busse von USD 11 Millionen ist eine eigene Sache.

Der Sachverhalt ist aber voller Umgehungsrisiken, und die FinCEN sagt das auch. Die Überweisungen von Kunde A mit Bezug zu Nachbarländern Russlands erreichten rund um den Einmarsch im Februar 2022 Volumen von bis zu USD 1,7 Milliarden. Die FinCEN hatte im März und Juni 2022 und erneut 2023 Warnmitteilungen zur Umgehung russischer Sanktionen und Exportkontrollen veröffentlicht. Ab September 2022 liefen mehr als 18'000 Überweisungen über rund USD 850 Millionen durch, nach diesen Warnungen und nachdem die Compliance intern eskaliert hatte. Der eigene Massnahmenplan der Bank vom März 2023 sollte «den Empfang von Überweisungen aus sanktionierten Ländern durch die Bank beenden». Und unter den verspäteten SARs war eine zu Korrespondenzüberweisungen mit Bezug zu einem russischen Petrochemieunternehmen in sanktioniertem Besitz.

Die praktische Lesart: Sanktionsrisiko ist nicht nur ein Screening-Problem. Es ist auch ein Problem der Sorgfaltsprüfung und der Überwachung. Eine Zahlung kann jedes Screening bestehen und trotzdem in eine SAR gehören.

Die Bank muss auf eigene Kosten unabhängige Berater beiziehen, gegen deren Wahl die FinCEN ein Veto einlegen kann, und zwar für:

1. Einen SAR-Lookback von Januar 2022 bis zum Abschluss der Sanierung: Kreditkarten, Zahlungsinstrumente, grenzüberschreitende Überweisungen in Hochrisikoländer und die Event Groups, die nie untersucht wurden. Vorrangige Risiken sind die Südwestgrenze und Kartelle, chinesische Geldwäschereinetzwerke, Iran und Russland. Der Berater darf überwachte Modelle (Supervised Learning), Graphanalysen und Segmentierung einsetzen. Schlussbericht bis Dezember 2028, die SARs sind innerhalb von 90 Tagen danach fällig.
2. Wirksamkeitsprüfung der Verdachtsüberwachung: zuerst die Übergangskontrollen während der Sanierung, dann der Endzustand, mit Prüfbeginn bis Oktober 2027. Ausdrücklich erfasst sind Risikogewichte, Untersuchungen, die eigenen Tests und Korrekturmassnahmen der Bank, Personalausstattung, die Governance von Übersteuerungen und Whitelists sowie der Einsatz «verantwortungsvoller Innovation».
3. Wirksamkeitsprüfung der CDD und der Sorgfaltsprüfung bei ausländischen Korrespondenzbeziehungen, in zwei Runden, vor und nach dem Umsetzungsplan.
4. Eine Prüfung der Data Governance für BSA/AML-relevante Daten.

Zur Innovation: Die FinCEN ist offen für fortgeschrittene Analytik, verlangt aber überwachte Modelle, gelabelte Daten, Erklärbarkeit und Aufsicht. Ein Machine-Learning-Modell ersetzt keine Governance. Es braucht mehr davon.

1. Können Sie die Evidenz hinter jedem Schwellenwert und jedem Gewicht Ihrer Überwachung zeigen? «Expertenurteil» ist der Anfang, nicht das Ende.
2. Haben Sie eine schriftliche Toleranz für falsch negative Ergebnisse, und was passiert, wenn Sie sie überschreiten?
3. Welcher Anteil Ihrer Fälle beginnt mit Ihrer eigenen Erkennung und nicht mit externen Anfragen und Hinweisen? In welche Richtung bewegt er sich?
4. Ist jede Unterdrückungs-, Rescoring- oder Whitelist-Regel dokumentiert, einer verantwortlichen Person zugeordnet und getestet? Stützt sich eine davon auf eine CTR-Befreiung?
5. Haben Sie eine Abdeckungsmatrix von Produkten und Kanälen gegen Typologien? Welche Felder sind leer?
6. Wenn ein anderes Institut Sie zu einem bestimmten Muster anfragt: Testet jemand dieses Muster in Ihren Daten und hält das Ergebnis schriftlich fest?
7. Ergibt sich die Risikoeinstufung eines Kunden aus Ihren eigenen Daten, oder springt sie, sobald eine Vorladung eintrifft?
8. Erfasst Ihr Negative-News-Prozess auch die eigenen öffentlichen Pflichtmeldungen Ihrer Kunden?
9. Bei Kunden, die Sie gegen die Empfehlung der Compliance behalten: Wer hat das genehmigt, was wurde vereinbart, wer überprüft es, und bis wann?
10. Decken periodische Überprüfungen von Hochrisikokunden Geografie, Volumen und jedes Produkt ab, das der Kunde tatsächlich nutzt?
11. Wie lange dauert es bei Ihnen im Median vom ersten Indikator bis zur SAR, und wie weit reichen die Ausreisser?
12. Erhalten konzerninterne Korrespondenzkonten dieselbe Sorgfaltsprüfung wie solche von Dritten?