Douglas B. Trindade

Regulatorische Umsetzung

Nach der Gap-Analyse: Umsetzung eines regulatorischen Rahmenwerks in einem europäischen Finanzinstitut

Von der rechtlichen Anwendbarkeit zum Zielbetriebsmodell, zur Kontrollprüfung und zum belastbaren Maßnahmenabschluss.

Douglas B. Trindade · Rechtsstand geprüft: 8. November 2026

1. Den Anwendungsbereich vor der Lösung bestimmen

Eine Gap-Analyse ist eine Diagnose, noch kein Umsetzungsplan. Festgestellte Defizite müssen in ein ausführbares, prüfbares und dauerhaft tragfähiges Rahmenwerk überführt werden. Ausgangspunkt ist eine Anwendbarkeitsmatrix nach Rechtsträger, Zweigniederlassung, Jurisdiktion, regulierter Tätigkeit, Kundensegment und Produkt. Unmittelbare Pflichten, nationale Umsetzungsvorschriften, aufsichtliche Erwartungen und interne Gruppenstandards sind auseinanderzuhalten. Eine einheitliche Gruppenrichtlinie löst keinen ungeprüften Rechtskonflikt.

2. Rechtsumsetzung und betriebliche Implementierung trennen

Die Verordnung (EU) 2024/1624 (AMLR) gilt grundsätzlich ab dem 10. Juli 2027, vorbehaltlich der Ausnahmen in Artikel 90. Die Richtlinie (EU) 2024/1640 erfordert nach Artikel 78 eine nationale Umsetzung mit unterschiedlichen Fristen. AMLD6 bezeichnet hier diese Richtlinie von 2024. Institute implementieren einschlägige Anforderungen; Mitgliedstaaten setzen Richtlinien in nationales Recht um. Inkrafttreten, Anwendungsbeginn, nationale Umsetzung und interne Liefertermine gehören in getrennte Felder. Für britische und schweizerische Aktivitäten ist eine eigenständige Anwendbarkeitsanalyse erforderlich.

3. Rückverfolgbarkeit von Anforderungen zu Kontrollen herstellen

Jede prüfbare Verpflichtung erhält eine stabile Kennung und Verknüpfungen zur Rechtsquelle, Anwendbarkeitsbegründung, Richtlinienklausel, zum Prozessschritt, zur Kontrolle, Verantwortung und Evidenz. Die Artikel 9–11 AMLR betreffen interne Vorkehrungen, die unternehmensweite Risikobewertung und Compliance-Funktionen; Artikel 16 betrifft gruppenweite Anforderungen. Sie bilden rechtliche Bezugspunkte, schreiben jedoch nicht die hier vorgeschlagene Projektarchitektur vor. Versionskontrolle und Entscheidungsprotokoll ermöglichen die Neubewertung von Auslegungen bei geänderten Rechtsakten, technischen Standards oder Leitlinien.

4. Das Zielbetriebsmodell gestalten

Der Ist-Prozess wird durch Walkthroughs und Nachweise erhoben, einschließlich noch nicht dokumentierter Praktiken. Für den Soll-Prozess sind Entscheidungsbefugnisse, Kontrollfrequenz, Eskalationskriterien und Aufbewahrung der Nachweise festzulegen. Eine RACI-Matrix ist nur hilfreich, wenn sie tatsächliche Befugnisse und Kapazitäten abbildet. Operative Ausführung in der ersten Linie, unabhängige Beurteilung in der zweiten Linie und unabhängige Prüfungsleistungen sind zu unterscheiden. Bei zentralen Dienstleistungen müssen zentrale Prozesseigentümer und lokale Umsetzungspflichten klar benannt sein. Begründete lokale Abweichungen sind zu dokumentieren.

5. Nach Risiken und Abhängigkeiten priorisieren

Feststellungen lassen sich Auslegung, Richtlinien, Prozessen, Daten, Systemen, Governance oder Kontrollwirksamkeit zuordnen. Bewertet werden inhärentes Risiko, Restrisiko, regulatorische Kritikalität und Umsetzungsabhängigkeiten. Ein fehlendes Datenfeld zum wirtschaftlich Berechtigten kann Onboarding, regelmäßige Überprüfungen, Eskalation und Managementinformationen zugleich betreffen. Maßnahmen benötigen messbare Abnahmekriterien, Übergangskontrollen und Eskalationsauslöser. Eine Risikoakzeptanz hebt eine verbindliche Rechtspflicht nicht auf.

6. Nachweise systematisch konzipieren

Für jede Kontrolle sind Grundgesamtheit, Eingabedaten, Entscheidungslogik, Ausführungsnachweis und Ausnahmebehandlung festzulegen. Angemessenheit des Designs und operative Wirksamkeit werden getrennt bewertet. SQL kann Datenabstimmungen und Prüfungen referenzieller Integrität unterstützen; Python eignet sich für Dubletten-, Vollständigkeits- und Versionsprüfungen. KI kann Extraktion und mehrsprachige Vergleiche unterstützen. Quellenprüfung, Zugriffskontrollen, Vertraulichkeit und menschliche Validierung bleiben erforderlich. Ein fehlerfreies Dashboard ist kein hinreichender Compliance-Nachweis.

7. Abschluss anhand eines vereinbarten Evidenzstandards

Phasenfreigaben sollten Designgenehmigung, Implementierung, Tests und Abschluss unterscheiden. Das Nachweispaket verbindet Anforderung und ursprüngliche Lücke mit überarbeitetem Verfahren, Systemänderung, Schulung, Testergebnissen und verbleibenden Grenzen. Die zweite Linie prüft, ob die Schwachstelle behoben wurde, nicht lediglich, ob ein Dokument hochgeladen wurde. Managementberichte sollten wesentliche überfällige Maßnahmen, Abhängigkeiten, Ausnahmen und Restrisiken sowie erforderliche Entscheidungen transparent machen.

Der Leitgedanke

Ein wirksames Umsetzungsprogramm erhält eine durchgehende Verbindung zwischen rechtlicher Anforderung, operativem Handeln und prüfbaren Nachweisen. Verantwortung, Unsicherheit und Durchführung werden sichtbar. Das Institut muss erläutern können, was umgesetzt wurde und weshalb das Ergebnis als ausreichend beurteilt wird.

Primäre Rechtsquellen

  1. Regulation (EU) 2024/1624 — Articles 9–11, 16, 90.
  2. Directive (EU) 2024/1640 — Article 78.

Persönliche Fachanalyse. Beschrieben wird eine Umsetzungsmethodik, kein Arbeitgeberprojekt und keine Beurteilung der Compliance eines Instituts. Nationale Umsetzung und sich entwickelnde technische Standards sind gesondert zu prüfen.