Aufsichtsmeldung
Die Auslagerung ist vor Beginn der Dienstleisteraktivität der Aufsicht mitzuteilen.
AMLR Article Explorer · Art. 18 AMLR · Outsourcing
Art. 18 AMLR – Outsourcing
Die Auslagerungsnorm der AMLR für Service Provider, Sub-Outsourcing, Verantwortlichkeit, Aufsichtsmeldung, Drittstaatenrestriktionen und kritische AML/CFT-Funktionen.
Art. 18 der Verordnung (EU) 2024/1624 erlaubt Verpflichteten, Aufgaben aus der AMLR an Dienstleister auszulagern. Die Auslagerung ist der Aufsicht vor Aufnahme der ausgelagerten Tätigkeit durch den Dienstleister mitzuteilen.
Die Norm stellt zugleich klar: Auslagerung entbindet nicht von Verantwortung. Der Dienstleister gilt bei der Aufgabenerfüllung als Teil des Verpflichteten; der Verpflichtete bleibt vollständig verantwortlich für Handlungen und Unterlassungen im Zusammenhang mit ausgelagerten Aufgaben. Für jede ausgelagerte Aufgabe muss der Verpflichtete gegenüber der Aufsicht darlegen können, dass er Zweck, Vorgehensweise und risikomindernde Wirkung der Dienstleisteraktivität versteht.
Art. 18 enthält außerdem harte Grenzen: Bestimmte Kernentscheidungen dürfen grundsätzlich nicht ausgelagert werden, darunter die Vorlage und Genehmigung der unternehmensweiten Risikoanalyse, die Genehmigung interner Policies, die Risikoeinstufung des Kunden, die Entscheidung über Geschäftsbeziehung oder gelegentliche Transaktion, bestimmte Meldungen an die FIU sowie die Genehmigung von Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Aktivitäten.
Die Norm stellt zugleich klar: Auslagerung entbindet nicht von Verantwortung. Der Dienstleister gilt bei der Aufgabenerfüllung als Teil des Verpflichteten; der Verpflichtete bleibt vollständig verantwortlich für Handlungen und Unterlassungen im Zusammenhang mit ausgelagerten Aufgaben. Für jede ausgelagerte Aufgabe muss der Verpflichtete gegenüber der Aufsicht darlegen können, dass er Zweck, Vorgehensweise und risikomindernde Wirkung der Dienstleisteraktivität versteht.
Art. 18 enthält außerdem harte Grenzen: Bestimmte Kernentscheidungen dürfen grundsätzlich nicht ausgelagert werden, darunter die Vorlage und Genehmigung der unternehmensweiten Risikoanalyse, die Genehmigung interner Policies, die Risikoeinstufung des Kunden, die Entscheidung über Geschäftsbeziehung oder gelegentliche Transaktion, bestimmte Meldungen an die FIU sowie die Genehmigung von Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Aktivitäten.
Executive Overview
Art. 18 erlaubt Auslagerung, aber keine Verantwortungsverlagerung.
Die Vorschrift macht Outsourcing zu einem kontrollierten Governance-Prozess. Verpflichtete dürfen AMLR-Aufgaben auslagern, müssen die Aufsicht informieren, die Eignung des Dienstleisters prüfen, schriftliche Vereinbarungen schließen, Sub-Outsourcing steuern, regelmäßige Kontrollen durchführen und sicherstellen, dass Aufsicht und Nachverfolgbarkeit nicht beeinträchtigt werden.
Volle Verantwortung
Der Verpflichtete bleibt vollständig verantwortlich für Handlungen und Unterlassungen des Dienstleisters.
Kernentscheidungen geschützt
Bestimmte Risiko-, Policy-, Kunden- und Reportingentscheidungen dürfen grundsätzlich nicht ausgelagert werden.
AMLA Guidelines
AMLA soll bis 10.07.2027 Guidelines zu Outsourcing-Beziehungen und kritischen Funktionen veröffentlichen.
Outsourcing Control Architecture
Die regulatorische Logik von Art. 18 AMLR.
Art. 18 folgt einer Kontrollkette: Auslagerung identifizieren, Aufsicht vorab informieren, Dienstleisterqualifikation prüfen, schriftliche Vereinbarung schließen, Policies und Verfahren des Verpflichteten beim Dienstleister anwenden, Sub-Outsourcing kontrollieren, kritische Kernentscheidungen ausschließen, Third-Country-Restriktionen beachten und die Wirksamkeit regelmäßig prüfen.
1. Outsourcing ScopeAMLR-Aufgaben identifizieren, die an Dienstleister übertragen werden sollen.
2. Supervisor NotificationAufsicht informieren, bevor der Dienstleister die Aufgabe ausführt.
3. Service Provider ControlQualifikation, Eignung, Policies, Sub-Outsourcing und Vertrag steuern.
4. Retained ResponsibilityVerantwortung, Verständnis und Aufsichtsfähigkeit verbleiben beim Verpflichteten.
5. Critical Function GuardrailsNicht auslagerbare Kernentscheidungen und Third-Country-Grenzen beachten.
Requirements Map
Die Mindestlogik eines Art.-18-konformen Outsourcing Frameworks.
Art. 18 enthält konkrete Anforderungen an Meldung, Haftung, Dienstleisterstatus, Qualitätswahrung, nicht auslagerbare Aufgaben, Drittstaaten-Outsourcing, Spezialregelungen für bestimmte kollektive Anlageorganismen und künftige AMLA-Guidelines.
| Baustein nach Art. 18 AMLR | Regulatorischer Inhalt | Operative Bedeutung | TOM-/House-Bezug | Nachweisfokus |
|---|---|---|---|---|
| Auslagerungserlaubnis | Verpflichtete dürfen Aufgaben aus der AMLR an Dienstleister auslagern. | Outsourcing ist zulässig, aber nur innerhalb eines kontrollierten Governance-Rahmens. | Reliance, Outsourcing & Third-Party Framework | Outsourcing Inventory, Aufgabenbeschreibung, Legal Assessment. |
| Vorabmeldung an die Aufsicht | Die Aufsicht ist vor Beginn der Dienstleisteraktivität über die Auslagerung zu informieren. | Outsourcing wird zu einem formalen Aufsichtsereignis. | Supervisor Interface · Regulatory Change | Notification File, Meldedatum, Aufsichtskommunikation, Startdatum. |
| Dienstleister als Teil des Verpflichteten | Dienstleister gelten bei der Aufgabenerfüllung als Teil des Verpflichteten, auch bei Registerabfragen für CDD. | Der Dienstleister handelt funktional im AMLR-Kontrollraum des Verpflichteten. | Third-Party Governance · CDD | Vertrag, Rollenmodell, Zugriffsrechte, Registerzugriff, Prozessdokumentation. |
| Volle Verantwortlichkeit | Der Verpflichtete bleibt vollständig verantwortlich für Handlungen und Unterlassungen im Zusammenhang mit ausgelagerten Aufgaben. | Keine Delegation regulatorischer Verantwortung. | Governance & Verantwortlichkeit | Responsibility Matrix, Management Approval, Vertragsklauseln, Kontrollnachweise. |
| Verständnis- und Nachweispflicht | Für jede ausgelagerte Aufgabe muss der Verpflichtete Zweck, Vorgehensweise und risikomindernde Wirkung verstehen und gegenüber der Aufsicht darlegen können. | Black-Box-Outsourcing ist unzulässig. | Wirksamkeit nachweisen · Data & Evidence | Operating Model, Process Walkthroughs, Risk Rationale, Control Testing. |
| Keine materielle Qualitätsbeeinträchtigung | Auslagerung darf die Qualität der Policies, Verfahren und Kontrollen zur Einhaltung von AMLR und TFR nicht wesentlich beeinträchtigen. | Outsourcing darf keine Kontrollschwäche erzeugen. | Internal Controls · TFR Compliance | Pre-Outsourcing Assessment, Quality Controls, SLA, QA-Berichte. |
| Nicht auslagerbare Kernaufgaben | Bestimmte Aufgaben dürfen grundsätzlich nicht ausgelagert werden, darunter BWRA-Vorlage/-Genehmigung, Policy-Genehmigung, Kundenrisikoprofil, Beziehungsentscheidung, bestimmte FIU-/Threshold-Reports und Kriterienfreigabe für Verdachts-/Unusual-Detection. | Entscheidungs- und Governance-Kern bleibt intern. | Governance · Risk · CDD · Reporting | Retained Functions Register, Decision Rights Matrix, Approval Evidence. |
| Dienstleisterqualifikation | Vor Auslagerung muss sich der Verpflichtete vergewissern, dass der Dienstleister ausreichend qualifiziert ist. | Due Diligence des Service Providers ist zwingend. | Third-Party Due Diligence | Provider Assessment, Expertise, Ressourcen, Erfahrung, Referenzen. |
| Policies und Sub-Outsourcing | Dienstleister und nachgelagerte Sub-Outsourcing-Dienstleister müssen die Policies und Verfahren des Verpflichteten anwenden. | Sub-Outsourcing darf die Kontrollkette nicht unterbrechen. | Third-Party Chain Governance | Sub-Outsourcing Register, Vertragsklauseln, Policy Rollout, Kontrollrechte. |
| Schriftliche Vereinbarung | Die Bedingungen der Aufgabenerfüllung sind in einer schriftlichen Vereinbarung festzulegen. | Vertragliche Steuerung wird Bestandteil der AML/CFT-Kontrolle. | Legal & Contract Governance | Outsourcing Agreement, SLA, Audit Rights, Data Protection Clauses. |
| Regelmäßige Kontrollen | Der Verpflichtete muss regelmäßig kontrollieren, ob der Dienstleister Policies und Verfahren wirksam umsetzt; Frequenz richtet sich nach Kritikalität der Aufgabe. | Outsourcing benötigt laufende Überwachung und Testing. | Monitoring · Effectiveness | Kontrollplan, Prüfberichte, Findings, Re-Testing, Kritikalitätseinstufung. |
| Aufsichtsfähigkeit | Outsourcing darf die Fähigkeit der Aufsicht zur Überwachung und Nachverfolgung der Compliance nicht wesentlich beeinträchtigen. | Aufsichtszugriff, Nachvollziehbarkeit und Evidenz müssen erhalten bleiben. | Supervisory Readiness · Evidence Governance | Audit Trail, Datenzugriff, Dokumentationspflichten, Supervisory Access. |
| Drittstaatenrestriktion | Auslagerung an Dienstleister in bestimmten risikobehafteten Drittstaaten ist grundsätzlich ausgeschlossen, außer innerhalb der gleichen Gruppe und bei erfüllten Gruppen-, CDD- und Recordkeeping-Standards sowie Gruppenaufsicht. | Third-Country-Outsourcing ist stark eingeschränkt. | Third-Country Risk · Group Framework | Third-Country Check, Group Membership, Equivalence Evidence, Home-State Supervision. |
| Spezialregel für bestimmte kollektive Anlageorganismen | Unter engen Voraussetzungen können bestimmte kollektive Anlageorganismen ohne Rechtspersönlichkeit oder mit nur einem Verwaltungsrat einzelne grundsätzlich geschützte Aufgaben auslagern, sofern die Aufsicht nach Meldung zustimmt. | Spezialausnahme mit Aufsichtsgenehmigung und Dienstleisterbewertung. | Sector-Specific Governance | Supervisor Approval, Provider Resources, Erfahrung, Aktivitätskenntnis. |
| AMLA Guidelines | AMLA soll bis 10.07.2027 Guidelines zu Outsourcing-Beziehungen, Governance, Monitoring, Rollenverteilung und aufsichtlichen Erwartungen veröffentlichen. | Outsourcing Framework muss guideline-ready sein. | Regulatory Change · AMLA Readiness | Guideline Monitoring, Impact Assessment, Policy Update. |
Retained Functions Layer
Art. 18 schützt den Kern der AML/CFT-Verantwortung vor Auslagerung.
Der Verpflichtete darf sich externer Dienstleister bedienen, muss aber zentrale Entscheidungen intern behalten. Dazu gehören insbesondere die risikostrategische Steuerung, interne Regelwerksgenehmigung, Kundenrisikoeinstufung, Entscheidung über Geschäftsbeziehungen oder gelegentliche Transaktionen, bestimmte Meldungen an FIU bzw. Schwellenwertmeldungen und die Genehmigung von Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Aktivitäten.
- Risk Governance: Vorlage und Genehmigung der Business-wide Risk Assessment bleiben geschützt.
- Policy Governance: Genehmigung interner Policies, Verfahren und Kontrollen bleibt intern.
- Customer Decisions: Kundenrisikoprofil und Entscheidung über Beziehung oder Transaktion dürfen grundsätzlich nicht ausgelagert werden.
- Reporting Decisions: FIU- und bestimmte Schwellenwertmeldungen sind geschützt, mit enger Gruppen-Ausnahme.
- Detection Criteria: Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen und Aktivitäten bleiben genehmigungspflichtig im Verpflichteten.
TOM Mapping
Welche TOM-Ebenen Art. 18 AMLR beeinflusst.
Art. 18 wirkt auf Third-Party Governance, CDD, Reporting, Group Framework, Datenzugriff, Aufsichtsfähigkeit, Vertragsmanagement, Kontrolltesting und Regulatory Change.
Reliance, Outsourcing & Third Parties
- Outsourcing Inventory
- Provider Due Diligence
- Sub-Outsourcing
- Contract Governance
- Service Provider Monitoring
Governance & Verantwortlichkeit
- Retained Responsibility
- Decision Rights Matrix
- Management Approval
- Supervisor Notification
- Accountability Framework
Kundensorgfalt & Reporting
- CDD Support
- Central Register Access
- Customer Risk Decision
- FIU Reporting Guardrails
- Threshold Reports
Daten- & Nachweis-Governance
- Audit Trail
- Service Provider Records
- Data Protection
- Access Rights
- Supervisory Traceability
Group-Wide Framework
- Intra-Group Outsourcing
- Third-Country Restrictions
- Group Supervision
- Equivalent Standards
- Critical Function Oversight
Wirksamkeit nachweisen
- Provider Controls
- Regular Testing
- Criticality-Based Frequency
- Findings
- Remediation
Controls & Evidence
Welche Nachweise Art. 18 AMLR erzeugt.
Art. 18 ist hoch prüfungsrelevant, weil Outsourcing die operative Durchführung verlagert, aber Verantwortung, Kontrolle und Aufsichtsfähigkeit beim Verpflichteten verbleiben. Entscheidend sind vollständiges Outsourcing-Inventar, Vorabmeldung, Dienstleisterprüfung, Vertragsdokumentation, Kontrolltests und klare Abgrenzung nicht auslagerbarer Aufgaben.
| Nachweisbereich | Typische Evidenz | Prüfungsfrage |
|---|---|---|
| Outsourcing Inventory Evidence | Register ausgelagerter AMLR-Aufgaben, Dienstleister, Sub-Dienstleister, Kritikalität, Länder, Startdatum. | Sind alle AMLR-relevanten Auslagerungen vollständig erfasst? |
| Supervisor Notification Evidence | Vorabmeldung an Aufsicht, Kommunikationshistorie, Startfreigabe, Beginn der Dienstleisteraktivität. | Wurde die Aufsicht vor Beginn der ausgelagerten Tätigkeit informiert? |
| Provider Due Diligence Evidence | Qualifikation, Erfahrung, Ressourcen, AML/CFT-Kompetenz, technische Fähigkeiten, Referenzen. | Ist der Dienstleister ausreichend qualifiziert? |
| Written Agreement Evidence | Vertrag, SLA, Rollen, Pflichten, Kontrollrechte, Sub-Outsourcing-Regeln, Datenschutz, Exit-Regeln. | Sind Bedingungen der Aufgabenerfüllung schriftlich geregelt? |
| Retained Function Evidence | Matrix nicht auslagerbarer Aufgaben, Entscheidungsrechte, Freigaben, Governance-Protokolle. | Bleiben geschützte Kernentscheidungen intern? |
| Understanding Evidence | Prozessdokumentation, Rationale, Modell-/Tool-Verständnis, Risiko- und Kontrollwirkung, Walkthroughs. | Versteht der Verpflichtete Zweck, Ansatz und Risikominderung der Dienstleisteraktivität? |
| Monitoring Evidence | Regelmäßige Kontrollen, QA, Stichproben, Kritikalitätslogik, Findings, Maßnahmen, Re-Testing. | Wird die wirksame Umsetzung durch den Dienstleister regelmäßig überprüft? |
| Supervisory Traceability Evidence | Audit Trail, Datenzugriff, Dokumentationsstandards, Aufsichtszugriff, Prozessnachvollziehbarkeit. | Kann die Aufsicht die Compliance weiterhin überwachen und nachvollziehen? |
| Third-Country Outsourcing Evidence | Third-Country Check, Gruppenbezug, Gleichwertigkeit, Gruppenaufsicht, CDD-/Recordkeeping-Standards. | Sind Drittstaatenrestriktionen eingehalten? |
| Guideline Readiness Evidence | Monitoring der AMLA-Guidelines, Impact Assessment, Policy Update, Vertrags- und Kontrollanpassung. | Ist das Outsourcing Framework auf AMLA-Guidelines vorbereitet? |
Implementation Blueprint
Wie Art. 18 AMLR praktisch umgesetzt wird.
Die Umsetzung sollte als AML/CFT Outsourcing Control Framework erfolgen — mit vollständigem Inventar, Retained-Functions-Matrix, Aufsichtsmeldung, Provider Due Diligence, Vertragsstandard, Sub-Outsourcing-Steuerung, Third-Country-Prüfung und laufender Kontrolltestung.
1. Outsourcing Inventory erstellenAlle ausgelagerten und geplanten AMLR-Aufgaben einschließlich Dienstleister, Sub-Dienstleister, Standorte, Datenflüsse und Kritikalität erfassen.
2. Retained-Functions-Matrix definierenNicht auslagerbare Kernentscheidungen aus Art. 18 absichern und Entscheidungsrechte eindeutig intern verankern.
3. Aufsichtsmeldung operationalisierenVor Beginn jeder relevanten Auslagerung Meldedaten, Inhalt, Fristen, Nachweise und Kommunikationshistorie steuern.
4. Dienstleisterprüfung durchführenQualifikation, Ressourcen, Erfahrung, AML/CFT-Kompetenz, technische Fähigkeiten, Datenschutz und Kontrollfähigkeit bewerten.
5. Vertrag und Sub-Outsourcing absichernWritten Agreement mit Policies, Verfahren, Kontrollrechten, Sub-Outsourcing-Regeln, Audit Trail, Datenzugriff und Exit-Rechten etablieren.
6. Third-Country-Grenzen prüfenAuslagerungen in risikobehaftete Drittstaaten gegen Art.-18-Voraussetzungen, Gruppenbezug und Aufsichtsvorgaben mappen.
7. Laufendes Monitoring und Testing etablierenKontrollfrequenz nach Kritikalität festlegen, Dienstleisterleistung testen, Findings dokumentieren und Remediation nachhalten.
8. AMLA-Guideline-Readiness sichernAMLA-Guidelines bis 10.07.2027 beobachten und Governance, Verträge, Rollenverteilung und Monitoring entsprechend aktualisieren.
Next Deep Dives
Nächste logische Artikel-Vertiefungen.
Art. 18 schließt den Governance-Cluster ab und leitet in den CDD-Cluster ein. Die folgenden Artikel hängen unmittelbar mit Outsourcing, Reliance und operativer CDD zusammen.
Art. 19 – Application of CDD Measures
Art. 19 eröffnet die operativen Kundensorgfaltspflichten, die teilweise durch Dienstleister unterstützt werden können.
Art. 48–50 – Reliance on Other Obliged Entities
Reliance ist vom Outsourcing abzugrenzen und folgt einer eigenen AMLR-Logik.
Art. 16 – Group-wide Requirements
Art. 16 ist besonders relevant für gruppeninterne Outsourcing- und Informationsaustauschmodelle.
Art. 18 ist die Outsourcing-Norm des AMLR-Governance-Clusters.
Die Vorschrift verbindet Dienstleistersteuerung, Aufsichtsmeldung, volle Verantwortung, nicht auslagerbare Kernentscheidungen, Drittstaatenrestriktionen, Sub-Outsourcing, Kontrolltesting und AMLA-Guideline-Readiness zu einem integrierten AML/CFT Outsourcing Framework.
Quellenbasis dieser Seite:
Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, insbesondere Art. 18 „Outsourcing“. Art. 18 erlaubt die Auslagerung von AMLR-Aufgaben an Dienstleister, verlangt eine Vorabmeldung an die Aufsicht, ordnet Dienstleister funktional dem Verpflichteten zu, belässt die volle Verantwortung beim Verpflichteten, schützt bestimmte Kernentscheidungen vor Auslagerung, verlangt Dienstleisterqualifikation, schriftliche Vereinbarung, regelmäßige Kontrollen, Wahrung der Aufsichtsfähigkeit, besondere Drittstaatenrestriktionen und enthält ein AMLA-Guideline-Mandat bis 10.07.2027.
Berücksichtigter Kontext: Art. 9 AMLR zu internen Policies, Verfahren und Kontrollen; Art. 10 AMLR zur Business-wide Risk Assessment; Art. 16 AMLR zu gruppenweiten Anforderungen; Art. 17 AMLR zu Drittstaaten-Zweigstellen und Tochterunternehmen; Art. 19 ff. AMLR zu Kundensorgfaltspflichten; Art. 48 bis 50 AMLR zu Reliance; Art. 69, 74 und 80 AMLR zu Meldepflichten und Schwellenwertberichten; Richtlinie (EU) 2024/1640 zu zentralen Registern und Aufsicht.
Diese Seite stellt eine fachliche Analyse-, Mapping- und Transformationsdarstellung dar. Sie ersetzt keinen amtlichen Rechtstext, keine Rechtsberatung und keine verbindliche Aufsichtsauslegung.
Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, insbesondere Art. 18 „Outsourcing“. Art. 18 erlaubt die Auslagerung von AMLR-Aufgaben an Dienstleister, verlangt eine Vorabmeldung an die Aufsicht, ordnet Dienstleister funktional dem Verpflichteten zu, belässt die volle Verantwortung beim Verpflichteten, schützt bestimmte Kernentscheidungen vor Auslagerung, verlangt Dienstleisterqualifikation, schriftliche Vereinbarung, regelmäßige Kontrollen, Wahrung der Aufsichtsfähigkeit, besondere Drittstaatenrestriktionen und enthält ein AMLA-Guideline-Mandat bis 10.07.2027.
Berücksichtigter Kontext: Art. 9 AMLR zu internen Policies, Verfahren und Kontrollen; Art. 10 AMLR zur Business-wide Risk Assessment; Art. 16 AMLR zu gruppenweiten Anforderungen; Art. 17 AMLR zu Drittstaaten-Zweigstellen und Tochterunternehmen; Art. 19 ff. AMLR zu Kundensorgfaltspflichten; Art. 48 bis 50 AMLR zu Reliance; Art. 69, 74 und 80 AMLR zu Meldepflichten und Schwellenwertberichten; Richtlinie (EU) 2024/1640 zu zentralen Registern und Aufsicht.
Diese Seite stellt eine fachliche Analyse-, Mapping- und Transformationsdarstellung dar. Sie ersetzt keinen amtlichen Rechtstext, keine Rechtsberatung und keine verbindliche Aufsichtsauslegung.