Schriftliche Regelwerke
Interne Policies, Verfahren und Kontrollen müssen schriftlich dokumentiert und auf geeigneter Ebene genehmigt werden.
AMLR Article Explorer · Art. 9 AMLR · Internal Policies, Procedures and Controls
Art. 9 AMLR – Scope of internal policies, procedures and controls
Die zentrale Governance-Norm der AMLR für interne Regelwerke, Verfahren, Kontrollen, Audit, Training, Daten, Outsourcing und Sanktionsrisiken.
Art. 9 der Verordnung (EU) 2024/1624 verpflichtet Verpflichtete, interne Policies, Verfahren und Kontrollen einzurichten, um die Einhaltung der AMLR, der Verordnung (EU) 2023/1113 und aufsichtlicher Verwaltungsakte sicherzustellen.
Die Norm ist der operative Bauplan für das interne AML/CFT-Kontrollsystem. Sie verlangt nicht nur klassische AML-Policies, sondern ein umfassendes Framework aus Business-wide Risk Assessment, Risikomanagement, Customer Due Diligence, PEP-Erkennung, Verdachtsmeldungen, Outsourcing, Reliance, Recordkeeping, Datenschutz, Deficiency Management, Staff Integrity, interner Kommunikation, Training, internen Kontrollen und unabhängiger Audit-Funktion.
Für das EU AML/CTF & Sanctions Target Operating Model ist Art. 9 die verbindende Schicht zwischen Risikoanalyse, Governance, operativen Prozessen, Kontrollarchitektur, Daten-Governance, Sanktionsrisiken und Wirksamkeitsnachweis.
Die Norm ist der operative Bauplan für das interne AML/CFT-Kontrollsystem. Sie verlangt nicht nur klassische AML-Policies, sondern ein umfassendes Framework aus Business-wide Risk Assessment, Risikomanagement, Customer Due Diligence, PEP-Erkennung, Verdachtsmeldungen, Outsourcing, Reliance, Recordkeeping, Datenschutz, Deficiency Management, Staff Integrity, interner Kommunikation, Training, internen Kontrollen und unabhängiger Audit-Funktion.
Für das EU AML/CTF & Sanctions Target Operating Model ist Art. 9 die verbindende Schicht zwischen Risikoanalyse, Governance, operativen Prozessen, Kontrollarchitektur, Daten-Governance, Sanktionsrisiken und Wirksamkeitsnachweis.
Executive Overview
Art. 9 ist die interne Architekturvorschrift des AMLR-Systems.
Art. 9 definiert, was ein Verpflichteter intern organisatorisch, prozessual und kontrollseitig vorhalten muss. Die Norm verbindet ML/TF-Risiken, gezielte finanzielle Sanktionen, CDD, PEP, Reporting, Outsourcing, Reliance, Datenschutz, Training, Audit und Deficiency Management zu einem zusammenhängenden Compliance Framework.
Risk-Based Framework
Die Ausgestaltung muss proportional zu Art, Risiko, Komplexität und Größe des Verpflichteten sein.
Sanktionsrisiken
Neben AML/CFT-Risiken müssen auch Risiken der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen gemanagt werden.
Independent Testing
Interne Kontrollen und eine unabhängige Audit-Funktion oder externe Expertise müssen Policies, Verfahren und Kontrollen testen.
Policy & Control Architecture
Die regulatorische Logik von Art. 9 AMLR.
Art. 9 folgt einer vollständigen Internal-Control-System-Logik: Risiken identifizieren, Policies und Verfahren definieren, Kontrollen einrichten, Rollen und Personal absichern, Schulung und Kommunikation sicherstellen, Schwächen erkennen, Maßnahmen umsetzen und Wirksamkeit unabhängig testen.
1. Risk BasisML/TF- und Sanktionsrisiken als Ausgangspunkt der internen Architektur.
2. PoliciesSchriftliche interne Policies und Verfahren für zentrale AMLR-Bereiche.
3. ControlsInterne Kontrollen zur Überwachung, Deficiency-Erkennung und Remediation.
4. PeopleIntegrität, Schulung, interne Kommunikation und Rollenbefähigung.
5. AssuranceUnabhängige Audit-Funktion oder externer Experte zur Wirksamkeitsprüfung.
Control Map
Die Mindestbereiche interner Policies, Verfahren und Kontrollen nach Art. 9.
Art. 9 ist besonders wertvoll, weil er die zentralen Bausteine eines AML/CFT-Kontrollsystems ausdrücklich benennt. Daraus lässt sich ein vollständiges Policy- und Control Inventory ableiten.
| Baustein nach Art. 9 AMLR | Regulatorischer Inhalt | Operative Bedeutung | TOM-/House-Bezug | Nachweisfokus |
|---|---|---|---|---|
| Business-wide Risk Assessment | Durchführung und Aktualisierung der unternehmensweiten Risikoanalyse. | Risk Assessment ist nicht nur Art. 10-Thema, sondern Kernbestandteil der internen Policies. | Risikoanalyse & Risikosteuerung | BWRA-Methodik, Updates, Managementfreigabe, Risk Register. |
| Risk Management Framework | Risikomanagementrahmen des Verpflichteten. | Umsetzung der BWRA-Ergebnisse in Maßnahmen, Kontrollen und Steuerung. | Governance · Risk · Controls | Risk Appetite, Kontrollmatrix, Verantwortlichkeiten, Reporting. |
| Customer Due Diligence | CDD-Verfahren zur Umsetzung von Kapitel III AMLR, einschließlich PEP-/Family-/Close-Associate-Prüfung. | CDD, BO, PEP und Review-Prozesse müssen in Policies und Verfahren abgebildet sein. | CDD · EDD / PEP | KYC Policy, PEP Screening, BO-Prüfung, Onboarding-Prozess. |
| Suspicious Transaction Reporting | Verfahren zur Meldung verdächtiger Transaktionen. | Investigation, Eskalation, FIU-Reporting und Tipping-off Controls brauchen klare Prozesse. | Monitoring, Detection & Reporting | STR/SAR-Prozess, Case Files, FIU-Nachweise, Entscheidungslog. |
| Outsourcing & Reliance | Outsourcing sowie Rückgriff auf CDD, die von anderen Verpflichteten durchgeführt wurde. | Drittparteiensteuerung, Reliance, Outsourcing und Kontrollrechte müssen geregelt sein. | Reliance & Third-Party Framework | Outsourcing Register, Reliance Agreements, QA, Third-Party Controls. |
| Record Retention & Data Processing | Aufbewahrung und Policies zur Verarbeitung personenbezogener Daten nach Art. 76 und 77. | Daten, Löschung, Archivierung und Audit Trail müssen systematisch gesteuert werden. | Daten- & Nachweis-Governance | Retention Policy, Löschkonzept, Datenschutzprüfung, Evidence Repository. |
| Monitoring, Deficiencies & Remediation | Überwachung der Einhaltung interner Policies, Identifikation und Management von Schwächen sowie Remediation. | Findings müssen erkannt, priorisiert, behoben und nachgetestet werden. | Wirksamkeit nachweisen | Findings Register, Maßnahmenpläne, Fristen, Re-Testing, Management Reporting. |
| Staff, Agents & Distributors Integrity | Risikoproportionale Prüfung guter Reputation bei Rekrutierung, Aufgabenübertragung sowie Bestellung von Agenten und Distributoren. | Personen mit AML/CFT-relevanten Rollen müssen integer und geeignet sein. | People · Third-Party Governance | Fit-&-Proper-Prozess, Screening, Rollenprofil, Agent-/Distributor-Prüfung. |
| Internal Communication | Interne Kommunikation der Policies, Verfahren und Kontrollen, auch an Agenten, Distributoren und Service Provider. | Regelwerke müssen tatsächlich bekannt und anwendbar sein. | Governance · Training · Third Parties | Kommunikationsnachweise, Intranet, Bestätigungen, Rollout-Protokolle. |
| Training Policy | Training von Beschäftigten sowie ggf. Agenten und Distributoren zu AMLR, TFR und aufsichtlichen Anforderungen. | Schulung wird zu einem kontrollierten Befähigungsprozess. | Awareness · People · Effectiveness | Trainingsplan, Teilnahme, Rollenmodule, Tests, Wiederholungsschulungen. |
| Internal Controls & Independent Audit | Interne Kontrollen und unabhängige Audit-Funktion zur Prüfung von Policies, Verfahren und Kontrollen; alternativ externer Experte. | Das AML/CFT-System muss unabhängig getestet werden. | Assurance · Wirksamkeit nachweisen | Audit Plan, Testberichte, externe Prüfungen, Findings, Remediation. |
Approval & Governance Layer
Art. 9 verlangt klare Genehmigungs- und Aktualisierungslogik.
Die internen Policies, Verfahren und Kontrollen müssen schriftlich dokumentiert sein. Interne Policies sind vom Management Body in seiner Leitungsfunktion zu genehmigen. Interne Verfahren und Kontrollen müssen mindestens auf Ebene des Compliance Managers genehmigt werden. Außerdem müssen Verpflichtete ihre Policies, Verfahren und Kontrollen aktuell halten und verbessern, wenn Schwächen festgestellt werden.
- Schriftlichkeit: Policies, Verfahren und Kontrollen müssen dokumentiert sein.
- Management Approval: interne Policies benötigen Genehmigung durch das Leitungsorgan in Leitungsfunktion.
- Compliance Manager Approval: Verfahren und Kontrollen sind mindestens auf Compliance-Manager-Ebene zu genehmigen.
- Aktualität: Regelwerke müssen aktuell gehalten und bei Schwächen verbessert werden.
- AMLA Guidelines: AMLA muss bis 10.07.2026 Guidelines zur Ausgestaltung interner Policies, Verfahren und Kontrollen veröffentlichen.
TOM Mapping
Welche TOM-Ebenen Art. 9 AMLR beeinflusst.
Art. 9 ist eine Querschnittsnorm. Sie wirkt auf Governance, Risikoanalyse, CDD, Reporting, Outsourcing, Reliance, Daten, Personal, Training, Kontrollen, Audit und Wirksamkeitsnachweise.
Governance & Verantwortlichkeit
- Policy Framework
- Management Approval
- Compliance Manager Approval
- Deficiency Management
- Regulatory Accountability
Risikoanalyse & Risikosteuerung
- BWRA
- Risk Management Framework
- Union / Member State / Entity Risks
- Sanctions Evasion Risk
- Control Calibration
Kundensorgfalt & EDD
- CDD Procedures
- BO Identification
- PEP / Family / Close Associate Checks
- Ongoing Monitoring
- Risk-Based Reviews
Monitoring, Detection & Reporting
- Suspicious Transaction Reporting
- Case Escalation
- FIU Interface
- Alert Handling
- Tipping-off Controls
Reliance, Outsourcing & Third Parties
- Outsourcing Governance
- Reliance Framework
- Agent Integrity
- Distributor Controls
- Service Provider Communication
Daten, Training & Assurance
- Record Retention
- Personal Data Processing
- Training Policy
- Internal Controls
- Independent Audit
Controls & Evidence
Welche Nachweise Art. 9 AMLR erzeugt.
Art. 9 ist besonders prüfungsrelevant, weil die Norm das gesamte interne AML/CFT-Kontrollsystem greifbar macht. Aufsicht, Revision und externe Prüfer werden insbesondere prüfen, ob Regelwerke schriftlich, aktuell, genehmigt, kommuniziert, getestet und bei Schwächen verbessert werden.
| Nachweisbereich | Typische Evidenz | Prüfungsfrage |
|---|---|---|
| Policy Inventory | AML/CFT Policy, CDD Policy, EDD/PEP Policy, Reporting Policy, Outsourcing/Reliance Policy, Data/Retention Policy. | Deckt das Policy Framework alle in Art. 9 genannten Bereiche ab? |
| Approval Evidence | Management-Body-Beschlüsse, Compliance-Manager-Freigaben, Versionshistorie, Genehmigungsworkflow. | Sind Policies, Verfahren und Kontrollen auf der richtigen Ebene genehmigt? |
| Risk Alignment Evidence | Mapping BWRA zu Policies, Controls, Monitoring-Szenarien, Trainingsplänen und Ressourcen. | Sind interne Regelwerke proportional zu Risiko, Komplexität und Größe? |
| Sanctions Risk Evidence | Controls gegen Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen, Screening-Prozesse, Escalation Rules. | Werden Sanktionsrisiken ausdrücklich mitgesteuert? |
| Deficiency & Remediation Evidence | Findings Register, Root Cause, Maßnahmenplan, Owner, Fristen, Re-Testing, Abschlussnachweis. | Werden Schwächen erkannt, gesteuert und wirksam behoben? |
| Staff / Agent / Distributor Integrity Evidence | Reputationsprüfungen, Rollenprofile, Screening, Onboarding-Unterlagen, Agenten-/Distributor-Prüfung. | Sind relevante Personen und Drittparteien risikoproportional geprüft? |
| Communication & Training Evidence | Policy Rollout, Kommunikationsnachweise, Trainingspläne, Teilnahmequoten, Wissenstests. | Sind interne Regeln bekannt, verstanden und anwendbar? |
| Independent Testing Evidence | Audit Plan, Kontrolltests, externe Expertenberichte, Findings, QA, Management Reporting. | Wird die Wirksamkeit der Policies, Verfahren und Kontrollen unabhängig getestet? |
Implementation Blueprint
Wie Art. 9 AMLR praktisch umgesetzt wird.
Die Umsetzung sollte als vollständiges AML/CFT Internal-Control-System erfolgen — mit Policy Inventory, Kontrollmatrix, Genehmigungslogik, Deficiency Management, Training, Audit und AMLA-Guideline-Readiness.
1. Policy & Control Inventory erstellenAlle Art.-9-Bereiche in einem zentralen Register erfassen: BWRA, Risk Framework, CDD, Reporting, Outsourcing, Reliance, Data, Training, Controls und Audit.
2. Risk-Based Calibration durchführenPolicies, Verfahren und Kontrollen an Art, Risiko, Komplexität, Größe und Aktivitäten des Verpflichteten ausrichten.
3. Approval Governance etablierenManagement-Body-Genehmigung für Policies und Compliance-Manager-Genehmigung für Verfahren und Kontrollen dokumentieren.
4. Sanctions Risk integrierenRisiken der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen in Policies, Controls, Screening, Monitoring und Reporting aufnehmen.
5. Deficiency Management operationalisierenSchwächen, Findings, Maßnahmen, Owner, Fristen, Re-Testing und Management Reporting in einem kontrollierten Prozess steuern.
6. Independent Assurance sicherstellenInterne Audit-Funktion oder externer Experte testet Policies, Verfahren und Kontrollen regelmäßig und risikoorientiert.
Next Deep Dives
Nächste logische Artikel-Vertiefungen.
Art. 9 eröffnet den Governance- und Internal-Control-Cluster. Die folgenden Artikel konkretisieren Risikoanalyse, Compliance-Funktion und Awareness.
Art. 10 – Business-wide Risk Assessment
Art. 10 konkretisiert die Risikoanalyse, die Art. 9 als Teil der internen Policies verlangt.
Art. 11 – Compliance Functions
Art. 11 regelt Compliance Manager, Compliance Officer, Ressourcen, Unabhängigkeit und Reporting.
Art. 12 – Awareness of Requirements
Art. 12 ergänzt Art. 9 um Awareness, Schulung und Befähigung der relevanten Personen.
Art. 9 ist die zentrale Internal-Control-Norm des AMLR-Governance-Clusters.
Die Vorschrift verbindet Risikoanalyse, CDD, Reporting, Outsourcing, Reliance, Recordkeeping, Datenschutz, Training, Deficiency Management, Sanktionsrisiken und Audit zu einem integrierten AML/CFT-Kontrollsystem.
Quellenbasis dieser Seite:
Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, insbesondere Art. 9 „Scope of internal policies, procedures and controls“. Art. 9 verlangt interne Policies, Verfahren und Kontrollen zur Einhaltung der AMLR, der Verordnung (EU) 2023/1113 und aufsichtlicher Verwaltungsakte; erfasst sind insbesondere Risikoanalyse, Risikomanagement, CDD einschließlich PEP-Prüfung, Verdachtsmeldungen, Outsourcing, Reliance, Recordkeeping, Datenschutz, Deficiency Management, Integritätsprüfung, interne Kommunikation, Training, interne Kontrollen und unabhängige Audit-Funktion.
Berücksichtigter Kontext: Art. 10 AMLR zur Business-wide Risk Assessment; Art. 11 AMLR zu Compliance-Funktionen; Art. 12 AMLR zu Awareness; Art. 16 AMLR zu gruppenweiten Anforderungen; Art. 76 und 77 AMLR zu Datenverarbeitung und Aufbewahrung; Verordnung (EU) 2023/1113 zur Transfer-of-Funds-Regulierung; AMLA-Guidelines-Mandat nach Art. 9(4) bis 10.07.2026.
Diese Seite stellt eine fachliche Analyse-, Mapping- und Transformationsdarstellung dar. Sie ersetzt keinen amtlichen Rechtstext, keine Rechtsberatung und keine verbindliche Aufsichtsauslegung.
Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, insbesondere Art. 9 „Scope of internal policies, procedures and controls“. Art. 9 verlangt interne Policies, Verfahren und Kontrollen zur Einhaltung der AMLR, der Verordnung (EU) 2023/1113 und aufsichtlicher Verwaltungsakte; erfasst sind insbesondere Risikoanalyse, Risikomanagement, CDD einschließlich PEP-Prüfung, Verdachtsmeldungen, Outsourcing, Reliance, Recordkeeping, Datenschutz, Deficiency Management, Integritätsprüfung, interne Kommunikation, Training, interne Kontrollen und unabhängige Audit-Funktion.
Berücksichtigter Kontext: Art. 10 AMLR zur Business-wide Risk Assessment; Art. 11 AMLR zu Compliance-Funktionen; Art. 12 AMLR zu Awareness; Art. 16 AMLR zu gruppenweiten Anforderungen; Art. 76 und 77 AMLR zu Datenverarbeitung und Aufbewahrung; Verordnung (EU) 2023/1113 zur Transfer-of-Funds-Regulierung; AMLA-Guidelines-Mandat nach Art. 9(4) bis 10.07.2026.
Diese Seite stellt eine fachliche Analyse-, Mapping- und Transformationsdarstellung dar. Sie ersetzt keinen amtlichen Rechtstext, keine Rechtsberatung und keine verbindliche Aufsichtsauslegung.