VARA, FCA und HKMA signalisieren eine neue Ära der Echtzeit-Geldwäscheaufsicht

Drei der einflussreichsten Krypto- und Finanzaufsichtsbehörden der Welt haben innerhalb weniger Wochen nahezu identische Argumente vorgebracht: Das Modell der Aufsicht mit vierteljährlichen Inspektionen und periodischer Berichterstattung ist überholt. An seiner Stelle bauen die Aufsichtsbehörden in Dubai, London und Hongkong auf eine kontinuierliche, KI-gestützte Echtzeit-Überwachung des Finanzsektors. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs, die auf Krypto-Buchhaltungssoftware und periodische Compliance-Zyklen angewiesen sind, ist dies keine ferne politische Vision. Es ist ein operatives Signal, das sofortige Aufmerksamkeit erfordert.

Was die Aufsichtsbehörden tatsächlich gesagt haben

Die Konvergenz der Ansichten über drei geografisch unterschiedliche Regulierungsbehörden hinweg ist bemerkenswert, und es lohnt sich, im Detail durchzugehen, was jede Behörde zu Protokoll gegeben hat.

VARA (Dubai): Programmierbare Compliance statt Regel-Engines

Die Virtual Assets Regulatory Authority, 2022 als weltweit erste auf Kryptowerte spezialisierte Regulierungsbehörde gegründet, hat die deutlichste Kritik an der traditionellen Aufsicht geäußert. In einem öffentlichen Artikel beschrieb der Leiter von VARA das Kernproblem klar: Man kann einen rund um die Uhr aktiven, grenzüberschreitenden Smart Contract nicht durch eine vierteljährliche Inspektion prüfen und ein autonomes Kreditprotokoll nicht durch Papierkram überwachen.

Die Alternative, auf die VARA abzielt, umfasst On-Chain-Prüfungen, die Stichprobenprüfungen ersetzen, Echtzeit-Überwachung, die nachträgliche Berichterstattung ersetzt, und programmierbare Compliance, die regelbasierte Workflows ersetzt. Dies sind keine vagen Visionen. Sie beschreiben einen strukturellen Wandel dessen, was regulierte Unternehmen nachweisen müssen und zu welchem Zeitpunkt.

Der Leiter von VARA skizzierte auch eine Zwei-Wellen-Zeitleiste für den KI-gesteuerten Wandel. Kurzfristig, innerhalb von etwa zwei Jahren, sollte KI es regulierten Unternehmen ermöglichen, Fehlalarme in AML/CFT-Überwachungsmeldungen deutlich zu reduzieren, wodurch Compliance-Ressourcen für wirklich risikoreiche Aktivitäten frei werden. Gleichzeitig werden die Aufsichtsbehörden KI nutzen, um Zulassungsprüfungen zu beschleunigen und dem Privatsektor schnelleres Feedback zu geben. Über einen Fünfjahreszeitraum hinweg verändert sich das Aufsichtsmodell vollständig: Periodische Dateneinreichungen weichen Live-Datenströmen, und stichprobenbasierte Prüfungen weichen einer kontinuierlichen, KI-gestützten Risikoerkennung im gesamten Sektor.

Entscheidend ist, dass der Leiter von VARA die menschliche Verantwortlichkeit für KI-generierte Ergebnisse als das Haupthindernis für diesen Übergang identifizierte. Rechtsordnungen, die diese Frage proaktiv klären, würden, so argumentierte er, einen erheblichen Wettbewerbsvorteil erlangen.

FCA und Bank of England: Agentischer Handel verändert alles

Am 24. Juni sprach der CEO der britischen Financial Conduct Authority über die beiden Entwicklungen des agentischen Handels und der Tokenisierung und erklärte, dass die FCA überdenkt, was es bedeutet, im Zeitalter der KI eine wirksame Regulierungsbehörde zu sein. Die FCA prüft die Echtzeit-Überwachung von Marktmanipulation und andere aufsichtsrechtliche Anwendungen von KI-generierten Datenanalysen.

Der FCA-CEO gab offen zu, dass traditionelle Regelsetzung in einigen Bereichen nicht funktionieren wird. Einige Bereiche werden weiterhin detaillierte Regeln erfordern. Andere werden ein Stewardship-Modell erfordern, bei dem die Regulierungsbehörde kooperativ mit Unternehmen zusammenarbeitet, um den technologischen Wandel zu bewältigen, und möglicherweise handelt, bevor die Gesetzgebung nachzieht. Um dies zu unterstützen, plant die FCA, bestehende Initiativen, darunter ihr KI-Labor, den Supercharged Sandbox und das KI-Konsortium, zu erweitern, mit zusätzlichen Programmen, die es Unternehmen ermöglichen, KI unter aufsichtlicher Kontrolle zu testen und einzusetzen.

Der für Finanzstabilität zuständige stellvertretende Gouverneur der Bank of England äußerte am 30. Juni ein aufsichtsspezifisches Bedenken: Bestehende Rahmenwerke wurden nicht für die Betrachtung autonomer Agenten entwickelt, und die Forderung nach einem menschlichen Eingreifen bei jeder Handlung eines Agenten sei im großen Maßstab wahrscheinlich nicht realistisch. Es werden anspruchsvollere Rechenschaftsrahmen benötigt.

Diese Äußerungen bilden den Kontext für eine vom FCA-Vorstand in Auftrag gegebene Überprüfung, die am 6. Juli veröffentlicht wurde. Erstellt von einem FCA-Exekutivdirektor, empfiehlt die Überprüfung, dass Großbritannien ein KI-gestütztes agentisches Aufsichtsmodell aufbaut und übernimmt. Das beschriebene praktische Ergebnis ist ein Wechsel von periodischer Berichterstattung hin zu kontinuierlichen, ereignisgesteuerten Daten- und Informationsflüssen, mit dem expliziten Ziel, die Aktualität zu verbessern und gleichzeitig die Belastung der Unternehmen durch Ad-hoc-Datenanfragen zu verringern.

HKMA: Von Produktivitätswerkzeug zu strategischem Intelligence-Partner

Die Hong Kong Monetary Authority hat einen Bericht darüber veröffentlicht, wie Banken in Hongkong derzeit KI in der AML/CFT-Compliance einsetzen, zusammen mit ihrer Vision für die zukünftige Entwicklung der Technologie. Der aktuelle Stand, so räumt die HKMA ein, sei weitgehend effizienzorientiert: bessere Alarmpriorisierung, weniger aufwändige manuelle Prüfung. Die HKMA möchte, dass die Unternehmen weitergehen und KI für eine frühzeitige Bedrohungserkennung, komplexere Entscheidungsfindung und die proaktive Bekämpfung von Finanzkriminalität einsetzen.

Die HKMA beschreibt ihr Ziel als die Förderung eines Wandels von KI als Produktivitätswerkzeug zu KI als strategischem Intelligence-Partner. Um dies zu erreichen, muss die Behörde gezielt mit regulierten Unternehmen zusammenarbeiten, um die Erwartungen an die Rechenschaftspflicht und Governance von KI-Systemen zu klären – ein nahezu identisches Thema, das sowohl VARA als auch die FCA unabhängig voneinander angesprochen haben.

Das Muster über drei Rechtsordnungen hinweg

Gemeinsame Themen, die für Compliance-Teams relevant sind

Zusammengelesen enthalten der VARA-Artikel, die Juni-Rede des FCA-CEOs, die Bemerkungen des stellvertretenden Gouverneurs der Bank of England, die Mills-Überprüfung und der HKMA-Bericht vier konsistente Themen, die Wirtschaftsprüfungsgesellschaften und CFOs als koordinierte regulatorische Entwicklungsrichtung behandeln sollten.

Erstens wird die periodische Berichterstattung ersetzt. Alle drei Aufsichtsbehörden bewegen sich explizit auf kontinuierliche oder ereignisgesteuerte Datenflüsse zu. Das Modell der vierteljährlichen Einreichungen und jährlichen Prüfungen der AML/CFT-Compliance ist das spezifische Ziel dieser Kritik.

Zweitens ist die Echtzeit-Überwachung das Ziel. Die Aufsichtsbehörden wollen Live-Ansichten sektorweiter Risiken, keine retrospektiven Momentaufnahmen. Dies impliziert, dass regulierte Unternehmen in der Lage sein müssen, strukturierte, maschinenlesbare Daten auf Abruf und nahezu in Echtzeit zu produzieren.

Drittens ist die menschliche Verantwortlichkeit für KI-Outputs ungelöst und das kritische Hindernis. VARA, die FCA und die HKMA haben dies jeweils unabhängig voneinander angemerkt. Bis die Rechenschaftsrahmen geklärt sind, tragen Unternehmen, die KI in Compliance-Workflows einsetzen, Governance-Risiken, die die Aufsichtsbehörden noch nicht beseitigt haben.

Viertens werden die Rechtsordnungen, die die KI-Governance am schnellsten klären, Geschäfte anziehen. Der Leiter von VARA sagte dies direkt. Die Bereitschaft der FCA, Unternehmen das Testen von KI unter aufsichtlicher Kontrolle zu ermöglichen, bevor die Gesetzgebung nachzieht, signalisiert ein ähnliches Wettbewerbsbewusstsein in Großbritannien.

Buchhalterische und AML-Implikationen für Unternehmen und CFOs

Überdenken des Compliance-Stacks

Der Wechsel von periodischer zu kontinuierlicher Aufsicht hat direkte Auswirkungen darauf, wie Unternehmen ihre Compliance-Infrastruktur aufbauen. Krypto-Buchhaltungssoftware und digitale Vermögensbuchhaltungssoftware, die Berichte auf Batch- oder Monatsendbasis erstellen, werden einer regulatorischen Erwartung kontinuierlicher, ereignisgesteuerter Datenflüsse nicht gerecht. Unternehmen müssen jetzt prüfen, ob ihre aktuellen Systeme in der Lage sind, strukturierte Transaktionsdaten und AML-Warnmeldungen in Echtzeit zu generieren, oder ob eine Infrastrukturaktualisierung erforderlich ist, bevor die Aufsichtsbehörden die Erwartung formalisieren.

Dies ist nicht nur eine Technologiefrage. Es ist eine Frage der Prüfungs- und Auftragsqualität. Wirtschaftsprüfungsgesellschaften, die digitale Vermögenskunden beraten, müssen verstehen, ob die Compliance-Architekturen dieser Kunden mit der von den jeweiligen Aufsichtsbehörden signalisierten Aufsichtsrichtung kompatibel sind. Ein Auftrag, der den heutigen periodischen Prüfstandard erfüllt, könnte den Echtzeit-Überwachungsstandard, den die FCA und HKMA aktiv aufbauen, nicht erfüllen.

Für einen praktischen Referenzpunkt, wie die CSSF-Warnung zu unlizenzierten Betreibern und was sie für AML-Workflows bedeutet die Lizenzierungs- und Überwachungslücke veranschaulicht, auf die die Aufsichtsbehörden bereits reagieren, ist das Muster dasselbe: Aufsichtsbehörden bewegen sich schneller als die Compliance-Zyklen vieler Unternehmen.

AML/CFT-Alarmoptimierung: Die kurzfristige Chance

Der Zwei-Jahres-Horizont von VARA für KI-gesteuerte Fehlalarmreduzierung ist mit der aktuellen Technologie erreichbar. Unternehmen, die ihre AML-Alarmmodelle nicht systematisch optimiert haben, lassen eine Compliance-Effizienzsteigerung liegen und sammeln gleichzeitig ein relatives Risiko: Wenn die Aufsichtsbehörden auf KI-gestützte Überwachung umstellen, werden sie zunehmend von regulierten Unternehmen erwarten, dass sie nachweisen, dass ihre eigene Überwachung ähnlich leistungsfähig ist. Ein Unternehmen, das immer noch hohe Volumina minderwertiger Alarme generiert, wird in einem sektorweiten Echtzeit-Datenfeed ein sichtbarer Ausreißer sein.

Die Formulierung der HKMA, KI als strategischen Intelligence-Partner und nicht als Produktivitätswerkzeug zu betrachten, ist hier wert, internalisiert zu werden. Compliance-Teams, die KI-gesteuerte Alarmoptimierung als Kostenreduzierungsübung betrachten, könnten den tieferen Punkt übersehen: Die Aufsichtsbehörden beginnen, die Qualität der KI-gestützten Entscheidungsfindung eines Unternehmens als Indikator für die Qualität seines gesamten Risikomanagements zu bewerten. Das ist ebenso eine Frage der Governance und Rechenschaftspflicht wie eine Technologiefrage.

Bereitschaft für On-Chain-Prüfungen

Die explizite Erwähnung von On-Chain-Prüfungen durch VARA als Ersatz für Stichprobenprüfungen ist das operativ spezifischste Signal in den öffentlichen Aufzeichnungen. Für Wirtschaftsprüfungsgesellschaften, die digitale Vermögensunternehmen in oder für die VAE Prüfungsdienstleistungen anbieten, ist dies ein direkter Aufruf, On-Chain-Prüfungsfähigkeiten zu entwickeln: die Fähigkeit, Transaktionshistorien, Smart-Contract-Zustände und Wallet-Salden direkt aus Blockchain-Daten zu verifizieren, anstatt aus von der Geschäftsleitung erstellten Berichten.

Dies führt zu einem breiteren Punkt über Krypto-Buchhaltungssoftware und Aufbewahrungspflichten. Wenn Aufsichtsbehörden On-Chain-Aktivitäten in Echtzeit überwachen können, werden Diskrepanzen zwischen den Büchern eines Unternehmens und der On-Chain-Aufzeichnung sofort sichtbar, anstatt erst im nächsten Prüfungszyklus entdeckt zu werden. Der Spielraum für Fehler und für bewusste Auslassungen verringert sich drastisch. Unternehmen, die zu digitalen Vermögensaufzeichnungen beraten, müssen dies in ihren Auftragsumfang einbeziehen.

Für eine breitere Perspektive darauf, wie die AML-Bestimmungen des CLARITY Act die Krypto-Compliance-Strategien beeinflussen in einer anderen großen Rechtsordnung ist die Richtungsübereinstimmung mit dem, was VARA, FCA und HKMA aufbauen, konsistent: Regulierungsbehörden weltweit bewegen sich hin zu einer engeren, schnelleren und datengesteuerteren Überwachung digitaler Vermögensaktivitäten.

Was Wirtschaftsprüfungsgesellschaften und CFOs tun sollten, bevor Rahmenwerke formalisiert werden

Sofortige Schritte

Die von allen drei Aufsichtsbehörden angesprochene Rechenschaftsfrage ist eine Governance-Lücke, die Unternehmen jetzt schließen können, bevor formelle Regeln kommen. Compliance-Teams sollten dokumentieren, wie KI-generierte Ergebnisse überprüft werden, wer für die Umsetzung verantwortlich ist und wie der Eskalationspfad ist, wenn ein KI-System ein Ergebnis liefert, das ein Mensch nicht ohne Weiteres verifizieren kann. Diese Dokumentation wird wahrscheinlich zu einer regulatorischen Erwartung werden; sie jetzt aufzubauen, verringert das Risiko, in Hektik zu verfallen, wenn formelle Leitlinien eintreffen.

CFOs von digitalen Vermögensunternehmen, die in den VAE, Großbritannien und Hongkong tätig sind, sollten auch prüfen, ob ihre aktuelle Krypto-Buchhaltungssoftware und Compliance-Technologie strukturierte, ereignisgesteuerte Datenexporte produzieren können. Wenn die Antwort nein lautet oder dies manuelle Eingriffe erfordert, ist das eine Lücke, die jetzt mit der Technologie- und Compliance-Führung besprochen werden muss. Die Mills-Überprüfung der FCA zielt speziell auf die Reduzierung von Ad-hoc-Datenanfragen von Aufsichtsbehörden als Vorteil des neuen Modells ab; Unternehmen, die nicht schnell auf strukturierte Datenanfragen reagieren können, werden in der Übergangsphase eine unverhältnismäßige Belastung tragen.

Mittelfristige Planung

Über den Zwei- bis Fünfjahreszeitraum, den VARA beschrieben hat, sollten Wirtschaftsprüfungsgesellschaften mit einer wesentlichen Änderung dessen planen, was Prüfungen über digitale Vermögensunternehmen ausmacht. On-Chain-Prüfmethodik, Echtzeit-Datenabstimmung und KI-Governance-Bestätigung könnten jeweils zu Standardkomponenten von Aufträgen werden. Unternehmen, die während der Übergangszeit in den Aufbau dieser Fähigkeiten investieren, anstatt auf die Finalisierung der Standards zu warten, werden besser positioniert sein, um Kunden zu bedienen und Mandate aus dem digitalen Vermögenssektor anzuziehen.

Für CFOs ist die mittelfristige Planungsfrage, ob die Compliance-Architektur des Unternehmens so gebaut wird, dass sie dem Aufsichtsmodell entspricht, auf das die Regulierungsbehörden hinarbeiten, und nicht nur dem, das heute existiert. Das ist eine Frage der Kapitalallokation und der Auswahl von Anbietern, die neben den unmittelbareren operativen Überlegungen auf die CFO-Agenda gehört.

Häufig gestellte Fragen

Was bedeutet Echtzeit-Geldwäscheaufsicht für ein Krypto-Unternehmen, das in Dubai tätig ist?

VARA hat eine Abkehr von vierteljährlichen Inspektionen hin zu On-Chain-Prüfungen und kontinuierlicher Überwachung signalisiert. In der Praxis bedeutet dies, dass Unternehmen, die der Aufsicht von VARA unterliegen, erwarten sollten, dass die Aufsichtsbehörden direkte Transparenz über Transaktionsflüsse haben, anstatt sich auf periodische Berichte zu verlassen. Compliance-Systeme müssen in der Lage sein, kontinuierlich strukturierte, maschinenlesbare Daten zu produzieren, nicht nur zu Berichtsfristen.

Gilt die KI-Aufsichtsrichtung der FCA für Krypto-Unternehmen oder nur für traditionelle Finanzdienstleistungen?

Die Juni-Rede des FCA-CEOs behandelte sowohl den agentischen Handel als auch die Tokenisierung als zwei Treiber, die ein Überdenken der Aufsicht notwendig machen. Das KI-gestützte Aufsichtsmodell der FCA wird für den Finanzsektor insgesamt entwickelt, und digitale Vermögensunternehmen, die von der FCA zugelassen oder registriert sind, fallen in den Anwendungsbereich. Unternehmen sollten nicht davon ausgehen, dass der neue Aufsichtsrahmen Krypto-Unternehmen anders behandeln wird als andere Finanzdienstleistungsunternehmen.

Wie wirkt sich der KI- und AML-Bericht der HKMA auf Banken mit Krypto-Verwahrungs- oder Handelsaktivitäten in Hongkong aus?

Der Bericht der HKMA beschreibt eine klare Erwartung, dass KI über die Effizienz von Alarmen hinausgehen und zu früherer Bedrohungserkennung und proaktiver Bekämpfung von Finanzkriminalität führen sollte. Banken in Hongkong mit digitalen Vermögensaktivitäten müssen nachweisen, dass ihre AML/CFT-KI-Implementierungen sich entsprechend den erklärten Ambitionen der HKMA weiterentwickeln und dass die Governance- und Rechenschaftsrahmen für diese Systeme intern klar dokumentiert und verstanden sind.

Was ist das Problem der menschlichen Rechenschaftspflicht, das die Aufsichtsbehörden immer wieder ansprechen, und warum ist es für Wirtschaftsprüfungsgesellschaften wichtig?

Alle drei Aufsichtsbehörden haben dieselbe ungelöste Frage aufgeworfen: Wenn ein KI-System ein Compliance-Ergebnis oder eine aufsichtliche Entscheidung generiert, wer ist rechtlich und beruflich dafür verantwortlich? Für Wirtschaftsprüfungsgesellschaften, die Prüfungen von KI-gesteuerten Compliance-Prozessen durchführen, ist dies ein direktes Risiko. Bis die Aufsichtsbehörden den Rechenschaftsrahmen klären, sollten Unternehmen sicherstellen, dass jedes KI-generierte Compliance-Ergebnis einen benannten menschlichen Prüfer hat, der für die auf der Grundlage dieses Ergebnisses getroffene Entscheidung verantwortlich gemacht werden kann.

Sollten Unternehmen auf formelle regulatorische Leitlinien warten, bevor sie ihre Krypto-Buchhaltungs- und Compliance-Systeme aufrüsten?

Abwarten birgt mehr Risiko als Handeln. Alle drei Aufsichtsbehörden haben dies als eine Entwicklungsrichtung beschrieben, nicht als eine Konsultation mit ungewissem Ausgang. Die Mills-Überprüfung der FCA hat das agentische Aufsichtsmodell bereits formell empfohlen. Unternehmen, die jetzt in Echtzeit-Datenfähigkeit, On-Chain-Aufzeichnungen und KI-Governance-Dokumentation investieren, werden der Compliance-Kurve voraus sein, anstatt zu hetzen, wenn formelle Regeln eintreffen.

Quelle: Elliptic