Geldwäscheprüfung

Branche: Finanzen, Versicherungen und Immobilien

Aufgabenbereich: Controlling, Finanzen und Recht, Unternehmenssteuerung

Herausforderung

Nach § 4 GwG müssen die Verpflichteten über ein wirksames Risikomanagement verfügen, das eine Risikoanalyse nach § 5 GwG und interne Sicherungsmaßnahmen nach § 6 GwG umfasst. Diese Verpflichtung stellt den Kern eines risikobasierten Vorgehens in Bezug auf Geldwäsche und Terrorismusfinanzierung dar.

Zudem müssen Informationen über den Zweck und über die angestrebte Art der Geschäftsbeziehung eingeholt und bewertet werden, soweit sich diese Informationen im Einzelfall nicht bereits zweifelsfrei aus der Geschäftsbeziehung ergeben. Des Weiteren muss eine kontinuierliche Überwachung von Geschäftsbeziehungen, einschließlich der Transaktionen, die in ihrem Verlauf durchgeführt werden, erfolgen. Im Rahmen dieser kontinuierlichen Überwachung haben die Verpflichteten sicherzustellen, dass die jeweiligen Dokumente, Daten oder Informationen unter Berücksichtigung des jeweiligen Risikos im angemessenen zeitlichen Abstand aktualisiert werden. Solche Maßnahmen machen es möglich, Geldflüsse nachzuvollziehen und ungewöhnlichen oder gar verdächtigen Transaktionen oder Geschäftsbeziehungen auf die Spur zu kommen.

Fazit: Es wird ein Datenspeicher benötigt, der vertrauliche, geschäftliche und personenbezogene Daten speichert und für Analysen durch die Prüfer bereitstellt. Eine automatisierte Verarbeitung ist notwendig.

Lösung

Der Datenspeicher hält die Daten auf drei Ebenen:

E1: Datenspeicher mit Klardaten – persönlicher Zugriff nur im Ausnahmefall mittels Vier-Augen-Prinzip

E2: pseudonymisierte Daten – Zugriff für Prüfer mit Tool, Menge je Auswertung und Tag begrenzt

E3: anonymisierte Daten – allgemeine Auswertungen, Personen Bezug nicht herstellbar

Diverse technische Lösung für vielschichtige Sicherheitsstufen

Verschlüsselung der Datenbank auf der Festplatte und im Arbeitsspeicher der Server
Verschlüsselung von dedizierten Tabellenspalten und Anzeige von Klardaten nur mit Zertifikat auf dem Client Computer (persönlich auf dem Computer des Prüfers)
Mikrosegmentierung jedes Servers mittels Portfreischaltung & Datenflussrichtung
Datenmengenbeschränkung bei der Analyse der Prüfer je Auswertung und Tag
Automatisierte Datenbereitstellung ohne manuellen Eingriff, technisches Personal kann im Regelfall keine Klardaten sehen
Im Fehlerfall wird der Zugang zum Server berechtigt und die Korrektur im Vier-Augen-Prinzip bearbeitet