Auslagerung und Drittanbieterrisiko
Die PDF-Ausgabe lesen (4 Seiten)
Die meisten DPT-Lizenznehmer lagern Kernbestandteile ihrer Compliance aus: Identitätsprüfung, Sanktions-Screening, Transaktionsüberwachung, Blockchain-Analyse und Travel-Rule-Nachrichten stammen in der Regel von externen Anbietern. Die Guidelines on Outsourcing der MAS, erstmals 2016 erlassen und 2018 überarbeitet, gelten für Zahlungsdienstleister. Sie verlangen ein Register der Auslagerungsvereinbarungen sowie eine Due Diligence gegenüber dem Dienstleister vor der Beauftragung und danach in regelmäßigen Abständen. Schriftliche Verträge müssen dem Unternehmen und der MAS Prüfungs- und Zugangsrechte einräumen. Erforderlich sind außerdem Vorkehrungen zur Aufrechterhaltung des Geschäftsbetriebs und bei wesentlichen Auslagerungen eine Anzeige an die MAS.1 Die Guidelines behandeln auch Cloud-Dienste und Auslagerungen ins Ausland. Das ist wichtig für eine Gruppe, deren Compliance-Systeme womöglich in der Schweiz oder anderswo gehostet werden.
Die Verantwortung für die ausgelagerte Funktion bleibt beim Lizenznehmer. In der Prüfung verlangt die MAS den Nachweis, dass das Unternehmen versteht, wie das Screening oder die Überwachung des Anbieters funktioniert, und dass es die Ergebnisse des Anbieters getestet hat. Das Unternehmen muss zeigen, dass es die Regeln des Anbieters auf seine eigene Risikoanalyse abgestimmt hat und ein Versagen des Anbieters bemerken würde. Ein Unternehmen, das nicht erklären kann, warum sein Analyseanbieter eine Adresse einem sanktionierten Cluster zuordnet oder wie seine Überwachungsregeln festgelegt wurden, hat neben der Verarbeitung auch sein Urteil ausgelagert. Das lässt die MAS nicht zu.
Auswahl und Steuerung eines Anbieters für Blockchain-Analysen
Die Anbieterentscheidung mit dem größten Einfluss auf die AML-Ergebnisse eines DPT-Lizenznehmers ist die Wahl des Anbieters für Blockchain-Analysen. Chainalysis, Elliptic, TRM Labs und einige wenige andere beherrschen den Markt, und ihre Zuordnungen weichen voneinander ab. Dieselbe Adresse kann bei einem Anbieter als hochriskant gelten und beim anderen gar nicht bewertet sein. Die Zuordnung beruht auf dem proprietären Clustering und den Erkenntnissen des jeweiligen Anbieters. Die MAS empfiehlt keinen Anbieter und schreibt keinen bestimmten vor. Sie erwartet aber, dass das Unternehmen geprüft hat, welche der von ihm unterstützten Blockchains der Anbieter abdeckt und wie seine Zuordnungsmethodik und Fehlerquoten aussehen. In dieselbe Prüfung gehören die Aktualisierungsgeschwindigkeit, die Datenschutzvorkehrungen und die eigene Sanktions-Compliance des Anbieters.2 Größere Unternehmen setzen zwei Anbieter parallel ein und gehen Abweichungen nach. Das ist gute Praxis, aber teuer. Kleinere Unternehmen sollten zumindest dokumentieren, warum sie ihren Anbieter gewählt haben, und eine Stichprobe von Zuordnungen mit öffentlichen Quellen abgleichen. Ihre Risikoschwellen sollten sie in Kenntnis des Verhaltens des Anbieters bei falsch-positiven und falsch-negativen Ergebnissen festlegen.
Checkliste
Eine Lösung für Blockchain-Analysen, die einer Prüfung durch die MAS standhält, sollte Folgendes umfassen. - Eine schriftliche Bewertung der Blockchain-Abdeckung des Anbieters im Abgleich mit den vom Unternehmen unterstützten Vermögenswerten, aktualisiert bei jeder Aufnahme eines neuen Vermögenswerts. - Dokumentierte Schwellenwerte für die Risikobewertung direkter und indirekter Verbindungen nach Kategorien (Sanktionen, Darknet, Mixer, Betrug, Hack, Glücksspiel), jeweils mit geschäftlicher Begründung. - Nachweise über regelmäßige Tests der Zuordnungen des Anbieters anhand einer Stichprobe bekannter Adressen. - Ein Verfahren für Zuordnungen, die das Unternehmen bestreitet, einschließlich Eskalation an den Anbieter und Dokumentation des Ergebnisses. - Nachweise der Integration, aus denen hervorgeht, dass jede ein- und ausgehende Übertragung vor Gutschrift oder Versand geprüft wird, mit Protokollen, die fünf Jahre aufbewahrt werden. - Eine Auftragsverarbeitungsvereinbarung, die den Übermittlungsregeln des PDPA genügt, wenn der Anbieter Daten außerhalb Singapurs verarbeitet. - Eine Bestätigung, dass der Anbieter selbst keinen Sanktionen unterliegt und in keinen Durchsetzungsmaßnahmen genannt wurde.
Anmerkungen
- MAS, Guidelines on Outsourcing, 27. Juli 2016, überarbeitet am 5. Oktober 2018, anwendbar auf alle von der MAS beaufsichtigten Finanzinstitute; für bestimmte Sektoren hat die MAS Nachfolgeinstrumente zum Management von Drittanbieterrisiken konsultiert und erlassen. ↩
- Guidelines to Notice PSN02, Abschnitt zum Einsatz von Technologie und Drittanbieter-Tools bei CDD und Transaktionsüberwachung; MAS Information Paper zu den AML/CFT-Kontrollen von DPT-Dienstleistern, Beobachtungen zur Governance von Blockchain-Analysen. ↩
Nur zur allgemeinen Information. Dieser Artikel ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Er gibt die Rechtslage zum Stand Oktober 2026 wieder.