CIP sind ein wichtiger Bestandteil der Bemühungen von Finanzinstituten zur Bekämpfung von Geldwäsche (AML). Schätzungen der Vereinten Nationen zufolge werden in einem einzigen Jahr weltweit zwischen 800 Milliarden und 2 Billionen US-Dollar gewaschen, die u. a. auch der Terrorismusfinanzierung dienen. Aus diesem Grund schreiben viele Gesetze, wie z. B. der USA PATRIOT Act, den verpflichtenden Einsatz eines CIP vor.

Ein CIP ist sozusagen die erste Verteidigungslinie eines Finanzsystems. Es erlaubt, dass die Identitäten von Kundinnen und Kunden überprüft werden können, und minimiert dadurch das Risiko illegaler Aktivitäten. Diese Programme sind Teil größerer Customer-Due-Diligence-Prozesse, die eine laufende Überwachung der Kundentransaktionen umfassen, um verdächtige Aktivitäten zu erkennen und zu melden.

Im Folgenden erörtern wir, welche Vorteile ein CIP bringt, wie Sie ein CIP einrichten und welche Best Practices Sie bei der Umsetzung eines CIP in Ihrem Unternehmen befolgen sollten.

Worum geht es in diesem Artikel?

• Wie funktioniert ein CIP?
  
• Welche Vorteile bringt ein CIP?
  
• Was sind die Unterschiede zwischen CIP und KYC (Know Your Customer)?
  
• Wer ist an die CIP-Vorschriften gebunden?
  
• Wie wird ein CIP eingerichtet?
  
• Welche Best Practices gibt es für die Umsetzung eines CIP?
  

Wie funktioniert ein CIP?

Im Rahmen eines CIP kommt eine Reihe von Schritten zum Einsatz, mit denen die Identität eines Kunden ermittelt und überprüft wird.

• Erfassung der Kundendaten: In einem ersten Schritt werden die Kundendaten erfasst: vollständiger rechtsgültiger Namen, Geburtsdatum, Adresse und behördliche Identifikationsnummer (z. B. Sozialversicherungs- oder Reisepassnummer). Abhängig vom Risikoprofil der Kundin bzw. des Kunden oder der Art des Kontos, das eröffnet wird, können auch zusätzliche Informationen abgefragt werden.

• Verifizierung der Daten: Als Nächstes werden die bereitgestellten Informationen überprüft.

  • Prüfung von Dokumenten: Die Gültigkeit der vorgelegten behördlichen Identitätsnachweisen wird überprüft. Dies kann persönlich, über ein sicheres Online-Portal oder mithilfe einer speziellen Software zur Analyse der Dokumentenmerkmale erfolgen.
    
  • Datenbankabgleich: Die bereitgestellten Informationen werden mit öffentlichen und privaten Datenbanken abgeglichen, um die Richtigkeit und Vollständigkeit der Daten zu bestätigen.
    
  • Identitätsprüfung ohne Dokumente: Die Identität wird im direkten Kundengespräch oder mittels Referenzen anderer Finanzinstitute überprüft.
    

• Risikobeurteilung Auf Grundlage der erfassten und verifizierten Informationen erfolgt eine Einschätzung des Risikos, das mit der Kundin bzw. dem Kunden verbunden ist. Dabei werden unterschiedliche Faktoren berücksichtigt, u. a. Beruf, Herkunft der Mittel und Wohnsitzland.

• Kontinuierliche Überwachung: Die Transaktionen und Aktivitäten der Kundin bzw. des Kunden werden kontinuierlich auf verdächtiges Verhalten überwacht. Dies umfasst u. a. die laufende Überprüfung der Kontoaktivitäten, des Transaktionsverlaufs und sämtlicher Änderungen der persönlichen Daten.

• Laufende Aktualisierung der Kundendaten: Die Kundendaten müssen regelmäßig aktualisiert werden, damit die Korrektheit der gespeicherten Informationen sichergestellt wird und eventuelle Änderungen der Lebensumstände berücksichtigt werden können.

• Umfassende Dokumentation: Kundendaten, Verifizierungsmethoden und Risikobeurteilungen müssen sorgfältig dokumentiert werden, um die gesetzlichen Anforderungen einzuhalten und im Falle von behördlichen Prüfungen oder Untersuchungen die vorgeschriebene Sorgfaltspflicht (Due Diligence) nachweisen zu können.

Welche Vorteile bringt ein CIP?

Ein CIP kommt bringt Unternehmen in vielerlei Hinsicht konkrete Vorteile. Dazu gehören:

• Risikominderung: Ein CIP mindert das Risiko von Geldwäsche, Terrorismusfinanzierung und Betrug. Durch die Überprüfung der Identität ihrer Kundinnen und Kunden können Finanzinstitute illegalen Aktivitäten vorbeugen und rechtliche Konsequenzen sowie Reputationsschäden abwenden.

• Einhaltung gesetzlicher Vorschriften: Für Finanzinstitute sind CIPs in vielen Ländern, darunter die USA, gesetzlich vorgeschrieben. Bei Verstößen drohen Strafen und Bußgelder.

• Höhere Sicherheit: CIPs schaffen ein sichereres finanzielles Umfeld, indem sie den unbefugten Zugriff auf Konten und Dienstleistungen verhindern. Dies schützt sowohl das Institut als auch dessen legitime Kundschaft vor finanziellen Verlusten.

• Verbesserte Sorgfaltspflicht gegenüber der Kundschaft: CIPs ermöglichen Instituten eine effektivere Customer Due Diligence, da jede Dienstleistung an das individuelle Risikoprofil angepasst wird.

• Betriebliche Effizienz: CIPs erfordern zwar anfängliche Investitionen in Systeme und Prozesse, können im Laufe der Zeit aber die betriebliche Effizienz verbessern. Durch die Automatisierung von Verifizierungsprozessen und die Vereinfachung von Aufnahmeverfahren für Neukundinnen und -kunden können Sie langfristig Zeit und Ressourcen sparen.

• Betrugsprävention: CIPs beugen Identitätsdiebstahl und Betrug vor, indem sie sicherstellen, dass nur autorisierte Personen auf Kundenkonten zugreifen können. Dies schützt die finanziellen Vermögenswerte und die persönlichen Informationen der Kundinnen und Kunden.

• Hohes Kundenvertrauen: Starke Sicherheitsmaßnahmen wie z. B. CIP stärken das Vertrauen der Kundinnen und Kunden in ihr Finanzinstitut.

• Schnellere Aufnahme von Neukundinnen und -kunden: Effiziente CIP-Prozesse beschleunigen und vereinfachen die Aufnahme von Neukundinnen und -kunden. Dies erhöht die Kundenzufriedenheit und fördert die weitreichendere Nutzung der angebotenen Dienstleistungen.

• Breiteres Dienstleistungsangebot: Mit einem CIP können Finanzinstitute eine breitere Palette von Finanzprodukten und -dienstleistungen anbieten. Da die Kundenidentitäten verifiziert sind, können sie Dienstleistungen anbieten, die sie andernfalls aus rechtlichen Gründen nicht anbieten dürften.

Was sind die Unterschiede zwischen CIP und KYC (Know Your Customer)?

CIPs und KYC sind zwar beides Prozesse zur Überprüfung und Identifizierung von Kundinnen und Kunden, unterscheiden sich aber in Fokus und Reichweite. Ein CIP ist eine spezifische gesetzliche Anforderung zur Überprüfung der Kundenidentität; KYC hingegen ein breiter angelegter Prozess, der Identitätsüberprüfung, Risikobeurteilung und laufende Überwachung umfasst. Das CIP ist der erste Schritt eines umfassenderen KYC-Verfahrens: Während im Rahmen des CIP die Identität der Kundin bzw. des Kunden festgestellt wird, geht KYC weiter und analysiert das Finanzverhalten und erstellt ein entsprechendes Risikoprofil.

Kundenidentifikationsprogramm (CIP)

Das CIP konzentriert sich darauf, während des erstmaligen Aufnahmeprozesses die Identität einer Kundin oder eines Kunden zu überprüfen. Der CIP-Prozess umfasst das Sammeln und Verifizieren personenbezogener Daten wie Name, Geburtsdatum, Adresse und behördliche Identifikationsnummer. Der Zweck des CIP besteht darin, ausreichende Sicherheit bezüglich der Identität herzustellen, damit das Institut Finanzverbrechen wie Identitätsdiebstahl und Betrug entgegenwirken kann.

Know Your Customer (KYC)

Der KYC-Prozess ist deutlich breiter angelegt als der CIP-Prozess. Es umfasst nicht nur die Identitätsprüfung, sondern auch die Analyse der finanziellen Aktivitäten und das Risikoprofil. Der Hauptzweck von KYC besteht darin, das mit einer Kundin oder einem Kunden verbundene Gesamtrisiko zu beurteilen und zu überprüfen, ob seine Aktivitäten dem Niveau der Risikobereitschaft und den gesetzlichen Anforderungen, denen das Institut unterliegt, entsprechen. KYC sammelt und analysiert ein breiteres Spektrum von Informationen als CIP, darunter die berufliche Tätigkeit, die Herkunft der Mittel, den Transaktionsverlauf und die Risikotoleranz.

Beispiel: CIP und KYC in der Praxis

Wenn Sie ein Bankkonto eröffnen, müssen Sie einen Nachweis Ihrer Identität vorlegen (z. B. Reisepass, Personalausweis, in manchen Ländern auch Führerschein). Damit erfüllen Sie die Anforderungen des CIP. Im Rahmen des KYC kann die Bank darüber hinaus Ihren Beruf, Ihre Einkommensquellen oder den Verwendungszweck des neuen Kontos abfragen, um das mit Ihnen als Kundin oder Kunden verbundene Risiko zu beurteilen.

Wer ist an die CIP-Vorschriften gebunden?

Im Rahmen der Anti-Geldwäsche-Gesetze (AML)sind Finanzinstitute und bestimmte Arten von Unternehmen in vielen Ländern verpflichtet, CIPs zu implementieren. In den USA beispielsweise werden die CIP-Vorschriften von vielen verschiedenen Behörden überwacht, etwa dem Financial Crimes Enforcement Network (FinCEN), dem Federal Reserve Board, der Federal Deposit Insurance Corporation (FDIC) und dem Office of the Comptroller of the Currency (OCC). Neben den unten aufgeführten Arten von Unternehmen müssen möglicherweise auch andere Unternehmen ein CIP implementieren, wenn sie Finanzaktivitäten ausüben, bei denen ein Risiko für Geldwäsche oder Terrorismusfinanzierung besteht.

• Banken: Geschäftsbanken, Sparkassen und Investmentbanken

• Kreditgenossenschaften: Genossenschaftlich organisierte Finanzinstitute, die sich im Eigentum ihrer Mitglieder befinden und von diesen betrieben werden

• Wertpapiermakler und -händler: Firmen, die im Namen von Kunden oder auf eigene Rechnung Wertpapiere kaufen und verkaufen

• Investmentfonds Investmentgesellschaften, die das Geld von Anlegern bündeln und damit ein diversifiziertes Portfolio von Wertpapieren kaufen

• Terminbörsenmakler (Futures Commission Merchants, FCM): Einzelpersonen oder Firmen, die Aufträge für den Kauf oder Verkauf von Futures und Futures-Optionen entgegennehmen und ausführen

• Introducing Broker (IB): Einzelpersonen oder Firmen, die Aufträge für den Kauf oder Verkauf von Futures und Futures-Optionen entgegennehmen und ausführen, aber kein Geld oder Wertpapiere von Kunden annehmen.

• Commodity Trading Advisor (CTA): Einzelpersonen oder Firmen, die auf die Beratung bezüglich des Kaufs und Verkaufs von Futures und Futures-Optionen spezialisiert sind

• Commodity Pool Operator (CPO): Einzelpersonen oder Unternehmen, die in „Commodity-Pools“ gebündelte Gelder von Anlegern verwalten und auf dem Terminmarkt anlegen

• Finanzdienstleister (Money Services Businesses, MSB): Unternehmen, die finanzielle Dienstleistungen wie Geldüberweisungen, Scheckeinlösung, Währungsumtausch oder den Verkauf von Zahlungsanweisungen oder Reiseschecks anbieten

Wie wird ein CIP eingerichtet?

Die Planung und Implementierung eines CIP umfasst eine Reihe von Schritten, die an die Größe, die Reichweite und die Struktur des Unternehmens angepasst werden müssen. Die Einbeziehung von Rechts- oder Compliance-Fachleuten kann durchaus hilfreich sein. Schulen Sie Ihre Mitarbeitenden in Bezug auf CIP-Anforderungen und -Verfahren, damit sie diese konsequent umsetzen können, und vermitteln Sie Ihrer Kundschaft die Bedeutung des CIP.

Im Folgenden finden Sie die grundlegenden Schritte zur Entwicklung eines starken CIP. Detailliertere Informationen und spezifische Anforderungen finden Sie im CIP-Regelwerk, das von den zuständigen Behörden (z. B. FinCEN, FDIC) veröffentlicht wird.

Schriftliche Ausarbeitung der CIP-Grundsätze

Verfassen Sie eine Aufstellung der spezifischen Verfahren, die Ihre Institution anwenden wird, um die Informationen zur Kundenidentifizierung zu erfassen und zu überprüfen. Legen Sie fest, für welche Art von Konten das CIP gelten soll (z. B. Girokonten, Sparkonten) und wie Sie Ausnahmen oder alternative Verfahren für einen bestimmten Kundenkreis (z. B. solche ohne Sozialversicherungsnummer) handhaben werden.

Erfassung der Kundendaten

Fordern Sie von allen Kundinnen und Kunden die folgenden vier Informationen an:

• Vollständiger rechtsgültiger Name

• Geburtsdatum

• Wohn- oder Geschäftsadresse

• Identifikationsnummer (z. B. Sozialversicherungsnummer, Reisepassnummer)

Erfassen Sie diese Daten zum Zeitpunkt der Kontoeröffnung bzw. vor der ersten Kundentransaktion.

Identitätsüberprüfung

Überprüfen Sie die Kundenangaben mithilfe unabhängiger, verlässlicher Quellen. Akzeptable Methoden sind:

• Prüfung von behördlich ausgestellten Ausweisdokumenten (z. B. Führerschein, Reisepass)

• Nutzung von Identitätsprüfungsdiensten von Drittanbietern

• Einholung von Informationen aus einer Verbraucherauskunftei oder einer öffentlichen Datenbank

Dokumentieren Sie die verwendeten Verifizierungsmethoden und die Ergebnisse des Verifizierungsprozesses.

Abgleich mit behördlichen Listen

Prüfen Sie, ob der Kundenname in einer von den Behörden veröffentlichten Liste bekannter oder mutmaßlicher Terroristen oder anderer Krimineller (z. B. die SDN-Liste des OFAC) vorhanden ist. Sollten Sie eine Übereinstimmung finden, ergreifen Sie geeignete Maßnahmen, z. B. eine sofortige Kontosperrung und Meldung bei den zuständigen Behörden.

Dokumentation und Archivierung

Dokumentieren Sie alle erfassten Daten zur Kundenidentifikation und die entsprechenden Verifizierungsergebnisse und bewahren Sie sich für mindestens fünf Jahre nach der Schließung des Kontos auf. Stellen Sie diese Aufzeichnungen auf Anfrage den Behörden zur Verfügung.

Kontinuierliche Verwaltung des CIP

Bestellen Sie eine Einzelperson als Compliance-Beauftragte oder stellen Sie ein Team zusammen, das für die Überwachung des CIP für Ihr Unternehmen zuständig ist. Diese sollten Ihre CIP-Richtlinie regelmäßig prüfen und bei Bedarf aktualisieren, damit sie wirksam bleibt und eventuelle Änderungen im Gesetz reflektiert. Führen Sie außerdem regelmäßige Risikobeurteilungen durch, um Schwachstellen im Programm zu identifizieren und zu beheben.

Welche Best Practices gibt es für die Umsetzung eines CIP?

Wir haben einen Reihe von technischen, operativen und ethischen Best Practices zusammengestellt, um Ihr Unternehmen bei der effektiven Umsetzung seines CIP zu unterstützen.

Technische Empfehlungen

• Eindeutige und konsistente Kunden-IDs: Weisen Sie jedem Kunden eine eindeutige Kennung zu, die über alle Interaktionen und Plattformen hinweg konsistent bleibt. Bei dieser Kennung kann es sich um eine zufällig generierte Zahl, eine gehashte E-Mail-Adresse oder eine Kombination relevanter Informationen handeln.

• Sichere Speicherung: Schützen Sie die Kunden-IDs durch Verschlüsselung und sichere Speichermethoden. Beschränken Sie den Zugriff auf autorisierte Mitarbeiter.

• Konsequente Datenintegration: Verwenden Sie die Kunden-IDs konsequent in allen Systemen und Datenbanken im Unternehmen, um eine ganzheitliche Sicht auf den Kunden zu erhalten und eine personalisierte Kundenerfahrung zu ermöglichen.

• Datenqualität: Pflegen Sie die Kunden-IDs und halten Sie sie stets aktuell. Führen Sie Validierungs- und Bereinigungsprozesse durch, um die Konsistenz und Zuverlässigkeit zu gewährleisten.

• Skalierbarkeit: Entscheiden Sie sich für ein Kunden-ID-System, das mit Ihrem Unternehmen wachsen kann und in der Lage ist, große Datenmengen zu verarbeiten.

Operative Empfehlungen

• Einwilligung: Holen Sie die ausdrückliche Einwilligung der Kundinnen und Kunden ein, bevor Sie die IDs anlegen und verwenden.

• Datenschutz: Nutzen Sie Datenschutztechnologien zur Anonymisierung von Kunden-IDs oder verwenden Sie Pseudonyme.

• Datensparsamkeit: Erfassen Sie nur die unbedingt erforderlichen Kundeninformationen für legitime Geschäftszwecke. Vermeiden Sie die Erfassung sensibler Daten, es sei denn, dies ist absolut notwendig.

• Zugriffskontrolle: Richten Sie strenge Zugriffskontrollen und Audit-Trails für Kunden-IDs ein. Beschränken Sie den Zugriff auf autorisierte Mitarbeitende und überwachen Sie die Nutzung.

• Notfallplan: Entwickeln Sie einen umfassenden Notfall- bzw. Incident-Response-Plan, um auf Datenschutzverletzungen oder Sicherheitsvorfälle im Zusammenhang mit Kunden-IDs adäquat reagieren zu können.

Ethische Empfehlungen

• Kundenautonomie: Geben Sie Ihren Kundinnen und Kunden die Kontrolle über ihre Daten. Ermöglichen Sie ihnen, jederzeit auf ihre Informationen zuzugreifen, sie zu aktualisieren und zu löschen.

• Nichtdiskriminierung: Verwenden Sie niemals Kunden-IDs, um Personen aufgrund ihrer persönlichen Eigenschaften oder ihres Verhaltens zu diskriminieren oder ein unfaires Profil zu erstellen.

• Transparenz: Nutzen Sie die Kunden-IDs auf faire und transparente Weise. Teilen Sie Ihren Kundinnen und Kunden klar mit, wie Sie diese IDs verwenden, und vermeiden Sie irreführende Praktiken.

• Rechenschaft: Übernehmen Sie Verantwortung für die ethische Verwendung der Kunden-IDs. Führen Sie regelmäßige Audits und Überprüfungen durch, um die Einhaltung von Best Practices und ethischen Standards zu gewährleisten.