Customer Identification Programs (CIPs) sind ein Bestandteil der Bemühungen von Finanzinstituten im Bereich Anti-Money Laundering (AML). Die Vereinten Nationen schätzen, dass weltweit in einem einzigen Jahr zwischen 800 Milliarden und 2 Billionen USD gewaschen werden, und Vorschriften wie der USA PATRIOT Act erfordern den Einsatz von CIPs, um Finanzkriminalität, einschließlich Geldwäsche und Terrorismusfinanzierung, zu verhindern.

Ein CIP ist sozusagen die erste Verteidigungslinie eines Finanzsystems. Es erlaubt, dass die Identitäten von Kundinnen und Kunden überprüft werden können, und minimiert dadurch das Risiko illegaler Aktivitäten. Diese Programme sind Teil größerer Customer-Due-Diligence-Prozesse, die eine laufende Überwachung der Kundentransaktionen umfassen, um verdächtige Aktivitäten zu erkennen und zu melden.

Im Folgenden erörtern wir, welche Vorteile ein CIP bringt, wie Sie ein CIP einrichten und welche Best Practices Sie bei der Umsetzung eines CIP in Ihrem Unternehmen befolgen sollten.

Worum geht es in diesem Artikel?

• Was ist ein Customer Identification Program (CIP)?
  
• Vorteile der Nutzung eines Customer Identification Programs
  
• Anforderungen an das Customer Identification Program
  
• Unterschiede zwischen Customer Identification Programs und Know Your Customer (KYC)
  
• Wer muss die CIP-Regeln befolgen?
  
• So richten Sie ein Customer Identification Program ein
  
• Best Practices für die Anwendung von Customer Identification Programs
  
• So kann Stripe Radar Sie unterstützen
  

Was ist ein Customer Identification Program (CIP)?

Ein Customer Identification Program (CIP) ist ein obligatorischer regulatorischer Rahmen, der Finanzinstitute dazu verpflichtet, die Identität jeder natürlichen oder juristischen Person zu überprüfen, die ein Konto eröffnet. Anstelle einer formlosen Identitätsprüfung handelt es sich bei einem CIP um eine formelle, schriftliche Betriebsrichtlinie, die sicherstellen soll, dass sich ein Institut eine begründete Überzeugung über die wahre Identität aller Kundinnen und Kunden bildet, die es bedient.

Die CIP-Anforderung wurde formell gemäß Abschnitt 326 des USA PATRIOT Act eingeführt, der 2001 infolge der Anschläge vom 11. September erlassen wurde. Er wurde entwickelt, um Geldwäsche, Terrorismusfinanzierung und andere Finanzverbrechen zu verhindern, indem sichergestellt wird, dass Finanzinstitute potenzielle Kundinnen und Kunden gründlich überprüfen, bevor sie ihnen Systemzugriff gewähren, und verdächtige Transaktionen kontinuierlich kennzeichnen.

Um die bundesstaatlichen Compliance-Standards zu erfüllen, muss jedes CIP eine grundlegende Datenerfassung, Identitätsprüfung und den Abgleich mit staatlichen Beobachtungslisten durchsetzen. Darüber hinaus müssen CIPs Aufzeichnungen und andere Daten für mindestens fünf Jahre nach Schließung eines Kontos aufbewahren.

Welche Vorteile bringt ein CIP?

Ein CIP kommt bringt Unternehmen in vielerlei Hinsicht konkrete Vorteile. Dazu gehören:

• Risikominderung: CIPs mindern das Risiko von Finanzverbrechen wie Geldwäsche, Terrorismusfinanzierung und Betrug. Durch die Überprüfung der wahren Identität ihrer Kundinnen und Kunden können Institute diese illegalen Aktivitäten verhindern und potenzielle rechtliche und rufschädigende Schäden vermeiden.

• Einhaltung gesetzlicher Vorschriften: CIPs sind in vielen Ländern, einschließlich der USA, eine gesetzliche Anforderung für Finanzinstitute. Bei Nichtverwendung von CIPs können Strafen und Bußgelder verhängt werden.

• Höhere Sicherheit: CIPs schaffen ein sichereres finanzielles Umfeld, indem sie unbefugten Zugriff auf Konten und Dienste verhindern. Dies schützt das Institut und seine legitimen Kundinnen und Kunden vor finanziellen Verlusten.

• Verbesserte Due Diligence bei Kundinnen und Kunden: CIPs ermöglichen es Instituten, eine effektivere Customer Due Diligence (CDD) durchzuführen, indem sie das mit jeder Kundin und jedem Kunden verbundene Risiko bewerten und Dienstleistungen entsprechend anpassen.

• Betriebliche Effizienz: Obwohl CIPs eine anfängliche Investition in Systeme und Prozesse erfordern, können sie die betriebliche Effizienz im Laufe der Zeit verbessern. Die Automatisierung von Verifizierungsprozessen und die Vereinfachung von Onboarding-Verfahren können langfristig Zeit und Ressourcen sparen.

• Betrugsvorbeugung für Kundinnen und Kunden: CIPs schützen Kundinnen und Kunden vor Identitätsdiebstahl und Betrug, indem sie sicherstellen, dass nur autorisierte Personen auf ihre Konten zugreifen können. Dies schützt finanzielle Vermögenswerte und persönliche Daten.

• Größeres Kundenvertrauen: Kundinnen und Kunden vertrauen Instituten mit starken Sicherheitsmaßnahmen wie CIPs eher.

• Schnelleres Onboarding: CIP-Prozesse können zu einem schnelleren und bequemeren Onboarding für neue Kundinnen und Kunden führen, was die Kundenzufriedenheit verbessert und sie dazu ermutigt, die Dienste des Instituts zu nutzen.

• Zugang zu mehr Diensten: CIPs ermöglichen es Instituten, Kundinnen und Kunden eine breitere Palette von Finanzprodukten und -diensten anzubieten. Durch die Überprüfung der Kundenidentitäten können Institute Dienste anbieten, die andernfalls aufgrund regulatorischer Bedenken eingeschränkt sein könnten.

Anforderungen an das Customer Identification Program

Gemäß dem Bank Secrecy Act (BSA) und den Vorschriften des Financial Crimes Enforcement Network (FinCEN) müssen Finanzinstitute ein schriftliches CIP entwerfen und ausführen, das auf ihr spezifisches Risikoprofil, ihren Kundenstamm und ihr Dienstleistungsangebot abgestimmt ist.

Um die Einhaltung gesetzlicher Vorschriften zu gewährleisten, muss jedes CIP sechs grundlegende rechtliche Anforderungen erfüllen:

• Eine formelle schriftliche Richtlinie: Das Programm muss schriftlich dokumentiert, von der Geschäftsführung oder dem Verwaltungsrat genehmigt und vollständig in den umfassenderen Compliance-Rahmen der Organisation zur Geldwäschebekämpfung (AML) integriert sein.

• Obligatorische Erfassung von Kundendaten: Vor der Eröffnung eines Kontos oder der Gewährung von Servicezugang muss das Institut den rechtsgültigen Namen, das Geburtsdatum, die Wohn- oder Geschäftsadresse sowie die Sozialversicherungsnummer, die Steueridentifikationsnummer oder bei ausländischen Personen die Passnummer einer Kundin bzw. eines Kunden erfassen.

• Risikobasierte Identitätsprüfung: Das Programm muss spezifische Verfahren zur Überprüfung der Identität der Kundin oder des Kunden innerhalb eines angemessenen Zeitrahmens detailliert beschreiben. Dazu gehört die Überprüfung von Dokumenten wie Führerscheinen sowie der Abgleich erfasster Daten mit Auskunfteien und öffentlichen Registern.

• Abgleich mit staatlichen Beobachtungslisten: Das Institut muss die Identität von Kundinnen und Kunden mit Bundeslisten bekannter oder mutmaßlicher Terroristen und Sanktionszielen abgleichen, die in erster Linie vom Office of Foreign Assets Control (OFAC) geführt werden.

• Angemessene Benachrichtigung von Kundinnen und Kunden: Institute müssen Kundinnen und Kunden klare und rechtzeitige Mitteilungen zur Verfügung stellen, in denen sie darüber informiert werden, dass das Unternehmen nach Bundesgesetz verpflichtet ist, vor der Kontoeröffnung identifizierende Informationen anzufordern und zu überprüfen.

• Aufzeichnungen und Vorratsdatenspeicherung: Institute müssen einen vollständigen Audit-Trail führen, der alle erfassten Kundendaten, Beschreibungen der zur Überprüfung verwendeten Dokumente sowie Lösungen etwaiger Datenabweichungen umfasst. Diese Aufzeichnungen müssen mindestens fünf Jahre nach Schließung des Kontos aufbewahrt werden.

Was sind die Unterschiede zwischen CIP und KYC (Know Your Customer)?

CIPs und KYC sind zwar beides Prozesse zur Überprüfung und Identifizierung von Kundinnen und Kunden, unterscheiden sich aber in Fokus und Reichweite. Ein CIP ist eine spezifische gesetzliche Anforderung zur Überprüfung der Kundenidentität; KYC hingegen ein breiter angelegter Prozess, der Identitätsüberprüfung, Risikobeurteilung und laufende Überwachung umfasst. Das CIP ist der erste Schritt eines umfassenderen KYC-Verfahrens: Während im Rahmen des CIP die Identität der Kundin bzw. des Kunden festgestellt wird, geht KYC weiter und analysiert das Finanzverhalten und erstellt ein entsprechendes Risikoprofil.

Customer Identification Program (CIP)

Das CIP konzentriert sich darauf, während des erstmaligen Aufnahmeprozesses die Identität einer Kundin oder eines Kunden zu überprüfen. Der CIP-Prozess umfasst das Sammeln und Verifizieren personenbezogener Daten wie Name, Geburtsdatum, Adresse und behördliche Identifikationsnummer. Der Zweck des CIP besteht darin, ausreichende Sicherheit bezüglich der Identität herzustellen, damit das Institut Finanzverbrechen wie Identitätsdiebstahl und Betrug entgegenwirken kann.

Know Your Customer (KYC)

Der KYC-Prozess ist deutlich breiter angelegt als der CIP-Prozess. Es umfasst nicht nur die Identitätsprüfung, sondern auch die Analyse der finanziellen Aktivitäten und das Risikoprofil. Der Hauptzweck von KYC besteht darin, das mit einer Kundin oder einem Kunden verbundene Gesamtrisiko zu beurteilen und zu überprüfen, ob seine Aktivitäten dem Niveau der Risikobereitschaft und den gesetzlichen Anforderungen, denen das Institut unterliegt, entsprechen. KYC sammelt und analysiert ein breiteres Spektrum von Informationen als CIP, darunter die berufliche Tätigkeit, die Herkunft der Mittel, den Transaktionsverlauf und die Risikotoleranz.

Beispiel: CIP und KYC in der Praxis

Wenn Sie ein Bankkonto eröffnen, müssen Sie einen Nachweis Ihrer Identität vorlegen (z. B. Reisepass, Personalausweis, in manchen Ländern auch Führerschein). Damit erfüllen Sie die Anforderungen des CIP. Im Rahmen des KYC kann die Bank darüber hinaus Ihren Beruf, Ihre Einkommensquellen oder den Verwendungszweck des neuen Kontos abfragen, um das mit Ihnen als Kundin oder Kunden verbundene Risiko zu beurteilen.

Wer ist an die CIP-Vorschriften gebunden?

In vielen Ländern verlangen AML-Richtlinien von Finanzinstituten und bestimmten Unternehmen die Implementierung von CIPs. In den USA beispielsweise erzwingen verschiedene Aufsichtsbehörden CIP-Anforderungen, darunter das Financial Crimes Enforcement Network (FinCEN), das Federal Reserve Board, die Federal Deposit Insurance Corp. (FDIC) und das Office of the Comptroller of the Currency (OCC). Zusätzlich zu den unten aufgeführten Arten von Unternehmen müssen andere Unternehmen möglicherweise ein CIP implementieren, wenn sie risikobasierte Finanzaktivitäten ausüben, die anfällig für Geldwäsche oder Terrorismusfinanzierung sind.

• Banken: Geschäftsbanken, Sparkassen und Investmentbanken

• Kreditgenossenschaften: Genossenschaftliche Finanzinstitute, die Eigentum ihrer Mitglieder sind und von diesen betrieben werden

• Wertpapiermakler und -händler: Unternehmen, die Wertpapiere im Namen von Kunden oder für eigene Konten kaufen und verkaufen

• Investmentfonds: Investmentgesellschaften, die Geld von Anlegern bündeln, um ein diversifiziertes Portfolio von Wertpapieren zu erwerben

• Futures Commission Merchants: Einzelpersonen oder Unternehmen, die Aufträge für den Kauf oder Verkauf von Terminkontrakten und Optionen auf Terminkontrakte anfordern oder annehmen

• Introducing Brokers: Einzelpersonen oder Unternehmen, die Aufträge für den Kauf oder Verkauf von Terminkontrakten und Optionen auf Terminkontrakte anfordern oder annehmen, aber kein Geld oder keine Wertpapiere von Kunden annehmen

• Commodity Trading Advisors: Einzelpersonen oder Unternehmen, die andere beim Kauf oder Verkauf von Terminkontrakten und Optionen auf Terminkontrakte beraten

• Commodity Pool Operators: Einzelpersonen oder Unternehmen, die Rohstoffpools betreiben, d. h. Anlageinstrumente, die Gelder von Anlegern bündeln, um mit Rohstoffen zu handeln

• Gelddienstleistungsunternehmen: Unternehmen, die Dienstleistungen wie Geldtransfer, Scheckeinlösung, Währungsumtausch oder den Verkauf von Zahlungsanweisungen oder Reiseschecks anbieten

Wie wird ein CIP eingerichtet?

Die Planung und Implementierung eines CIP umfasst eine Reihe von Schritten, die an die Größe, die Reichweite und die Struktur des Unternehmens angepasst werden müssen. Die Einbeziehung von Rechts- oder Compliance-Fachleuten kann durchaus hilfreich sein. Schulen Sie Ihre Mitarbeitenden in Bezug auf CIP-Anforderungen und -Verfahren, damit sie diese konsequent umsetzen können, und vermitteln Sie Ihrer Kundschaft die Bedeutung des CIP.

Im Folgenden finden Sie die grundlegenden Schritte zur Entwicklung eines starken CIP. Detailliertere Informationen und spezifische Anforderungen finden Sie im CIP-Regelwerk, das von den zuständigen Behörden (z. B. FinCEN, FDIC) veröffentlicht wird.

1. Schriftliche CIP-Richtlinie entwickeln

Verfassen Sie eine Aufstellung der spezifischen Verfahren, die Ihre Institution anwenden wird, um die Informationen zur Kundenidentifizierung zu erfassen und zu überprüfen. Legen Sie fest, für welche Art von Konten das CIP gelten soll (z. B. Girokonten, Sparkonten) und wie Sie Ausnahmen oder alternative Verfahren für einen bestimmten Kundenkreis (z. B. solche ohne Sozialversicherungsnummer) handhaben werden.

2. Daten von Kundinnen und Kunden erfassen

Fordern Sie von allen Kundinnen und Kunden die folgenden vier Informationen an:

• Rechtsgültiger Name

• Geburtsdatum

• Wohn- oder Geschäftsadresse

• Identifikationsnummer (z. B. Sozialversicherungsnummer, Passnummer)

Erfassen Sie diese Daten zum Zeitpunkt der Kontoeröffnung bzw. vor der ersten Kundentransaktion.

3. Identität von Kundinnen und Kunden verifizieren

Überprüfen Sie die Kundenangaben mithilfe unabhängiger, verlässlicher Quellen. Akzeptable Methoden sind:

• Überprüfung amtlicher Ausweisdokumente (z. B. Führerschein, Reisepass)

• Nutzung von Drittanbieter-Diensten zur Identitätsprüfung

• Einholung von Informationen von einer Verbraucherauskunftei oder einer öffentlichen Datenbank

Dokumentieren Sie die verwendeten Verifizierungsmethoden und die Ergebnisse des Verifizierungsprozesses.

4. Abgleich mit staatlichen Listen

Gleichen Sie den Namen der Kundin/des Kunden mit staatlichen Listen bekannter oder mutmaßlicher Terroristen oder anderer Krimineller ab (z. B. der SDN-Liste des OFAC). Bei einer Übereinstimmung leiten Sie entsprechende Maßnahmen ein, wie das Einfrieren des Kontos und die Meldung der Informationen an die Behörden.

5. Aufzeichnungen aufbewahren

Dokumentieren Sie alle erfassten Daten zur Kundenidentifikation und die entsprechenden Verifizierungsergebnisse und bewahren Sie sich für mindestens fünf Jahre nach der Schließung des Kontos auf. Stellen Sie diese Aufzeichnungen auf Anfrage den Behörden zur Verfügung.

6. CIPs langfristig verwalten

Benennen Sie einen Compliance-Beauftragten oder ein Team, das für die Überwachung des CIP in Ihrem Unternehmen verantwortlich ist. Diese Person oder das Team sollte dafür zuständig sein, die CIP-Richtlinie regelmäßig zu überprüfen und zu aktualisieren, damit sie wirksam bleibt und allen regulatorischen Änderungen entspricht. Zudem sollten regelmäßige Risikobewertungen durchgeführt werden, um Schwachstellen im Programm zu ermitteln und zu beheben.

Welche Best Practices gibt es für die Umsetzung eines CIP?

Wir haben einen Reihe von technischen, operativen und ethischen Best Practices zusammengestellt, um Ihr Unternehmen bei der effektiven Umsetzung seines CIP zu unterstützen.

Technische Empfehlungen

• Eindeutige und konsistente IDs: Weisen Sie allen Kundinnen und Kunden eine eindeutige Kennung zu, die über alle Interaktionen und Plattformen hinweg konsistent bleibt. Diese Kennung kann eine zufällig generierte Zahl, eine gehashte E-Mail-Adresse oder eine Kombination relevanter Informationen sein.

• Sichere Speicherung: Schützen Sie Kunden-IDs durch Verschlüsselung und sichere Speichermethoden. Beschränken Sie den Zugriff auf autorisiertes Personal.

• Datenintegration: Integrieren Sie Kunden-IDs system- und datenbankübergreifend in Ihrem Unternehmen, um eine ganzheitliche Sicht auf die Kundinnen und Kunden zu schaffen, die personalisierte Erlebnisse erleichtert.

• Datenqualität: Pflegen Sie genaue und aktuelle Kunden-ID-Informationen. Implementieren Sie Datenvalidierungs- und Bereinigungsprozesse für Konsistenz und Zuverlässigkeit.

• Skalierbarkeit: Wählen Sie ein Kunden-ID-System, das mit Ihrem Unternehmen skalieren und große Datenmengen verarbeiten kann.

Operative Empfehlungen

• Einwilligung: Holen Sie die ausdrückliche Einwilligung von Kundinnen und Kunden ein, bevor Sie deren IDs erfassen und verwenden.

• Datenschutzschutz: Implementieren Sie datenschutzfördernde Technologien, um Kunden-IDs zu anonymisieren oder Pseudonyme zu verwenden.

• Datenminimierung: Erfassen Sie nur die Mindestinformationen zu Kundinnen und Kunden, die Sie für legitime Geschäftszwecke benötigen. Vermeiden Sie die Erfassung sensibler Daten, es sei denn, dies ist absolut notwendig.

• Zugangskontrolle: Richten Sie strenge Zugangskontrollen und Audit-Trails für Kunden-ID-Daten ein. Beschränken Sie den Zugriff auf autorisiertes Personal und überwachen Sie die Nutzung.

• Reaktionsplan für Vorfälle: Entwickeln Sie einen umfassenden Reaktionsplan für Vorfälle, um Datenschutzverletzungen oder Sicherheitsvorfälle im Zusammenhang mit Kunden-IDs zu bewältigen.

Ethische Empfehlungen

• Kundenautonomie: Stärken Sie Kundinnen und Kunden, indem Sie ihnen die Kontrolle über ihre Daten geben. Ermöglichen Sie es Kundinnen und Kunden, jederzeit auf ihre Informationen zuzugreifen, sie zu aktualisieren oder zu löschen.

• Nichtdiskriminierung: Verwenden Sie niemals Kunden-IDs, um Personen aufgrund ihrer persönlichen Eigenschaften oder ihres Verhaltens zu diskriminieren oder in unfairen Profilen zusammenzufassen.

• Transparenz: Verwenden Sie Kunden-IDs fair und transparent. Kommunizieren Sie den Kundinnen und Kunden, wie Sie diese IDs verwenden werden, und vermeiden Sie irreführende Praktiken.

• Verantwortlichkeit: Übernehmen Sie Verantwortung für die ethische Verwendung von Kunden-IDs. Führen Sie regelmäßige Audits und Überprüfungen auf Einhaltung der Best Practices und ethischen Standards durch.

So kann Stripe Radar Sie unterstützen

Stripe Radar verwendet KI-Modelle, um Betrug zu erkennen und zu verhindern. Diese Modelle wurden mit Daten aus dem globalen Netzwerk von Stripe trainiert. Sie werden kontinuierlich auf der Grundlage neuester Betrugstrends aktualisiert und schützen Ihr Unternehmen vor aufkommenden betrügerischen Aktivitäten.

Stripe bietet außerdem Radar for Fraud Teams an, mit dem Nutzer/innen benutzerdefinierte Regeln für Betrugsszenarien hinzufügen können, die speziell auf ihr Unternehmen zugeschnitten sind. Außerdem erhalten sie Zugang zu neuesten Erkenntnissen über betrügerische Aktivitäten.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Verluste durch Betrug verhindern: Stripe verarbeitet jährlich Zahlungen in Höhe von über 1,9 Billionen USD. Diese Skalierung ermöglicht es Radar auf einzigartige Weise, Betrug zu erkennen und zu verhindern, wodurch Sie Geld sparen.

• Umsatz steigern: Die KI-Modelle von Radar werden anhand tatsächlicher Anfechtungsdaten, Kundeninformationen, Daten zum Surfverhalten und mehr trainiert. Damit kann Radar riskante Transaktionen identifizieren und falsch positive Ergebnisse reduzieren und so Ihren Umsatz steigern.

• Zeit sparen: Radar ist in Stripe integriert und lässt sich ohne Codierung einrichten. Sie können über eine einzige Plattform Ihre Performance mit Blick auf Betrug überwachen, Regeln schreiben und vieles mehr. Das erhöht die Effizienz.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.