Anforderungen und Leistungsmerkmale in Compliance-Prozessen

GwG-Vorschriften definieren Bedingungen, ohne vorzugeben wie bzw. mit welchen Hilfsmitteln sie zu erfüllen sind. Man nennt diese Bedingungen Anforderungen. Ein Beispiel ist Art. 6 GwG, der das Abklären der Hintergründe und des Zwecks von Politisch Exponierten Personen (PEP) verlangt. Hierfür kann ein Finanzintermediär im Internet recherchieren, den Kunden befragen und/oder den Kundenstamm mit einer kommerziellen PEP-Liste abgleichen. Ein solcher PEP-Listen-Abgleich ist dann ein Leistungsmerkmal einer Compliance-Lösung. Im Hinblick auf die Digitalisierung von Prozessen ist die Unterscheidung zwischen Anforderungen und Leistungsmerkmalen wichtig.

Prozess-Digitalisierung sind in der Regel schwierige Umstrukturierungsprojekte. Vereinfacht sind die einzelnen Schritte folgende: (1) Ausgehen von bekannten, oft gewohnten und liebgewonnen Leistungsmerkmalen aus. (2) Das Ermitteln der Anforderungen, welches ein bestimmtes Leistungsmerkmal erfüllen soll, erfordert häufig einen erheblichen Abstraktionsschritt, der nicht immer auf Anhieb gelingt. (3) Eine kritische Einschätzung der Anforderung ergibt, ob diese noch aktuell ist und allenfalls durch eine alternative Anforderung ersetzt werden kann. Beispiele dazu sind Erweiterung des PEP-Konzeptes mit nationalen PEP (in Kraft seit 2016) oder die Möglichkeit Kunden Online oder mit Video zu identifizieren.

Nach dem aufgrund der Anforderungen klar ist, was zu erfüllen ist, müssen verschiedene Möglichkeiten gefunden werden, wie und in welcher Reihenfolge man diese optimal erfüllt. In der Regel kommen verschiedene Optimalitätskriterien wie Kosten, Ressource, Risiken, etc. zur Anwendung. Ist der neue Prozess definiert, gilt es diesen umzusetzen. Die Umsetzung erfordert ein geeignetes Change Management, da häufig umfassende, bereichsübergreifende und inhaltlich weitreichende Veränderungen anstehen.

Datenschutzgesetz

Das Schweizer Datenschutzgesetz wurde 2020 total revidiert und ist in seiner neuen Fassung am 1. September 2023 in Kraft getreten, zusammen mit der neuen Datenschutzverordnung (DSV). Die Revision selbst ist abgeschlossen, aber die Anwendungspraxis entwickelt sich weiter. Besonders relevant ist das Thema KI: Der EDÖB hat am 8. Mai 2025 bestätigt, dass das DSG technologieneutral und direkt für alle KI-Anwendungen gilt. Praktisch heisst das u.a., dass Nutzer wissen müssen, ob sie mit KI kommunizieren (Transparenzpflicht, Art. 19), und dass eine Datenschutz-Folgenabschätzung bei hohem Risiko – etwa bei Profiling oder Gesichtserkennung – obligatorisch ist (Art. 22). Das Bundesamt für Justiz (BJ) erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage zur KI-Regulierung. Damit wird die Schweiz die KI-Konvention des Europarats umsetzen.

Eurospider Information Technology AG
Winterthurerstrasse 92
8006 Zürich