Inhalt
Das Wichtigste in Kürze
- Ein KYC-Dossier ist prüfbereit, wenn es vollständig ist, Widersprüche aufgelöst oder markiert sind, jede Angabe eine Fundstelle hat und offene Punkte als Liste vorliegen.
- Pro Dossier entsteht ein Prüfpaket mit Quellen, abgeglichenen Angaben, offenen Punkten und dem Protokoll jedes Prüfschritts, so aufgebaut, dass eine zweite Person es ohne Rückfrage nachvollziehen kann.
- KI-Agenten lesen jedes Dokument in jedem Dossier statt einer Stichprobe. Der Entscheid über die Geschäftsbeziehung bleibt bei den Personen, die dafür bewilligt und verantwortlich sind.
- Ein Dienstleister, der Dossiers vorbereitet, entscheidet nicht über Geschäftsbeziehungen, erstattet keine Meldungen an Behörden und greift ohne schriftlichen Auftrag auf keine Kundendaten zu.
- Dokumentation und unabhängige Überprüfung, zwei Punkte der FINMA-Aufsichtsmitteilung 08/2024, sind im Prüfpaket von Anfang an eingebaut.
Wann viele Dossiers in kurzer Zeit prüfbereit sein müssen
- Remediation
- Ein Institut schliesst Lücken in bestehenden Kundendossiers, zum Beispiel nach einer internen Prüfung oder wenn sich Weisungen geändert haben. Jedes betroffene Dossier wird auf den geforderten Stand gebracht.
- Abwicklung
- Ein Geschäftsbereich oder ein Kundenportfolio wird aufgegeben oder übertragen. Bevor Kundenbeziehungen übergehen oder enden, muss jedes Dossier stimmen.
- Liquidation
- Eine Gesellschaft wird aufgelöst. Jede Kundenbeziehung wird abgeschlossen, und jeder Entscheid darüber muss sich später belegen lassen.
Die drei Lagen folgen demselben Muster. Über Jahre wurden die Unterlagen in verschiedenen Systemen abgelegt, teils von Leuten, die nicht mehr im Haus sind. Die Fachleute, die entscheiden dürfen, sind wenige. Jede Stunde, die sie mit Suchen verbringen, fehlt beim Urteil.
Was prüfbereit heisst
Prüfbereit ist ein Dossier, wenn die verantwortliche Person entscheiden kann, ohne selbst zu suchen. Daran lassen sich fünf Merkmale prüfen.
- Vollständig
- Alle Unterlagen, die nach den Weisungen des Instituts zum Dossier gehören, liegen vor, oder ihr Fehlen ist vermerkt. Typisch sind die Identifizierung der Vertragspartei, die Angaben zur wirtschaftlich berechtigten Person, der Zweck der Geschäftsbeziehung und, wo verlangt, die Herkunft der Vermögenswerte.
- Widerspruchsfrei oder markiert
- Angaben, die sich widersprechen, sind aufgelöst oder als Widerspruch markiert, mit beiden Fundstellen. Beispiel: Das Kundenprofil nennt einen Wohnsitz, die jüngste Korrespondenz geht an eine Adresse in einem anderen Land.
- Jede Angabe mit Fundstelle
- Jede Angabe im Dossier zeigt, aus welchem Dokument und von welcher Seite sie stammt. Eine Angabe ohne Fundstelle gilt als offen.
- Offene Punkte als Liste
- Was fehlt, abgelaufen ist oder nicht passt, steht auf einer Liste, mit Grund und Fundstelle. Wer entscheidet, liest diese Liste zuerst.
- Ohne Rückfrage nachvollziehbar
- Eine zweite Person, die das Dossier nie gesehen hat, kann jeden Schritt nachvollziehen, ohne jemanden fragen zu müssen.
Aus diesen Merkmalen entsteht pro Dossier ein Prüfpaket mit vier Teilen.
| Teil | Inhalt | Wozu |
|---|---|---|
| Quellen | Jedes gelesene Dokument mit System, Ablageort und Datum | Zeigt, worauf sich das Paket stützt und was fehlt |
| Abgeglichene Angaben | Jede Angabe aus dem Kundenprofil neben den Dokumenten, die sie bestätigen oder ihr widersprechen | Macht jede Angabe einzeln überprüfbar |
| Offene Punkte | Lücken, Widersprüche und abgelaufene Dokumente, mit Grund und Fundstelle | Ist die Arbeitsliste für die Person, die entscheidet |
| Protokoll | Jeder Prüfschritt: welches Dokument, welche Regel, welches Ergebnis, wer wann freigegeben hat | Hält den Prüfweg auch später nachvollziehbar |
Warum alles lesen statt einer Stichprobe
Eine Stichprobe beantwortet die Frage, wie gut ein Bestand im Durchschnitt ist. In einer Remediation, Abwicklung oder Liquidation braucht jede einzelne Kundenbeziehung ein Urteil. Ein Widerspruch in einem Dossier, das nicht in der Stichprobe lag, bleibt liegen, bis ihn jemand zufällig findet.
Von Hand ist vollständiges Lesen teuer. Rechenbeispiel mit runden Annahmen: 100 Dossiers mit je 30 Dokumenten und 5 Minuten Lesezeit pro Dokument ergeben 250 Stunden reines Lesen, noch ohne Abgleich und ohne Urteil. Setzen Sie Ihre eigenen Zahlen ein. Genau dieses Lesen nehmen Agenten ab.
Agenten lesen jedes Dokument in jedem Dossier, ordnen es der richtigen Kundenbeziehung zu und gleichen es nach Regeln im Klartext gegen das Kundenprofil ab. Was nicht passt, wird mit Fundstelle markiert und nie stillschweigend korrigiert. Die Stichprobe bekommt damit eine neue Aufgabe: Die verantwortlichen Personen prüfen jede Markierung und zusätzlich eine Stichprobe der unauffälligen Dossiers, um die Agenten selbst zu kontrollieren. Die FINMA nennt Stichproben in ihrer Aufsichtsmitteilung 08/2024 ausdrücklich als ein Mittel, um die Qualität von KI-Ergebnissen laufend zu prüfen.
Das Prinzip dahinter, zuerst die Referenz festhalten und dann jedes Dokument dagegen lesen, beschreibt die Seite Leistungen für die Dossierprüfung im Detail: was hineingeht, wer freigibt und was festgehalten wird.
Der Ablauf in sechs Schritten
- 01Auftrag und ZugriffDas Institut erteilt einen schriftlichen Auftrag: welche Dossiers, welche Systeme, wer Zugriff hat und wo die Daten verarbeitet werden. Der Auftragsbearbeitungsvertrag ist unterschrieben, bevor die erste Datei geöffnet wird.
- 02Regeln im KlartextDie Weisungen des Instituts werden in Prüfregeln übersetzt, die jede Fachperson lesen kann: welche Unterlagen ein Dossier braucht, welche Angaben übereinstimmen müssen, was als offener Punkt gilt. Das Institut gibt die Regeln frei, bevor geprüft wird.
- 03ZusammenführenAgenten sammeln die Unterlagen pro Kundenbeziehung aus den freigegebenen Quellen und ordnen jedes Dokument zu.
- 04Abgleichen und markierenJede Angabe wird gegen das Kundenprofil und die übrigen Dokumente abgeglichen. Lücken und Widersprüche werden mit Fundstelle markiert, und pro Dossier entsteht das Prüfpaket.
- 05FreigabeDie Personen, die dafür bewilligt und verantwortlich sind, prüfen jedes Prüfpaket, jede Markierung und eine Stichprobe der unauffälligen Dossiers. Sie geben frei, weisen zurück oder verlangen weitere Abklärungen. Über die Geschäftsbeziehung entscheiden ausschliesslich sie.
- 06ProtokollJeder Schritt steht im Replay-Log: welches Dokument, welche Regel, wer wann freigegeben hat. Rückfragen zum Prüfweg lassen sich aus dem Protokoll beantworten.
Begonnen wird mit einer begrenzten Zahl Dossiers und einem gemessenen Ergebnis: wie lange ein Dossier bisher dauerte, wie lange mit Prüfpaket und wie viele Markierungen sich als berechtigt erwiesen. Erst danach wird über den Rest entschieden. Wie die Schritte bei Grow Amplified aufeinander folgen, steht unter Vorgehen.
Was ein Dienstleister dabei nicht tut
- Er entscheidet nicht über Geschäftsbeziehungen, weder über ihre Weiterführung noch über ihre Beendigung.
- Meldungen an Behörden erstattet er keine, auch nicht im Namen des Instituts. Ob eine Meldung nötig ist, beurteilen die verantwortlichen Personen.
- Er übt keine Tätigkeit aus, die eine Bewilligung der FINMA oder den Anschluss an eine Selbstregulierungsorganisation voraussetzt.
- Ohne schriftlichen Auftrag des Instituts greift er auf keine Kundendaten zu.
- Stillschweigend korrigiert er nichts. Jede Abweichung bleibt sichtbar, bis eine verantwortliche Person sie beurteilt hat.
Diese Grenzen gelten für Grow Amplified ohne Ausnahme und stehen auch auf der Seite Leistungen. Ob ein konkreter Auftrag aufsichtsrechtlich als Auslagerung gilt und welche Anforderungen dann greifen, beurteilt das Institut mit seiner Rechtsberatung.
Für die Daten gilt bei Grow Amplified: Verarbeitung in der Schweiz, ein Auftragsbearbeitungsvertrag vor dem ersten Zugriff, nur die Daten, die der Auftrag braucht, und jeder Zugriff protokolliert. Geheimhaltungspflichten werden vertraglich auf alle Beteiligten überbunden.
Was das mit der FINMA-Aufsichtsmitteilung 08/2024 zu tun hat
In ihrer Aufsichtsmitteilung 08/2024 beschreibt die FINMA, worauf sie beim Einsatz von KI in beaufsichtigten Instituten achtet. Die sieben Punkte erklärt der Beitrag FINMA-Aufsichtsmitteilung 08/2024 einfach erklärt. Zwei davon betreffen die Dossierarbeit direkt.
Dokumentation. Die FINMA beobachtete, dass Dokumentation teilweise nicht detailliert genug und nicht auf ihre Empfänger ausgerichtet war. Im Prüfpaket entsteht die Dokumentation Schritt für Schritt während der Arbeit: Regeln im Klartext, eine Fundstelle zu jeder Angabe, ein Protokolleintrag zu jedem Schritt. Geschrieben ist sie für die Person, die entscheidet, und für jede Stelle, die später nachprüft.
Unabhängige Überprüfung. Die FINMA sah nicht überall eine klare Trennung zwischen der Entwicklung einer KI-Anwendung und ihrer unabhängigen Überprüfung. Die Freigabe durch die verantwortlichen Personen ersetzt diese Überprüfung nicht. Sie macht sie aber möglich: Weil jede Regel im Klartext und jeder Schritt im Protokoll steht, kann eine Stelle, die nicht mitgebaut hat, etwa die interne Revision oder eine Prüfgesellschaft, den Prüfweg vollständig nachvollziehen.
Wie die Arbeit zwischen Agent und Mensch aufgeteilt wird, beschreibt der Beitrag Vier-Augen-Prinzip mit KI-Agenten. Timon Wick, Founder und CEO von Grow Amplified, hat in 15 Jahren Banking und Consulting unter anderem in einer Grossbank das Onboarding juristischer Personen vereinfacht (Profil).
Häufige Fragen
Wann ist ein KYC-Dossier prüfbereit?
Wenn es vollständig ist oder seine Lücken vermerkt sind, Widersprüche aufgelöst oder markiert sind, jede Angabe eine Fundstelle hat und offene Punkte auf einer Liste stehen. Dazu kommt ein Protokoll jedes Prüfschritts, sodass eine zweite Person das Dossier ohne Rückfrage nachvollziehen kann.
Entscheidet die KI über Kundenbeziehungen?
Nein. Agenten lesen, ordnen zu und markieren. Über Kundenbeziehungen entscheiden ausschliesslich die Personen, die dafür bewilligt und verantwortlich sind.
Braucht ein Dienstleister für die Dossieraufbereitung eine Bewilligung der FINMA?
Das hängt davon ab, was er tut. Grow Amplified übt keine Tätigkeit aus, die eine Bewilligung der FINMA oder den Anschluss an eine Selbstregulierungsorganisation voraussetzt: keine Entscheide über Geschäftsbeziehungen, keine Meldungen an Behörden, kein Zugriff ohne schriftlichen Auftrag. Wie ein konkreter Auftrag einzuordnen ist, klärt das Institut mit seiner Rechtsberatung.
Wo werden die Kundendaten verarbeitet?
Bei Grow Amplified in der Schweiz. Vor dem ersten Zugriff liegen ein schriftlicher Auftrag und ein Auftragsbearbeitungsvertrag vor, verarbeitet werden nur die Daten, die der Auftrag braucht, und jeder Zugriff wird protokolliert.
Ersetzt das Prüfpaket die Prüfung durch Fachleute?
Nein. Es nimmt ihnen das Suchen, Zusammentragen und Abgleichen ab. Die Fachleute prüfen jede Markierung und eine Stichprobe der unauffälligen Dossiers, und sie entscheiden.
Wie fängt man an?
Mit einer begrenzten Zahl Dossiers und einem gemessenen Ergebnis: Dauer pro Dossier vorher und nachher, und wie viele Markierungen berechtigt waren. Erst danach wird über den Rest entschieden.
15 Jahre in Banking und Consulting, in Transformation und Finance Operations. Heute baut er mit Grow Amplified Prüfstrassen: Agenten lesen und gleichen ab, ein Mensch gibt frei, und ein Replay-Log hält fest, wer was entschieden hat.