AMLR bis Juli 2027: Die Roadmap für IT, Compliance und Marktbereiche
Wer bis zum 10. Juli 2027 nur Richtlinien liest, aber keine Systeme umbaut, wird die eigentliche Herausforderung zu spät sehen: Datenqualität, Review-Zyklen, Identifizierung, UBO-Logik und revisionsfeste Nachweisführung müssen in der Praxis zusammenpassen. Die AMLR (Regulation (EU) 2024/1624) ist am 9. Juli 2024 in Kraft getreten und gilt ab dem 10. Juli 2027 als direkt anwendbare Verordnung in allen 27 Mitgliedstaaten — ohne nationale Umsetzungsspielräume.
2026 ist das Jahr der Architektur, 2027 das Jahr der Disziplin. Die AMLR wird nicht an fehlenden Policies scheitern, sondern an fragmentierten Datenmodellen, uneinheitlichen KYC-Prozessen und zu spät harmonisierten Kontrolllogiken.
Wer verstehen will, wie nah diese Umstellung bereits ist, sollte den praxisnahen Überblick von kycnow neben die bankfachliche Übersetzung von zeb / BankingHub, die Identifizierungs- und Wallet-Perspektive von IDnow sowie die strukturierenden Übersichten von Accountancy Europe und Baker McKenzie legen. Ergänzend zeigt Finanstilsynet, wie stark die Reform als konkrete Vorbereitungsaufgabe gelesen wird.
Regulatorischer Fristenfahrplan — was wann final wird
Die AMLR setzt nicht schlagartig im Juli 2027 ein. Zahlreiche RTS-Fristen, die AMLD6-Stufentransposition und der AMLA-Selektionsprozess definieren vorher, wogegen Institute überhaupt bauen können.
Die 5 nützlichsten Artikel für IT und Compliance
Wer die AMLR praktisch verstehen will, braucht nicht zehn weitere Überblicksfolien. Diese fünf Artikel decken den nützlichsten Korridor zwischen KYC-Prozess, Datenmodell, Governance und technischer Umsetzung ab.
Was AMLA für Konzerne, Töchter und die potenziellen Top 40 bedeutet
Die AMLR verändert nicht nur Pflichten auf Institutsebene, sondern zieht die Gruppe enger zusammen. Nach Art. 16 AMLR muss das Mutterunternehmen gruppenweite Risikoanalysen, Policies, Procedures und Controls über alle Zweigstellen und Tochtergesellschaften hinweg sicherstellen — inklusive Datenschutz- und Informationsaustauschregeln für AML/CFT-Zwecke. Die zugehörigen RTS, die die Mindestanforderungen konkretisieren, muss AMLA gemäß Art. 16(4) AMLR bis zum 10. Juli 2026 als Entwurf vorlegen. Erst dann kennen Institute die verbindlichen Details der gruppenweiten Sollarchitektur.
Für Konzerne
- Gruppenweite Risikoanalyse statt lokaler Teiloptimierung
- Harmonisierte Policies, Procedures und Controls
- Gruppeninterner AML/CFT-Informationsaustausch wird operativ zentral
- Art. 16 Abs. 2: erstmals explizite Pflicht zu gruppenweiter Compliance-Governance mit Berichtslinie ans Mutterunternehmen
Für Töchter & Zweigstellen
- Lokale Spezifika bleiben, aber weniger Spielraum bei Grundlogik
- Schwache Tochterprozesse schlagen stärker auf die Gruppe durch
- KYC-, Screening- und Re-Review-Logik müssen konsistenter werden
- Auch Nicht-Verpflichtete innerhalb der Gruppe müssen AML-relevante Informationen teilen (Art. 16 Abs. 3)
Für potenzielle Top-40-Gruppen
- Ab 2028 direkte AMLA-Aufsicht über Joint Supervisory Teams (AMLA + nationale Aufseher)
- Selektionsprozess ab 1. Juli 2027, vorbereitet durch Test-Datenerhebung seit März 2026
- Bindende Entscheidungen, Untersuchungen und Vor-Ort-Prüfungen möglich
- Periodische Überprüfung alle drei Jahre; AMLA kann Zahl in Folgeprozessen erhöhen
Voraussetzung für die Selektionsfähigkeit ist materielle Tätigkeit in mindestens sechs Mitgliedstaaten.
Die EBA definiert „materiell“ über zwei Schwellen: > 20.000 Kunden in einem Mitgliedstaat
oder ein Transaktionsvolumen von > 50 Mio. EUR.
Wer keinen der beiden Schwellenwerte in mindestens sechs Ländern überschreitet, fällt nicht in die Auswahlmenge.
Die Selektion erfolgt dann anhand des residualen Risikoprofils:
Hohes inhärentes Risiko allein reicht nicht — entscheidend ist, ob die AML/CFT-Controls proportional zum Geschäftsrisiko sind.
Quellen: AMLA Explainer · AMLA Data Collection (März 2026) · AMLA-Regulation · Freshfields: Draft RTS on Selection
Drei Roadmaps bis 10. Juli 2027
Die AMLR trifft nicht alle Bereiche gleich. Eine einzige Sammel-Roadmap klingt ordentlich, verschleiert aber die operative Realität. IT, Compliance/AFC und Marktbereiche arbeiten auf dasselbe Datum zu — aber mit unterschiedlichen Arbeitspaketen, Risiken und Nachweispflichten. Wichtig: Einige der zentralen RTS, insbesondere zu gruppenweiten Anforderungen (Art. 16) und CDD, werden erst Mitte 2026 als Entwurf vorliegen. Die Roadmaps müssen daher so angelegt sein, dass sie die endgültigen Spezifikationen integrieren können, ohne den Zeitplan zu sprengen.
Roadmap für IT
Zielbild: AMLR-fähige Daten- und Prozessarchitektur
Für IT liegt der Schwerpunkt auf Datenmodell, Integrationen, Trigger-Logik, revisionsfester Dokumentation und gruppenweiter Konsistenz.
- KYC-, UBO-, PEP- und Screening-Felder analysieren
- Zielarchitektur für gruppenweite Datenflüsse festlegen
- Onboarding, Monitoring und Dokumentation inventarisieren
- RTS-Entwürfe (Art. 16, CDD) einarbeiten, sobald AMLA sie im Juli 2026 vorlegt
- Fachliches KYC-Datenmodell übersetzen
- Event-driven Reviews technisch definieren
- Schnittstellen zwischen KYC, TM, Case Management und SAR harmonisieren
- BO-Register-Anbindung vorbereiten (AMLD6 BO-Umsetzung seit Juli 2026 live)
- Migrationslogik für Altbestände aufsetzen
- UBO-, PEP- und Sanktionslogik vereinheitlichen
- Audit-Trails und Evidenzpfade testen
- Re-KYC- und Eskalationsläufe simulieren
- Management-Reporting und Datenlieferfähigkeit prüfen (insb. AMLA-Datenanforderungen)
- Produktionsfreigabe vorbereiten
- AMLR-fähige Systeme produktiv fahren
- Kinderkrankheiten im Livebetrieb priorisieren
- Datenqualität laufend nachschärfen
Roadmap für Compliance und AFC
Zielbild: AMLR-konformer Kontrollrahmen
Compliance und AFC müssen Governance, Risikoanalyse, Policies, Qualitätssicherung und gruppenweite Aufsichtsfähigkeit zusammenziehen.
- AMLR-/AMLD6-/AMLA-Gap-Analyse durchführen
- Gruppenweite Risikoanalyse-Logik schärfen
- Relevanz möglicher AMLA-Direktaufsicht bewerten (Materialitätsschwellen prüfen: >20.000 Kunden / >50 Mio. EUR je Mitgliedstaat)
- AMLD6-Transpositionsstand im Auge behalten: BO-Register seit Juli 2026, Gesamtumsetzung bis Juli 2027
- Policies und Standards aktualisieren — unter Einbezug der RTS Art. 16 (gruppenweite Mindestanforderungen)
- Rollen von MLRO, AFC, 2nd Line und Marktbereichen klären
- Outsourcing- und Kontrollschnittstellen dokumentieren (Art. 18 AMLR)
- CDD-, EDD-, Monitoring- und SAR-Kontrollen finalisieren
- Quality Assurance und Review-Verfahren ausrichten
- Schulungsprogramm für 1st und 2nd Line ausrollen
- Kontrollwirksamkeit testen
- Aufsichtsanfragen und Findings simulieren
- Evidenzpakete für Prüfungen vorbereiten
- Laufende Wirksamkeit sichern
- Lücken schnell remediieren
- Gruppenweite Steuerung verstetigen
Roadmap für Marktbereiche und 1st Line
Zielbild: AMLR-tauglicher Kundenbetrieb
Marktbereiche müssen die AMLR nicht abstrakt kennen, sondern im Kundenkontakt sauber leben: Unterlagen, Trigger, Eskalationen und Re-KYC im Tagesgeschäft.
- Kritische Kundensegmente identifizieren
- Grenzüberschreitende und komplexe Strukturen priorisieren
- Pain Points im Onboarding erfassen
- Unterlagen- und Nachforderungslogik schärfen
- Eskalationswege festziehen
- Verantwortung zwischen Vertrieb, KYC Ops und Compliance klären
- Piloten in ausgewählten Segmenten starten
- Re-KYC-Wellen für kritische Bestände aufsetzen
- Praxisleitfäden für Relationship Manager ausrollen
- Breiter Rollout in der 1st Line
- Engpässe im Echtbetrieb sichtbar machen
- Feedback-Schleifen mit IT und Compliance schließen
- Klarere Prozessführung im Kundenkontakt
- Weniger Medienbruch, weniger Ad-hoc-Eskalation
- Höherer Dokumentationsdruck, aber stabilere Abläufe
Prioritäten für IT, Compliance und Markt
Für IT
KYC- und Screening-Systeme müssen nicht nur neue Felder aufnehmen, sondern Review-Logik, Trigger, Nachweisführung und Datenqualität revisionssicher abbilden. Besonders kritisch: UBO-Strukturen, Re-KYC-Auslöser, Identifizierungsverfahren und die saubere Verbindung von Onboarding, Monitoring und Reporting. Hinzu kommt die Datenlieferfähigkeit für AMLA-Datenanforderungen, die seit März 2026 konkrete Form annehmen.
Für Compliance
AMLR verlangt einen engeren Zusammenhang zwischen Policy, Risikoanalyse, CDD, Monitoring und Dokumentation. Wer 2026 nur Richtlinien aktualisiert, aber keine belastbare Prozess- und Kontrollübersetzung schafft, wird 2027 im Betrieb scheitern. Die gestaffelte AMLD6-Transposition (BO-Register ab Juli 2026, Gesamtrahmen ab Juli 2027) verlangt zudem eine doppelte Aufmerksamkeit auf nationale Umsetzungsschritte.
Für Marktbereiche
Die 1st Line wird mit AMLR stärker Teil der Nachweislogik. Es geht nicht nur um Kundennähe, sondern um dokumentierbare Unterlagen, fristgerechte Nachforderungen, konsistente Eskalation und belastbare Zusammenarbeit mit KYC Ops und Compliance.
Die fünf größten Fehler
Fazit
2026 ist das Jahr der Architektur, 2027 das Jahr der Disziplin. Wer jetzt die richtigen Quellen liest und daraus eine gemeinsame Roadmap für IT, Compliance und Marktbereiche baut, wird die AMLR nicht nur überstehen, sondern die eigene KYC- und Kontrolllandschaft auf ein deutlich robusteres Niveau heben. Die regulatorische Fristenlogik — RTS-Entwürfe bis Juli 2026, AMLA-Selektion ab Juli 2027, Direktaufsicht ab Januar 2028 — lässt kein zweites Halbjahr 2027 für Nacharbeiten. Wer bis dahin nicht in der Architektur steht, wird die Disziplinphase nicht bestehen.
