Die FINMA hat am 4. Juni 2026 die Aufsichtsmitteilung 04/2026 veröffentlicht und damit ihre Aufsichtsmitteilung 05/2023 zur Geldwäschereirisikoanalyse ergänzt. Sie hat die ursprünglich über dreissig Banken teils erneut geprüft und zahlreiche weitere Institute dazugenommen. Die FINMA erkannte dabei Fortschritte — namentlich bei der Definition der Risikotoleranz und beim Aufbau der Risikoanalysen —, stellte aber weiteres Verbesserungspotenzial fest. Wer eine Bank oder einen FINIG-Vermögensverwalter führt, schlägt diese Woche das Dokument auf, das der Prüfer zuerst liest: die institutsspezifische Risikoanalyse nach Art. 25 Abs. 2 GwV-FINMA.

Die FINMA bezeichnet die Risikoanalyse als zentrales Instrument der strategischen Leitung eines Finanzinstituts und als einen Ausgangspunkt des Risikomanagements. Das Dokument hält fest, welche Risiken das Institut trägt, welche es ausschliesst und wie es die Einhaltung überwacht. Viele Häuser stecken ihre Sorgfalt ins Onboarding-Dossier und behandeln die Risikoanalyse als Pflichtbeilage. Die Prüfung dreht die Reihenfolge um: Das Kundendossier zeigt, ob eine einzelne Beziehung sauber geführt wird, die Risikoanalyse, ob das Institut überhaupt definiert hat, welche Beziehungen es gar nicht erst eingeht.

Die Beanstandung trifft 2026 denselben Nerv wie 2023: Es fehlen explizite Ausschlüsse. Wer keine Länder, Kundensegmente, Produkte oder Dienstleistungen benennt, die er bewusst nicht bedient, hat keinen kalibrierten Risikoappetit, sondern einen Katalog. Ein Katalog, der nicht zum Geschäftsmodell des Instituts passt, fällt in der ersten Prüfminute auf. Genau das verlangt Art. 25 Abs. 2 GwV-FINMA: dass die Analyse das gesamte Tätigkeitsgebiet und die Art der geführten Geschäftsbeziehungen abbildet. Daneben beanstandete die FINMA bei einem Teil der Institute auch methodische Mängel beim Aufbau der Risikoanalyse selbst.

Wo es konkret hakt, hat die Agentur AWP aus der Mitteilung zusammengetragen: Vereinzelt wurden politisch exponierte Personen im Risiko zu tief eingestuft, komplexe Strukturen zu nachlässig bewertet, Kryptodienstleistungen nicht als ausreichend risikoreich eingestuft. Dazu kommen zu grosszügig bewilligte Ausnahmen und schwach definierte Warnindikatoren. Jede dieser Lücken lässt eine problematische Beziehung leichter durchrutschen.

Neu ist, dass FINIG-Institute nun ausdrücklich und mit eigener methodischer Anleitung adressiert werden. 05/2023 hatte sie bereits erfasst, soweit das Risikoprofil es gebot, und viele hatten die Grundsätze bereits sinngemäss angewendet — 04/2026 kodifiziert diese Erwartungen. Für sie gelten dieselben methodischen Grundsätze wie für Banken, wobei die Detailtiefe geringer ausfallen darf, wo das Risikoprofil tiefer liegt. Die Lesart «das war für die Grossbanken gedacht» ist seit dem 4. Juni nicht mehr haltbar.

Die Aufgabe für Montag ist mechanisch: die eigene Risikoanalyse aufschlagen und prüfen, ob sie die bewusst gemiedenen Risiken beim Namen nennt und ob diese Ausschlüsse zum tatsächlichen Geschäft passen. Eine Frist setzt die FINMA nicht. Den Massstab verschiebt sie trotzdem: Die nächste aufsichtsrechtliche Prüfung und der GwG-Bericht der Revisionsstelle werden die Risikoanalyse voraussichtlich an der ergänzten Mitteilung messen — FINMA-Aufsichtsmitteilungen spiegeln sich erfahrungsgemäss in den Prüfungsstandards der Revisionsstellen wider.