Die FINMA hat mit der Aufsichtsmitteilung 04/2026 vom 4. Juni keine neue Pflicht geschaffen. Sie hat einen Teil der über dreissig Banken, die sie im Frühjahr 2023 geprüft hatte, sowie zahlreiche weitere Institute einbezogen und konkretisiert, was Art. 25 Abs. 2 GwV-FINMA an eine «angemessene» Analyse verlangt. Wessen Verwaltungsrat 2024 eine Risikoanalyse als angemessen abgesegnet hat, muss heute damit rechnen, dass genau dieses Dokument unter der Linie liegt. Dass die Mitteilung auch die Vermögensverwalter ausdrücklich erfasst und explizite Ausschlüsse verlangt, haben wir am 6. Juni behandelt. Hier geht es um die Genehmigung selbst — und um das, was sie neu tragen muss.

Die Risikoanalyse ist das Dokument, das der Verwaltungsrat nach Art. 25 GwV-FINMA genehmigt und dessen Risikotoleranz er verantwortet. Aufsichtsmitteilung 05/2023 verlangt genau das: dass das oberste Organ die Analyse absegnet und die Toleranz förmlich festlegt. Deshalb trifft die Verschiebung nicht die Compliance-Stelle, sondern die Unterschrift zuoberst. Die Genehmigung von 2024 bescheinigte, dass die Analyse den damaligen Erwartungen genügte. Was dieselbe Unterschrift heute bescheinigen muss, ist in zwei messbaren Punkten strenger.

Der erste Prüfpunkt ist die Abdeckung. Art. 25 Abs. 2 GwV-FINMA verlangt, dass die Analyse das gesamte Tätigkeitsgebiet erfasst, also alle Pflichtkategorien — auch die mit tiefem oder mittlerem inhärentem Risiko, nicht nur die auffälligen. Für einzelne Kategorien setzt die FINMA den inhärenten Boden fest: Politisch exponierte Personen, komplexe Strukturen und Kryptodienstleistungen gelten als hoch — und sehr hohe inhärente Risiken lassen sich nach Anhang 3 APV-FINMA selbst durch wirksame Massnahmen nicht unter «hoch» senken. Eine Analyse, die solche Kategorien als «mittel» führt, ist damit nicht vorsichtig kalibriert, sondern zu tief eingestuft. Die rechtliche Auswertung der ergänzten Mitteilung hält den Befund fest: Wo der Boden feststeht, entspricht die Unterbewertung nicht den Erwartungen der FINMA — und steht damit nicht mehr im Ermessen des Instituts.

Der zweite Prüfpunkt ist die Ausnahme. Einen systematisch hohen Bestand bewilligter Ausnahmen liest die FINMA als Beleg, dass die genehmigte Risikotoleranz auf dem Papier steht und im Tagesgeschäft nicht gilt. Wer höhere Risiken dauerhaft tragen will, muss die Toleranz durch einen Beschluss des obersten Organs anheben, nicht durch die Sammelmappe der Einzelbewilligungen. Damit wird der Ausnahmezähler zur Prüfgrösse. Er zeigt, ob die Unterschrift des Verwaltungsrats den tatsächlichen Risikoappetit abbildet oder ihn stillschweigend überschreibt.

Die Aufgabe für Montag liegt beim obersten Organ, nicht bei der Fachstelle. Vor dem nächsten GwG-Bericht der Revisionsstelle prüft der Verwaltungsrat zwei Dinge an seiner eigenen Genehmigung: ob die Analyse jede Pflichtkategorie auf dem richtigen inhärenten Niveau abdeckt, und ob das Ausnahmeprotokoll der abgesegneten Toleranz widerspricht. Wo die Antwort nein lautet, genehmigt er die Analyse am höheren Massstab neu oder erweitert die Toleranz förmlich. Eine Frist nennt die FINMA nicht. Doch die nächste aufsichtsrechtliche Prüfung und der GwG-Bericht der Revisionsstelle dürften die Risikoanalyse an 04/2026 messen — und damit die Unterschrift von 2024 nachbenoten.