EU-AML-VO für Versicherer

KYC endet nicht beim Versand der Police

Ab dem 10. Juli 2027 gilt die EU-AML-VO. Für Versicherer wird Geldwäscheprävention damit noch stärker zu einer Frage des laufenden Betriebs: Welche Kundendaten sind verlässlich? Welche Risikologik greift im Vertrieb, im Bestand und im Leistungsfall? Und wer kann im Prüfungsfall belegen, dass Kontrollen nicht nur definiert, sondern im Alltag wirksam sind?

Speziell Lebensversicherer, Anbieter investmentbezogener Versicherungsprodukte und Versicherungsvermittler sowie Vertriebsorganisationen, soweit sie investmentbezogene Lebensversicherungsprodukte vertreiben oder vermitteln, müssen ihre AML-Prozesse entlang des gesamten Kunden- und Vertragslebenszyklus neu einordnen. Die Herausforderung liegt in der Verbindung von Fachlichkeit, Daten, Systemen und Verantwortung.

Sopra Steria unterstützt Versicherer dabei, diese Verbindung herzustellen: angefangen mit einem AML-Readiness Check über die fachliche und technische Konzeption und Umsetzung bis zur stabilen Verankerung in Betrieb, Governance und Kontrollen.

AML-Readiness prüfen

Was sich durch die EU-AML-VO verändert

Die EU-AML-VO schafft einen harmonisierten europäischen Rahmen für die Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Für Versicherer bedeutet das: Die Wirksamkeit der AML-Compliance hängt maßgeblich davon ab, ob Risikoanalyse, Kundendaten, Risikoklassifizierung, Überwachung, Kontrollen und Verantwortlichkeiten über den gesamten Vertragsverlauf zusammenpassen. Die Risikoanalyse bildet dabei die Grundlage für die Ausgestaltung der Sorgfaltspflichten, Kontrollen und Überwachungsmaßnahmen.

Das beginnt bei der Anbahnung und Beratung. Es betrifft Abschlussprozesse, Bestandsführung, Zuzahlungen, Änderungen von Bezugsrechten, Leistungsfälle und regelmäßige Datenaktualisierungen. Auch Governance und Nachweisfähigkeit rücken stärker in den Mittelpunkt: Wer entscheidet? Welche Daten sind führend? Wo entsteht ein Prüfpfad? Und wie wird sichergestellt, dass Kontrollen nicht nur formal existieren, sondern im Tagesgeschäft greifen?

Viele Versicherer arbeiten heute mit gewachsenen Strukturen. Kundendaten liegen verteilt. Prozesse unterscheiden sich je nach Produkt, Vertriebskanal, Bestandssystem oder Organisationseinheit. Fachliche Verantwortung ist oft bekannt, aber nicht immer durchgängig in Systemen, Workflows und Kontrollen verankert.

Die EU-AML-VO macht diese Brüche sichtbar. Sie verlangt keine neue Parallelwelt für Compliance. Sie verlangt belastbare Abläufe in der bestehenden Versicherungsrealität.

Auswirkungen innerhalb des Kundenlebenszyklus

Die Umsetzung der EU-AML-VO beginnt somit dort, wo Kundenbeziehungen entstehen, verändert, überwacht und ausgezahlt werden.

Risiken verändern sich entlang des gesamten Kunden- und Vertragslebenszyklus und müssen regelmäßig neu bewertet werden.

Bereits frühe Kontaktpunkte können relevant sein, wenn Produkte, Kundentypen oder Vertriebskanäle besondere Risiken aufweisen. Entscheidend ist, ob Informationen strukturiert erfasst werden und später im Prozess verwendbar bleiben. Was im Lead-Management fehlt, kann im Abschluss, im Bestand oder im Leistungsfall nicht belastbar geprüft werden.

Im Abschlussprozess müssen Identifikation, Verifikation, wirtschaftliche Eigentümer, PEP-Prüfung, Sanktionsscreening und Risikoklassifizierung zusammenpassen. Die Logik darf nicht nur dokumentiert sein. Sie muss in Systemen, Workflows und Kontrollpunkten abgebildet werden. Nur dann entsteht ein Prüfpfad, der auch unter Zeitdruck funktioniert.

Viele AML-relevante Veränderungen entstehen im Bestand: bei Adressänderungen, Beitragsanpassungen, Zuzahlungen, Vertragsübertragungen, Bezugsrechtsänderungen oder auffälligen Mustern. Die EU-AML-VO rückt deshalb laufende Überwachung und Datenaktualisierung stärker in den Mittelpunkt.

Im Leistungsfall müssen Auszahlungen, Begünstigte, wirtschaftliche Zusammenhänge und Auffälligkeiten geprüft werden. Für Versicherer ist das besonders sensibel, weil Leistungsprozesse oft unter Zeitdruck stehen und gleichzeitig sauber dokumentiert sein müssen. Die Kontrolllogik muss deshalb in die operative Bearbeitung passen, nicht danebenstehen.

Kundenbeziehungen verändern sich. Neue Produkte, geänderte Risikoprofile, neue Beteiligte oder veränderte Mittelherkunft können AML-relevant werden. Versicherer brauchen deshalb klare Auslöser, wann Kundendaten aktualisiert, Risiken neu bewertet und Prüfungen vertieft werden.

Aus der Regulatorik entsteht so ein Betriebsmodell mit klaren Daten, klarer Kontrolle und klarer Verantwortung.

Was Versicherer jetzt prüfen sollten

Die wichtigste Frage lautet: Welche AML-Logik muss in unserer Organisation verlässlich funktionieren?
Ein strukturierter Readiness Check sollte mindestens fünf Bereiche abdecken.

Verpflichtetenkreis und Produktumfang
Welche Gesellschaften, Produkte, Sparten, Vermittlerkonstellationen und Prozesse fallen in den Anwendungsbereich? Wo gibt es Grenzfälle, etwa bei investmentbezogenen Versicherungsprodukten, Gruppenstrukturen oder Vermittlungsmodellen? Welche Risiken ergeben sich aus Produkten, Kundengruppen, Vertriebskanälen und geografischen Bezügen? Wie spiegeln sich diese Risiken in der Risikoanalyse wider und welche Auswirkungen haben sie auf Sorgfaltspflichten, Kontrollen und Überwachung? Ohne sauberen Scope entsteht später Aufwand an der falschen Stelle.
Kundendaten und Datenqualität
Welche Daten werden für KYC, Risikoklassifizierung, PEP- und Sanktionsprüfungen benötigt? Wo liegen diese Daten heute? Welche Systeme gelten als führend? Wer ist fachlich verantwortlich? Und wo sind Daten unvollständig, mehrfach vorhanden oder nicht eindeutig zuordenbar?
Prozesse und Kontrollen
Welche Prozessschritte sind dokumentiert, welche laufen informell? Wo entstehen Medienbrüche? Sind die bestehenden Kontrollen risikoorientiert ausgestaltet? Lassen sich die identifizierten Risiken aus der Risikoanalyse nachvollziehbar den eingesetzten Kontrollen und Überwachungsmaßnahmen zuordnen? Wie wird dokumentiert, dass Entscheidungen nachvollziehbar getroffen wurden? Eine Kontrolle ist nur so belastbar wie der Prozess, in dem sie tatsächlich stattfindet.
Systeme und Schnittstellen
Welche Bestandssysteme, CRM-Systeme, Screening-Lösungen, Data-Warehouse-Strukturen und Reporting-Strecken sind beteiligt? Welche fachlichen Anpassungen ziehen technische Änderungen nach sich? Welche Schnittstellen sind kritisch für die Roadmap? Und welche Abhängigkeiten bestehen zu laufenden Transformationsprogrammen?
Governance und Betrieb
Welche Rollen tragen Verantwortung für AML? Wie arbeiten Vertrieb, Bestand, IT, Risikomanagement und Compliance zusammen? Wie werden Änderungen gesteuert? Wie werden Mitarbeitende befähigt? Und wie wird sichergestellt, dass die neue AML-Logik nicht nur im Projekt funktioniert, sondern im Betrieb stabil bleibt?

Whitepaper: EU-AML-VO für Versicherer

Zum Whitepaper

Unterstützung durch Sopra Steria

Sopra Steria unterstützt Versicherer dabei, die EU-AML-VO aus der regulatorischen Anforderung in arbeitsfähige Prozesse, Datenmodelle, Kontrollen und Systemanpassungen zu übersetzen. Wir starten in den Fachprozessen, in den Daten, in den Schnittstellen und in der Verantwortung zwischen Compliance, IT, Vertrieb und Betrieb – also dort, wo die Umsetzung entschieden wird.

Von der Standortbestimmung zur Umsetzung: AML-Readiness, fachliche und technische Umsetzung, operative Verankerung.

Wir prüfen gemeinsam mit Ihren Fach- und IT-Teams, wo regulatorischer Handlungsbedarf entsteht und welche Umsetzungsfelder zuerst angegangen werden müssen. Dazu gehören Verpflichtetenkreis, Produkt- und Prozessanalyse, Datenlage, Systemlandschaft, Kontrolllogik und Governance.

Das Ergebnis ist kein abstraktes Zielbild. Es ist eine belastbare Einordnung: Was ist kritisch? Was kann parallel laufen? Was braucht Vorlauf? Wo entstehen Abhängigkeiten zu laufenden IT- oder Transformationsprogrammen?

Wir übersetzen Anforderungen in Prozesse, Datenanforderungen, Kontrollpunkte und Systemänderungen. Dazu gehören KYC-Logik, Risikoklassifizierung, Screening, Monitoring, Datenaktualisierung, Dokumentation und Reporting.

Entscheidend ist die Verbindung von Fachlichkeit und Technologie. AML funktioniert nur dann verlässlich, wenn Regeln, Daten und Systeme denselben Prozess abbilden.

Die EU-AML-VO wird im Alltag entschieden. Deshalb unterstützen wir bei Rollenmodellen, Arbeitsanweisungen, Schulungslogik, Testfällen, Nachweisführung, Reporting und Übergang in den Betrieb.

So entsteht Geldwäscheprävention, die nicht nur im Projektplan steht. Sie läuft in den Prozessen, auf die Versicherer sich verlassen müssen.

Umsetzungsroadmap planen

Warum Sopra Steria

Sie arbeiten an Prozessen, die nicht ausfallen dürfen. Wir auch.

Sopra Steria entwickelt, modernisiert und betreibt digitale Kernsysteme für Banken, Versicherer, Verwaltungen, Industrie und kritische Infrastruktur. Für Versicherer heißt das: Wir denken Regulatorik nicht als Zusatzschicht, sondern als Teil stabiler Prozesse und Systeme.

Wir kennen die Arbeit an regulierten Finanzprozessen aus Projekten, in denen Fachbereich, IT und Compliance gemeinsam tragfähige Lösungen schaffen müssen.

Wir übersetzen regulatorische Anforderungen in operative Logik: Welche Daten werden gebraucht? Welche Kontrolle greift wann? Welche Entscheidung muss dokumentiert werden? Welche Anpassung gehört in welches System?

Wir bleiben auch dort verantwortlich, wo es kompliziert wird: bei gewachsenen Bestandssystemen, Schnittstellen, Datenqualität, Testlogik, Betriebsübergang und Nachweisfähigkeit.

Die EU-AML-VO greift dort, wo Kundenbeziehungen entstehen, sich Verträge verändern und Bestände geführt werden: im Vertrieb, im Bestand, im Leistungsfall. Entscheidend wird sein, AML-Risiken früh zu erkennen, Kundendaten belastbar zu halten und klare Verantwortung zwischen Vertrieb, Bestand, IT, Risikomanagement und Compliance zu verankern. Wer jetzt strukturiert vorbereitet, schafft Geldwäscheprävention, die im Alltag funktioniert und in Prüfungen trägt.

Larissa Franze, Managerin Anti-Financial Crime, Sopra Steria

Ihr nächster Schritt: EU-AML-VO Quick Check für Versicherer

Der EU-AML-VO Quick Check hilft, den eigenen Handlungsbedarf strukturiert einzuordnen. Im Fokus stehen Scope, Prozesse, Daten, Systeme, Governance und Umsetzungsroadmap. Sie erhalten eine erste Sicht darauf, wo Anpassungsbedarf besteht, welche Themen priorisiert werden sollten und welche Abhängigkeiten bis 2027 kritisch werden können.

Quick-Check starten

Sprechen Sie mich an

Larissa Franze

Managerin Anti-Financial Crime

Kontakt

Wichtige Antworten zur EU-AML-VO für Versicherer

Die Verordnung (EU) 2024/1624 gilt ab dem 10. Juli 2027 in weiten Teilen unmittelbar. Versicherer sollten die Vorbereitung deutlich früher starten, weil fachliche, organisatorische und technische Anpassungen ineinandergreifen.

Betroffen sind insbesondere Lebensversicherungsunternehmen, Anbieter investmentbezogener Versicherungsprodukte sowie bestimmte Versicherungsvermittler. Entscheidend ist der konkrete Verpflichtetenkreis und die Frage, welche Produkte, Gesellschaften und Vertriebsmodelle in den Anwendungsbereich fallen.

Versicherer sollten jetzt starten, weil KYC, Monitoring, Datenqualität, Kontrollen und Governance nicht kurzfristig angepasst werden können. Die Umsetzung betrifft Prozesse, Systeme und Verantwortlichkeiten und muss vor dem Stichtag im Betrieb funktionieren.

Eine Gap-Analyse zeigt, wo Anforderungen fehlen. Sie löst aber noch nicht, wie Prozesse, Daten, Systeme und Zuständigkeiten im Alltag zusammenarbeiten. Für Versicherer ist diese operative Verankerung entscheidend.

Art. 26 der EU-AML-VO setzt klare Höchstfristen: ein Jahr bei Kunden mit erhöhtem Risiko, fünf Jahre bei allen anderen Kunden. Zusätzlich müssen KYC-Daten aktualisiert werden, wenn relevante Änderungen eintreten. Entscheidend ist, dass Versicherer diese Fristen und Anlässe in ihren Prozessen und Systemen verlässlich abbilden.

Laufende Überwachung bedeutet, dass Geschäftsbeziehungen und relevante Vorgänge anlassbezogen, gegen das erwartete Kunden- und Risikoprofil geprüft werden. Für Versicherer betrifft das neben dem Abschluss auch Bestandsänderungen, Zuzahlungen, Begünstigtenwechsel, Leistungsfälle und weitere risikorelevante Ereignisse.

Die Risikoanalyse bildet die Grundlage des risikobasierten Ansatzes. Versicherer müssen nachvollziehbar bewerten, welche Risiken aus Produkten, Kundengruppen, Vertriebskanälen und Geschäftsbeziehungen entstehen. Auf dieser Basis werden Sorgfaltspflichten, Kontrollen, Überwachungsmaßnahmen und Aktualisierungszyklen ausgestaltet.

Nicht zwingend. Entscheidend ist, dass die fachliche Logik funktioniert, dokumentiert ist und nachgewiesen werden kann. Ob dafür bestehende Systeme angepasst, Schnittstellen erweitert oder neue Komponenten eingeführt werden, hängt von Volumen, Komplexität, Produktstruktur und Risikoprofil ab.

Der beste Startpunkt ist ein Readiness Check entlang des Kundenlebenszyklus. So wird sichtbar, welche Anforderungen bereits abgedeckt sind, wo Daten- oder Prozesslücken bestehen und welche IT-Abhängigkeiten die Roadmap bestimmen.