AML-Audit vorbereiten: was die Prüfstelle wirklich sehen will

Dieser Beitrag setzt eine bestehende SRO-Mitgliedschaft voraus. Wenn Sie noch vor dem Anschluss stehen, beginnen Sie beim SRO-Anschluss Schweiz: Der komplette Guide. Wer seit Oktober 2026 neu unterstellt ist, findet den Überblick im Leitfaden zur GwG-Revision.

Schneller Einstieg: Der Audit-Readiness-Check zeigt Ihnen in fünf Fragen, wo Ihre Compliance-Organisation Lücken hat – kostenlos und ohne Anmeldung.

1. Wer prüft, was geprüft wird – und wann

Die Aufsicht über Finanzintermediäre im Parabankensektor ist in der Schweiz zweistufig organisiert: Die FINMA beaufsichtigt die Selbstregulierungsorganisationen, und die SRO beaufsichtigt ihre Mitglieder. Für Sie bedeutet das: Ihre Prüfstelle ist die SRO – entweder mit eigenen Prüferinnen und Prüfern oder über eine von ihr zugelassene externe Prüfgesellschaft.

Geprüft wird gegen drei Regelwerke gleichzeitig: das Geldwäschereigesetz (GwG), die Geldwäschereiverordnung der FINMA (GwV-FINMA) und das Reglement Ihrer SRO. Das dritte wird regelmässig unterschätzt. Die SRO-Reglemente gehen an mehreren Stellen über das Gesetz hinaus – beim VQF etwa durch ein modulares Compliance-System und einen obligatorischen GwG-Grundkurs für alle Mitarbeitenden, bei PolyReg durch regelmässige Compliance-Berichte und einen ausdrücklich risikobasierten Aufsichtsansatz.

Der Rhythmus richtet sich nach dem Reglement und nach Ihrer Risikoeinstufung. Ein höheres Risikoprofil – etwa durch Auslandsbezug, Bargeldnähe oder komplexe Strukturen im Kundenbuch – führt in der Regel zu kürzeren Abständen. Mehrere SRO verlangen zusätzlich eine jährliche Selbstdeklaration zwischen den Prüfungen.

Der entscheidende Perspektivwechsel: Eine Prüfung misst nicht Ihre Sorgfalt, sondern Ihre Beweisfähigkeit. Art. 7 GwG verlangt, Belege so zu erstellen, dass sich eine sachverständige Drittperson ein zuverlässiges Urteil über die Einhaltung der Pflichten bilden kann. Genau diese Drittperson sitzt Ihnen gegenüber. Was Sie getan, aber nicht dokumentiert haben, existiert für die Prüfung nicht.

2. Die Grundlage: fünf Dokumente

Bevor ein einziges Kundendossier geöffnet wird, prüft die Prüfstelle Ihre organisatorische Grundlage. Art. 8 GwG verlangt, dass Finanzintermediäre die erforderlichen organisatorischen Massnahmen treffen – konkretisiert durch die GwV-FINMA. In der Praxis sind das fünf Dokumente, die zusammen ein schlüssiges System ergeben müssen:

Dazu kommt die Compliance-Stelle nach Art. 24 GwV-FINMA: eine namentlich bezeichnete Person – die Geldwäschereifachstelle, oft als MLRO bezeichnet –, die fachlich qualifiziert und mit ausreichenden Ressourcen und Weisungsbefugnissen ausgestattet ist. Die Prüfstelle fragt hier nicht nur nach dem Namen, sondern nach Qualifikation, Zeitbudget und Unabhängigkeit. Die häufigste Schwachstelle in kleineren Betrieben: Die Funktion wird vom Geschäftsführer nebenbei mitgetragen, ohne dokumentierte Ausbildung und ohne erkennbares Zeitbudget.

Wichtig ist die innere Konsistenz. Die Weisungen müssen das umsetzen, was die Risikoanalyse feststellt. Die KYC-Prozesse müssen die Schwellenwerte verwenden, die in den Weisungen stehen. Ein Compliance-Dossier aus fünf fachlich korrekten, aber unverbundenen Dokumenten fällt in der Prüfung genauso auf wie ein unvollständiges.

3. Die Risikoanalyse – das erste, was aufgeschlagen wird

Wenn ein erfahrener Prüfer ein Compliance-Dossier zur Hand nimmt, beginnt er fast immer bei der Risikoanalyse. Der Grund ist einfach: Sie ist das einzige Dokument, das sich nicht aus einer Vorlage abschreiben lässt, ohne dass es auffällt. Sie zeigt, ob ein Betrieb sein eigenes Geschäft verstanden hat.

Art. 25 GwV-FINMA verlangt, dass Finanzintermediäre die mit ihrer Geschäftstätigkeit verbundenen Risiken erfassen, begrenzen und überwachen. Eine prüfungsfeste Risikoanalyse bildet dafür Ihr konkretes Geschäft ab:

• Kundensegmente – welche Arten von Vertragsparteien Sie betreuen, mit welchem jeweiligen Risikoprofil
• Länder und Jurisdiktionen – wo Ihre Kunden, deren wirtschaftlich Berechtigte und die Zahlungsströme verortet sind
• Produkte und Dienstleistungen – welches Angebot welches Missbrauchspotenzial hat
• Vertriebskanäle – persönliche Anbahnung, Vermittler oder digitales Onboarding ohne physische Präsenz
• Transaktionsarten und Volumina – mit konkreten Schwellenwerten, nicht mit Formulierungen wie „auffällig hohe Beträge"

Daraus folgt die Zuordnung zu normalen und erhöhten Risiken, die dann wiederum die verstärkten Sorgfaltspflichten nach Art. 13–15 GwV-FINMA auslöst. Diese Kette muss nachvollziehbar sein: Kriterium, Einstufung, Konsequenz.

Zweiter Punkt, der regelmässig zu Beanstandungen führt: Aktualität. Die Risikoanalyse ist kein Gründungsdokument. Neue Produkte, neue Märkte, ein verändertes Kundenbuch oder ein neuer Vertriebskanal müssen nachgeführt werden – mit Datum und Freigabe. Eine Analyse, die seit drei Jahren unverändert ist, während das Geschäft sich erkennbar verändert hat, ist ein eigenständiger Mangel.

4. Kundendossiers in der Stichprobe

Nach der Grundlage kommt die Praxis. Die Prüfstelle zieht eine risikoorientierte Stichprobe – also gerade nicht zufällig, sondern gezielt dort, wo Ihre eigene Risikoanalyse erhöhte Risiken ausweist. Geprüft wird pro Dossier:

• Identifikation der Vertragspartei (Art. 3 GwG) – mit gültigem Beleg, nicht mit einer undatierten Kopie
• Feststellung der wirtschaftlich berechtigten Person (Art. 4 GwG) – bei juristischen Personen über Formular K, bei Treuhandverhältnissen über Formular A gemäss VSB 20
• Belegpflicht – jede Abklärung mit Datum, Quelle und Ergebnis nachvollziehbar dokumentiert
• Plausibilisierung bei erhöhtem Risiko – Herkunft der Mittel und Hintergrund der Geschäftsbeziehung, schriftlich festgehalten
• Aktualisierung – erneute Überprüfung bei Zweifeln oder Änderungen (Art. 5 GwG)
• Aufbewahrung – zehn Jahre, geordnet und auffindbar

Die Feststellung der wirtschaftlich berechtigten Person ist in der Praxis die anspruchsvollste Pflicht – besonders bei mehrstufigen Beteiligungsketten, Stiftungen oder Auslandsstrukturen. Welche Konstellationen besonders fehleranfällig sind, behandelt der Beitrag UBO-Identifikation: Die 5 schwierigsten Fälle im Detail.

Seit dem 1. Oktober 2026 kommt eine zweite Ebene hinzu: Mit dem Transparenzregister (TJPG) müssen juristische Personen ihre wirtschaftlich Berechtigten zusätzlich einem eidgenössischen Register melden. Für Finanzintermediäre heisst das perspektivisch, dass die eigenen Feststellungen mit einer amtlichen Quelle abgeglichen werden können – und bei Abweichungen Handlungsbedarf entsteht.

5. Nachweis statt Behauptung

Drei Bereiche scheitern in Prüfungen fast nie an der Substanz, sondern am fehlenden Nachweis.

Screening

Dass Sie Ihre Kunden gegen Sanktions- und PEP-Listen prüfen, genügt nicht – Sie müssen zeigen, wann, wogegen und mit welchem Ergebnis. Eine prüfungsfeste Dokumentation enthält den Zeitpunkt, die herangezogenen Datenquellen, das Resultat und bei Treffern den Abklärungsvermerk mit Entscheid und verantwortlicher Person. Besonders häufig fehlt der Nachweis der Frequenz: Das GwG verlangt eine laufende Überwachung der Geschäftsbeziehung, nicht nur eine Prüfung beim Onboarding. Wer einmal jährlich stichtagsbezogen prüft, hat eine Lücke zwischen den Prüfterminen, die im Bericht erscheint.

Schulung

Art. 26 GwV-FINMA verlangt die Ausbildung der Mitarbeitenden. Die meisten SRO verlangen einen Grundkurs bei Eintritt und regelmässige Weiterbildungen – der VQF etwa einen obligatorischen GwG-Grundkurs für alle Mitarbeitenden. Nachzuweisen sind Teilnehmende, Datum, Inhalt und Dauer. Eine E-Mail mit einem Foliensatz ist kein Nachweis.

Meldewesen

Bei begründetem Verdacht ist unverzüglich an die Meldestelle für Geldwäscherei (MROS) zu melden (Art. 9 GwG); die Vermögenssperre nach Art. 10 GwG ist zeitlich befristet. Übersehen wird regelmässig die Gegenseite: Auch Abklärungen, die zu keiner Meldung geführt haben, gehören dokumentiert. Ein Betrieb ohne jede Meldung und ohne jeden Abklärungsvermerk wirkt nicht unauffällig, sondern so, als fände keine Überwachung statt.

6. Die häufigsten Beanstandungen

Aus der Praxis – und die Liste ist erstaunlich stabil über Branchen und SRO hinweg:

Der letzte Punkt verdient besondere Aufmerksamkeit, weil er am leichtesten zu beheben und am häufigsten vergessen wird. Die GwG-Pflichten umfassen auch die regelmässige Kontrolle der eigenen Prozesse. Eine kurze, dokumentierte Selbstüberprüfung – wenige Dossiers pro Quartal, Ergebnis schriftlich festgehalten – kostet wenig Zeit und verändert den Eindruck in der Prüfung erheblich: Sie zeigt ein funktionierendes internes Kontrollsystem statt blosser Regelkenntnis.

7. Was bei Mängeln passiert

Festgestellte Mängel landen im Prüfbericht, verbunden mit einer Frist zur Behebung. Danach folgt eine Nachkontrolle – die in der Regel zusätzlich kostenpflichtig ist. Werden die Mängel fristgerecht behoben, ist die Sache erledigt.

Problematisch wird es bei wiederholten oder nicht behobenen Mängeln. Je nach SRO-Reglement folgen Auflagen, Konventionalstrafen und im äussersten Fall der Ausschluss. Dessen Tragweite wird unterschätzt: Ohne SRO-Anschluss dürfen Sie die unterstellte Tätigkeit nicht weiterführen. Seit dem Inkrafttreten des FINIG am 1. Januar 2020 besteht die frühere Möglichkeit einer FINMA-Direktunterstellung nicht mehr – ein Ausschluss bedeutet damit faktisch das Ende der bewilligungspflichtigen Tätigkeit, bis ein Anschluss bei einer anderen SRO gelingt. Die FINMA kann zudem bei unbewilligter Tätigkeit einschreiten.

Zu den Kosten: Die Prüfkosten sind nicht in den Jahresbeiträgen enthalten. Beim VQF fällt etwa eine Administrationspauschale von rund CHF 500 an, dazu ein Stundenansatz von etwa CHF 250. Der Gesamtaufwand hängt direkt vom Zustand Ihrer Dokumentation ab – ein vollständiges Compliance-Dossier verkürzt die Prüfung, ein lückenhaftes verlängert sie und zieht die kostenpflichtige Nachkontrolle nach sich. Eine Gesamtübersicht der laufenden Kosten finden Sie im Beitrag AML-Compliance Kosten: Was sie wirklich kostet.

8. Acht Wochen vorher: ein realistischer Zeitplan

Die Vorbereitung lässt sich nicht in der Woche vor dem Termin erledigen – vor allem dann nicht, wenn Kundendossiers nachdokumentiert werden müssen. Ein Ablauf, der sich bewährt hat:

Die eigene Stichprobe vier Wochen vorher ist der wirksamste Einzelschritt. Sie deckt systematische Lücken auf – fehlt in einem Dossier das Formular K, fehlt es meist in vielen – und lässt noch Zeit, sie zu schliessen, bevor sie im Prüfbericht stehen.

9. Häufige Fragen (FAQ)

10. Fazit

Ein AML-Audit ist kein Wissenstest, sondern ein Dokumentationstest. Die Betriebe, die gut durchkommen, sind selten die mit den ausgefeiltesten Rechtskenntnissen – es sind die, bei denen Risikoanalyse, Weisungen und Dossiers zusammenpassen und bei denen jede Abklärung einen Vermerk hinterlassen hat.

Das ist die gute Nachricht: Die Anforderungen sind bekannt, die Mängelliste ist kurz und stabil, und fast alles lässt sich vor dem Termin beheben. Wer acht Wochen vorher beginnt und vier Wochen vorher die eigene Stichprobe zieht, verwandelt die Prüfung von einem Risiko in eine Bestätigung.