KYC-Sorgfaltspflichten nach GwG: UBO, EDD und der Übergang zur AMLR

Das Wichtigste in Kürze

Durchgängiger Prozess: KYC-Sorgfaltspflichten umfassen Identifizierung, wirtschaftlich Berechtigte, Geschäftszweck, PEP-Prüfung und laufende Überwachung, nicht nur das Onboarding (§ 10 Abs. 1 Nr. 1–5 GwG; Gesetzeswortlaut).

UBO-Prüfung (Ultimate Beneficial Owner): Kundenangaben erheben und Angaben überprüfen sind getrennte Pflichten; der Registerabgleich kann unter gesetzlichen Voraussetzungen für die Überprüfung ausreichen (§ 11 Abs. 5 Satz 3, § 12 Abs. 3 Satz 3F GwG; Erhebung, Überprüfung).

Risikogerechte Vertiefung: Verstärkte Sorgfaltspflichten ergänzen die allgemeinen Pflichten und müssen zum konkreten Risikofall passen (§ 15 Abs. 1 und 2 GwG; Gesetzeswortlaut).

AMLR-Vorbereitung: Ab 10. Juli 2027 gelten für die hier betrachteten Institute die Vorgaben der EU-Geldwäscheverordnung; deren Aktualisierungsintervalle ersetzen keine anlassbezogene Prüfung (Art. 26 Abs. 2 und 3, Art. 90 Unterabs. 2 AMLR; EUR-Lex).

Kundenkenntnis muss Entscheidungen tragen

Bei Know Your Customer (KYC) ist eine vollständig befüllte Kundenakte noch kein belastbarer Nachweis für wirksame KYC-Sorgfaltspflichten. Nach Einschätzung von S+P Compliance liegt die entscheidende Qualität darin, dass Identität, Kontrollstruktur, Geschäftsmodell und Transaktionsverhalten ein nachvollziehbares Gesamtbild ergeben. Erst daraus lassen sich Prüfungsumfang, Freigaben und Eskalationen konsistent ableiten.

Ein gesetzlicher Kern der KYC-Sorgfaltspflichten ist die kontinuierliche Überwachung einschließlich des Abgleichs von Transaktionen mit Kundenprofil und vorhandenen Informationen (§ 10 Abs. 1 Nr. 5 GwG; Gesetzeswortlaut). Für die Praxis empfiehlt sich deshalb eine Betrachtung der gesamten Geschäftsbeziehung: vom ersten Kundenkontakt über Strukturänderungen bis zur Untersuchung auffälliger Zahlungen.

Normativer Rahmen: KYC-Sorgfaltspflichten zwischen GwG und AMLRVerbindliches Recht und Aufsichtspraxis auseinanderhalten

Maßgeblich für die KYC-Sorgfaltspflichten ist das Geldwäschegesetz (GwG) in der am Redaktionsstichtag geltenden Fassung, einschließlich der 2026 wirksam gewordenen Änderungen durch Art. 53 des Standortfördergesetzes und Art. 12 Abs. 4 des Gesetzes vom 29. Juni 2026 (BGBl. 2026 I Nr. 33, BGBl. 2026 I Nr. 197). Die Auslegungs- und Anwendungshinweise der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Allgemeiner Teil, Stand Juli 2025, konkretisieren die Aufsichtspraxis nach § 51 Abs. 8 Satz 1 GwG, sind aber kein eigenständiges Parlamentsgesetz (BaFin-AuA, Einleitung).

Ergänzend strukturieren die Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) EBA/GL/2021/02 insbesondere die unternehmensweite und individuelle Risikobewertung sowie die Betrachtung von Kontrollen; einschlägig sind Rn. 1.2 und 1.3, unter Berücksichtigung der Änderungen EBA/GL/2023/03 und EBA/GL/2024/01 (EBA-Leitlinien, Änderung 2024). Leitlinien unterliegen einem aufsichtsrechtlichen Befolgungs- und Erklärungsmechanismus und sind von unmittelbar geltenden EU-Verordnungen zu unterscheiden (EBA, Status und Meldepflichten nach Art. 16 Abs. 3 der Verordnung (EU) Nr. 1093/2010).

Die Verordnung (EU) 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, kurz AMLR, gilt für die hier betrachteten Institute ab 10. Juli 2027 (Art. 90 Unterabs. 2; EUR-Lex). Die ergänzende Richtlinie (EU) 2024/1640, hier AMLD 6 genannt, betrifft insbesondere Register, Aufsicht und zentrale Meldestellen; Art. 78 Abs. 1 enthält eine grundsätzliche Umsetzungsfrist bis 10. Juli 2027 mit abweichenden Teilfristen (EUR-Lex).

Technische Regulierungsstandards (RTS) zu KYC-Sorgfaltspflichten dürfen nicht allein wegen einer gesetzlichen Entwurfsfrist als geltendes Recht behandelt werden: Art. 28 Abs. 1 und 4 AMLR unterscheidet Entwurfserstellung und Annahme durch die Kommission (EUR-Lex). Die Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AMLA) führt die RTS zur Customer Due Diligence (CDD) in ihrer am 4. September 2026 aktualisierten Übersicht als Entwurf mit abgeschlossener Konsultation; eine verbindlich veröffentlichte Endfassung ist damit nicht nachgewiesen (AMLA-Statusübersicht).

Wirtschaftlich Berechtigte ermitteln: Kontrolle zählt neben Kapital

Die KYC-Sorgfaltspflichten verlangen die Identifizierung von Vertragspartner und auftretender Person sowie die Prüfung ihrer Berechtigung; bei nicht natürlichen Vertragspartnern ist außerdem die Eigentums- und Kontrollstruktur mit angemessenen Mitteln zu ermitteln (§ 10 Abs. 1 Nr. 1 und 2 GwG; Gesetzeswortlaut). Für die von § 3 Abs. 2 Satz 1 GwG erfassten Gesellschaften gelten grundsätzlich mehr als 25 Prozent Kapitalanteile, mehr als 25 Prozent Stimmrechte oder vergleichbare Kontrolle als Anknüpfungspunkte (§ 3 GwG).

Bei mehrstufigen Beteiligungen reicht eine isolierte Prozentrechnung nicht: Mittelbare Kontrolle und beherrschender Einfluss sind nach § 3 Abs. 2 Satz 2–4 GwG zu prüfen (Gesetzeswortlaut). Für rechtsfähige Stiftungen, Trusts und vergleichbare Rechtsgestaltungen enthält § 3 Abs. 3 GwG eine gesonderte, rollenbezogene Zuordnung; eine Übertragung des Kapitalanteilstests wäre falsch (§ 3 Abs. 3 GwG).

Die Angaben zum wirtschaftlich Berechtigten sind beim Vertragspartner oder der auftretenden Person zu erheben; alleinige Datenerhebung aus dem Transparenzregister genügt nicht (§ 11 Abs. 5 Satz 3 GwG; Gesetzeswortlaut). Für die anschließende Überprüfung kann der Registerabgleich dagegen ausreichen, wenn die Angaben übereinstimmen und weder relevante Zweifel noch Hinweise auf ein höheres Risiko bestehen (§ 12 Abs. 3 Satz 3 GwG; Gesetzeswortlaut).

Für 2027 ist eine eigene Änderungsanalyse erforderlich: Art. 52 Abs. 1 AMLR knüpft die Eigentumsbeteiligung an 25 Prozent oder mehr an und regelt die Berechnung indirekten Eigentums; Art. 51 und 53 verlangen daneben die Kontrollprüfung (AMLR). Bestehende UBO-Regeln sollten deshalb nicht unverändert in die künftige Datenlogik übernommen werden.

Enhanced Due Diligence vertieft KYC-Sorgfaltspflichten

Enhanced Due Diligence (EDD), also verstärkte Sorgfaltspflichten, greift insbesondere bei erhöhtem Risiko nach § 15 Abs. 2 GwG sowie in den gesetzlichen Fallgruppen des § 15 Abs. 3 GwG (Gesetzeswortlaut). Für politisch exponierte Personen (PEP), ihre Familienmitglieder und bekanntermaßen nahestehende Personen verlangt § 15 Abs. 4 Satz 1 Nr. 1–3 GwG Führungsebenenzustimmung, angemessene Maßnahmen zur Bestimmung der Herkunft eingesetzter Vermögenswerte und verstärkte Überwachung (§ 15 GwG).

Für die operative Prüfung empfiehlt sich die Trennung zwischen Source of Funds, der Herkunft konkret eingesetzter Mittel, und Source of Wealth, der Entstehung des Vermögens. Bei einschlägigen Hochrisikodrittstaatenfällen nennt § 15 Abs. 5 Satz 1 Nr. 1 Buchst. c und d GwG ausdrücklich Informationen zur Herkunft von Vermögenswerten und Vermögen; daraus folgt jedoch keine unterschiedslose Vollprüfung des Gesamtvermögens jedes Kunden (Gesetzeswortlaut). Kundenangabe, Beleg, Zahlungsweg und wirtschaftliche Erklärung sollten getrennt dokumentiert und anschließend gemeinsam gewürdigt werden.

Internationale Geschäftsbeziehungen erfordern außerdem eine saubere Länderklassifizierung: Eine ausschließliche FATF-Einstufung unter verstärkter Beobachtung ist nicht mit der EU-Hochrisikodrittstaatenliste und ihren gesetzlichen Folgen gleichzusetzen (BaFin, Rundschreiben 07/2026 (GW), Abschnitt II.4). Für Trade Finance oder Konsortialkredite empfiehlt sich deshalb eine fallbezogene Analyse von Beteiligten, Leistungsbeziehungen, Zahlungswegen und Länderbezügen statt eines einzigen pauschalen Länderscores.

KYC-Sorgfaltspflichten: Screening, ESG und Aktualisierung trennen

Die PEP-Feststellung gehört bereits zu den allgemeinen KYC-Sorgfaltspflichten (§ 10 Abs. 1 Nr. 4 GwG; Gesetzeswortlaut). Negative Medieninformationen sind nach EBA/GL/2021/02 Rn. 2.8 insbesondere auf Glaubwürdigkeit, Quellenqualität und Relevanz zu prüfen, nicht als automatischer Schuldnachweis zu behandeln (EBA-Leitlinien).

Sanktionsrecht bleibt ein eigener Regelungskreis; beispielsweise enthält Art. 2 Abs. 1 und 2 der Verordnung (EU) Nr. 269/2014 Einfrier- und Bereitstellungsverbote (EUR-Lex). Eine niedrige AML-Risikoklasse ersetzt daher keine Prüfung anwendbarer Sanktionen. Nach Einschätzung von S+P Compliance sollten ESG-bezogene Hinweise wie Korruptionsvorwürfe oder undurchsichtige Governance nur über einen nachvollziehbaren Geldwäsche- oder Terrorismusfinanzierungsbezug in die AML-Bewertung eingehen; ein allgemeines ESG-Rating ist weder Ersatz für KYC noch automatisch ein EDD-Auslöser.

Für Aktualisierungen konkretisieren die BaFin-AuA, Kapitel 5.5.2, risikoorientierte periodische und anlassbezogene Verfahren; die geänderten Zeitintervalle sind nach der dortigen Übergangsregelung bis zum AMLR-Anwendungsbeginn umzusetzen (BaFin-AuA). Ab dann nennt Art. 26 Abs. 2 Unterabs. 2 AMLR maximal ein Jahr für Kunden mit erhöhtem Risiko und maximal fünf Jahre für alle anderen Kunden; Abs. 3 verlangt zusätzlich anlassbezogene Überprüfung und gegebenenfalls Aktualisierung (AMLR). Daraus lässt sich keine pauschale Erlaubnis ableiten, unzureichend geprüfte Bestandskunden bis 2032 unverändert weiterzuführen.

Empirische Evidenz: Geldwäscheprävention braucht Qualität statt Mengensteuerung

Die Financial Intelligence Unit (FIU), die deutsche Zentralstelle für Finanztransaktionsuntersuchungen, verzeichnete im Berichtsjahr 2025 374.693 Verdachtsmeldungen, rund 41 Prozent mehr als im Vorjahr; die Meldungen enthielten rund 3,2 Millionen Transaktionen (FIU, Veröffentlichung vom 21.07.2026). Zugleich übermittelte sie 67.024 Analyseberichte an Ermittlungs- und Sicherheitsbehörden und erläuterte ihre Konzentration auf komplexe Sachverhalte mit hohem Risikopotenzial (FIU).

Diese Größen messen unterschiedliche Vorgänge und sind keine Fehlerquote der KYC-Sorgfaltspflichten. Aus ihrem Verhältnis lässt sich insbesondere keine Quote „berechtigter“ Meldungen berechnen. Für eine repräsentative, institutsübergreifende Quote fehlerhafter UBO-Ermittlungen oder unzureichender Mittelherkunftsprüfungen liegt in den ausgewerteten Veröffentlichungen kein belastbarer Nachweis vor.

Die BaFin weist für 2025 insgesamt 62 Prüfungen der Geldwäscheprävention im Bankensektor und 30 im Nichtbankenfinanzsektor aus; erfasst sind eigene Prüfungen und beauftragte Wirtschaftsprüferprüfungen, jeweils mit und ohne Anlass (BaFin-Jahresbericht 2025, Tabelle 1). Im Bankensektor lagen Schwerpunkte auf Geldwäschebeauftragtenfunktion, IT-Monitoring und Risikoanalyse, im Nichtbankenfinanzsektor auf Kundensorgfaltspflichten und Risikomanagement (BaFin-Jahresbericht 2025).

Nach Einschätzung von S+P Compliance spricht dies für eine gemeinsame Steuerung von Kundendaten, Überwachung und Kontrollorganisation. Öffentlich belegte Prüfungsschwerpunkte dürfen allerdings nicht mit repräsentativ festgestellten Mängelhäufigkeiten verwechselt werden.

Steuerungsinstrumente: KYC-Sorgfaltspflichten in prüfbare Kontrollen übersetzenVerantwortung, Freigaben und Evidenz verbinden

§ 4 Abs. 3 GwG ordnet die Verantwortung einem zu benennenden Mitglied der Leitungsebene zu; § 6 Abs. 1 Satz 3 GwG verlangt die Überwachung der Funktionsfähigkeit interner Sicherungsmaßnahmen (§ 4 GwG, § 6 GwG). Die folgenden Instrumente sind Umsetzungsempfehlungen von S+P Compliance, keine zusätzlichen gesetzlichen Standardformulare.

Verantwortungsmatrix für KYC-Sorgfaltspflichten: Datenbeschaffung, Prüfung, Risikofreigabe und Eskalation zuweisen; Vertretungen und Entscheidungsrechte dokumentieren. Normbezug: § 4 Abs. 3; § 6 Abs. 2 Nr. 1 Buchst. b GwG (Governance, Verfahren).

UBO-Strukturakte: Kundenangaben, Beteiligungsdiagramm, Kontrollrechte, Registerabgleich und offene Widersprüche nachvollziehbar zusammenführen. Normbezug: § 10 Abs. 1 Nr. 2; § 12 Abs. 3 GwG (Strukturprüfung, Verifizierung).

EDD-Entscheidungsvermerk: Risikotreiber, Mittel- und gegebenenfalls Vermögensherkunft, Prüfbelege, erforderliche Zustimmung und verbleibende Zweifel erfassen. Normbezug: § 15 Abs. 2, 4 und 5 GwG (Gesetzeswortlaut).

Ereignisgesteuerte Wiedervorlage: Eigentümerwechsel, neue PEP-Informationen und erhebliche Profilabweichungen einer erneuten Bewertung zuführen; Fälligkeiten überwachen. Normbezug: § 10 Abs. 1 Nr. 5 GwG; künftig Art. 26 Abs. 2 und 3 AMLR (GwG, AMLR).

Getrennte Fallentscheidungen: KYC-Mangel, Verdachtsmeldeprüfung und Sanktionssperre getrennt bearbeiten; Trefferklärung und Begründung der Meldeentscheidung festhalten. Normbezug: § 8 Abs. 1 Satz 1 Nr. 5; § 43 Abs. 1 GwG; z. B. Art. 2 Verordnung (EU) Nr. 269/2014 (Dokumentation, Meldung, Sanktionen).

Ein kundenfreundlicher Prozess für KYC-Sorgfaltspflichten sollte Angaben möglichst einmal erfassen und weitere Nachweise gezielt aus dem Risiko ableiten. Für internationale Strukturen empfehlen sich dokumentierte Quellenbewertungen und klare Regeln für Übersetzungen und Widersprüche. Geschäftszweck und erwartete Zahlungsaktivität sollten so konkret festgehalten werden, dass das spätere Monitoring Abweichungen erkennen kann.

Können die Pflichten nach § 10 Abs. 1 Nr. 1–4 GwG nicht erfüllt werden, darf grundsätzlich keine Geschäftsbeziehung begründet oder fortgesetzt und keine Transaktion durchgeführt werden; bestehende Beziehungen sind grundsätzlich zu beenden (§ 10 Abs. 9 GwG; Gesetzeswortlaut). Für nicht erfüllte KYC-Sorgfaltspflichten empfiehlt sich daher eine dokumentierte Sperr- und Eskalationslogik statt unbegrenzter Nachforderungslisten.

Kennzahlen nach Risiko differenzieren

Ein Management-Dashboard zu KYC-Sorgfaltspflichten sollte nicht nur abgeschlossene Fälle zählen. Als interne Steuerungsgrößen für die Wirksamkeitsüberwachung nach § 6 Abs. 1 Satz 3 GwG empfehlen sich insbesondere folgende Kennzahlen (Normbezug):

Aktualisierungsrückstand: Überfällige Kundenprüfungen im Verhältnis zu allen fälligen Prüfungen, getrennt nach Risikoklasse und Dauer der Überschreitung.

UBO-Klärungsbedarf: Offene, entscheidungsrelevante Strukturwidersprüche im Verhältnis zu den geprüften Firmenkundenakten.

EDD-Nachweisqualität: Anteil der geprüften EDD-Fälle mit nachvollziehbarer Herkunftsbewertung und erforderlicher Freigabe.

Trefferbearbeitung: Alter offener relevanter Screening- und Monitoringfälle, ergänzt um Stichproben zur Qualität geschlossener Fälle.

Kundenerlebnis: Bearbeitungsdauer und Zahl wiederholter Nachforderungen, gemeinsam mit Fehler- und Risikokennzahlen betrachtet.

Schwellenwerte und Berichtsintervalle sind institutsindividuell festzulegen, nicht als vermeintliche BaFin-Vorgabe auszugeben. Empfohlen werden regelmäßige Berichte an die Geschäftsleitung, unverzügliche Eskalationen wesentlicher Lücken und eine adressatengerechte Zusammenfassung für das zuständige Aufsichtsorgan. Kontrollfunktionen und Revision sollten die Erledigung wesentlicher Maßnahmen anhand ihrer jeweiligen Aufgaben nachverfolgen.

KYC-Sorgfaltspflichten proportional ausgestalten

Das Risikomanagement muss nach Art und Umfang der Geschäftstätigkeit angemessen sein (§ 4 Abs. 1 GwG; Gesetzeswortlaut). Auch die BaFin-AuA unterscheiden zwischen risikogerechter Überwachung und besonderen gesetzlichen Vorgaben zum Einsatz von Datenverarbeitungssystemen; eine undifferenzierte Automatisierungspflicht für sämtliche Verpflichteten folgt daraus nicht (BaFin-AuA, Kapitel 5.5.1).

Für ein kleineres Institut mit überschaubarem Bestand können kontrollierte Wiedervorlagen zweckmäßig sein, soweit sektorspezifische Systempflichten gewahrt bleiben. Ein Zahlungsinstitut mit hohem Transaktionsvolumen benötigt andere Überwachungsprozesse als eine Kapitalverwaltungsgesellschaft mit komplexen Investorenstrukturen. In beiden Fällen sollten Verantwortliche begründen können, warum Daten, Kontrolltiefe und Ressourcen zum Risiko passen.

Kompakte Prüfliste

Identität: Vertragspartner, auftretende Person und Berechtigung geprüft? (§ 10 Abs. 1 Nr. 1 GwG; Norm)

UBO: Eigentum, Kontrolle, Kundenangaben und Registerbefund konsistent? (§ 10 Abs. 1 Nr. 2; § 12 Abs. 3 GwG; Ermittlung, Prüfung)

Kundenprofil: Zweck, erwartete Aktivität und PEP-Status nachvollziehbar? (§ 10 Abs. 1 Nr. 3–5 GwG; Norm)

EDD: Auslöser, Maßnahmen und erforderliche Zustimmung dokumentiert? (§ 15 Abs. 2, 4 und 5 GwG; Norm)

Monitoring: Abweichungen und Aktualisierungsanlässe bearbeitet? (§ 10 Abs. 1 Nr. 5 GwG; Norm)

Evidenz: Risikobewertung, Untersuchungen und Meldeentscheidungen nachvollziehbar? (§ 8 Abs. 1 Satz 1 Nr. 2, 3 und 5 GwG; Norm)

AMLR: Aktualisierungslogik und UBO-Regeln für 2027 überprüft? (Art. 26, 51–53, 90 AMLR; Normen)

Fazit und Ausblick: AMLR 2027 auf belastbarer Kundenkenntnis aufbauen

Nach Einschätzung von S+P Compliance gelingt AML-Compliance nicht durch immer umfangreichere Fragebögen, sondern durch begründete Entscheidungen auf belastbarer Datengrundlage. Für die Vorbereitung auf 2027 empfiehlt sich ein Abgleich von KYC-Datenmodell, UBO-Regeln, EDD-Verfahren und Aktualisierungssteuerung mit den bereits feststehenden AMLR-Vorgaben. Noch nicht verbindlich nachgewiesene Detailstandards sollten dabei als gesonderter Änderungsbedarf geführt werden, nicht als vermeintlich geltende Pflicht.

FAQ zu KYC-SorgfaltspflichtenWelche KYC-Sorgfaltspflichten gelten 2026?

Für die hier betrachteten Institute richten sich die allgemeinen Kundensorgfaltspflichten weiterhin nach § 10 Abs. 1 GwG: Identifizierung, Ermittlung wirtschaftlich Berechtigter, Geschäftszweck, PEP-Feststellung und laufende Überwachung (GwG). Die AMLR ist bereits verabschiedet, gilt für diese Institute aber grundsätzlich erst ab 10. Juli 2027; Vorbereitung und heutige Pflichterfüllung sind auseinanderzuhalten (Art. 90 AMLR).

Reicht das Transparenzregister zur UBO-Prüfung?

Für die Erhebung der Angaben reicht das Register nicht; diese erfolgt beim Vertragspartner oder der auftretenden Person (§ 11 Abs. 5 Satz 3 GwG; Gesetzeswortlaut). Für die Überprüfung kann der Registerabgleich nach § 12 Abs. 3 Satz 3 GwG genügen, wenn Angaben übereinstimmen und weder relevante Zweifel noch Hinweise auf höheres Risiko bestehen (Gesetzeswortlaut).

Wie häufig müssen KYC-Daten aktualisiert werden?

§ 10 Abs. 1 Nr. 5 GwG verlangt eine risikoorientierte Aktualisierung in angemessenen Abständen (Gesetzeswortlaut). Ab Anwendbarkeit begrenzt Art. 26 Abs. 2 AMLR die Intervalle auf ein Jahr bei erhöhtem Risiko und fünf Jahre bei anderen Kunden; maßgebliche Änderungen erfordern nach Abs. 3 zusätzlich eine Überprüfung und gegebenenfalls Aktualisierung (AMLR).

Was unterscheidet Source of Funds und Source of Wealth?

Source of Funds bezeichnet hier die Herkunft konkret eingesetzter Mittel; Source of Wealth beschreibt die Entstehung des Vermögens. Für einschlägige Hochrisikodrittstaatenfälle nennt § 15 Abs. 5 Satz 1 Nr. 1 Buchst. c und d GwG ausdrücklich beide Herkunftsebenen (Gesetzeswortlaut). Welche Belege erforderlich sind, ist risikobezogen zu begründen.

Gilt für KYC-Bestandskunden eine Frist bis 2032?

Eine allgemeine Schonfrist, während der Bestandskunden ungeprüft bleiben dürfen, lässt sich aus Art. 26 und Art. 90 AMLR nicht ableiten (AMLR). Die Höchstintervalle für Aktualisierungen sind keine Freistellung von laufenden Sorgfaltspflichten. Institute sollten deshalb vorhandene Prüfrückstände, individuelle Fälligkeiten und anlassbezogene Änderungen getrennt steuern und keine pauschale Verschiebung auf 2032 vornehmen.

Über S+P Compliance

S+P Compliance ist eine Compliance-Beratung mit Sitz in München und unterstützt BaFin-beaufsichtigte Institute bei der Organisation und Durchführung regulatorischer Kontrollaufgaben. Zu den Tätigkeitsfeldern gehören ausgelagerte Geldwäsche- und Compliance-Funktionen, das Auslagerungsmanagement sowie die Interne Revision. Das Unternehmen verfügt über ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheitsmanagementsystem. Über das S+P Unternehmerforum werden Fachseminare für Beauftragte, Führungskräfte und Kontrollfunktionen angeboten, darunter zu KYC und Kundensorgfaltspflichten.