First-Line-Services
Financial Crime & Customer Operations
KYC-Onboarding, Reviews, Screening-Alerts, UBO-Daten und Fraud-Fälle operativ bearbeiten.
Compliance Advisory
Compliance Advisory für BaFin-regulierte Institute
Projektbasierte Beratung für die gesamte Compliance-Landschaft: von Geldwäscheprävention und Wertpapier-Compliance über MaRisk-Governance bis zu DORA und Auslagerung.
S+P Compliance analysiert Ihre Ausgangslage, bereitet Entscheidungsvorlagen vor und dokumentiert Konzepte, Maßnahmenpläne und Nachweise so, dass Geschäftsleitung, interne Revision und Prüfer sie nachvollziehen können. Die Entscheidung über Umsetzung, Freigabe und Meldungen bleibt beim Institut.
Advisory ist befristet und projektbezogen. Wenn Sie Aufgaben dauerhaft verlagern möchten, finden Sie die operativen Leistungen unter First-Line-Services und in den Auslagerungsmodellen des S+P Compliance Package. Dabei wird die Ausführung verlagert, nicht die Verantwortung.
Gesamte Compliance-Landschaft
GwG und AMLR, KWG und MaRisk, WpHG sowie DORA und Auslagerung in einem Projektzuschnitt.
Prüffähig dokumentiert
Analysen, Konzepte und Maßnahmenpläne liegen in einer Form vor, die Revision und Prüfer nachvollziehen können.
Klare Verantwortungsabgrenzung
S+P Compliance bereitet vor und dokumentiert, das Institut entscheidet.
Befristet und abgegrenzt
Projektzuschnitt mit definiertem Umfang, Meilensteinen und strukturierter Übergabe.
- Geldwäschegesetz (GwG)
- KWG und MaRisk
- WpHG
- AMLR (EU) 2024/1624
- DORA (EU) 2022/2554
Rechtsstand: Oktober 2026. Normbezüge werden vor Veröffentlichung geprüft. Maßgeblich sind die amtlichen Fassungen.
Wer verantwortet was?
Compliance Advisory bereitet Entscheidungen vor. Die Entscheidungen selbst und die Verantwortung dafür bleiben beim Institut.
Das übernimmt S+P Compliance
- Analyse der Ausgangslage und Aufbereitung der Sachverhalte
- Konzepte, Regelwerksentwürfe und Maßnahmenpläne
- Entscheidungsvorlagen für Geschäftsleitung und Aufsichtsorgan
- Dokumentation von Methodik, Annahmen und Ergebnissen
Das entscheidet das Institut
- Verdachtsmeldung nach § 43 GwG
- Sanktionssperre
- Unstimmigkeitsmeldung zum Transparenzregister (§ 23a GwG)
- Freigabe von Szenarien und Schwellenwerten
- Gesamtverantwortung der Geschäftsleitung
S+P Compliance bereitet vor und dokumentiert, das Institut entscheidet. Bei einer Auslagerung wird die Ausführung verlagert, nicht die Verantwortung. Compliance Advisory ist keine Rechtsberatung.
Warum Compliance Advisory?
Mehrere Regelwerke ändern sich gleichzeitig. Die EU-Geldwäscheverordnung (EU) 2024/1624 gilt im Regelfall ab Juli 2027, DORA gilt seit Januar 2025, und die neunte MaRisk-Novelle wurde im Juni 2026 als Rundschreiben 06/2026 (BA) veröffentlicht. Für jedes Institut stellt sich die Frage, welche Anforderungen es betreffen und in welcher Reihenfolge es sie umsetzt.
Beratung schafft dafür eine belastbare Grundlage: eine strukturierte Ist-Aufnahme, ein Zielbild je Regelwerk und einen Maßnahmenplan, der Abhängigkeiten zwischen den Projekten sichtbar macht. So lässt sich doppelter Aufwand durch parallele Einzelprojekte reduzieren.
Zugleich muss nachvollziehbar bleiben, wer entscheidet. Deshalb trennen wir in jedem Projekt zwischen Vorbereitung und Dokumentation durch S+P Compliance und der Freigabe durch das Institut. Das erleichtert die Prüfung durch interne Revision und externe Prüfer.
Typische Herausforderungen
Mehrere Regelwerke gleichzeitig
AMLR, DORA und MaRisk laufen mit unterschiedlichen Stichtagen. Fachbereiche und Compliance greifen auf dieselben Ressourcen zu. Ohne gemeinsamen Plan entstehen Doppelarbeiten und Lücken zwischen den Projekten.
Unklare Zuständigkeiten
Aufgaben zwischen erster, zweiter und dritter Verteidigungslinie sind nicht immer eindeutig zugeordnet. Das zeigt sich bei Kontrollen, Eskalationen und Berichtswegen. Ein dokumentiertes Zuordnungsmodell schafft hier eine Grundlage.
Nachweise und Datenqualität
Prüfer fragen nach Nachweisen, nicht nur nach Regelwerken. Daten liegen in mehreren Systemen, Stände weichen ab, und Kontrollen sind nicht durchgängig dokumentiert. Das erschwert die Prüfungsvorbereitung.
Proportionalität einordnen
Die neunte MaRisk-Novelle stuft Anforderungen stärker nach Größe, Komplexität und Risikoprofil ab. Institute müssen prüfen, welche Erleichterungen für sie gelten und was sie weiterhin nachweisen müssen.
Gruppen- und Länderstrukturen
Gruppen und Auslandsbanken müssen deutsche Anforderungen mit Vorgaben der Muttergesellschaft abstimmen. Unterschiedliche Standards, Sprachen und Berichtslinien erschweren eine einheitliche Steuerung.
Begrenzte interne Kapazität
Fachwissen zu mehreren Regelwerken liegt in vielen Instituten bei wenigen Personen. Projekte neben dem laufenden Betrieb binden diese Kapazität und verzögern Entscheidungen.
Leistungen im Überblick
Acht Leistungsfelder decken die Compliance-Landschaft eines BaFin-regulierten Instituts ab. Sie können einzelne Felder beauftragen oder mehrere in einem Programm bündeln.
Regulatorische Gap-Analysen
Strukturierter Abgleich zwischen Anforderungen und Ist-Stand.
- Abgrenzung des Anwendungsbereichs je Regelwerk (GwG und AMLR, KWG und MaRisk, WpHG, DORA)
- Abgleich der bestehenden Prozesse und Kontrollen mit den Anforderungen
- Bewertung der Abweichungen nach Dringlichkeit und Aufwand
- Priorisierte Maßnahmenliste mit Verantwortlichkeiten
- Abhängigkeitsplan für parallele Regulierungsprojekte
- Einordnung der Proportionalität nach der neunten MaRisk-Novelle
- Entscheidungsvorlage für die Geschäftsleitung
- Dokumentation von Methodik und Datengrundlage
Regelwerke, Richtlinien und Arbeitsanweisungen
Aufbau und Überarbeitung des Regelwerks bis auf Arbeitsanweisungsebene.
- Aufbau oder Überarbeitung von Richtlinien und Verfahrensanweisungen
- Abstimmung der Dokumentenhierarchie und der Zuständigkeiten
- Beschreibung von Prozessen, Kontrollen und Verantwortlichkeiten
- Anpassung an AMLR, DORA und die neunte MaRisk-Novelle
- Unterlagen zur Wertpapier-Compliance nach § 80 WpHG
- Schnittstellen zu Datenschutz und Informationssicherheit
- Versionierung und Freigabeworkflow
- Übergabe an die Fachbereiche mit Schulungsunterlagen
Risikoanalysen und Methodik
Nachvollziehbare Methodik statt Einzelbewertungen.
- Methodik für die Risikoanalyse nach dem Geldwäschegesetz
- Bewertung von Kunden-, Produkt-, Vertriebswege- und Länderrisiken
- Verknüpfung mit der Gesamtrisikosituation des Instituts
- Ableitung von Sicherungsmaßnahmen aus der Risikoanalyse
- Risikoanalyse zu IKT-Drittparteien und Auslagerungen
- Dokumentation von Annahmen, Datenquellen und Grenzen
- Vorlagen für die regelmäßige Aktualisierung
- Aufbereitung für Geschäftsleitung und Aufsichtsorgan
AML-, KYC- und Sanktionsprozesse
Zielbild und Prozessdesign für Onboarding, Überwachung und Screening.
- Zielbild für Onboarding, laufende Überwachung und Reviews
- Prozessdesign für Identifizierung und Kundensorgfaltspflichten
- Konzept zur Prüfung wirtschaftlich Berechtigter und zum Abgleich mit dem Transparenzregister
- Konzept für Sanktionslisten-Screening und Alert-Bearbeitung
- Eskalationswege und Vier-Augen-Prinzip
- Qualitätssicherung und Stichprobenkonzept
- Kennzahlen und Berichtswesen
- Vorbereitung auf die AMLR-Anforderungen ab Juli 2027
Abgrenzung
Die Verdachtsmeldung nach § 43 GwG, die Sanktionssperre, die Unstimmigkeitsmeldung zum Transparenzregister (§ 23a GwG) sowie die Freigabe von Szenarien und Schwellenwerten entscheidet das Institut. S+P Compliance bereitet vor und dokumentiert.
Governance, Drei-Linien-Modell und Gruppensteuerung
Klare Zuordnung von Aufgaben, Kontrollen und Berichtswegen.
- Zielbild für das Drei-Linien-Modell im Institut
- Zuordnung von Aufgaben, Kontrollen und Berichtswegen
- Aufbau von Compliance-Funktionen für Geldwäsche, Wertpapiere und Risikomanagement
- Berichtswesen an Geschäftsleitung und Aufsichtsorgan
- Steuerung auf Gruppenebene nach den Anforderungen der MaRisk
- Abstimmung mit Konzernvorgaben und Länderanforderungen
- Steuerungs- und Kontrollmodell für Dienstleister
- Dokumentation der Unabhängigkeit bei mehreren Mandaten
DORA, Auslagerung und Drittparteien
Konzepte für Register, Bewertung und Steuerung von Dienstleistern.
- Bestandsaufnahme der IKT-Drittparteien und Auslagerungen
- Konzept für Aufbau und Pflege des Informationsregisters
- Konzept für Kritikalitäts- und Wesentlichkeitsbewertung
- Checkliste zu Mindestinhalten von Dienstleisterverträgen; die rechtliche Prüfung erfolgt durch das Institut
- Konzept für die Risikoanalyse vor einer Auslagerung
- Abgrenzung der Anforderungen aus MaRisk und DORA bei IKT-Themen
- Konzept für Exit- und Notfallplanung
- Berichtswesen zu Dienstleistern und Auslagerungen
Prüfungsvorbereitung und Maßnahmenmanagement
Aufarbeitung von Feststellungen mit nachvollziehbarem Maßnahmenplan.
- Vorbereitung auf Prüfungen durch Aufsicht, Abschlussprüfer und interne Revision
- Aufbereitung von Nachweisen und Dokumentation
- Auswertung von Prüfungsfeststellungen
- Maßnahmenplan mit Verantwortlichen und Terminen
- Nachverfolgung und Nachweis der Umsetzung
- Konzept zur Wirksamkeitsprüfung von Maßnahmen
- Berichtswesen an die Geschäftsleitung
- Strukturierte Übergabe in den Regelbetrieb
Compliance-Technologie und Datenqualität
Anforderungen, Daten und Betrieb von Compliance-Anwendungen.
- Anforderungsprofil für Compliance-Anwendungen
- Neutrale Beschreibung der vorhandenen Systemlandschaft
- Datenmodell und Datenqualitätsregeln
- Schnittstellen zwischen Kernsystemen und Compliance-Anwendungen
- Konzept für Szenarien, Schwellenwerte und Tuning-Dokumentation
- Testkonzept und Abnahmedokumentation
- Betriebs- und Berechtigungskonzept
- Dokumentation für Prüfer
Abgrenzung
Szenarien und Schwellenwerte werden von S+P Compliance vorbereitet und dokumentiert; die Freigabe erteilt das Institut. S+P Compliance ist unabhängig von Systemherstellern und beschreibt Systemlandschaften neutral.
Was Sie nach einem Advisory-Projekt in der Hand haben
Jedes Projekt endet mit dokumentierten Ergebnissen, die Sie intern weiterverwenden und Prüfern vorlegen können.
Ist-Aufnahme
Strukturierte Bestandsaufnahme von Prozessen, Kontrollen, Daten und Zuständigkeiten.
Zielbild
Beschreibung des Soll-Zustands je Regelwerk, abgestimmt auf Größe und Risikoprofil.
Maßnahmenplan
Priorisierte Maßnahmen mit Verantwortlichen, Terminen und Abhängigkeiten.
Nachweisakte
Dokumentation der Ergebnisse für Geschäftsleitung, Revision und Prüfer.
Einsatzmodelle
Der Zuschnitt richtet sich nach Thema, Größe und Struktur Ihres Instituts. Die Modelle lassen sich kombinieren.
Einzelprojekt
Ein klar abgegrenztes Thema, zum Beispiel eine Gap-Analyse oder die Überarbeitung des Regelwerks, mit definiertem Ergebnis und Übergabe.
BefristetProgrammbegleitung
Begleitung mehrerer Regulierungsprojekte mit gemeinsamem Plan, Statusberichten und Abstimmung mit den Fachbereichen.
MehrstufigGruppenmandat
Abgestimmte Beratung für mehrere Institute oder Standorte einer Gruppe mit einheitlicher Methodik und getrennten Verantwortlichkeiten je Einheit.
GruppeÜbergang in den Betrieb
Nach dem Projekt kann die laufende Ausführung einzelner Aufgaben in den First-Line-Services oder in einer Auslagerung erfolgen. Die Verantwortung bleibt beim Institut.
BetriebAblauf eines Advisory-Projekts
1
Scoping und Zielsetzung
Wir klären Umfang, Regelwerke, Beteiligte und Ergebnisse. Das Institut legt Prioritäten und Entscheidungswege fest.
2
Analyse und Bewertung
Wir nehmen Prozesse, Kontrollen und Daten auf und bewerten Abweichungen. Die Fachbereiche prüfen die Feststellungen.
3
Konzept und Maßnahmenplan
Wir erarbeiten Zielbild, Entwürfe und Maßnahmenplan als Entscheidungsvorlage. Das Institut entscheidet über die Umsetzung.
4
Übergabe und Nachweise
Wir übergeben Ergebnisse und Dokumentation an Fachbereiche und Revision. Auf Wunsch folgt ein Übergang in den Betrieb.
Rollenverteilung im Projekt
Im Projekt arbeiten Mitarbeitende Ihres Instituts und S+P Compliance zusammen. Die Rollen werden vorab im Projektauftrag schriftlich festgelegt.
Die Tabelle zeigt die Aufteilung in typischen Advisory-Projekten. Abweichungen regeln Sie mit uns im Projektauftrag.
| Aufgabe | Institut | S+P Compliance |
|---|---|---|
| Ziele und Umfang | Legt Ziele, Prioritäten und Budget fest. | Schlägt den Projektzuschnitt vor und dokumentiert ihn. |
| Analyse und Konzept | Stellt Informationen und Zugänge bereit und prüft die Ergebnisse. | Analysiert, bereitet Sachverhalte auf und erstellt Entwürfe. |
| Freigabe und Entscheidung | Entscheidet, auch über Meldungen, Sperren, Szenarien und Schwellenwerte. | Bereitet Entscheidungsvorlagen vor und dokumentiert. |
| Umsetzung und Nachweis | Setzt um und verantwortet die Nachweise gegenüber Aufsicht und Prüfern. | Unterstützt bei Maßnahmenplan und Dokumentation. |
Nutzen für Ihr Institut
Gemeinsamer Plan
Ein abgestimmter Plan ersetzt parallele Einzelprojekte.
PlanungPrüffähige Dokumentation
Konzepte und Nachweise liegen in einer Form vor, die Prüfer nachvollziehen können.
NachweisKlare Zuständigkeiten
Aufgaben, Freigaben und Berichtswege sind eindeutig zugeordnet.
GovernanceEntscheidungsgrundlage
Die Geschäftsleitung erhält priorisierte Optionen mit Aufwand und Abhängigkeiten.
SteuerungEntlastung der Fachbereiche
Analyse und Aufbereitung übernimmt das Projektteam, die Fachbereiche prüfen und entscheiden.
KapazitätAnschlussfähigkeit
Ergebnisse lassen sich in den laufenden Betrieb oder in eine Auslagerung überführen.
BetriebFür wen Compliance Advisory geeignet ist
Welche Anforderungen für Ihr Institut gelten, hängt von Erlaubnis, Größe und Geschäftsmodell ab.
- Kreditinstitute
- Wertpapierinstitute
- Zahlungs- und E-Geld-Institute
- Kapitalverwaltungsgesellschaften
- Finanzdienstleistungsinstitute
- Zweigniederlassungen ausländischer Banken
- Institutsgruppen und Finanzholdings
- Unternehmen im Anwendungsbereich von DORA
- Geschäftsleitungen und Aufsichtsorgane
Weiterführende Leistungen
Advisory-Ergebnisse lassen sich mit den operativen Leistungen und Fachseiten von S+P Compliance verknüpfen.
First-Line-Services
Regulatory Data & Governance Operations
Datenkontrollen, Quality Rules, Governance-Register, Maßnahmen und Prüfungsnachweise steuern.
First-Line-Services
DORA, Outsourcing & Third-Party Operations
Informationsregister, IKT-Nachweise, Auslagerungsdaten und Drittparteien laufend pflegen.
First-Line-Services
Securities, Credit & Reporting Operations
WpHG-Unterlagen, MiFIR-Transaktionsdaten und wirtschaftliche Unterlagen strukturiert aufbereiten.
Prüfung
Aufarbeitung von Prüfungsfeststellungen mit Maßnahmenplan und Nachweisen.
Governance
Getrennte Teams, Berechtigungen und Berichtslinien über die Verteidigungslinien.
Technologie
Compliance Technology Services
Anforderungen, Datenqualität und Betrieb von Compliance-Anwendungen, herstellerunabhängig.
Steuerung
Übersicht zu Kennzahlen, Maßnahmen und Nachweisen in der Compliance-Steuerung.
Seminare
Seminare für Geschäftsleitung und Aufsichtsorgane zu Compliance-Themen.
Häufige Fragen
Was unterscheidet Compliance Advisory von der Auslagerung einer Kontrollfunktion?
Compliance Advisory ist befristet und projektbezogen: S+P Compliance analysiert, erstellt Konzepte und dokumentiert Ergebnisse. Bei einer Auslagerung wird die laufende Ausführung einer Funktion verlagert. In beiden Fällen bleibt die Verantwortung beim Institut; die Ausführung wird verlagert, nicht die Verantwortung.
Leistet S+P Compliance Rechtsberatung?
Nein. Compliance Advisory umfasst keine Rechtsberatung. Rechtliche Bewertungen im Einzelfall, etwa zu Vertragsinhalten oder zur Auslegung von Normen, nehmen Ihre Rechtsabteilung oder von Ihnen beauftragte Rechtsanwälte vor. S+P Compliance bereitet fachliche Grundlagen vor und dokumentiert sie.
Wer entscheidet über Verdachtsmeldungen, Sanktionssperren, Unstimmigkeitsmeldungen und Schwellenwerte?
Das Institut. Die Verdachtsmeldung nach § 43 GwG, die Sanktionssperre, die Unstimmigkeitsmeldung zum Transparenzregister nach § 23a GwG sowie die Freigabe von Szenarien und Schwellenwerten liegen in der Entscheidung des Instituts. S+P Compliance bereitet Sachverhalte und Entscheidungsvorlagen vor und dokumentiert sie.
Welche Regelwerke deckt die Beratung ab?
Die Beratung umfasst Geldwäscheprävention nach GwG und AMLR, Risikomanagement und Governance nach KWG und MaRisk, Wertpapier-Compliance nach WpHG sowie DORA und Auslagerung. Welche Regelwerke für Ihr Institut gelten, hängt von Erlaubnis, Größe und Geschäftsmodell ab. Rechtsstand: Oktober 2026. Die AMLR gilt im Regelfall ab Juli 2027, DORA seit Januar 2025; die neunte MaRisk-Novelle wurde im Juni 2026 als Rundschreiben 06/2026 (BA) veröffentlicht.
Lässt sich Advisory mit einer laufenden Auslagerung kombinieren?
Das ist je nach Mandat möglich. Wo S+P Compliance mehrere Mandate für dasselbe Institut führt, sind Teams, Berechtigungen und Berichtslinien getrennt. Interessenkonflikte werden je Mandat bewertet und dokumentiert. Über Zuschnitt und Kombination entscheidet das Institut.
Wie läuft ein Advisory-Projekt ab und welche Ergebnisse erhalten wir?
Ein Projekt besteht aus Scoping, Analyse, Konzept mit Maßnahmenplan sowie Übergabe mit Nachweisen. Sie erhalten dokumentierte Ergebnisse, etwa Gap-Analyse, Zielbild, priorisierte Maßnahmenliste und Entscheidungsvorlagen. Umfang, Laufzeit und Berichtswege werden im Projektauftrag festgelegt.
Compliance Advisory mit klarer Verantwortungsabgrenzung
Wir klären gemeinsam mit Ihnen Umfang, Regelwerke und Einsatzmodell und legen fest, welche Entscheidungen beim Institut bleiben. S+P Compliance bereitet vor und dokumentiert, das Institut entscheidet.
