Von der Novellierung des Bundesgesetzes zur Prävention und Aufdeckung von Transaktionen mit Geldern aus illegalen Quellen bis hin zu den allgemeinen Vorschriften: Der Weg zur Einhaltung der Vorschriften im Bereich der Geldwäschebekämpfung

Am 16. Juli 2025 wurde im Amtsblatt der Föderation („DOF“) das Dekret veröffentlicht, mit dem verschiedene Bestimmungen des Bundesgesetzes zur Prävention und Aufdeckung von Transaktionen mit Geldern aus illegalen Quellen („LFPIORPI“ oder „Gesetz“) sowie Artikel 400 Bis des Bundesstrafgesetzbuchs geändert und ergänzt wurden, mit dem Ziel, das Nationale System zur Bekämpfung der Geldwäsche zu stärken und den Verpflichtungen Mexikos gegenüber der Financial Action Task Force („FATF“) nachzukommen. Im Wesentlichen erweiterte diese Reform den Katalog der anfälligen Tätigkeiten; sie änderte die Definition des „kontrollierenden wirtschaftlich Berechtigten“ und fügte Verpflichtungen zu dessen Identifizierung hinzu; sie bezog verschiedene Behörden in das nationale System zur Bekämpfung der Geldwäsche ein; sie legte die jährliche Prüfung als Verpflichtung fest; sie passte die Regeln für das Selbstkorrekturverfahren an; und sie führte unter anderem die obligatorische jährliche Schulung der für die Compliance zuständigen Beauftragten ein.

Ein Großteil dieser Verpflichtungen unterlag der Aktualisierung der Durchführungsverordnung zum LFPIORPI (die „Durchführungsverordnung“) und der Allgemeinen Vorschriften („RCG“). Der erste Teil dieser Aktualisierung erfolgte im März 2026 mit einer Reform der Durchführungsverordnung, die unter anderem die Befugnisse der Steuerverwaltungsbehörde („SAT“), die Logik der Zusammenfassung von Transaktionen und der 24-Stunden-Meldung sowie die für politisch exponierte Personen („PEP“) geltende Regelung präzisierte. Der zweite Teil – und der zentrale Gegenstand dieser Analyse – ist die Reform der RCG, die das Ministerium für Finanzen und öffentliche Kredite am 7. August 2026 erlassen hat.

Diese Reform der RCG führt zwölf Reformschwerpunkte ein, die vom risikobasierten Ansatz über den „Beneficiario Controlador“ bis hin zu automatisierten Überwachungsmechanismen und der jährlichen Prüfung reichen, wobei die Verpflichtungen schrittweise zwischen 2026 und 2028 in Kraft treten. Die vorliegende Analyse konzentriert sich auf diese zwölf Schwerpunkte und darauf, was sie für den Alltag der Verpflichteten bedeuten, und schließt mit einem Zeitplan, der die zur Einhaltung empfohlenen Maßnahmen chronologisch ordnet. Bei jedem Schwerpunkt wird die zugrunde liegende Verpflichtung angegeben, sei es im Gesetz oder in der Verordnung, da die RCG größtenteils keine neuen Verpflichtungen schaffen, sondern die genannten Reformen operativ ergänzen.

Anmeldung und Registrierung von risikobehafteten Tätigkeiten

Die Reform stärkt das Verfahren zur Anmeldung und Registrierung von risikobehafteten Tätigkeiten. Artikel 17 des Gesetzes definiert, wer risikobehaftete Tätigkeiten ausübt, und Artikel 18 Absatz IV Bis verpflichtet diese Personen, sich über das Portal anzumelden und in das Register einzutragen. Die RCG fügen eine spezifische Anmelderegelung für diejenigen hinzu, die über Treuhandgesellschaften oder andere Rechtsformen, wie beispielsweise eine Beteiligungsgesellschaft, tätig sind.

Die Reformen sind insbesondere für diejenigen von Bedeutung, die den Handel mit virtuellen Vermögenswerten anbieten. Wer noch nicht registriert ist, muss bei der Beantragung der Registrierung auf dem Portal die in Artikel 10 Bis genannten Informationen vorlegen; wer bereits vor Inkrafttreten der Reformen der RCG registriert war, muss seine Daten bis spätestens 30. Mai 2027 aktualisieren (sechs Monate nach Inkrafttreten gemäß der zwölften Übergangsbestimmung). Darüber hinaus wurden mehrere der Anhänge zur Identifizierung grundlegend geändert, was eine Anpassung der internen Prozesse und Formate erforderlich macht. Die wichtigsten sind: (i) der ausdrückliche Ausschluss des Berufsausweises als gültiges Identifikationsdokument in allen Anhängen für Kunden oder Nutzer; (ii) die Ersetzung der Bescheinigung über die Abfrage des kontrollierenden Begünstigten durch eine Verpflichtung zur wirksamen Identifizierung desselben, die für juristische Personen, Treuhandgesellschaften und internationale Organisationen gilt; (iii) die Aufnahme von zwei neuen Anhängen (2 Bis und 2 Ter), die eine Abbildung und Erfassung der vollständigen Struktur von Treuhandvermögen und anderen Rechtsformen vorschreiben, über die die „anfällige Tätigkeit“ ausgeübt wird; (iv) die ausdrückliche Zulassung der elektronischen Signatur für die Bescheinigung des wirtschaftlich Berechtigten in den Akten natürlicher Personen, was die Fernabwicklung von Kundenaufnahmeverfahren ermöglicht; und (v) die Verpflichtung zur Identifizierung des wirtschaftlich Berechtigten des Mitgliedsunternehmens selbst bei Beantragung der Vereinbarung über die kollektive Übermittlung von Meldungen.

Risikobasierter Ansatz

Die Verpflichtung zur Anwendung eines risikobasierten Ansatzes („EBR“) geht nicht auf die RCG zurück. Sie wurde im Zuge der Reform des LFPIORPI in dessen Artikel 18 Absatz VII aufgenommen, der diejenigen, die risikobehaftete Tätigkeiten ausüben, dazu verpflichtet, eine Bewertung durchzuführen, die es ermöglicht, die Risiken ihrer Kunden oder Nutzer zu identifizieren, zu analysieren und zu mindern. Allerdings wurde das Inkrafttreten des Gesetzes in den Übergangsbestimmungen von den RCG abhängig gemacht. Daher wurde nach der Reform der RCG in Kapitel II Quater die Verpflichtung aufgenommen, über eine Methodik zu verfügen, die es ermöglicht, die aus den anfälligen Tätigkeiten resultierenden Risiken zu identifizieren, zu analysieren, zu verstehen, zu messen und zu mindern, wobei mindestens die Art der durchgeführten Handlungen oder Transaktionen, die Kunden oder Nutzer, die beteiligten Länder und geografischen Gebiete sowie die verwendeten Transaktionen und Kanäle zu berücksichtigen sind. Zudem müssen die bestehenden Kontrollen oder Risikominderungsmaßnahmen identifiziert und deren wirksame Anwendung bewertet werden. Die Methodik muss im Handbuch für interne Richtlinien oder in einem anderen Dokument festgehalten sein, die relevanten Informationen aus der nationalen Risikobewertung und deren Aktualisierungen berücksichtigen und auf Daten des Geschäftsbetriebs aus einem Zeitraum von mindestens zwölf Monaten basieren. Darüber hinaus muss eine Übereinstimmung zwischen den für die Bewertung verwendeten Daten und den in den automatisierten Mechanismen enthaltenen Daten bestehen.

Ein wichtiger Punkt ist, dass die Bewertung auch vor der Einführung neuer Medien, Kanäle, Modalitäten, Produkte oder Dienstleistungen oder vor der Ausrichtung der Aktivitäten auf neue Kunden- oder Nutzergruppen erfolgen muss. Damit wird die Risikoanalyse in Entscheidungen einbezogen, die zuvor vorwiegend als kommerzieller oder operativer Natur angesehen werden konnten. Zudem kann die SAT die Methodik und die Risikominderungsmaßnahmen überprüfen, Anpassungen verlangen und Aktionspläne anfordern, wodurch die Bewertung zu einem überwachbaren Bestandteil des Compliance-Systems wird und nicht nur ein internes Dokument bleibt. Sie muss der Behörde auf Anfrage ab dem 1. März 2027 zur Verfügung stehen.

Risikograd und Transaktionsprofil

Die Reform sieht eine zweite Analyseebene vor: Neben dem allgemeinen Risiko, dem das verpflichtete Unternehmen ausgesetzt ist, muss auch der individuelle Risikograd jedes Kunden oder jeder Nutzerin bewertet werden.

Artikel 23a schreibt vor, dass mindestens drei Einstufungen festgelegt werden müssen: niedrig, mittel und hoch; Artikel 23a Absatz 1 verpflichtet dazu, den Kunden oder die Kundin mindestens alle sechs Monate neu zu bewerten, wobei die Häufigkeit zu erhöhen ist, wenn sein bzw. ihr Risikograd höher ist. Zur Festlegung der Einstufung berücksichtigt Artikel 23a Absatz 2 Faktoren wie:

• Wirtschaftstätigkeit
• Staatsangehörigkeit
• Wohnsitz
• Einnahmequellen
• Zweck der Beziehung 
• Volumen 
• Häufigkeit
• Geschäftsvolumen
• Herkunft
• Verwendung der Mittel.

Zudem wird das Transaktionsprofil offiziell eingeführt, mit dem das erwartete Verhalten jedes Kunden unter Berücksichtigung der verfügbaren Informationen, der Anzahl und des Betrags der Transaktionen, ihrer Häufigkeit sowie der Herkunft und des Verwendungszwecks der Gelder ermittelt werden soll. Auf dieser Grundlage muss ein Warnsystem eingerichtet werden, das es ermöglicht, Veränderungen oder Abweichungen im Verhalten rechtzeitig zu erkennen.

Zuvor wurde im Rahmen der Reform von 2025 Artikel 18 Absatz I des LFPIORPI geändert, um die Verpflichtung zur Identifizierung und direkten Kenntnisnahme der Kunden oder Nutzer sowie zur Überprüfung ihrer Identität zu verstärken. Das Wesentliche an dieser Reform ist, dass sich die Verpflichtung zur „Identifizierung und Kenntnisnahme“ in einen dokumentarischen Teil und einen Teil der Überwachung während der Geschäftsbeziehung aufteilt, wobei zwei sich ergänzende Verpflichtungen unterschieden werden: die Identifizierung (Ergänzung der Akte mit den Daten und Unterlagen des Kunden oder der Kundin zu Beginn der Geschäftsbeziehung) und die Kenntnisnahme des Kunden (Verständnis seiner Tätigkeit, der Herkunft seiner Mittel und seines erwarteten Verhaltens während der Geschäftsbeziehung); die Reform verstärkt vor allem den zweiten Aspekt. Während zuvor bereits mindestens einmal jährlich überprüft werden musste, ob die Akten der Kunden oder Nutzerinnen vollständig und auf dem neuesten Stand waren, muss sich die Kenntnis des Kunden nun auch auf dessen Verhalten während der Geschäftsbeziehung erstrecken.

In der Praxis kann eine Transaktion, die für sich genommen den Schwellenwert nicht überschreitet, einen Alarm auslösen, wenn sie erheblich von den Informationen abweicht, die dem Verpflichteten über den Kunden vorliegen. Auf diese Weise sind die im Rahmen des Identifizierungsverfahrens erhobenen Informationen nicht mehr nur dokumentarischer Natur, sondern haben Auswirkungen auf die Überwachung, die Risikoeinstufung und die eventuelle Einreichung von Meldungen. Diese internen Richtlinien derjenigen, die „anfällige Tätigkeiten“ ausüben, müssen bis zum 1. März 2027 vollständig festgelegt sein. 

Politisch exponierte Personen

Die neuen RCG enthalten ein eigenes Kapitel über politisch exponierte Personen. Gemäß Artikel 23 Quater gilt als PEP jede natürliche Person, die in Mexiko oder im Ausland relevante öffentliche Ämter ausübt oder ausgeübt hat, wie beispielsweise Staats- oder Regierungschefs, politische Führungskräfte, hochrangige Beamte in Regierung, Justiz oder Militär, leitende Führungskräfte staatlicher Unternehmen sowie wichtige Funktionäre oder Mitglieder politischer Parteien und internationaler Organisationen. Dieser Kategorie werden der Ehepartner, der Lebenspartner, Verwandte bis zum zweiten Grad sowie Partner oder Gesellschafter mit vermögensrechtlichen Verbindungen gleichgestellt. Eine inländische PEP behält diesen Status während des auf das Ausscheiden aus dem Amt folgenden Jahres.

Um diese Eigenschaft zu überprüfen, führt Artikel 23 Quater 1 erstmals die Möglichkeit ein, die Anwendung „Consulta PEP 2.0“ der Finanzermittlungsstelle („UIF“) zu nutzen. Dieser Mechanismus kann sowohl von Personen, die „anfällige Tätigkeiten“ ausüben und ihre fortgeschrittene elektronische Signatur verwenden, als auch von Finanzinstituten nach vorheriger Freigabe durch die UIF genutzt werden. Ist ein Kunde oder eine Kundin eine PEP und weist zudem ein hohes Risikograd auf, müssen verstärkte Sorgfaltspflichten angewendet werden: Vor Abschluss des Geschäfts oder der Transaktion muss die Genehmigung einer Führungskraft eingeholt oder – falls es sich bei der Person, die die risikobehaftete Tätigkeit ausübt, um eine natürliche Person handelt – die Gründe dafür dokumentiert werden; bei ausländischen PEPs sind zusätzliche Unterlagen einzuholen. Die Abfrage über „Consulta PEP 2.0“ wird neun Monate nach Inkrafttreten verfügbar sein. Da die Reform der RCG am 30. November 2026 in Kraft treten wird, wird erwartet, dass das Tool ab dem 30. August 2027 genutzt werden kann.

Begünstigter, der die Kontrolle ausübt

Mit der Gesetzesreform vom Juli 2025 wurde der Begriff des „kontrollierenden Begünstigten“ bereits geändert: Die Kontrollschwelle wurde von 50 % auf 25 % gesenkt, Kapitel IV Bis mit der Registrierung beim Wirtschaftsministerium eingeführt und der Begriff mit den Begriffen „Endbegünstigter“ und „wirtschaftlicher Eigentümer“ gleichgestellt. 

Die RCG konkretisieren jedoch den operativen Aspekt dieser Verpflichtungen. Zuvor enthielten die RCG keinen eigenen Abschnitt zum „kontrollierenden Begünstigten“; die Identifizierung des damals als „wirtschaftlich Berechtigter“ bezeichneten Begünstigten erfolgte anhand weniger Hinweise in Artikel 12 und dessen Anhängen. Die neuen RCG schaffen das Kapitel III Quinquies „Über den kontrollierenden wirtschaftlich Berechtigten“ (Artikel 23 Quinquies bis 23 Quinquies 3), das die wichtigste Neuerung in diesem Bereich darstellt und darin die hierarchische Methodik einführt, um in jedem Fall den kontrollierenden wirtschaftlich Berechtigten eines Kunden, der eine juristische Person ist, und, sofern anwendbar, auch natürliche Personen zu identifizieren. Nun wird eine sequenzielle Reihenfolge festgelegt, die darin besteht, zunächst denjenigen zu identifizieren, der direkt oder indirekt 25 % oder mehr des Gesellschaftskapitals hält; lässt sich dieser dadurch nicht identifizieren, denjenigen, der die Kontrolle durch andere Mittel im Zusammenhang mit der Strategie, der Leitung oder der Entscheidungsfindung ausübt; und, falls dies nicht möglich ist, den ranghöchsten Mitarbeiter.

Im Falle von Treuhandvermögen legen die neuen RCG erstmals detailliert fest, wer den Status eines kontrollierenden Begünstigten einnehmen kann (Treuhänder, Treugeber, Treuhandverwalter, Protektoren, Mitglieder des Fachausschusses), und schreiben vor, dass bei einer dieser Personen, die ihrerseits eine juristische Person oder eine Rechtsstruktur ist, die Eigentums- und Kontrollkette bis hin zur natürlichen Person, die letztendlich die Kontrolle ausübt, zurückverfolgt werden muss.

Es ist wichtig, diese Identifizierung – die die verpflichteten Stellen in Bezug auf ihre Kunden vornehmen – von einer anderen, weiter gefassten Verpflichtung zu unterscheiden, die das Gesetz ab 2025 in Kapitel IV Bis eingeführt hat: nämlich die Verpflichtung der Handelsgesellschaften selbst, ihren eigenen wirtschaftlich Berechtigten zu identifizieren und diese Informationen in dem elektronischen System zu erfassen, das vom Wirtschaftsministerium verwaltet wird (Artikel 33 Bis und 33 Ter des Gesetzes). Die reformierten Allgemeinen Verwaltungsvorschriften (RCG) regeln diese gesellschaftsrechtliche Verpflichtung nicht, sondern lediglich die Identifizierungspflicht derjenigen, die risikobehaftete Tätigkeiten ausüben, gegenüber ihren Kunden, weshalb beide Regelungen parallel bestehen.

Andererseits verpflichten die neuen RCG ausdrücklich dazu, das zur Identifizierung des wirtschaftlich Berechtigten angewandte Verfahren – und nicht nur das Ergebnis – zu dokumentieren, die entsprechenden Informationen und Aufzeichnungen aufzubewahren und diese während der gesamten Dauer der Geschäftsbeziehung auf dem neuesten Stand zu halten. Zudem wird eine abschließende Liste von Ausnahmen bekräftigt, in denen es nicht erforderlich ist, die Daten des wirtschaftlich Berechtigten zu erheben: wenn der Kunde an einer mexikanischen Börse oder an anerkannten ausländischen Märkten notiert ist oder wenn es sich um eine der juristischen Personen handelt, die in den Anhängen 4 Bis, 6 Bis, 7-A und 7 Bis-A der RCG aufgeführt sind.

Eine weitere wichtige Neuerung besteht darin, dass die RCG die Identifizierung des kontrollierenden Begünstigten mit der ebenfalls neu geschaffenen Risikobewertungsmethode verknüpfen: Artikel 23a Absatz 4 der RCG schreibt vor, bestimmte nicht ansässige Kunden, die mit Risikoländern oder Steuerprivilegien in Verbindung stehen, sowie ausländische politisch exponierte Personen als hohes Risiko einzustufen.

Darüber hinaus ermächtigt Artikel 23 Quinquies Absatz 3 die UIF, nach Stellungnahme der SAT Leitlinien zur Umsetzung dieses gesamten Kapitels zu erlassen, die über das Internetportal veröffentlicht werden, ohne dass eine Änderung der RCG erforderlich ist. 

24-Stunden-Meldungen

Neben dem System der Meldungen nach Beträgen regelt die Reform die 24-Stunden-Meldung (Artikel 7a der Verordnung), die auch dann gilt, wenn das Geschäft nicht zustande kommt, und regelt die Berichte, ein Begriff, den die reformierte Verordnung in Artikel 2 als eigenständige Kategorie aufgenommen hat (definiert als solche, die gemäß den allgemeinen Vorschriften vorgelegt wird), die sich von den Meldungen unterscheidet und für die die SAT Zuständigkeiten hinsichtlich der Entgegennahme und Überwachung ausübt.

Meldungen wegen Verdachts 

Die Reform verknüpft die neuen Transaktionsprofile und Warnsysteme mit der Einreichung der Verdachtsmeldung. Auf der Grundlage der Kenntnis des Kunden und seines erwarteten Verhaltens müssen Transaktionen oder Verhaltensweisen, die von diesem Profil abweichen, erkannt, analysiert und geprüft werden, ob Anhaltspunkte vorliegen, die sie mit Transaktionen mit Geldern aus illegalen Quellen in Verbindung bringen. Eine Abweichung vom Transaktionsprofil löst einen Alarm aus und erfordert eine Analyse, führt jedoch nicht automatisch zu einer Meldung innerhalb von 24 Stunden: Diese ist nur dann erforderlich, wenn die Analyse Anhaltspunkte liefert, die die Transaktion mit Geldern aus illegalen Quellen in Verbindung bringen und die Identifizierung der beteiligten Person ermöglichen.

HandbuchfürinterneRichtlinien

Das Handbuch für interne Richtlinien ist eine Verpflichtung gemäß Artikel 18 Absatz VIII des Gesetzes, der zur Ausgestaltung auf die RCG verweist. Bereits zuvor war in diesen vorgeschrieben, über ein Dokument zu verfügen, das Leitlinien zur Kundenidentifizierung sowie bestimmte interne Kriterien, Maßnahmen und Verfahren enthält, die neuen RCG ersetzen diesen Ansatz jedoch durch ein eigenständiges Handbuch für interne Richtlinien, das die Risikomethodik integrieren und Verfahren in Bezug auf die Identifizierung und Kenntnis des Kunden, die Risikoklassifizierung, die Sorgfaltspflicht, PEP, das Transaktionsprofil, Warnmeldungen, die Häufung von Transaktionen, Schulungen, Audits sowie weitere von den RCG geforderte Elemente enthalten muss.

Darüber hinaus muss das Handbuch die Kriterien für die Aufnahme, Einschränkung oder Beendigung von Geschäftsbeziehungen festlegen, die mit der Risikomethodik im Einklang stehen müssen. Die SAT kann sogar Änderungen anordnen, wenn sie diese für die ordnungsgemäße Einhaltung der Vorschriften für erforderlich hält. Das aktualisierte Handbuch, einschließlich der Risikomethodik sowie der übrigen in den geltenden RCG festgelegten Anforderungen des Handbuchs, muss ab dem 1. März 2027 verfügbar sein.

Automatisierte Mechanismen 

Die Überwachung mittels automatisierter Mechanismen ist eine Verpflichtung gemäß Artikel 18 Absatz X des Gesetzes, der im Jahr 2025 aufgenommen wurde; die Einzelheiten zur Umsetzung wurden in den RCG geregelt. Die automatisierten Mechanismen können mittels Tabellenkalkulationen, Datenbanken oder anderer gleichwertiger Mittel – nicht unbedingt mittels spezieller Software – umgesetzt werden, sofern sie die geforderten Funktionen erfüllen und gegenüber der Behörde überprüfbar sind.

Diese Mechanismen müssen unter anderem folgende Funktionen ermöglichen: die Aufbewahrung und Abfrage von Akten, die Zusammenfassung der von ein und demselben Kunden getätigten Transaktionen, die Erkennung von Abweichungen von dessen Transaktionsprofil, die Durchführung von Kumulierungen, die Einspeisung von Daten in die Risikomethodik, die Anwendung des Kundenklassifizierungsmodells und die Generierung von Warnmeldungen. Zudem muss die Historie der Änderungen des Risikograds und des Transaktionsprofils für einen Zeitraum von mindestens zehn Jahren aufbewahrt werden, und die entsprechenden Maßnahmen müssen spätestens am 1. Juni 2027 umgesetzt sein.

Elektronische Benachrichtigungen

Die Reform ändert auch die Regelung für die Zustellungen der Behörde. Die Abfrage des Portals, die bisher alle zwei Wochen erfolgte, ist nun mindestens einmal pro Werktag verpflichtend (Artikel 5 und 6 der RCG), und die elektronische Zustellung gilt am vierten Werktag nach dem Versand als erfolgt, auch wenn der Adressat sie nicht geöffnet hat. In der Praxis empfiehlt es sich, einen Verantwortlichen und einen Stellvertreter für die tägliche Überprüfung zu benennen und ein Zugriffsprotokoll zu führen, da die Fristen unabhängig davon laufen, ob das Portal überprüft wird oder nicht.

Prüfung

Die neuen RCG ergänzen zudem die in Artikel 18 Absatz XI des Gesetzes vorgesehene Verpflichtung zur Vorlage des Jahresabschlusses, die 2025 in Kraft tritt und sich auf den Zeitraum vom 1. Januar bis zum 31. Dezember eines jeden Jahres bezieht, wobei der Prüfungsbericht spätestens am letzten Werktag des Monats März, der auf das geprüfte Jahr folgt, vorzulegen ist. 

In Übereinstimmung mit Artikel 12a der Verordnung, der bereits vorschreibt, dass das Ergebnis einer internen oder externen Prüfung sowie die Unterlagen, die die Behebung von Beanstandungen oder Unstimmigkeiten belegen, einzuholen und aufzubewahren sind, regeln die RCG detaillierter die Häufigkeit, den Umfang und die Nachweise, die diese Maßnahme untermauern müssen. 

Ziel der Prüfung ist es, die Übereinstimmung zwischen den Vorgaben des Handbuchs für interne Richtlinien, der Risikomethodik, der Kundenklassifizierung und den tatsächlichen Abläufen im operativen Geschäft zu bewerten. 

Die Art des Prüfers hängt vom Risiko des Verpflichteten ab: Bei geringem oder mittlerem Risiko reicht eine interne Prüfung aus, die auf freiwilliger Basis auch von einer externen und unabhängigen Person durchgeführt werden kann; bei hohem Risiko muss die Prüfung zwingend von einer externen und unabhängigen Person durchgeführt werden. Diese Person muss über eine gültige, von der FIU ausgestellte Zertifizierung verfügen und strenge Unabhängigkeitsvorschriften gegenüber dem Verpflichteten einhalten.

Der erste jährliche Prüfungszeitraum erstreckt sich vom 1. Januar bis zum 31. Dezember 2028, und der Prüfungsbericht muss dem Prüfungsobjekt spätestens am letzten Werktag im März 2029 vorgelegt werden. Die diesem Prüfungsbericht zugrunde liegenden Unterlagen sowie die Nachweise über die Behebung der Beanstandungen sind gemäß Artikel 51 der RCG für einen Zeitraum von mindestens fünf Jahren, gerechnet ab der Aushändigung des Prüfungsberichts, aufzubewahren und der SAT auf Verlangen vorzulegen. 

Ausbildung und Auswahl

In den neuen RCG werden nun der Mindestinhalt der Schulung, deren Zusammenhang mit der EBR-Methodik, die erforderlichen Erfahrungen der Schulungsleiter, die aufzubewahrenden Nachweise sowie die für das Auswahlverfahren geltenden Anforderungen dargelegt. 

Unternehmen, die risikobehaftete Tätigkeiten ausüben, müssen Schulungsprogramme für die Mitglieder des Verwaltungsrats, den alleinigen Geschäftsführer, die Führungskräfte, die leitenden Angestellten, die Compliance-Beauftragte sowie für die Mitarbeiter durchführen, die Kunden betreuen, Kunden identifizieren, Mitteilungen versenden oder Prüfungen durchführen. 

Die Schulungen müssen mindestens einmal jährlich stattfinden, mit der Risikomethodik im Einklang stehen und von Personen durchgeführt werden, die über mindestens fünf Jahre Erfahrung auf diesem Gebiet verfügen. Die Unterlagen zum Nachweis der Schulung müssen mindestens zehn Jahre lang aufbewahrt werden (Artikel 39a Absatz 1).

Im Rahmen der Personalauswahl muss zudem eine unterzeichnete Erklärung über die bisherige Berufserfahrung in den vorgeschriebenen Bereichen sowie über das Nichtvorliegen von Verurteilungen wegen Vermögensdelikten oder von Amtsenthebungen eingeholt werden. 

Gemeinnützige Vereine und Gesellschaften

Die Reform sieht zudem spezifische Maßnahmen für Vereine und gemeinnützige Organisationen vor. Gemäß den Artikeln 38 Bis bis 38 Bis 2 wird die UIF verhältnismäßige und risikobasierte Maßnahmen im Zusammenhang mit der in Artikel 139 Quater des Bundes Strafgesetzbuchs vorgesehenen Straftat ergreifen, darunter Schulungs- und Aufklärungsprogramme sowie die Überwachung von Transaktionen im Zusammenhang mit Spendern oder Hochrisikoländern. 

Zeitplan für die Umsetzung

Datum	Begründung	Empfohlene Maßnahme
7. August 2026	Veröffentlichung des Beschlusses 115/2026 (Reform der RCG) im DOF. Er wird auf der Grundlage von Artikel 6 Absatz VII des Gesetzes erlassen.	k. A.
30. November 2026	Allgemeines Inkrafttreten der neuen RCG (Erste Übergangsbestimmung). Dies ergibt sich aus den Übergangsbestimmungen der Reform des Gesetzes von 2025, durch die das Inkrafttreten der RCG aufgeschoben wurde.	Ab diesem Zeitpunkt sind die neuen RCG verbindlich, und die in diesem Zeitplan beschriebenen Fristen beginnen zu laufen.
1. Januar 2027	Beginn der ersten jährlichen Fortbildungsphase (Siebte Übergangsbestimmung; § 39a). Gesetz: § 18 Abs. IX und § 20.	Mindestens einmal jährlich sind Schulungskurse oder -workshops für den Verwaltungsrat, den alleinigen Geschäftsführer, die Führungskräfte, die leitenden Angestellten, die Compliance-Beauftragte sowie für das Personal, das Kunden betreut, Kunden identifiziert, Mitteilungen versendet oder Prüfungen durchführt, durchzuführen (Art. 39 Bis).
1. März 2027	Risikomethodik, die der Behörde auf Anfrage zur Verfügung steht (Zweite Übergangsbestimmung). Gesetz: § 18 Abs. VII (sowie § 19, vereinfachte Maßnahmen je nach Risiko).	Der Behörde muss auf Anfrage die Methodik des risikobasierten Ansatzes zur Verfügung stehen.
1. März 2027	Aktualisiertes Handbuch zu internen Richtlinien mit der Risikomethodik (Dritter Übergangsartikel). Gesetz: § 18 Abs. VIII.	Über ein aktualisiertes Handbuch für interne Richtlinien zu verfügen, das die Risikomethodik sowie die Kriterien und Verfahren zur Erfüllung aller Verpflichtungen im Bereich der Bekämpfung der Geldwäsche und der Terrorismusfinanzierung (Art. 37a) enthält.
1. März 2027	Einstufung nach Risikograd, Transaktionsprofil und Verfahren für den beherrschenden Begünstigten, die für Handlungen oder Transaktionen gelten (Vierte Übergangsbestimmung). Gesetz: Art. 18 Abs. I und III.	Die Vorgänge oder Transaktionen nach Risikostufe (niedrig, mittel oder hoch) und Transaktionsprofil klassifizieren und das Verfahren zur Identifizierung des wirtschaftlich Berechtigten dokumentieren.
1. März 2027	Neue Verfahren zur Personalauswahl für Neueinstellungen (Sechste Übergangsbestimmung; Art. 39a Abs. 2). Gesetz: Art. 18, Ziff. IX.	Bei Neueinstellungen sind die Verfahren zur Personalauswahl anzuwenden, einschließlich der in § 39a Abs. 2 vorgesehenen unterzeichneten Erklärung.
30. Mai 2027	Frist (6 Monate ab Inkrafttreten) für die Aktualisierung der Angaben gemäß Art. 10a, die für diejenigen gilt, die regelmäßig und gewerblich den Tausch von virtuellen Vermögenswerten anbieten.	Dienstleister, deren virtuelle Vermögenswerte bereits vor Inkrafttreten der Änderungen der RCG registriert wurden, müssen die Angaben gemäß Art. 10 Bis aktualisieren und übermitteln.
1. Juni 2027	Frist für die Umsetzung der automatisierten Mechanismen (Übergangsbestimmung Nr. 9; Art. 41). Gesetz: Art. 18, Abs. X.	Die automatisierten Verfahren müssen die in § 41 RCG festgelegten Funktionen erfüllen.
30. Juli 2027	Frist (8 Monate ab Inkrafttreten) für die Einführung des elektronischen Benachrichtigungssystems durch das Sekretariat.	Für das Sekretariat geltende Verpflichtung.
Spätestens am 30. August 2027	Frist (9 Monate ab Inkrafttreten), bis zu der die Abfrage bei der FIU bezüglich politisch exponierter Personen über die Anwendung „Consulta PEP 2.0“ verfügbar sein muss.	Ab diesem Datum kann die FIU konsultiert werden, wenn nicht festgestellt werden kann, ob ein Kunde oder eine Kundin eine politisch exponierte Person ist.
31. Dezember 2027	Abschluss der ersten jährlichen Fortbildungsphase (Übergangsbestimmung Nr. 7). Gesetz: § 18 Abs. IX und § 20.	Die Unterlagen zur Schulung sind mindestens zehn Jahre lang aufzubewahren (Art. 39a Abs. 1).
1. Januar 2028	Beginn des Geschäftsjahres 2028, erster Zeitraum, der der jährlichen Abschlussprüfung unterliegt (Übergangsbestimmung Nr. 8; § 42). Gesetz: § 18 Abs. XI; Verordnung: § 12a.	Mit der Einbeziehung der Nachweise für das Geschäftsjahr 2028 beginnen (Risikomethodik, Kundenklassifizierung, Transaktionsprofil, Warnmeldungen und sonstige Kontrollen gemäß dem Handbuch für interne Richtlinien), die die entsprechende interne oder externe Prüfung untermauern werden.
31. Dezember 2028	Abschluss des Geschäftsjahres 2028, der im Rahmen der ersten jährlichen Prüfung bewertete Zeitraum.	Ab diesem Datum läuft die Frist, innerhalb derer der Wirtschaftsprüfer die Wirksamkeit der Einhaltung der Vorschriften im Jahr 2028 bewerten und seinen Bestätigungsvermerk erteilen muss.
Letzter Werktag im März 2029	Frist für die Abgabe des Prüfungsurteils zur ersten Jahresabschlussprüfung für das Geschäftsjahr 2028.	Entgegennahme des Gutachtens und Vorlage der Ergebnisse beim Verwaltungsorgan, der Geschäftsleitung oder einem gleichwertigen Gremium; Nachverfolgung der Korrekturmaßnahmenprogramme.
Termin steht noch nicht fest	Die Versendung der neuen Bescheide erfolgt 6 Monate nach Inkrafttreten des Beschlusses, mit dem die neuen amtlichen Formulare festgelegt werden.	Es sind keine Maßnahmen erforderlich, bis der Beschluss zur Veröffentlichung der neuen amtlichen Formulare ergeht; ab dessen Inkrafttreten gilt eine Anpassungsfrist von 6 Monaten.

Fazit

Diese Reform verlagert den Schwerpunkt von der Einhaltung eines dokumentarischen Modells – vollständige Unterlagen, fristgerecht eingereichte Meldungen – hin zu einem Modell der kontinuierlichen Überwachung, bei dem die Kenntnis des Kunden, die Risikoeinstufung und die automatisierte Überwachung konsequent aufrechterhalten werden und der SAT jederzeit zur Überprüfung zur Verfügung stehen müssen. Wer heute lediglich die dokumentarischen Anforderungen erfüllt, wird in den Jahren 2027 und 2028 mit Anforderungen hinsichtlich Rückverfolgbarkeit, Technologie und Nachweisführung konfrontiert sein, die sich nicht spontan bewältigen lassen.

Die Fristen im März und Juni 2027 lassen weniger als ein Jahr tatsächlichen Spielraum für: (i) die Neugestaltung der EBR-Methodik und des Handbuchs für interne Richtlinien; (ii) die in Artikel 41 geforderten automatisierten Mechanismen zu entwickeln oder anzupassen; und (iii) zu klären, ob die Prüfung 2028 durch internes Personal durchgeführt wird oder ob ein von der UIF zertifizierter externer Wirtschaftsprüfer beauftragt werden muss – eine Entscheidung, die mit ausreichendem Vorlauf getroffen werden sollte.

Wenn Ihr Unternehmen risikobehaftete Tätigkeiten ausübt und Sie die konkreten Auswirkungen der Reformen bewerten möchten, steht Ihnen unser PLD/FT-Compliance-Team gerne zur Verfügung, um eine Lückenanalyse hinsichtlich dieser Verpflichtungen durchzuführen und Sie bei der Umsetzung Ihres Aktionsplans zu begleiten.