Art. 18 Auslagerung | Anti-money laundering regulation (AMLR) | AML

This article governs the outsourcing of AML/CFT compliance tasks by obliged entities to third-party service providers.

It permits outsourcing while making clear that accountability stays firmly with the obliged entity, not the service provider.

The article is notably detailed, setting out not only the general framework for permissible outsourcing but also a hard list of tasks that can never be outsourced, rules on third-country service providers, and a specific carve-out for certain collective investment undertakings.

It connects directly to the internal governance obligations in Articles 9 and 10, as the approval of risk assessments and internal policies established under those articles are among the tasks explicitly ring-fenced from outsourcing.

Important points:

Remain fully liable for all outsourced tasks — full accountability cannot be delegated to a service provider under any circumstances.
Certain core decisions can never be outsourced, including approving risk assessments and internal policies, determining a customer's risk profile, and deciding whether to enter into a business relationship.
Outsourcing to service providers in high-risk third countries identified under Chapter III is prohibited unless the provider is part of the same group, the group applies fully compliant AML/CFT standards, and group-level supervision is in place.

1. Verpflichtete können Aufgaben, die sich aus dieser Verordnung ergeben, an Dienstleister auslagern. Der Verpflichtete teilt dem Aufseher die Auslagerung mit, bevor der Dienstleister die ausgelagerte Aufgabe ausführt.
1. Bei der Wahrnehmung der Aufgaben nach dem vorliegenden Artikel gilt der Dienstleister als Teil des Verpflichteten, auch wenn sie verpflichtet sind, die in Artikel 10 der Richtlinie (EU) 2024/1640 genannten Zentralregister (im Folgenden „Zentralregister“) abzufragen, um die Sorgfaltspflichten gegenüber Kunden im Namen des Verpflichteten zu erfüllen.
2. Der Verpflichtete haftet in vollem Umfang für jede Handlung, unabhängig davon, ob es sich um eine Beauftragung oder Unterlassung handelt, die mit den ausgelagerten Aufgaben im Zusammenhang steht und von Dienstleistern ausgeführt wird.
3. Für jede ausgelagerte Aufgabe muss der Verpflichtete dem Aufseher nachweisen können, dass er die Hintergründe für die vom Dienstleister durchgeführten Tätigkeiten und den bei ihrer Durchführung verfolgten Ansatz versteht und dass solche Tätigkeiten die spezifischen Risiken, denen der Verpflichtete ausgesetzt ist, mindern.
1. Die nach Absatz 1 dieses Artikels ausgelagerten Aufgaben dürfen nicht in einer Weise ausgeführt werden, die die Qualität der Strategien und Verfahren des Verpflichteten zur Erfüllung der Anforderungen dieser Verordnung und der Verordnung (EU) 2023/1113 sowie der zur Prüfung dieser Strategien und Verfahren bestehenden Kontrollen wesentlich beeinträchtigen. Unter keinen Umständen ausgelagert werden dürfen
  1. der Vorschlag und die Billigung der unternehmensweiten Risikobewertung des Verpflichteten gemäß Artikel 10 Absatz 2;
  2. die Billigung der internen Strategien, Verfahren und Kontrollen des Verpflichteten gemäß Artikel 9;
  3. die Entscheidung über das dem Kunden zuzuordnende Risikoprofil;
  4. die Entscheidung, eine Geschäftsbeziehung aufzunehmen oder eine gelegentliche Transaktion mit einem Kunden durchzuführen;
  5. die Meldung verdächtiger Tätigkeiten an die zentrale Meldestelle gemäß Artikel 69 oder schwellenwertbasierte Meldungen gemäß den Artikeln 74 und 80, es sei denn, diese Tätigkeiten werden an einen anderen Verpflichteten ausgelagert, der derselben Gruppe angehört und in demselben Mitgliedstaat niedergelassen ist;
  6. die Billigung der Kriterien für die Aufdeckung verdächtiger oder ungewöhnlicher Transaktionen und Tätigkeiten.
1. Bevor ein Verpflichteter eine Aufgabe gemäß Absatz 1 auslagert, stellt er sicher, dass der Dienstleister ausreichend qualifiziert ist, um die ausgelagerten Aufgaben zu wahrzunehmen.
2. Bei Auslagerung einer Aufgabe gemäß Absatz 1 stellt der Verpflichtete sicher, dass der Dienstleister sowie alle nachfolgenden Dienstleister, an die weiter ausgelagert wird, die vom Verpflichteten festgelegten Strategien und Verfahren anwenden. Die Bedingungen für die Ausführung solcher Aufgaben werden in einer schriftlichen Vereinbarung zwischen dem Verpflichteten und dem Dienstleister festgelegt. Der Verpflichtete führt regelmäßige Kontrollen durch, um sich zu vergewissern, dass diese Strategien und Verfahren vom Dienstleister wirksam umgesetzt werden. Die Häufigkeit solcher Kontrollen richtet sich danach, wie kritisch die ausgelagerten Aufgaben sind.
1. Die Verpflichteten stellen sicher, dass eine Auslagerung nicht in einer Weise erfolgt, die die Aufsichtsbehörden wesentlich in ihrer Fähigkeit einschränkt, die Einhaltung dieser Verordnung und der Verordnung (EU) 2023/1113 durch den Verpflichteten zu überwachen und nachzuverfolgen.
1. Abweichend von Absatz 1 lagern Verpflichtete Aufgaben, die sich aus den Anforderungen dieser Verordnung ergeben, nicht an Dienstleister aus, die in gemäß Kapitel III Abschnitt 2 ermittelten Drittländern ansässig oder niedergelassen sind, es sei denn, alle folgenden Bedingungen sind erfüllt:
  1. Der Verpflichtete lagert Aufgaben ausschließlich an einen derselben Gruppe angehörenden Dienstleister aus;
  2. die Strategien und Verfahren zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, die Sorgfaltsmaßnahmen gegenüber Kunden und die Regeln bezüglich der Führung von Aufzeichnungen stehen voll und ganz mit dieser Verordnung oder mit gleichwertigen Vorschriften in Drittländern in Einklang;
  3. die wirksame Umsetzung der unter Buchstabe b dieses Absatzes genannten Anforderungen wird auf Gruppenebene von der Aufsichtsbehörde des Herkunftsmitgliedstaats gemäß Kapitel IV der Richtlinie (EU) 2024/1640 beaufsichtigt.
1. Abweichend von Absatz 3 kann ein Organismus für gemeinsame Anlagen, der keine Rechtspersönlichkeit hat oder nur ein Direktorium hat und die Verarbeitung von Zeichnungen und die Einziehung von Geldbeträgen im Sinne von Artikel 4 Nummer 25 der Richtlinie (EU) 2015/2366 von Anlegern an ein anderes Unternehmen übertragen hat, die in Absatz 3 Buchstaben c, d und e genannte Aufgabe an einen seiner Dienstleister auslagern.
2. Die in Unterabsatz 1 des vorliegenden Absatzes genannte Auslagerung darf erst erfolgen, nachdem der Organismus für gemeinsame Anlagen dem Aufseher seine Absicht mitgeteilt hat, die Aufgabe gemäß Absatz 1 auszulagern, und der Aufseher eine solche Auslagerung genehmigt hat, wobei Folgendes berücksichtigt wurde:
  1. die Ressourcen, Erfahrungen und Kenntnisse des Dienstleisters in Bezug auf die Verhinderung von Geldwäsche und Terrorismusfinanzierung;
  2. die Kenntnis des Dienstleisters der Art der von dem Organismus für gemeinsame Anlagen ausgeführten Tätigkeiten oder Transaktionen.
1. Die AMLA gibt bis zum 10. Juli 2027 Leitlinien für die Verpflichteten zu folgenden Punkten aus:
  1. der Begründung von Auslagerungsverhältnissen, einschließlich nachfolgender Auslagerungsverhältnisse, gemäß dem vorliegenden Artikel, den entsprechenden Aufgaben und Zuständigkeiten sowie den Verfahren, mit denen überwacht wird, wie der Dienstleister diese Funktionen, insbesondere die als kritisch anzusehenden Funktionen, wahrnimmt;
  2. den Aufgaben und Zuständigkeiten des Verpflichteten und des Dienstleisters im Rahmen einer Auslagerungsvereinbarung;
  3. den aufsichtlichen Vorgehensweisen für die Auslagerung sowie den aufsichtlichen Erwartungen in Bezug auf die Auslagerung kritischer Funktionen.