CIMA AML Rule: Pflicht zur Einreichung des Prüfberichts auf den Cayman Islands

Zuletzt geprüft: 6. Oktober 2026 · Keine Rechtsberatung

CIMA beaufsichtigte Ende 2024 33,125 Lizenznehmer und registrierte Unternehmen, davon 30,150 oder rund 91% Investmentfonds und Private Funds.^[8] In ihrer eigenen Stellungnahme im Feedback Statement zur Konsultation hält CIMA fest: „Investmentfonds stützen sich bei der Einhaltung der AMLRs zwar weitgehend auf Fondsadministratoren, haben aber auch eigene Pflichten nach den AMLRs und bleiben letztlich für deren Einhaltung verantwortlich“.^[4] AMLRs steht für die Anti-Money Laundering Regulations.

Was geschehen ist: Die CIMA AML Rule ist in Kraft getreten

CIMA erließ zwei Rules gemeinsam: die Rule on Effective Compliance Programme for the Prevention and Detection of Money Laundering, Terrorist Financing and Proliferation Financing for Financial Services Providers sowie eine begleitende Rule on Compliance with Financial Sanctions and Targeted Financial Sanctions.^[2] Beide datieren vom Juli 2026. Beide traten am 18. September 2026 in Kraft, sechzig Tage nach Veröffentlichung in der Gazette: nach Rule 14.1 der AML Rule^[1] und Rule 9.1 der Sanctions Rule.^[7] Laut der Kanzlei Walkers erfolgte die Veröffentlichung in der Gazette am 20. Juli 2026.^[11]

Rule 13.2 verleiht ihr Gesetzeskraft und stellt sie bei Widersprüchen über frühere oder bestehende Guidance Notes, Policy Statements und Auslegungsmaterialien der CIMA.^[1] Steht die Rule im Widerspruch zu den AMLRs, gehen nach Rule 4.4 die Regulations vor.^[1]

Den Hintergrund liefern die Prüfungsdaten der CIMA. 2024 führte sie 83 AML-Vor-Ort-Prüfungen durch, von denen bei Abfassung des Berichts 72 abgeschlossen waren. Bis dahin hatte sie für die 53 mit Mängeln abgeschlossenen Prüfungen 367 Auflagen erteilt; 324 davon waren Matters Requiring Immediate Attention.^[8] Ein festgehaltener Befund lautete, ein beaufsichtigtes Unternehmen habe „keine unabhängige Prüffunktion unterhalten“.^[8]

Die Regel dahinter: Was der Text verlangt

CIMA erließ die Rule auf Grundlage von Section 34(1) des Monetary Authority Act. Danach darf sie nach Konsultation des Privatsektors und des Ministers Rules erlassen.^[1][2] Die Rule verweist zudem auf Section 6(1)(b) dieses Gesetzes, während die FAQs der CIMA Section 6(3)(b) nennen.^[1][2] Die Rule ergänzt die Regulations 3, 4, 5, 6 und 8 der AMLRs.^[1] CIMA erklärt, „viele Bestimmungen der Rule führen keine neuen Pflichten ein, sondern konkretisieren die Erwartungen der Behörde“.^[2]

Regulation 3(1) verlangte bereits einen Anti-Money Laundering Compliance Officer (AMLCO) auf Führungsebene, und Regulation 5(a)(ix) verlangte bereits „eine angemessene, wirksame, risikobasierte unabhängige Prüffunktion“.^[6] Die Rule macht aus diesen Vorgaben detaillierte Mindestanforderungen in sechs Abschnitten.

Die sechs Abschnitte der Rule mit Anforderungen.^[1]

Rule 12.2(d)CIMA Rule on Effective Compliance Programme

„Der Prüfungsbericht wird bei der Authority so bald wie praktisch möglich nach Abschluss der Prüfung eingereicht oder wie anderweitig von der Authority vorgeschrieben.“

Quelle: CIMA, Rule on Effective Compliance Programme, Juli 2026^[1]

In Abschnitt 12 geht die Rule über die Regulations hinaus.^[1][6]

Die Obergrenze für interne Prüfungen reicht weiter, als es scheint. Eine Fußnote zu Rule 12.3 definiert „intern“ als jede Person oder Einheit, die beim Unternehmen angestellt ist, von ihm vertraglich beauftragt ist oder anderweitig Teil seiner Struktur ist und seiner Weisung, Kontrolle oder Aufsicht unterliegt.^[1] Die Guidance von CIMA ergänzt, dass der AMLCO, der MLRO und der Stellvertreter Tätigkeiten, für die sie verantwortlich sind, nicht unabhängig prüfen können, unabhängig davon, ob diese Rollen intern angesiedelt oder ausgelagert sind.^[2]

Der Konsultationsentwurf verlangte den Bericht „spätestens bis zum 15. September jedes Jahres“ und begrenzte interne Prüfungen auf „zwei aufeinanderfolgende Jahre“.^[5] Die endgültige Rule verlangt die Einreichung nach Abschluss gemäß Rule 12.2(d), und Rule 12.3 begrenzt interne Prüfungen nach aufeinanderfolgenden Prüfungszyklen.^[1]

Wen es betrifft

Rule 5.1 gilt für alle Finanzdienstleister (FSPs), die von CIMA reguliert und beaufsichtigt werden, einschließlich Zweigniederlassungen, Tochtergesellschaften, verbundener Unternehmen und anderer Mitglieder einer von CIMA regulierten Finanzgruppe.^[1] Ein FSP ist jede Person, die relevante Finanzgeschäfte (relevant financial business) betreibt. Dieser Begriff ist im Proceeds of Crime Act definiert.^[1]

Vier der beaufsichtigten Sektoren. Zahlen aus dem AML/CFT Activity Report 2024 der CIMA.^[8][2]

Strittig waren die Fonds. In der Konsultation argumentierte eine im Feedback Statement der CIMA festgehaltene Stellungnahme, dass "Investmentfonds selbst in der Regel kein RFB betreiben würden", also keine relevanten Finanzgeschäfte (relevant financial business). Die CIMA widersprach, wie oben zitiert, und ergänzte Rule 5.3 zum Rückgriff auf Dritte.^[4] Ihre Leitlinien besagen nun, dass ein regulierter Fonds weiterhin ein AML-Audit durchführen muss, "selbst wenn alle oder im Wesentlichen alle seine Tätigkeiten ausgelagert sind".^[2]

Zeitplan

1. 20. Juli 2026In der Gazette veröffentlichtBeide Rules veröffentlicht, laut Walkers.^[11]
2. 18. September 2026In KraftRule 14.1, sechzig Tage nach Veröffentlichung in der Gazette.^[1]
3. 24. September 2026FAQs aktualisiertDie CIMA überarbeitet ihre Leitlinien zu Audits.^[3]
4. 1. November 2026AML ReturnVersandt an Restricted Trust Companies und Private Trust Companies.^[13]
5. 31. Dezember 2026Return fälligFrist für diesen ersten AML Return.^[13]

Der AML Return ist eine separate Datenabfrage. Eine Frist für das Audit ist hier nicht aufgeführt: Laut den Leitlinien der CIMA legt die Rule kein "einheitliches Datum für die erste Einreichung" fest, und die Rule "schreibt keine jährlichen AML-Audits vor".^[2]

Was Compliance-Teams jetzt tun sollten

Rule 12.2(a) richtet die Häufigkeit nach der eigenen Risikobewertung des Unternehmens oder nach den Vorgaben der CIMA aus.^[1] Die CIMA nennt ein Beispiel, keine Regel: Alle zwei Jahre könnten für ein Unternehmen mit höherem Risiko angemessen sein, alle drei und vier Jahre bei mittlerem und niedrigem Risiko.^[2]

• Bestätigen Sie, dass AMLCO, MLRO und Stellvertreter natürliche Personen auf Managementebene sind.^[1]
• Aktualisieren Sie die Risikobewertung mit inhärentem Risiko und Restrisiko sowie dem aktuellen National Risk Assessment.^[1]
• Halten Sie die Prüfungshäufigkeit und deren Begründung schriftlich fest.^[2]
• Zählen Sie, wie viele aufeinanderfolgende Prüfungszyklen intern waren, einschließlich Auftragnehmern unter Ihrer Weisung, Kontrolle oder Aufsicht.^[1]
• Dokumentieren Sie die Unabhängigkeit der prüfenden Person und die Grundlage dafür.^[1]
• Listen Sie ausgelagerte Compliance-Funktionen auf, entscheiden Sie, welche wesentlich sind, und informieren Sie die CIMA schriftlich.^[1]
• Fordern Sie von jedem Dienstleister Testergebnisse an, die spezifisch für Ihr Unternehmen sind.^[2]
• Prüfen Sie, dass Aufzeichnungen mindestens fünf Jahre nach Ende der Geschäftsbeziehung oder nach Abschluss der Einzeltransaktion aufbewahrt werden und der CIMA unverzüglich zur Verfügung gestellt werden können.^[1]

Was noch offen ist, und die neuesten Entwicklungen

Am 24. September 2026 aktualisierte die CIMA ihre FAQs „als Reaktion auf verschiedene Anfragen und Szenarien aus der Branche“. Die Mitteilung nennt die wichtigsten Änderungen: Unternehmen müssen keine neue Prüfung allein deshalb durchführen, weil die Rules in Kraft sind, und in einer Prüfung festgestellte Mängel stellen deren Gültigkeit nicht automatisch infrage.^[3]

Geldbußen. Die Rule nennt keinen Betrag. Rule 13.1 verweist auf das Enforcement Manual der CIMA, und die CIMA erklärt, „der für Verstöße gegen die Rule geltende Rahmen für Verwaltungsbußgelder ist noch nicht in Kraft“.^[1][2] Bis zum 6. Oktober 2026 erschien auf den Mitteilungsseiten der CIMA kein Startdatum. Unabhängig davon stellt Regulation 56(1) der AMLRs einen Verstoß gegen die Regulations unter Strafe, mit einer Geldstrafe von fünfhunderttausend Dollar bei Verurteilung im summarischen Verfahren oder einer Geldstrafe und zwei Jahren Freiheitsstrafe bei Verurteilung aufgrund einer Anklageschrift.^[6]

Einreichung. Die CIMA schreibt kein Berichtsformat und keine Methodik vor.^[2] Laut Walkers gibt es kein festgelegtes Verfahren für die Einreichung von Prüfungsberichten, ein komplexes Einreichungsverfahren ist nicht zu erwarten, und die CIMA hat keine Gebühr angekündigt.^[12] Ich habe keine Mitteilung der CIMA gefunden, die einen Einreichungsweg nennt.

Was „wesentlich“ bedeutet. Die Rule übernimmt die Definition aus dem Statement of Guidance on Outsourcing von CIMA, und die Beurteilung liegt beim Unternehmen.^[1] Die thematische Prüfung von CIMA zur Auslagerung vom Januar 2026 hält fest, dass „Outsourcing die aufsichtsrechtliche Verantwortung nicht verringert“ und dass Leitungsorgane und Geschäftsleitung für alle ausgelagerten wesentlichen Funktionen letztlich verantwortlich bleiben.^[9]

Wie Didit bei den Prüfungen hilft, die die Rule aufführt

Der größte Teil dieser Rule betrifft die Governance, und Governance liefert kein Anbieter. Didit führt einige der Prüfungen durch, die das Programm enthalten muss, angefangen beim AML-Screening.

Rule 10.3(g) verlangt ein Screening gegen offizielle Sanktionslisten, und Rule 10.5.23 hält dieses Screening auch bei vereinfachten Sorgfaltspflichten aufrecht.^[1] Didit prüft Personen und Unternehmen gegen über 1,300+ Sanktionslisten, Listen politisch exponierter Personen (PEP) und Watchlists, die täglich aktualisiert werden, zu $0.20 pro Prüfung. PEP-Listen und Watchlists sind von offiziellen Sanktionslisten getrennt, und welche Listen Ihr Programm abdecken muss, entscheiden Sie. Das laufende Monitoring prüft täglich erneut, sendet Alerts per Webhook und speichert Nachweise zu jedem Durchlauf, zu $0.07 pro Person und Jahr.

Rule 10.5.1 verlangt die Überprüfung von Kunden, wirtschaftlich Berechtigten und Personen, die für sie handeln.^[1] Eine vollständige Know Your Customer (KYC)-Prüfung kostet $0.33. Die Unternehmensverifizierung liefert Daten aus dem Handelsregister und verknüpft jeden Eigentümer oder jedes Organmitglied mit einer Identitätsprüfung. Die Verfügbarkeit der Stufen variiert je nach Land, der Preis steht auf der Preisseite. Die Aufbewahrungsdauer ist von 1 Monat bis 10 Jahre konfigurierbar.

Wird das Screening ausgelagert, prüft der Prüfer die Verfahren des Anbieters und die „für den jeweiligen FSP relevanten Testergebnisse“.^[2] Nachweise über die Kontrollen von Didit sind keine Nachweise über Ihr Programm. Planen Sie daher, für die Prüfung Ihre eigenen Prüfprotokolle abzurufen.

Häufig gestellte Fragen

Quellen

1. Rule on Effective Compliance Programme for the Prevention and Detection of Money Laundering, Terrorist Financing and Proliferation Financing for Financial Services Providers, Cayman Islands Monetary Authority, Juli 2026.
2. Frequently Asked Questions on the AML and Sanctions Rules, Cayman Islands Monetary Authority, Stand der Aktualisierung 24. September 2026.
3. Updated AML and Sanctions Rules FAQs Now Available, Cayman Islands Monetary Authority, allgemeine Branchenmitteilung, 24. September 2026.
4. Summary of Private Sector Consultation and Feedback Statement, Rule on Effective Compliance Programme, Cayman Islands Monetary Authority.
5. Appendix I, Konsultationsentwurf der Rule, Cayman Islands Monetary Authority.
6. Anti-Money Laundering Regulations (2025 Revision), Cayman Islands, Fassung mit Stand 31. Dezember 2024.
7. Rule on Compliance with Financial Sanctions and Targeted Financial Sanctions, Cayman Islands Monetary Authority, Juli 2026.
8. AML/CFT Activity Report 2024, Cayman Islands Monetary Authority.
9. Thematic Review on Outsourcing, Cayman Islands Monetary Authority, Januar 2026.
10. Investment Funds Regulatory Measures, Cayman Islands Monetary Authority, Übersicht beider Rules mit ihrem Datum des Inkrafttretens.
11. Cayman Islands new AML Rule and new Sanctions Rule, Walkers, Juli 2026.
12. Cayman Islands new AML Rule and new Sanctions Rule: practical guide for investment funds, Walkers, August 2026.
13. AML Return Requirement for Restricted Trust Companies and Private Trust Companies, Cayman Islands Monetary Authority, allgemeine Branchenmitteilung, 7. September 2026.

Die Seite der CIMA zu regulatorischen Maßnahmen führt die Rule als in Kraft.^[10] Jetzt geht es um Nachweise: eine dokumentierte Risikobewertung, ein unternehmensspezifisches Audit und Aufzeichnungen, die Sie ohne Verzögerung vorlegen können. Für den Screening-Teil dieser Nachweise siehe Didit AML-Screening und Transaktionsüberwachung für die Überwachungsverfahren, die Rule 10.3(f) aufführt.^[1]