De-risking: how arithmetic became a ban nobody issued
De-Risking: Wie aus einer Rechnung ein Verbot wurde, das niemand erlassen hat
No regulator has ever ordered a bank to close a lawful business’s account for being in the wrong industry. It happens constantly anyway, and the mechanism that produces it is not corruption or politics. It is arithmetic.
How a lawful business loses its bank
Anti-money-laundering law requires institutions to apply enhanced due diligence to higher-risk relationships. It does not require them to refuse those relationships. The regulatory instruction is: understand the risk and manage it.
Managing it costs money. Enhanced due diligence means more documentation collected, more staff time, more ongoing monitoring, more escalations, more filings. For a large corporate client that cost disappears into the margin. For a small business in a category flagged as elevated risk, the compliance cost can exceed everything the relationship earns.
At that point the institution faces a straightforward commercial calculation, and it reaches the obvious answer. Nobody decided the sector was undesirable. The sector simply stopped clearing the internal hurdle rate.
Why it looks like a policy when it is not
The effect is indistinguishable from a ban. Whole categories — money service businesses, some charities operating in difficult regions, crypto firms, adult industry operators, businesses run by people from certain countries — find that no institution will serve them, without any of them ever being prohibited from operating.
The categories are decided by risk models, and risk models generalise. That is what makes them useful and what makes them blunt. A business is assessed by the behaviour of its category, not its own record, and there is usually no route to argue the point because there is nobody to argue with. Refusals rarely come with reasons.
The part that should trouble people
Two features of this deserve more attention than they get.
There is no appeal. A regulator that bans an activity can be challenged — judicially reviewed, lobbied, voted against. A bank that declines a customer is exercising ordinary commercial freedom, and it is under no obligation to explain. When every bank exercises that freedom the same way, the aggregate outcome has the force of prohibition and none of its accountability.
It pushes activity out of sight. The stated purpose of AML rules is to make illicit flows visible. A business that cannot obtain banking does not stop trading; it moves to cash, to informal networks, to crypto rails, to intermediaries willing to front for it at a price. Whatever visibility the system had is lost. De-risking, applied broadly, works against the objective it was introduced to serve.
Neither observation is new. The Financial Action Task Force itself has said repeatedly that wholesale de-risking of entire customer categories is not consistent with a risk-based approach. The practice continues, because the incentives inside any individual institution point the other way and no institution is penalised for excessive caution.
What would actually change it
Not exhortation — that has been tried for a decade. What would change the calculation is making refusal cost something: a duty to give reasons in writing, a route of appeal, and supervisory attention to exit rates by category rather than only to whether filings were made on time.
Some jurisdictions have begun moving in that direction for consumers. Almost none have for businesses, and it is businesses where the effect bites hardest.
Why we report on this
Because it is the mirror image of the story this publication usually tells. Most of our reporting concerns businesses that should not have payment access and do. This one concerns businesses that should have it and cannot get it. Both are failures of the same system, and both come from the same source: risk decisions taken by private institutions, applied at category level, with no obligation to explain and no mechanism to appeal.
A system that is simultaneously too loose at one end and too tight at the other is not badly calibrated. It is measuring the wrong thing — cost of compliance rather than actual risk — and getting exactly the answer that measure implies.
Sources: FATF guidance on de-risking and the risk-based approach; EU anti-money-laundering directives and EBA guidelines on customer due diligence; published supervisory statements on account access. This article contains opinion, marked as such by its argumentative sections.
Keine Aufsichtsbehörde hat je angeordnet, das Konto eines legalen Unternehmens zu schließen, weil es in der falschen Branche tätig ist. Es geschieht trotzdem ständig, und der Mechanismus dahinter ist weder Korruption noch Politik. Es ist Rechnen.
Wie ein legales Unternehmen seine Bank verliert
Das Geldwäscherecht verlangt von Instituten verstärkte Sorgfaltspflichten bei Beziehungen mit erhöhtem Risiko. Es verlangt nicht, diese Beziehungen abzulehnen. Die Anweisung lautet: das Risiko verstehen und steuern.
Steuern kostet Geld. Verstärkte Sorgfalt bedeutet mehr Unterlagen, mehr Personalzeit, mehr laufende Überwachung, mehr Eskalationen, mehr Meldungen. Bei einem großen Firmenkunden verschwindet dieser Aufwand in der Marge. Bei einem kleinen Unternehmen in einer als risikoerhöht eingestuften Kategorie kann er alles übersteigen, was die Beziehung einbringt.
An diesem Punkt steht das Institut vor einer schlichten betriebswirtschaftlichen Rechnung und kommt zum naheliegenden Ergebnis. Niemand hat entschieden, die Branche sei unerwünscht. Sie hat nur die interne Renditeschwelle nicht mehr erreicht.
Warum es wie Politik aussieht, obwohl es keine ist
Die Wirkung ist von einem Verbot nicht zu unterscheiden. Ganze Kategorien — Finanztransferdienste, Hilfsorganisationen in schwierigen Regionen, Kryptounternehmen, Anbieter der Erwachsenenbranche, Firmen von Menschen aus bestimmten Ländern — finden kein Institut mehr, ohne dass ihnen je etwas untersagt worden wäre.
Die Kategorien bestimmen Risikomodelle, und Risikomodelle verallgemeinern. Das macht sie nützlich und zugleich grob. Ein Unternehmen wird nach dem Verhalten seiner Kategorie bewertet, nicht nach seiner eigenen Geschichte — und meist gibt es keinen Weg, das zu bestreiten, weil es niemanden gibt, mit dem man streiten könnte. Ablehnungen kommen selten mit Begründung.
Was daran beunruhigen sollte
Zwei Punkte verdienen mehr Aufmerksamkeit.
Es gibt keine Beschwerde. Eine Behörde, die etwas verbietet, ist angreifbar — gerichtlich überprüfbar, politisch adressierbar, abwählbar. Eine Bank, die einen Kunden ablehnt, übt gewöhnliche unternehmerische Freiheit aus und muss sich nicht erklären. Üben alle Banken diese Freiheit gleich aus, hat das Gesamtergebnis die Wirkung eines Verbots und nichts von dessen Rechenschaftspflicht.
Es drängt Aktivität aus dem Blickfeld. Erklärter Zweck der Geldwäscheregeln ist, illegale Ströme sichtbar zu machen. Ein Unternehmen ohne Bankverbindung hört nicht auf zu handeln; es weicht auf Bargeld aus, auf informelle Netzwerke, auf Kryptowege, auf Mittelsmänner, die gegen Aufschlag vorschieben. Die Sichtbarkeit, die das System hatte, geht verloren. Breit angewandtes De-Risking arbeitet gegen das Ziel, für das es eingeführt wurde.
Neu ist keine dieser Beobachtungen. Die Financial Action Task Force selbst sagt seit Jahren, dass das pauschale Abstoßen ganzer Kundengruppen mit einem risikobasierten Ansatz nicht vereinbar ist. Die Praxis hält an, weil die Anreize innerhalb jedes einzelnen Instituts in die andere Richtung zeigen und kein Institut für übermäßige Vorsicht sanktioniert wird.
Was tatsächlich etwas ändern würde
Keine Appelle — die gibt es seit einem Jahrzehnt. Was die Rechnung ändern würde, wäre, Ablehnung mit Kosten zu versehen: eine Pflicht zur schriftlichen Begründung, ein Beschwerdeweg und aufsichtliche Aufmerksamkeit für Kündigungsquoten nach Kategorie statt nur dafür, ob Meldungen fristgerecht abgegeben wurden.
Einige Länder bewegen sich für Verbraucher in diese Richtung. Für Unternehmen fast keines — und bei Unternehmen wirkt es am härtesten.
Warum wir darüber berichten
Weil es das Spiegelbild dessen ist, worüber wir sonst schreiben. Der größte Teil unserer Berichterstattung betrifft Unternehmen, die keinen Zahlungszugang haben sollten und ihn haben. Dieser betrifft Unternehmen, die ihn haben sollten und nicht bekommen. Beides sind Fehler desselben Systems, und beide entspringen derselben Quelle: Risikoentscheidungen privater Institute, angewandt auf Kategorieebene, ohne Begründungspflicht und ohne Beschwerdeweg.
Ein System, das am einen Ende zu locker und am anderen zu streng ist, ist nicht schlecht kalibriert. Es misst das Falsche — Aufwand für Compliance statt tatsächliches Risiko — und bekommt genau die Antwort, die dieses Maß hergibt.
Quellen: FATF-Leitlinien zu De-Risking und zum risikobasierten Ansatz; EU-Geldwäscherichtlinien und EBA-Leitlinien zu Sorgfaltspflichten; veröffentlichte aufsichtliche Stellungnahmen zum Kontozugang. Dieser Beitrag enthält Meinung, erkennbar an seinen argumentierenden Abschnitten.