Compliance-Teams in Banken sollten Hongkongs neues Project SAGE nutzen, um zu prüfen, wie Verantwortung und Nachweise zwischen den Beteiligten einer agentischen Finanztransaktion weitergegeben werden. Ein sinnvoller Ausgangspunkt ist eine strittige Zahlung: Wer kann die Anweisung des Kunden, die Befugnis des Agenten, die Prüfungen der Bank und das spätere Ergebnis rekonstruieren?
Die Hong Kong Monetary Authority startete Project SAGE am 2. November. Die Arbeit umfasst die Untersuchung von Anwendungsfällen, Agentenidentität und delegierte Befugnisse, Interoperabilität sowie rechtliche und regulatorische Fragen einschließlich Haftung und Verbraucherschutz. Die Aufsicht richtete außerdem eine sektorübergreifende Expertengruppe ein. Eine separate Mitteilung bestätigt ein Diskussionspapier, das Rückmeldungen der Branche zum Einsatz agentischer KI durch Banken einholt. Das sind explorative und konsultative Schritte. Sie schaffen für sich genommen weder eine neue verbindliche Transaktionsregel noch zertifizieren sie einen teilnehmenden Dienst.
Beginnen Sie mit der Kundenfrage
Betrachten Sie einen beispielhaften Beschaffungsassistenten, der eine Anfrage zum Kauf eines Ersatzteils erhält. Er wählt einen Lieferanten aus, legt eine Bestellung vor und stößt eine Zahlung über einen Finanzdienstleister an. Später bestreitet der Kunde den Betrag oder das Ziel. Dieses Beispiel ist eine Analyse von Maetra, keine berichtete Project-SAGE-Implementierung.
Jeder Beteiligte kann über einen lokal plausiblen Datensatz verfügen. Der Assistent hat das Gespräch gespeichert. Der Lieferant hat eine Bestellung gespeichert. Die Bank hat eine Zahlungsanweisung gespeichert. Dennoch können diese Aufzeichnungen unterschiedliche Versionen derselben Transaktion beschreiben. Eine Assurance-Prüfung muss klären, welche Nachweise sie miteinander verbinden und wo diese Verbindung endet.
Die hilfreichste Frage ist konkret: Kann eine andere prüfende Person die vom Kunden beabsichtigte Beschaffung bis zur finanziellen Wirkung nachvollziehen, ohne zu unterstellen, dass jedes System die Anweisung identisch interpretiert hat?
Legen Sie fest, was jede Übergabe bewahren muss
Maetra empfiehlt, vor der Ausweitung eines Piloten über Organisationsgrenzen hinweg eine kleine Nachweisvereinbarung zu dokumentieren. Darin sollten die an jeder Grenze übergebenen Informationen, ihre Eigentümer, die Grundlage für die Aufbewahrung und das Verfahren zur Klärung widersprüchlicher Aufzeichnungen festgelegt werden.
| Grenze | Zu prüfende Nachweise | Welche Frage sie beantworten sollte |
|---|---|---|
| Kunde an Agent | Version der Anweisung und zulässiger Umfang | Welches Ergebnis hat der Kunde angefordert? |
| Agent an Dienst | Agentenidentität, Delegationsreferenz und genaue Anfrage | In wessen Namen wurde diese Anfrage gestellt? |
| Dienst an Zahlungsdienstleister | Transaktionsreferenz und anwendbare Prüfungen | Welche finanzielle Handlung ist beim Dienstleister eingegangen? |
| Ausführung an Support-Team | Ergebnis, Ausnahmen und verknüpfte Aufzeichnungen | Was ist passiert, und was bleibt ungeklärt? |
Dies ist eine empfohlene Prüfstruktur, keine HKMA-Checkliste. Eine gemeinsame Kennung hilft dabei, zusammengehörige Aufzeichnungen zu finden, aber ihre bloße Existenz beweist nicht, dass die zugrunde liegenden Anweisungen, Berechtigungen oder Beträge übereinstimmen. Prüfen Sie auch die Werte selbst und ihre Versionen.
Halten Sie Identität, Berechtigung und Ergebnis auseinander
Eine verifizierte Agentenidentität kann helfen festzustellen, welches System eine Anfrage gestellt hat. Sie kann für sich allein jedoch nicht belegen, dass der Kunde genau diesen Kauf beabsichtigt hat oder dass die daraus resultierende Zahlung korrekt war. Die Prüfung sollte Identität, delegierten Umfang, Dienstautorisierung und das beobachtete Ergebnis getrennt untersuchen.
Testen Sie für den beispielhaften Beschaffungsablauf einen geänderten Begünstigten, nachdem der Kunde eine Bestellung freigegeben hat. Stellen Sie fest, ob die geänderte Anfrage abgelehnt, zur Prüfung zurückgegeben oder nach einer ausdrücklichen Regel akzeptiert wird. Dokumentieren Sie das tatsächliche Verhalten und den verantwortlichen Endpunkt. Leiten Sie keine nachgelagerte Durchsetzung aus einer vorgelagerten Berechtigungsmaske ab.
Testen Sie außerdem eine abgelaufene Delegation und eine unterbrochene Antwort. Ein Timeout kann den aufrufenden Akteur im Unklaren lassen, selbst wenn ein anderes System die Transaktion angenommen hat. Das Support-Verfahren braucht einen maßgeblichen Abgleichsschritt, bevor jemand die Handlung wiederholt.
Machen Sie Uneinigkeit zum Testfall
Ein Pilot, der nur erfolgreiche Zahlungen demonstriert, lässt die schwierigen Fragen der Verantwortlichkeit unbeantwortet. Geben Sie den beteiligten Teams einen bewusst widersprüchlichen Testdatensatz und bitten Sie sie, die Abfolge zu rekonstruieren.
Zum Beispiel könnte die Aufzeichnung des Agenten einen Betrag zeigen, während die angenommene Anweisung des Dienstleisters einen anderen ausweist. Legen Sie fest, welches Team den Vorgang untersucht, wie der Kunde das Thema ansprechen kann und auf welche Nachweise das Team zugreifen kann. Bewahren Sie nur die dafür erforderlichen Daten auf, mit angemessenen Zugriffskontrollen. Das breite Kopieren von Kundengesprächen in die Protokolle aller Beteiligten schafft eigene Risiken.
Das Ergebnis sollte fehlende Nachweise und ungeklärte Verantwortlichkeit sichtbar machen. Es sollte keine rechtliche Haftung durch Schlussfolgerung zuweisen. Haftung, anwendbare Pflichten und Rechtsbehelfe für Kunden erfordern die einschlägigen Verträge, das geltende Recht und eine fachliche Beurteilung.
Machen Sie aus der Initiative eine Prüfung mit klarem Umfang
Die unabhängige Berichterstattung von RegMemo behandelt die Initiative und die Konsultation. Das bestätigt die öffentliche politische Entwicklung, belegt aber nicht, dass eine vorgeschlagene Kontrolle bereits von einer Bank umgesetzt oder getestet wurde.
Für eine für Compliance verantwortliche Person ist das nächste nützliche Artefakt eine Prüfung einer einzelnen Transaktion mit benannten Eigentümern der Nachweise, einem Register offener Punkte und einem Auslöser für eine erneute Bewertung, wenn sich der Dienst oder die aufsichtsrechtliche Position ändert. Maetras Comply unterstützt Framework-Mapping, Regulatory Watch und Nachweismanagement. Diese Fähigkeiten können den Prüfprozess unterstützen, ohne rechtliche Verantwortung festzulegen oder Compliance zu garantieren.
Nutzen Sie Maetras Framework-Abdeckung, um die anwendbaren Anforderungen mit den aktuellen Nachweisen für einen klar abgegrenzten Workflow im agentischen Finanzwesen zu verknüpfen. Halten Sie vorgeschlagene Praktiken, nachgewiesene Kontrollen und offene Fragen sichtbar voneinander getrennt.