Kredit- und Finanzdienstleistungsinstitute haben die Mindestanforderungen an das Risikomanagement (MaRisk) der BaFin bei Nutzung von IT-Systemen (Hardware- und Softwarekomponenten), beim Einsatz von selbst entwickelten Anwendungen (individuelle Datenverarbeitung - "IDV") sowie für technische Auslagerungen zu beachten.

Nach gemeinsamer Bewertung von FIU und BaFin finden die MaRisk auf goAML keine Anwendung. Gemäß § 45 Abs. 1 GwG hat die Übermittlung der Verdachtsmeldung an die FIU unter Nutzung von "goAML" als elektronisches Meldeportal zu erfolgen. Die FIU gewährleistet als staatlicher Systembetreiber, dass goAML ordnungsgemäß, sicher und seinem Zweck entsprechend funktioniert.

Mangels Anwendbarkeit der MaRisk sowie aufgrund der gesetzlich verpflichtenden Nutzung von goAML sind für den Einsatz von goAML durch Kredit- und Finanzdienstleistungsinstitute keine Software- oder Prüfzertifikate erforderlich. Dem entsprechend werden derartige Zertifikate auch nicht durch die FIU zur Verfügung gestellt.