Sanktionslistenprüfung: wen sie trifft und wann sie laufen muss

Die meisten Compliance-Pflichten kommen mit einer Schwelle. Prüfen Sie den Kunden ab diesem Betrag, verschärfen Sie bei dieser Risikoeinstufung, melden Sie bei diesem Muster.

Sanktionsrecht funktioniert anders. Es gibt keine Schwelle, keine Bagatellgrenze, keine Ausnahme für kleine Unternehmen. Steht eine Person oder Einrichtung auf einer Sanktionsliste, dürfen ihr weder Gelder noch wirtschaftliche Ressourcen bereitgestellt werden. Das ist die ganze Regel, und sie gilt für eine Zweipersonenberatung genauso wie für eine Bank.

Entsprechend viele Unternehmen unterliegen der Sanktionslistenprüfung, ohne den Begriff zu kennen, weil sie ihn im Geldwäschekontext gelesen und für das Problem anderer gehalten haben.

Das ist der Punkt, der überrascht, deshalb lohnt die genaue Begründung.

Geldwäschepflichten hängen an einem definierten Kreis von Verpflichteten: Banken, Zahlungsdienstleister, Notare, Immobilienmakler, Steuerberater und so weiter. Wo die Grenze zwischen beiden Regelwerken verläuft, steht in KYC und AML. Wer nicht in §2 GwG steht, den erreicht der größte Teil des Regelwerks nicht.

Sanktionen wirken über einen anderen Mechanismus. In der Europäischen Union kommen sie als Verordnungen, die unmittelbar in jedem Mitgliedstaat gelten, für jede natürliche und juristische Person. Es gibt keinen Verpflichtetenkreis, außerhalb dessen man stehen könnte. Das Bereitstellungsverbot bindet die freiberufliche Designerin, die eine Rechnung schreibt, genauso wie ein Clearinghaus.

Was das praktisch heißt

Sie dürfen von einer gelisteten Partei keine Zahlung annehmen. Sie dürfen keine leisten. Sie dürfen sie nicht beschäftigen, nicht beliefern und keinen Vertrag schließen, der ihr etwas von Wert verschafft.

Und die Folge eines Verstoßes ist kein Aufsichtsschreiben. Verstöße gegen Sanktionsrecht sind in aller Regel Straftatbestände, mit Haftung bis auf die handelnden Personen.

Es gibt keine eine globale Liste, und daran scheitern Unternehmen zuerst.

Vereinte Nationen liefern die Grundlage. Die Mitgliedstaaten setzen sie um, sodass sie in den regionalen Listen aufgehen, statt separat geprüft zu werden.

Die Europäische Union führt eine konsolidierte Liste der Personen, Gruppen und Organisationen, gegen die Finanzsanktionen bestehen. Für jedes Unternehmen in der EU ist das die maßgebliche.

Die Vereinigten Staaten veröffentlichen über OFAC die SDN-Liste. Sie reicht weit über Amerika hinaus: Dollartransaktionen, Waren mit US-Ursprung und US-Personen in der Lieferkette ziehen Sie in ihren Anwendungsbereich.

Das Vereinigte Königreich führt über OFSI eine eigene konsolidierte Liste, die nach dem Brexit von der EU-Liste abweicht und im Handel dorthin separat geprüft werden muss.

Darüber kommen nationale Listen, wo es sie gibt. Die Sanktionsprüfung steht neben der PEP-Prüfung und ersetzt sie nicht; beide laufen üblicherweise auf demselben Datensatz, siehe politisch exponierte Person. Für die meisten Häuser lautet die praktische Antwort: ein Dienst, der alle pflegt. Die Listen ändern sich ohne festen Rhythmus, und ein manueller Prozess verpasst Aktualisierungen.

Weiter, als die meisten annehmen, und genau hier zeigen sich in Prüfungen die Lücken.

• Kunden und Auftraggeber, vor dem ersten Geschäft und danach laufend
• Lieferanten und Subunternehmer, auch die geerbten statt der gewählten
• Geschäftspartner, Joint-Venture-Beteiligte, Handelsvertreter und Distributoren
• Wirtschaftlich Berechtigte hinter Gesellschaften, denn eine saubere Firma kann von einer gelisteten Person kontrolliert werden
• Beschäftigte und Bewerber, nach derselben Logik der Bereitstellung: ein Gehalt ist eine Vermögensübertragung wie jede andere

Der Beschäftigtenstrang überrascht viele. In Deutschland ist er etablierte Praxis mit eigenen datenschutzrechtlichen Grenzen, und er existiert aus dem schlichten Grund, dass Lohn Wert überträgt.

Einmal beim Onboarding zu prüfen ist der häufigste Fehler, und er scheitert aus einem Grund, der mit Ihrem Prozess nichts zu tun hat. Es ändert sich die Liste, nicht der Kunde.

Ein Geschäftspartner, der bei Vertragsschluss sauber war, kann drei Monate später gelistet werden, und ab diesem Moment ist jede weitere Zahlung ein Verstoß. Eine Benachrichtigung bekommen Sie nicht.

Die ehrliche Antwort hat also drei Teile. Prüfen Sie vor Beginn der Beziehung. Prüfen Sie erneut bei jeder Listenaktualisierung, was einen automatischen Abgleich statt einer Quartalserinnerung bedeutet. Und prüfen Sie bei jedem Geschäft von Gewicht, im Vertragsgeschäft also bei der Unterschrift.

Es gehört klar gesagt: deshalb hört manuelles Prüfen jenseits einer Handvoll Partner auf zu funktionieren. Nicht weil ein Namensabgleich schwer wäre, sondern weil niemand zuverlässig jeden Namen erneut prüft, sobald sich eine Liste bewegt.

Die Prüfung gleicht Namen ab, und Namen sind schlechte Kennzeichen.

Allein die Transliteration erzeugt ein Dutzend Schreibweisen desselben arabischen oder kyrillischen Namens. Häufige Nachnamen produzieren laufend Treffer. Eine unscharfe Suche, eng genug eingestellt, um Rauschen zu vermeiden, übersieht irgendwann einen echten Treffer; weit genug eingestellt, um alles zu fangen, begräbt sie Ihr Team.

Zwei Dinge machen das erträglich statt zermürbend.

Erstens: mehr als den Namen verwenden. Geburtsdatum, Geburtsort, Staatsangehörigkeit und Anschrift machen aus einem möglichen Treffer einen entschiedenen, und genau deshalb arbeiten Identitätsprüfung und Sanktionsprüfung zusammen besser als getrennt.

Zweitens: die Verwerfung schriftlich begründen. Ein verworfener Treffer ohne festgehaltene Begründung ist von einem Treffer, den niemand angesehen hat, nicht zu unterscheiden, und die Aufsicht kann beides ebenfalls nicht auseinanderhalten.

Die Sanktionsprüfung lebt meist in einem System, das den Vertrag nie gesehen hat, den sie absichern soll, und in dieser Lücke bricht der Nachweis.

Das Muster wiederholt sich. Der Einkauf prüft den Lieferanten und legt ein PDF ab. Der Vertrieb lässt den Vertrag über ein anderes Werkzeug unterschreiben. Sechs Wochen später wird der Partner gelistet, jemand fragt, was am Tag der Unterschrift bekannt war, und es liegen zwei Nachweise ohne Verbindung vor, mit einer Lücke dazwischen, die sich nachträglich nicht schließen lässt.

Läuft die Prüfung im Signaturprozess, verschwindet die Lücke. Identifizierung, Sanktions- und PEP-Ergebnis und die Unterschrift landen in einem Prüfpfad, verankert, damit der Eintrag später nicht umgeschrieben werden kann. Die Frage "was wussten Sie bei Vertragsschluss?" hat eine Antwort, mit Zeitstempel.

Nebenbei löst es die Wiederholung. Ist die Prüfung Teil davon, wie Dokumente unterschrieben werden, läuft sie erneut, sobald der Partner wieder etwas unterschreibt, und für die meisten Vertragsbeziehungen ist genau das der richtige Takt.

Sie für eine Geldwäschepflicht halten. Ist sie nicht. Das GwG erreicht Verpflichtete, Sanktionsrecht erreicht alle, und wer die Prüfung ausgelassen hat, weil er kein Finanzinstitut ist, hat das falsche Regelwerk gelesen.

Die Gesellschaft prüfen, aber nicht die Personen dahinter. Ein Partner mit unauffälligem Firmennamen kann von einer gelisteten Person gehalten oder kontrolliert werden, und das Verbot folgt der Kontrolle.

Nur eine Liste zu prüfen ist der dritte Fehler. EU-, OFAC- und OFSI-Listen laufen auseinander, und welche Sie binden, hängt an Währung, Ware und Kundschaft, nicht an Ihrer Postleitzahl.

Einen verworfenen Treffer als Nichtereignis behandeln. Die Begründung der Verwerfung ist der Beleg dafür, dass überhaupt ein Verfahren lief. Ohne sie sehen eine saubere Prüfhistorie und gar keine Prüfhistorie gleich aus.

Die Sanktionslistenprüfung ist die seltene Compliance-Pflicht ohne Eingangsschwelle. Jedes Unternehmen steht darin, die Listen bewegen sich ohne Vorwarnung, und die Folge eines Versäumnisses ist strafrechtlich statt verwaltungsrechtlich.

Die beiden Fehler, gegen die man konstruieren sollte, sind entgegengesetzt. Der eine ist, gar nicht anzufangen, in der Annahme, das sei ein Bankenthema. Der andere ist, einmal anzufangen, beim Onboarding, und ein halbes Jahr altes sauberes Ergebnis für aktuell zu halten.

Wenn Sie eine Sache in Ordnung bringen, dann lassen Sie die Prüfung in dem Moment wiederkehren, in dem Sie sich binden. Ein Prüfergebnis an der Unterschrift beantwortet die einzige Frage, die hinterher gestellt wird, und beantwortet sie aus einem Nachweis statt aus zweien.