Sanktions- und PEP-Prüfung in Südafrika

Bei der Sanktions- und PEP-Prüfung in Südafrika stellen sich zwei unterschiedliche Fragen: Könnte das Unternehmen mit beschränkten Vermögenswerten oder einer gelisteten Partei zu tun haben? Und erfordert die öffentliche Funktion oder Beziehung eines Kunden bestimmte Sorgfaltsmaßnahmen? Mögliche Sanktions- und PEP-Treffer verlangen unterschiedliche Untersuchungen und Entscheidungen.

Für ein südafrikanisches Compliance-Team geht es darum, die richtigen Personen und Unternehmen zu prüfen, mögliche Treffer zu untersuchen und das weitere Vorgehen festzulegen. Ausgangspunkt sind die Pflichten des Unternehmens nach dem Financial Intelligence Centre Act (FIC Act). Die Prüfungen und Zuständigkeiten werden anschließend im Risk Management and Compliance Programme (RMCP) beschrieben.

Zuerst den Anwendungsbereich für das Unternehmen klären

Ob ein Unternehmen als „accountable institution“ zu den Verpflichteten gehört, richtet sich nach den Tätigkeiten in Schedule 1 des FIC Act. Der Anhang erfasst bestimmte Kategorien, nicht jedes Unternehmen, das mit Geld umgeht. Maßgeblich sind die tatsächliche Tätigkeit und etwaige Einschränkungen im jeweiligen Eintrag. Allgemeine Bezeichnungen wie „Versicherer“, „Berater“ oder „Immobilienunternehmen“ reichen dafür nicht aus.¹

Für Verpflichtete gelten unter anderem Sorgfalts- und Aufzeichnungspflichten nach dem Gesetz. Section 42 verlangt ein RMCP. Dieses Programm sollte die Abläufe und Zuständigkeiten des Unternehmens beschreiben; gesetzliche Mindestpflichten kann es nicht aufheben. Die Sanktionsverbote in Section 26B sind weiter gefasst und dürfen nicht als Pflichten ausschließlich für Unternehmen nach Schedule 1 verstanden werden.¹

Bei der Gestaltung der Kontrollen sind drei Ebenen zu trennen: die rechtliche Pflicht, die Leitlinien der Aufsicht und zusätzliche interne Vorgaben. Ein Unternehmen kann einen größeren Kreis von Geschäftspartnern anhand der bereitgestellten Daten prüfen. Dadurch wird jedoch nicht jeder Partner zur PEP im gesetzlichen Sinn, und nicht für jedes Unternehmen gelten dieselben Sorgfaltspflichten.

Den südafrikanischen Sanktionsrahmen und amtliche Listen nutzen

Section 26A verleiht bestimmten nach Kapitel VII verabschiedeten Resolutionen des UN-Sicherheitsrats für die Zwecke des FIC Act unmittelbare Wirkung und regelt ihre Veröffentlichung. Gemeint sind Resolutionen, die die dort bezeichneten Finanzsanktionen verhängen; nicht jede UN-Maßnahme begründet damit dieselbe Prüfpflicht. Section 26B enthält Verbote in Bezug auf gelistete Parteien und Vermögenswerte. Section 26C regelt unter bestimmten Voraussetzungen zulässige Finanzdienstleistungen und Verfügungen.¹

Im Targeted Financial Sanctions Portal des FIC lassen sich die Liste durchsuchen oder herunterladen, Bekanntmachungen lesen, Aktualisierungen abonnieren und zulässige Finanzdienstleistungen beantragen.² Bei einem möglichen Treffer sind auch die zugehörige Bekanntmachung und die rechtlichen Bestimmungen zu lesen. Das Suchergebnis allein beantwortet nicht jede Frage zu terrorismusbezogenen Verboten oder Listungen.

Ausländische Sanktionsregime können aufgrund der beteiligten Parteien, Länder, Verträge oder anderer Verbindungen ebenfalls relevant sein. Dieser Bezug ist gesondert zu bestimmen. Maßstäbe von OFAC, aus dem Vereinigten Königreich oder der EU werden nicht allein deshalb zu südafrikanischem Recht, weil die Prüfplattform diese Quellen unterstützt.

Die PCC 44A des FIC behandelt die Prüfung von Kundeninformationen, relevante Verbindungen zu gelisteten Parteien sowie das Einfrieren und Melden. Kontrollen zu gezielten Finanzsanktionen sind von der risikobasierten Bewertung der Geldwäsche-, Terrorismusfinanzierungs- und Proliferationsfinanzierungsrisiken zu unterscheiden.³ Eine niedrige Kundenrisikoeinstufung oder ein geringer Zahlungsbetrag ist kein Grund, anwendbare Sanktionsprüfungen auszulassen.

Festlegen, wer geprüft wird

Ausgangspunkt sind die Personen und Unternehmen, die bei der Sorgfaltsprüfung festgestellt wurden. Das Unternehmen, seine wirtschaftlich Berechtigten und seine Vertreter werden getrennt geprüft. Die jeweilige Rolle wird festgehalten, damit der Analyst das Ergebnis einordnen kann.

Die Tabelle unterstützt die Planung der Prüfungen. Der genaue Umfang richtet sich nach den rechtlichen Pflichten und dokumentierten Verfahren des Unternehmens.

Der Leitfaden zu wirtschaftlich Berechtigten und verbundenen Parteien erläutert die Prüfung von Eigentümern und verbundenen Personen, die im Rahmen der Sorgfaltsprüfung festgestellt wurden. Wer das Unternehmen besitzt oder kontrolliert, muss gesondert ermittelt werden. Eine weitere Suche nach dem Firmennamen deckt keine nicht offengelegten Eigentümer auf.

Einen möglichen Sanktionstreffer zügig klären

Die Untersuchung beginnt mit dem eingegebenen Datensatz und dem ursprünglichen Quelleintrag. Zu vergleichen sind die verfügbaren Namen, Aliasse, Geburtsdaten, Identifikations- oder Registerangaben, Adressen und weitere relevante Informationen. Eine abweichende Staatsangehörigkeit oder ein fehlendes Identifikationsmerkmal allein belegt möglicherweise nicht, dass die Datensätze verschiedene Personen betreffen.

Section 26B erfasst auch Umstände, in denen eine Person weiß oder vernünftigerweise hätte wissen oder vermuten müssen, dass der betreffende Vermögenswert, die Dienstleistung oder Unterstützung einer gelisteten Person oder Organisation zugutekommt, in deren Namen erfolgt oder ihrer Weisung oder Kontrolle unterliegt. Der rechtliche Maßstab reicht damit weiter als der Bearbeitungsstatus „bestätigter Treffer“.¹

Ungeklärte Treffer sind einer Person zuzuweisen, die weitere Informationen beschaffen und den nächsten betroffenen Schritt kontrollieren kann. Eine interne Zahlungssperre dient der Untersuchung und ist nicht dasselbe wie ein rechtlich vorgeschriebenes Einfrieren von Vermögenswerten. Nach PCC 44A darf ein Unternehmen eine Transaktion nicht ausführen, wenn es nicht zuverlässig feststellen kann, ob dies gegen seine Pflichten zu gezielten Finanzsanktionen verstoßen würde. Ist das Einfrieren erforderlich, muss es unverzüglich erfolgen, ohne die Meldung oder Anweisungen des FIC abzuwarten.³

Wird ein Mitglied der Unternehmensleitung oder ein Eigentümer gelistet, sind dessen Vermögenswerte, Eigentum und Kontrolle sowie die betreffende Verfügung oder Begünstigung zu untersuchen. Ein Namenstreffer allein rechtfertigt nicht automatisch das Einfrieren sämtlicher Unternehmenskonten, die Sperrung aller verbundenen Kunden oder die Beendigung der Beziehung. Umgekehrt klärt eine Suche ohne Treffer auf den Firmennamen keine indirekten Eigentums- oder Kontrollverhältnisse.¹

Eigentum und Kontrolle sind nach den einschlägigen südafrikanischen Bestimmungen und aktuellen FIC-Leitlinien zu beurteilen. Ein Prozentsatz aus einer anderen Rechtsordnung lässt sich nicht einfach übertragen. Zu dokumentieren sind die betroffenen Vermögenswerte oder Vorgänge, die Handlungsbefugnisse und die Fragen, die rechtlich eskaliert werden müssen.

Sanktionsmeldungen und Verdachtsmeldungen trennen

Section 28A betrifft Meldungen von Verpflichteten über bestimmte Vermögenswerte mit Bezug zu Terrorismus oder gelisteten Personen und Organisationen. Section 29 regelt verdächtige und ungewöhnliche Transaktionen und Aktivitäten unter eigenen Voraussetzungen.¹ Ein Terrorist Property Report (TPR) und eine Meldung über eine verdächtige Transaktion oder Aktivität sind nicht austauschbar.

Maßgeblich sind die einschlägige Meldeart, die gesetzliche Meldeschwelle und die vorgeschriebene Frist. Das Handbuch des FIC zu gezielten Finanzsanktionen erläutert das Melde- und Einfrierverfahren.⁴ Eine Meldefrist erlaubt weder die Fortsetzung einer verbotenen Verfügung noch das Aufschieben einer erforderlichen Einfriermaßnahme.

Das Verfahren sollte regeln, wie Anweisungen zu betroffenen Vermögenswerten, zulässigen Dienstleistungen und etwaigen Genehmigungen eingeholt werden. Eine Rückzahlung, eine Zahlung an einen anderen Empfänger oder eine Kontoschließung beseitigt eine Beschränkung nicht von selbst. Die technische Übergabe von Meldungen beschreibt der Leitfaden zur goAML-Anbindung. Ob eine Meldung rechtlich erforderlich ist, entscheidet dieser technische Ablauf nicht.

Südafrikas PEP- und Einflusskategorien unterscheiden

Das Gesetz unterscheidet die folgenden Kategorien. Eine kommerzielle Datenbank kann helfen, eine Person oder Funktion zu erkennen. Ihre Kennzeichnung ersetzt jedoch nicht die gesetzliche Einordnung.¹

Eine inländische PEP fällt nicht automatisch zwölf Monate nach dem Ausscheiden aus dem Amt aus Schedule 3A heraus. Auch Schedule 3B spricht von Personen, die eine Funktion innehaben oder innehatten. Schedule 3C enthält eine eigene Formulierung zu den vorangegangenen zwölf Monaten und eigene Voraussetzungen. Dieser Zeitraum darf nicht auf sämtliche Amtsträger übertragen werden.¹

Nach Absatz 147 der Guidance Note 7B war eine Verschiebung der Anwendung von Schedule 3C vorgesehen, weil die erforderlichen Informationen nicht ohne Weiteres verfügbar waren. Vor der Anwendung dieser Kategorie sind die aktuellen Bekanntmachungen zum Inkrafttreten und die ministerielle Festlegung zu prüfen: Die Leitlinie allein klärt den aktuellen Anwendungsstand nicht, und eine Führungsposition allein reicht nicht aus.⁵ Unmittelbare Familienmitglieder und bekanntermaßen nahestehende Personen werden anhand ihrer Beziehung zur betreffenden Person beurteilt. Dabei wird nicht unterstellt, dass sie selbst deren Funktion ausüben.

Die aus Status und Risiko folgenden Maßnahmen anwenden

Section 21F betrifft einen potenziellen Kunden oder dessen wirtschaftlich Berechtigten, der als ausländische PEP identifiziert wurde. Erforderlich sind die Zustimmung der Geschäftsleitung, angemessene Maßnahmen zur Feststellung der Herkunft des Vermögens und der eingesetzten Gelder sowie eine verstärkte laufende Überwachung.¹

Section 21G betrifft inländische PEPs und „prominent influential persons“, wenn die beabsichtigte Geschäftsbeziehung nach dem RMCP des Unternehmens mit einem höheren Risiko verbunden ist. Für diesen Fall sieht das Gesetz dieselben Arten von Maßnahmen vor. Section 21H erstreckt die einschlägigen Bestimmungen auf unmittelbare Familienmitglieder und bekanntermaßen nahestehende Personen.¹

Zu dokumentieren sind sowohl der Status der Person als auch die Gründe für die Risikoeinstufung der Beziehung. Ein öffentliches Amt allein belegt kein Fehlverhalten. Eine inländische Funktion macht auch nicht jede Beziehung automatisch zu einer Beziehung mit höherem Risiko. Die erforderlichen Maßnahmen, Freigaben und Folgeschritte müssen nachvollziehbar sein. Interne Vorgaben können zusätzliche Kontrollen vorsehen, gesetzliche Pflichten aber nicht aufheben.

Der Leitfaden zur PEP-Prüfung erläutert den allgemeinen Prüfrahmen. Hier gilt südafrikanisches Recht; die Behandlung inländischer PEPs aus einem anderen Land lässt sich nicht einfach übernehmen.

Auf geänderte Daten und Beziehungen reagieren

Section 21C regelt laufende Sorgfaltsmaßnahmen. Nach Section 28A(3) müssen Verpflichtete außerdem Informationen zu bestehenden Kunden prüfen, wenn der Director die betreffende Bekanntmachung nach Section 26A(3) veröffentlicht.¹ Relevante Kundeninformationen müssen aktuell bleiben. Änderungen innerhalb einer bestehenden Beziehung können neue Prüffragen auslösen, etwa ein neuer Eigentümer, Vertreter, ein öffentliches Amt oder eine relevante Listung.

Eine risikobasierte regelmäßige Überprüfung ersetzt nicht die Reaktion auf eine relevante Sanktionsänderung. Erforderlich sind Abläufe für den Empfang von Aktualisierungen, das Erkennen betroffener Datensätze und die Untersuchung möglicher Treffer. Eine jährliche Suche darf nicht als für jede Beziehung ausreichend dargestellt werden.

Drei fiktive Prüfszenarien

Ein häufiger Name bei der Kundenaufnahme

Bei einem Antragsteller ergibt sich ein möglicher Sanktionstreffer mit ähnlichem Namen. Der Analyst vergleicht verlässliche Identifikationsmerkmale und Quelleninformationen, beschafft angemessene zusätzliche Angaben und stellt fest, dass der Eintrag eine andere Person betrifft.

Die Akte enthält die konkreten Nachweise für die Ausräumung des Treffers. Damit sind weder sämtliche Kundendokumente authentifiziert noch das gesamte Kundenrisiko geklärt. Auch andere Personen mit demselben Namen sind dadurch nicht dauerhaft freigegeben.

Ein angegebener Unternehmenseigentümer hatte ein öffentliches Amt inne

Ein Firmenkunde nennt einen Eigentümer, dessen Name dem eines früheren Amtsträgers ähnelt. Der Analyst stellt die Identität, die genaue Funktion und die relevanten Zeiträume fest, bevor er über die Anwendung von Schedule 3A entscheidet. Eine allgemeine Bezeichnung wie „Amtsträger“ reicht für die Beurteilung nicht aus.

Das Team prüft anschließend die Voraussetzung eines höheren Risikos nach Section 21G und die gegebenenfalls erforderlichen Maßnahmen. Weder eine geringe Unternehmensgröße noch das Fehlen eines staatlichen Auftrags beantwortet für sich genommen die Frage nach der öffentlichen Funktion des Eigentümers. Die Freigabe dokumentiert die Begründung, statt die PEP-Kennzeichnung als automatische Ablehnung zu behandeln.

Ein Mitglied der Unternehmensleitung eines Bestandskunden wird gelistet

Eine Aktualisierung weist ein Mitglied der Unternehmensleitung eines bestehenden Firmenkunden als gelistete Person aus. Das zuständige Team untersucht Identität, Beteiligungen und Kontrolle der Person, relevante Vermögenswerte und betroffene Verfügungen, ohne erforderliche Maßnahmen zu verzögern.

Es bestimmt, welche Vermögenswerte oder Dienstleistungen beschränkt sind und welche Meldungen oder Genehmigungen erforderlich sind. Der Name ist keine automatische Anweisung, sämtliche Unternehmenskonten einzufrieren. Ebenso wenig ist der Austausch des gelisteten Mitglieds ein sicherer Ausweg. Die Akte dokumentiert Bewertung, Maßnahme und Befugnis für weitere Verfügungen.

Entscheidungen aufbewahren und Informationen schützen

Ein anderer Analyst sollte die Entscheidung anhand der Akte nachvollziehen können: Wer wurde wann und aus welchem Grund geprüft? Welche Quellen und Einstellungen wurden verwendet, welche Nachweise verglichen? Was wurde entschieden, wer hat den Fall geprüft und wer die Entscheidung freigegeben? Für jede offene Frage ist eine zuständige Person zu benennen.

Sections 22, 22A und 23 regeln Aufzeichnungen und Aufbewahrung. Für beziehungsbezogene Sorgfaltsunterlagen und Transaktionsunterlagen gelten unterschiedliche Fristbeginne. Deshalb haben nicht sämtliche Prüfunterlagen dieselbe Fünfjahresfrist ab dem Suchdatum.¹ Diese gesetzlichen Fristbeginne sind von einer gegebenenfalls zusätzlich erforderlichen Aufbewahrung für eine Untersuchung oder aufgrund anderer Vorgaben zu unterscheiden.

Auch POPIA ist relevant. Sections 10, 11, 14 und 19 behandeln Datenminimierung, Rechtfertigung der Verarbeitung, Aufbewahrung und Sicherheitsvorkehrungen. Welche Daten erforderlich sind, zu welchem Zweck sie verarbeitet werden und welche Zugriffs- und Aufbewahrungsregeln gelten, ist für die konkrete Verarbeitung festzulegen.⁶ Einwilligung ist nicht die einzig mögliche Rechtfertigung. Ein Prüfzweck erlaubt jedoch nicht die uneingeschränkte Erhebung oder Aufbewahrung sämtlicher personenbezogener Informationen. Gegebenenfalls sind besondere Informationen und weitere anwendbare Bedingungen gesondert zu beurteilen.

Checklynx am südafrikanischen Prüfprozess messen

Checklynx unterstützt die Prüfung von Personen und Unternehmen anhand bereitgestellter Daten über Portal, API und CSV-/Batch-Verfahren. Geprüft wird anhand unterstützter, konfigurierter Quellen. Gebündelte Profile führen zusammengehörige Quelldatensätze zusammen. Verfügbare angereicherte Identifikationsmerkmale, öffentliche Funktionen, Beziehungen und Quellenkontext unterstützen Analysten beim Vergleich der gesuchten Person mit möglichen Treffern.

Dieser Kontext kann vermeidbare Fehlalarme verringern, weil sich Personen mit ähnlichen Namen besser unterscheiden lassen. Er garantiert weder eine bestimmte Verringerung noch die Abdeckung sämtlicher südafrikanischer Funktionen, Quellen oder Listungen. Vor dem Einsatz einer Konfiguration sind die erforderliche Quellenabdeckung, die Verarbeitung von Aktualisierungen, repräsentative Namen und die Prüfnachweise zu testen. Guidance Note 7B stellt außerdem klar, dass kommerzielle PEP-Informationen nicht unbedingt vollständig sind und die Verantwortung des verpflichteten Unternehmens nicht auf den Anbieter übergeht.⁵

Sanktionsprüfung, PEP-Prüfung, konfigurierte laufende Prüfung und Fallmanagement gehören zu einem gemeinsamen Prozess. Das Unternehmen bestimmt weiterhin den rechtlichen Anwendungsbereich, prüft Identität und Eigentumsverhältnisse, beurteilt erforderlichenfalls die Herkunft von Geldern oder Vermögen und lässt Entscheidungen über Einfrieren, Meldungen und Geschäftsbeziehungen von den zuständigen Stellen treffen.

Häufig gestellte Fragen

Braucht auch ein Kunde mit niedrigem Risiko Sanktionskontrollen?

Eine niedrige Risikoeinstufung hebt anwendbare Pflichten zu gezielten Finanzsanktionen nicht auf. Verbindliche Kontrollen sind vom risikobasierten Umfang anderer Sorgfaltsmaßnahmen zu trennen.³

Zählt eine frühere inländische PEP nach zwölf Monaten automatisch nicht mehr als PEP?

Eine solche pauschale Grenze gilt nicht. Maßgeblich sind der aktuelle Wortlaut von Schedule 3A, die tatsächliche Funktion und relevante Leitlinien. Schedule 3C enthält andere Formulierungen für eine gesonderte Kategorie.¹

Ist ein PEP-Ergebnis dasselbe wie eine Sanktionslistung?

Nein. Zuerst sind Identität und relevanter Status festzustellen, danach die richtigen Maßnahmen zu bestimmen. PEP-Sorgfaltspflichten und Sanktionsbeschränkungen haben unterschiedliche rechtliche Zwecke und Folgen.