Sanktionsrisikobewertung: praktische Methodik und Risikoregister

Eine nützliche Sanktionsrisikobewertung ist ein Entscheidungsnachweis, keine nur um ihrer selbst willen erstellte Risikomatrix. Sie sollte zeigen, wo Sanktionsrisiken in das Unternehmen gelangen, welche Nachweise diese Einschätzung stützen, wie wirksam die Kontrollen arbeiten, welches Risiko verbleibt und wer jede wesentliche Lücke schließen muss.

Die Methodik muss zum geltenden Rechtsrahmen, den Tätigkeiten und dem Betriebsmodell des Unternehmens passen. FCA-Leitlinien und Aufsichtsfeststellungen sind für Unternehmen im Zuständigkeitsbereich der FCA unmittelbar relevant. Material von OFSI, EU, FATF und OFAC ist dagegen der jeweiligen Rechtsordnung und seinem jeweiligen rechtlichen Status zuzuordnen. Keine dieser Quellen schreibt weltweit ein einheitliches Bewertungsformular für jedes Unternehmen vor.

Dieser Leitfaden behandelt die unternehmensweite Bewertung. Er bildet bewusst weder die Methodik zur Kundenrisikobewertung noch den Praxisleitfaden für Sanktionsprüfungen oder den Käuferleitfaden für Software zur Sanktionsprüfung nach.

Drei Bewertungen getrennt halten

Teams verwenden den Begriff „Sanktionsrisikobewertung“ häufig für unterschiedliche Aufgaben. Durch eine klare Trennung wird vermieden, dass eine Kundenbewertung oder ein Systemtest mit der Gesamtbewertung des Unternehmensrisikos verwechselt wird.

Die Bewertungen können einander beeinflussen. Ihre Aufzeichnungen sollten jedoch getrennt bleiben, damit jede Schlussfolgerung nachvollziehbar ist.

Umfang und rechtlichen Anwendungsbereich festlegen

Zunächst ist der Umfang der Bewertung festzulegen. Zu dokumentieren sind:

• die erfassten Rechtsträger, Niederlassungen, Produkte und Tätigkeiten;
• relevante Rechtsordnungen, Sanktionsregime und Behörden;
• die einzubeziehenden Kunden, Gegenparteien und Transaktionen;
• ausgelagerte Prozesse, Vermittler und wesentliche Datenanbieter; und
• Bewertungsdatum, Nachweiszeitraum, zuständige und freigebende Person.

Nicht mit einer allgemeinen Checkliste sanktionierter Länder oder einer einzigen globalen Liste beginnen. Die anwendbaren Beschränkungen hängen von Rechtsordnung, Regime, Tätigkeit und Sachverhalt ab. Die allgemeinen OFSI-Leitlinien erläutern den britischen Rahmen für Finanzsanktionen und verweisen auf die anwendbaren Vorschriften. Sie ersetzen nicht die Bestimmung des Rechtsinstruments, das eine konkrete Tätigkeit regelt.¹

Restriktive Maßnahmen der EU ergeben sich ebenfalls aus konkreten Rechtsakten. Das Dokument des Rates zu bewährten Verfahren für Sanktionen ist eine unverbindliche und nicht abschließende Umsetzungshilfe, kein allgemeingültiges Gesetz zur Risikobewertung.²

Die FATF setzt internationale Standards, die Länder in ihren eigenen Regelwerken umsetzen.³ FATF-Material dient als Kontext und darf nicht so behandelt werden, als wäre die FATF die Aufsichtsbehörde eines privaten Unternehmens.

Sanktionsrisiken systematisch erfassen

Die Risikoübersicht zeigt strukturiert, auf welchen Wegen Sanktionsrisiken in das Unternehmen gelangen können. Ihre Kategorien sollten das eigene Betriebsmodell abbilden, nicht die Gliederung eines anderen Unternehmens kopieren.

Die FCA-Leitlinien für Unternehmen in ihrem Zuständigkeitsbereich sehen vor, dass Systeme und Kontrollen für Sanktionen Art, Größe und Risiko des Unternehmens entsprechen.⁴ Das US-spezifische Compliance Framework von OFAC nennt ebenfalls Kunden, Gegenparteien, Produkte, Dienstleistungen, Lieferketten, Vermittler, Transaktionen und geografische Gebiete als mögliche Faktoren einer Risikobewertung.⁵

Dies sind Leitfragen. Sie bedeuten nicht, dass jedes Unternehmen jeder Kategorie dasselbe Risiko zuordnen muss.

Inhärentes Risiko vor den Kontrollen bewerten

Das inhärente Risiko entsteht aus der Tätigkeit, bevor Sanktionskontrollen berücksichtigt werden. Durch die getrennte Bewertung wird verhindert, dass eine überzeugende Kontrollbeschreibung ein grundsätzlich risikobehaftetes Geschäftsfeld verdeckt.

Für jede Risikobeschreibung:

1. Das Szenario in verständlicher Sprache beschreiben.
2. Betroffene Geschäftstätigkeit, zu prüfende Personen oder Vorgänge und Rechtsordnung bestimmen.
3. Aktuelle, datierte Nachweise verknüpfen.
4. Begründen, weshalb Eintrittswahrscheinlichkeit oder Auswirkung höher oder niedriger sein können, einschließlich Unsicherheiten und Nachweislücken.

Eine nützliche Risikobeschreibung ist konkret genug, um sie zu prüfen:

Bei einem grenzüberschreitenden Auszahlungsprodukt können Begünstigte und zwischengeschaltete Banken hinzukommen, die nicht in den Daten aus dem Kunden-Onboarding enthalten sind. Dadurch besteht das Risiko, dass relevante Transaktionsparteien nicht in die genehmigte Sanktionskontrolle gelangen.

Bezeichnungen wie „Hochrisikoland“ sind zu vermeiden, wenn das anwendbare Regime, die Tätigkeit und die Nachweise nicht erläutert werden. Ein Treffer auf einer Sanktionsliste darf nicht als einziges Maß für das Risiko dienen; das Ausbleiben früherer Treffer belegt nicht, dass die zugrunde liegende Tätigkeit ein geringes Risiko aufweist.

Tatsächliche Wirksamkeit der Kontrollen bewerten

Nun sind die Kontrollen zu bestimmen, die jedem inhärenten Risiko entgegenwirken, und ihre praktische Funktionsweise zu prüfen. Wirksamkeit darf nicht allein deshalb anerkannt werden, weil eine Richtlinie, ein Anbieter oder ein System vorhanden ist.

Zu den Nachweisen können gehören:

• genehmigte Richtlinien und Verfahren, die der aktuellen Praxis entsprechen;
• Zuordnungen der zu prüfenden Personen, Unternehmen und Vorgänge zu den jeweiligen Prüfanlässen;
• Aufzeichnungen zu Quellen, Konfiguration, Änderungskontrolle und Datenqualität;
• Umfang, Alter und Ergebnisse von Trefferhinweisen sowie Stichproben der Fallbegründungen;
• Tests, Vorfälle, Ausfälle und Verlauf der Nachbearbeitung; und
• Schulungen, operative Zuständigkeiten und Aufsicht über Dritte.

Die Aufsichtsfeststellungen der FCA vom Mai 2026 für die von ihr untersuchten Unternehmen betonen, wie wichtig das Verständnis von Risiken, Daten, Kalibrierung, Tests, Trefferbearbeitung, Rückständen, Widerstandsfähigkeit und Systemen Dritter ist.⁶ Es handelt sich um Aufsichtsfeststellungen im Zuständigkeitsbereich der FCA, nicht um eine allgemeingültige Kontrollcheckliste. Sie zeigen jedoch, weshalb Nachweise zur Gestaltung und zum Betrieb getrennt bewertet werden sollten.

Der Praxisleitfaden zur Sanktionsprüfung erläutert Gestaltung und Tests von Prüfkontrollen ausführlich. Der Leitfaden zur Richtlinie für die Sanktionsprüfung Dritter behandelt Lieferanten- und Governance-Kontrollen. Regimespezifische Fragen zu Eigentum gehören in den Leitfaden zu Eigentum und Kontrolle im Sanktionsrecht.

Zu einer begründeten Schlussfolgerung zum Restrisiko gelangen

Das Restrisiko ist das Risiko, das nach Berücksichtigung der nachgewiesenen Wirksamkeit maßgeblicher Kontrollen verbleibt. Es ist nicht einfach das inhärente Risiko abzüglich eines Kontrollwerts.

Die Schlussfolgerung sollte das verbleibende Risiko, die berücksichtigten Kontrollen, Nachweise ihrer Wirksamkeit, Schwächen, die das Vertrauen mindern, die Entscheidung zur Risikoakzeptanz oder Eskalation und die freigebende Person benennen.

Eine Risikoeinstufung kann den Vergleich von Einträgen erleichtern, doch die Begründung ist der dauerhafte Teil des Nachweises. Zwei Einträge derselben Farbe können unterschiedliche Maßnahmen erfordern, weil Nachweise, rechtlicher Anwendungsbereich, Abhängigkeit von Kontrollen oder mögliche Auswirkungen voneinander abweichen.

Lücken in klar zugewiesene Maßnahmen überführen

Für jede wesentliche Lücke sollte eine Maßnahme festgelegt werden, deren Abschluss sich prüfen lässt. Zu dokumentieren sind das Problem, die vorläufige Risikobehandlung, die zuständige Person, Zieldatum, erwarteter Nachweis und Freigabeweg.

Beispiele sind ein unvollständiger Prüfumfang oder ein fehlender Prüfanlass, unvollständige Identifikatoren, eine ungetestete Konfiguration, ein Bearbeitungsrückstand, ein unklarer Eskalationsweg oder eine ausgelagerte Abhängigkeit ohne ausreichende Absicherung.

Der Abschluss sollte mehr bedeuten, als eine Maßnahme lediglich als erledigt zu kennzeichnen. Nachweise darüber, dass die Änderung umgesetzt, getestet und genehmigt wurde, sind aufzubewahren. Anschließend ist die Schlussfolgerung zum Restrisiko neu zu bewerten. Bleibt eine vorläufige Kontrolle bestehen, sind die Zuständigkeit sowie ihr Ablauf- oder nächster Überprüfungszeitpunkt festzuhalten.

Punktebewertungen sind optional

Eine Organisation kann qualitative Klassen, ordinale Punktwerte oder eine andere einheitliche interne Methode verwenden. Der Wert unterstützt den Vergleich; er ersetzt weder das fachliche Urteil noch bestimmt er die rechtliche Folge einer Tätigkeit.

Zu vermeiden sind als regulatorische Anforderungen dargestellte allgemeingültige Gewichte, Scheingenauigkeit bei schwacher Nachweislage, automatische Mittelwerte, die ein schwerwiegendes Risiko verdecken, in die unternehmensweite Methodik kopierte Kundenrisikofaktoren sowie vom Anbieter erzeugte Werte, die als Schlussfolgerung der Organisation behandelt werden.

Wird ein Punktesystem verwendet, sind jede Definition, die erwarteten Nachweise, das Verfahren für abweichende Entscheidungen und die Genehmigung zu dokumentieren. Sowohl Wert als auch narrative Begründung sind festzuhalten, damit die Schlussfolgerung auch bei einer Änderung des Modells verständlich bleibt.

Register zur Sanktionsrisikobewertung

Das folgende Register ist ein praktisches Checklynx-Dokumentationsmodell, kein von einer Aufsichtsbehörde herausgegebenes Formular. Für jedes klar beschriebene Risiko oder Risikoszenario ist eine Zeile zu verwenden; ausführliche Nachweise können bei Bedarf außerhalb der Tabelle beigefügt werden.

Zuständigkeiten und Neubewertung

Eine verantwortliche Person und die erforderlichen Mitwirkenden aus Recht, Compliance, Betrieb, Produkt, Daten, Technik und Fachbereichen sind festzulegen. Die freigebende Person sollte befugt sein, Restrisiken zu akzeptieren und Mittel für Maßnahmen bereitzustellen.

Zusätzlich zu einem festen Turnus sollten ereignisbezogene Anlässe für eine Neubewertung festgelegt werden. Mögliche Anlässe sind:

• ein neues Produkt, eine neue Dienstleistung, Rechtsordnung oder wesentliche Auslagerungsvereinbarung;
• eine wesentliche Veränderung des Kunden-, Gegenparteien- oder Transaktionsbestands;
• eine für das Unternehmen relevante Änderung von Sanktionsvorschriften oder Listungen;
• ein Vorfall bei der Sanktionsprüfung, ein Kontrollversagen oder ein anhaltender Bearbeitungsrückstand; und
• wesentliche Änderungen an Daten oder Technik oder Hinweise darauf, dass eine Annahme nicht mehr belastbar ist.

Eine regelmäßige Überprüfung kann als Auffangmechanismus dienen, doch es gibt keinen allgemeingültigen Turnus. Zu dokumentieren ist, weshalb Intervall und Ereignisse zu den anwendbaren Anforderungen und Risiken des Unternehmens passen.

Die Bewertung kann einen Bedarf an neuen oder verbesserten Kontrollen für die Sanktionsprüfung aufzeigen. Checklynx kann deren Ausführung über Prüfportal, CSV-Batch, API, konfiguriertes Monitoring, Prüfung durch Analysten, Fallbearbeitung und Prüfnachweise unterstützen. Checklynx legt weder den rechtlichen Anwendungsbereich fest noch erzeugt es einen von Aufsichtsbehörden anerkannten unternehmensweiten Risikowert. Es deckt auch nicht jede Eigentumsstruktur auf und trifft nicht die rechtlichen oder risikobezogenen Entscheidungen der Organisation. Sobald die Bewertung den Kontrollbedarf festgelegt hat, können Unternehmen die Sanktionsprüfung mit Checklynx näher ansehen.

Häufig gestellte Fragen

Was ist eine Sanktionsrisikobewertung?

Eine unternehmensweite Sanktionsrisikobewertung dokumentiert, wo die Organisation Sanktionsrisiken ausgesetzt ist, welche Nachweise diese Einschätzung stützen, wie wirksam die maßgeblichen Kontrollen sind, welches Restrisiko verbleibt und welche Maßnahmen erforderlich sind.

Ist eine Sanktionsrisikobewertung dasselbe wie eine Kundenrisikobewertung?

Nein. Eine unternehmensweite Bewertung untersucht Risiken und Kontrollen der Organisation. Eine Kundenrisikobewertung wendet eine gesonderte Methodik auf eine einzelne Beziehung an und bestimmt die Behandlung, die nach dem anwendbaren Rahmen und der internen Richtlinie folgt.

Benötigt jedes Unternehmen dieselbe Sanktionsrisikobewertung?

Es gibt weltweit kein allgemeingültiges Formular und keine einheitliche Methodik für jedes Unternehmen. Anforderungen und aufsichtsrechtliche Erwartungen hängen von Rechtsordnung, Branche und Tätigkeit ab. Die Bewertung sollte den für die Organisation geltenden Rahmen bestimmen und zuordnen.

Sollte eine Sanktionsrisikobewertung eine numerische Punktzahl verwenden?

Nicht unbedingt. Eine einheitliche qualitative oder numerische Methode kann Vergleiche erleichtern, doch die Organisation sollte Nachweise und Begründung aufbewahren. Allgemeingültige Gewichte oder Schwellenwerte dürfen nicht als aufsichtsbehördlich genehmigt dargestellt werden.

Was ist der Unterschied zwischen inhärentem Risiko und Restrisiko?

Das inhärente Risiko beschreibt das Risiko vor Berücksichtigung der Kontrollen. Das Restrisiko ist das Risiko, das nach Berücksichtigung der nachgewiesenen Wirksamkeit der maßgeblichen Kontrollen verbleibt.

Wie häufig sollte die Bewertung aktualisiert werden?

Dokumentierte Ereignisse sollten eine Neubewertung auslösen; eine angemessene regelmäßige Überprüfung dient als Auffangmechanismus. Neu zu bewerten ist, wenn Änderungen an Rechtslage, Produkten, geografischen Bezügen, einbezogenen Personen und Vorgängen, Eigentum, Daten, Technik oder Kontrollen die bestehende Schlussfolgerung verändern können.

Kann Software zur Sanktionsprüfung die Bewertung automatisch durchführen?

Nein. Software kann Prüfung, Monitoring, Fallbearbeitung und Nachweise für die in der Risikobewertung festgelegten Kontrollen unterstützen. Die Organisation bleibt für rechtlichen Umfang, Bewertungsmethodik, Nachweise, Schlussfolgerungen zum Restrisiko und Maßnahmen verantwortlich.