Sanktionsprüfung: ein Praxisleitfaden für Compliance-Teams

Sanktionsprüfung wird häufig als Namensabgleich beschrieben: Ein Kunde oder eine Gegenpartei wird mit einer Liste verglichen, anschließend wird das Ergebnis ausgeräumt oder eskaliert. Das greift zu kurz. Sanktionen können Gelder, wirtschaftliche Ressourcen, Dienstleistungen, Handel, Investitionen, Transport und weitere Tätigkeiten beschränken. Manche Beschränkungen erfassen über Eigentum oder Kontrolle auch Unternehmen, die selbst nicht auf einer Liste stehen. Ein Namensabgleich kann eine klärungsbedürftige Frage aufwerfen, entscheidet aber nicht jede Rechtsfrage.

In der Praxis müssen Recht, Daten und Abläufe miteinander verbunden werden:

Rechtlichen Anwendungsbereich bestimmen → anwendbare Regime und Beschränkungen ermitteln → Prüfpopulation und Daten festlegen → Prüfanlässe bestimmen → mögliche Treffer untersuchen → Eigentum, Kontrolle und einschlägiges Verbot bewerten → freigegebene Maßnahme umsetzen → Nachweise aufbewahren → Kontrolle testen und verbessern.

Dieser Leitfaden erläutert das Modell für Compliance-, Financial-Crime-, Produkt- und Betriebsteams.

Was eine Sanktionsprüfung ist – und was nicht

Eine Sanktionsprüfung gleicht relevante Identifikationsdaten mit Sanktionsdaten ab, damit ein Unternehmen mögliche Risiken erkennen und untersuchen kann. Geprüft werden können Personen, Organisationen, Schiffe, Luftfahrzeuge oder andere in amtlichen Daten erfasste Objekte. Eine Prüfung kann bei der Kundenaufnahme, beim Hinzukommen einer Gegenpartei, während einer Transaktion, nach einer Änderung der Eigentumsverhältnisse oder nach der Änderung einer Listung oder eines Programms durch eine Behörde erforderlich werden.

Die konsolidierte Liste des Sicherheitsrats der Vereinten Nationen führt Personen und Unternehmen zusammen, die Sanktionsmaßnahmen des Sicherheitsrats unterliegen. Welche Maßnahme greift, richtet sich jedoch nach dem jeweiligen Regime und seiner Umsetzung durch die Mitgliedstaaten.¹ In den USA veröffentlicht OFAC die SDN List sowie konsolidierte Daten zu Nicht-SDN-Listen. Diese Quellen stehen nicht für eine einheitliche Beschränkung, und die SDN List bildet nicht den gesamten OFAC-Sanktionsrahmen ab.² Im Vereinigten Königreich ist die UK Sanctions List die aktuelle Quelle für britische Listungen. Um deren Rechtswirkung zu verstehen, müssen Unternehmen zusätzlich die Rechtsvorschriften und Leitlinien des anwendbaren Regimes prüfen.³

Eine Namensprüfung ist nicht mit vollständiger Sanktions-Compliance gleichzusetzen. Ein Ergebnis ohne Namensübereinstimmung klärt weder sektorale Beschränkungen, verbotene Dienstleistungen, beschränkte Waren, geografische Maßnahmen, Eigentum oder Kontrolle noch Versuche zur Sanktionsumgehung. Die Aufsichtsfeststellungen der FCA verdeutlichen denselben operativen Punkt: Kunden- und Zahlungsprüfungen erkennen Handelsbeschränkungen, sektorale Sanktionen oder Umgehung möglicherweise nicht; deshalb können weitere Kontrollen erforderlich sein.⁴

Die Sanktionsprüfung unterscheidet sich von angrenzenden Kontrollen:

• KYC und KYB halten Identitäts-, Unternehmens- und Eigentumsdaten aktuell, die eine Sanktionsuntersuchung unterstützen können. Die Kontrollen verfolgen jedoch unterschiedliche Zwecke.
• Die PEP-Prüfung erkennt politische Exponierung für das Risikomanagement und verstärkte Sorgfaltspflichten. Der PEP-Status bedeutet für sich genommen nicht, dass eine Person sanktioniert ist. Weitere Informationen enthält der Leitfaden zur PEP-Prüfung.
• Das AML-Transaktionsmonitoring sucht nach verdächtigen Mustern. Die Sanktionsanalyse fragt, ob eine Beschränkung eine Partei, einen Vermögenswert oder eine Tätigkeit betrifft. Beide Kontrollen können Daten austauschen, ersetzen einander aber nicht. Weitere Informationen enthält der Leitfaden zur AML-Compliance.
• Die Prüfung negativer Medien kann Risikokontext und Ermittlungsansätze liefern. Sie ist keine amtliche Quelle für Listungen.

Daraus folgt der erste Gestaltungsgrundsatz: Nicht nur fragen „Welche Liste sollen wir laden?“, sondern „Welche rechtlichen Beschränkungen können für unsere Rechtsträger und Tätigkeiten gelten, und welche Nachweise braucht die Kontrolle, um dieses Risiko zu erkennen und zu steuern?“

Verbindliche Regeln, Leitlinien und Umsetzungsentscheidungen trennen

Compliance-Verfahren werden unzuverlässig, wenn jede Quelle als „Anforderung“ bezeichnet wird. Verantwortliche für eine Kontrolle müssen jede wesentliche Aussage in einer Richtlinie, einem Regelwerk oder einer Konfigurationsentscheidung einordnen können.

FATF bezeichnet seine Empfehlungen als internationale Standards, die Länder umsetzen und an ihre rechtlichen, administrativen und finanziellen Systeme anpassen sollen.⁵ Die Empfehlungen 6 und 7 behandeln die Umsetzung gezielter Finanzsanktionen durch Staaten in Bezug auf Terrorismus und Terrorismusfinanzierung beziehungsweise Proliferation.⁶⁷ Sie prägen nationale Regelwerke, sind aber kein unmittelbar anwendbares privatrechtliches Gesetz.

Der Rat der EU bezeichnet sein Dokument zu bewährten Verfahren für Sanktionen als unverbindlich und nicht abschließend.⁸ Es ist für die Umsetzung nützlich, darf aber nicht wie eine EU-Verordnung zitiert werden. Auch das OFAC Compliance Framework beschreibt ein risikobasiertes Modell mit fünf Bestandteilen: Verpflichtung der Leitung, Risikobewertung, interne Kontrollen, Tests und Audits sowie Schulung.⁹ Es ersetzt nicht die programmspezifischen US-Regeln.

Mit dem rechtlichen Anwendungsbereich beginnen, nicht mit einer globalen Liste

Der Sanktionsrahmen umfasst die Regime und Beschränkungen, die für das Unternehmen, Personen, Vermögenswerte und Tätigkeiten gelten können. Er ist vor der Konfiguration des Abgleichs zu bestimmen.

Zu erfassen sind die beteiligten Rechtsträger, Niederlassungen und Personen; Gründungs- und Tätigkeitsorte; Standorte von Kunden und Gegenparteien; Produkte, Dienstleistungen, Vermögenswerte und Transaktionsarten; Währungen, Zahlungswege und Intermediäre; Eigentums-, Kontroll- und Vertretungsverhältnisse sowie vertragliche oder interne Kontrollen, die über das gesetzliche Mindestmaß hinausgehen.

Britische Finanzsanktionen gelten für Personen und Tätigkeiten im Hoheitsgebiet des Vereinigten Königreichs sowie für britische Staatsangehörige und nach britischem Recht gegründete juristische Personen unabhängig von deren Tätigkeitsort.¹⁰ Diese Aussage beschreibt den britischen Anwendungsbereich; sie ist kein vereinfachter Maßstab für die Bestimmung eines UK-Bezugs in jedem grenzüberschreitenden Fall. Die britische operative Ebene behandelt der Leitfaden zur UK-Sanktionsprüfung. Die Prüfung von US-Sanktionen ist programmspezifisch. Sie sollte nicht auf pauschale Aussagen zu Währung, Serverstandort oder Kundennationalität reduziert werden. EU-Maßnahmen gelten nach ihren jeweiligen Vorschriften zum Anwendungsbereich und dem konkreten Sachverhalt.

Mit rechtlicher Unterstützung ist bei Bedarf eine Regime- und Programmmatrix zu erstellen. Rechtlich anwendbare Quellen sind von Quellen zu trennen, die aufgrund von Risikobereitschaft, Kundenverpflichtungen oder internen Vorgaben einbezogen werden. Die Risikobewertung kann zusätzliche Abdeckung, Abläufe und Tests bestimmen; sie ändert nicht die Wirkung einer anwendbaren Regel.

Matrix zu Behörden, Anknüpfungspunkten und Quellen

Die Übersicht der Kommission verweist auf EU-Sanktionsressourcen und zuständige nationale Behörden.¹¹ Sie ist als Zugang zu amtlichem Material zu nutzen, nicht als Ersatz für den Rechtsakt. Der OFAC Sanctions List Service stellt SDN- und Nicht-SDN-Daten bereit.² Die UK Sanctions List ist zusammen mit der anwendbaren Vorschrift und OFSI-Material zu verwenden.³

Für jede amtliche Quelle ist eine zuständige Person zu benennen, die Änderungen überwacht und betroffene Prüfgruppen ermittelt. Die UN veröffentlicht Ergänzungen, Änderungen und Streichungen.¹² OFAC weist darauf hin, dass die SDN List keinem vorgegebenen Aktualisierungsplan folgt.¹³ Es gibt keinen einheitlichen Behördenrhythmus.

Festlegen, wer und was in die Kontrolle einbezogen wird

Die Prüfpopulation richtet sich nach dem rechtlichen Anwendungsbereich und dem Geschäftsmodell. Sie kann über den benannten Kunden hinaus Gegenparteien, Eigentümer oder kontrollierende Personen, Zahlungsempfänger, Lieferanten, Intermediäre und relevante Vermögenswerte erfassen. Zu bestimmen ist, wann ein Subjekt bekannt wird, welche Identifikatoren vorliegen, welche Entscheidung noch angehalten werden kann und welcher Rechtsträger verantwortlich ist.

Nicht jeder Identifikator eignet sich für jede Beziehung. Es ist festzulegen, welche Daten an welchem Entscheidungspunkt verlässlich sind und wann dünne Daten eine belastbare Klärung verhindern.

Zeitpunkte für Prüfung und Neubewertung bestimmen

Es gibt keine globale Regel, nach der jeder Kunde täglich, kontinuierlich oder bei jeder Transaktion geprüft werden muss.¹⁴¹⁵ Der Prüfzeitpunkt ergibt sich aus dem anwendbaren Recht und einem dokumentierten Kontrollmodell.

Mögliche Prüfanlässe sind:

Ein eng begrenztes Zahlungsbeispiel

Zahlungskontrollen zeigen, warum sich der Prüfturnus nach der konkreten Regel richten muss. Artikel 5d der Verordnung (EU) Nr. 260/2012 verpflichtet Zahlungsdienstleister, die Echtzeitüberweisungen anbieten, ihre Zahlungsdienstnutzer unmittelbar nach Inkrafttreten oder Änderung einschlägiger gezielter finanzieller restriktiver Maßnahmen und mindestens einmal pro Kalendertag zu prüfen.¹⁵ Bei der Ausführung nehmen die Zahlungsdienstleister des Zahlers und des Zahlungsempfängers keine zusätzliche Prüfung dieser Zahlungsdienstnutzer nach Artikel 5d vor; andere Pflichten aus restriktiven Maßnahmen sowie aus dem Geldwäsche- und Terrorismusfinanzierungsrecht der Union bleiben unberührt.¹⁵ Dieses besondere Modell darf nicht auf jede Zahlung, jedes Produkt oder jede Rechtsordnung übertragen werden. Der detaillierte Ablauf steht im Fachleitfaden zur Sanktionsprüfung für Zahlungsinstitute.

Eigentum und Kontrolle über den gelisteten Namen hinaus prüfen

Ein ergebnisloser Abgleich des Unternehmensnamens schließt die Sanktionsfrage möglicherweise nicht ab. Je nach anwendbarem Regime kann ein nicht gelistetes Unternehmen aufgrund des Eigentums oder der Kontrolle einer gelisteten oder blockierten Person betroffen sein. Die rechtlichen Maßstäbe sind keine einheitliche globale „50-Prozent-Regel“, und ein AML-Schwellenwert für wirtschaftlich Berechtigte darf einen Sanktionsmaßstab nicht ersetzen.

Bei Unternehmen sind Quelldatum, unmittelbare und mittelbare Beteiligungen, Stimm- und Bestellungsrechte, maßgebliche Vereinbarungen, zwischengeschaltete Unternehmen und Unsicherheiten zu dokumentieren. Ein allgemeiner Datensatz zu wirtschaftlich Berechtigten ist ein Nachweis, keine rechtliche Schlussfolgerung. Der Analyst muss wissen, welcher Maßstab welcher Rechtsordnung angewendet wird und warum.

An dieser Stelle sollten KYC- und Sanktionskontrollen Informationen austauschen, ohne zu einem einzigen Prozess zu werden. Für KYB erhobene Unternehmensunterlagen können einen Eigentümer oder eine kontrollierende Person erkennen lassen, die das Sanktionsrisiko verändert. Umgekehrt kann ein Sanktionstreffer darauf hinweisen, dass Eigentumsdaten aktualisiert werden müssen. Der Leitfaden zu wirtschaftlich Berechtigten und UBO erläutert den zugrunde liegenden Unternehmensdatenkontext.

Den Abgleich für erklärbare mögliche Treffer gestalten

Der Abgleich soll mögliche Treffer mit genügend Kontext für eine Untersuchung erzeugen. Eine Punktzahl ist kein rechtliches Ergebnis, und kein universeller Schwellenwert von 90 %, 95 % oder 99 % belegt die Einhaltung von Vorgaben.

Die Gestaltung muss in der Regel Folgendes berücksichtigen:

• Vereinheitlichung von Groß- und Kleinschreibung, Zeichensetzung, Abständen und üblichen Abweichungen bei Rechtsformen;
• Aliasnamen, frühere Namen, geänderte Namensreihenfolgen und Transliteration;
• nicht lateinische Schriften und sprachspezifische Namensstrukturen;
• Geburtsdaten und -orte, Staatsangehörigkeit und Anschrift;
• Reisepass-, Steuer-, Register-, Schiffs-, Luftfahrzeug- und andere stabile Kennungen;
• Subjekttyp, da Personen, Unternehmen, Schiffe und Luftfahrzeuge unterschiedliche Vergleichsfelder benötigen;
• Datenqualität, Kürzungen, Feldlängen und fehlende Identifikatoren; und
• Behandlung schwacher Aliasnamen und breiter allgemeiner Begriffe.

Die OFAC-Leitlinien zu möglichen Treffern verlangen den Vergleich des vollständigen Sanktionseintrags mit verfügbaren Identifikatoren, darunter Name, Anschrift, Staatsangehörigkeit, Reisepass- oder Steuerkennung, Geburtsort und -datum, frühere Namen und Aliasnamen. Bei Bedarf sind weitere Informationen einzuholen.¹⁸ OFAC bezeichnet breite oder allgemeine Aliasnamen, die viele Fehlalarme verursachen können, als „weak AKAs“.¹⁹ Diese Grundsätze sind für Untersuchungen hilfreich, schreiben aber weder einen Algorithmus noch einen Schwellenwert für jedes Unternehmen vor.

Die FCA stellte 2026 Schwächen bei ungenauen oder veralteten Listen, Konfiguration, verspäteten Aktualisierungen, Referenzdaten, Namensvarianten, nicht lateinischen Namen, Titeln, Zeichenbegrenzungen, Begründungen für Trefferhinweise, Tests und übermäßiger Abhängigkeit von Anbietern fest.⁴ Aus diesen Beobachtungen sollten konkrete Testfälle entstehen, keine allgemeinen Richtlinientexte.

Ein repräsentatives Testpaket aufbauen

Die Testklassen sollten sich an den Prüfgruppen, Datenfehlern und Ausfallwegen im Produktivbetrieb orientieren:

Es sollten sowohl kontrollierte synthetische Datensätze als auch Stichproben produktionsnaher Daten verwendet werden. Synthetische Fälle haben ein bekanntes erwartetes Ergebnis und erlauben sichere Änderungen an Schreibweisen, Schriftsystemen, Identifikatoren und Fehlerbedingungen. Produktionsnahe Stichproben zeigen die tatsächliche Feldzuordnung, fehlende Daten, die Zusammensetzung der Prüfgruppen, wiederkehrende Treffer und den Prüfaufwand. Personenbezogene Daten sind zu schützen; die anwendbaren Vorgaben für Sicherheit, Vertraulichkeit und Testumgebungen sind einzuhalten. Echtdaten dürfen nicht allein für realistischere Tests in eine ungeeignete Umgebung verschoben werden.

Für jeden Testfall sind Zweck, Prüfgruppe, Quellen- und Konfigurationsversion, genaue Eingabe, erwartetes und tatsächliches Ergebnis, Ergebnis des Prüfprozesses, Nachweise, Fehler und Ergebnis des erneuten Tests aufzubewahren.

Mindestens drei Ergebnisdimensionen sind getrennt zu berichten:

• Nicht erkannte Treffer: Ein erwarteter möglicher Treffer wurde nicht ausgegeben oder gelangte nicht in den vorgesehenen Prüfprozess.
• Irrelevante Treffer: Nicht einschlägige Treffer und der durch sie verursachte Prüfaufwand.
• Ungeklärte Fälle: Der Treffer wurde gefunden, doch die verfügbaren Identitätsnachweise erlaubten keine belastbare Entscheidung.

Diese Ergebnisse dürfen nicht in einem unerklärten Prozentsatz für „Genauigkeit“ zusammengefasst werden. Eine Änderung, die irrelevante Treffer reduziert, kann zugleich dazu führen, dass erwartete Treffer nicht erkannt werden. Ungeklärte Fälle können wiederum auf fehlende Kundendaten statt auf einen Fehler des Abgleichs zurückgehen.

Zu testen ist der gesamte Weg von der Änderung einer amtlichen Quelle über das Einlesen, die Auswahl der Prüfgruppe, die Datentransformation, die Erzeugung möglicher Treffer und die Weiterleitung an die Warteschlange bis zu Bearbeitung, Entscheidung, Nachweisführung und Abschluss oder Wiederherstellung. Ein Test des Abgleichs belegt nicht, dass der vorgesehene Kunde oder die Gegenpartei in die Kontrolle gelangt ist, ein Trefferhinweis die zuständige Person erreicht hat oder ein fehlgeschlagenes Ereignis abgestimmt wurde.

Die ausführliche Methode zur Kalibrierung von Schwellenwerten enthält der Leitfaden falsch positive Treffer bei Sanktionsprüfungen reduzieren. Die Gestaltung eines Proof of Concept für die Beschaffung behandelt der Leitfaden Software für Sanktionsprüfungen auswählen.

Den Trefferhinweis vor der rechtlichen Entscheidung untersuchen

Ein Trefferhinweis bedeutet, dass die konfigurierte Logik eine Ähnlichkeit oder Regelbedingung erkannt hat. Er beweist weder Identität noch Eigentum oder Kontrolle, bestimmt kein anwendbares Verbot und entscheidet nicht, ob eine Tätigkeit freigegeben, abgelehnt, eingefroren, gesperrt oder zurückgewiesen werden muss.²⁰¹⁰

Eine stufenweise Untersuchung hält Identitätsklärung und rechtliche Entscheidung voneinander getrennt.

Die US-Leitlinien von OFAC unterscheiden Transaktionen mit blockierbaren Interessen von verbotenen Transaktionen, die zurückgewiesen statt blockiert werden müssen.²⁰ Diese Begriffe sind kein universelles Modell: EU- und UK-Maßnahmen haben eigene Strukturen für Einfrieren, Verbote, Genehmigungen und Meldungen. Nach den britischen Leitlinien zum Einfrieren von Vermögenswerten muss eine Person Gelder oder wirtschaftliche Ressourcen, die tatsächlich einer solchen Maßnahme unterliegen und sich in ihrem Besitz oder unter ihrer Kontrolle befinden, unverzüglich einfrieren.¹⁰ Diese Aussage gilt, nachdem die maßgeblichen rechtlichen Kriterien festgestellt wurden. Sie macht nicht aus jedem ungeklärten unscharfen Trefferhinweis einen bestätigt einzufrierenden Vermögenswert.

Soweit britische Meldebestimmungen für ein als „relevant firm“ definiertes Unternehmen gelten, verlangt OFSI eine Meldung so bald wie praktisch möglich, wenn die festgelegten Kenntnis- oder begründeten Verdachtsvoraussetzungen erfüllt sind.¹⁰ OFSI erläutert außerdem, dass eine Meldung an eine andere Aufsichtsbehörde oder eine Verdachtsmeldung an die NCA eine anwendbare OFSI-Meldepflicht nicht ersetzt.¹⁰ Rechtsordnungsspezifische Meldeverfahren müssen getrennt und aktuell bleiben.

Die operative Schlussfolgerung ist einfach: Für möglichen Treffer, laufende Untersuchung, geklärte Identität, Eigentums- oder Kontrollprüfung, rechtliche Eskalation und endgültige Entscheidung sind getrennte Status vorzusehen. Ein einziger Status „Treffer“ verdeckt Unsicherheit und Zuständigkeit gleichermaßen.

Nachweise aufbewahren, die eine Entscheidung nachvollziehbar machen

Eine belastbare Fallakte muss es ermöglichen, später nachzuvollziehen, was das Unternehmen wusste, welche Quelle und Regel berücksichtigt wurde, wie der Analyst das Subjekt verglichen hat, wer die Entscheidung freigegeben hat und was anschließend geschah.

Bei einem wesentlichen Trefferhinweis sind das Subjekt und seine Kennungen aufzubewahren; außerdem der zugrunde liegende Kunden-, Gegenpartei-, Transaktions-, Eigentums- oder Vermögensdatensatz; Behörde, Programm, Quellenversion und Abrufzeit; Felder, die für und gegen den Treffer sprechen; maßgeblicher Eigentums-, Kontroll- und Tätigkeitskontext; Begründung des Analysten; Eskalation, prüfende Person und Zeitstempel; endgültige Entscheidung und Verweise auf Beratung, Ausnahme, Genehmigung oder Meldung; operatives Ergebnis sowie spätere Qualitätssicherung oder Überprüfung.

Nachweise sind mit der Konfiguration zu verknüpfen. Wurde ein Trefferhinweis unter einer bestimmten Abgleichsregel, Quellenversion oder einem Schwellenwert erzeugt, ist dieser Kontext aufzubewahren. Wurde er über eine wiederverwendbare Fehlalarmregel ausgeräumt, sind die unterscheidenden Identifikatoren und die Bedingungen zu dokumentieren, unter denen diese Regel gültig bleibt.

Lückenhafte Prüfspuren erschweren nicht nur eine interne oder externe Prüfung. Sie verhindern auch, dass das Unternehmen nach einer Quellenkorrektur, einer Eigentumsänderung oder einem Kontrolldefekt betroffene Fälle ermittelt. Die FCA-Feststellungen betonen dokumentierte Begründungen für Trefferhinweise, Qualitätssicherung, Eskalation und ausreichende Ressourcen.⁴

Die vollständige Kontrolle steuern, testen und überwachen

Technologie kann die Sanktionsprüfung unterstützen. Ob die Kontrolle dauerhaft zum rechtlichen Anwendungsbereich und zur betrieblichen Wirklichkeit passt, entscheidet jedoch ihre Steuerung. Das OFAC Compliance Framework beschreibt fünf Bestandteile eines risikobasierten Sanktions-Compliance-Programms: Verpflichtung der Leitung, Risikobewertung, interne Kontrollen, Tests und Audits sowie Schulung.⁹ Auch die FCA-Leitlinien betonen die Verantwortung der Geschäftsleitung und die Aufsicht über Prüfressourcen, die von Konzernfunktionen oder Dritten bereitgestellt werden.²¹

„Validierung“ sollte nicht als Sammelbegriff für jede Form der Prüfung verwendet werden. Zweck, zuständige Stelle und Nachweise sind zu trennen:

Die FCA-Beobachtungen aus dem Jahr 2026 betreffen Unternehmen in ihrem Aufsichtsbereich. Aus ihnen sind risikogerechte Tests abzuleiten, keine allgemeingültige Stichprobengröße oder Frequenz.⁴ Die thematische Untersuchung der CySEC verwendete Kontrollfälle und manipulierte Datensätze, um Prüfsysteme bei Unternehmen in ihrem Zuständigkeitsbereich zu testen. Dies ist ein nützlicher Anhaltspunkt für die Testgestaltung, kein globaler Validierungsstandard.²² Das OFAC Compliance Framework ist US-spezifisch und beschreibt Tests und Audits innerhalb eines risikobasierten Compliance-Programms, ohne eine allgemeingültige Methode vorzuschreiben.⁹ FATF-Material liefert den Kontext internationaler Standards, legt diese operative Systematik für Tests jedoch nicht fest.⁵

Neben einem genehmigten regelmäßigen Plan sind erneute Tests bei festgelegten Anlässen vorzusehen. Dazu können eine neue Quelle oder Prüfgruppe, eine wesentliche Änderung an Daten, Konfiguration oder Software, ein nicht erkannter erwarteter Treffer, eine Betriebsstörung oder eine wesentliche Feststellung aus der Qualitätssicherung gehören. Umfang und betroffene Prüfgruppe ergeben sich aus der jeweiligen Änderung; ein allgemeingültiger Turnus oder Stichprobenumfang darf nicht unterstellt werden.

Tests belegen weder, dass alle rechtlich relevanten Parteien bekannt sind, noch dass die Organisation jedes anwendbare Regime ausgewählt hat. Sie beweisen auch nicht, dass ein Ergebnis ohne Treffer Fragen zu Eigentum oder Kontrolle klärt, die endgültige rechtliche Entscheidung richtig ist oder künftige Aktualisierungen nicht ausfallen können. Diese Grenzen sind zusammen mit dem Ergebnis zu dokumentieren.

Klare Zuständigkeiten sind festzulegen für:

• Auslegung des rechtlichen Anwendungsbereichs und der Regime;
• Überwachung amtlicher Quellen und Einlesen von Aktualisierungen;
• Zuordnung von Prüfgruppen und Daten;
• Abgleichskonfiguration und Genehmigung von Änderungen;
• Warteschlangen, Bearbeitungsdauer und Eskalation;
• Eigentums- und Kontrollprüfung;
• Entscheidungs-, Genehmigungs- und Meldeverfahren;
• Qualitätssicherung und unabhängige Tests;
• Vorfälle, Ausfälle und versäumte Aktualisierungen; und
• Managementinformationen und Pflege der Richtlinien.

Auslagerung beseitigt nicht die Verantwortung für die Kontrolle

Ein Anbieter kann Daten, Technologie oder Unterstützung bei der Prüfung bereitstellen. Das Unternehmen muss dennoch den ausgelagerten Umfang, die Quellen, Daten, Konfiguration, Zuständigkeit für Trefferhinweise und Behandlung von Ausfällen verstehen.

Anbieterausgaben sind mit Fällen aus den eigenen Produkten und Daten zu testen. Quellenaktualisierungen sind abzugleichen, ausgeräumte Treffer stichprobenartig zu prüfen, offene Warteschlangen zu untersuchen, Dienstausfälle auszuwerten und eine Ausstiegs- oder Wiederherstellungsmöglichkeit vorzuhalten. FCA-Aufsichtsmaterial warnt vor unkritischem Vertrauen auf Konzern- oder Anbieterressourcen ohne ausreichendes internes Verständnis, Aufsicht und Tests.²¹⁴ Kriterien für Beschaffung, Proof-of-Concept-Fragen und die Verantwortung für den Rollout behandelt der Einkaufsleitfaden für Software zur Sanktionsprüfung.

Die OFSI-Erörterung der Maßnahme gegen Bank of Scotland liefert ein konkretes Beispiel: Die Behörde beschrieb ein Versagen der automatisierten Prüfung bei einer Schreibvariante und hob Notfallmaßnahmen, Eskalation, Schulung und unverzügliche Meldung hervor.²³ Daraus folgt nicht, dass Automatisierung unwirksam ist. Ein Prüfsystem braucht einen getesteten Abgleich, Personen, die Fehler erkennen können, und eine klar verantwortete Reaktion, wenn der automatisierte Weg versagt.

Managementinformationen müssen den Zustand der Kontrolle zeigen

Zu berichten sind Volumen und Bearbeitungsdauer möglicher Treffer nach Produkt und Quelle; Ergebnisse; Fälle, die auf Daten oder rechtliche Prüfung warten; Übersteuerungen; Abschluss von Quellenaktualisierungen; fehlgeschlagene Abläufe; Abweichungen aus Qualitätssicherung und Tests; Eskalationen zu Eigentum oder Kontrolle sowie überfällige Nacharbeiten. Die Zahlen sind zusammen mit Stichproben aus Fallakten auszuwerten: Weniger Treffer können auf eine bessere Kalibrierung oder auf fehlende Daten hindeuten, während eine schnell abgearbeitete Warteschlange schwache Begründungen verbergen kann.

Teams, die Software zur Sanktionsprüfung bewerten, sollten deshalb Datenherkunft, transparente Konfiguration, erklärbare Nachweise zu möglichen Treffern, klare Prozesszuständigkeit, Prüfbarkeit, Behandlung von Quellenänderungen und Testunterstützung untersuchen. Checklynx kann den Prüfprozess und seine Nachweise unterstützen; eine unabhängige Programm- oder Modellvalidierung gehört nicht zum Leistungsumfang. Die Produktauswahl ist eine Kontrollentscheidung innerhalb des umfassenderen Rahmens, keine Compliance-Schlussfolgerung.

Praktische Checkliste für Sanktionsprüfungen

Diese Checkliste unterstützt die Gestaltung der Kontrolle, ersetzt aber keine rechtliche Prüfung.

Häufig gestellte Fragen

Was ist eine Sanktionsprüfung?

Eine Sanktionsprüfung vergleicht relevante Daten zu einer Partei oder einem Objekt mit Sanktionsinformationen, um mögliche Risiken zur Untersuchung zu erkennen. Sie kann Personen, Unternehmen, Schiffe, Luftfahrzeuge und andere in amtlichen Quellen dargestellte Daten erfassen. Sie ist nicht selbst das rechtliche Verbot und erkennt nicht jede sektorale, geografische, dienstleistungs-, eigentums- oder umgehungsbezogene Beschränkung.

Ist die Sanktionsprüfung für jedes Unternehmen gesetzlich vorgeschrieben?

Darauf gibt es keine allgemeingültige Ja-oder-Nein-Antwort. Materielle Sanktionsverbote können innerhalb einer Rechtsordnung weitreichend gelten. Ausdrückliche Vorgaben zu Prüfsystemen, Meldungen und Aufsicht unterscheiden sich jedoch nach Rechtsordnung, Sektor und Tätigkeit. Britische Finanzsanktionen gelten beispielsweise für Personen im UK-Hoheitsgebiet und für britische Personen unabhängig von ihrem Tätigkeitsort. Bestimmte OFSI-Meldepflichten gelten dagegen nur unter festgelegten Voraussetzungen für definierte „relevant firms“.¹⁰ Bestimmen Sie den rechtlichen Anwendungsbereich des eigenen Unternehmens, statt Liste oder Prüffrequenz eines anderen Unternehmens zu übernehmen.

Welche Sanktionslisten sollte ein Unternehmen prüfen?

Ausgangspunkt sind die Regime, die für Rechtsträger, Standorte, Produkte und Tätigkeiten des Unternehmens rechtlich relevant sind. Zusätzliche Quellen aufgrund von Risiko, internen Vorgaben oder vertraglichen Verpflichtungen sind gesondert zu dokumentieren. Nicht jedes Unternehmen weltweit ist gesetzlich verpflichtet, UN-, EU-, UK- und sämtliche OFAC-Listen zu prüfen. OFAC selbst stellt SDN- und mehrere Nicht-SDN-Datensätze bereit; Programmbeschränkungen lassen sich nicht immer auf eine Listenaufnahme reduzieren.²

Wer sollte in die Sanktionsprüfung einbezogen werden?

Abhängig vom anwendbaren Regime und Geschäftsmodell kann die relevante Prüfgruppe Kunden, Organisationen, autorisierte Nutzer, Gegenparteien, Zahlungsempfänger, Lieferanten, Eigentümer oder kontrollierende Personen, Intermediäre, Schiffe und Luftfahrzeuge umfassen. Zu erfassen ist, wie jede Partei in die Beziehung eintritt und welche Entscheidung die Kontrolle unterstützt. Das ist eine Frage von Anwendungsbereich und Risiko, kein universeller Befehl, jede denkbare Partei identisch zu prüfen.

Wie häufig sollten Kunden erneut geprüft werden?

Es gibt keinen universellen globalen Turnus. Anwendbare Rechtsvorgaben sind mit Prüfanlässen wie amtlichen Listenänderungen, korrigierten Identifikatoren, Eigentumsänderungen und neuen Beziehungen sowie mit einer dokumentierten regelmäßigen Auffangprüfung zu verbinden. EU-Artikel 5d ist ein bewusst eng begrenztes Gegenbeispiel: Für Zahlungsdienstnutzer von Zahlungsdienstleistern, die erfasste Echtzeitüberweisungen anbieten, verlangt er eine Prüfung unmittelbar nach bestimmten Änderungen und mindestens täglich.¹⁵ Dieser Turnus darf nicht über seinen Anwendungsbereich hinaus verallgemeinert werden.

Muss ein Unternehmen auf einer Sanktionsliste stehen, um beschränkt zu sein?

Nein. Ein nicht gelistetes Unternehmen kann über Eigentum oder Kontrolle betroffen sein; die Maßstäbe unterscheiden sich jedoch. Die automatische OFAC-Regel greift bei einer unmittelbaren oder mittelbaren Gesamtbeteiligung blockierter Personen von mindestens 50 %.¹⁷ Die britischen Leitlinien verwenden getrennte Eigentums- und Kontrollkriterien.¹⁰ In der EU beginnt die Prüfung mit der anwendbaren Verordnung. Ausdrücklich unverbindliche bewährte Verfahren des Rates können als Auslegungs- und Umsetzungsmaterial herangezogen werden.¹⁶⁸

Wie wird ein möglicher falsch positiver Treffer untersucht?

Der vollständige amtliche Eintrag ist mit verlässlichen Identifikatoren des Subjekts zu vergleichen. Zu prüfen sind Subjekttyp, Aliasnamen, Geburtsdatum und -ort, Staatsangehörigkeit, Anschrift, Dokument- oder Steuerkennungen, Registerdaten und weitere relevante Merkmale. Reichen die verfügbaren Daten nicht zur Klärung aus, sind zusätzliche Informationen einzuholen. OFAC veröffentlicht diesen Vergleichsansatz sowie gesonderte Leitlinien zu schwachen Aliasnamen.¹⁸¹⁹ Zu dokumentieren ist, warum widersprüchliche Identifikatoren zur Ausräumung ausreichen oder nicht.

Bedeutet ein Trefferhinweis, dass eine Transaktion eingefroren werden muss?

Nein. Ein Trefferhinweis ist ein möglicher Treffer. Vor der autorisierten Maßnahme sind Identität, Eigentum oder Kontrolle, rechtlicher Anknüpfungspunkt, Programm und Beschränkung zu klären. Nach US-Recht unterscheidet OFAC je nach Programm und blockierbarem Interesse zwischen Blockierung und Zurückweisung.²⁰ Britische Einfrierungspflichten gelten, wenn die einschlägigen Kriterien erfüllt sind.¹⁰ Andere Rechtsordnungen haben eigene Rechtsstrukturen, Ausnahmen, Genehmigungen und Meldewege.

Welche Nachweise sind für eine Prüfentscheidung aufzubewahren?

Aufzubewahren ist genug, um die Entscheidung nachzuvollziehen: geprüfte Daten, Subjekt- und Beziehungskennungen, Behörde und Quellenversion, übereinstimmende Felder, widersprechende Merkmale, Eigentums- oder Kontrollnachweise, Tätigkeitskontext, Begründung des Analysten, Eskalation, Freigabe, Zeitstempel, endgültige Entscheidung sowie spätere Qualitätssicherung oder Überprüfung. Der konkrete Datensatz hängt vom Fall und Aufbewahrungsrahmen ab. Ein bloßer Status „ausgeräumt“ oder „Treffer“ ist keine angemessene Untersuchungshistorie.

Kann die Sanktionsprüfung ausgelagert werden?

Daten, Technologie und Prüfaufgaben können extern unterstützt werden. Das Unternehmen muss seine Kontrolle dennoch selbst steuern. Zu dokumentieren sind Umfang des Anbieters, Quellen, Datenfluss, Konfiguration, Aktualisierungsbehandlung, Dienstausfälle, Zuständigkeit für Trefferhinweise, Tests und Wiederherstellung. FCA-Material warnt ausdrücklich vor übermäßiger Abhängigkeit von Anbietern oder Konzernressourcen ohne ausreichendes internes Verständnis und Aufsicht.²¹⁴

Wie häufig sollte eine Sanktionsprüfkontrolle getestet werden?

Es gibt keine allgemeingültige Testfrequenz. Neben einem genehmigten regelmäßigen Plan sind erneute Tests nach wesentlichen Änderungen an Quellen, Prüfgruppen, Daten, Konfiguration, Software oder Prozessen sowie nach Vorfällen, nicht erkannten erwarteten Treffern oder wesentlichen Feststellungen aus der Qualitätssicherung vorzusehen. Der Umfang sollte sich nach der Änderung und der betroffenen Prüfgruppe richten.

Validiert ein erfolgreicher Proof of Concept des Anbieters die produktive Sanktionsprüfung?

Nein. Ein Proof of Concept unterstützt die Beschaffung anhand festgelegter Testfälle. Im Produktivbetrieb müssen zusätzlich die reale Datenzuordnung, Quellenaktualisierungen, Auswahl der Prüfgruppen, Weiterleitung an Warteschlangen, Fehler, Entscheidungen der zuständigen Bearbeiter, Nachweise und Wiederherstellung getestet werden. Kalibrierung, Qualitätssicherung, interne Revision und eine etwaige formale Modellvalidierung sind getrennte Prüfaktivitäten mit unterschiedlichen Zwecken.

Schlussbetrachtung

Ein solider Prozess beginnt mit dem rechtlichen Anwendungsbereich und endet mit Nachweisen, die ein zuständiges Team erklären kann. Regime, Parteien und Daten sind zu erfassen; bei verändertem Risiko ist neu zu bewerten; Identitäts-, Eigentums- und Rechtsanalyse sind zu trennen; der rechtsordnungsspezifische Entscheidungsweg ist anzuwenden; und die gesamte Kette ist zu testen. Im Themenbereich zur Sanktionsprüfung finden sich weitere Ressourcen zu Behörden, Prozessen und Branchen.