Sanktionsprüfung von Lieferanten und Dritten: Ein Praxisleitfaden für Compliance

Ein Lieferant kann im Einkauf unauffällig wirken und dennoch eine Sanktionsfrage aufwerfen – etwa durch seine Eigentümer, den Zahlungsempfänger, einen Vertriebspartner, Agenten, seine Bank oder die Länder, in denen er tätig ist. Die dafür relevanten Informationen liegen häufig verteilt in Einkauf, Finanzen, Recht, Logistik und Compliance. Eine einmalige Suche nach dem Unternehmensnamen kann diese Zusammenhänge nicht erfassen.

In der Praxis geht es darum festzulegen, welche Beziehungen in den Prüfungsumfang fallen, welche Informationen erforderlich sind, wann eine Neubewertung erfolgt, wer einen möglichen Treffer untersucht und wie die Entscheidung belegt wird. Es gibt keine allgemeingültige Regel, nach der jedes Unternehmen jeden Lieferanten auf dieselbe Weise prüfen muss. Die Ausgestaltung hängt von den anwendbaren Sanktionsregimen, dem rechtlichen Anknüpfungspunkt, der Geschäftstätigkeit, den Ländern und dem Risiko ab.

Dieser Praxisleitfaden ist keine Rechtsberatung. Informationen zur Auswahl von Listen, zum rechtlichen Anwendungsbereich und zu den Grundlagen der Trefferbearbeitung finden Sie im Praxisleitfaden zur Sanktionsprüfung.

Die Sanktionsprüfung von Lieferanten beginnt mit der Geschäftsbeziehung, nicht mit der Liste

„Dritte“ ist hier eine operative Kategorie. Sie kann Lieferanten, Händler, Vertriebspartner, Agenten, Intermediäre, Geschäftspartner, Begünstigte, Zahlungsempfänger oder andere mit einer Beziehung oder Transaktion verbundene Parteien umfassen. Die relevante Population ist nicht zwingend für jedes Produkt, jede juristische Person oder jede Rechtsordnung gleich.

Das Compliance-Rahmenwerk der OFAC nennt Kunden, Geschäftspartner, Produkte, Dienstleistungen und geografische Standorte als Faktoren einer organisationsspezifischen Sanktionsrisikobewertung. In ihren Leitlinien zur Umgehung von Russland-Sanktionen behandelt die Europäische Kommission direkte Beteiligte wie Kunden, Vertriebspartner und Agenten sowie indirekte Beteiligte wie Endnutzer, Intermediäre und Banken. Dieses Dokument der Kommission enthält programmspezifische Hinweise und ist kein allgemeines Gesetz zur Lieferantenprüfung. Es zeigt jedoch, warum der Vertragspartner nur eine von mehreren relevanten Parteien sein kann.

Erstellen Sie eine Übersicht der Drittparteienpopulation, bevor Sie einen Prüfungsablauf festlegen. Der Einkauf verfügt möglicherweise über den rechtlichen Namen und den Vertrag. Die Finanzabteilung kennt den Kontoinhaber oder Zahlungsempfänger. Der Logistik liegen Informationen zu Vertriebspartnern, Frachtführern oder Endnutzern vor. Die Rechtsabteilung verwahrt Gesellschaftsunterlagen. Compliance verantwortet möglicherweise die Matrix anwendbarer Programme und frühere Trefferentscheidungen.

Dokumentieren Sie für jede Art von Geschäftsbeziehung:

• wie die Partei in die Geschäftsprozesse gelangt;
• welche juristische Person die Beziehung verantwortet;
• welche Länder, Produkte, Dienstleistungen und Zahlungsströme betroffen sind;
• welche Identifikatoren und Eigentumsinformationen verfügbar sind;
• welche Entscheidung noch ausgesetzt werden kann; und
• wer Untersuchung und Eskalation verantwortet.

So richtet sich die Kontrolle nach der tatsächlichen Exposition. Die Auswahl mehrerer bekannter Listen beweist nicht, dass jede Transaktion zulässig ist: Sanktionen können Dienstleistungs-, Handels-, Investitions- und sektorale Beschränkungen umfassen, die sich nicht auf einen Namenslisten-Treffer reduzieren lassen. Im Mai 2026 veröffentlichte Feststellungen der FCA warnten vor Richtlinien, die sich zu eng auf das Einfrieren von Vermögenswerten konzentrieren.

Klären Sie, wer der Lieferant ist und wer hinter ihm steht

Lieferanteninformationen fließen schichtweise in die Kontrolle ein. Unternehmensdaten zeigen, mit wem die Organisation eine Geschäftsbeziehung eingehen will. Eigentumsunterlagen zeigen, wer das Unternehmen möglicherweise besitzt oder kontrolliert. Die Sanktionsprüfung identifiziert einen möglichen Treffer. Weitere AML-Prüfungen können gesonderten Kontext zu politisch exponierten Personen oder negativen Medienberichten liefern. Anschließend bewertet ein Analyst das Ergebnis nach den internen Richtlinien und dem anwendbaren Recht, bevor eine autorisierte operative Entscheidung getroffen wird. Die Trennung dieser Ebenen verhindert, dass ein Datenbankeintrag oder ein Match-Score mit einer rechtlichen Feststellung verwechselt wird.

Unternehmensverifizierung und Sanktionsprüfung lösen daher unterschiedliche Aufgaben. Informationen über wirtschaftlich Berechtigte helfen dabei, die Personen hinter einer juristischen Person zu bestimmen. Sie sind eine Grundlage der Sanktionsanalyse, nicht deren Ergebnis. FATF-Empfehlung 24 behandelt die Transparenz wirtschaftlich Berechtigter getrennt von gezielten Finanzsanktionen nach den Empfehlungen 6 und 7.

Auch die Folgen von Eigentum unterscheiden sich je nach Sanktionsregime. Nach der US-amerikanischen 50-Prozent-Regel der OFAC gilt ein Unternehmen, das direkt oder indirekt zu insgesamt mindestens 50 Prozent im Eigentum einer oder mehrerer gesperrter Personen steht, als gesperrt, selbst wenn es nicht gesondert gelistet ist. Die britischen Leitlinien wenden ihren jeweiligen Eigentums- und Kontrollrahmen an und weisen darauf hin, dass es keine offizielle Liste gibt, die jede nicht gelistete Gesellschaft ausweist, die möglicherweise einer benannten Person gehört oder von ihr kontrolliert wird. Eine EU-Analyse muss dem einschlägigen Rechtsakt und den aktuellen programmspezifischen Leitlinien folgen. Die Leitlinien der Kommission zur Umgehung von Russland-Sanktionen fordern Unternehmen auf, wirtschaftlich Berechtigte, weitere Beteiligte und Eigentumsänderungen nach Verhängung der Sanktionen zu berücksichtigen. Daraus darf jedoch keine allgemeingültige EU-Eigentumsformel abgeleitet werden.

Der sichere operative Grundsatz lautet: Beschaffen Sie ausreichend Kontext zu Eigentum und Kontrolle, um das relevante Regime anzuwenden, und eskalieren Sie verbleibende Unsicherheit. Ein unauffälliger Lieferantenname löst keine Eigentumsfrage. Ebenso führt nicht jeder sanktionierte wirtschaftlich Berechtigte in jeder Rechtsordnung zum selben rechtlichen Ergebnis.

Checklynx kann Eigentümer, kontrollierende Personen, Geschäftsführer, Zeichnungsberechtigte und andere Beziehungen erfassen und diesen Kontext zu wirtschaftlich Berechtigten und verbundenen Parteien mit Prüfung und Review verknüpfen. Die zugrunde liegenden Daten müssen weiterhin aus einer geeigneten Quelle stammen; dieser Ablauf impliziert weder eine automatische Registerermittlung noch eine Identitätsprüfung.

Legen Sie fest, wer und was in die Prüfungsrichtlinie fällt

Die Lieferantengesellschaft ist der naheliegende Ausgangspunkt. Je nach Sachverhalt und relevantem Sanktionsregime kann die Richtlinie jedoch auch Eigentümer, kontrollierende Personen, Vertreter, Vertriebspartner, Agenten, Endnutzer, Zahlungsempfänger, Intermediäre oder verbundene Unternehmen in den Prüfungsumfang aufnehmen.

Vermeiden Sie es, daraus pauschal „jeden Geschäftsführer und Anteilseigner prüfen“ abzuleiten. Dokumentieren Sie für jede Beziehung, warum eine Partei relevant ist, welche Identifikatoren und Belege zur Beziehung vorliegen und wann eine spezialisierte Eigentums- und Kontrollanalyse erforderlich ist. Der Zahlungsempfänger kann vom vertraglichen Lieferanten abweichen; ein Agent oder Vertriebspartner kann ein neues Land oder einen neuen Endnutzer einbringen; ein verbundenes Unternehmen kann nur unter bestimmten Umständen relevant sein.

Die Organisation sollte außerdem zwischen rechtlich anwendbaren Listen und Beschränkungen sowie zusätzlichen Quellen unterscheiden, die sie aufgrund ihrer Risikobereitschaft, vertraglicher Pflichten oder interner Richtlinien einbezieht. Im Vereinigten Königreich ist die UK Sanctions List seit dem 28. Januar 2026 die einzige Quelle der britischen Regierung für britische Sanktionsbenennungen; die frühere OFSI Consolidated List wird nicht mehr aktualisiert. Auch die aktuelle Liste ist gemeinsam mit den anwendbaren Rechtsvorschriften und Leitlinien zu verwenden.

Die PEP-Prüfung steht damit in Verbindung, ist aber eine eigenständige Kontrolle. Der PEP-Status ist ein Risikofaktor und keine Sanktionsbenennung. Ausführliche Fragen gehören in den Leitfaden zur PEP-Prüfung, statt beide Kontrollen zu vermischen.

Verankern Sie die Prüfung an den richtigen Ereignissen im Lieferantenlebenszyklus

Der richtige Auslöser liegt dort, wo sich die Exposition verändert und eine sinnvolle Entscheidung noch möglich ist. Ereignisbasierte Kontrollen können mit turnusmäßigen Überprüfungen kombiniert werden, ohne einen allgemeingültigen festen Rhythmus zu erfinden.

Vor Freigabe oder Verpflichtung

Fällt ein Lieferant nach der Richtlinie in den Prüfungsumfang, können Unsicherheiten durch eine Bewertung vor Freigabe, Vertragsaktivierung, Bestellverpflichtung oder der ersten relevanten Zahlung geklärt werden, bevor die Beziehung fortschreitet. Dies ist eine praktische Empfehlung und keine allgemeingültige gesetzliche Onboarding-Regel.

Wie die Lieferantenprüfung mit einem breiteren Kunden- oder Unternehmensprozess verbunden werden kann, zeigt der KYB/KYC-Onboarding-Workflow.

Bei einem wesentlichen Zahlungsereignis

Ein neuer Begünstigter, eine neue Bank, ein neuer Intermediär oder ein neues Land kann eine Exposition schaffen, die bei der ursprünglichen Lieferantenprüfung nicht berücksichtigt wurde. Legen Sie fest, welche Informationen vor der Zahlung verfügbar sind und wer einen wesentlichen Treffer verantwortet. Die detaillierte Umsetzung behandelt der Leitfaden zur Sanktionsprüfung für Zahlungsinstitute.

Wenn sich Sanktionen oder relevante Tatsachen ändern

Offizielle Benennungen und programmspezifische Beschränkungen richten sich nicht nach dem Einkaufskalender. Das PURE-Enforcement-Material der OFAC veranschaulicht reaktionsfähige Prüfungen, Eigentumsinformationen und Neubewertungen nach Sanktionsänderungen. Auslöser können außerdem ein neuer rechtlicher Name, ein anderes Land, ein neuer Eigentümer, Agent, Vertriebspartner oder Endnutzer, eine neue Bankverbindung oder eine wesentliche Korrektur sein.

Eigentums- und Kontrollverhältnisse sind nicht zwingend statisch. Die Enforcement-Leitlinien der OFSI nennen Sorgfaltsprüfung und Nachweise zu Eigentum und Kontrolle als relevante Erwägungen und erkennen an, dass sich Umstände ändern können. Eine turnusmäßige Überprüfung kann als Sicherung in der Richtlinie dienen, sollte aber nicht als einzige Reaktion auf wesentliche Ereignisse dargestellt werden.

Der Lieferanten-Kontrollablauf auf einen Blick

Der Ablauf kann Systeme in Einkauf, Finanzwesen, Compliance und Rechtsabteilung umfassen. Prüfer sollten den Kontext sehen können, jeder Treffer sollte eine verantwortliche Person haben und das freigegebene Ergebnis mitsamt Nachweisen sollte rekonstruierbar bleiben.

Behandeln Sie einen möglichen Treffer als Untersuchung, nicht als Urteil

Prüfsoftware kann einen ähnlichen Namen melden, obwohl andere Identifikatoren nicht übereinstimmen. OFAC FAQ 48 beschreibt eine anfängliche Analyse eines möglichen Treffers und weist darauf hin, dass menschliches Eingreifen und zusätzliche Recherchen erforderlich sein können. Diese operative Unterscheidung ist auch außerhalb des US-Kontexts hilfreich, wenngleich die abschließende rechtliche Bewertung weiterhin vom jeweiligen Sanktionsregime abhängt.

Eine verhältnismäßige Untersuchung sollte folgende Fragen beantworten:

1. Welche Partei hat den Treffer ausgelöst? Bestimmen Sie, ob es sich um den Lieferanten, Eigentümer, Agenten, Begünstigten oder eine andere verbundene Partei handelt.
2. Stimmen die Identifikatoren überein? Vergleichen Sie Namen, Aliasse, Land, Adresse, Register- oder Geburtsdaten und weitere Merkmale.
3. Sind Eigentum oder Kontrolle relevant? Wenden Sie das passende Regime an, statt von einem allgemeingültigen Schwellenwert auszugehen.
4. Welches Programm und welcher Anknüpfungspunkt gelten? Berücksichtigen Sie Organisation, Beziehung, Waren, Dienstleistungen und Transaktion.
5. Welche Unsicherheiten bestehen weiter? Eskalieren Sie ungeklärte Fragen zu Identität, Eigentum, Genehmigungen oder Meldepflichten.
6. Warum wurde dieses Ergebnis erreicht? Dokumentieren Sie Begründung und autorisierten Prüfer.

Checklynx kann Fallmanagement und Analystenprüfung unterstützen, indem Prüfungskontext, Nachweise, Notizen, Eskalation und Entscheidungshistorie zusammengeführt werden. Der Prüfer bleibt dafür verantwortlich, das Ergebnis zu bewerten und das genehmigte Verfahren der Organisation einzuhalten.

Entscheiden Sie nach dem anwendbaren Sanktionsregime

Machen Sie „Lieferanten ablehnen“ oder „Zahlung einfrieren“ nicht zur automatischen Reaktion auf jeden Treffer. Stellen Sie zunächst fest, ob der Treffer echt ist. Berücksichtigen Sie anschließend Rechtsordnung, Programm, Eigentums- und Kontrollverhältnisse, Rolle der Partei, Transaktionsdaten und etwaige Ausnahmen, Genehmigungen oder Meldepflichten.

Die OFAC unterscheidet zwischen US-Transaktionen mit sperrbaren Interessen und Transaktionen, die aufgrund bestimmter Beschränkungen stattdessen zurückgewiesen werden müssen. Diese Begriffe sind kein allgemeingültiges Modell. Britische und EU-Maßnahmen haben eigene Rechtswirkungen, Ausnahmen, Genehmigungs- und Meldeverfahren. Die OFSI verweist ausdrücklich auf aktuelle Rechtsvorschriften und programmspezifische Leitlinien, statt ihre allgemeinen Hinweise als Rechtsberatung für Einzelfälle verstanden wissen zu wollen.

Die Richtlinie sollte definieren, wer eine Geschäftsbeziehung aussetzen, einen Fehlalarm schließen, weitere Tätigkeiten genehmigen, zusätzliche Informationen anfordern oder an spezialisierte Sanktions- oder Rechtsberater eskalieren darf. Jede konkrete Anweisung, zu sperren, zurückzuweisen, einzufrieren, zu melden, zu kündigen oder aufgrund einer Ausnahme fortzufahren, erfordert eine aktuelle rechtsordnungs- und programmspezifische Analyse.

Halten Sie Entscheidung und Nachweise überprüfbar

Eine aussagekräftige Dokumentation zeigt, was die Organisation wusste, was sie geprüft hat und warum sie gehandelt hat. Gesetzliche Aufbewahrungspflichten unterscheiden sich. Eine praktische Fallakte sollte jedoch Folgendes festhalten:

• Drittpartei, Geschäftsbeziehung und verwendete Identifikatoren;
• relevante Eigentums- und Kontrollinformationen mit Quelldatum;
• Richtlinie, Rechtsordnung, Quellen- oder Listenversion und Prüfzeitpunkt;
• Trefferangaben, verglichene Merkmale und Begründung des Analysten;
• Eigentums- und Kontrollanalyse sowie fachliche Eskalation; und
• autorisiertes Ergebnis, Zeitstempel und spätere Neubewertungen.

Governance geht über den Einzelfall hinaus. Das Rahmenwerk der OFAC umfasst Engagement der Geschäftsleitung, Risikobewertung, interne Kontrollen, Tests und Audits sowie Schulungen. Das Material der FCA betont Populationsumfang, Listenaktualisierungen, Kalibrierung, Tests, Ressourcen und Aufsicht über ausgelagerte Prüfungen.

Auch bei einer Auslagerung sollte die Organisation Quellen, Daten, Konfiguration, Trefferverantwortung, Aktualisierungen, Ausfälle und Wiederherstellung verstehen. Testen Sie repräsentative Lieferanten, Datensätze mit wenigen Informationen, Änderungen an Eigentum und Listen sowie Ausfälle in der Bearbeitungswarteschlange.

Gestalten Sie die Sanktionskontrolle von Lieferanten reaktionsfähig

Ein Onboarding-Ergebnis veraltet, sobald sich die zugrunde liegenden Tatsachen ändern. Die Lösung besteht nicht darin, für jeden Lieferanten dasselbe Kalenderintervall vorzuschreiben. Kombinieren Sie ereignisgesteuerte Neubewertungen mit turnusmäßigen Überprüfungen, wo Richtlinie und Risiko dies rechtfertigen.

Mögliche Auslöser sind:

• eine relevante Sanktionsbenennung oder Programmänderung;
• ein neuer oder geänderter Eigentümer, eine kontrollierende Person oder Muttergesellschaft;
• eine Änderung von rechtlichem Namen, Adresse, Land oder Registerdaten;
• ein neuer Agent, Vertriebspartner, Begünstigter, eine neue Bank oder ein neuer Intermediär;
• eine wesentliche Änderung von Waren, Dienstleistungen, Route oder Endverwendung;
• Informationen, die frühere Nachweise infrage stellen; oder
• eine richtlinienbasierte Überprüfung für die Risikostufe des Lieferanten.

Jeder Auslöser benötigt eine definierte Population, einen Verantwortlichen und einen Abschlussnachweis. Das laufende AML-Monitoring kann konfigurierte Datensätze von Drittparteien und verbundenen Parteien erneut zur Prüfung vorlegen, wenn sich unterstützte Risikoinformationen oder der Kontext ändern; Richtlinie und Rhythmus bleiben die Entscheidung des Kunden.

Checkliste zur Umsetzung der Sanktionsprüfung von Lieferanten

Checklynx kann Sanktionsprüfung, kontrollierte Reviews und laufendes Monitoring anhand der bereits in Ihrer Organisation vorhandenen Drittpartei- und Eigentumsdaten unterstützen. Teams können mit Portal- oder CSV-Workflows beginnen und wiederkehrende Ereignisse über die Echtzeit-Prüf-API anbinden. Erfahren Sie mehr über die Software von Checklynx zur Sanktionsprüfung und den zugehörigen Produktworkflow.