So erstellen Sie eine Richtlinie zur Sanktionsprüfung von Drittparteien

Eine Richtlinie zur Sanktionsprüfung von Drittparteien sollte mehr regeln als den Grundsatz, dass Lieferanten geprüft werden. Sie sollte festlegen, welche Geschäftsbeziehungen in den Prüfumfang fallen, warum sie relevant sind, welche Informationen die Kontrolle benötigt, wann eine Prüfung oder Neubewertung erfolgt, wer untersuchen und entscheiden darf und welche Nachweise nach der Entscheidung erhalten bleiben müssen.

Diese Fragen betreffen Einkauf, Compliance, Recht, Finanzen, operative Bereiche und Technologie zugleich. Eine kurze Grundsatzerklärung kann weder jeden operativen Schritt noch jede rechtsordnungsspezifische Prüfung enthalten. Doch auch ein ausführliches technisches Verfahren greift zu kurz, wenn niemand seinen Umfang oder die Entscheidungsbefugnisse genehmigt hat.

Die Lösung ist eine Richtlinienarchitektur, die vier Bereiche miteinander verbindet, ohne sie zu vermischen: Richtlinie, Verfahren, rechtliche Bewertung und Technologie. Dieser Leitfaden zeigt, wie Sie eine solche Architektur für Lieferanten, Anbieter, Agenten, Vertriebspartner, Intermediäre, Begünstigte und andere relevante Geschäftspartner aufbauen.

Beginnen Sie mit der Unterscheidung der vier Ebenen

Viele Probleme bei Sanktionskontrollen entstehen, wenn eine Ebene die Aufgabe einer anderen übernehmen soll. Eine Vorgabe im Lieferantenmanagement lautet beispielsweise „alle Lieferanten prüfen“, doch kein Verfahren benennt den Quelldatensatz oder den Freigabepunkt. Eine Matching-Konfiguration wird als rechtlicher Maßstab behandelt. Ein Analyst schließt einen Namenstreffer, ohne Eigentums- oder Transaktionskontext zu berücksichtigen. Oder ein Softwareergebnis wird als Erlaubnis verstanden, die Geschäftsbeziehung fortzusetzen.

Unterscheiden Sie diese vier Ebenen ausdrücklich:

Die Richtlinie sollte vorgeben, wie diese Ebenen Arbeit aneinander übergeben. Sie sollte sie nicht zu einem einzigen Ergebnis wie „bestanden/nicht bestanden“ zusammenfassen.

Definieren Sie Zweck und Geltungsgrundlage der Richtlinie

Beginnen Sie mit einer Zweckbestimmung, die konkret genug ist, um Entscheidungen zu steuern. Zum Beispiel: Die Richtlinie schafft eine risikobasierte Kontrolle, mit der potenzielle Sanktionsrisiken im Zusammenhang mit relevanten Drittparteien und verbundenen Parteien vor und während einer Geschäftsbeziehung erkannt und gesteuert werden sollen.

Der Abschnitt zur Geltungsgrundlage sollte benennen, welche juristischen Personen, Geschäftsbereiche und Tätigkeiten erfasst sind, welche Funktion die Richtlinie verantwortet, wer sie genehmigt und welche Standards und Verfahren ihr nachgeordnet sind. Außerdem sollte er klarstellen, dass anwendbare Sanktionspflichten aus der einschlägigen Rechtsordnung, dem jeweiligen Programm und Rechtsinstrument entstehen – nicht aus der Richtlinie oder den Vorgaben eines Screening-Anbieters.

Das Rahmenwerk der OFAC zur Sanktions-Compliance beschreibt ein organisationsspezifisches, risikobasiertes Programm, das auf dem Engagement der Geschäftsleitung, Risikobewertung, internen Kontrollen, Tests und Audits sowie Schulungen beruht. Die britischen Sanktionsleitlinien für nicht britische Unternehmen stellen ebenfalls fest, dass es für das Management von Sanktionsrisiken keinen Einheitsansatz gibt. Diese Quellen stützen eine gesteuerte, verhältnismäßige Kontrolle, schaffen aber keine weltweit einheitliche Richtlinie für alle Organisationen.

Die Zweckbestimmung sollte daher Aussagen wie „die Richtlinie gewährleistet die Einhaltung aller weltweiten Sanktionen“ vermeiden. Belastbarer ist das Ziel, verantwortliche Kontrollen zu etablieren, mit denen die Organisation relevante Sanktionsfragen innerhalb ihres anwendbaren Rahmens erkennen, untersuchen, eskalieren und belegen kann.

Erfassen Sie die Drittparteienpopulation, bevor Sie den Umfang festlegen

„Drittpartei“ ist kein rechtlicher Status, sondern eine operative Kategorie. Dazu können direkte Lieferanten, Unterauftragnehmer, Agenten, Vertriebspartner, Wiederverkäufer, Intermediäre, Joint-Venture-Partner, Berater, Begünstigte, Zahlungsempfänger, Banken, Frachtunternehmen, Empfänger, Endnutzer oder andere Geschäftspartner gehören.

Die Richtlinie sollte sie nicht allein deshalb identischen Prüfungen unterwerfen, weil sie außerhalb der Organisation stehen. Stattdessen sollte sie eine Übersicht der Population verlangen, aus der hervorgeht:

• wie die jeweilige Geschäftsbeziehung in das Unternehmen gelangt;
• welche Konzerngesellschaft, welches Produkt oder welche Tätigkeit sie verantwortet;
• welche Waren, Dienstleistungen, Wertströme und Länder relevant sind;
• welche Vertrags-, Zahlungs- und Lieferparteien beteiligt sind;
• welche Identitäts- und Beziehungsinformationen vorliegen;
• ob Eigentum oder Kontrolle die Bewertung verändern können; und
• an welcher Stelle eine Freigabe, Zahlung oder andere Handlung zur Prüfung ausgesetzt werden kann.

Die OFAC nennt Kunden, Geschäftspartner, Produkte, Dienstleistungen und geografische Standorte als relevante Faktoren der Risikobewertung. Die Leitlinien der Europäischen Kommission zur verstärkten Sorgfaltsprüfung gegen die Umgehung von Russland-Sanktionen behandeln direkte und indirekte Beteiligte wie Kunden, Vertriebspartner, Agenten, Intermediäre, Banken und Endnutzer. Diese Hinweise sind programm- und risikospezifisch. Sie helfen dabei, Expositionen abzubilden, schreiben aber nicht für jede Geschäftsbeziehung denselben Parteienumfang vor.

Der Leitfaden zur Sanktionsprüfung von Lieferanten und Drittparteien erläutert dieses Populationsmodell ausführlicher. Die Richtlinie sollte die genehmigte Regel festhalten; eine Umfangsvorgabe oder ein Verfahren kann die vollständige Matrix aus Parteien und Szenarien pflegen.

Legen Sie fest, welche Daten die Kontrolle benötigt

Eine Richtlinie sollte Mindestanforderungen an Daten definieren, ohne zu einer feldgenauen Integrationsspezifikation zu werden. Verlangen Sie ausreichend verlässliche Informationen, um die Drittpartei zu identifizieren, ihre Rolle zu verstehen und einen möglichen Treffer zu untersuchen.

Je nach Geschäftsbeziehung können dazu der rechtliche Name, Aliasse oder Handelsnamen, die Rechtsform, Registernummer, das Gründungsland, der Tätigkeitsort, die Anschrift, eine interne Datensatz-ID, relevante Vertreter und die Identität des Zahlungsempfängers gehören. Soweit Eigentum oder Kontrolle wesentlich sind, benötigt der Datensatz außerdem angemessen belegten und datierten Kontext zu Eigentums- und Leitungsstrukturen.

Trennen Sie Unternehmensverifizierung, die Ermittlung wirtschaftlich Berechtigter und Sanktionsprüfung voneinander. Die FATF-Leitlinien zu wirtschaftlich Berechtigten unterstützen das Verständnis darüber, welche natürlichen Personen eine juristische Person letztlich besitzen oder kontrollieren. Wirtschaftliches Eigentum im AML-Kontext ist jedoch nicht selbst der rechtliche Sanktionstest. Ein Registereintrag, ein Beteiligungsanteil oder eine Geschäftsführerfunktion legt die sanktionsrechtliche Folge nicht automatisch fest.

Die Richtlinie sollte vorgeben, dass ungeklärte fehlende oder widersprüchliche Informationen einem Ausnahme- oder Eskalationsweg folgen. Sie sollte nicht den Eindruck erwecken, Software ermittle Register, verborgene Eigentümer oder die abschließende Eigentümerkette. Für die rechtlichen Unterschiede zwischen den Ansätzen der OFAC, des Vereinigten Königreichs und der EU verknüpfen Sie die Kontrolle mit dem Leitfaden zu Eigentum und Kontrolle im Sanktionsrecht.

Bestimmen Sie den anwendbaren Sanktionsrahmen und Prüfumfang

Die Richtlinie sollte die Verantwortung dafür zuweisen, festzustellen, welche Sanktionsbehörden, Listen, Programme und Beschränkungen für jede erfasste juristische Person und Tätigkeit relevant sind. Diese Entscheidung kann von Rechtsordnung, Staatsangehörigkeit, Niederlassung, Währung, Transaktionsweg, Waren oder Dienstleistungen, vertraglichen Verpflichtungen und Risikobereitschaft abhängen.

Unterscheiden Sie zwischen:

• Quellen, die erforderlich sind, weil ein Sanktionsregime anwendbar ist;
• zusätzlichen Quellen, die aufgrund von Risikobereitschaft, Vertrag oder Geschäftspolitik einbezogen werden;
• Namenslistenprüfungen; und
• Beschränkungen, die eine gesonderte Analyse von Programmen, Sektoren, Handel, Dienstleistungen, Investitionen, Eigentum oder Transaktionen erfordern.

Eine breite Listenkonfiguration beweist nicht, dass eine Transaktion zulässig ist. Ein unauffälliges Namensergebnis klärt keine Beschränkungen, die nicht durch eine namentliche Benennung ausgedrückt werden. Umgekehrt beweist ein möglicher Namenstreffer nicht, dass die Drittpartei sanktioniert ist.

Die Richtlinie kann verlangen, dass die Quellenmatrix aktuell gehalten wird und einer Änderungskontrolle unterliegt. Das Verfahren sollte beschreiben, wie Quellenänderungen die betroffene Population erreichen, wie Fehler erkannt und wie unvollständige Prüfläufe nachgeholt werden.

Verankern Sie Kontrollen an relevanten Ereignissen im Lebenszyklus

Eine wirksame Richtlinie definiert Gruppen von Auslösern und überlässt die genauen Ausführungsregeln dem Verfahren. Mögliche Auslöser sind:

• die erstmalige Freigabe, das Onboarding oder die Aktivierung einer erfassten Drittpartei;
• ein relevanter Vertrag, Auftrag, eine Zahlung, Lieferung oder Auszahlung;
• ein neuer Begünstigter, eine neue Bank, ein neuer Intermediär, Agent, Vertriebspartner, Empfänger oder Endnutzer;
• eine Änderung von rechtlichem Namen, Identifikatoren, Standort, Eigentum, Kontrolle oder Unternehmensstruktur;
• eine Änderung von Waren, Dienstleistungen, Route, Zielort oder Tätigkeitsgebiet;
• eine Sanktionsbenennung, Streichung von einer Liste, Quellenaktualisierung oder Programmänderung; und
• eine turnusmäßige Absicherung nach Richtlinie, soweit Risiko und Datenverlässlichkeit dies rechtfertigen.

Legen Sie kein allgemeingültiges Intervall für erneute Prüfungen fest. Ereignisgesteuerte Neubewertungen und turnusmäßige Reviews erfüllen unterschiedliche Zwecke. Eine wesentliche Änderung kann vor der nächsten planmäßigen Prüfung Aufmerksamkeit erfordern; eine turnusmäßige Absicherung kann wiederum Änderungen aufdecken, die interne Systeme nicht erfasst haben.

Die Richtlinie sollte festlegen, welcher Auslöser eine Geschäftsbeziehung oder Transaktion in einen internen Prüfstatus versetzen kann, wer diesen Status verantwortet und wer ihn aufheben darf. Sie sollte eine interne Aussetzung nicht als rechtliche Vermögenssperre oder Blockierung bezeichnen. Der Leitfaden dazu, wann Lieferanten erneut auf Sanktionen geprüft werden sollten, bietet ein Auslösermodell, das sich an das jeweilige Verfahren anpassen lässt.

Trennen Sie den Prüfweg von der Kontrollgestaltung

Dieselbe Richtlinie kann über eine Portalprüfung, CSV-Stapelverarbeitung, ein per API angebundenes Geschäftsereignis oder konfiguriertes laufendes Monitoring umgesetzt werden. Der Bereitstellungsweg sollte sich nach Population, Auslöser, Datenqualität, Review-Verantwortung und Wiederherstellungsanforderungen richten.

Eine API kann beispielsweise ein Lieferantenfreigabeereignis mit einer Prüfung verbinden, eine CSV-Datei die Prüfung eines bestehenden Lieferantenstamms unterstützen und Monitoring konfigurierte, bereits genehmigte Datensätze zur Prüfung zurückführen, wenn sich relevante Informationen ändern, deren Überwachung unterstützt wird. Keine dieser Technologien legt fest, welche Partei geprüft werden muss oder welche rechtliche Reaktion erforderlich ist.

Das Verfahren sollte bestimmen, wie Ergebnisse dem Datensatz im Quellsystem zugeordnet werden, wie Duplikate und Teilläufe behandelt, technische Fehler eskaliert und vollständige Entscheidungsnachweise aufbewahrt werden. Der Vergleichsleitfaden zu API, Stapelverarbeitung und laufender Lieferantenprüfung hilft Kontrollverantwortlichen, ein Bereitstellungsmodell zu wählen, ohne das Format mit der Richtlinie zu verwechseln.

Schaffen Sie einen kontrollierten Standard für die Trefferuntersuchung

Die Richtlinie sollte festlegen, dass ein Screening-Treffer ein möglicher Treffer ist, der verhältnismäßig geprüft werden muss. Er ist keine sanktionsrechtliche Feststellung.

Ein Untersuchungsverfahren sollte vom Prüfer verlangen, Folgendes festzustellen:

1. welche Drittpartei oder verbundene Partei den Treffer ausgelöst hat;
2. welche genauen Daten geprüft wurden und welche Quelle den Kandidaten geliefert hat;
3. ob Namen, Aliasse, Standorte, Registerdaten und andere Identifikatoren übereinstimmen;
4. ob Eigentum, Kontrolle, die Rolle der Partei oder der Beziehungskontext relevant sind;
5. welche Rechtsordnung, welches Programm und welche Transaktionsdaten einer rechtlichen Bewertung bedürfen;
6. welche Informationen weiterhin fehlen oder widersprüchlich sind; und
7. warum der Treffer geschlossen, eskaliert oder auf andere Weise geklärt wurde.

Die OFAC-Leitlinien zur Bewertung von Namenstreffern unterscheiden einen möglichen von einem gültigen Treffer und erkennen an, dass weitere Recherchen oder menschliches Eingreifen erforderlich sein können. Diese Unterscheidung ist auch außerhalb der Vereinigten Staaten operativ nützlich; die rechtliche Schlussfolgerung bleibt jedoch vom jeweils anwendbaren Regime abhängig.

Die Richtlinie sollte Anforderungen an die Kompetenz der Prüfer, eine gegebenenfalls erforderliche Funktionstrennung oder Zweitprüfung, Eskalationskriterien und autorisierte Fallergebnisse definieren. Detaillierte Anforderungen an Nachweise gehören in den Leitfaden zur Dokumentation einer Untersuchung von Sanktionstreffern.

Behalten Sie rechtliche Entscheidungen der autorisierten Bewertung vor

Nachdem Identitäts- und Beziehungsdaten so weit wie möglich geklärt wurden, muss eine autorisierte Funktion bestimmen, ob eine rechtliche Beschränkung gilt und welche Folgen daraus entstehen. Diese Bewertung kann Rechtsordnung und Anknüpfungspunkt, das konkrete Programm, Eigentum oder Kontrolle, Waren und Dienstleistungen, die Transaktionsrolle, Genehmigungen, Ausnahmen, Meldepflichten sowie eine etwaige Pflicht zum Einfrieren, Blockieren, Zurückweisen oder Unterlassen eines Geschäfts umfassen.

Nehmen Sie keine allgemeingültige Reaktion wie „jeden Lieferanten mit einem Treffer ablehnen“ in das Prüfverfahren auf. Die Konzepte des Blockierens und Zurückweisens der OFAC beruhen auf US-Recht und konkreten Beschränkungen. Britische und EU-Maßnahmen haben eigene Rechtswirkungen, Genehmigungsrahmen und Meldepflichten. Selbst innerhalb einer Rechtsordnung können unterschiedliche Programme eine unterschiedliche Behandlung erfordern.

Die Richtlinie sollte stattdessen Entscheidungsbefugnisse festlegen. Sie kann festlegen, wer einen Treffer wegen fehlender Identitätsübereinstimmung ausräumen darf, wer die Fortsetzung der Geschäftstätigkeit im Rahmen der Richtlinie genehmigen darf, wer spezialisierte Sanktions- oder Rechtsberatung erteilen muss, wer eine Meldung autorisiert und wer Anweisungen an Einkauf, Finanzen oder operative Bereiche übermittelt.

Bleibt ein Sachverhalt unklar, sollte das Verfahren den Kontrollstatus beibehalten und die Angelegenheit an die autorisierte Fachfunktion weiterleiten. Technologie kann diese Übergabe unterstützen; sie sollte nicht als Instanz dargestellt werden, die die rechtliche Entscheidung trifft oder automatisch eine Meldung einreicht.

Verankern Sie Nachweise in der Richtlinie

Eine Drittparteienkontrolle ist schwer zu verteidigen, wenn die Organisation nur das jüngste Ergebnis vorlegen kann. Die Richtlinie sollte eine Dokumentation verlangen, anhand derer ein anderer autorisierter Prüfer den Vorgang rekonstruieren kann.

Das Nachweismodell sollte mindestens Folgendes miteinander verbinden:

• die Drittpartei, ihre Rolle und den Datensatz im Quellsystem;
• bereitgestellte Informationen zu Identität, Beziehung sowie Eigentum und Kontrolle;
• den Auslöser, die Richtlinienversion, den Prüfweg und den Zeitstempel;
• die relevanten Quellen-, Listen- oder Programminformationen;
• den Trefferkandidaten und die verglichenen Merkmale;
• Informationsanfragen, offene Fragen und fachliche Eskalationen;
• den Prüfer, die Begründung, das autorisierte Ergebnis und die Kommunikation; und
• spätere Änderungen, Neubewertungen, Übersteuerungen und Ergebnisse der Qualitätskontrolle.

Aufbewahrungsfristen und Meldeunterlagen müssen den anwendbaren gesetzlichen und sektoralen Anforderungen sowie der Aufbewahrungsrichtlinie der Organisation entsprechen. Übernehmen Sie nicht die Frist einer Rechtsordnung als weltweiten Standard.

Die Nachweise sollten auch technische Ausnahmen abdecken: abgelehnte CSV-Zeilen, API-Zeitüberschreitungen, fehlgeschlagene Monitoring-Ereignisse, doppelte Anfragen, Konfigurationsänderungen und Wiederherstellung. Eine erfolgreiche Prüfantwort für einen Datensatz beweist nicht, dass die gesamte vorgesehene Population verarbeitet wurde.

Steuern Sie laufendes Monitoring und Richtlinienänderungen

Konfiguriertes laufendes Monitoring kann genehmigte Datensätze zu Drittparteien und verbundenen Parteien im Prüfumfang halten und bei relevanten Änderungen, die von der Lösung unterstützt werden, oder bei möglichen Treffern eine erneute Prüfung auslösen. Die Richtlinie muss weiterhin definieren, welche Datensätze konfiguriert werden, welcher Kontext gepflegt wird, welche Änderungen Arbeitsaufträge erzeugen, wer die Warteschlange verantwortet und was bei einem Ausfall des Monitorings geschieht.

Die Richtlinie sollte außerdem eine Überprüfung nach wesentlichen organisatorischen oder regulatorischen Änderungen verlangen. Auslöser können neue Produkte oder Länder, Übernahmen, ein verändertes Drittparteienmodell, Testergebnisse, ein Sanktionsvorfall, Änderungen an Quellen oder Anbietern, Bearbeitungsrückstände oder Datenfehler sowie Änderungen der anwendbaren Maßnahmen sein.

Tests sollten die Kontrolle durchgängig untersuchen. Ziehen Sie Stichproben unterschiedlicher Drittparteientypen, Datensätze mit wenigen Informationen, Eigentumsszenarien, geschlossene und eskalierte Treffer, Listenänderungen, unvollständige Läufe und Wiederherstellungen heran. Prüfen Sie, ob sich die Richtlinie in der tatsächlichen Konfiguration und im Verfahren widerspiegelt, ob Treffer eine verantwortete Warteschlange erreichen und ob die Nachweise die Entscheidung stützen.

Sinnvolle Managementinformationen können die Abdeckung der Population, fehlende Pflichtdaten, Ausnahmen bei Prüfung und Monitoring, Volumen und Alter der Warteschlange, Eskalationen, Übersteuerungen, Fehler bei Quellenaktualisierungen, Qualitätsfeststellungen und überfällige Abhilfemaßnahmen umfassen. Trefferzahlen allein zeigen nicht, ob die Kontrolle wirksam funktioniert.

Checkliste für eine Richtlinie zur Sanktionsprüfung von Drittparteien

Wie Checklynx unterstützt

Checklynx kann die Sanktionsprüfung anhand kundenseitig bereitgestellter Drittparteiendaten und Informationen zu Eigentumsverhältnissen unterstützen, mögliche Treffer in kontrollierte Reviews und Fälle leiten, Nachweise und Entscheidungshistorie sichern sowie CSV- oder API-Abläufe und konfiguriertes laufendes Monitoring unterstützen.

Der Kunde bleibt dafür verantwortlich, den Prüfumfang zu definieren, geeignete Informationen zu Drittparteien und Eigentumsverhältnissen zu beschaffen und zu pflegen, das anwendbare Recht auszulegen, abschließende Entscheidungen zu autorisieren und erforderliche Meldungen vorzunehmen. Checklynx ist weder ein Register- oder UBO-Ermittlungsdienst noch ein autonomer rechtlicher Entscheidungsträger oder eine Garantie dafür, dass jedes Sanktionsrisiko erkannt wurde.

Mit der Checkliste zur Sanktionsprüfung von Lieferanten übertragen Sie die genehmigte Richtlinie in Einkaufskontrollen. Informieren Sie sich über die Sanktionsprüfung von Checklynx, das Fallmanagement, Prüfpfad und Nachweise sowie laufendes Monitoring als unterstützende Workflows.