Wann sollten Lieferanten erneut auf Sanktionen geprüft werden?

Ein Lieferant, der vor sechs Monaten eine Prüfung durchlaufen hat, weist heute möglicherweise nicht mehr dasselbe Sanktionsrisiko auf. Eine Behörde kann eine Listung hinzufügen oder ändern, der Lieferant kann seine Struktur verändern, der Zahlungsempfänger kann wechseln oder ein neuer Vertriebspartner, eine neue Bank, ein neuer Endnutzer oder ein weiteres Tätigkeitsland kann Teil der Geschäftsbeziehung werden. Das frühere Ergebnis bleibt ein Nachweis dessen, was zum damaligen Zeitpunkt geprüft wurde; es ist keine dauerhafte Schlussfolgerung.

Die praktische Frage lautet daher nicht einfach: Wie viele Monate sind vergangen? Entscheidend ist vielmehr: Was hat sich seit der letzten Entscheidung geändert, kann sich diese Änderung auf das Sanktionsrisiko auswirken, welche Beteiligten sind betroffen und welche Nachweise stützen die neue Schlussfolgerung?

Dieser Leitfaden konzentriert sich auf Auslöser nach dem Onboarding. Den gesamten Kontrollablauf – von der Abbildung der Lieferantenbeziehung bis zur Untersuchung von Treffern – erläutert unser Leitfaden zur Sanktionsprüfung von Lieferanten und Dritten.

Es gibt kein allgemeingültiges Prüfintervall für Lieferanten

In den USA besagt OFAC FAQ 28, dass sich die Häufigkeit des Datenbankabgleichs nach den Richtlinien und Verfahren einer Organisation richten sollte. Ein allgemeingültiges Intervall wird nicht vorgeschrieben. OFAC FAQ 65 nennt ein Beispiel aus der Versicherungsbranche, bei dem eine Vertragsverlängerung, Vertragsänderungen, Änderungen bei versicherten Personen oder Begünstigten, Schadensfälle und Aktualisierungen von Sanktionslisten spätere Prüfzeitpunkte begründen können. Dieses Beispiel stützt einen ereignisbasierten Ansatz, ist aber keine Vorgabe für die Lieferantenprüfung.

Weitere Informationen zum rechtlichen Rahmen, zur Auswahl von Listen und zum Umgang mit Treffern bietet der Praxisleitfaden zur Sanktionsprüfung.

Im Vereinigten Königreich stellt die OFSI-Leitlinie zur Durchsetzung fest, dass es bei der Sorgfaltsprüfung keinen Einheitsansatz gibt. Berücksichtigt werden das Ausmaß des Sanktionsrisikos, die Transaktion und die Art der Geschäftsbeziehung. Wo angemessen, erkennt die Leitlinie regelmäßige Prüfungen oder eine laufende Überwachung von Informationen zu Eigentum und Kontrolle an. Für die rechtliche Beurteilung bleiben die einschlägigen britischen Vorschriften und der konkrete Sachverhalt maßgeblich.

Die Leitlinie der Europäischen Kommission zur verstärkten Sorgfaltsprüfung gegen die Umgehung von Russland-Sanktionen empfiehlt, die Risikobewertung zu aktualisieren, wenn Sanktionen geändert oder neue Maßnahmen beschlossen werden. Sie behandelt außerdem Änderungen bei Eigentumsverhältnissen, Beteiligten, Routen, Endnutzern, vertraglichen Vereinbarungen und Zahlungsstrukturen. Für betroffene EU-Wirtschaftsbeteiligte und Risikoszenarien sind dies hilfreiche Beispiele für Auslöser. Daraus folgt jedoch keine allgemeine EU-rechtliche Pflicht, jeden Lieferanten nach jeder Änderung erneut zu prüfen.

Eine belastbare Richtlinie kann daher zwei Mechanismen verbinden:

• ereignisbasierte Überprüfung, wenn eine bekannte Änderung das Sanktionsrisiko beeinflussen kann; und
• turnusmäßige Überprüfung als Absicherung, sofern Risiko, anwendbare Anforderungen und Datenqualität dies rechtfertigen.

Die turnusmäßige Überprüfung kann Änderungen aufdecken, die interne Systeme nicht erfasst haben. Sie sollte jedoch nicht die Reaktion auf ein wesentliches Ereignis zwischen zwei Prüfterminen ersetzen.

Bei einem großen oder sich schnell verändernden Lieferantenbestand kann laufendes Monitoring eine wiederholbare Umsetzung richtliniendefinierter Prüfauslöser ermöglichen. Voraussetzung ist, dass die relevanten Datensätze, Änderungssignale, Zuständigkeiten für die Prüfung und Eskalationswege eindeutig festgelegt sind. Es bleibt eine Entscheidung über die Ausgestaltung der Kontrollen und ersetzt nicht die Festlegung, welche Ereignisse nach der internen Richtlinie und den anwendbaren Sanktionsregimen relevant sind.

Ereignisse, die eine erneute Sanktionsprüfung rechtfertigen können

Nicht jede Aktualisierung von Lieferantendaten erfordert eine umfassende Untersuchung. Die Richtlinie sollte festlegen, welche Änderungen relevant sind, welche Datensätze betroffen sind und welche Reaktion angemessen ist. Die folgende Tabelle ist ein operatives Gestaltungsmodell und keine allgemeingültige Rechtsaussage.

Änderungen an Sanktionslisten und -programmen

Behörden nehmen Listungen vor, ändern sie oder heben sie auf. Zugleich können sich Programme so verändern, dass ein reiner Namensabgleich die Auswirkungen nicht erfasst. Das OFAC-Rahmenwerk für Sanktions-Compliance nennt die fehlende Einbeziehung aktualisierter Listen als eine Ursache für Compliance-Verstöße. Auch die Leitlinie der Kommission zur Umgehung von Russland-Sanktionen empfiehlt, die Risikobewertung bei Sanktionsänderungen zu aktualisieren.

Eine Listenaktualisierung bedeutet nicht zwangsläufig, dass jeder Datensatz erneut geprüft werden muss. Die Richtlinie sollte festlegen, welche Unternehmen, Geschäftsbeziehungen und Rechtsordnungen von der Änderung betroffen sind. Die Reaktion kann von einer gezielten Prüfung bis zur Eskalation einer Beschränkung reichen, die sich nicht durch einen Namensabgleich klären lässt.

Änderungen bei Eigentum und Kontrolle

Eigentums- und Kontrollverhältnisse sind nicht statisch. Eine Anteilsübertragung, Umstrukturierung, Veräußerung oder eine neue kontrollierende Person kann die Bewertung verändern, selbst wenn der Lieferant nicht auf einer Sanktionsliste steht.

Der anzuwendende Maßstab muss für die jeweilige Rechtsordnung bestimmt werden. Nach der US-amerikanischen 50 Percent Rule des OFAC gilt ein Unternehmen als gesperrt, wenn gesperrte Personen unmittelbar oder mittelbar und zusammengerechnet mindestens 50 % daran halten. Diese Regel ist nicht universell. Die britischen Leitlinien umfassen Eigentum und weitergehende Kontrollkonzepte; in der EU sind der einschlägige Rechtsakt und die jeweils aktuellen programmbezogenen Leitlinien maßgeblich.

Eine Änderung der Eigentumsverhältnisse ist ein Grund für eine Neubewertung, aber kein Beweis dafür, dass ein Lieferant Beschränkungen unterliegt. Für die jeweilige Analyse benötigt die Organisation angemessen belegte Informationen zu Eigentum und Kontrolle. Sanktionsprüfsoftware sollte nicht so dargestellt werden, als würde sie Änderungen in Registern oder bei wirtschaftlich Berechtigten automatisch erkennen.

Änderungen bei Identität und Tätigkeitsprofil des Lieferanten

Ein neuer Firmenname, eine neue Anschrift, eine geänderte Registrierungsnummer oder ein weiteres Tätigkeitsland kann sich auf Abgleich und Risiko auswirken. Aktualisieren Sie die verlässlichen Identifikatoren, halten Sie deren Quelle und Datum fest und entscheiden Sie, ob auch verbundene Datensätze überprüft werden müssen. Entscheidend ist, ob die Aktualisierung zuvor zugrunde gelegte Tatsachen verändert oder eine neue Rechtsordnung, Beschränkung oder Geschäftsbeziehung hinzufügt.

Änderungen bei Zahlungsbeteiligten

Der Vertragspartner muss nicht zugleich Zahlungsempfänger sein. Ein neuer Begünstigter, eine neue Bank, eine zwischengeschaltete Partei, ein neues Zahlungsziel oder Konto kann eine Partei oder einen Anknüpfungspunkt einführen, der beim Onboarding nicht vorhanden war. Einkauf und Finanzwesen sollten festlegen, wie wesentliche Änderungen an Compliance weitergeleitet werden, solange eine Untersuchung noch möglich ist. Für Zahlungsinstitute gelten zusätzliche Erwägungen, die der Leitfaden zur Sanktionsprüfung für Zahlungsinstitute behandelt. Ein neuer Begünstigter kann nach der Richtlinie eine Prüfung auslösen; daraus folgt nicht automatisch, dass die Zahlung gesperrt werden muss.

Neue Vertreter, Vertriebspartner, Endnutzer oder Routen

Bei Waren- und Exportbeziehungen können Änderungen jenseits des direkten Lieferanten relevant sein. Die Leitlinie der Kommission zur Umgehung von Russland-Sanktionen nennt Beteiligte, zwischengeschaltete Parteien, Banken, Endnutzer, Routen, Bestimmungsorte, Handelsbedingungen und Unterlagen. Diese Beispiele sind besonders für betroffene Exportlieferketten relevant; sie sollten nicht zu identischen Kontrollen bei jedem Dienstleistungslieferanten führen.

Informationen, die frühere Nachweise infrage stellen

Eine erneute Prüfung kann angemessen sein, wenn neue Informationen dem früheren Datensatz widersprechen: uneinheitliche Eigentumsunterlagen, ein nicht erklärter Wechsel des Begünstigten, nicht mehr übereinstimmende Identifikatoren oder eine Korrektur, aus der hervorgeht, dass das falsche Unternehmen geprüft wurde. Führen Sie nicht einfach einen neuen Abgleich mit mangelhaften Daten durch. Klären Sie zunächst, welche Angaben unzuverlässig sind, und prüfen Sie anschließend die relevanten Parteien anhand des aktualisierten Datensatzes.

Aus einem Auslöser einen klar zugeordneten Arbeitsablauf machen

Ein Auslöser führt nur dann zu einer Maßnahme, wenn er eine verantwortliche Stelle erreicht. Der Einkauf bemerkt möglicherweise eine Änderung der Eigentumsverhältnisse, das Finanzwesen einen neuen Begünstigten, die Logistik eine andere Route und Compliance aktualisierte Sanktionsdaten.

Die Richtlinie sollte festlegen, welche Ereignisse eine Freigabe oder Zahlung aussetzen können, wer eine unwesentliche Änderung freigeben darf, wer einen Treffer untersucht und wann Fachleute eingebunden werden müssen.

Laufendes AML- und Sanktionsmonitoring kann wiederholbare Prüfungen unterstützen und relevante Änderungen zur Überprüfung vorlegen. Die Organisation entscheidet weiterhin, welche Datensätze in den Prüfumfang fallen, welche Daten bereitgestellt werden, welche Sanktionsregime gelten und welche Maßnahmen autorisiert sind.

Ein Treffer aus der erneuten Prüfung leitet eine Untersuchung ein

OFAC FAQ 48 weist darauf hin, dass Software potenzielle Treffer erzeugen kann, bei denen es sich nicht um OFAC-Zielpersonen handelt. FAQ 5 beschreibt den Vergleich des vollständigen Sanktionslisteneintrags mit verfügbaren Identifikatoren und die Beschaffung fehlender Informationen, bevor eine Schlussfolgerung gezogen wird.

Diese Unterscheidung ist auch außerhalb der USA operativ hilfreich, die rechtliche Analyse bleibt jedoch von der jeweiligen Rechtsordnung abhängig. Die prüfende Person sollte feststellen:

1. welcher Lieferant oder welche verbundene Partei den Treffer ausgelöst hat;
2. ob Namen, Aliasnamen, Anschriften, Standorte, Registrierungsdaten und andere Identifikatoren übereinstimmen;
3. ob verfügbare Informationen zu Eigentum oder Kontrolle die Bewertung verändern;
4. welches Sanktionsprogramm und welche Rechtsordnung möglicherweise anwendbar sind;
5. welche Tatsachen ungeklärt bleiben und wer zur Entscheidung über den nächsten Schritt befugt ist; und
6. weshalb der Treffer ausgeräumt, eskaliert oder auf andere Weise abgeschlossen wurde.

Fallmanagement und Analystenprüfung können Prüfungskontext, Nachweise, Notizen, Zuständigkeiten und Entscheidungshistorie zusammenführen. Sie ersetzen weder die verantwortliche menschliche Prüfung noch bestimmen sie, ob Sanktionsrecht anwendbar ist.

Sanktionsprüfung und rechtliche Reaktion getrennt halten

Selbst eine starke Übereinstimmung der Identitätsmerkmale bestimmt noch nicht die Reaktion. Diese hängt von Rechtsordnung, Anknüpfungspunkt, Programm, Rolle der Partei, Eigentum oder Kontrolle, Waren oder Dienstleistungen sowie möglichen Ausnahmen, Genehmigungen oder Meldepflichten ab.

Die OFAC-Konzepte des Blockierens und Zurückweisens ergeben sich beispielsweise aus US-Vorschriften und bestimmten Beschränkungen. Britische Maßnahmen enthalten eigene Bestimmungen zu Eigentum und Kontrolle, Genehmigungen und Meldepflichten. In der EU ergeben sich verbindliche Folgen aus der jeweils anwendbaren restriktiven Maßnahme; die Verordnung (EU) Nr. 269/2014 des Rates ist ein Beispiel für ein bestimmtes Regime und kein Modell für jedes EU-Sanktionsprogramm.

Die Richtlinie sollte unterscheiden, ob die Identitätsübereinstimmung glaubhaft ist, ob eine rechtliche Beschränkung greift und welche Reaktion autorisiert ist. Fragen zum Einfrieren, Blockieren, Zurückweisen, Melden, Genehmigen oder Fortsetzen erfordern eine aktuelle, rechtsordnungsspezifische Beurteilung.

Nachweise für die erneute Prüfentscheidung aufbewahren

Nach der OFSI-Leitlinie zur Durchsetzung sind Nachweise, die Sorgfaltsprüfungen und Entscheidungen zu Eigentum und Kontrolle stützen, für die behördliche Bewertung relevant. Ein überprüfbarer Datensatz zeigt, was sich geändert hat, welche Informationen vorlagen und weshalb das Ergebnis erreicht wurde.

Ein praxistauglicher Datensatz sollte Folgendes enthalten:

• Auslöser, Datum und Quelle der Änderung;
• berücksichtigte Lieferanten, Geschäftsbeziehungen, Transaktionen und verbundene Parteien;
• verwendete Identifikatoren, Eigentums- und Kontrollinformationen sowie deren Quelldaten;
• Sanktionsquelle oder -programm und Zeitstempel der Prüfung;
• Einzelheiten zum Treffer und verglichene Merkmale;
• Begründung der analysierenden Person, angeforderte Nachweise und offene Fragen;
• fachliche Eskalation, autorisierte prüfende Person und Ergebnis; und
• Bedingungen oder Ereignisse für die nächste Überprüfung.

Aufbewahrungspflichten unterscheiden sich je nach Rechtsordnung und Branche. Dies ist ein operatives Nachweismodell und keine allgemeingültige gesetzliche Vorgabe.

Häufig gestellte Fragen

Müssen Lieferanten jährlich erneut geprüft werden?

Die hier geprüften Leitlinien stützen keine allgemeingültige jährliche Vorgabe. Turnusmäßige Überprüfungen können als richtlinienbasierte Absicherung dienen, die sich nach anwendbaren Anforderungen, Risiko und Zuverlässigkeit der Ereigniserfassung richtet. Wesentliche Änderungen können eine frühere Prüfung rechtfertigen.

Muss nach jeder Aktualisierung einer Sanktionsliste der gesamte Lieferantenbestand erneut geprüft werden?

Nicht unbedingt. Bewerten Sie die geänderten Behördendaten oder das geänderte Programm, bestimmen Sie die betroffenen Unternehmen und Geschäftsbeziehungen und dokumentieren Sie den gewählten Prüfumfang. Manche Änderungen erfordern eine gezielte Prüfung, andere eine weitergehende Programmanalyse.

Sollte eine Änderung der Eigentumsverhältnisse eine erneute Prüfung auslösen?

Das kann der Fall sein, die Maßstäbe unterscheiden sich jedoch zwischen den USA, dem Vereinigten Königreich und der EU. Aktualisieren Sie den Kontext und führen Sie eine rechtsordnungsspezifische Bewertung durch, anstatt automatisch zu folgern, dass der Lieferant Beschränkungen unterliegt.

Reicht ein neues Bankkonto aus, um eine Überprüfung auszulösen?

Ein neuer Begünstigter, eine neue Bank, eine zwischengeschaltete Partei, ein neues Zahlungsziel oder ein nicht erklärtes Konto kann Tatsachen einführen, die bei der früheren Entscheidung nicht vorlagen. Prüfumfang und Reaktion hängen von Geschäftsbeziehung, Transaktion und Sanktionsregime ab.

Ersetzt laufendes Monitoring turnusmäßige Überprüfungen?

Nein. Ereignisbasiertes Monitoring reagiert auf bekannte Änderungen; eine turnusmäßige Absicherung kann Änderungen aufdecken, die Ereignisdaten nicht erfasst haben. Die Richtlinie sollte erläutern, wie beide Kontrollen zusammenspielen.

Erneute Prüfungen in den Lieferantenlebenszyklus integrieren

Die erneute Prüfung von Lieferanten funktioniert am besten als klar zugeordnete Reaktion auf wesentliche Änderungen: Ereignis bestimmen, betroffene Datensätze festlegen, relevante Informationen aktualisieren, Treffer untersuchen und die Entscheidung festhalten. Checklynx unterstützt Sanktionsprüfungen, laufendes Monitoring und kontrollierte Fallprüfungen anhand der Drittpartei- und Eigentumsinformationen, die der Organisation zur Verfügung stehen. Die Beurteilung der rechtlichen Anwendbarkeit und die endgültige Maßnahme verbleiben bei der Organisation und ihren Beratern.