Aufbau eines internationalen Compliance-Programms

Erstellen eines praktischen Leitfadens für ein internationales Compliance-Programm für Unternehmen, die mit der Europäischen Union zusammenarbeiten

Mainstream

Das International Compliance Program ist kein Paket von Richtlinien, die aus dem Internet heruntergeladen werden. Es handelt sich um ein lebendiges Risikomanagementsystem, das die Vermögenswerte, den Ruf und die Spitzenbeamten des Unternehmens schützt.

Die Frage ist nicht, ob es Politiker gibt. Die Hauptfrage ist, ob Ihr System um 4 Uhr morgens funktioniert, wenn der Betriebsleiter beschließt, die Waren unter Umgehung des Verbots an die in Schwierigkeiten geratene Gegenpartei zu versenden.

Daher beginnt der effektive Aufbau eines Compliance-Programms mit drei Prüfungen:

1. Was sind die tatsächlichen Risiken Ihres Unternehmens (Geografie, Produkt, Kunden)?
2. Die Anforderungen, welche Regulierungsbehörden für Sie von entscheidender Bedeutung sind (EU-Sanktionen, Exportkontrollen, sekundäre US-Sanktionen).
3. Wie man Regeln auf betrieblicher Ebene durchsetzt, nicht nur auf dem Papier.

Wird das Programm nicht in die Geschäftsprozesse integriert, drohen dem Unternehmen Bußgelder, Vermögenssperren in der EU, strafrechtliche Verfolgung des Managements und Vertragskündigungen.

Wenn es notwendig ist, ein internationales Compliance-Programm aufzubauen

Der Bedarf an einem Systemprogramm entsteht, wenn:

• Ihr Unternehmen exportiert oder importiert Waren über EU-Grenzen hinweg;
• Für die Abwicklung in Euro oder Dollar nutzen Sie europäische Banken.
• Die Lieferkette betrifft Dual-Use-Produkte.
• Auftragnehmer befinden sich in Hochrisikogebieten;
• Investoren oder Partner fordern eine ESG/Compliance-Due-Diligence-Prüfung.
• Sie haben Anfragen von Banken erhalten, Zahlungen auszusetzen;
• bei der vorherigen Prüfung wurden Verstöße festgestellt;
• Das Top-Management steht vor der persönlichen Verantwortung.
• Sie planen M&A-Transaktionen in Europa oder mit europäischen Vermögenswerten.
• Sie haben eine komplexe Eigentümerstruktur, die sich auf Offshore-Unternehmen auswirkt;
• Sie arbeiten an EPC-Verträgen, im Handel oder in der Logistik, wo das Sanktionsrisiko am größten ist.

Der Fehler, den die meisten Unternehmen machen

Viele Unternehmen beginnen mit der Frage:

Wo kann man ein Muster der Compliance-Richtlinie herunterladen?

Das ist die falsche erste Frage.

Die richtige Frage ist:

Welche konkreten Transaktionen könnten zur Sperrung unseres Kontos bei einer deutschen Bank oder zur persönlichen Haftung des Begünstigten führen?

Manchmal ist das beste Ergebnis die Einführung eines automatisierten Sanktionsscorings. Manchmal eine punktuelle Schulung der Vertriebsabteilung. Manchmal kommt es zu einer Änderung der Vertragsstruktur. Manchmal kommt es zu einem kompletten Geschäftsausfall.

Das Compliance-Programm erfordert nicht das Kopieren der Regeln anderer, sondern eine Feinabstimmung auf Ihr Risikoprofil.

Schritt 1: Identifizieren Sie die geltenden Gerichtsbarkeiten und Regelungen

Als erstes muss man sich die rechtlichen Rahmenbedingungen ansehen.

Es reicht nicht zu sagen: „Wir halten uns an die Sanktionen.“ Sie müssen feststellen, welche Regelungen extraterritoriale Wirkung haben und auf Sie anwendbar sind:

• EU-Sanktionen (Ratsverordnungen): Sektorales, persönliches Einfrieren von Vermögenswerten, Verbote von Transaktionen mit bestimmten Gebieten (z. B. Krim/Sewastopol, DVR/LPR sowie sanktionierte Personen).
• Exportkontrollen (Verordnung 2021/821): Dual-Use-Produkte, Catch-All-Klauseln, Endverwendungskontrolle.
• Sekundäre Sanktionen der Vereinigten Staaten (OFAC): Der Dollar ist auch dann relevant, wenn Sie ihn nicht direkt verwenden, sondern sich auf Waren, Technologie oder Einwohner der USA beziehen.
• Nationale Gesetze: Einige Einschränkungen in Deutschland, den Niederlanden oder den baltischen Staaten, die möglicherweise strenger sind als die europäischen.

Schritt 2. Führen Sie eine Risikobewertung durch (Risikobewertung)

Die Risikokarte ist keine Häkchentabelle, sondern die Grundlage eines proportionalen Programms.

Wir müssen Folgendes analysieren:

• Produkte/Dienstleistungen (besonderes Augenmerk auf Codes von HS- und Dual-Use-Gütern);
• Geographie der Endverbraucher und Empfänger;
• Die Zahlungskette (über welche Banken und in welchen Währungen Geld fließt)
• Wirtschaftliches Eigentum der Gegenparteien (Endeigentümer);
• Vermittler, Agenten und Händler (falsche Durchfuhr, Umgehung von Sanktionen);
• Kanäle des immateriellen Technologietransfers (Fernzugriff, E-Mail, Cloud).

Eine einfache Überprüfung der UN- und EU-Listen ist das Minimum. Diese Risikobewertung identifiziert atypische Warnsignale: Zum Beispiel die Bestellung von Waren, die nicht dem Kundenprofil entsprechen, oder die Bitte um eine Änderung der Lieferroute.

Schritt 3. Entwickeln Sie Richtlinien und Verfahren

Politiker sind das Gerüst des Programms. Aber es sollte sich um Arbeitspapiere handeln, nicht um wissenschaftliche Aufsätze.

Wichtige Dokumente:

• Sanktions- und Exportkontrollpolitik: Ein klares Verbot der Umgehung von Sanktionen, der „Know Your Counterparty“-Regel (KYC) und der „Know Your Product“-Regel (KYP).
• Due-Diligence-Verfahren: Checklisten, Risikostufen, Eskalation komplexer Fälle an Compliance-Beauftragte oder externe Anwälte.
• Richtlinie zu Geschenken und Bewirtungen: Grenzen zur Eliminierung von Korruptionsrisiken.
• Verhaltenskodex für Dritte: Händler und Vertreter halten sich daran.
• Whistleblowing-Richtlinie: eine Hotline oder ein Kanal zur anonymen Meldung von Verstößen (Vorgabe der EU-Richtlinien).

Schritt 4. Umsetzung von Due-Diligence-Sanktionsverfahren

Es ist das Herzstück des Programms. Ohne ihn sind Politiker nutzlos.

Stufe 1. Primäres Screening (Screening): Automatische oder manuelle Überprüfung des Firmennamens, der Eigentümer und Direktoren anhand von Sanktionslisten der EU, der UN, des OFAC und des Vereinigten Königreichs. Es ist wichtig, den Algorithmus zu konfigurieren, um Fehlalarme zu vermeiden, aber die echte Übereinstimmung nicht zu verpassen.

Stufe 2. Eingehende Prüfung (verstärkte Due Diligence): Wenn ein Kunde aus einem Land mit hohem Risiko stammt oder eine rote Flagge hat, müssen Sie Folgendes anfordern:

• Eigentümerstruktur bis zur letzten Person;
• Bestätigung der Meldeadresse und des Geschäftssitzes;
• Endverwendungserklärung (Endverwendungserklärung)
• Daten aus der Lieferkette und dem Endkunden.

Schritt 5. Implementieren Sie Exportkontrollen und Klassifizierung von Waren

Für Handels- und Industrieunternehmen ist es entscheidend, den Waren die richtigen Codes zuzuordnen:

• Code des Harmonisierten Systems (HS);
• Dual-Use-Code (Anhang I der Verordnung 2021/821);
• EU-Militärliste.

Auch wenn Ihr Produkt nicht auf der Dual-Use-Liste steht, funktioniert die „Catch-All“-Regel. Wenn Sie wissen oder wissen sollten, dass die Ware für verbotene Zwecke verwendet wird (z. B. für militärische Zwecke in einem sanktionierten Land), ist in jedem Fall eine Genehmigung erforderlich.

Schritt 6. Ernennung eines verantwortlichen und geschulten Personals

Ohne einen Architekten funktioniert das Programm nicht.

Das Unternehmen muss über einen Compliance-Beauftragten (oder einen lokalen Vertreter in der EU) mit direktem Zugang zum CEO und einem Budget für die Automatisierung verfügen.

Die Ausbildung sollte differenziert werden:

• Abteilung Vertrieb und Logistik: Schulungen zum Erkennen von „Red Flags“ in Bewerbungen, Grundlagen zum Lesen von Sanktionslisten.
• Top-Management: Persönliche Haftung (strafrechtlich und finanziell) nach EU-Recht.
• Buchhaltung: Regeln zur Zahlungsabwicklung mit Sanktionskennzeichen.

Es ist wichtig, dass die Schulung anhand von Live-Beispielen durchgeführt wird und mit Tests endet.

Schritt 7. Überwachung und internes Audit

Compliance ist nicht statisch.

Zur regelmäßigen Überwachung gehören:

• automatische Überwachung von Änderungen in den EU-Sanktionslisten (tägliche Aktualisierung);
• Überwachung von Veröffentlichungen des OFAC und nationaler Regulierungsbehörden (BAFA, BIS usw.);
• Programmtest: durch die Methode des „heimlichen Käufers“ oder der Nachahmung einer verbotenen Transaktion;
• Rückblickprüfung zur Identifizierung versehentlicher Verstöße.

Schritt 8: Richten Sie einen Mechanismus zur Reaktion auf Vorfälle ein

Selbst im besten Programm kann es zu Verstößen kommen. Die Hauptsache ist die Reaktion.

Das Verfahren muss Folgendes beschreiben:

• sofortige Aussetzung des Versands oder der Zahlung;
• Sperrung von Geldern auf Konten, wenn gegen die Gegenpartei Sperrungssanktionen der EU verhängt wurden;
• Benachrichtigung der Korrespondenzbank;
• Rechtliche Analyse der Notwendigkeit einer Selbstanzeige vor einer nationalen Regulierungsbehörde in der EU (freiwillige Anerkennung reduziert häufig das Bußgeld);
• Sammeln von Beweismitteln für Strafverfolgungsbehörden;
• Eine Strategie, um aus einer Beziehung mit einem Problemkunden herauszukommen.

Schritt 9. Stellen Sie die Integration mit der IT-Infrastruktur sicher

Ohne Digitalisierung wird das Compliance-Programm im internationalen Geschäft scheitern.

Erforderliches Minimum:

• Integration von Scoring-Systemen in ERP (SAP, 1C, Oracle);
• Geoblocking des Zugriffs auf Dienste für IP-Adressen aus verbotenen Regionen;
• Automatischer Rechnungsstopp im Buchhaltungssystem bei Übereinstimmung mit der Sanktionsliste.

Technologie ersetzt nicht den Anwalt, aber sie reduziert den menschlichen Faktor bei Hunderten von Routineoperationen.

Schritt 10. Bieten Sie evidenzbasierten Schutz (Aufzeichnung)

Bei der Prüfung durch eine EU-Regulierungsbehörde oder Bank werden nicht Zusicherungen, sondern Aufzeichnungen das Hauptargument sein.

Gemäß internationalen Standards und EU-Anforderungen ist es erforderlich, die Dokumentation für Konformitätsprüfungen mindestens 5–7 Jahre lang aufzubewahren, einschließlich:

• Screenshots der Ergebnisse der Sanktionsprüfungen mit Zeitstempel;
• Fragebögen von Gegenparteien;
• Korrespondenz mit einer Bitte um Erklärung;
• Protokolle der Sitzungen des Compliance-Ausschusses;
• Endbenutzerzertifikate.

Das Fehlen von Aufzeichnungen über die Inspektion wird von der Aufsichtsbehörde oft als Fehlen der Inspektion selbst interpretiert.

Formales Programm vs. echter Schutz

Die Wahl hängt nicht von der Verfügbarkeit von Zertifikaten ab, sondern von der tatsächlichen Bereitschaft des Managements, in die Nachhaltigkeit des Unternehmens zu investieren.

So stärken Sie das Programm, bevor Probleme auftreten

Der beste Schutz entsteht nicht während einer Krise, sondern wenn Sie ein Unternehmen in Europa gründen oder mit sanktionierten Warengruppen arbeiten.

Am besten vorab:

• Überprüfen Sie die nützliche Struktur auf „Toxizität“.
• Ersetzen Sie „gefährliche“ Gerichtsbarkeiten in der Eigentums- oder Zahlungskette
• verbindliche Sanktionsklauseln in Verträge einzuführen, die es ermöglichen, den Vertrag ohne Strafen zu kündigen, wenn gegen die Gegenpartei Sanktionen verhängt werden;
• Entwickeln Sie ein „Shipment Stop Protocol“ (Shipment Stop Protocol)
• Lassen Sie sich vorab von der Europäischen Staatsanwaltschaft (EPPO) oder der nationalen EU-Staatsanwaltschaft zu den strittigen Transaktionen beraten.

Häufige Fehler beim Aufbau eines Compliance-Programms

1. Die EU- und US-Listen sind nicht identisch. Ein Programm, das nur nach OFAC (50 %-Regel) konzipiert ist, kann die europäischen Vermögenssperren komplett überspringen.

2. Händler und Agenten sind die Hauptursache für Probleme bei „grauen“ Importen. Es ist sinnlos, das Endniveau zu überprüfen, ohne den Mittelsmann zu überprüfen.

3. Die formelle Schulung „Wir haben eine Präsentation verschickt“ funktioniert nicht. Wenn ein Mitarbeiter seine persönliche Verantwortung vor einem Gericht in der EU nicht verstanden hat, funktioniert das Programm nicht.

4. Die manuelle Überprüfung Tausender Kontrahenten auf den EU-Listen einmal im Quartal garantiert ein Match-Skipping.

5. Wenn der Begünstigte ein Beispiel für die Umgehung der Regeln zeigt, wird der Compliance-Beauftragte zum Feind des Unternehmens und nicht zum Verteidiger.

Checkliste für den Programmaufbau

Bevor Sie mit dem Programm beginnen, müssen Sie 15 Fragen beantworten:

1. Welche spezifischen EU-Vorschriften und Gesetze der Mitgliedsstaaten gelten für Ihr Produkt?
2. Fällt Ihr Produkt in die Dual-Use-Kategorie?
3. Sind alle Endbenutzer verifiziert?
4. Sind die Banken von der Zahlungskette ausgeschlossen?
5. Ist das Screening für kyrillische und lateinische Namen angepasst?
6. Weiß der Verkäufer, wie die „graue“ Versandanfrage aussieht?
7. Wer im Unternehmen hat das Recht, den Sanktionsstoppfaktor aufzuheben?
8. Wurden Ihre Vertriebspartner auf militärische Verbindungen überprüft?
9. Gibt es ein Protokoll für den Fall der Sperrung der SWIFT-Zahlung?
10. Sind Technologietransferkanäle (FTP, Cloud, E-Mail) sicher?
11. Ist der CEO bereit, von der nationalen Regulierungsbehörde der EU befragt zu werden?
12. Haben Sie einen externen Rechtsberater mit Anwaltsgeheimnis?
13. Werden die Protokolle der Kontrollen mindestens 5 Jahre lang aufbewahrt?
14. Gibt es einen anonymen Kanal für Mitarbeiterbeschwerden?
15. Welches Szenario führt zu dem besten kommerziellen Ergebnis: einen Fehler verhindern oder ein Unternehmen nach einer Geldstrafe retten?

Wie eine starke Compliance-Strategie aussieht

Eine starke Strategie umfasst normalerweise fünf Reifegrade:

1. Rechtliche Bewertung Analyse der geltenden EU-Sanktionen und Exportregime sowie Risiken sekundärer Sanktionen.

2. Geschäftsprozessabbildung: Einbettung von Kontrollen in ERP-Systeme und eine Geschäftsprozessabbildung, damit Compliance das Betriebssystem nicht lahmlegt.

3. Menschlicher Faktor Lernen und Schaffung eines Tons von oben, wobei die Einhaltung von Einschränkungen Teil des KPI ist.

4. Reaktion auf Vorfälle: Bereitschaft, eine Transaktion innerhalb einer Stunde zu stoppen und eine interne Untersuchung ordnungsgemäß einzuleiten.

5. Regulierungsdialog: Die Möglichkeit, mit europäischen Regulierungsbehörden zu interagieren, Lizenzen (Ausnahmen) zu beantragen und die Integrität des Programms nachzuweisen.

Ohne eine fünfte Ebene besteht die Gefahr, dass das Programm zum Zeitpunkt dieser Prüfung von der Regulierungsbehörde nicht anerkannt wird.

FAQ

Können wir ein Programm von Grund auf entwickeln, um mit der EU zusammenzuarbeiten? Es sollte mit der Analyse der Produktcodes und der Kundenregion beginnen und nicht mit dem Kopieren der Dokumente anderer.

Noch wichtiger: EU-Sanktionen oder sekundäre US-Sanktionen haben Priorität, um den Zugang zum europäischen Markt und die Abwicklung in Euro aufrechtzuerhalten. Aber wenn Sie die Anforderungen des OFAC ignorieren, können Sie grundsätzlich ohne Dollar und Bankgeschäfte auskommen.

Können Sie auf einen Compliance Officer verzichten? Die Verantwortung für Verstöße in der EU ist persönlich. Gibt es keinen für Compliance verantwortlichen Mitarbeiter, wird automatisch der CEO anerkannt.

Sperren Sie unverzüglich alle Vermögenswerte (Gelder, Waren) und benachrichtigen Sie die zuständige nationale Behörde in der EU. Die Fortsetzung von Transaktionen ist eine Straftat.

Schützt das Compliance-Programm vor Strafen? Das Vorhandensein eines echten, risikogerechten Programms ist einer der wichtigsten mildernden Faktoren bei der Verhängung von Strafen durch EU- und US-Regulierungsbehörden.

Technisch möglich, aber es ist ein schwerwiegender Interessenkonflikt und ein Warnsignal für Banken. Funktionstrennung wird empfohlen.

Wie unterscheidet sich das Programm für den Hersteller vom Programm für den Händler? Der Hersteller muss die Strukturelemente des Produkts kontrollieren (Doppelzweck). Der Händler ist der endgültige Bestimmungsort und Endverbraucher, und das Risiko einer falschen Durchfuhr ist höher.

Verwandte Dienstleistungen

• Sanktionen, Exportkontrollen und internationale Compliance
• Internationaler Handel, Vertrieb und grenzüberschreitende Transaktionen
• Unternehmensermittlungen, behördliche Untersuchungen und Geschäftsintegrität
• Internationale regulatorische Risiken und strategische Beratung

Verwandtes Material

• Sanktionen der Europäischen Union: praktischer Leitfaden für Unternehmen
• EU-Sanktionen umgehen: Mustererkennung
• Exportkontrolle von Dual-Use-Gütern in der EU
• Persönliche Verantwortung des Top-Managements bei Verstößen gegen Sanktionen
• Sanktionskonformität für Händler und Logistikunternehmen
• So überprüfen Sie eine ausländische Gegenpartei vor einer Transaktion
• Interne Untersuchung von Sanktionsverstößen: Schritt für Schritt

Fazit

Der Aufbau eines internationalen Compliance-Programms im EU-Recht erfordert keine formellen Dokumente, sondern eine tiefgreifende Integration von Rechtswissen in die Geschäftslogistik.

Ein starker Schutz basiert auf der genauen Identifizierung der geltenden Risiken, der Automatisierung der Sanktionsprüfung, der Schulung des Personals in Bezug auf bestimmte „Red Flags“ und der Bereitschaft, sofort auf Vorfälle zu reagieren.

Im Bereich Sanktionen und Exportkontrolle gewinnt nicht derjenige, der das teuerste System gekauft hat. Gewinner ist derjenige, der das Verfahren im Vorfeld so gestaltet hat, dass er im Streitfall mit einer Bank oder einer EU-Regulierungsbehörde einen unwiderlegbaren Beweis seines guten Glaubens und keine Erklärungen vorlegt.