Warum der Vorstand regulatorische Risiken in den VAE verwalten sollte

Mainstream

Das regulatorische Risikomanagement ist in den Vereinigten Arabischen Emiraten nicht Aufgabe der Compliance-Abteilung. Dies liegt in der Verantwortung des Vorstandes.

Der Regulierungsbereich der VAE ist einer der dynamischsten und strengsten in der Region. Fehler beschränken sich nicht nur auf Reputationsverluste. Sie führen zu persönlicher, auch strafrechtlicher Haftung der Geschäftsführer, zur Schließung des Unternehmens, zur Beschlagnahme von Vermögenswerten und zur sofortigen Einstellung der Geschäftstätigkeit.

Die Frage ist nicht, ob das Management die Risiken kennt. Die entscheidende Frage ist, ob der Vorstand tatsächlich über die Kontrolle verfügt, um sicherzustellen, dass diese Risiken identifiziert, bewertet und gemanagt werden.

Ein wirksames Management regulatorischer Risiken auf Vorstandsebene beginnt mit drei grundlegenden Prüfungen:

• Versteht der Vorstand, welches Regulierungssystem für das Unternehmen gilt – das Festland (an Land), die Freizone (Freizone) oder die Finanzzone (DIFC / ADGM)?
• Verfügt das Unternehmen über ein Compliance-System, das nicht nur auf dem Papier, sondern auch durch den Vorstand kontrolliert wird?
• Ob die Direktoren selbst vor persönlicher Haftung für Verstöße geschützt sind, die ohne ihr Wissen, aber während ihrer Amtszeit begangen wurden.

Werden diese drei Punkte nicht geklärt, trägt der Vorstand Risiken, die jederzeit eintreten können – bei der Prüfung durch die Aufsichtsbehörde, einem Deal mit einer neuen Gegenpartei oder der Änderung von Sanktionslisten.

Wenn der Vorstand regulatorische Risiken aktiv managen muss

Das regulatorische Risikomanagement wird zu einer entscheidenden Funktion des Vorstands, wenn:

• Das Unternehmen tritt zum ersten Mal in den VAE-Markt ein oder ändert seine Präsenzstruktur (Übergang von der Freizone zum Festland oder umgekehrt);
• Das Unternehmen unterliegt den Anforderungen der Economic Substance Regulations (ESR) oder der Beneficial Owner Disclosure (UBO).
• Die Zentralbank der VAE, die Securities and Commodities Authority (SCA), die Dubai Financial Services Authority (DFSA) oder die Financial Services Regulatory Authority (FSRA) haben eine Prüfung oder Untersuchung eingeleitet.
• Aktivitäten beziehen sich auf Hochrisikosektoren: Finanzdienstleistungen, Edelmetallhandel, Logistik, Transitlieferungen durch die VAE;
• Das Unternehmen ist an internationalen Transaktionen beteiligt, bei denen die UN-, OFAC-, EU- oder lokalen Terroristenlisten gelten;
• Es gab eine Gesetzesänderung, die sich auf den rechtlichen Status eines Unternehmens auswirken könnte (z. B. die Einführung der Körperschaftsteuer im Jahr 2023 und der Verrechnungspreisregeln);
• Es werden M&A-Transaktionen, Umstrukturierungen oder Finanzierungen durchgeführt, bei denen regulatorische Risiken zu einem Hindernis oder einer Haftungsquelle für Geschäftsführer werden können.

Der Fehler, den die meisten Vorstände machen

Alle Probleme beginnen mit demselben Fehler: Der Vorstand betrachtet regulatorische Risiken als eine Aufgabe des Managements und der Compliance-Dienste.

Dieses Missverständnis ist aus zwei Gründen gefährlich. Erstens haften Direktoren nach dem Recht der VAE persönlich für Schäden, die einem Unternehmen, Aktionären oder Gläubigern durch unlauteres Verhalten, grobe Fahrlässigkeit oder Gesetzesverstöße entstehen (Artikel 24 des Bundesgesetzes Nr. 32 von 2021 „Über Handelsunternehmen“). Die Delegation des Risikomanagements enthebt diese Verantwortung nicht.

Zweitens beurteilen die Ermittlungsbehörden im Falle einer behördlichen Untersuchung oder des Vorwurfs von Verstößen gegen die Geldwäschebekämpfung (Bundesgesetz Nr. vom 20. 2018 über Geldwäsche und Terrorismusfinanzierung mit späteren Änderungen) den Ton von oben – ob tatsächlich eine Kontrolle durch den Vorstand vorlag. Mangelnde Kontrolle gilt als Akzeptanz von Verstößen.

Der richtige Ansatz: Der Rat ersetzt nicht das Management, sondern legt Standards fest, genehmigt politische Entscheidungsträger, hört regelmäßig Berichte und verfügt über einen unabhängigen Informationskanal über den Stand der Einhaltung gesetzlicher Vorschriften.

Schritt 1: Identifizieren Sie das geltende Regulierungssystem

Als Erstes muss der Vorstand klar darlegen, welcher Regulierungsgerichtsbarkeit das Unternehmen unterliegt.

Die Regelung in den VAE hängt vom Ort der Registrierung ab:

• An Land (Festland) – es gelten Bundesgesetze, die Aufsicht erfolgt durch die Zentralbank, die SCA, das Wirtschaftsministerium und andere Bundesbehörden. Hier finden sich die unterschiedlichsten Anforderungen an AML, Lizenzierung und Corporate Governance.
• Freihandelszone – jede Zone hat ihre eigene Regulierungsbehörde (zum Beispiel DMCC, JAFZA, DAFZA), es gilt ihre eigene Gesetzgebung, aber die Anforderungen für AML/CFT und internationale Sanktionen sind vollständig in Kraft.
• Finanzzonen (DIFC, ADGM) sind eigene Rechtssysteme auf der Grundlage des englischen Gewohnheitsrechts, unabhängige Regulierungsbehörden (DFSA, FSRA) mit hohen Compliance- und Aufsichtsstandards.

Fehler in dieser Phase, wie beispielsweise der vereinfachte Freizonenansatz für Geschäfte, der tatsächlich auf dem Festland betrieben wird, können zu schwerwiegenden Ansprüchen bis hin zum Entzug der Lizenz führen.

Schritt 2. Bewerten Sie die persönliche Verantwortung der Direktoren

In den Vereinigten Arabischen Emiraten ist die persönliche Verantwortung eines Direktors kein hypothetisches Risiko, sondern eine rechtliche Realität.

Der Direktor kann beteiligt sein:

• j zivilrechtliche Haftung für Verluste der Gesellschaft, der Aktionäre oder Dritter aufgrund von Fahrlässigkeit, Pflichtverletzung oder Überschreitung von Befugnissen;
• strafrechtliche Verantwortlichkeit gemäß der AML-Gesetzgebung (Geldstrafen von bis zu 5 Millionen Dirham und Freiheitsstrafe);
• zur Haftung wegen Verstoßes gegen das Sanktionsregime (bis hin zur strafrechtlichen Verfolgung wegen Terrorismusfinanzierung);
• zur subsidiären Haftung im Falle des Konkurses der Gesellschaft, wenn nachgewiesen wird, dass dieser auf Handlungen oder Unterlassungen des Vorstands zurückzuführen ist.

Der Vorstand sollte sich darüber im Klaren sein. Selbst wenn ein Mitarbeiter einen konkreten Verstoß begangen hat, kann der Direktor für das Fehlen eines Systems zur Verhinderung des Verstoßes verantwortlich gemacht werden.

Schritt 3: Implementieren Sie ein vom Vorstand kontrolliertes Compliance-System

Das Compliance-System sollte kein formeller Satz von Dokumenten sein. Der Rat stellt sicher, dass:

• Ernennen Sie einen unabhängigen Compliance Officer oder Money Laundering Reporting Officer (MLRO) mit direktem Zugang zum Vorstand.
• Regelmäßige (mindestens vierteljährliche) Berichterstattung an den Vorstand über regulatorische Risiken, Vorfälle und Gesetzesänderungen;
• Genehmigung und jährliche Überprüfung der AML/CFT-Richtlinien, der Einhaltung von Sanktionen und der Due-Diligence-Verfahren der Gegenparteien;
• obligatorische unabhängige Prüfung des Compliance-Programms;
• Die Aufzeichnung aller Vorstandsentscheidungen zum Risikomanagement ist eine wichtige Schutzmaßnahme bei der anschließenden Prüfung.

Schritt 4. Proaktive Überwachung regulatorischer Änderungen

Das regulatorische Umfeld der VAE verändert sich schnell. Der Vorstand sollte sicherstellen, dass das Unternehmen nicht nur die in Kraft getretenen Gesetze überwacht, sondern auch Projekte, die sich auf das Geschäft auswirken können.

Wichtige Überwachungsbereiche heute:

• Anforderungen der Economic Substance Regulations (ESR) – insbesondere für Holding-, Finanz- und Logistikunternehmen
• Offenlegungsregelung der Ultimate Beneficial Owners (UBO) und Verwaltungsstrafen bei Nichterfüllung
• Körperschaftsteuervorschriften (9 % ab 2023) und Verrechnungspreisdokumentation
• Änderungen in der Regulierung virtueller Vermögenswerte und Fintech;
• Aktualisieren Sie die Sanktionslisten und FATF-Anforderungen.

Proaktivität bedeutet, dass nicht das Management diese Veränderungen initiiert, sondern der Vorstand selbst.

Schritt 5. Umgang mit Sanktionen und internationalen Risiken

Die VAE sind ein globaler Handelsknotenpunkt und der Rat ist verpflichtet, die Überschneidung lokaler Regulierung mit extraterritorialen Sanktionsregimen zu berücksichtigen. Ein Verstoß gegen sekundäre US-Sanktionen oder EU-Beschränkungen kann dazu führen, dass ein Unternehmen vom Bankensystem ausgeschlossen wird, selbst wenn die Gesetze der VAE formell durchgesetzt werden.

Der Vorstand muss sicherstellen, dass das Unternehmen:

• - wendet eine automatische Sanktionsprüfung aller Gegenparteien, Begünstigten und Lieferketten an;
• verfügt über ein Verfahren für Maßnahmen im Falle von „roten Flaggen“ – Zahlungsaufforderungen über Drittländer, nicht standardmäßige Logistik, Beteiligung von Personen aus Sanktionsgebieten;
• Dabei verlässt man sich nicht ausschließlich auf die Zusicherungen eines lokalen Partners – eine eigene Verifizierung ist zwingend erforderlich.

Schritt 6: Seien Sie auf behördliche Untersuchungen vorbereitet

Selbst mit einem perfekten Compliance-System kann eine Untersuchung beginnen. Der Vorstand genehmigt vorab ein Antwortprotokoll, das Folgendes enthalten muss:

• sofortige Benachrichtigung der Rechtsberater;
• Gewährleistung der Sicherheit von Dokumenten und elektronischen Daten;
• Identifizierung eines Sprechers zur Interaktion mit der Regulierungsbehörde;
• parallele interne Überprüfung eines Vorfalls unter der Aufsicht eines Vorstands (oder Prüfungsausschusses).

Der Fehler besteht darin, das Problem durch informelle Kontakte ohne Beteiligung qualifizierter Rechtsanwälte lösen zu wollen. In den Vereinigten Arabischen Emiraten kann dies als Versuch angesehen werden, die Justiz zu behindern.

Verteilung der Verantwortung für regulatorische Risiken: Management vs. Verwaltungsrat

Wie man die Position des Vorstands stärkt, bevor es zu Problemen kommt

Proaktiver Schutz beginnt nicht im Moment der Krise, sondern im Moment der Ratsbildung. Die wirksamsten Maßnahmen sind:

• Rechtliche Prüfung des Compliance-Systems unter Einbindung externer, auf die VAE spezialisierter Berater – mindestens einmal jährlich.
• Regelmäßige Schulung der Direktoren zu Besonderheiten der Verantwortung und Änderungen in der VAE-Regulierung.
• Haftpflichtversicherung für Geschäftsführer und leitende Angestellte (D&O) mit Deckung in den VAE und vorzugsweise mit Deckung der Rechtsverteidigungskosten bei strafrechtlichen Ermittlungen.
• Dokumentation von Treu und Glauben: Detaillierte Protokolle zur Erörterung von Compliance-Themen, zur Behebung von Managementfragen und der erhaltenen Antworten.
• Die Anwesenheit unabhängiger, nicht geschäftsführender Direktoren mit Erfahrung in der Regulierung der VAE oder DIFC/ADGM im Vorstand.

Typische Fehler der Vorstände in den VAE

1. Die Unterschiede zwischen dem Festland, der Freihandelszone und den Finanzzonen werden ignoriert. Compliance-Standards in einer Gerichtsbarkeit reichen in einer anderen nicht immer aus.
2. Mangel an schriftlichen AML/CFT-Richtlinien und der Einhaltung von Sanktionen. Die mündlichen Zusicherungen des Managements schützen den Direktor während der Untersuchung nicht.
3. Blindes Vertrauen in einen lokalen Partner oder Sponsor. Auch wenn es ein lokales Mitglied gibt, wird die Verantwortung des Rates nicht delegiert.
4. Ignorieren der ESR- und UBO-Anforderungen. Bußgelder und Sperren werden zunehmend verhängt.
5. Verlängerung der Benachrichtigung der Regulierungsbehörde über Verstöße. In den Vereinigten Arabischen Emiraten mildern freiwillige Offenlegung und Zusammenarbeit häufig die Auswirkungen.
6. Die Hoffnung, dass Verbindungen das Problem lösen. In den VAE sind die Regulierungsbehörden heute streng und berechenbar, insbesondere im Hinblick auf finanzielle Transparenz und Sanktionen.

Checkliste für Vorstandsmitglieder

Vor der Genehmigung des Geschäftsberichts bzw. im Vorfeld der Transaktion müssen Sie 12 Fragen beantworten:

1. Verstehe ich die für unser Unternehmen geltenden Vorschriften und verfügen wir über eine gültige Lizenz?
2. Wird ein qualifizierter MLRO/Compliance-Beauftragter mit direktem Zugang zum Vorstand ernannt?
3. Wurden die AML/CFT-, Sanktions-Compliance- und Due-Diligence-Richtlinien genehmigt und umgesetzt?
4. Gab es in diesem Jahr eine externe Prüfung des Compliance-Programms?
5. Gibt es ein Verfahren zur Eskalation von Warnsignalen auf Ratsebene?
6. Wurden die wirtschaftlichen Eigentümer aller wichtigen Gegenparteien überprüft und wurden die UBO-Registereinträge aktualisiert?
7. Erfüllen wir die ESR-Anforderungen und liegt die Dokumentation vor?
8. Haben wir behördliche Anfragen oder Mitteilungen erhalten und wie wurden diese bearbeitet?
9. Ist die Organhaftpflicht (D&O) versichert und deckt die Versicherung Untersuchungen in den VAE ab?
10. Wurden Sie in den letzten 12 Monaten im regulatorischen Risikomanagement geschult?
11. Finden die Diskussionen zu Compliance-Risiken ihren Niederschlag im Protokoll des Vorstands?
12. Verfügt der Rat über einen genehmigten Aktionsplan für den Fall einer Durchsuchung, eines Anrufs bei den Strafverfolgungsbehörden oder einer Kontosperrung?

Wie ein starkes regulatorisches Risikomanagementsystem aussieht

Ein wirksames System ist auf drei Ebenen aufgebaut:

1. Ton von oben und strategische Aufsicht über den Rat. Richtlinien werden genehmigt, Risiken werden regelmäßig überprüft und der Vorstand legt die Erwartungen fest, dass bei wahrgenommenen Verstößen Nulltoleranz herrscht.
2. Operatives Compliance-Management. Ein qualifiziertes Team führt Screening, Überwachung, Personalschulung und Berichterstattung für die Regulierungsbehörde durch. Der Rat erhält keinen „No-Problem-Bericht“, sondern eine fundierte Analyse der Risiken und Vorfälle.
3. Unabhängige Prüfung. Interne Audits oder externe Berater testen das System auf Schwachstellen. Die Ergebnisse werden direkt dem Prüfungsausschuss oder dem Vorstand vorgelegt.

Ohne eine dritte Ebene erhält der Vorstand das Bild, das das Management vermitteln möchte, und nicht die Realität.

FAQ

Welche persönliche Verantwortung trägt der Direktor für Verstöße gegen die AML-Gesetzgebung in den VAE?

Eine strafrechtliche Verantwortlichkeit ist vorgesehen, einschließlich Freiheitsstrafen und Geldstrafen von bis zu 5 Millionen Dirham. Der Direktor kann beteiligt sein, wenn er keine ordnungsgemäße Aufsicht ausgeübt hat, auch wenn er die Operation nicht selbst durchgeführt hat.

Kann der Vorstand die Verantwortung für Compliance an das Management delegieren?

Operative Funktionen können delegiert werden. Verantwortung zu delegieren ist nicht der Fall. Laut Gesetz trägt der Vorstand die treuhänderischen Pflichten und die letztendliche Verantwortung.

Welche Folgen hat es für ein Unternehmen, wenn der Vorstand regulatorische Risiken nicht bewältigt?

Von Geldstrafen (bis zu mehreren zehn Millionen Dirham) über die Aussetzung oder den Widerruf von Lizenzen bis hin zur strafrechtlichen Verfolgung von Beamten und der Blockierung von Transaktionen durch Banken.

Was passiert, wenn das Unternehmen von der Zentralbank oder der DFSA überprüft wird?

Holen Sie sich umgehend spezialisierte Anwälte. Sichern Sie die Dokumente. Ernennen Sie einen Interaktionskoordinator. Informationen nicht zu verbergen oder zu zerstören ist ein schweres Verbrechen. Der Rat muss innerhalb weniger Stunden informiert werden.

Ist in den VAE eine D&O-Versicherung erforderlich?

Nicht jedermanns Sache, aber für Unternehmen in DIFC und ADGM ist es fast Standard. Für Unternehmen auf dem Festland und in der Freihandelszone ist der Abschluss einer D&O-Versicherung die beste Vorgehensweise, um sicherzustellen, dass das persönliche Vermögen der Geschäftsführer bei Untersuchungen und Gerichtsverfahren geschützt ist.

Wie oft sollte der Vorstand das Compliance-Programm überprüfen?

Mindestens jedes Jahr. Eine außerordentliche Überprüfung ist erforderlich, wenn Gesetze geändert werden, neue Märkte erschlossen werden oder ein erheblicher Vorfall festgestellt wird.

Verwandte Dienstleistungen

• Corporate Governance und Einhaltung gesetzlicher Vorschriften in den VAE
• AML/CFT und Sanktions-Compliance
• Schutz von Geschäftsführern und leitenden Angestellten: Ermittlungen und D&O-Haftung
• Geschäftsstrukturierung in den VAE (Festland, Freizone, DIFC, ADGM)
• Interne Untersuchungen und Interaktion mit Aufsichtsbehörden
• Prüfung von Compliance-Systemen und ESG-Risiken

Verwandtes Material

• AML/CFT-Compliance in den VAE: Was jeder Direktor wissen sollte
• Persönliche Verantwortung des Legislativdirektors der VAE
• Wie man im Hinblick auf regulatorische Risiken zwischen Festland, Freizone und DIFC/ADGM wählt
• Sanktionsrisiken in den VAE im internationalen Handel: praktischer Leitfaden
• Economic Substance Regulations (ESR) in den VAE: Fehler, die vermieden werden können

Fazit

Der Vorstand, der mit Unternehmen in den VAE zusammenarbeitet, kann es sich nicht leisten, ein passiver Beobachter regulatorischer Risiken zu sein. Der Regulierungsbereich der Emirate erfordert direkte Beteiligung, strategische Aufsicht und proaktive Haltung.

Beim Management regulatorischer Risiken auf Vorstandsebene geht es nicht nur um den Schutz vor Bußgeldern und Ermittlungen. Dies ist der Schlüssel zur Nachhaltigkeit des Unternehmens, zum Zugang zu Finanzmitteln, zur Grundlage der Beziehung zur Regulierungsbehörde und vor allem zum persönlichen Schutz jedes Direktors.

In den Vereinigten Arabischen Emiraten sind die Gewinner nicht die Unternehmen, die Risiken eingehen und hoffen, unbemerkt zu bleiben. Die Gewinner sind diejenigen, deren Vorstände ein System aufbauen, in dem Compliance zu einem organischen Bestandteil des Unternehmens wird und nicht zu einer Reihe von Dokumenten, die überprüft werden müssen. Dieser Ansatz verwandelt regulatorische Risiken von einer Bedrohung in einen beherrschbaren strategischen Faktor.