Dokumentation von Compliance-Tätigkeiten

Warum ist Dokumentation in der Compliance entscheidend? Das Prinzip der „Rekonstruierbarkeit“ in der Praxis

Stellen Sie sich vor, ein Prüfer untersucht eine zwei Jahre alte Transaktion. Er wird nicht nur fragen, was geschehen ist, sondern vor allem warum. Warum hat ein Mitarbeiter einen Alert des Monitoringsystems als falsch positiv bewertet? Auf Grundlage welcher Informationen hat er den Kunden als risikoarm eingestuft? Ohne einen klaren, dokumentierten Prüfpfad ist jede Verteidigung nahezu unmöglich.

Die Anforderung der Rekonstruierbarkeit ist in Wirklichkeit ein anspruchsvoller Stresstest Ihres gesamten Compliance-Ökosystems. Ein nachträglich belastbarer Nachweis lässt sich nicht erstellen, wenn auch nur ein einziger Bestandteil versagt. Ist Ihr System interner Grundsätze (SVZ) allgemein gehalten, die Risikobewertung rein formal, die Mitarbeiterschulung nicht nachweisbar oder der Prozess der Alert-Untersuchung nicht definiert, reißt die Beweiskette. Mit der Prüfung einer einzigen Transaktion auditiert die ČNB somit mittelbar die Integrität und Verzahnung Ihres gesamten internen Kontrollsystems.

Die Grundpfeiler Ihres Compliance-Systems: Was prüft die ČNB tatsächlich?

Die Tschechische Nationalbank überprüft bei Kontrollen systematisch die Ausgestaltung der internen Kontrollsysteme, und zwar sowohl auf Ebene einzelner Prozesse als auch im Gesamtkontext der Unternehmensführung. Dieser umfassende Rahmen, fachlich als Leitungs- und Kontrollsystem (ŘKS) bezeichnet, ruht auf drei Grundpfeilern, deren Funktionsfähigkeit und Dokumentation Gegenstand der Prüfung sind.

• Voraussetzungen ordnungsgemäßer Unternehmensführung (Corporate Governance): Dies ist das Gerüst Ihres Unternehmens. Es umfasst eine klare Organisationsstruktur mit genau abgegrenzten Befugnissen und Verantwortlichkeiten, transparente Entscheidungsprozesse und funktionierende Mechanismen zur Vermeidung von Interessenkonflikten. Die ČNB prüft, ob Ihre Struktur nicht nur auf dem Papier besteht, sondern tatsächlich eine wirksame und umsichtige Führung gewährleistet.

• Risikomanagementsystem (Risk Management): Dies ist das Nervensystem Ihrer Organisation. Es muss wirksame Verfahren zur laufenden Erkennung, Bewertung, Messung und Begrenzung sämtlicher Risiken umfassen, denen Ihr Unternehmen ausgesetzt ist – von Kredit- und Marktrisiken bis hin zu operationellen und Compliance-Risiken.
• Internes Kontrollsystem (Internal Control): Der dritte Pfeiler wirkt wie ein Immunsystem. Sein zentraler Bestandteil ist die unabhängige Innenrevision, die die Funktionsfähigkeit des gesamten ŘKS überprüft, und vor allem die Compliance-Funktion, die die laufende Kontrolle der Einhaltung gesetzlicher Pflichten und interner Vorschriften sicherstellt.

Auch wenn diese Pfeiler abstrakt erscheinen mögen, verlangt die ČNB bei einer Prüfung im Bereich der Bekämpfung der Geldwäsche (AML) ganz konkrete und greifbare Dokumente. Die wichtigsten davon sind das System interner Grundsätze und die darauf aufbauende Risikobewertung.

System interner Grundsätze (SVZ): Ist Ihre „Compliance-Verfassung“ bereit für den Stresstest?

Das System interner Grundsätze, Verfahren und Kontrollmaßnahmen (SVZ) ist nach § 21 des tschechischen Gesetzes über bestimmte Maßnahmen gegen die Legalisierung von Erträgen aus Straftaten und die Terrorismusfinanzierung (Gesetz Nr. 253/2008 Slg., im Folgenden „AML-Gesetz“) das zentrale Dokument, das die meisten Finanzinstitute schriftlich ausarbeiten müssen. Es ist Ihre interne „Verfassung“, die detailliert beschreibt, wie Ihr Unternehmen sämtliche Pflichten im Bereich AML/CFT erfüllt. Gerade dieses Dokument fordert die ČNB als eines der ersten an.

Aus der Prüfungspraxis geht eindeutig einer der häufigsten und schwerwiegendsten Fehler hervor: das Verlassen auf allgemeine, gekaufte SVZ-Muster, die nicht an die tatsächliche Arbeitsweise und die Risiken des jeweiligen Unternehmens angepasst sind. Ein solches Dokument ist für die ČNB wertlos und gilt als Beleg für einen bloß formalen, nicht aber tatsächlichen Umgang mit Compliance.

Ein funktionierendes und belastbares SVZ muss mindestens folgende Bereiche detailliert und maßgeschneidert beschreiben:

• Verfahren zur Identifizierung und Kontrolle des Kunden: Welche Daten und Dokumente Sie erheben, wie Sie deren Gültigkeit überprüfen und wie Sie den wirtschaftlichen Eigentümer und politisch exponierte Personen ermitteln.
• Regeln zur Festlegung des Risikoprofils des Kunden: Welche Faktoren Sie berücksichtigen und wie Sie auf dieser Grundlage vereinfachte, standardmäßige oder verstärkte Sorgfaltspflichten anwenden.
• Verfahren für das Transaktionsmonitoring: Wie Sie ungewöhnliche Transaktionen erkennen und bewerten.
• Regeln für die Meldung verdächtiger Transaktionen an das Finanzanalyseamt (Finanční analytický úřad, FAÚ).
• System der Aufbewahrung von Daten und Unterlagen.
• Inhalt und Zeitplan regelmäßiger Mitarbeiterschulungen.

Das SVZ ist kein einmaliges Dokument. Es muss laufend aktualisiert werden – als Reaktion auf Gesetzesänderungen, Änderungen Ihres Geschäfts oder auf Feststellungen aus internen oder externen Prüfungen. Jede Änderung sind Sie zudem verpflichtet, der ČNB oder dem FAÚ mitzuteilen.

Die Anwälte von ARROWS sind auf die Erstellung von Unterlagen spezialisiert, die vor Bußgeldern und Sanktionen schützen, und zwar durch ein maßgeschneidertes SVZ, das das individuelle Geschäftsmodell des Mandanten widerspiegelt und auch der strengsten Prüfung standhält. Benötigen Sie eine Überprüfung oder die vollständige Ausarbeitung Ihres SVZ? Schreiben Sie uns an beratung@arws.cz.

Risikobewertung: Wissen Sie, wo Ihnen die größte Gefahr droht?

Grundlage jedes hochwertigen SVZ ist eine gründliche und schriftlich ausgearbeitete Bewertung der Risiken der Legalisierung von Erträgen aus Straftaten und der Terrorismusfinanzierung, wie sie § 21a AML-Gesetz verlangt. Dieses Dokument muss belegen, dass Ihr Unternehmen die Risiken, denen es im Rahmen seiner Tätigkeit ausgesetzt ist, systematisch identifiziert, beurteilt und verstanden hat.

Eine richtig durchgeführte Risikobewertung ist nicht nur die Erfüllung einer gesetzlichen Pflicht, sondern ein wesentliches strategisches Instrument. Sie zwingt Sie, Ihre eigene Verwundbarkeit im Detail zu analysieren, und kann nicht nur Compliance-Mängel, sondern auch betriebliche Ineffizienzen oder bislang unbemerkte Geschäftsrisiken aufdecken. Dieser Prozess liefert wertvolle Grundlagen für strategische Entscheidungen – so kann etwa die Erkenntnis, dass das profitabelste Kundensegment zugleich das riskanteste ist, zu einer Anpassung der Geschäftsstrategie führen.

Ihre Risikobewertung muss mindestens vier Kategorien von Risikofaktoren berücksichtigen:

1. Kundenbezogene Risikofaktoren: Art des Kunden (juristische/natürliche Person), sein Verhalten, Unternehmensgegenstand, Eigentümerstruktur.

2. Produkt- und dienstleistungsbezogene Risikofaktoren: Missbrauchsmöglichkeiten der angebotenen Produkte (z. B. Anonymität, Geschwindigkeit der Transaktionen).

3. Geografisches Risiko: Risiken im Zusammenhang mit dem Sitz des Kunden, seines wirtschaftlichen Eigentümers oder dem Zielort von Transaktionen, insbesondere in Bezug auf Hochrisiko- und sanktionierte Länder.

4. Risikofaktoren der Vertriebskanäle: Risiken im Zusammenhang mit der Erbringung von Dienstleistungen aus der Ferne ohne physischen Kontakt zum Kunden.

Neben der internen Analyse sind Sie verpflichtet, auch die Schlussfolgerungen der Nationalen Risikobewertung (NRA), die das FAÚ durchführt, und der supranationalen Risikobewertung (SNRA) der Europäischen Kommission zu berücksichtigen. Diese Dokumente identifizieren die zentralen Bedrohungen für den gesamten Finanzsektor.

Welche konkreten Aufzeichnungen fordert die ČNB an?

Die theoretische Ausgestaltung der Prozesse im SVZ und in der Risikobewertung ist nur die halbe Miete. Die zweite – und für die ČNB wesentlichere – Hälfte ist der Nachweis, dass Sie diese Regeln in der täglichen Praxis tatsächlich befolgen. Die Prüfer fordern konkrete Akten und Aufzeichnungen an, um das tatsächliche Funktionieren Ihres Systems zu überprüfen.

Dokumentation der Identifizierung und Kontrolle des Kunden (KYC/CDD)

Dies ist die absolute Grundlage. Für jeden Kunden müssen Sie einen vollständigen Nachweis über die durchgeführte Identifizierung und Kontrolle vorlegen können. Die ČNB konzentriert sich häufig auf Mängel wie fehlende Angaben darüber, wer die Identifizierung wann durchgeführt hat, oder eine unzureichende Überprüfung politisch exponierter Personen (PEP).

Die Dokumentation muss enthalten:

• Identifizierungsnachweis: Einschließlich Kopien der vorgelegten Dokumente, der Identifikationsdaten und eines Vermerks, welcher Mitarbeiter die Identifizierung wann durchgeführt hat.
• Unterlagen zur Überprüfung des wirtschaftlichen Eigentümers (UBO): Auszüge aus den einschlägigen Registern, Erklärungen des Kunden, Organigramme.
• Nachweis des Screenings gegen Sanktions- und PEP-Listen: Beleg dafür, dass Sie den Kunden und seinen UBO bei Aufnahme der Geschäftsbeziehung sowie laufend überprüft haben.
• Nachweis der Festlegung des Risikoprofils: Begründung, warum der Kunde in die jeweilige Risikokategorie eingestuft wurde.

Bei Transaktionen mit Auslandsbezug steigen die Anforderungen an die Dokumentation exponentiell. Internationale Sanktionslisten müssen geprüft und das geografische Risiko muss gesteuert werden.

Dank unseres seit zehn Jahren aufgebauten Netzwerks ARROWS International können wir eine eingehende Prüfung (Due Diligence) von Geschäftspartnern und ihren Eigentümerstrukturen praktisch überall auf der Welt sicherstellen.

Dokumentation des Transaktionsmonitorings

Es genügt nicht, ein System zur Transaktionsüberwachung eingeführt zu haben. Sie müssen nachweisen können, was mit jedem vom System erzeugten Alert geschieht. Die ČNB stellt in diesem Bereich wiederholt Mängel fest, insbesondere eine unzureichende Dokumentation der Alert-Untersuchung und ein pauschales, unbegründetes Schließen von Alerts ohne Verdachtsmeldung.

Für jeden Alert müssen Sie belegen:

• Zeitachse: Wann die Transaktion durchgeführt, wann der Alert erzeugt und wann er geschlossen wurde.
• Ablauf der Untersuchung: Welche Schritte der Analyst unternommen und welche Informationen er geprüft hat.
• Ergebnis und Begründung: Eine detaillierte und verständliche Darlegung, warum der Alert geschlossen wurde oder warum er zu einer Verdachtsmeldung geführt hat.

Dokumentation der Mitarbeiterschulungen

Die Vernachlässigung der Schulungspflicht gehört zu den am häufigsten und am strengsten geahndeten Verstößen; es droht ein Bußgeld von bis zu 5 Millionen CZK (ca. 205.800 EUR). Die ČNB interessiert sich nicht nur dafür, ob eine Schulung stattgefunden hat, sondern verlangt konkrete Nachweise über deren Inhalt, Teilnahme und Wirksamkeit.

Ihre Dokumentation muss enthalten:

• Schulungsinhalt: Gliederung und Materialien, die belegen, dass die Schulung für die jeweilige Position relevant war und die aktuellen Risiken Ihres Unternehmens widerspiegelte.
• Teilnahmenachweise: Unterschriebene Anwesenheitslisten oder digitale Aufzeichnungen von Online-Schulungen.
• Wissensüberprüfung: Test- oder Quizergebnisse, die belegen, dass die Teilnehmer den Stoff verstanden haben.
• Vollständige Aufzeichnungen für 5 Jahre: Diese Pflicht gilt auch für Mitarbeiter, die nicht mehr bei Ihnen beschäftigt sind – eine häufige Fehlerquelle.

Bei ARROWS bieten wir Fachschulungen für Mitarbeiter und Führungskräfte an, einschließlich der Ausstellung eines Zertifikats, das im Prüfungsfall als verlässlicher Nachweis dient. Möchten Sie eine zertifizierte AML-Schulung für Ihr Team organisieren? Schreiben Sie an beratung@arws.cz.

Die häufigsten Fehler, die zu Millionenbußgeldern führen: Lernen Sie aus der Praxis

Die Aufsichtspraxis der ČNB und des FAÚ zeigt wiederkehrende Fehlermuster, die zur Einleitung von Verwaltungsverfahren und zur Verhängung hoher Sanktionen führen. Diese Fehler zu vermeiden, ist eine Grundvoraussetzung für einen reibungslosen Geschäftsbetrieb.

Zu den häufigsten bei Prüfungen festgestellten Mängeln gehören:

• Formale vs. tatsächliche Compliance: Interne Vorschriften (SVZ) sind allgemein gehalten, geben das Gesetz wieder, enthalten aber keine konkreten, auf das Geschäft zugeschnittenen Verfahren. In der Praxis wird dann anders vorgegangen, als es geschrieben steht.
• Unzureichende Datenqualität: Das Transaktionsmonitoring ist ineffektiv, weil die Eingangsdaten über Kunden und ihr erwartetes Verhalten unvollständig oder veraltet sind.
• Unterschätzte Kundenkontrolle: Formale Durchführung der Identifizierung ohne tieferes Verständnis von Geschäftszweck, Mittelherkunft oder tatsächlicher Eigentümerstruktur.
• Vernachlässigte Schulungen: Schulungen sind allgemein, nicht nachweisbar, und die Mitarbeiter können die internen Regeln in der Praxis nicht anwenden.

Diese scheinbar betrieblichen Mängel können fatale Folgen haben. Ein Problem, das administrativ wirkt (z. B. eine unvollständige Schulungsdokumentation), wird in den Augen der Aufsicht zu einem systemischen Versagen, das Ihre gesamte Fähigkeit zur Risikosteuerung in Frage stellt.

Wenn die Prüfung an die Tür klopft: Wie hilft Ihnen ARROWS?

Das Prüfungsverfahren der ČNB ist formalisiert und folgt klaren Regeln. In der Regel beginnt es mit der Zustellung einer Aufforderung zur Vorlage von Unterlagen und wird mit einer Vor-Ort-Prüfung fortgesetzt. Werden Mängel festgestellt, ordnet die ČNB zunächst sogenannte Abhilfemaßnahmen mit einer Frist zu deren Beseitigung an. Erst wenn die Verstöße schwerwiegend sind oder nicht rechtzeitig behoben werden, leitet sie ein förmliches Verwaltungsverfahren zur Verhängung einer Sanktion ein.

In jeder Phase dieses Prozesses ist ein erfahrener Partner an Ihrer Seite entscheidend. Bei ARROWS verfügen wir über umfangreiche Erfahrung in der Betreuung von mehr als 150 Aktiengesellschaften (akciová společnost, a.s.) und 250 Gesellschaften mit beschränkter Haftung (společnost s ručením omezeným, s.r.o.). Wir verstehen nicht nur die Rechtsvorschriften, sondern auch die geschäftliche Realität unserer Mandanten.

Unsere Unterstützung bei der Prüfung umfasst:

• Vorbereitung und Überprüfung der Unterlagen, die die ČNB anfordert.
• Kommunikation mit der Aufsichtsbehörde und Klärung etwaiger Rückfragen.
• Vertretung bei der Vor-Ort-Prüfung und im anschließenden Verwaltungsverfahren.
• Entwurf und Umsetzung von Abhilfemaßnahmen, die die festgestellten Mängel tatsächlich beheben.

Unsere Rolle endet jedoch nicht bei der Rechtsberatung. Wir legen Wert auf langfristige Beziehungen und verstehen uns als strategische Partner unserer Mandanten. Gerne vernetzen wir unsere Mandanten, wenn wir interessante geschäftliche oder investive Synergien sehen, und sind stets offen für Gespräche über neue unternehmerische Ideen. Steht Ihnen eine Prüfung bevor oder möchten Sie sich darauf vorbereiten? Wenden Sie sich an unsere Kanzlei – beratung@arws.cz.

Bereiten Sie sich vor, bevor es zu spät ist

Ein robustes, hervorragend dokumentiertes und in der Praxis gelebtes Compliance-Programm ist keine überflüssige Ausgabe, sondern eine strategische Investition. Es schützt Ihr Unternehmen, seine Führung und seine Mitarbeiter vor drakonischen Bußgeldern, Reputationsschäden und im Extremfall sogar vor strafrechtlicher Verantwortung. Eine konsequente Dokumentation aller Compliance-Tätigkeiten ist der einzige Weg, bei einer ČNB-Prüfung nachzuweisen, dass Sie Ihre Pflichten ernst nehmen und im Griff haben.

Das Team von ARROWS unterstützt Sie im gesamten Spektrum der Compliance – von der Überprüfung und Erstellung von Verträgen und internen Richtlinien über Fachschulungen bis hin zur Vertretung vor Verwaltungsbehörden. Unsere Erfahrung und Schnelligkeit garantieren hochwertige Leistungen, die Ihnen Ruhe und Sicherheit im heutigen komplexen regulatorischen Umfeld geben.