Da es unterschiedliche Sichtweisen auf den Bereich „Anti-Financial Crime Compliance“ gibt, möchte ich zunächst einmal darstellen, was hierunter zu verstehen ist, ohne auf allzu viele Details einzugehen. Daran anknüpfend kann die Bewertung des Jahres 2022 und der Ausblick auf die nahe Zukunft erfolgen. Wir bei msg Rethink Compliance fassen die nachfolgenden Bereiche unter dem Begriff Anti-Financial Crime (AFC) zusammen. Dabei ist jeder Bereich eigenständig zu sehen, auch wenn es Schnittmengen untereinander gibt. Siehe hierzu auch unser Glossar.

• AML/CFT-Compliance. Ausgeschrieben steht das englische Akronym für die Geldwäschebekämpfung (Anti-Money Laundering) sowie die Identifizierung von Terrorfinanzierung (Combating the Financing of Terrorism), welcher manchmal auch CTF abgekürzt wird (Counter-Terrorist Financing).
• KYC-Compliance. Dieses Akronym steht für Know Your Customer, wobei wir das weiter definieren und das „C“ auf „Counterparty“ umdeuten, also gemeinhin den Geschäftspartner meinen, gleich, ob Zulieferer, Entwicklungspartner, Sponsoringpartner, Vertriebsmittler oder Kunde.
• ABC-Compliance. In unserem Kontext ist das ein gebräuchliches Akronym für die Bekämpfung von Korruption und Bestechung (Anti-Bribery & Corruption).
• Fraud Prevention. Für den englischen Begriff der Betrugsprävention scheint es interessanterweise kein übergreifendes Akronym zu geben. Man könnte aus Fraud Prevention & Detection allerdings FPD ableiten.
• ESG-Compliance. Implizit ergibt sich die Abdeckung von ESG-Compliance aus den Punkten KYC, ABC und Betrugsprävention. Da dies den wenigsten klar ist, führe ich den Themenbereich, der auch den Block Corporate Social Responsibility (CRS) einbezieht, hier einzeln auf.
• Sanktionen. Auch der Bereich der Finanzembargoüberwachung, der eigentlich über die Bereiche AML/CFT und KYC abgedeckt ist, soll hier einzeln aufgeführt werden.

Explizit ausgenommen sind in dieser Betrachtung die Bereiche Tax Evasion, also die Steuerhinterziehung, die Schnittmengen zu AML und KYC hat, sowie der Bereich Anti-Cybercrime, der im weiteren Sinne zur Betrugsprävention gehört, aber zum Beispiel in den Bereichen der Industriespionage ein eigenes Themenfeld darstellt. Diesem Sachverhalt tragen wir in der msg Gruppe Rechnung und bieten mit den msg security advisors Spezialkompetenz an.

Zum Jahr 2022 liefert die Plattform Financial Crimes News eine meines Erachtens sehr gute und strukturierte Übersicht und Analyse der Ereignisse samt interessanter Fragestellungen (Fighting Financial Crime in 2022 – Dashboard by FCN). Da auch nahezu jeder Softwareanbieter in dem Bereich nicht müde wird, die Geschehnisse des Jahres mal mehr, mal weniger zu kommentieren, möchte ich mich nicht in diesen Reigen einreihen.

Wir untersuchen fortlaufend und systematisch den Markt. Dafür haben wir unser AFC-Radar entwickelt, in dem wir alle Beteiligten genauer betrachten, Beobachtungen sammeln, Trends identifizieren und dann prüfen, inwieweit diese nachhaltige Auswirkungen für die AFC-Compliance haben. Hierzu gehören Politik, Regulatoren, Überwachungsorganisationen oder die betroffenen Branchen wie Banken, Versicherungen und andere. Wir berücksichtigen aber auch Veränderungen in der Art der Arbeit, Technologieverfügbarkeiten, Systemlieferanten und Softwareanbieter sowie die Einsatzmöglichkeiten der Anwendungen. Diese Beobachtungen versuchen wir über vier Betrachtungsperspektiven zu erhärten. Die nachfolgende Darstellung gibt einen groben Eindruck von der Vielzahl der betrachteten Treiber.

Grundsätzlich darf man annehmen, dass diesen Treibern die generelle Motivation zu Grunde liegt, eine Verbesserung der Bekämpfung von Wirtschaftskriminalität herbeizuführen. Einer aktuellen Diskussion um die künstliche Intelligenz (KI) folgend habe ich kürzlich ChatGPT, einen fortschrittlichen Prototyp eines Chatbots des US-amerikanischen Unternehmens OpenAI ausprobiert. Auf die Frage „Hast Du Ideen für die Verbesserung zur Bekämpfung von Wirtschaftskriminalität?“ lieferte der KI-gesteuerte Bot folgende Antwort^[1]:

1. Verbesserte Erkennungs- und Überwachungssysteme: Durch den Einsatz fortschrittlicher Analyse- und maschineller Lernverfahren können Finanzinstitute verdächtige Aktivitäten effektiver erkennen und überwachen.
2. Bessere Zusammenarbeit und Informationsaustausch: Finanzinstitute können zusammenarbeiten und Informationen über potenzielle Finanzstraftaten austauschen, wodurch sie diese Straftaten besser aufdecken und verhindern können.
3. Verstärkte regulatorische Aufsicht: Ein strengerer Regulierungsrahmen und eine striktere Durchsetzung der Vorschriften können dazu beitragen, Finanzkriminalität abzuschrecken, indem sie das Risiko der Aufdeckung und Bestrafung erhöhen.
4. Bessere Aufklärung und Sensibilisierung: Durch Aufklärung der Öffentlichkeit über Finanzkriminalität und darüber, wie man sich schützen kann, lässt sich die Zahl der Opfer dieser Straftaten möglicherweise verringern.
5. Bessere internationale Zusammenarbeit: Finanzkriminalität überschreitet häufig nationale Grenzen, so dass internationale Zusammenarbeit für eine wirksame Bekämpfung unerlässlich ist. Dies kann den Austausch von Informationen und die Koordinierung der Strafverfolgungsbemühungen beinhalten.
6. Einsatz von Technologie: Der Einsatz von Blockchain- und anderen Distributed-Ledger-Technologien kann dazu beitragen, die Transparenz und Rückverfolgbarkeit von Finanztransaktionen zu erhöhen, was es für Kriminelle schwieriger macht zu operieren.

Das dahinterstehende Transformer-basierte Machine-Learning-Modell^[2] wurde auf einem großen Datensatz von Konversationen trainiert. Mainstream dominiert hier, nicht zwingend Fakten. So können diese sechs von ChatGPT genannten Punkte nicht wirklich überraschen. Dies bleibt auch so, wenn man jeden einzelnen Aspekt der obigen Antworten weiter hinterfragt. Selbst auf die Frage, wie das umgesetzt werden kann, liefert das Modell Hinweise. Auf die besondere Bedeutung von Transformer-Modellen, inklusive der neueren Feedback-Transformer-Architekturen^[3], für die regulatorische Compliance haben wir auf diversen Konferenzen bereits hingewiesen, ebenso wie auf die Probleme, vor allem in Bezug auf Wahrnehmungsverzerrungen („Bias“) von KI/ML. ChatGPT hat große Aufmerksamkeit geweckt und viel Zuspruch erfahren, jedoch sind für diese spezifische künstliche Intelligenz noch gänzlich andere Fragen kritisch zu stellen, die hier jetzt nicht verfolgt werden sollen. Aber sicherlich kann man voraussagen, dass im Bereich der AFC-Compliance der Technologieeinsatz − dazu gehört letztlich auch KI/ML − weiter zunehmen wird, um die Effektivität und Effizienz zu erhöhen.

Für die nähere Zukunft der AFC-Compliance sehen wir unter anderen auch die folgenden weiteren Themen, Signale und Trends:

Regulation & Aufsicht. Hierunter habe ich versucht, unsere wesentlichen Beobachtungen zu den Anforderungen und Verhaltensweisen der Regulatoren und Aufsichtsbehörden darzustellen, ohne hierbei auf neue oder Anpassungen bestehender Gesetze (AMLA, LkSG, EU Supply Chain Directive, EU AI Act und viele andere mehr) einzugehen. Ebenso habe ich spezielle Industriethemen unberücksichtigt gelassen wie Target2 im Zahlungsverkehr, welches in der EU dieses Jahr erfolgreich gelingen sollte, den Immobiliensektor, der sich einer verschärften Regulation und Aufsicht stellen darf, die sogenannten DNFBPs („Designated Non-Financial Businesses & Professions”), für die gleiches gelten wird, oder die Herausforderungen im Payments-Bereich und im eCommerce. Vielmehr behandele ich nachfolgend die allgemein gültigen Themen.

• Policy & Control Management. Ethisches Fehlverhalten von Mitarbeitern zu verhindern, ohne zusätzliche Regeln und Kontrollen einführen zu müssen und dabei zu berücksichtigen, dass Menschen nicht zwingend in allen Situationen rational handeln, bedarf eines Risikomanagementansatzes, der verhaltensbasiert funktioniert („Behavioral Risk Management“). Hiermit können sogenannte „Nudges“, also Denkanstöße und Erinnerungshilfen, ausgelöst werden, um dem Mitarbeiter Hilfestellung zu geben, sich im Rahmen der Regeln und Vorgaben zu verhalten. Dies ist ein weiterer Ansatz zur Prävention, der verhindern kann, dass überhaupt Probleme entstehen. Hier gibt es bereits die ersten Umsetzungserfahrungen, allerdings noch keine Best Practices.
• Compliance Resilience. Resilienz in diesem Verständnis folgt dem Konzept resilienter Gesellschaften von Markus Brunnermeier.^[4] Es besagt, dass es nicht nur um Widerstandsfähigkeit gehe, sondern um eine flexible Anpassungsfähigkeit an neue Bedingungen in einer Art, dass Gesellschaften dabei nicht dauerhaft und langfristig geschädigt werden. Wir sehen bei internationalen Aufsichtsbehörden, aber zunehmend auch innerhalb der EU, einen verstärkten Fokus bei Verpflichteten, eine solche Resilienz einzufordern und sie auch zu überprüfen. Dies geht einher mit einer deutlich abgesenkten Reaktionszeit für die Verpflichteten. Backtesting, Stress Testing und Ad-hoc-Simulationen der eingesetzten Monitoring- und Screening-Lösungen, sowie der Angemessenheit der Risikoanalysen stellen hier die großen Herausforderungen dar.
• Risk Assessment & Analysis. Die genannten Anforderungen der Regulation gegenüber Unternehmen, resilienter und agiler auch hinsichtlich der Compliance zu werden, führt zu einer deutlichen Betonung des regulatorischen Risikomodells und damit auch den Bereichen der Risikobewertung und der Risikoanalyse. Ich möchte es mal so formulieren: War ein jährlicher Blick auf die Risikobewertung in der Compliance bislang noch ausreichend, wird das in absehbarer Zeit nicht mehr so sein. Zwar sehen wir keine Indikation für eine wöchentliche Auseinandersetzung mit dem Thema, wohl aber quartalsweise, wenn nicht sogar monatlich, von Ad-hoc-Anfragen ganz zu schweigen. Das wird Compliance-Abteilungen in eine andere Form der Umsetzungsplanung und Kontrolle zwingen, die in anderen Bereichen längst Standard und sehr eng mit dem Bereich des „Enterprise Performance Management“ verbunden ist. Das aber wird in naher Zukunft noch eher in der Kür zu verorten sein. Zur Pflicht indes wird das Backtesting werden, welches in einigen Ländern und Regionen bislang eher als Randthema in der regulatorischen Compliance behandelt wurde. Was rechtfertigt genau jene Schwellwerte, genau jene Verhältniszahlen und genau diese gewählten Ausschlusskriterien? Auf diese Fragen haben Beauftragte besser Antworten parat und können auf ein systematisches Vorgehen verweisen. Ebenfalls Teil dieses Themenblocks sind die Eigentumsanalysen bei juristischen Personen, um gesetzeskonform den oder die wirtschaftlich Berechtigten zu identifizieren. Hier haben wir 2022 an den FATF-Konsultationen zur Empfehlung 24 teilgenommen. Die unabgestimmte und löchrige Umsetzung der Transparenzregister innerhalb der EU und die fehlende Governance seitens der Behörden führen dazu, dass auch im Jahr 2023 und der nahen Zukunft dieses Thema als Schwerpunktthema und Herausforderung für die Beauftragten anzusehen ist. Besserung ist derzeit nicht in Sicht. Siehe hierzu gerne auch unseren Blogbeitrag. [👉 Selina Trotno & Natalie Hürler: Vom Auffangregister zum Vollregister – Gehen die Neuerungen durch das TraFinG weit genug?] Allerdings gibt es immer mehr Marktintermediäre, die Lösungen in der Regel mit einem regionalen Fokus (zum Beispiel Russland und Ukraine oder Afrika) für qualitative Automatisierung anbieten. In diesem Bereich wird auch der Einsatz von Technologie im Einklang mit den verschärften Sanktionsregimen weiterhin stark zunehmen. Aus dem Bereich ESG („Environment, Social, Governance“) kommen ebenfalls neue Herausforderungen, die in die instituts- bzw. unternehmensspezifischen Risikomodelle und die Risikoanalysen aus unterschiedlichen Regulationen heraus ausstrahlen.
• Public-Private Partnerships & Private-Private Partnerships. Beides wird unserer Meinung nach zukünftig Beachtung finden und notwendig sein, um zu einer Besserung der Situation in der Bekämpfung von inkriminierter Geldern zu kommen. Es ist bei den öffentlich-öffentlichen Partnerschaften aber schon anzufangen. Man sollte meinen, den Financial Intelligence Units (FIUs) dieser Welt fällt es einfach, Daten so zu teilen, dass daraus konkrete Ansatzpunkte für die Strafverfolgung und für die Prävention effizient ableitbar sind. Dass dem nur bedingt zuzustimmen ist, hat vielerlei Gründe. Ein wesentlicher Grund sind unterschiedliche Datenschutzbestimmungen und natürlich unterschiedlich politisch motivierte Systeme. Da letzteres schwierig zu beeinflussen sein wird, sei im Bereich des Datenschutzes auf den technologischen Fortschritt verwiesen, der den Austausch unter Verwendung sogenannter „Privacy Enhancing Technologies“, kurz PET genannt, vereinfacht. Gerne verweise ich hierzu auch auf unseren Blogbeitrag zu dem Thema. [👉Natalie Hürler: Privacy-Enhancing Technologies (PETs) in the Fight Against Financial Crime]. Das ist dann auch ein Ansatz für die anderen Formen der Partnerschaften. Rein privatwirtschaftliche Partnerschaften werden am seltensten als probates Mittel für eine bessere Bekämpfung von Wirtschaftskriminalität gesehen. Zu groß ist hier die Angst vor Ablehnung durch die Aufsicht und zu groß die Angst vor Datenschutzproblemen. Doch wie soll in Zukunft die KYC-Compliance sichergestellt und effektiver werden, ohne dass dabei die Kosten und/oder die damit verbundenen Risiken exorbitant steigen? Unseres Erachtens ist das nur im unternehmensübergreifenden Austausch und in Zusammenarbeit möglich.

Im Bereich der Industrietreiber möchte ich aus der Summe der identifizierten Beobachtungen die nachfolgenden erwähnen:

• Metaverse & Web3. Die ersten Schritte im Metaverse für Banken und Finanzdienstleister und erst recht für die Consumer Brands sind gegangen. Vielmehr ist trotz milliardenschwerer Investitionen bislang nicht geschehen, obgleich das Metaverse der Gamer mit Roblox und Fortnite klar auf dem Vormarsch ist. Die nüchterne Bilanz des Metaverse mag auch mit dem schwellenden Streit begründet sein, wie Identitäten festgestellt und geschützt werden können, wem welche Daten gehören und welche Regulation wie zum Einsatz kommen kann/wird. Das Web3 fußt auf der Idee, dass das Eigentum an den Daten zwischen den Erstellern und Nutzern geteilt wird und so keine Dominanz großer Konzerne auftritt. Es soll die dezentrale Fortsetzung des Web2 sein, also des Internets, wie wir es heute kennen und erleben. Soweit die Theorie. Faktisch soll eine komplette digitale Ökonomie entstehen. Die ersten Geldautomaten im Metaverse gibt es schon, die Zahlungsdienstleister bereiten sich vor. Dennoch sehen wir die kommenden Monate hier noch eher als eine Spielwiese für das Bewerben und die Vermarktung. Beachtet man, dass es 15-20 Jahre gebraucht hat, bis das Internet die Bankenwelt getroffen hat, es aber nur 5-6 Jahre waren für das App-gestützte Mobile Banking, darf man annehmen, dass es mit dem Metaverse zumindest nicht länger dauern wird, vor allem wenn man bedenkt, dass auch die meisten Bereiche der Smart Cities das Web3 als Basis benötigen werden. Je näher man sich mit seinem Geschäftsmodell bereits an Kryptowährungen, NFTs und Smart Contracts befindet, umso schneller wird das Metaverse samt Web3 an Relevanz gewinnen, auch im AFC-Umfeld.
• Smart Contracts & NFTs. Fangen wir mit dem Einfacheren an, den Non-Fungible Tokens (NFTs). Diese eindeutigen Eigentumsnachweise sind ein Kernbestandteil des Web3, allerdings in ihrer Breitenadaption bereits deutlich vorangeschritten. Abseits ihres Daseins im Bereich digitaler Kunst stellen Handel und Tokenisierung interessante Features dar, die ein Wachstum von NFTs auch in naher Zukunft erwarten lassen. Ähnlich wie im Metaverse ist hier die Konsumgüterindustrie Vorreiter. Man sollte daher NFTs nicht nur auf eine Asset-Klasse reduzieren, sondern als interessante Technologie wahrnehmen. Dies gilt umso mehr für Smart Contracts. Das sind digitale Verträge in Form einer Anwendung, die auf der Blockchain-Technologie aufbaut. Diese intelligenten Verträge können durch ihre eigene Anwendung handeln, wenn bestimmte Bedingungen erfüllt werden, und bedürfen keiner menschlichen Überwachung. Die Vertragsparteien werden durch Token definiert. Es gibt die ersten Finanzprodukte, die auf Smart Contracts basieren und die Handelsfinanzierung erleichtern sollen. Auch in den Lieferketten von Handels- und Industrieunternehmen finden Smart Contracts zunehmend ihren Einsatz. Wir gehen davon aus, dass in Zukunft komplexere Handelskonstrukte, die einer gewissen Volatilität unterliegen und daher auch smarte Anpassungen dieser selbstausführenden Verträge benötigen, möglich sein werden. Wie weit das die handelsbezogene Geldwäsche hilft zu bekämpfen, hängt aber von der Akzeptanz und der zunehmenden Adaption der Technologie ab.
• Crypto Currencies. Abseits der Sichtweise als Spekulationsobjekt und weniger als Ersatz für Fiatwährungen wird diese Asset-Klasse weiterhin Bestand haben. Ob man den Kryptowinter als strukturellen Einbruch oder kontrollierten Crash bezeichnen mag, wird nichts daran ändern, dass Kryptowährungen uns erhalten bleiben werden. Aus Sicht der AFC-Compliance stellen sie ein risikobehaftetes Asset dar. Dies sollte zwingend Niederschlag im Risikomodell und der Risikoanalyse finden und wird so manchen Geldwäschebeauftragten vor Fragezeichen stellen. Nach dem Kollaps der Handelsplattform FTX und nun auch angeblichen Transparenzproblemen bei Binance sehen sich die Kryptobörsen einer gesteigerten Aufmerksamkeit der Aufsicht gegenüber. In diesen Fällen allerdings eher in Bezug auf das Aufklären möglicher Betrugsszenarien, konkret im Bereich der Finanzberichterstattung. So oder so steht den Kryptobörsen in den kommenden Monaten nach dem Kryptowinter zumindest noch ein frostiger Frühling bevor.

Effektivität & Effizienz. Man ist geneigt, diesen Punkt immer als technologisch motiviert zu betrachten. Dem ist nicht so! Zwar nehmen in diesem Bereich die Themen Automatisierung und KI/ML einen großen Raum in der Diskussion ein, doch wäre es fatal anzunehmen, dass ausschließlich mittels Technologie eine Besserung der Situation herbeigeführt werden könne. Technologie – ob neu oder geändert – sollte immer auch eine Adaption der Prozesse und gegebenenfalls der Aufbauorganisation nach sich ziehen oder dies der Technologie gar vorausgehen.

• Compliance Resilience adressiert die Effektivitätsperspektive und stellt eine zunehmende Herausforderung für Verpflichtete dar. Um das effizient zu bewerkstelligen, bedarf es Konzepte. Technologien und Techniken sind vorhanden. Ein solches Konzept stellen wir im Rahmen unserer AFC-Governance-Initiative in Kürze vor. Dies sehen wir als einen langfristigsten Schwerpunkt, dem sich Verpflichtete, Systemanbieter und -integratoren in den kommenden Jahren stellen müssen.
• Technologie-Einsatz. In der gleichen Ecke würde ich die zunehmende Nutzung von Automatisierungstechniken sowie die KI-Adoption sehen. Neben der weiteren Verwendung von robotergestützter Prozessautomatisierung („Robotic Process Automation” (RPA)) sei auch das Thema der „Entity Resolution“ (ER) erwähnt, welches zu einer Qualitätsverbesserung und damit zu einer Automatisierung von Entscheidungen im Bereich der KYC-Prozesse verstärkt beitragen wird. Bezogen auf die KI sei auf das bunq-Urteil^[5] verwiesen, welches sicherlich eine weitere KI-Adaption in der regulatorischen Compliance nach sich ziehen wird. An den Anwendungsfällen ändert sich unserer Meinung nach wenig. Diese sind bekannt und sollten – unter Berücksichtigung der Anwendungsrichtlinien der Regulatoren, aber auch der spezifischen Regulation (Stichwort hier unter anderem der EU AI Act oder der New York AI Bias Act) – wohl überlegt implementiert werden. Die KI ist Ergänzung und nicht zwingend Ersatz für bestehende regelbasierte Systeme. Auch hier zeigen unsere Untersuchungen in der Anbieterlandschaft (AML/KYC-Anwendungsanbieter) eine zunehmende Offenheit, die von existierenden Schnittstellen zu KI-Modellen bis hin zur Einbettung dieser Modelle reichen. Kooperation und Koexistenz statt Wettbewerb und Ersatz also. Als Schlüsseltechnologie würde man hier aber bei einer (Teil-) Ablösung von regelbasierten Systemen zwingend den Bereich der erklärbaren KI („Explainable AI“) nennen müssen. Aufgrund der Tatsache, dass es kaum verlässliche Trainingsdaten gibt − von den unscharfen FIU-Reports und deren zugrunde liegenden Daten einmal abgesehen − ist es umso wichtiger, Modellverzerrungen zu erkennen und die Ergebnisfindung verstehen zu können. Darüber hinaus seien „Digital Twins“ für die Abarbeitung von Spitzen in der Fallbearbeitung sowie der Bereich des „Natural Language Processing“ (siehe hierzu den oben erwähnten ChatGPT) für die Falldisposition und/oder die Vorbewertung von aufgeworfenen Fällen genannt. Je stärker KI/ML im AFC-Bereich Einzug halten, umso wichtiger werden dann auch die Themen des Betriebs und der zuverlässigen und effizienten Bereitstellung („Machine Learning Operations” (MLOps)).
• Datenintegration, Datenqualität & Datenschutz. Datenqualität ist ein müßiges Thema, welches mindestens so alt ist wie meine bisherige Berufslaufbahn. Zum einen wird von einigen Regulatoren, dazu zählt u. a. die Bafin, eingefordert, im Bedarfsfall Maßnahmen zur Verbesserung der Datenqualität herbeizuführen. Zum anderen kommt der Qualität der Daten eine ungleich höhere Bedeutung zu, wenn man mit KI/ML-Methoden arbeiten möchte. Insofern bestehen in der AFC-Compliance zwei Motivationen, aktiv zu werden, so unliebsam das Thema auch sein mag. Eine Bewertung der entsprechenden Anwendungshinweise der Bafin zu diesem Punkt kann man hier finden: 👉Mirko Janyga: Ziffer 6 der AuA BT – BaFin Konkretisierungen zu Monitoringsystemen hilfreich, 👉Uwe Weber: Die Auswirkungen mangelhafter Datenqualität auf die Compliance. Datenintegration ist ein Teil der Datenqualität, stellt aber speziell im traditionellen Bankenumfeld eine ganz eigene Herausforderung bei der digitalen Transformation dar, auch im AFC-Bereich. Für Neobanken gilt das weniger aufgrund des Fehlens einer IT-Systemhistorie. Dass das Thema strategisch relevant ist, ist seit geraumer Zeit bekannt. Ob das in dem aktuellen wirtschaftlichen Umfeld angegangen wird, bleibt fraglich. Das Thema Datenschutz ist auch kein neues. Aber im Zusammenhang mit den oben genannten Punkten der Public-Public, Public-Private und Private-Private Partnerships wird das zwangsweise bei FIUs, Beauftragten, aber auch bei Industrieunternehmen in der Compliance ein dringendes Thema im Jahr 2023 und in Folgejahren darstellen. Ich möchte auch die Synthetisierung von Daten in Zusammenhang mit den oben erwähnten KI/ML-Techniken erwähnen, die sehr vorteilhaft zum Beispiel für das Backtesting ist. Gerade letzteres wird dieses Jahr, wie oben im Bereich der Regulation beschrieben, für die Überwachung der Risikomodelle, neudeutsch Model Governance, eine große Bedeutung haben.
• Total Cost of Ownership. Bei all den IT-Initiativen, der Vielzahl der Systeme, Systemkomponenten und der hohen Integrationspunkte im Bereich AFC rücken in der aktuellen wirtschaftlichen Situation auch die Kosten von AFC-Compliance verstärkt in den Blickpunkt. Neben der Standardisierung der Systeme, der Homogenisierung der Systemlandschaft und der verbesserten Integration der Daten stellt sich vermehrt die Frage, ob eine simple Reduzierung auf eine One-Vendor-Strategie nicht ebenso problematisch ist wie das andere Extrem, die Best-in-Class-Strategie. Komplettiert wird die Diskussion um das Outsourcing auf der einen und das Insourcing auf der anderen Seite. Beides auch getrieben von der ein oder anderen Regulation, zum Beispiel AMLA. So kommen in der AFC-Compliance neben den eigentlichen Softwaresystemen auch die Betriebsmodelle auf den Prüfstand.

Man könnte sehr viel mehr schreiben, doch stellen die oben angeführten Punkte meines Erachtens eine gute Mischung aus aktuell diskutierten und für die nahe Zukunft zu erwartenden Herausforderungen dar. AFC-Compliance bleibt, wenig überraschend, auch im Jahr 2023 ein anspruchsvolles Thema sowohl in Punkto Effektivität als auch notwendiger Effizienzverbesserung und Verhältnismäßigkeit der Mittel.

^[1] ChatGPT Dec 15 Version in a Free Research Preview; Original Question: “Got any ideas to improve combatting financial crime?”

^[2] Transformer bezeichnet ein Deep-Learning-Modell, welches auf sequentiellem Dateninput basiert, der aber parallelisiert werden kann und damit hilft, die Trainingszeit deutlich zu reduzieren.

^[3] Der Begriff „Feedback Transformer“ entstammt einem Forschungspapier vom 25.01.2021 der Autoren Angela Fan, Thibaut Lavril, Edouard Grave, Armand Joulin, Sainbayar Sukhbaatar, sämtlich von Facebook AI Research, in dem Limitationen von herkömmlichen Transformer-Modellen ebenso aufgezeigt wurden wie die mögliche Beseitigung dieser Einschränkungen. Wir empfinden den Begriff tendenziell irreführend und verwenden in der Regel den Begriff „rekursiver Transformer. Hierbei werden alle Layer in einem Vektor pro Zeitschritt dem Modell-Gedächtnis zugeführt, nicht nur die Repräsentationen der niedrigeren Ebenen. Daraus entstehen deutlich leistungsfähigere Modelle.

^[4] Vgl. Brunnermeier, M. K. (2021), The Resilient Society, 2^nd Edition.

^[5] Am 18.10.2022 urteilte das zuständige Gericht in Amsterdam, dass die Neobank bunq zur Bekämpfung von Geldwäsche sehr wohl auf Methoden der künstlichen Intelligenz zurückgreifen könne. Unter anderem das wurde von der niederländischen Zentralbank bislang abgelehnt. In dem Urteil werden allerdings auch Mängel der Bank in der Effektivität des Monitorings vor allem im Bereich der Kundenrisikoklassifizierung bestätigt. Sowohl die DNB als auch bunq sehen ihre Meinungen in dem Urteil bestätigt. In Bezug auf den Einsatz moderner Technologie zur Bekämpfung der Geldwäsche hat die DNB auf Basis des Urteils angekündigt, in den Dialog mit dem Finanzsektor zu gehen.

Es wird viel geschrieben und berichtet zum Thema Lieferketten-Compliance, ob zum deutschen Lieferkettensorgfaltspflichtengesetz (LkSG), der entsprechenden EU-Direktive, die dazu in Vorbereitung ist, oder den international schon länger gültigen und ebenfalls die Lieferkette betreffenden exterritorialen Gesetze wie den UK Bribery Act (UKBA) oder den US Foreign Corrupt Practices Act (FCPA). Meine Kolleginnen haben sich bereits inhaltlich mit den einzelnen Richtlinien wie auch den weiteren Kontext zu Bestechung, Korruption und ESG auseinandergesetzt und dies in anderen Blogbeiträgen veröffentlicht. [👉Pinar Karacinar-Gehweiler: Compliance-Anforderungen aufgrund des Lieferkettensorgfaltspflichtengesetzes; 👉Lea Ilina: ESG im Spannungsfeld der Korruption]. Dieser Blogbeitrag skizziert nun ein entsprechendes IT-System zur Unterstützung der Lieferketten-Compliance und zeigt auf, welche Komponenten wie und warum Teil eines solchen Systems sein sollten.

Auch wenn die oben genannten Regulatorien auf den ersten Blick wenig gemein zu haben scheinen, so verbinden sie doch alle mindestens die nachfolgenden Punkte:

• Risikoanalyse: Die Basis für die Erfüllung der Regulatorien ist die Erstellung einer unternehmensspezifischen Risikoanalyse, die u.a. die Lieferanten, deren Beziehung zum eigenen Unternehmen, Regionen, Produkte und Services, Vertragsarten und weitere Risikoobjekte abdeckt. Es erscheint sinnvoll, dies einmal für alle Regelwerke zu erstellen, falls noch nicht geschehen, oder die bestehende Risikoanalyse entsprechend zu erweitern.
• Lieferanten-Screening: Der offenkundigste Teil eines Systems für die Lieferketten-Compliance ist die Prüfung der Lieferanten nach dem „Know Your Customer“ (KYC)-Prinzip. Dieser Teil wird im Markt unterschiedlich bezeichnet: KYV („Know Your Vendor“), KYBP („Know Your Business Partner“), etc. Wir übersetzen das „C“ gerne mit Counterpart und können ohne Probleme mit dem KYC-Prinzip auskommen. Abgesehen von der Begriffsverwirrung geht es hier darum, den Geschäftspartner an sich und die gegebenenfalls relevanten Akteure des Partners zu kennen und gegen einschlägige Listen zu prüfen. Neben Sanktionslisten sind auch PEP-Listen (PEP = Politisch Exponierte Personen) sowie weitere Informationen wie negative Nachrichten („Adverse Media“) einzusetzen. Hier sind drei Stufen zu beachten: Identitätsprüfung, Integritätsprüfung sowie die spezifische Risikoprüfung gegen die in der Risikoanalyse identifizierten Risiken. Dieses Screening erfolgt initial bei der Anfrage/Entscheidung, ob eine Geschäftsbeziehung eingegangen werden kann/darf/soll sowie fortlaufend und risikobasiert.

Daraus ergibt sich kurz folgende Prozesssicht auf die Thematik:

Abb. 1: Prozessuale Sicht Geschäftspartner-Screening

Die Zusammenlegung der skizzierten Themen ermöglicht das Heben von Effizienz- und Produktivitätsvorteilen. Es lässt sich so ein einheitliches System für die Geschäftspartner-Compliance herstellen, welches die diesbezüglichen unternehmensspezifischen Risiken ganzheitlich abdeckt und darstellt. Neben Transparenzvorteilen ergibt sich hieraus vor allem eine Redundanzvermeidung in der Bearbeitung unternehmensintern wie auch auf Seiten des Geschäftspartners, also des Lieferanten. Die Unterstützung durch ein flexibles IT-System, der Einfachheit halber Lieferketten-Compliance-Lösung genannt, trägt weiter zur Kostensenkung durch Vermeidung von IT-Silos, redundanter Datenaufbereitung und -haltung und zur Verringerung der sonstigen direkten und indirekten Kosten einer solchen Softwarelösung im Vergleich zu mehreren Einzellösungen bei.

Aus den oben angeführten Überlegungen im Zusammenhang mit der prozessualen Sicht auf einen Geschäftspartner-Lebenszyklus ergibt sich für den Aufbau einer solchen, flexiblen Softwarelösung folgender schematischer Aufbau, angefangen mit den Kernprozessen:

• Identitätsprüfung (Überprüfung der Stammdaten von Geschäftspartnern): Neben legalem Namen und Adresse sind beispielsweise die Mitglieder der Organe (Geschäftsführer, Beiräte, Vorstände, etc.) wie auch die Eigentumsverhältnisse (Stichwort: Wirtschaftlich Berechtigte) zu erfassen. Diese Informationen spielen bei der automatisierten Weiterverarbeitung aus unterschiedlichen Gründen eine wichtige Rolle. Diese Prüfung muss während des Onboarding-Prozesses, aber auch zur kontinuierlichen Überwachung durchgeführt werden. Wie der Prozessname es erahnen lässt, geht es hierbei um die Identitätsfeststellung des Geschäftspartners in all seinen Facetten. Anbindungen an Auskunfteien und Intermediäre, wie z. B. Dun & Bradstreet oder ähnliche, können den Automatisierungsgrad erhöhen. Die Verwendung von flexiblen, dynamischen, digitalen Fragebögen kann ebenfalls positiv auf die Effizienz wirken. Sie helfen Redundanzen zu reduzieren und sind als Self-Service-Komponente beispielsweise im Bieterprozess nutzbar.
• Integritätsprüfung (Überprüfung der identifizierten Stammdaten von Geschäftspartnern anhand einer Reihe von Listen (direkte wie indirekte/sektorale Sanktionen, PEP, Unternehmen mit schlechter Presse/unfreundlichen Medien, etc.)): Dieser Listensatz unterscheidet sich von dem, der für die Identitätsprüfung verwendet wird. Üblicherweise kommen hier Compliance-spezifische Listen zum Einsatz. Natürlich kann im Bereich des Sanktionsmanagements auch mit den öffentlich bereitgestellten Listen der EU, USA, UK und beispielsweise der Weltbank gearbeitet werden. Im Rahmen einer Make-or-Buy-Betrachtung sind aber sowohl Aufwand wie auch Risiken des Datenmanagements zu beachten. Neben der Prüfung im Onboarding eines Geschäftspartners ist dies auch kontinuierlich zu prüfen, da sich das Integritätsrisiko ständig verändern kann.
• Spezifische Risikoprüfung: Zur Überprüfung der erweiterten Daten von Geschäftspartnern auf Beziehungsrisiken bezüglich regulatorischer Aspekte (nicht operativer Risiken) werden aus der Risikoanalyse abgeleitete Regeln definiert, die dann zu sogenannten „Red Flags“ führen können, also risikorelevanten Sachverhalten, die es zu bewerten und zu bearbeiten gilt. Es gebietet sich, diese Prüfung beim Onboarding des Geschäftspartners durchzuführen und nach Entscheidung der Aufnahme einer Geschäftsbeziehung periodisch auf Basis der Risikoeinstufung zu überprüfen. Es empfiehlt sich weiter, das Risikomodell flexibel gestalten zu können. Damit ist einerseits die Möglichkeit gemeint, beliebig weitere Prüfregeln zu definieren – am besten durch die jeweilige Fachabteilung – sowie andererseits auch die Veränderung des Risikobewertungsmodells vorzunehmen. Ein Risiko-Scoring-Modell mit dominierenden Risiken hat sich hier als effektiv wie effizient herausgestellt. Auch hat sich in der Vergangenheit die bereits angesprochene digitale Fragebogenkomponente als vorteilhaft erwiesen, solange sie flexibel im Aufbau und dynamisch interaktiv bei der Beantwortung agieren kann.
• Event- & Transaktionsprüfung: Die Event- und Transaktionsprüfung kann in unterschiedlichen Komplexitätsstufen umgesetzt werden. Neben einigen Standardprüfungen bei Hochrisikotransaktionen kann hier beispielswiese auch auf Basis eines bereits im Einsatz befindlichen Betrugspräventionssystems gearbeitet werden. Auch wenn dies nicht zu empfehlen ist, wird dieser Bereich bei einer Software-gestützten Lösung oftmals nachrangig behandelt. Dies hat nicht zuletzt mit der Komplexität der Sache in Verbindung mit der umgesetzten Prozessrealität in Unternehmen und in deren ERP-Systemen zu tun. Gerne wird diese Prüfung daher transaktionsspezifisch per Organisationsanweisung auf die sogenannte „First Line of Defence“ (Operative Kontrollen) und „Third Line of Defence“ (Interne Revision) sowie Hinweisgebersysteme ausgelagert und nachrangig mittels IT unterstützt. Hier ergeben sich durch künstliche Intelligenz sowie Process-Mining-Funktionalitäten aber neue, sehr effiziente Möglichkeiten einer IT-Unterstützung und Automatisierung, die das in diesem Bereich liegende Risiko von Bestechung und Korruption deutlich mindern können.
• Fallmanagement: Alle Warnungen und generierten Fälle aus Identitäts-, Integritäts- und Risikoprüfungen müssen analysiert und entschieden werden, gegebenenfalls erst nach einer erweiterten Prüfung, die man auch „Enhanced Due Diligence“ (EDD) nennt. Ein Fallmanagement macht dies alles transparent, ermöglicht die Sicherstellung der notwendigen Bearbeitungsqualität sowie die komplexitätsgesteuerte Verteilung bzw. Delegation von Hinweisen, Fällen oder Teilaspekten davon. Typischerweise generiert die Softwarelösung auf Grund der bisherigen Prüfschritte einen Vorschlag für das initiale Risiko, welches es zu bestätigen oder zu verwerfen gilt. Das wiederum definiert, dass das Risiko idealerweise wie folgt zu unterteilen ist:
  • Initiales Risiko, welches initial beim Onboarding identifiziert und bestätigt wird.
  • Laufendes Risiko, welches sich kontinuierlich durch die Zusammenarbeit ergibt und verändert (vor allem durch risikorelevante Stammdatenänderungen oder entsprechende Events und Transaktionen).
  • Manuelles Risiko, welches durch einen entsprechend berechtigten Mitarbeiter manuell eingesteuert wird.
  • Vererbtes Risiko, welches z. B. durch Firmenzusammengehörigkeit bzw. wirtschaftlich Berechtigte besteht. Im Gegensatz zu den vorgenannten drei ist diese Risikoart optional im Zusammenhang mit der Geschäftspartner-Compliance zu sehen.
• Freigabemanagement: Die Akzeptanz einer bestimmten Risikoposition eines bestimmten Geschäftspartners muss von den Entscheidungsträgern des Unternehmens in enger Zusammenarbeit mit Compliance genehmigt werden. In den meisten Fällen tritt Compliance nur als Ratgeber auf, in anderen Fällen sollte es ein Entscheidungs- bzw. Vetorecht einfordern. Dies geschieht im Rahmen des Freigabemanagements. Im Zusammenhang mit dem oben genannten Risikomodell kann so ein identifiziertes Bruttorisiko, welches sich aus der Risikoanalyse ergibt, durch Maßnahmen im Zusammenhang mit der Geschäftsbeziehung und dem zugehörigen Vertragswesen reduziert werden − sofern man das zulassen möchte. In einem solchen Fall ergibt sich dann das Nettorisiko, über welches zu entscheiden wäre. Es versteht sich von selbst, dass alle Maßnahmen im Rahmen des Genehmigungsverfahrens mitprotokolliert werden müssen, um eine Revisionssicherheit gewährleisten zu können. Die prozessuale Darstellung oben zeigt auf, dass dies nicht nur für das Freigabemanagement gilt, sondern sich durch den Gesamtprozess zieht.
• Reporting: Neben Auditberichten sind hier vor allem die regulatorisch notwendigen Lageberichte zu nennen, die aus der Anwendung heraus, vorlagenbasiert unterstützt werden sollten, um Zeit und Aufwand zu sparen. Auch das Berichtswesen für das Management zur Risikosituation entlang der Lieferkette sowie die Governance über den gesamten Geschäftspartner-Prozess sind in diesem Zusammenhang anzuführen.

Nachdem die Kernprozesse grob beschrieben wurden, ergibt sich die Frage der Akteure, die an bzw. mit einem solchen System arbeiten müssen, also die Frage nach Schnittstellen und Benutzerrollen. Auch hier ist die Auflistung schematisch zu verstehen.

Schnittstellen:

• ERP-System(e): Hier ist vor allem das Stammdaten-führende System gemeint. Das kann ein ERP-System sein oder aber auch ein CRM-, SCM-, MDM-, Bieterportal oder ein ähnliches System, welches die Stammdaten, Ereignisse und Transaktionen von Geschäftspartnern verwaltet (z. B. Microsoft, Salesforce, SAP, u.a.). Nicht selten sind es mehrere Systeme. Die Art der Integration entscheidet über den Grad der Automatisierung und die Akzeptanz des Systems im Gesamtprozess.
• Auskunfteien/Research-Anbieter: Dies sind öffentliche oder lizenzierte Anbieter von relevanten Inhalten zu Geschäftspartnern, die zur Stammdatenpflege wie auch zur Risikoprüfung verwendet werden können/sollten (z. B. Dow Jones, Dun & Bradstreet, Moody’s, aber auch öffentliche Listen der EU, UK, USA usw.). Hier ist aus Risikogesichtspunkten zu definieren, mit welchen Anbietern und Datenquellen gearbeitet werden soll. So gibt es spezielle Anbieter, die auf Geschäftspartner aus bestimmten Regionen, z. B. die vormaligen GUS-Staaten oder auch die arabisch sprechende Welt, spezialisiert sind, sowie Generalisten. Je nach Risikoappetit kann für die einfache Risikoprüfung der eine, für die erweiterte Risikoprüfung oder die Qualitätssicherung ein anderer Anbieter gewählt werden.
• Internet: Für eine tiefere Onlinerecherche über einen bestimmten Geschäftspartner sollte eine protokolierbare Internet-Recherche bereitgestellt werden.
• Whistleblower/Beschwerdemanagement: Eine Beschwerdemöglichkeit über direkte/indirekte Geschäftspartner ist z. B. nach LkSG einzurichten und abzudecken. Es muss dann eine Untersuchung und Risikoneubewertung durchgeführt werden. Dies kann als Schnittstelle zu einem existierenden System umgesetzt werden oder durch eine Organisationsanweisung und manuelle Erfassung eines entsprechenden Hinweises im Rahmen des Kernprozesses zum Fallmanagement.

Zu den Schnittstellen ist zu bemerken, dass hier nicht auf spezielle, landes- oder industriespezifische Berichtsanforderungen zu Aufsichtsbehörden eingegangen wird, die gegebenenfalls eine weitere Schnittstellenanforderung darstellen können.

Benutzerrollen:

• GP-Antragsteller: Diese Rolle beantragt einen neuen Geschäftspartner/Lieferant und/oder eine neue Geschäftspartnerbeziehung.
• GP-Eigentümer: Diese Rolle „besitzt“ einen bestimmten Geschäftspartner und/oder eine bestimmte Geschäftspartnerbeziehung und ist für diese verantwortlich.
• Compliance: Diese Rolle soll nur exemplarisch Compliance als Anwenderrolle darstellen. Gerne wird diese noch beliebig unterteilt.
• Genehmiger: Diese Rolle steht exemplarisch für die geschäftlichen Entscheidungsträger, welche die Aufnahme eines bestimmten Geschäftspartners und/oder die Änderung des Risikopotenzials eines bestehenden Geschäftspartners prüfen und genehmigen/verweigern können.
• Geschäftspartner: Der Geschäftspartner bzw. Lieferant kann in den Prozess direkt im Rahmen eines Self-Service miteinbezogen werden.

Zu den Rollen ist zu bemerken, dass diese immer unternehmensspezifisch einzurichten sind und sich diese wie auch die Rollenbezeichnungen durchaus anders darstellen können.

Daraus ergibt sich grob das folgende Use-Case-Diagramm für ein IT-gestütztes Lieferketten-Compliance-System:

Abb. 2: Use-Case-Diagramm eines IT-gestützten Systems für die Lieferketten-Compliance (ohne Ereignis-/Transaktionsmonitoring)

Die skizzierte IT-gestützte Umsetzung eines Geschäftspartner-Compliance-Systems ist generisch und kann in dieser Form die regulatorischen Compliance-Anforderungen zur Zusammenarbeit mit Geschäftspartnern allgemein (Vertriebspartner, Joint-Ventures, Forschungsinitiativen, HR-Partner, etc.) sowie Lieferanten im Speziellen unterstützen. Auf aufsichtsrechtliche Spezifika wurde aus Gründen der Übersichtlichkeit ebenso verzichtet wie auf industriespezifische Anforderungen. Im Rahmen dieser Blogreihe werden wir in Kürze auch Einblicke bzw. Beispiele geben zu Risikomodell, Prüfstrategie und Reporting. Es lohnt sich also, dem #rethinkcompliance Blog zu folgen und dranzubleiben.

Ein halbes Jahr nach dem Unglück gab es ein Abkommen namens „Rana Plaza Arrangement“, wodurch Angehörige Entschädigungen erhielten. Die Firmen haben sich zunächst geweigert und erst im Oktober 2015 wurde den Betroffenen die Entschädigungen ausbezahlt. Eine weitere, durch dieses Ereignis ausgelöste Veränderung war das Gebäudesicherheitsabkommen „Accord on Fire and Building Safety in Bangladesh“. Diese steht für besseren Schutz und mehr Sicherheit in den Textilfabriken, um die Missstände dort aufzuheben. Ende 2013 wurde auch der Mindestlohn der Textilarbeiter endlich angehoben.^[i]

Was wird vom Lieferkettengesetz erfasst?

Unternehmen sind sich im Regenfall der Risiken ihres Agierens im internationalen Kontext bewusst. Dennoch lautet der Vorwurf häufig, dass sie beispielsweise günstig im Ausland produzieren, ohne sich um die Risiken, die für Mensch und Umwelt entstehen, zu kümmern. Genau hier setzt das LkSG an. Künftig tragen Unternehmen die Verantwortung für die Verletzung von Menschen und Umweltrechten entlang der Lieferkette.

Das am 11. Juni 2021 verabschiedete so genannte Lieferkettengesetz soll dafür Sorge tragen, dass Unternehmen von der Rohstoffgewinnung bis zum Endkunden auf Menschenrechte und die Umwelt achten. Dies gilt sowohl im In- als auch im Ausland. Dadurch sollen beispielsweise Kinderarbeit, Zwangsarbeit, Diskriminierung und mangelnde Sicherheitsstandards in der Lieferkette verhindert werden. Durch bessere Arbeitsbedingungen soll das Risiko für Arbeitsunfälle und andere Gesundheitsrisiken minimiert werden.

Der Begriff der Lieferkette ist weit gefasst. Davon werden gemäß § 2 Abs. 5 LkSG sämtliche Produkte und Dienstleistungen erfasst, insbesondere alle Schritte im In- und Ausland, die zur Herstellung der Produkte und zur Erbringung der Dienstleistungen erforderlich sind. Darüber hinaus ist neben der direkten Anwendbarkeit auch die mittelbare Ausstrahlungswirkung des LkSG zu berücksichtigen.

Ab wann müssen die Inhalte des neuen Gesetzes umgesetzt werden?

Am 1. Januar 2023 wird das LkSG in Kraft treten. Unternehmen müssen jetzt schon ihr Risikomanagement entsprechend der neuen gesetzlichen Anforderung anpassen. Das Lieferkettengesetz verpflichtet alle Unternehmen dazu, einen klaren verhältnismäßigen und zumutbaren gesetzlichen Rahmen zur Erfüllung der menschenrechtlichen Sorgfaltspflichten einzuhalten. Die Anforderungen orientieren sich am Due-Diligence-Standard.

Ist mein Unternehmen vom LkSG betroffen?

Das LkSG ist auf alle Unternehmen nach deutschem oder ausländischem Recht unabhängig von ihrer Rechtsform anwendbar, wenn sie ihren Hauptverwaltungs- oder Satzungssitz oder ihre Hauptniederlassung in Deutschland haben.

Zudem werden auch Unternehmen erfasst, die gemäß § 13 d HGB eine Zweigniederlassung in Deutschland haben. Auch deutsche Tochterunternehmen können in den Anwendungsbereich des LkSG fallen.

Weitere Voraussetzung ist, dass es sich um Unternehmen mit mindestens 3.000 Beschäftigten handelt, wozu auch etwaige ins Ausland entsandte Arbeitnehmer zählen. Bei Obergesellschaften ist die Mitarbeiterzahl aller konzernangehörigen Gesellschaften einzuberechnen. Bei der Mitarbeiterzahl müssen auch Leiharbeitnehmer, die mindestens sechs Monate für das Unternehmen tätig sind, berücksichtigt werden.

Ab dem 1. Januar 2024 sinkt dieser Schwellenwert von 3.000 auf 1.000 Mitarbeiter.

Im Sommer 2024 soll darüber hinaus entschieden werden, ob der Anwendungsbereich des LkSG noch weiter ausgedehnt wird, so dass auch Unternehmen mit weniger als 1.000 Arbeitnehmern durch das LkSG verpflichtet werden.

Experten vermuten, dass Unternehmen, die Nicht-Verpflichtete nach dem LkSG sind, zumindest mittelbar betroffen sein werden. Mit ihnen zusammenarbeitende Unternehmen könnten sie vertraglich verpflichten, so dass auch sie sich an die Sorgfaltspflichten des Lieferkettengesetzes halten müssen. Darüber hinaus sind zuliefernde Unternehmen mittelbar vom LkSG betroffen.

Was passiert, wenn ich mich nicht oder zu spät an die neuen gesetzlichen Anforderungen halte?

Bei einem Verstoß gegen das LkSG können Bußgelder bis zu 800.000 Euro bei vorsätzlichen und fahrlässigen Verstößen drohen. Bei Unternehmen mit einem Umsatz von mehr als 400 Mio. Euro kann das Bußgeld auf bis zu zwei Prozent des globalen Umsatzes erhöht werden. Nach § 22 LkSG können Unternehmen sogar für einen Zeitraum von bis zu drei Jahren von der Vergabe öffentlicher Aufträge ausgeschlossen werden, wenn ein Bußgeld von 175.000 Euro oder mehr verhängt wird. Ein mit einem Verstoß einhergehender Imageschaden könnte mittelbar zu weiteren finanziellen Schäden führen.

Allerdings ist gemäß § 3 III LkSG eine zivilrechtliche Haftung des Unternehmens wegen Verletzungen von Sorgfaltspflichten bezüglich der Wahrung von Menschenrechten sowie dem Schutz der Umwelt ausgeschlossen. Folglich gibt es auch keine persönliche Haftung der Geschäftsleiter wegen Verstößen gegen das LkSG.

Welche Pflichten habe ich als Unternehmen?

Die aus dem LkSG resultierenden Sorgfaltspflichten lassen sich folgendermaßen unterteilen:

• eigenes Handeln im eigenen Geschäftsbereich nach § 2 V Nr. 1, VI LkSG
• Handeln eines Vertragspartners,
• das Handeln eines unmittelbaren Zulieferers gemäß § 2 V Nr. 2, VII LkSG und
• das Handeln eines mittelbaren Zulieferers nach § 2 V Nr. 3, VIII LkSG.

Damit endet die Verantwortung nicht mehr wie bisher ausschließlich im eigenen Unternehmen, sondern diese besteht – wie der Name des Gesetzes schon erkennen lässt – darüber hinaus: entlang der Lieferkette.

Das Lieferkettengesetz enthält einen abschließenden Katalog von elf international anerkannten Menschenrechtsübereinkommen. Aus den dort geschützten Rechtsgütern werden Verhaltensvorgaben bzw. Verbote für unternehmerisches Handeln abgeleitet, um eine Verletzung geschützter Rechtspositionen zu verhindern. Dazu zählen insbesondere die Verbote von Kinderarbeit, Sklaverei und Zwangsarbeit, die Missachtung des Arbeits- und Gesundheitsschutzes, die Vorenthaltung eines angemessenen Lohns, die Missachtung des Rechts, Gewerkschaften bzw. Mitarbeitervertretungen zu bilden, die Verwehrung des Zugangs zu Nahrung und Wasser sowie der widerrechtliche Entzug von Land und Lebensgrundlagen.

Das Gesetz spricht in § 3 LkSG lediglich von Bemühenspflichten der Unternehmen. Es besteht also weder eine Erfolgspflicht noch eine Garantiehaftung. Sämtliche Sorgfaltspflichten stehen zudem unter einem Angemessenheitsvorbehalt, der Unternehmen einen Ermessens- und Handlungsspielraum einräumt. Eine Abstufung der Pflicht ergibt sich aus den bestehenden Einflussmöglichkeiten des Unternehmens. Daraus resultiert, dass gemäß § 3 III LkSG Unternehmen für eine Verletzung der ihnen auferlegten Sorgfaltspflichten zivilrechtlich nicht zur Verantwortung gezogen werden können. Somit gibt es auch keine persönliche Organhaftung der Geschäftsleiter.

Auch wenn Unternehmen Menschenrechte und Umweltbelange beachten müssen, kann von ihnen nichts Unmögliches abverlangt werden. Die Sorgfaltspflichten können auch dann erfüllt werden, wenn nicht die gesamte Lieferkette nachverfolgt oder Präventions- oder Abhilfemaßnahmen nicht vorgenommen werden konnten, falls dies tatsächlich oder rechtlich unmöglich war.

Auch wenn das LkSG insbesondere von Unternehmerverbänden kritisiert wurde, weil dies nach ihrer Ansicht beispielsweise die Wettbewerbsfähigkeit schädigen würde, so ist das Thema Nachhaltigkeit in der Rechtslandschaft nicht ganz neu. Seit 2017 besteht im Rahmen des CSR RUG (CSR-Richtlinie-Umsetzungsgesetz) die Verpflichtung zur Offenlegung von bestimmten Nachhaltigkeitsaspekten wie Umwelt- und Sozialbelange, Arbeitnehmerbelange, Achtung der Menschenrechte und Bekämpfung von Korruption.

Welche Compliance-Maßnahmen muss ich ergreifen?

Aufgrund des LkSG sind Unternehmen und Geschäftsleiter verpflichtet, ein Compliance-System zur Beachtung von menschenrechts- und umweltbezogenen Sorgfaltspflichten einzurichten:

• Einrichtung eines entsprechenden Risikomanagementsystems
• Einrichtung einer internen verantwortlichen Person oder eines Beauftragten
• Herausgabe einer entsprechenden Grundsatzerklärung
• Implementierung eines (direkten/indirekten ereignisbasierten) Lieferanten-Due-Diligence-Prozesses
• Durchführung von regelmäßigen/kontinuierlichen Risikoanalysen
• die Ausrichtung auf risikobasierte und korrigierende Maßnahmen
• die Festlegung von Präventivmaßnahmen innerhalb der eigenen Geschäftseinheit(en) und der direkten Lieferanten
• die Einrichtung eines Beschwerdeverfahrens ("Whistleblowing-System")
• Dokumentation und Berichterstattung

Das Gesetz schreibt in § 4 I LkSG vor, dass ein Risikomanagement eingerichtet werden muss, um Risiken sowie Verletzungen von Menschen- und Umweltrechten entlang ihrer Lieferketten zu identifizieren, verhindern, beenden oder zumindest zu minimieren. Aus dem Gesetz geht hervor, welche Präventionsmaßnahmen, Verpflichtungen zu Beschwerdeverfahren und Berichterstattungen hierfür erforderlich sind. Daneben müssen klare Zuständigkeiten innerhalb des Unternehmens zur Überwachung des Risikomanagementsystems eingerichtet werden. Es muss im Unternehmen eine verantwortliche Person für das Risikomanagement bestimmt werden. Hierfür muss gemäß § 5 LkSG eine entsprechende Risikoanalyse zur Ermittlung menschenrechts- und umweltbezogener Risiken durchgeführt werden.

Im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern hat das Unternehmen mindestens einmal im Jahr sowie anlassbezogen bei wesentlich veränderter oder erweiterter Risikolage zu überprüfen, ob eine Verletzung von Menschenrechts- oder Umweltbelangen vorliegt. Bei mittelbaren Zulieferern besteht die Pflicht zur Risikoanalyse nur, wenn das Unternehmen substanziierte Kenntnis von möglichen Verletzungen hat.

Wenn Unternehmen ein Risiko feststellen, müssen nach § 6 I und V LkSG unverzüglich angemessene Präventionsmaßnahmen ergriffen und diese jährlich sowie anlassbezogen überprüft werden. Stellt das Unternehmen sodann Verletzungen fest, hat es Abhilfemaßnahmen vorzunehmen. Ultima Ratio kann auch der Abbruch der Geschäftsbeziehung zu dem Zulieferer sein.^[ii]

§ 8 LkSG verpflichtet Unternehmen dazu, ein angemessenes internes Beschwerdeverfahren einzurichten. Damit soll ermöglicht werden, dass Personen auf mögliche menschenrechts- oder umweltbezogene Risiken sowie Verletzungen im eigenen Geschäftsbereich des Unternehmens oder bei einem unmittelbaren Zulieferer hinweisen können.

Die Einhaltung der Sorgfaltspflichten soll gemäß § 10 I LkSG entsprechend dokumentiert und sieben Jahre aufbewahrt werden. Zudem besteht nach § 10 II bis IV LkSG die Pflicht, jährlich einen Bericht über die Erfüllung der Sorgfaltspflichten im vergangenen Geschäftsjahr zu erstellen und auf der Unternehmens-Webseite spätestens vier Monate nach Ende des Geschäftsjahres zu veröffentlichen. Die Leitungsebenen sollen des Weiteren eine Grundsatzerklärung für die Menschenrechtsstrategie des Unternehmens abgeben.

Environmental, Social, Governance (ESG)

In der Diskussion, wie sich Unternehmen LkSG-konform aufstellen, nimmt die Prüfung der ESG-Aspekte eine zentrale Rolle ein. Vor dem Hintergrund einer nachhaltigen Lieferkette müssen die Themen Umwelt, Soziales (beinhaltet Aspekte wie Sicherheit, Gesundheit von Mitarbeitern, Arbeitsrechte etc.) sowie Unternehmensführung (beinhaltet Themen wie Korruption, etc.) mitberücksichtigt werden. Ein Rating von Geschäftspartnern für das gesamte Spektrum der ESG-Bereiche sollte in die Risikoanalyse mit einfließen, um den Ansprüchen an die gesetzlichen Sorgfaltspflichten gerecht zu werden.

Weitere Regularien neben dem LkSG

Neben dem deutschen LkSG gibt es noch weitere Regularien, die es im internationalen Kontext gilt zu berücksichtigen:

EU-Lieferkettengesetz: Seit Februar 2020 gibt es einen Entwurf für ein EU-Lieferkettengesetz. Dieser geht deutlich weiter als das deutsche LkSG. Der Gesetzesentwurf richtet sich an EU-Firmen und in der EU tätige Firmen ab 500 Mitarbeitern und einem Umsatz von mehr als 150 Millionen Euro. Gemäß dem Richtlinien-Entwurf liegt die Schwelle bereits bei 250 Mitarbeitern und 40 Millionen Euro Umsatz in Branchen, von denen eine Gefährdung von Menschen und Umwelt ausgeht.

Die neue EU-Verordnung enthält eine zivilrechtliche Haftung für Unternehmen. Betroffene können vor europäischen Gerichten auf Schadenersatz klagen. Allerdings können Unternehmen von der Haftung befreit werden, wenn sie ein Compliance-Management-System eingerichtet haben, das sie verteidigt.

Auch wenn es sich momentan nur um einen Entwurf handelt, ist es sinnvoll, sich im Rahmen der Umsetzung des deutschen LkSG ebenfalls an den EU-Regelungen zu orientieren, um später keine weiteren aufwändigen Nachbesserungen vornehmen zu müssen.

Bestechungs- und Korruptionsprävention: Innerhalb der Lieferketten-Compliance sollten auch Aspekte der Bestechungs- und Korruptionsprävention, die im ESG-Check unter Governance fallen, mitberücksichtigt werden. Vor dem Hintergrund, dass eine Vielzahl von Unternehmen global agieren, müssen unter Umständen zusätzlich noch ausländische Gesetze mit extraterritorialer Geltung berücksichtigt werden.

US Foreign Corrupt Practice Act (FCPA): Ursprünglich galt der FCPA nur in den Vereinigten Staaten. Er gilt als die Mutter aller Antikorruptionsgesetze. Im Jahre 1998 wurde der FCPA dahingehend erweitert, dass auch ausländische Unternehmen und Personen unter den FCPA fallen können. Eine faktische Wirkung wurde erst seit 2004 durch eine vermehrte Umsetzung verzeichnet. Diese Entwicklung hat weltweit zu einer enormen Sensibilität gegenüber Compliance-Fragen geführt und Maßstäbe für die Einrichtung von Compliance-Management-Systemen gesetzt.

Er besteht aus zwei Teilen:

(1.) Antibestechungsregeln: Diese untersagen, mit korruptem Vorsatz nicht-amerikanischen Amtsträgern Leistungen zu gewähren oder zu versprechen, um einen geschäftlichen Vorteil zu erzielen.

(2.) Rechnungslegungs- und interne Kontrollvorschriften: Diese verlangen eine korrekte Buchführung und Datenverwahrung sowie interne Kontrollsysteme, um den ordnungsgemäßen Gebrauch von Firmengeldern zu gewährleisten.

Der FCPA hat darüber hinaus auch andere Länder wie beispielsweise Kanada und Großbritannien dazu ermuntert, ähnliche Gesetze mit extraterritorialer Geltung zu erlassen.

UK Bribery Act (UKBA): Das Gesetz gilt für alle Firmen, die geschäftlich in Großbritannien und Nordirland tätig sind. Die Korruptionshandlung muss nicht dort stattfinden. Auch die durch die Bestechung gewollte Handlung muss nicht im Vereinigten Königreich erfolgen. Das hat zur Folge, dass jedes Geschäft mit Auslandsberührung zum Vereinigten Königreich unter das Gesetz fallen kann.

Deutsche Unternehmen können für korruptes Verhalten auf der ganzen Welt zur Rechenschaft gezogen werden, auch wenn die Korruptionshandlung nicht im Zusammenhang mit einer Tätigkeit in UK steht. Es reicht aus, dass betroffene Unternehmen Geschäftstätigkeiten im Vereinigten Königreich ausüben. Dass Aktien des Unternehmens am London Stock Exchange gehandelt werden oder Tochtergesellschaften in UK gemeldet sind, ist allein jedoch nicht ausreichend.

United Nations Global Compact (UNGC): Der Global Compact der Vereinten Nationen hat zehn Prinzipien^[iii] aus den Bereichen Menschenrechte, Arbeitsnormen, Umweltschutz und Korruptionsbekämpfung entwickelt, die sich nicht nur im eigenen Unternehmen, sondern auf die gesamte Wertschöpfungskette anwenden lassen. Der UN Global Compact und das UN Global Compact Netzwerk Deutschland (UN GCD) rufen Unternehmen dazu auf, ihre Strategien an diesen zehn Prinzipien auszurichten Auch wenn es sich um eine unverbindliche Empfehlung handelt, ist der UNGC die weltweit größte Initiative für unternehmerische Nachhaltigkeit (auch bekannt als Corporate Social Responsibility) mit 13.000 Unternehmensteilnehmern und anderen Interessengruppen in über 170 Ländern. Der Leitfaden „Nachhaltigkeit in der Lieferkette^[iv]“ kann von Unternehmen unterstützend zu Rate gezogen werden, um ein nachhaltiges Lieferkettenmanagement aufzubauen und weiterzuentwickeln. Allerdings beleuchtet der UNGC das Verhältnis zu vorgelagerten Zulieferern und konzentriert sich nicht auf Beziehungen zu Händlern, Endkunden oder die Produktentsorgung. Mit in der Wertschöpfungskette nachgelagerten Akteuren wird sich das Global Compact Office der Vereinten Nationen in Zukunft näher befassen.^[v]

United Nations Office on Drugs and Crime (UNODC): Das Büro für Drogen- und Verbrechensbekämpfung der Vereinten Nationen bietet ein webbasiertes Antikorruptionsportal namens TRACK^[vi] (Tools and Resources for Anti-Corruption Knowledge) an. „Die United Nations Convention against Corruption (UNCAC) Legal Library ist eine umfassende Datenbank mit Rechtsvorschriften zur Korruptionsbekämpfung und Vermögensabschöpfung sowie mit Rechtsprechung aus über 175 Staaten, systematisiert gemäß den Anforderungen des Übereinkommens. Die Rechtsbibliothek, die regelmäßig aktualisiert wird, zeigt Gesetze auf, die erfolgreich zur Wiedererlangung von Vermögenswerten eingesetzt wurden, aber auch die Hindernisse durch unzureichende oder unvereinbare Rahmenwerke. Diese praktische und benutzerfreundliche Ressource wird Länder bei der Gestaltung und Verbesserung ihrer Rechtsrahmen helfen, so dass sie der Wiedererlangung gestohlener Vermögenswerte förderlich sind.“^[vii]

Die Datenbank bietet eine einzigartige Übersicht über die UNCAC-Artikel und die entsprechenden Bestimmungen des nationalen Rechts. Die Suche kann auf ein bestimmtes Land, ein UNCAC-Kapitel und einen UNCAC-Artikel beschränkt werden. Wenn man auf einen Ländernamen klickt, öffnet sich eine Seite mit Links zu detaillierten Informationen über die innerstaatlichen Behörden zur Korruptionsbekämpfung und dem vollständigen Wortlaut der UNCAC-bezogenen Gesetze. Auch hier können sich Unternehmen gezielte Hilfestellungen und relevante Informationen für ihre Compliance heraussuchen.

Wer überprüft die Einhaltung des LkSG?

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle überprüft die Einhaltung des Gesetzes. Es kontrolliert die Unternehmensberichte und geht eingereichten Beschwerden nach.

Für die Überwachung des Lieferkettenmanagements der Unternehmen wird eine Behörde mit effektiven Durchsetzungsinstrumenten ausgestattet. Die zuständige Behörde, das Bundesamt für Wirtschaft und Ausfuhrkontrolle, hat weitgehende Kontrollbefugnisse. Sie kann etwa Geschäftsräume betreten, Auskünfte verlangen und Unterlagen einsehen sowie Unternehmen auffordern, konkrete Handlungen zur Erfüllung ihrer Pflichten vorzunehmen und dies durch die Verhängung von Zwangsgeldern durchsetzen.

Fazit

Mit dem Inkrafttreten des Lieferkettensorgfaltspflichtengesetzes gehen zahlreiche rechtliche Verpflichtungen für Unternehmen einher. Nicht außer Acht zu lassen sind die rechtlichen Vorschriften aus anderen Ländern, die aufgrund ihrer exterritorialen Wirkung ebenfalls berücksichtigt werden müssen. Daneben empfiehlt sich ein ESG-Check.

Die nach dem LkSG verpflichteten Unternehmen müssen einen klaren, verhältnismäßigen und zumutbaren gesetzlichen Rahmen zur Einhaltung der Sorgfaltspflichten erfüllen. Die Anforderungen orientieren sich am Due-Diligence-Standard.

Zur Einhaltung dieser rechtlichen Verpflichtungen bedarf es neben eines wirksamen Risikomanagements auch weitergehender Pflichten und der Implementierung von verschiedenen Mechanismen, die einer gewissen Vorlaufzeit bedürfen. Diese lassen sich nicht pauschal benennen, sondern müssen individuell für die jeweiligen Unternehmen klar identifiziert werden.

In unserem bereitgestellten Download können Sie selbst eine erste Einschätzung über Art und Umfang der rechtlichen Verpflichtungen vornehmen, von denen ihr Unternehmen aufgrund des LkSG betroffen sein kann. Aus der nachfolgenden Übersicht entnehmen Sie, welche Schritte zur Einhaltung des Lieferkettengesetzes zu erfüllen sind. Für weitergehende Fragen stehen wir Ihnen selbstverständlich zur Verfügung.

^[i] Die Lebens- und Arbeitsbedingungen der Textilarbeiter in Indonesien. Welche Organisationen setzen sich für bessere Umstände ein?

^[ii] Lieferkettensorgfaltspflichtengesetz; NJW-Spezial 2021, 399

^[iii] The Ten Principles of the UN Global Compact 

^[iv] UN Global Compact Office: NACHHALTIGKEIT IN DER LIEFERKETTE - Ein praktischer Leitfaden zur kontinuierlichen Verbesserung 

^[v] UN Global Compact Office: NACHHALTIGKEIT IN DER LIEFERKETTE - Ein praktischer Leitfaden zur kontinuierlichen Verbesserung 

^[vi] TRACK — UNODC's central platform of tools and resources for anti-corruption knowledge 

^[vii] UNCAC Legal Library Launched: New Database of Anti-Corruption Legislation from 178 States