Wenn die Risiko-Analyse das Herz des Compliance-Managements ist, dann ist die Bewertung das Hirn. Relativ schnell merkt man, dass die Wahrscheinlichkeit eines Compliance-Verstoßes nicht belastbar als Prozentwert angegeben werden kann. Für Folgen gilt das selbe: man kann sie nur grob schätzen.

Als weiterer Punkt kommt dazu, dass es Unmengen Vorschriften gibt und noch mehr Wege sie zu verletzen. Ein Beispiel gefällig? Nehmen wir die Meldepflicht nach § 43 Abs. 1 des Geldwäschegesetzes (GwG). Verpflichtete müssen danach melden:

1. Geldwäsche
2. Terrorismusfinanzierung
3. die Weigerung eines Kunden, den wirtschaftlich Berechtigten zu nennen

Diese Meldepflicht kann man, verletzen indem man

1. nicht meldet
2. nicht richtig meldet
3. nicht vollständig meldet oder
4. nicht rechtzeitig meldet.

Insgesamt gibt es also zwölf Möglichkeiten, gegen § 43 GwG zu verstoßen. Das hört sich kleinkariert an? Vielleicht. Zugegeben, die Verstoßmöglichkeiten sind schon ziemlich ähnlich, aber die Wahrheit ist, dass jede der zwölf Varianten unterschiedliche Eintrittswahrscheinlichkeiten haben und auch unterschiedlich geahndet werden.

Kunde verweigert Angaben zum wirtschaftlich Berechtigten

Nehmen wir den Fall, dass ein Kunde ich weigert, den wirtschaftlich Berechtigten einer Transaktion anzugeben. Wie wahrscheinlich ist das überhaupt? Ein Geldwäscher, der den Hintermann eines Geschäfts geheimhalten will, wird wohl eher angeben, er handelt für eigene Rechnung, als zunächst mitzuteilen, dass er das Geschäft nicht für sich selbst macht, dann sich aber auf Nachfrage zu weigern, den Hintermann zu nennen.

Aber nehmen wir einmal an, es würde wirklich so laufen. Jetzt hat der Kundenbetreuer ein Problem. Auf dem Formular ist das Kreuz bei „abweichender wirtschaftlich Berechtigter“ gesetzt und der Workflow verlangt jetzt, dass ein Name eingetragen wird. Irgend ein Name. „Donald Duck“ oder „Jon Dow“ würde gehen, aber kein Leerfeld! Der Kunde sagt aber nichts und der Mitarbeiter kommt nicht weiter. Dem Kunden wird das zu dumm und er geht. Der Mitarbeiter bricht den Vorgang ab. Fertig.

Und schon haben wir den Verstoß! Hier gibt es mehrere mögliche Ursachen: Erstens kann es sein, dass der Mitarbeiter zwar die Meldepflichten für Anzeichen von Geldwäsche und Terrorismusfinanzierung kennt, aber von der dritten nichts mitbekommen hat. Sie ist ja auch ziemlich atypisch. Oder der Mitarbeiter hat einfach keine Lust, eine interne Verdachtsmeldung zu schreiben. Wenn der Verstoß überhaupt bemerkt und sanktioniert wird, dann jedenfalls relativ milde. Es gibt schlimmere Verstöße gegen das Geldwäschegesetz. Zum Beispiel, wenn jemand 50 Mio. EUR wäscht!

Zweck der Risiko-Bewertung

Bei zwölf Möglichkeiten zu verstoßen sollte man Prioritäten setzen. Darum geht es bei der Risikobewertung. Ordnung in die unübersichtliche Vielzahl von Möglichkeiten bringen, Prioritäten setzen und diejenigen Maßnahmen herausfinden, die das Risiko am besten beherrschbar machen.

Die Risikobewertung ist auch wichtig bei der Zuweisung von Ressourcen, der Entscheidung für Compliance-Strategien und der Messung der Compliance-Leistung.