_die einhaltung von sanktionen beginnt mit der risikobewertung – jedoch gibt es keine einheitslösung für alle
In einer zunehmend zersplitterten geopolitischen Landschaft ist das Risiko, gegen Sanktionsvorschriften zu verstoßen, zu einer der drängendsten Compliance-Herausforderungen für internationale Unternehmen geworden. Im Mittelpunkt jedes effektiven Sanktions-Compliance-Programms steht eine trügerisch einfache, aber grundlegende Frage: Wo liegen unsere Risiken?
Die Risikobewertung ist nicht nur der erste Schritt, sondern der Kompass, der die Richtung für das gesamte Sanktions-Compliance-Programm vorgibt. Ein einheitlicher Ansatz für die Risikobewertung ist jedoch nicht nur ineffektiv, sondern kann auch gefährlich sein. Jedes Unternehmen sieht sich nämlich je nach Branche, Größe, Kunden, Märkten und Geschäftstätigkeit mit einem individuellen Risikoprofil konfrontiert. Daher benötigt jedes Unternehmen eine maßgeschneiderte Risikobewertungsmethodik, die auf seine besonderen Schwachstellen und Compliance-Verpflichtungen eingeht.
Warum die Risikobewertung für die Einhaltung von Sanktionen unerlässlich ist
Die Sanktionsregelungen – unabhängig davon, ob sie von den Vereinigten Staaten (OFAC), der Europäischen Union, dem Vereinigten Königreich (OFSI) oder anderen Rechtsordnungen verwaltet werden – sind vielfältig und entwickeln sich ständig weiter. Unternehmen, die nicht antizipieren, wie ihre Geschäftsaktivitäten innerhalb dieser Rechtsrahmen wirken, riskieren schwere Strafen, Reputationsschäden und Betriebsstörungen.
Die Aufsichtsbehörden befürworten im Allgemeinen ausdrücklich einen "risikobasierten Ansatz" für die Compliance. Das bedeutet, ein Programm zu entwerfen, das auf einem tiefen und kontinuierlichen Verständnis darüber basiert, wie das Unternehmen mit sanktionierten Parteien, Regionen, Sektoren oder Aktivitäten in Kontakt kommen kann.
Ohne eine angemessen umfangreiche Risikobewertung können Compliance-Programme dazu führen, dass generische Richtlinien auf Situationen angewendet werden, die Nuancen erfordern – was sowohl zu einer Überkonformität (die zu einer Behinderung der Geschäftstätigkeit führen kann) als auch zu einer Unterkonformität (die wiederum zu Verstößen führen kann) führt.
Die Risikobewertung ist kein Abhaken von Kästchen
Eine moderne Sanktionsrisikobewertung ist kein statisches Dokument. Vielmehr handelt es sich um einen strukturierten, sich entwickelnden Prozess, der Folgendes erfordert:
- Eine Top-to-Bottom-Überprüfung der Aktivitäten und globalen Touchpoints des Unternehmens.
- Identifizierung von Transaktionen, Geschäftspartnern, Gerichtsbarkeiten und Lieferketten mit hohem Risiko.
- Zusammenarbeit mit Rechts-, Compliance- und Geschäftsbereichen, um reale Einblicke in die Vertriebsprozesse zu sammeln.
- Integration mit Exportkontroll-, Geldwäschebekämpfungs- und Korruptionsrisikobewertungen, sofern relevant.
Entscheidend ist, dass die Methodik maßgeschneidert ist. Im Folgenden zeigen wir dies, indem wir zwei beispielhafte Fälle vergleichen.
Fallstudie 1: Exporteur von Kfz-Ersatzteilen im Nahen Osten
Geschäftsmodell:
Ein Familienunternehmen sitzt in einem Golfstaat und exportiert Automobilersatzteile an Kunden in Nordafrika, Zentralasien und Teilen Europas. Es arbeitet häufig mit Zwischenhändlern zusammen, nutzt externe Logistikdienstleister und hat selten Einblick in die Endverbraucher.
Wichtige Risikofaktoren für Sanktionen:
- Exposition gegenüber sanktionierten Ländern (z. B. Syrien, Iran, Russland) durch Wiederverkäufer.
- Begrenzte Transparenz hinsichtlich der Endverwendung und der letztendlich wirtschaftlichen Eigentümer.
- Verwendung von Teilen aus den USA, die das Risiko von Sekundärsanktionen der USA auslösen.
Maßgeschneiderter Risikobewertungsansatz:
- Durchführung einer Risikoprüfung auf Transaktionsebene mit Schwerpunkt auf Reexportrisiken und Endbenutzer-Screening.
- Erstellen Sie eine Übersicht über die Liefer- und Vertriebsketten und identifizieren Sie, wo die Kontrolle verloren geht.
- Priorisieren Sie eine Analyse von Gütern mit doppeltem Verwendungszweck – auch wenn Sie zivile Kfz-Teile verkaufen, können bestimmte Güter nach den Exportkontrollgesetzen als Güter mit doppeltem Verwendungszweck eingestuft werden.
- Erstellen Sie eine Risikomatrix, die die Gerichtsbarkeit, den Kundentyp (z. B. staatlich vs. privat) und die Produktsensitivität abwägt.
Ergebnis:
Die Bewertung führte zur Einführung eines erweiterten Due-Diligence-Prozesses für Kunden, zur Beschränkung des Verkaufs in Regionen mit höherem Risiko und zur Kennzeichnung von Warnsignalen für eine interne Eskalation.
Fallstudie 2: Globaler Anbieter von Cloud-Diensten mit Sitz in Europa
Geschäftsmodell:
Ein in der EU ansässiges IT-Unternehmen bietet multinationalen Unternehmen Cloud-Speicher, KI-Analysen und SaaS-Tools an. Das Unternehmen betreibt Rechenzentren in Europa, Asien und Nordamerika und setzt auf automatisierte Onboarding-Systeme.
Wichtige Risikofaktoren für Sanktionen:
- Potenzielle Bereitstellung von Dienstleistungen für benannte Personen oder Organisationen (insbesondere durch automatisierte Anmeldungen).
- Exposition gegenüber US- und EU-Vorschriften durch physische und digitale Infrastruktur.
- SaaS-Funktionalität, auf die weltweit zugegriffen werden kann – auch von sanktionierten Gebieten aus.
Maßgeschneiderter Risikobewertungsansatz:
- Führen Sie ein Audit der technischen Infrastruktur durch, um den geografischen Weg von Diensten und Zugriffsschwachstellen zu identifizieren.
- Überprüfen Sie IP-Geolokalisierungs- und Geoblocking-Systeme, um den Zugriff aus sanktionierten Gerichtsbarkeiten zu verhindern.
- Implementieren Sie automatisierte Screening-Protokolle zum Zeitpunkt des Onboardings und während des gesamten Lebenszyklus des Kunden.
- Eine Analyse der Lizenzrisiken einbeziehen, insbesondere, wenn Software oder Verschlüsselung aus den USA betroffen sind.
Ergebnis:
Das Unternehmen führte ein mehrstufiges Kontrollsystem ein, das automatisierte Kennzeichnung mit rechtlicher Eskalation für Grenzfälle kombiniert. Außerdem startete es eine rechtsgebietsspezifische Schulung für seine Vertriebs- und Produktteams.
Abschließende Gedanken: Anpassen oder Scheitern
Risikobewertungen, die nicht in der betrieblichen und wirtschaftlichen Realität eines Unternehmens verankert sind, können ein falsches Gefühl der Sicherheit vermitteln. Schlimmer noch, sie können ignoriert werden. Daher erfordert die Gestaltung einer Sanktionsrisikobewertung nicht nur regulatorisches Fachwissen, sondern auch ein tiefes Verständnis der Geschäftsmodelle und der branchenspezifischen Dynamik.
Bei Clayston unterstützen wir Kunden aus allen Branchen beim Aufbau und der Verfeinerung ihrer Rahmenwerke für die Einhaltung von Sanktionen – beginnend mit zweckmäßigen Risikobewertungen. Unabhängig davon, ob Sie ein schnell expandierendes Technologieunternehmen oder ein etablierter Exporteur sind - wir helfen Ihnen dabei, sicherzustellen, dass Ihr Risikoidentifizierungsprozess proaktiv, angemessen und regulatorisch konform ist.
Kontaktieren Sie uns, um zu erfahren, wie wir Ihnen helfen können, Ihre Sanktionsrisikostrategie anzupassen.
Kontakt:
Koray Dagdeviren, Rechtsanwalt (TR), Of Counsel