China Capital: Warum Compliance ohne echte Ermittlungen wertlos sein kann
Compliance auf dem Papier schützt kein Unternehmen.
Ein Unternehmen kann Richtlinien haben. Es kann Compliance-Beauftragte beschäftigen. Und es kann jede Prüfung sauber dokumentieren.
Trotzdem kann das System versagen.
Denn Wirtschaftskriminalität entsteht selten dort, wo überhaupt keine Regeln existieren. Sie entsteht häufig dort, wo Regeln vorhanden sind, aber nicht konsequent hinterfragt werden.
Die aktuelle internationale Recherche „China Capital“ des International Consortium of Investigative Journalists, kurz ICIJ, liefert dafür ein bemerkenswertes Beispiel.
Dabei geht es um die Industrial and Commercial Bank of China, ICBC.
Nach Angaben des ICIJ handelt es sich nach Bilanzsumme um die größte Bank der Welt. Die Recherche basiert auf rund 4,8 Millionen internen Datensätzen aus den Jahren 2005 bis 2024. Dazu gehören interne E-Mails, Kundeninformationen, Protokolle, Verdachtsmeldungen und Unterlagen zu mehreren Tausend Firmenkunden. [Quelle 1]
Wichtig ist jedoch die Einordnung:
Die folgenden Aussagen zu ICBC beruhen auf den Recherchen des ICIJ und seiner Medienpartner. Sie stellen keine eigene Feststellung von Detegere und keine pauschale Feststellung strafbaren Verhaltens dar.
Gerade diese Unterscheidung gehört zu seriöser Ermittlungsarbeit.
Was „China Capital“ aufdeckt
Nach Recherchen des ICIJ nutzte ICBC seine Londoner Einheiten unter anderem zur Finanzierung und Betreuung internationaler Unternehmen und Organisationen.
Darunter befanden sich laut ICIJ auch Kunden mit erhöhten Risiken.
Es ging beispielsweise um Verbindungen zu sanktionierten russischen und belarussischen Geschäftsleuten. Es ging um politisch exponierte Personen. Und es ging um Unternehmen mit komplizierten Eigentümerstrukturen. [Quelle 1 und 2]
Besonders interessant ist dabei ein anderer Punkt.
Interne Unterlagen sollen laut ICIJ zeigen, dass Mitarbeiter teilweise Bedenken äußerten.
Trotzdem wurden Geschäftsbeziehungen fortgeführt. Und teilweise seien Ausnahmen von internen Vorgaben gemacht worden. [Quelle 2]
Genau hier beginnt aus kriminalistischer Sicht das eigentliche Problem.
Denn eine Compliance-Regel ist zunächst nur eine Regel.
Sie wird erst dann wirksam, wenn jemand bereit ist, die richtigen Fragen zu stellen.
4,8 Millionen Dokumente zeigen ein grundsätzliches Problem
Die ICIJ-Recherche basiert nach eigenen Angaben auf Dokumenten aus den Londoner Einheiten der Bank.
Die Daten umfassen den Zeitraum von 2005 bis 2024.
Darunter befinden sich laut ICIJ:
- interne E-Mails,
- Besprechungsprotokolle,
- Unterlagen zu mehr als 4.000 Firmenkunden,
- Aufzeichnungen über verdächtige Transaktionen,
- interne Berichte,
- Kunden-Dossiers,
- sowie Informationen zu rund 200 Kreditvereinbarungen. [Quelle 1 und 3]
Das ist deshalb interessant, weil Wirtschaftskriminalität selten aus einem einzigen Dokument erkennbar wird.
Entscheidend ist meistens die Verbindung verschiedener Informationen.
Eine Gesellschaft allein wirkt möglicherweise unauffällig.
Ein Geschäftsführer allein wirkt ebenfalls unauffällig.
Eine Zahlung allein kann vollkommen legitim erscheinen.
Aber plötzlich ergibt sich ein anderes Bild.
Denn möglicherweise taucht derselbe wirtschaftlich Berechtigte in mehreren Firmen auf.
Oder ein Geschäftspartner besitzt politische Verbindungen.
Oder Gesellschaften liegen in unterschiedlichen Jurisdiktionen.
Und gleichzeitig verändert sich die Herkunft des Kapitals.
Genau deshalb reicht ein klassisches Compliance-Formular häufig nicht aus.
Compliance prüft Daten – Ermittlungen prüfen die Geschichte dahinter
Dieser Unterschied ist entscheidend.
Ein klassischer Compliance-Prozess fragt beispielsweise:
Wer ist der Kunde?
Wer ist der Geschäftsführer?
Wer ist wirtschaftlich berechtigt?
Steht die Person auf einer Sanktionsliste?
Existieren negative Presseberichte?
Das ist wichtig.
Aber eine kriminalistische oder Corporate-Intelligence-Prüfung geht weiter.
Sie fragt zusätzlich:
Warum existiert diese Struktur?
Wer kontrolliert das Unternehmen tatsächlich?
Welche Verbindungen bestehen zwischen den Beteiligten?
Welche Personen tauchen im Hintergrund immer wieder auf?
Passt die behauptete Geschäftstätigkeit zu den tatsächlichen Geldflüssen?
Warum wird eine bestimmte Gesellschaft zwischengeschaltet?
Welche Beziehungen bestehen zu politisch exponierten Personen?
Und vor allem:
Ergibt die gesamte Geschichte wirtschaftlich überhaupt Sinn?
Genau an diesem Punkt beginnt echte Due Diligence.
Der wirtschaftlich Berechtigte ist nicht immer der wirklich Mächtige
Ein häufiges Problem unserer Ermittlungsarbeit sind Unternehmensstrukturen.
Auf dem Papier sieht alles eindeutig aus.
Person A hält die Anteile.
Person B ist Geschäftsführer.
Person C besitzt eine weitere Gesellschaft.
Doch wirtschaftliche Realität und Registerlage können sich unterscheiden.
Denn Kontrolle kann auch indirekt ausgeübt werden.
Über Familienangehörige.
Über Treuhänder.
Über Beteiligungsgesellschaften.
Über Kreditgeber.
Über Geschäftspartner.
Oder über persönliche Abhängigkeiten.
Deshalb muss Corporate Intelligence Beziehungen analysieren und nicht nur Namen.
Auch die Financial Action Task Force, FATF, betont bei erhöhten Risiken die Bedeutung der tatsächlichen Identifizierung wirtschaftlich Berechtigter sowie einer risikobasierten Prüfung. Bei politisch exponierten Personen reichen Datenbanken alleine nach Auffassung der FATF ausdrücklich nicht aus. [Quelle 4]
Fallbeispiel aus der China-Capital-Recherche
Ein Beispiel aus der ICIJ-Recherche zeigt das Problem besonders deutlich.
ICIJ berichtet über Geschäftsbeziehungen zu dem russischen Bergbaukonzern Norilsk Nickel, auch Nornickel genannt.
Das Unternehmen steht beziehungsweise stand laut ICIJ in Verbindung mit mehreren sanktionierten russischen Geschäftsleuten.
Interne Dokumente sollen zeigen, dass Mitarbeiter Möglichkeiten diskutierten, bestimmte Finanzierungen in chinesischer Währung abzuwickeln.
Dabei ist jedoch eine wichtige Unterscheidung notwendig.
Eine Verbindung zu sanktionierten Personen bedeutet nicht automatisch, dass jede Transaktion verboten oder strafbar ist.
Gerade deshalb ist die Analyse komplex.
Man muss Eigentumsverhältnisse kennen.
Man muss Kontrollstrukturen kennen.
Und man muss den konkreten Zeitpunkt sowie die jeweils geltenden Sanktionen kennen.
[Quelle 1 und 2]
Ein zweites Beispiel zeigt die Grenzen automatischer Prüfungen
ICIJ berichtet außerdem über Vorgänge aus dem Jahr 2019 im Zusammenhang mit Huawei.
Kurz nachdem US-Behörden das Unternehmen angeklagt hatten, sollen über die Londoner ICBC-Strukturen rund 1,3 Milliarden US-Dollar an sogenanntem „Emergency Cash“ transferiert worden sein.
Dabei stellt ICIJ ausdrücklich fest, dass diese Transaktion nicht illegal war.
Trotzdem soll sie innerhalb der Bank erhebliche Diskussionen ausgelöst haben, weil die eigene Financial-Crime-Prevention-Einheit nach Darstellung des ICIJ nicht vorher informiert worden war. [Quelle 1 und 3]
Auch dieses Beispiel ist wichtig.
Denn nicht jede auffällige Transaktion ist kriminell.
Und nicht jeder Hochrisikokunde ist ein Straftäter.
Professionelle Ermittlungen müssen genau diese Grenze beachten.
Verdacht ist keine Schuld.
Ein Risikoindikator ist kein Beweis.
Aber mehrere Risikoindikatoren können einen Untersuchungsbedarf begründen.
Praxisbeispiel: Der scheinbar perfekte Geschäftspartner
Nehmen wir ein fiktives, aber typisches Beispiel.
Ein deutsches Unternehmen möchte einen neuen internationalen Geschäftspartner aufnehmen.
Die Firma existiert.
Der Geschäftsführer existiert.
Die Umsatzsteuerdaten stimmen.
Und auch die Website wirkt professionell.
Eine einfache Prüfung ergibt deshalb zunächst keine Auffälligkeiten.
Doch eine erweiterte Corporate-Intelligence-Prüfung ergibt ein anderes Bild.
Der Geschäftsführer ist gleichzeitig in mehreren Gesellschaften tätig.
Zwei dieser Unternehmen wurden kurz vor Vertragsabschluss gegründet.
Die angegebene Geschäftsadresse wird von zahlreichen Firmen genutzt.
Ein früherer Geschäftspartner taucht in einem internationalen Betrugsverfahren auf.
Und hinter einer beteiligten Holding befindet sich eine Person mit erheblichem politischem Einfluss.
Keine dieser Informationen allein beweist eine Straftat.
Aber gemeinsam verändern sie die Risikobewertung erheblich.
Genau deshalb muss Due Diligence Zusammenhänge erkennen.
Praxisbeispiel: Das Family Office und der vermeintlich seriöse Investor
Ein weiteres Beispiel.
Ein Family Office erhält ein interessantes Investmentangebot.
Die Rendite wirkt realistisch.
Die Gesellschaft besteht seit vielen Jahren.
Und auch die handelnden Personen besitzen einen guten Ruf.
Trotzdem wird eine erweiterte Prüfung durchgeführt.
Dabei zeigt sich, dass Kapital über mehrere Gesellschaften in unterschiedlichen Ländern fließt.
Außerdem wechseln wirtschaftlich Berechtigte mehrfach.
Und ehemalige Geschäftspartner tauchen in Insolvenzverfahren auf.
Hinzu kommen Verbindungen zu politisch exponierten Personen.
Auch hier gilt:
Das beweist zunächst nichts.
Aber es verändert das Risiko.
Und deshalb wäre es fahrlässig, ausschließlich auf einen standardisierten KYC-Prozess zu vertrauen.
Warum Datenbanken alleine nicht reichen
Datenbanken sind wichtig.
Sanktionslisten sind wichtig.
PEP-Datenbanken sind wichtig.
Handelsregister sind wichtig.
Und Medienarchive sind ebenfalls wichtig.
Aber Datenbanken beantworten meistens nur bekannte Fragen.
Ermittlungen stellen neue Fragen.
Genau das ist der Unterschied.
Ein Ermittler sucht nicht ausschließlich nach einem Namen.
Er sucht nach Beziehungen.
Nach Widersprüchen.
Nach Mustern.
Und nach Informationen, die eigentlich nicht zusammenpassen.
Die FATF weist ebenfalls darauf hin, dass externe Datenbanken bei der Prüfung politisch exponierter Personen hilfreich sein können, aber für sich allein nicht ausreichen. [Quelle 4]
Die gefährlichste Compliance-Frage lautet: „Ist die Prüfung abgeschlossen?“
Aus meiner Sicht lautet die bessere Frage:
„Was wissen wir noch nicht?“
Denn Ermittlungen beginnen häufig dort, wo Compliance endet.
Ein sauber ausgefüllter Fragebogen kann richtig sein.
Aber die darin enthaltenen Angaben können trotzdem unvollständig sein.
Ein Handelsregistereintrag kann korrekt sein.
Aber er erklärt nicht automatisch die tatsächlichen Machtverhältnisse.
Und ein Sanktionsscreening kann negativ sein.
Aber das bedeutet nicht automatisch, dass kein Risiko besteht.
Deshalb brauchen Unternehmen eine zweite Ebene.
Von KYC zu Corporate Intelligence
Professionelle Risikoanalyse sollte deshalb mehrere Ebenen verbinden.
Dazu gehören unter anderem:
Know Your Customer.
Die Identität muss geprüft werden.
Aber auch die wirtschaftliche Tätigkeit muss plausibel sein.
Ultimate Beneficial Owner.
Der wirtschaftlich Berechtigte muss identifiziert werden.
Aber gleichzeitig müssen indirekte Einflussmöglichkeiten betrachtet werden.
Politically Exposed Persons.
Politische Beziehungen erhöhen nicht automatisch den Verdacht.
Aber sie können das Risikoprofil verändern.
Adverse Media Research.
Negative Berichterstattung muss geprüft werden.
Aber Quellenqualität und Kontext sind entscheidend.
Offene Quellen können Verbindungen sichtbar machen, die in klassischen Unternehmensdatenbanken fehlen.
Unternehmen, Personen, Netzwerke und Interessen werden gemeinsam betrachtet.
HUMINT.
In geeigneten Fällen können menschliche Quellen und Gespräche Informationen liefern, die keine Datenbank enthält.
Vor-Ort-Verifikation.
Manchmal muss geprüft werden, ob ein Unternehmen tatsächlich dort arbeitet, wo es vorgibt tätig zu sein.
Denn eine Adresse beweist noch keine operative Tätigkeit.
Warum interne Compliance unter Druck geraten kann
Ein weiterer wichtiger Punkt der China-Capital-Recherche ist der mögliche Konflikt zwischen Geschäft und Kontrolle.
Compliance verursacht Reibung.
Sie kann Geschäfte verzögern.
Sie kann Kunden ablehnen.
Und sie kann profitable Transaktionen verhindern.
Deshalb entsteht in vielen Unternehmen ein struktureller Konflikt.
Vertrieb möchte Geschwindigkeit.
Management möchte Wachstum.
Bild: KI generiert
