Die Compliance-Funktion aufbauen, die Ihre Zulassung sichert

# Die Compliance-Funktion aufbauen, die Ihre Zulassung sichert

2018 verhängte die SEC eine Geldbuße gegen eine mittelgroße Vermögensverwaltung, weil deren Compliance-Handbuch eines sagte und die Firma etwas anderes tat: Das Handbuch versprach jährliche Überprüfungen jedes Kundenkontos, aber die Firma hatte keinen Nachweis, dass sie sie jemals durchgeführt hatte. Die Regeln waren in Ordnung. Es fehlte die Maschinerie, um sie zu belegen. Diese Lücke, nicht die Regel selbst, führt zu Bußgeldern, Suspendierungen oder dem Entzug der Zulassung.

Diese Lektion baut diese Maschinerie zusammen. Die wesentlichen Regulierungen kennen Sie bereits. Jetzt lernen Sie, wie eine Führungskraft sie operationalisiert, damit die Antworten bereitliegen, wenn ein Aufseher hereinkommt.

Die Person, die für alles verantwortlich ist: der CCO

Jeder regulierte Asset Manager muss einen Chief Compliance Officer (CCO) benennen, also die Person, die formal für das Compliance-Programm verantwortlich ist.

In den USA ist das eine harte gesetzliche Anforderung. Rule 206(4)-7 des Investment Advisers Act of 1940 (das Bundesgesetz für Anlageberater, durchgesetzt von der SEC, der Securities and Exchange Commission) verlangt von jedem registrierten Berater, einen CCO zu bestellen und schriftliche Richtlinien zu verabschieden. In der EU verlangen die Rahmenwerke UCITS und AIFMD (die beiden Richtlinien für Publikumsfonds bzw. alternative Fonds) eine „permanente Compliance-Funktion". In Großbritannien weist die FCA (Financial Conduct Authority) persönliche Verantwortung über das Senior Managers and Certification Regime (SMCR) zu, in dessen Rahmen eine namentlich benannte Führungskraft persönlich haftbar gemacht werden kann.

Persönliche Haftung ist relevant. Die SEC hat Enforcement-Verfahren direkt gegen CCOs geführt, die offensichtliche Warnsignale ignoriert haben. Die Rolle ist nicht zeremoniell.

Was ein echter CCO tatsächlich tut

• Verantwortet das Compliance-Handbuch und aktualisiert es bei Regeländerungen.
• Führt die jährliche Überprüfung des Compliance-Programms durch (verlangt nach 206(4)-7).
• Genehmigt oder eskaliert Interessenkonflikte, Geschenke und persönliche Wertpapiergeschäfte.
• Steuert die Beziehung zu den Aufsichtsbehörden während Prüfungen.
• Gibt Marketingmaterialien vor dem Versand frei.

In einer kleinen Firma kann der CCO gleichzeitig COO oder General Counsel sein. Die SEC mag keine „Teilzeit"-CCOs, die zu dünn verteilt sind, und hat das in Prüfungsfeststellungen auch gesagt.

Der Compliance Monitoring Plan

Ein Compliance Monitoring Plan (CMP) ist der Kalender und die Checkliste, die Regeln in wiederkehrende, nachweisbare Aufgaben überführen. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → beantwortet für jede Pflicht eine Frage: Wer prüft das, wie oft, und wo liegt der Nachweis?

Sehen Sie es als Zuordnung jeder Regel zu einem Control.

| Regel / Pflicht | Control | Frequenz | Owner |

|---|---|---|---|

| Best Execution (Kunden die besten verfügbaren Konditionen verschaffen) | Stichproben von Trades gegen Benchmark-Preise prüfen | Quartalsweise | Trading Desk + CCO |

| Marketing Rule (SEC Rule 206(4)-1) | Alle kundengerichteten Materialien vorab genehmigen | Bei jeder Verwendung | Compliance |

| Mitarbeitergeschäfte auf eigene Rechnung | Trade-Reports der Mitarbeiter prüfen | Monatlich | CCO |

| Kundengeeignetheit | Neue Konten gegen Mandat prüfen | Beim Onboarding | Berater |

Es geht nicht um die Tabelle. Es geht darum, dass ein Aufseher fragen kann „Zeigen Sie mir Ihre Best-Execution-Prüfungen für Q2" und Sie zwölf unterschriebene Stichproben vorlegen, kein Schulterzucken.

Die FCA veröffentlicht in ihrem Handbook praktische Erwartungen an das Monitoring. Siehe die FCA-Guidance zur Compliance-Funktion für den formalen britischen Standard.

Das Breach Register

Ein Breach ist jeder Verstoß gegen eine Regel, ein Kundenmandat oder eine interne Richtlinie. Ein Breach Register ist das Logbuch, in dem jeder einzelne erfasst, untersucht und abgeschlossen wird.

Breaches teilen sich in zwei Typen:

• Aktiver Breach: verursacht durch eine Handlung, zum Beispiel den Kauf einer Aktie, die das Kundenmandat verbietet.
• Passiver Breach: verursacht durch Marktbewegungen, zum Beispiel eine Position, die über ein Konzentrationslimit von 5 % driftet, weil die Aktie gestiegen ist.

Konkretes Beispiel. Ein Fondsmandat begrenzt jede Einzelposition auf 10 % des Portfolios. Tesla steigt und die Position erreicht 11 %. Das ist ein passiver Breach. Das Register erfasst: Datum der Feststellung, Ursache, Auswirkung auf den Kunden, Behebung (Reduzierung unter 10 % innerhalb der im Mandat vorgesehenen Heilungsfrist) und Freigabe.

Warum Aufsichtsbehörden darauf fixiert sind: Das Register belegt, dass die Firma ihre eigenen Probleme *findet*. Ein blitzsauberes Register ohne Einträge ist ein Warnsignal, kein Gütesiegel. Meist bedeutet es, dass die Firma nicht hinschaut.

Der 72-Stunden-Instinkt

Viele Regime verlangen eine unverzügliche Meldung wesentlicher Breaches. Unter UCITS und AIFMD müssen bestimmte Limitverletzungen an die nationale Aufsichtsbehörde gemeldet werden. Unter Principle 11 der FCA müssen Firmen alles offenlegen, wovon der Aufseher „vernünftigerweise Kenntnis erwarten würde". Die Fristen variieren, daher ist es die Aufgabe des CCO zu wissen, welcher Breach welche Uhr in Gang setzt.

🎬 [VIDEO: "What Does a Compliance Officer Do?" - youtube.com - ein leicht verständlicher Überblick über die Compliance-Rolle in Finanzunternehmen]

Surveillance und die Technologieschicht

Modernes Monitoring ist automatisiert. Firmen betreiben Trade-Surveillance-Systeme, die auffällige Muster markieren: Front Running (Handel vor einer Kundenorder), Wash Trades oder marktferne Preise.

Eine einfache Mandatsprüfung sieht in der Praxis so aus:

# Passive breach detection: single-name concentration limit
LIMIT = 0.10  # 10% mandate cap

for holding in portfolio:
    weight = holding.market_value / portfolio.total_value
    if weight > LIMIT:
        breach_register.log(
            security=holding.name,
            weight=round(weight, 4),
            type="passive",
            action="flag_for_review"
        )

Das ist nichts Exotisches. Es ist ein nächtlicher Job. Der regulatorische Wert liegt darin, dass die Prüfung automatisch läuft und ihr Ergebnis protokolliert, sodass der Nachweispfad maschinell erzeugt und nicht nachträglich rekonstruiert wird.

Die Aufsichtsprüfung

Früher oder später prüft Sie eine Aufsichtsbehörde. In den USA führt die Division of Examinations der SEC periodische Prüfungen durch. In der EU machen das die nationalen zuständigen Behörden (zum Beispiel die BaFin in Deutschland, die AMF in Frankreich). Die FCA führt in Großbritannien Supervisory Reviews durch.

Prüfungen folgen einem Rhythmus:

1. Dokumentenanforderung. Die Behörde schickt eine Liste, oft mit mehr als 50 Positionen: Compliance-Handbuch, Breach Register, Trade Blotter, Marketingmaterialien, Trade-Reports der Mitarbeiter, den CMP.

2. Prüfung vor Ort oder remote. Die Prüfer befragen den CCO und die Mitarbeiter.

3. Feststellungen. Übermittelt als Deficiency Letter, der die Probleme auflistet.

4. Antwort. Die Firma muss nachbessern und antworten, in der Regel innerhalb von 30 Tagen.

Die SEC veröffentlicht jährliche Examination Priorities, die zeigen, worauf sie ihren Fokus legt. In den letzten Jahren gehörten dazu die Marketing Rule, Gebührenberechnungen und der Einsatz von KI in der Beratung. Sie jedes Jahr zu lesen, ist kostenlose Aufklärung darüber, woher der Druck kommt.

Was Prüfer tatsächlich finden

• Das Handbuch sagt eines, die Praxis macht etwas anderes (die Geschichte vom Anfang).
• Die berechneten Gebühren stimmen nicht mit dem offengelegten Gebührenverzeichnis überein.
• Marketing behauptet Performance ohne die erforderlichen Hinweise.
• Kein Nachweis, dass die jährliche Überprüfung tatsächlich stattgefunden hat.

Achten Sie auf das Muster: Fast jede Feststellung ist ein Versagen bei *Dokumentation und Nachweis*, nicht ein Fall von Unkenntnis des Gesetzes.

Von Enforcement zu Kultur

Enforcement ist die scharfe Kante. Wenn Compliance schwer versagt, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen die SEC, die FCA oder eine EU-Behörde Bußgelder verhängen, Disgorgement erzwingen (Rückgabe unrechtmäßig erzielter Gewinne), Personen von der Branche ausschließen oder die Registrierung entziehen. Die US-FINRA (Financial Industry Regulatory Authority, die Selbstregulierungsorganisation für Broker-Dealer) kann Firmen aus der Branche ausschließen.

Das Ziel der Maschinerie ist aber nicht, eine einzelne Prüfung zu überleben. Es ist eine Culture of Compliance, ein Begriff, den Aufsichtsbehörden bewusst verwenden. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → bedeutet, dass Compliance in die Arbeitsweise des Front Office eingebettet ist und nicht nachträglich angeschraubt wird.

Praktische Zeichen einer gesunden Kultur:

• Portfoliomanager rufen Compliance an, *bevor* sie etwas Fragwürdiges tun, nicht danach.
• Der CCO berichtet an den Vorstand oder ein Senior-Gremium, nicht versteckt unter dem Leiter Vertrieb.
• Die Vergütung bestraft niemanden dafür, Probleme zu melden.

Eine Firma, in der Compliance als „Abteilung zur Geschäftsverhinderung" gesehen wird, produziert irgendwann den Breach, der sie beendet.

Von null aufbauen: Minimum Viable Compliance

Wenn Sie morgen einen neuen Asset Manager aufsetzen würden, ist der nicht reduzierbare Kern:

1. Ein benannter, qualifizierter CCO mit echter Befugnis.

2. Ein schriftliches Compliance-Handbuch, das auf Ihre tatsächlichen Aktivitäten abgebildet ist.

3. Ein Compliance Monitoring Plan mit datierten Controls und klaren Ownern.

4. Ein Breach Register, das die Leute tatsächlich nutzen.

5. Jährliche Überprüfung mit dokumentiertem Nachweis, dass sie stattgefunden hat.

Alles andere ist eine Ausgestaltung dieser fünf Punkte.

Key Takeaways

• Nicht die Regel ist das Risiko, sondern der fehlende Nachweis. Nahezu alle Enforcement-Feststellungen sind Versäumnisse bei Dokumentation oder Nachweis der Compliance, nicht Unkenntnis des Gesetzes.
• Der CCO ist eine namentlich benannte, persönlich verantwortliche Rolle nach SEC Rule 206(4)-7, EU UCITS/AIFMD und UK SMCR. Aufsichtsbehörden kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen CCOs individuell verfolgen und tun es auch.
• Ein Breach Register ohne Einträge ist ein Warnsignal, kein Erfolg. Es zeigt, dass die Firma nicht nach ihren eigenen Problemen sucht.
• Der Compliance Monitoring Plan verwandelt abstrakte Regeln in datierte, zugeordnete, nachweisbare Aufgaben, sodass jede Prüfungsanfrage sofort einen Paper Trail liefert.
• Lesen Sie jedes Jahr die SEC Examination Priorities. Sie sagen Ihnen kostenlos genau, wohin die nächste Welle der Prüfung zielt.