Eine Compliance-Funktion aufbauen, die ein Audit übersteht

# Eine Compliance-Funktion aufbauen, die ein Audit übersteht

2012 verlor JPMorgan im Handelsskandal „London Whale" mehr als 6 Milliarden Dollar. Die einzelnen Trades waren für sich betrachtet legal. Was die Bank regulatorisch versenkte: Ihre Kontrollfunktionen haben es nicht geschafft, das Geschehen zu erkennen, zu eskalieren und zu dokumentieren. Die Aufsicht verhängte Bußgelder in Höhe von Hunderten Millionen, und die Lehre setzte sich in der Branche fest: Compliance ist kein Memo, sondern eine Maschine. Wenn ein Prüfer kommt, fragt ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → nicht „Sind Sie compliant?" ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → sagt: „Zeigen Sie mir."

Diese Lektion baut diese Maschine aus ihren realen Bauteilen zusammen.

Die drei Verteidigungslinien

Fast jede seriöse Bank organisiert Kontrolle nach dem Modell der Three Lines of Defence (3LoD). Das ist kein Gesetz. Es ist eine Betriebsstruktur, die Aufsichtsbehörden sehen wollen, formalisiert von Gremien wie dem Basler Ausschuss für Bankenaufsicht (dem globalen Standardsetzer für Bankenregulierung mit Sitz in Basel, Schweiz).

Erste Linie: das Geschäft. Die Trader, Kreditgeber und Relationship Manager, die Risiken eingehen, tragen sie zuerst. Ein Kreditsachbearbeiter, der die Unterlagen eines Kreditnehmers vor der Genehmigung prüft, ist First-Line-Kontrolle.

Zweite Linie: Risk und Compliance. Unabhängige Funktionen, die Policies setzen und die erste Linie überwachen. Die Compliance-Abteilung, die die Anti-Money-Laundering-Regeln (AML) schreibt und Transaktionsalerts beobachtet, sitzt hier.

Dritte Linie: Internal Audit. Unabhängige Prüfer, die kontrollieren, ob Linie eins und zwei tatsächlich funktionieren. Sie berichten an den Audit Committee des Boards, nicht an das Management, und kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen daher frei kritisieren.

Der Sinn der Trennung ist einfach: Die Leute, die das Geld verdienen, sollten nicht die Einzigen sein, die das Geld prüfen. Wenn die FCA (Financial Conduct Authority, die wichtigste britische Conduct-Aufsicht) oder das OCC (Office of the Comptroller of the Currency, eine US-Bundesbankenaufsicht) eine Bank prüft, verfolgt sie ein Thema durch alle drei Linien, um zu sehen, wo es hätte auffallen müssen.

Das Three Lines Model des Institute of Internal Auditors ist das frei verfügbare Referenzdokument, auf dem die meisten Banken aufbauen.

Was die Maschine tatsächlich produzieren muss

Eine Compliance-Funktion wird an Outputs gemessen, nicht an Absichten. Vier Outputs zählen am meisten.

1. Transaction Reporting (MiFID II und mehr)

MiFID II (Markets in Financial Instruments Directive II) ist der EU-Rahmen für Wertpapierdienstleistungen, in Kraft seit Januar 2018. Eine der schwersten Anforderungen ist das Transaction Reporting: Banken müssen die Details der meisten Geschäfte in Finanzinstrumenten bis zum Ende des nächsten Arbeitstags (T+1) an ihre nationale Aufsicht melden.

Jede Meldung kann Dutzende Felder enthalten: Instrumentenkennung, Preis, Menge, Identität von KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →äufer und Verkäufer (über einen Legal Entity Identifier, LEI, einen 20-stelligen globalen Code zur Identifikation der Parteien), Zeitstempel auf die Mikrosekunde und wer die Handelsentscheidung getroffen hat.

Fehlt ein Feld, wird zu spät gemeldet oder ein Phantomgeschäft gemeldet, folgt das Bußgeld. Aufsichtsbehörden haben Firmen für Reporting-Fehler bei Millionen von Transaktionen sanktioniert. Die Compliance-Maschine ist hier eine Data PipelineData PipelineETL (Extract, Transform, Load) ist ein Datenintegrationsprozess, der Daten aus Quellsystemen extrahiert, in ein konsistentes Format bringt und in ein Zielsystem schreibt.Vollständige Definition ansehen →: Geschäft erfassen, mit Referenzdaten anreichern, validieren, einreichen und abgleichen, was die Aufsicht erhalten hat, gegen das, was Sie gesendet haben.

In den USA ist das Gegenstück der Consolidated Audit Trail (CAT) unter Aufsicht der SEC (Securities and Exchange Commission), der den Lebenszyklus von Orders über die US-Aktien- und Optionsmärkte hinweg erfasst.

2. Stresstests

Aufsichtsbehörden vertrauen Banken nicht mehr, wenn diese sagen „wir sind sicher". Sie lassen Banken Resilienz unter simulierten Katastrophen beweisen.

In den USA führt die Federal Reserve jährlich CCAR (Comprehensive Capital Analysis and Review) und DFAST (Dodd-Frank Act Stress Test) durch. Die Fed gibt großen Banken eine hypothetische schwere Rezession vor (zum Beispiel stark steigende Arbeitslosigkeit und Einbrüche der Vermögenspreise), und die Bank muss modellieren, ob sie mit genügend Kapital überlebt.

In Europa führt die EBA (European Banking Authority) EU-weite Stresstests durch, üblicherweise alle zwei Jahre, in Abstimmung mit der EZB (Europäische Zentralbank).

Für Compliance und Kontrolle lautet die Prüfungsfrage nicht nur „bestehen wir?". Sie lautet „kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen wir jede Zahl verteidigen?" Die eingereichten Modelle, Annahmen und die Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → müssen so gut dokumentiert sein, dass ein Prüfer sie rekonstruieren kann.

3. AML und Sanctions Screening

Nach dem US-Bank Secrecy Act (BSA) und seinen späteren Änderungen sowie den EU-Geldwäscherichtlinien müssen Banken ihre Kunden kennen (KYC, Know Your Customer), Transaktionen überwachen und Suspicious Activity Reports (SARs) einreichen, wenn etwas nach Geldwäsche oder Terrorismusfinanzierung aussieht.

Hier trifft es Banken am härtesten. Enforcement-MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen wegen AML-Versäumnissen erreichen regelmäßig Hunderte Millionen und gelegentlich Milliarden Dollar. Die Maschine: Onboarding-Prüfungen, laufendes Screening gegen Sanktionslisten (etwa die US-OFAC-Liste des Office of Foreign Assets Control), Alert-Untersuchung und SAR-Einreichung bei der Financial Intelligence Unit (FinCEN in den USA).

4. Der Audit Trail

Alles oben Genannte hängt an einem unglamourösen Asset: dem Audit Trail. Ein Audit Trail ist eine manipulationssichere, zeitgestempelte Aufzeichnung darüber, wer was wann und warum getan hat.

Wenn ein Compliance Officer einen Transaktionsalert übersteuert hat, muss der Trail die Entscheidung, den Grund, den Genehmiger und den Zeitstempel zeigen. Regelwerke wie MiFID II Artikel 16 und Aufbewahrungsvorschriften verlangen von Firmen, Kommunikation und Entscheidungen (oft fünf Jahre, manchmal länger) in einer Form aufzubewahren, in der sie auf Anfrage reproduzierbar sind.

So sieht ein minimaler Audit-Datensatz für die Alert-Bearbeitung aus:

{
  "alert_id": "AML-2026-084213",
  "customer_id": "CUST-559102",
  "trigger_rule": "structuring_below_10k",
  "raised_at": "2026-03-14T09:12:47Z",
  "reviewed_by": "compliance.analyst.42",
  "decision": "escalated_to_SAR",
  "rationale": "5 cash deposits of 9,800 over 3 days",
  "approved_by": "mlro.hicks",
  "closed_at": "2026-03-16T14:03:11Z"
}

Beachten Sie: Der Datensatz erklärt sich selbst. Ein Prüfer, der ihn zwei Jahre später liest, kann die Beurteilung rekonstruieren, ohne eine einzige Frage zu stellen. Genau das heißt „ein Audit überstehen" in der Praxis.

Die Teile zu einer Betriebsmaschine verdrahten

Einzeln sind das Pflichten. Zusammen bilden sie einen Kontrollzyklus, der ununterbrochen läuft.

Von der Policy zur Kontrolle. Die zweite Linie übersetzt jede Regulierung in konkrete Kontrollen. „MiFID II verlangt Transaction Reporting zu T+1" wird zu „automatisierte PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → reicht bis 22:00 ein, mit Reconciliation-Check um 23:00 und einer Exception Queue für Fehlschläge".

Von der Kontrolle zum Nachweis. Jede Kontrolle muss Nachweise hinterlassen. Eine Kontrolle, deren Ausführung niemand belegen kann, ist für die Aufsicht eine Kontrolle, die nicht existierte. Deshalb sind Banken so versessen auf Logging und Sign-offs.

Vom Nachweis zur Eskalation. Wenn eine Kontrolle fehlschlägt, muss sie innerhalb einer definierten Zeit an einen namentlich benannten Owner eskalieren. Im AML-Bereich ist der MLRO (Money Laundering Reporting Officer) eine rechtlich benannte Person, die die SAR-Entscheidungen verantwortet. Einen verantwortlichen Menschen zu benennen, ist selbst eine regulatorische Erwartung, in Großbritannien verstärkt durch das Senior Managers and Certification Regime (SMCR), das Führungskräfte persönlich für Versäumnisse in ihrem Bereich haftbar macht.

Von der Eskalation zur Remediation. Themen werden erfasst, verfolgt und mit Nachweis der Behebung geschlossen. Internal Audit (dritte Linie) testet später, ob die Remediation tatsächlich gewirkt hat.

Der Walkthrough des Prüfers

Stellen Sie sich vor, ein Prüfer der FCA oder der Fed kommt. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → liest Ihren Policy-Ordner nicht von vorn bis hinten. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → greift sich eine Transaktion und zieht den Faden:

• Zeigen Sie mir dieses Geschäft.
• Zeigen Sie mir die MiFID-II-Meldung, die Sie dafür eingereicht haben.
• Zeigen Sie mir die Reconciliation, die belegt, dass die Aufsicht sie erhalten hat.
• Dieser Kunde hat letztes Jahr einen Alert ausgelöst: Zeigen Sie mir, wer ihn geprüft hat und warum ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → geschlossen wurde.
• Zeigen Sie mir, wo Internal Audit diese Kontrolle zuletzt getestet hat.

Wenn jede Frage eine dokumentierte Antwort hat, die in Minuten vorliegt, übersteht die Funktion das Audit. Wenn Antworten hektische E-Mails und rekonstruierte Spreadsheets brauchen, schreibt sich das Finding von selbst. Der Unterschied liegt selten in der Qualität der Absichten. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → liegt darin, ob die Maschine so gebaut wurde, dass sie Nachweise als Nebenprodukt der normalen Arbeit produziert.

Die wichtigsten Erkenntnisse

• Compliance ist eine Betriebsmaschine, kein Dokument. Aufsichtsbehörden beurteilen Outputs (Meldungen, Nachweise, Eskalationen), nicht Policy-Ordner. Wenn sie kommen, sagen sie „zeigen Sie mir".
• Die drei Verteidigungslinien trennen Risikoübernahme von Kontrolle. Das Geschäft trägt das Risiko zuerst, Risk und Compliance überwachen unabhängig, Internal Audit prüft, ob beides funktioniert, und berichtet direkt an das Board.
• Vier Outputs haben das größte rechtliche Gewicht: Transaction Reporting (MiFID II in der EU, CAT in den USA), Stresstests (CCAR/DFAST über die Fed, EBA in Europa), AML/Sanctions Screening (BSA, OFAC, SARs) und ein unveränderlicher Audit Trail.
• Benennen Sie verantwortliche Menschen. Regime wie SMCR und die MLRO-Rolle machen bestimmte Personen persönlich verantwortlich, daher müssen Eskalationswege bei einem namentlich benannten Owner enden.
• Gestalten Sie Kontrollen so, dass sie automatisch Nachweise hinterlassen. Eine Kontrolle, deren Ausführung niemand belegen kann, ist nicht gelaufen. Bauen Sie Logging und Sign-offs in den normalen Workflow ein, damit sich die Fragen eines Prüfers von selbst beantworten.