Banken · Eine Compliance-Funktion aufbauen, die ein Audit übersteht

2012 verlor JPMorgan im Handelsskandal um den „London Whale“ mehr als 6 Milliarden Dollar. Die einzelnen Geschäfte waren für sich genommen legal. Aus regulatorischer Sicht ging die Bank daran unter, dass ihre Kontrollfunktionen es nicht geschafft haben, die Vorgänge zu erkennen, zu eskalieren und zu dokumentieren. Die Aufsicht verhängte Bußgelder in Höhe von mehreren Hundert Millionen, und die Lektion blieb in der Branche hängen: Compliance ist kein Memo, sondern eine Maschine. Wenn ein Prüfer kommt, fragt ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → nicht „sind Sie compliant?“ Er sagt „zeigen Sie es mir.“

Diese Lektion baut diese Maschine aus ihren echten Einzelteilen zusammen.

Die drei Verteidigungslinien

Nahezu jede seriöse Bank organisiert ihre Kontrolle nach dem Modell der three lines of defence (3LoD). Das ist kein Gesetz. Es ist eine Betriebsstruktur, die Aufsichtsbehörden erwarten, formalisiert von Gremien wie dem Basler Ausschuss für Bankenaufsicht (dem globalen Standardsetzer für Bankenregulierung mit Sitz in Basel, Schweiz).

Erste Linie: das Geschäft. Die Händler, Kreditgeber und Relationship Manager, die Risiko eingehen, tragen es zuerst. Ein Kreditsachbearbeiter, der die Unterlagen eines Kreditnehmers vor der Genehmigung prüft, ist Kontrolle der ersten Linie.

Zweite Linie: Risk und Compliance. Unabhängige Funktionen, die Richtlinien setzen und die erste Linie überwachen. Die Compliance-Abteilung, die die Regeln zur Geldwäschebekämpfung (Anti-Money-Laundering, AML) schreibt und Transaktionsalerts beobachtet, sitzt hier.

Dritte Linie: Internal Audit. Unabhängige Prüfer, die kontrollieren, ob Linie eins und zwei tatsächlich funktionieren. Sie berichten an den Audit Committee des Boards, nicht an das Management, und kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen deshalb frei kritisieren.

Der Sinn der Trennung ist einfach: Die Leute, die das Geld verdienen, sollten nicht die Einzigen sein, die das Geld prüfen. Wenn die FCA (Financial Conduct Authority, die wichtigste Verhaltensaufsicht Großbritanniens) oder das OCC (Office of the Comptroller of the Currency, eine US-Bundesbankenaufsicht) eine Bank prüft, verfolgt sie einen Vorfall durch alle drei Linien, um zu sehen, wo er hätte auffallen müssen.

Das Three Lines Model des Institute of Internal Auditors ist das frei verfügbare Referenzdokument, auf dem die meisten Banken aufbauen.

Was die Maschine tatsächlich produzieren muss

Eine Compliance-Funktion wird an Outputs gemessen, nicht an Absichten. Vier Outputs zählen am meisten.

1. Transaction Reporting (MiFID II und mehr)

MiFID II (Markets in Financial Instruments Directive II) ist der EU-Rahmen für Wertpapierdienstleistungen, in Kraft seit Januar 2018. Eine der schwersten Anforderungen ist das Transaction Reporting: Banken müssen die Details der meisten Geschäfte in Finanzinstrumenten bis zum Ende des nächsten Geschäftstags (T+1) an ihre nationale Aufsicht melden.

Jede Meldung kann Dutzende Felder enthalten: Instrumentenkennung, Preis, Menge, Identität von Käufer und Verkäufer (über einen Legal Entity Identifier, kurz LEI, einen 20-stelligen globalen Code zur Identifikation der Parteien), Zeitstempel auf die Mikrosekunde und wer die Handelsentscheidung getroffen hat.

Fehlt ein Feld, kommt die Meldung zu spät oder betrifft sie ein Geschäft, das es nicht gibt, folgt das Bußgeld. Aufsichtsbehörden haben Firmen für Meldefehler bei Millionen von Transaktionen sanktioniert. Die Compliance-Maschine ist hier eine Data PipelineData PipelineETL (Extract, Transform, Load) ist ein Datenintegrationsprozess, der Daten aus Quellsystemen extrahiert, in ein konsistentes Format bringt und in ein Zielsystem schreibt.Vollständige Definition ansehen →: das Geschäft erfassen, mit Referenzdaten anreichern, validieren, einreichen und abgleichen, was die Aufsicht erhalten hat gegen das, was Sie gesendet haben.

In den USA ist das Gegenstück der Consolidated Audit Trail (CAT) unter Aufsicht der SEC (Securities and Exchange Commission), der den Lebenszyklus von Orders über die US-Aktien- und Optionsmärkte erfasst.

2. Stresstests

Aufsichtsbehörden verlassen sich nicht mehr darauf, dass Banken sagen „wir sind sicher“. Sie lassen Banken ihre Widerstandsfähigkeit unter simulierten Katastrophen beweisen.

In den USA führt die Federal Reserve jährlich CCAR (Comprehensive Capital Analysis and Review) und DFAST (Dodd-Frank Act Stress Test) durch. Die Fed gibt großen Banken eine hypothetische schwere Rezession vor (etwa starke Anstiege der Arbeitslosigkeit und Einbrüche der Vermögenspreise), und die Bank muss modellieren, ob sie mit genügend Kapital übersteht.

In Europa führt die EBA (European Banking Authority) EU-weite Stresstests durch, typischerweise alle zwei Jahre, in Abstimmung mit der EZB (Europäische Zentralbank).

Für die Compliance- und Kontrollfunktion lautet die Prüfungsfrage nicht nur „bestehen wir?“ Sie lautet „können wir jede Zahl verteidigen?“ Die eingereichten Modelle, Annahmen und die Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → müssen so gut dokumentiert sein, dass ein Prüfer sie rekonstruieren kann.

3. AML und Sanktions-Screening

Nach dem US-Bank Secrecy Act (BSA) und seinen späteren Ergänzungen sowie den EU-Geldwäscherichtlinien müssen Banken ihre Kunden kennen (KYC, Know Your Customer), Transaktionen überwachen und Suspicious Activity Reports (SARs) einreichen, wenn etwas nach Geldwäsche oder Terrorismusfinanzierung aussieht.

Hier trifft es Banken am härtesten. Durchsetzungsmaßnahmen wegen AML-Versäumnissen erreichen regelmäßig Hunderte Millionen und gelegentlich Milliarden Dollar. Die Maschine: Prüfungen beim Onboarding, laufendes Screening gegen Sanktionslisten (etwa die US-OFAC-Liste des Office of Foreign Assets Control), Alert-Untersuchung und SAR-Einreichung bei der Financial Intelligence Unit (FinCEN in den USA).

4. Der Audit Trail

Alles Bisherige hängt an einem unspektakulären Asset: dem Audit Trail. Ein Audit Trail ist eine manipulationssichere, mit Zeitstempeln versehene Aufzeichnung darüber, wer was wann und warum getan hat.

Wenn ein Compliance Officer einen Transaktionsalert übersteuert hat, muss der Trail die Entscheidung, den Grund, den Genehmigenden und den Zeitstempel zeigen. Vorschriften wie MiFID II Artikel 16 und Aufbewahrungsregeln verlangen von Firmen, Kommunikation und Entscheidungen (oft fünf Jahre, manchmal länger) in einer Form aufzubewahren, in der sie auf Anforderung reproduzierbar sind.

So sieht ein minimaler Audit-Datensatz zur Alert-Bearbeitung aus:

{
  "alert_id": "AML-2026-084213",
  "customer_id": "CUST-559102",
  "trigger_rule": "structuring_below_10k",
  "raised_at": "2026-03-14T09:12:47Z",
  "reviewed_by": "compliance.analyst.42",
  "decision": "escalated_to_SAR",
  "rationale": "5 cash deposits of 9,800 over 3 days",
  "approved_by": "mlro.hicks",
  "closed_at": "2026-03-16T14:03:11Z"
}

Beachten Sie, dass der Datensatz sich selbst erklärt. Ein Prüfer, der ihn zwei Jahre später liest, kann die Bewertung rekonstruieren, ohne eine einzige Frage zu stellen. Genau das bedeutet „übersteht ein Audit“ in der Praxis.

Die Teile zu einer Maschine verdrahten

Einzeln betrachtet sind das Pflichten. Zusammen bilden sie einen Kontrollzyklus, der dauerhaft läuft.

Von der Richtlinie zur Kontrolle. Die zweite Linie übersetzt jede Vorschrift in konkrete Kontrollen. „MiFID II verlangt Transaction Reporting zu T+1“ wird zu „automatisierte PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → sendet bis 22:00, mit Abgleich um 23:00 und einer Exception Queue für Fehlschläge“.

Von der Kontrolle zum Nachweis. Jede Kontrolle muss Nachweise hinterlassen. Eine Kontrolle, deren Ausführung niemand belegen kann, ist für die Aufsicht eine Kontrolle, die nie existiert hat. Deshalb sind Banken besessen von Logging und Sign-offs.

Vom Nachweis zur Eskalation. Wenn eine Kontrolle versagt, muss sie innerhalb einer definierten Zeit an einen benannten Verantwortlichen eskalieren. Im AML-Bereich ist der MLRO (Money Laundering Reporting Officer) eine rechtlich bestimmte Person, die die SAR-Entscheidungen trägt. Einen verantwortlichen Menschen zu benennen, ist selbst eine regulatorische Erwartung, in Großbritannien verstärkt durch das Senior Managers and Certification Regime (SMCR), das Führungskräfte persönlich für Versäumnisse in ihrem Bereich haftbar macht.

Von der Eskalation zur Remediation. Vorfälle werden erfasst, verfolgt und mit Nachweis der Behebung geschlossen. Internal Audit (dritte Linie) prüft später, ob die Remediation tatsächlich funktioniert hat.

Der Walkthrough des Prüfers

Stellen Sie sich vor, ein Prüfer der FCA oder der Fed kommt. Er wird Ihren Richtlinienordner nicht von vorne bis hinten lesen. Er wird eine Transaktion auswählen und am Faden ziehen:

• Zeigen Sie mir dieses Geschäft.
• Zeigen Sie mir die MiFID-II-Meldung, die Sie dafür eingereicht haben.
• Zeigen Sie mir den Abgleich, der beweist, dass die Aufsicht sie erhalten hat.
• Dieser Kunde hat letztes Jahr einen Alert ausgelöst: Zeigen Sie mir, wer ihn geprüft hat und warum er geschlossen wurde.
• Zeigen Sie mir, wann Internal Audit diese Kontrolle zuletzt getestet hat.

Wenn jede Frage eine dokumentierte Antwort hat, die in Minuten vorliegt, übersteht die Funktion die Prüfung. Wenn Antworten hektische E-Mails und nachträglich zusammengebaute Spreadsheets erfordern, schreibt sich der Prüfungsbefund von selbst. Der Unterschied liegt selten an der Qualität der Absichten. Er liegt daran, ob die Maschine so gebaut wurde, dass Nachweise als Nebenprodukt der normalen Arbeit entstehen.

Die wichtigsten Erkenntnisse

• Compliance ist eine Betriebsmaschine, kein Dokument. Aufsichtsbehörden bewerten Outputs (Meldungen, Nachweise, Eskalationen), nicht Richtlinienordner. Wenn sie kommen, sagen sie „zeigen Sie es mir“.
• Die three lines of defence trennen das Eingehen von Risiko von der Kontrolle. Das Geschäft trägt das Risiko zuerst, Risk und Compliance überwachen unabhängig, Internal Audit prüft, ob beides funktioniert, und berichtet direkt an das Board.
• Vier Outputs tragen das größte rechtliche Gewicht: Transaction Reporting (MiFID II in der EU, CAT in den USA), Stresstests (CCAR/DFAST über die Fed, EBA in Europa), AML- und Sanktions-Screening (BSA, OFAC, SARs) und ein unveränderlicher Audit Trail.
• Benennen Sie verantwortliche Menschen. Regime wie SMCR und die MLRO-Rolle machen konkrete Personen persönlich verantwortlich, deshalb müssen Eskalationswege bei einem benannten Verantwortlichen endeen.
• Gestalten Sie Kontrollen so, dass sie automatisch Nachweise hinterlassen. Eine Kontrolle, deren Ausführung niemand belegen kann, ist nicht gelaufen. Bauen Sie Logging und Sign-offs in den normalen Workflow ein, damit sich die Fragen eines Prüfers von selbst beantworten.