Compliance-Audit für regulierte Firmen

Eine regulierte Firma erfährt von den Lücken in ihrer Compliance auf eine von zwei Arten: aus ihrer eigenen Prüfung oder aus der Prüfung der Aufsicht. Ein Compliance-Audit ist der erste Weg. Dieser Leitfaden erklärt, was eine interne Compliance-Prüfung umfasst, wie der Umfang gewählt wird, was der Bericht enthält, was eine Prüfung meist findet und was mit den Feststellungen geschieht.

Der Leitfaden ist eine allgemeine Information, keine Rechtsberatung. Eine Compliance-Prüfung ist keine gesetzliche Abschlussprüfung und ersetzt nicht den nach dem Gesetz über die Tätigkeit der Abschlussprüfer oder dem Fachgesetz erforderlichen Prüfer.

Was ein Compliance-Audit ist

Ein Compliance-Audit — genauer eine interne Compliance-Prüfung — prüft, was die Richtlinien der Firma sagen, gegen das, was die Firma tatsächlich tut, und beides gegen das Gesetz und die Leitlinien der Aufsicht. Es ist eine Dokumenten- und Verfahrensprüfung, kein Urteil über den Abschluss der Firma: Die Abschlussprüfung betrachtet die Zahlen, die Compliance-Prüfung die Kontrollen. Beide werden getrennt durchgeführt, meist von verschiedenen Prüfern, und eine regulierte Firma braucht oft beide zu unterschiedlichen Zeitpunkten im Jahr.

Wann eine Prüfung sinnvoll ist

• vor dem Lizenzantrag, um die Unterlagen gegen das Gesetz zu prüfen;
• im ersten Jahr nach der Zulassung, wenn Richtlinien erstmals auf die Praxis treffen;
• vor einer Prüfung durch die Aufsicht oder danach, um die Feststellungen abzuschließen;
• wenn die Geldwäscheregeln eine unabhängige Prüfung des internen Kontrollsystems verlangen (RahaPTS) oder vor der regelmäßigen Überprüfung der Firma durch eine Bank;
• vor einem Verkauf, als Teil der Due Diligence des Käufers.

Umfang in drei Klassen

• Umfang Klasse 1 — ab €8,500: Geldwäsche-Rahmen, Governance und die Kernrichtlinien einer Firma mit begrenzten Dienstleistungen;
• Umfang Klasse 2 — ab €15,500: zusätzlich Sicherung von Kundengeldern oder Verwahrung, Auslagerung, IKT und Beschwerden, mit Stichprobenprüfung;
• Umfang Klasse 3 — ab €27,000: der gesamte aufsichtsrechtliche Rahmen einer komplexen Firma, wo relevant einschließlich Marktverhalten und Regeln für Handelsplattformen.

Die Klasse der Prüfung folgt den Dienstleistungen der Firma, nicht nur ihrer Größe; wir bestätigen sie schriftlich, bevor die Arbeit beginnt. Eine Firma, die seit ihrer letzten Prüfung eine Dienstleistung hinzugefügt hat — etwa Sicherung von Kundengeldern, Verwahrung oder einen neuen Vertriebsweg —, braucht meist den weiteren Umfang, auch wenn sich sonst nichts geändert hat.

Wie lange eine Prüfung dauert

Die Dauer hängt vom Umfang ab und davon, wie schnell die Firma Fragen beantwortet und Akten für Stichproben liefert:

• Umfang Klasse 1 — meist 3–4 Wochen;
• Umfang Klasse 2 — meist 4–6 Wochen;
• Umfang Klasse 3 — meist 6–8 Wochen;
• der Maßnahmenplan, sobald der Bericht endgültig ist — meist 2–4 Wochen.

Das sind typische Dauern für eine Firma, deren Unterlagen und Akten bereits geordnet sind; eine Firma, die ihre Akten während der Prüfung zusammenstellen muss statt vorher, sollte mit einer längeren Prüfung rechnen.

Methode und Bericht Schritt für Schritt

• Prüfung der Unterlagen gegen anwendbares Recht, Verordnungen und Leitlinien der Aufsicht;
• schriftliche Fragebögen an die Geschäftsleitung und die Inhaber von Schlüsselfunktionen, mit Nachfragen per E-Mail;
• Stichprobenprüfung von Akten: Kundensorgfalt, Überwachungsalarme, Abstimmungen der Kundengeldsicherung, Beschwerden;
• ein Bericht mit nach Risiko bewerteten Feststellungen, der Rechtsgrundlage jeder Feststellung und einer Empfehlung.

Die Schritte laufen in dieser Reihenfolge: Die Dokumentenprüfung liefert die Fragen für die Gespräche, die Gespräche zeigen, welche Akten sich für Stichproben lohnen, und auf den Stichproben beruhen die Feststellungen des Berichts. Eine Prüfung, die direkt zu Stichproben springt, ohne zuerst die Richtlinien zu lesen, übersieht meist die Lücke zwischen dem Geschriebenen und dem tatsächlich Getanen — meist die ernstere der beiden Feststellungen.

Was eine Prüfung häufig findet

Über Firmen und Branchen hinweg wiederholen sich dieselben Lücken:

• Richtlinien, die für den Lizenzantrag geschrieben und nie aktualisiert wurden, als das Geschäft anders lief;
• Überwachungsalarme, die ohne schriftliche Begründung geschlossen werden, sodass die Akte nicht zeigt, warum entschieden wurde;
• Abstimmungen der Kundengeldsicherung, die nicht in der Häufigkeit erfolgen, die die eigene Richtlinie der Firma verlangt;
• Auslagerungs- oder IKT-Vereinbarungen, die nirgends aufgeführt sind, sodass niemand der Aufsicht auf Anfrage das Gesamtbild zeigen kann;
• ein Beschwerderegister, das auf dem Papier existiert, aber nie von der Geschäftsleitung geprüft wird.

Keine davon lässt eine Prüfung für sich allein scheitern; das Risiko liegt darin, dass sie unbemerkt bleiben, bis die Aufsicht und nicht die Firma sie zuerst findet.

Feststellungen abschließen

Der Maßnahmenplan (ab €1,700) macht aus den Feststellungen einen priorisierten Plan mit Verantwortlichen und Fristen, und wo nötig aktualisieren wir die Unterlagen. Eine Bank, ein Prüfer oder die Aufsicht, die später nach einer Feststellung fragt, erwartet sowohl den Plan als auch den Nachweis seiner Umsetzung — nicht nur den ursprünglichen Bericht. Firmen unter DORA verbinden die Prüfung oft mit dem DORA-Rahmen; Krypto-Firmen mit der laufenden MiCA-Compliance-Unterstützung. Zu den zugrunde liegenden Geldwäsche- und Sicherungsunterlagen siehe Geldwäscheregeln und Sicherung von Kundengeldern.

Was Sie erhalten

• einen unabhängigen Compliance-Prüfbericht mit bewerteten Feststellungen;
• falls bestellt, den Maßnahmenplan und aktualisierte Unterlagen.

Die Beträge sind unsere Honorare für den Standardumfang, ohne Mehrwertsteuer. Die gesamte Kommunikation läuft per E-Mail.

Für Staatsangehörige Russlands und für Unternehmen aus Russland erbringen wir keine Leistungen.

Compliance-Audit bestellen Preise Leitfaden auf Englisch