Compliance-Alarme in der Lieferkette: So ist Ihr Unternehmen vorbereitet

Der „Schlag in den Magen“: Compliance-Risiken managen

„Jeder hat einen Plan, bis er einen Schlag in den Mund bekommt.“ (Mike Tyson) – Diese Weisheit gilt für internationale Compliance-Risiken. Große Firmen haben oft Pläne, mittelständische behandeln Compliance als Checklisten-Übung. Eine Datenbanküberwachung (z. B. OFAC-Sanktionslisten) reicht nicht, wenn ein Alarm für einen Drittlieferanten auslöst. Dann braucht es mehr als eine Datenbank, um teure, disruptive Situationen zu vermeiden.

Steigende Wahrscheinlichkeit von Alarmen

Geopolitische Komplexität nimmt zu. Die Biden-Regierung verhängte neue Sanktionen gegen China und Russland. 2021 verhängte OFAC ca. 14 Mio. $ Zivilstrafen; SAP zahlte über 8 Mio. $ für Iran-Geschäfte. Ein Anruf der Behörde oder ein Software-Ping kann existentielle Folgen haben – bis zu Strafzahlungen in Millionenhöhe oder Strafverfolgung.

Vier Säulen der Alarmbereitschaft

1. Dokumentation, Dokumentation, Dokumentation
   Behörden fragen: „Was lief schief?“ und „Was haben Sie zur Prävention getan?“. Umfassende Dokumentation von Kommunikation und Prozessen zu Drittparteien – riskant oder nicht – schafft Vertrauen und Nachsicht.
2. Fundierte Recherche
   Jede Datenbank hat Lücken. Ergänzende Verzeichnisse und Analyseprozesse sind essenziell. Bei Alarm: schnell interne/ externe Ressourcen mobilisieren, Richtigkeit prüfen. Oft entpuppt sich der Alarm als Fehlalarm (z. B. Namensgleichheit) – Geld und Stress gespart.
3. Aktionsplan bereithalten
   Bestätigt sich der Verdacht, kennt das Compliance-Team Tiefe der Beziehung und Exposition. Nächste Schritte: Rechtsbeistand, externe Berater.
4. Sanierung (Remediation)
   Beendigung der Partnerschaft oder – wenn unverzichtbar – Zusammenarbeit mit Regulatoren für Kompromisslösungen. Wichtig: Audit-Trail der korrekten Prozesse vorweisen können. Nie den sanktionierten Akteur direkt befragen – die OFAC-Liste enthält unseriöse Akteure, die nicht kooperieren.

Systeme statt Ad-hoc-Reaktionen

Etablierte Systeme (Dokumentation, Recherche, Aktionsplan, Sanierung) machen das Unternehmen krisenfest – unabhängig von Einzelpersonen. So ist man auf den „Schlag in den Mund“ bestmöglich vorbereitet.