Automatisierte Compliance: Warum ein grünes Häkchen kein Nachweis ist

Compliance bedeutet, dass ein Unternehmen Gesetze, Vorschriften und eigene Regeln einhält. Das klingt abstrakt. Im Alltag besteht es aus vielen kleinen Prüfungen. Steht ein neuer Geschäftspartner auf einer Sanktionsliste? Hat eine ausgeschiedene Mitarbeiterin noch Zugriff auf das Kundensystem? Wurden personenbezogene Daten nach Ablauf der Frist gelöscht?

Solche Fragen lassen sich mit Software oft schneller und vollständiger beantworten als von Hand. Viele Unternehmen setzen deshalb auf automatisierte Kontrollen. Das ist sinnvoll. Es birgt aber ein Risiko, das in Projekten selten offen besprochen wird.

Ein automatisierter Check liefert ein Ergebnis, meist ein grünes Häkchen oder einen roten Alarm. Das Häkchen wirkt beruhigend. Ob es etwas bedeutet, hängt davon ab, was das System tatsächlich geprüft hat. Um diese Frage geht es in diesem Beitrag.

Was sich gut automatisieren lässt

Automatisierung spielt ihre Stärke bei Kontrollen mit drei Merkmalen aus. Die Regel ist klar formulierbar, die Zahl der Fälle ist hoch, und die Prüfung wiederholt sich regelmäßig. Typische Beispiele:

• Abgleich von Kunden, Lieferanten und Zahlungsempfängern mit Sanktions- und Embargolisten.
• Regelmäßige Prüfung von Benutzerrechten, etwa ob jemand zugleich Zahlungen anlegen und freigeben darf.
• Überwachung von Lösch- und Aufbewahrungsfristen für Dokumente und Daten.
• Erinnerungen an Pflichtschulungen, ablaufende Zertifikate und Meldefristen.
• Auswertung von Buchungen auf Auffälligkeiten wie runde Beträge am Wochenende oder ungewöhnliche Empfänger.

Ein Mensch würde bei Tausenden Datensätzen ermüden und nur Stichproben ziehen. Die Software prüft alle Fälle, jeden Tag, nach denselben Regeln. Das ist ein echter Fortschritt gegenüber der jährlichen Prüfung mit Tabellen, die jemand von Hand zusammenträgt.

Ein zweiter Vorteil ist die Spur, die solche Systeme hinterlassen. Jede Prüfung wird mit Datum, Regel und Ergebnis protokolliert. Fragt später eine Behörde oder ein Prüfer nach, lässt sich zeigen, wann welcher Partner geprüft wurde. Von Hand gepflegte Listen leisten das selten in dieser Vollständigkeit.

Das Problem mit dem grünen Häkchen

Angenommen, eine Sanktionslistenprüfung meldet keinen Treffer. Das heißt zunächst nur: Mit den eingestellten Regeln und den geladenen Listen wurde nichts gefunden. Ist die Liste veraltet, fehlt eine Schreibweise oder ist die Toleranz für ähnliche Namen zu eng, entgeht dem System ein echter Treffer.

Ähnlich ist es bei Berechtigungen. Die Software prüft vielleicht das Hauptsystem, aber nicht die kleine Anwendung, die eine Abteilung nebenher nutzt. Der Bericht ist grün, die Lücke bleibt. Das Häkchen bescheinigt dann eine Sicherheit, die es nicht gibt.

Besonders heikel sind stille Fehler. Eine Schnittstelle bricht ab, und die Kontrolle prüft seit Wochen nur noch einen leeren Datenbestand. Ohne eigene Überwachung meldet sie weiter brav: keine Auffälligkeiten. Gute Systeme schlagen deshalb auch Alarm, wenn plötzlich weniger Daten ankommen als üblich.

Ein automatisierter Check beweist nur, was er tatsächlich geprüft hat, und nicht, was das Unternehmen gern geprüft hätte.

Aufsichtsbehörden und Prüfer fragen deshalb nicht nur nach dem Ergebnis. Sie wollen wissen, wie die Kontrolle aufgebaut ist, welche Daten sie nutzt und wer sie überwacht. Ein Unternehmen muss das erklären können, und zwar ohne Verweis auf den Anbieter.

Fehlalarme sind ebenfalls ein Risiko

Das Gegenteil ist genauso problematisch. Stellen Sie die Regeln sehr streng ein, meldet das System ständig Treffer. Bei Namensabgleichen passiert das schnell, weil viele Menschen ähnliche Namen tragen. Die Prüfenden klicken die Meldungen irgendwann nur noch weg.

In diesem Moment ist die Kontrolle faktisch abgeschaltet, obwohl sie formal läuft. Gute Systeme arbeiten deshalb mit Stufen. Eindeutige Fälle werden automatisch erledigt, unklare landen mit Begründung bei einem Menschen. Wo die Schwellen liegen, ist eine fachliche Entscheidung und keine technische.

Ein Beispiel: Ein mittelgroßer Großhändler prüft seine Kunden täglich gegen Sanktionslisten. Anfangs meldet das System jeden Tag Dutzende Treffer, fast alle wegen häufiger Nachnamen. Erst als zusätzlich Geburtsdatum, Land und Firmensitz abgeglichen werden, sinkt die Zahl auf wenige Fälle pro Woche. Diese werden nun wirklich gelesen und sorgfältig geklärt.

Wer die Maschine kontrolliert

Jede automatisierte Kontrolle braucht eine verantwortliche Person. Sie kennt die Regeln, prüft die Ergebnisse und entscheidet über Änderungen. Fehlt diese Rolle, wird das System zur Blackbox, die niemand mehr hinterfragt.

Dazu gehören einige Grundregeln. Dokumentieren Sie, welche Regel welche Vorschrift umsetzt. Testen Sie regelmäßig mit bewusst eingeschleusten Fällen, ob das System anschlägt. Halten Sie fest, wann Listen und Regeln aktualisiert wurden. Und prüfen Sie nach jeder Systemänderung, ob die Kontrolle noch alle relevanten Daten erreicht.

Bei Systemen mit künstlicher Intelligenz kommt eine weitere Frage hinzu: Ist nachvollziehbar, warum ein Fall als auffällig gilt? Für die Praxis ist eine verständliche Begründung oft wichtiger als eine etwas höhere Trefferquote. Ein Hinweis ohne Begründung lässt sich weder sauber prüfen noch gegenüber Dritten vertreten.

Wie Sie den Einstieg planen

Beginnen Sie mit einer Bestandsaufnahme der Pflichten, die Ihr Unternehmen tatsächlich treffen. Ein Exporteur hat andere Schwerpunkte als ein Pflegedienst oder ein Onlinehändler. Ordnen Sie dann jeder Pflicht die Kontrollen zu, die es heute schon gibt, ob von Hand oder per Software.

Automatisieren Sie zuerst die Kontrollen, die häufig laufen und klaren Regeln folgen. Oft stecken passende Funktionen bereits in vorhandener Buchhaltungs-, Personal- oder Sicherheitssoftware. Ein neues Werkzeug lohnt sich erst, wenn diese Möglichkeiten ausgeschöpft sind. Planen Sie außerdem Zeit für die Pflege ein. Vorschriften ändern sich, und mit ihnen müssen sich die Regeln im System ändern.

Was beim Menschen bleibt

Automatisierung beantwortet die Frage, ob eine Regel verletzt sein könnte. Ob tatsächlich ein Verstoß vorliegt und was daraus folgt, entscheidet ein Mensch. Das gilt besonders in Graubereichen. Ist das Honorar für einen Berater ungewöhnlich hoch oder angemessen? Ist ein Geschenk an einen Kunden noch üblich?

Auch die Kultur eines Unternehmens lässt sich nicht automatisieren. Mitarbeitende melden Probleme, wenn sie keine Nachteile befürchten. Sie halten Regeln ein, wenn sie deren Sinn verstehen. Software kann diese Haltung unterstützen, indem sie Routine abnimmt und Zeit für Gespräche schafft.

Der richtige Platz für automatisierte Compliance liegt also zwischen Misstrauen und blindem Vertrauen. Sie ist ein starkes Werkzeug, solange jemand weiß, was es prüft, und regelmäßig nachsieht, ob es noch richtig misst.