Zwei Personen erzählen Ihnen, dass sie Compliance-Software prüfen.
Die erste meint ein Tool, das Screenshots ihrer Cloud-Konfiguration sammelt, damit ein Prüfer einen SOC-2-Bericht bestätigen kann. Die zweite meint ein System, das Veränderungen bei dem Unternehmen meldet, dem sie im vergangenen Frühjahr acht Millionen Dollar überwiesen hat. Etwa, dass es stillschweigend seinen Sitz auf die Britischen Jungferninseln verlegt und ein Organmitglied bestellt hat, von dem im Fonds noch niemand gehört hat.
Derselbe Begriff. Funktional keinerlei Überschneidung. Keine der beiden Personen verwendet ihn falsch. Das sagt einiges über die mangelnde Aussagekraft des Begriffs aus.
Wir beobachten immer wieder dieselben drei Fehler. Unternehmen kaufen GRC-Plattformen und stellen nach vier Monaten fest, dass sie einen sehr teuren, leeren Aktenschrank erworben haben. Andere kaufen eine Identitätsprüfung und entdecken, dass das Produkt seinem Zweck entsprechend ab dem zweiten Tag der Geschäftsbeziehung nicht mehr greift. Und Kryptofonds kaufen On-Chain-Analysen und nehmen an, damit seien auch Personen- und Unternehmensrisiken abgedeckt. Wie falsch diese Annahme ist, zeigt sich erst später.
Alle drei Fehler passieren sorgfältigen, klugen Menschen. Genau darum geht es. Irreführend sind hier die Kategorienamen, nicht die Käufer.
Dieser Artikel bietet deshalb eine Orientierungskarte. Er erklärt, was Compliance-Software tatsächlich ist und wie sie sich von einem Compliance-Management-System unterscheidet. Er zeigt die sechs Produktkategorien unter diesem Begriff, ihre jeweiligen Stärken und Grenzen und wie Sie Ihren Bedarf bestimmen. Dazu gehören auch Bereiche, die wir nicht abdecken. Und ein unmittelbar benachbarter Bereich, mit dem wir fast jede Woche verwechselt werden.
Was Compliance-Software tatsächlich ist
Lässt man das Marketing weg, erfüllt Compliance-Software eine von zwei Aufgaben. Entweder hilft sie Ihnen nachzuweisen, dass Sie bestimmte Pflichten erfüllen. Oder sie hilft Ihnen, Risiken zu erkennen, die Ihnen sonst entgehen würden.
Das klingt ähnlich. Es sind jedoch unterschiedliche Aufgaben. Dieser Unterschied bestimmt nahezu vollständig, was Sie kaufen sollten.
Die Erfüllung von Pflichten nachzuweisen ist eine Dokumentationsaufgabe. Sie brauchen Nachweise, Kontrollen, Richtlinien und einen Prüfpfad. Damit müssen Sie einen Aufsichts- oder Wirtschaftsprüfer überzeugen können, der mit einer Checkliste kommt. Das Ergebnis ist eine belastbare Dokumentation.
Risiken zu erkennen erfordert die Gewinnung relevanter Informationen. Sie brauchen Daten von außerhalb Ihrer Organisation, eine Trennung zwischen Relevantem und Unwichtigem und einen Weg vom Signal zur Entscheidung. Das Ergebnis ist eine Warnung, die früh genug kommt, um zu handeln.
Sehr viele Produkte beanspruchen beides für sich. Nur wenige leisten es. Wer am lautesten damit wirbt, ist meist bei der Dokumentation stark und bei Risikoinformationen schwach. Denn Dokumentation ist ein technisch lösbares Problem. Die Gewinnung von Risikoinformationen ist eine Datenaufgabe, die nie wirklich endet.
Compliance-Management und Compliance-Management-System im Vergleich
Diese Begriffe werden synonym verwendet. Das sollten sie nicht.
Compliance-Management ist die Disziplin, also die eigentliche Arbeit. Sie verstehen, welche Regeln gelten, und übersetzen sie in umsetzbare Richtlinien. Sie schulen Beschäftigte, prüfen die tatsächliche Einhaltung und beheben Abweichungen. Diese Arbeit besteht unabhängig davon, ob Sie überhaupt Software besitzen. Viele Organisationen erledigen sie mit teuren Tools schlecht, einige mit einer Tabelle und einer gewissenhaften Person gut.
Ein Compliance-Management-System, kurz CMS, ist die Struktur, die diese Disziplin zusammenhält und bei Personalwechseln, Wachstum und Prüfungen funktionsfähig hält. Es ist das Rahmenwerk, nicht die Anwendung.
Im regulierten Finanzbereich hat der Begriff eine recht präzise Bedeutung. Die Prüfverfahren des CFPB für das Compliance-Management gliedern ein CMS in mehrere Bestandteile. Dazu zählen die Aufsicht durch Leitungs- und Kontrollorgane sowie das obere Management und ein formelles Compliance-Programm mit Richtlinien, Schulungen, Monitoring und Korrekturmaßnahmen. Hinzu kommen die Überwachung von Dienstleistern und Dritten, die Bearbeitung von Verbraucherbeschwerden und eine unabhängige Compliance-Prüfung. Prüfer bewerten jeden Bestandteil einzeln. Gute Richtlinien bei einem untätigen Leitungsorgan führen weiterhin zu einer Prüfungsfeststellung.
Hier wird die Sprache unscharf, und das hat Folgen. Die meisten Menschen, die sagen „Wir kaufen ein Compliance-Management-System“, kaufen Software. Im regulatorischen Sinn ist die Software aber nicht das System. Sie ist ein Bestandteil davon, meist ein recht kleiner.
Wer das verwechselt, landet beim häufigsten Fehler dieses Marktes. Eine hervorragend implementierte Plattform steht in einer Organisation ohne funktionierendes Compliance-Management. Sie erzeugt ordentliche Berichte über ein Programm, das niemand tatsächlich umsetzt.
Warum ein Compliance-Management-System wichtig ist – und welchen Teil alle übergehen
Zunächst die offensichtlichen Antworten, denn sie stimmen.
Ein CMS macht Compliance dauerhaft tragfähig. Das Wissen steckt nicht nur im Kopf einer einzelnen Person. Verlässt sie das Unternehmen im neunten Monat, verschwindet das Programm nicht mit ihr. Es gibt Ihnen eine belastbare Grundlage, wenn Aufsicht, Prüfer, LPs oder Unternehmenskunden fragen, wie Sie Risiken steuern. Und es schafft den Abgleich zwischen geplanten und tatsächlich ausgeführten Maßnahmen. Nur durch diese Rückkopplung verbessern sich Compliance-Programme, statt schleichend vom Kurs abzukommen.
Nun zu dem Teil, der übergangen wird und der Anlass für diesen Artikel ist.
Betrachten Sie noch einmal die Bestandteile eines CMS aus regulatorischer Sicht. Aufsicht durch Leitungs- und Kontrollorgane. Compliance-Programm. Beschwerdebearbeitung. Prüfung. Und laufende Due Diligence und Überwachung von Dritten und Dienstleistern.
Der letzte Punkt hat enorme Tragweite, die kaum jemand wahrnimmt.
Er richtet sich nach außen. Er betrifft andere Personen und Unternehmen als Ihre eigene Organisation. Entscheidend ist außerdem: Die Aufgabe ist fortlaufend. Eine einmalige Prüfung bei Vertragsunterzeichnung genügt nicht. Die Aufsicht stellt ausdrücklich klar, dass mit einer Tätigkeit nicht auch die Verantwortung dafür ausgelagert wird.
Die Pflicht zur kontinuierlichen Überwachung externer Personen und Unternehmen ist also bereits Teil der Definition eines Compliance-Management-Systems. Das ist seit Jahren so. Es fehlt nicht an der Pflicht. Es fehlt an Software, die sie erfüllt. In einem so dicht besetzten Markt ist das eine bemerkenswerte Lücke. Warum sie besteht, ist das Hauptthema des restlichen Artikels.
Zwei Achsen, auf denen sich alles einordnen lässt
Jedes Produkt in diesem Markt beantwortet zwei Fragen, unabhängig davon, ob seine Startseite sie so formuliert.
Erstens: Wohin schaut es?
Einige Tools schauen nach innen. Auf Ihre eigenen Kontrollen, Richtlinien, Nachweise und Konfigurationen. Gegenstand der Prüfung sind Sie.
Andere schauen nach außen. Auf die Personen und Unternehmen, aus deren Beziehungen Ihnen Risiken entstehen. Geschäftspartner. Portfoliounternehmen. Kunden. Lieferanten. Gründer, in die Sie bereits investiert haben und deren Finanzierung Sie nicht rückgängig machen können. Gegenstand der Prüfung ist jemand anderes.
Zweitens: Wann schaut es hin?
Einige prüfen zu einem einzelnen Zeitpunkt. Beim Onboarding, bei der Prüfung oder beim Transaktionsabschluss. Eine Kontrollschwelle, die Sie passieren und dann hinter sich lassen.
Andere beobachten dauerhaft weiter und melden, wenn sich etwas verändert.
Vier Quadranten. Jeder Anbieter auf Ihrer Auswahlliste gehört in einen davon. Anbieter, die alle vier für sich beanspruchen, sind meist in genau einem stark und überall sonst schwach.
| Nach innen gerichtet (eigene Kontrollen) | Nach außen gerichtet (andere Personen und Unternehmen) | |
| Zeitpunktbezogen | Manuelle Prüfungsvorbereitung. Kontrolltests anhand von Tabellen. Der jährliche Kraftakt. | Identitätsprüfung beim Onboarding. Due-Diligence-Berichte zum Transaktionsabschluss. Prüfung bei Vertragsunterzeichnung. |
| Kontinuierlich | Kontinuierliche Kontrollüberwachung: Vanta, Drata, Sprinto, Scrut. | On-Chain-Analysen (Wallets, Transaktionen). Risikoinformationen zu Personen und Unternehmen. Das am dünnsten besetzte Feld der Karte. |
Behalten Sie das Feld unten rechts im Blick. Es ist besonders interessant und dichter besetzt, als es zunächst scheint. Fast alles, was an diesem Markt verwirrend ist, spielt sich darin ab.
Die sechs Kategorien von Compliance-Software
Sechs Produkttypen tragen dieselbe Bezeichnung. Sie ersetzen einander nicht. Trotzdem kaufen Unternehmen regelmäßig einen Typ und erwarten die Fähigkeiten eines anderen.
1. Identitätsprüfung (KYC und KYB)
Dokumentenprüfung, biometrische Prüfungen, Lebenderkennung, Verifizierung von Unternehmen sowie Sanktionslistenprüfung und PEP-Prüfung bei der Registrierung. Sumsub ist der Name, den die meisten kennen. Persona und Onfido stehen bei den meisten Auswahlverfahren ebenfalls zur Diskussion.
Die Abkürzungen sollten getrennt betrachtet werden, weil Käufer sie unscharf verwenden und sich die Produkte unterscheiden. KYC verifiziert eine Person. KYB verifiziert ein Unternehmen. Das ist erheblich schwieriger, denn ein Unternehmen hat eine Eigentümerstruktur. Und manche Eigentümerstrukturen werden von Menschen gestaltet, die lieber nicht möchten, dass man sie versteht.
In regulierten Märkten ist diese Kategorie ausgereift, schnell und, offen gesagt, sehr gut. Ein gut gestalteter KYB-Prozess verifiziert ein Unternehmen in weniger als einer Minute. Vor zwanzig Jahren brauchte ein Compliance-Analyst dafür eine Woche und drei Anrufe bei einer Registerbehörde in einer Zeitzone, in der niemand abhob.
Der Funktionsumfang ist klar abgegrenzt, und die Anbieter kommunizieren das offen. Es handelt sich um eine Eingangskontrolle. Die Prüfung läuft, fällt positiv aus, und die Beziehung beginnt. Was die Person oder das Unternehmen am vierhundertsten Tag tut, sollte das Produkt nie erfassen. Das ist keine Kritik, sondern eine bewusst gesetzte Funktionsgrenze. Wer sie ignoriert, ist am Ende von Software enttäuscht, die genau das geleistet hat, was sie versprochen hat.
2. Automatisierung der Sicherheits-Compliance
SOC 2, ISO 27001, HIPAA, GDPR. Nachweise sammeln, Kontrollen zuordnen und Prüfungsbereitschaft herstellen. Dazu das Trust Center, das Sie auf Ihrer Vertriebsseite für Unternehmenskunden verlinken, damit die Einkaufsabteilung nicht ständig nachfragt.
Vanta und Drata haben diese Kategorie aufgebaut. Sprinto und Scrut haben darin bedeutende Unternehmen entwickelt. Der Wettbewerb ist inzwischen so stark, dass die Preise tatsächlich gesunken sind. Das lässt sich über die meisten Compliance-Tools nicht sagen.
Diese Kategorie hat nicht bloß einen bestehenden Prozess automatisiert. Sie hat das zugrunde liegende Modell verändert. Vor Vanta wurden Kontrollen drei Wochen vor einer Prüfung hektisch getestet. Dazu kamen ein gemeinsames Laufwerk voller Screenshots und eine nach Stunden bezahlte externe Fachkraft. Nach Vanta wurden Kontrollen kontinuierlich überwacht. Die Prüfung wurde zum Nebenprodukt statt zum einzelnen Ereignis.
Das war ein echter konzeptioneller Wandel, keine einzelne Funktion. Der Markt hat ihn entsprechend belohnt. Die Gründer erkannten etwas, das etablierte Anbieter zwei Jahrzehnte lang übersehen hatten. Behalten Sie diesen Gedanken im Kopf. Wir kommen darauf zurück.
Die Grenze liegt schlicht darin, dass diese Software nach innen schaut. Sie sagt Ihnen viel über Ihre eigene Sicherheitslage. Über das Unternehmen, in das Sie investiert haben, sagt sie Ihnen überhaupt nichts. Ebenso wenig über die Börse, über die Ihr Portfoliounternehmen abrechnet, oder die Person, die in der letzten Runde in Ihrer Beteiligungsübersicht aufgetaucht ist.
3. GRC-Plattformen
Risikoregister. Richtlinienverwaltung. Kontrollbibliotheken. Workflow-Steuerung. Berichterstattung an Leitungs- und Kontrollorgane. Archer, LogicGate, OneTrust, Hyperproof, Onspring, StandardFusion.
Bei echten Großunternehmen sind sie notwendig. Die guten Plattformen sind technisch beeindruckend. Ein reguliertes Institut mit vierhundert Kontrollen, elf Rahmenwerken und einem vierteljährlich tagenden Risikoausschuss braucht ein zentrales Dokumentationssystem. Tabellen sind in dieser Größenordnung schon lange keine tragfähige Lösung mehr.
Gehen Sie allerdings mit den richtigen Erwartungen heran. Die Implementierung dauert Monate. Sechsstellige Beträge sind normal. Und Sie brauchen jemanden, dessen eigentliche Aufgabe der Plattformbetrieb ist. Damit geht es ebenso um Personal wie um Software.
Dann gibt es noch die Erkenntnis, zu der Käufer meist nach etwa vier Monaten gelangen.
Eine GRC-Plattform ist ein Behälter. Sie kann Risikoinformationen hervorragend ordnen, weiterleiten und so aufbereiten, dass ein Leitungsorgan sie ohne Diskussion akzeptiert. Was sie nicht tut: draußen in der Welt selbst Risikoinformationen finden.
Sie müssen sie weiterhin befüllen. Die Plattform ist das Regal, nicht dessen Inhalt. Wer GRC in Erwartung externer Risikoinformationen kauft, hat einen hervorragend organisierten leeren Raum erworben. Anschließend fragt man sich fast ein Jahr lang, warum darin nie etwas auftaucht. Das ist nicht die Schuld des Anbieters. Es ist eine teure Fehleinschätzung der Kategorie.
4. Anbieter von Risikodaten
Sanktionslisten. PEP-Datenbanken. Jahrzehnte zurückreichende Archive negativer Medienberichte. Unternehmensregister und Angaben zu wirtschaftlich Berechtigten. LexisNexis Risk Solutions, Moody’s, Dow Jones, OpenCorporates.
Hier lohnt sich eine genaue Einordnung, denn das Wort „Software“ führt unauffällig in die Irre. Es handelt sich überwiegend um Datenunternehmen. Sie liefern Ausgangsdaten. Einige dieser Datenquellen sind unersetzlich. Jedes ernst zu nehmende Risikoprodukt in diesem Markt nutzt ihre Datenfeeds auf die eine oder andere Weise. Unseres eingeschlossen. Etwas anderes zu behaupten wäre töricht.
Damit stellt sich die Frage: selbst entwickeln oder kaufen? Mit Entwicklern, einem Datenteam und klaren Anforderungen können Sie die Feeds lizenzieren und die Auswertung selbst entwickeln. Einige große Institute tun genau das. Für manche ist es die richtige Entscheidung.
Die meisten unterschätzen dabei die zweite Hälfte der Aufgabe. Datenabdeckung ist der einfache Teil. Relevanz ist der schwierige.
Eine Flut von Erwähnungen in negativen Medienberichten ist noch keine verwertbare Risikoinformation. Sie ist ein Rechercheauftrag, den Ihnen jemand übergeben hat und der jeden Morgen erneut eintrifft. Jemand muss weiterhin entscheiden, was ein Signal ist und was bloßes Rauschen. Was die Meldung von gestern mit neuer Überschrift ist. Und was sich vor Freitag ein Mensch ansehen muss. Diese Auswertung macht den größten Teil der Arbeit aus. Die Datenanbieter überlassen sie bewusst Ihnen.
5. On-Chain-Analysen
Diese Kategorie wird am häufigsten mit unserer verwechselt. Im Kryptobereich ist dieser Irrtum teuer.
Chainalysis, TRM Labs, Elliptic. Wallet-Prüfung, Transaktionsverfolgung, Bewertung von Risikoverbindungen und Analyse von Geldflüssen. Hat die Treasury-Adresse eines Portfoliounternehmens über zwei Zwischenstationen Gelder von einem sanktionierten Mixer erhalten, meldet diese Kategorie das. Und zwar schnell.
Schauen Sie auf ihre Position in der Karte. Sie ist nach außen gerichtet, weil sie die Aktivitäten anderer untersucht. Sie arbeitet kontinuierlich, weil sie die Blockchain in Echtzeit beobachtet. Damit liegt sie eindeutig im Feld unten rechts. Genau deshalb habe ich gesagt, dass dieses Feld dichter besetzt ist, als es zunächst aussieht.
Das sind hervorragende Produkte. Im Kryptobereich sind sie nahezu unverzichtbar. Wenn ein Fonds heute ohne On-Chain-Prüfung arbeitet, könnte ich diese Entscheidung gegenüber einem LP nur schwer rechtfertigen.
Hier liegt jedoch der entscheidende Unterschied.
On-Chain-Analysen untersuchen Wallets und Transaktionen. Sie beantworten: Woher kam dieses Geld, und wohin fließt es?
Risikoinformationen zu Personen und Unternehmen beantworten andere Fragen: Wer sind diese Menschen, was tun sie außerhalb der Blockchain, und was hat sich seit unserer letzten Prüfung verändert?
Das sind unterschiedliche Fragen. Die Antworten ersetzen einander nicht.
Eine On-Chain-Plattform meldet Ihnen nicht, dass der neu ernannte CFO eines Portfoliounternehmens vor sechs Wochen in einer Betrugsklage in Singapur genannt wurde. Sie meldet nicht, dass das Unternehmen im März seinen Sitz in die Vereinigten Arabischen Emirate verlegt und zwei Organmitglieder ausgetauscht hat. Und sie meldet nicht, dass gerade elf gefälschte Telegram-Kanäle den Projektsupport imitieren. Nutzer glauben, mit dem Team zu sprechen, während ihnen unbemerkt Gelder entzogen werden.
Nichts davon hinterlässt Spuren auf einer Blockchain. Nichts davon findet auf einer Blockchain statt.
Umgekehrt gilt dasselbe. Das sollte klar ausgesprochen werden: Wir verfolgen keine Geldflüsse. Wenn Sie die Risikoverbindungen einer Wallet zu einer sanktionierten Person oder Organisation kennen müssen, brauchen Sie On-Chain-Analysen. Kaufen Sie sie bei einem der drei oben genannten Unternehmen.
6. Kontinuierliche Risikoinformationen zu Personen und Unternehmen
Der Bereich der Karte, der am längsten dünn besetzt geblieben ist.
Die Frage lautet: Was hat sich bei den Personen und Unternehmen, aus deren Beziehungen uns Risiken entstehen, seit der letzten tatsächlichen Prüfung verändert?
Nach außen gerichtet wie die Identitätsprüfer. Kontinuierlich wie Vanta. Mit denselben Feeds wie die Datenanbieter. Neben den On-Chain-Analysen, aber auf einen völlig anderen Gegenstand ausgerichtet. Und strukturell keiner dieser Kategorien zugehörig.
Drei Eigenschaften definieren diese Kategorie. Sie beobachtet externe Personen und Unternehmen statt interner Kontrollen. Sie läuft dauerhaft, statt nur einmal an einer Kontrollschwelle auszulösen. Und sie ist ereignisgesteuert: Sie meldet Veränderungen, wenn sie eintreten. Ein Bericht alle neunzig Tage beschreibt dagegen eine Welt, die sich längst weiterentwickelt hat.
Hier ist Beady AI angesiedelt. Natürlich haben wir ein eigenes Interesse daran, dass Sie dieses Feld interessant finden. Doch es existiert unabhängig davon, ob Sie jemals etwas bei uns kaufen. Und warum es so lange leer blieb, ist interessanter als jede Anbieterpräsentation.
Die Parallele, die niemand offen ausgesprochen hat
Kehren wir zum eigentlichen Argument der Anbieter für Sicherheits-Compliance zurück. Es ist das Nützlichste, was in diesem Markt seit fünfzehn Jahren gesagt wurde.
Ihr Argument lautete: Zeitpunktbezogene Kontrolltests haben einen strukturellen Mangel. Eine jährliche Prüfung sagt Ihnen, dass Ihre Kontrollen an einem Dienstag im Oktober funktioniert haben. Über die anderen dreihundertvierundsechzig Tage sagt sie nichts. Kontrollen müssen kontinuierlich überwacht werden, weil Kontrollversagen sich nicht nach dem Prüfungskalender richtet.
Dieses Argument war richtig. Darauf sind mehrere große Unternehmen entstanden. Im Sicherheitsbereich verteidigt heute niemand mehr ernsthaft das Modell der jährlichen Prüfung. Und wer es früher tat, hat stillschweigend aufgehört, es öffentlich zu sagen.
Formulieren Sie nun denselben Satz für die andere Achse.
Zeitpunktbezogene Prüfungen von Personen und Unternehmen haben einen strukturellen Mangel. Die Due Diligence beim Onboarding zeigt, dass am Prüfungstag keine Auffälligkeiten bestanden. Über den vierzehnten Monat sagt sie nichts. Externe Risiken brauchen laufendes Monitoring. Denn Sanktionslistungen, Unternehmensumstrukturierungen, Rechtsstreitigkeiten und Identitätsmissbrauchskampagnen richten sich nicht nach Ihrer vierteljährlichen Portfolioprüfung.
Dasselbe Argument. Eine andere Achse. Noch immer weitgehend unausgesprochen.
Unbequem sollte dabei Folgendes sein: Wie wir gesehen haben, verlangt die regulatorische Definition eines CMS bereits die kontinuierliche Überwachung Dritter. Die Pflicht bestand die ganze Zeit. In Über das Onboarding hinaus haben wir dieses Argument ausführlich dargelegt. Dort finden Sie die Langfassung dessen, was dieser Abschnitt zusammenfasst.
Die Erkenntnis ist nicht besonders subtil. Ich bin weiterhin etwas überrascht, dass der Markt noch nicht nachgezogen hat. Doch es dauert, bis Kategorien erkennbar werden. Solange niemand etwas benennt, plant auch niemand dafür einen Budgetposten ein.
Was Compliance-Software für Ihr Unternehmen tatsächlich bedeutet
Hinter der Kategorienfrage steht eine direktere Frage: Was verändert sich im Alltag, wenn Sie diese Software kaufen?
Drei Dinge. Darüber sollten wir offen sprechen, denn Anbieter versprechen häufig einen vierten Effekt, der ausbleibt.
Sie verändert, wer die Arbeit erledigt. Software übernimmt Compliance-Aufgaben, die bisher Analystenstunden beanspruchten. Die Analysten wechseln vom Sammeln zur Entscheidungsarbeit. Das ist ein realer Effekt und der Hauptgrund für die Existenz dieser Kategorie.
Sie verändert, wie schnell Sie Bescheid wissen. Zwischen einem Problem und seiner Entdeckung vergeht weniger Zeit, manchmal nur Stunden statt Monate. In der Praxis liegt hier der größte Nutzen. Zugleich lässt er sich auf einer Preisseite am schwersten darstellen.
Sie verändert, was Sie nachweisen können. Fragt ein LP, ein Prüfer oder ein Unternehmenskunde nach Ihrem Risikomanagement, haben Sie eine datierte Antwort statt einer Erzählung.
Was sie nicht leistet, ist der vierte Effekt, den Anbieter nahelegen: Sie schafft keine Compliance-Funktion. Software kann weder Ihren Risikoappetit bestimmen noch Entscheidungen verantworten. Wenn niemand in der Organisation für die Ergebnisse zuständig ist, dokumentiert die Software nur sehr ordentlich, dass nichts geschieht.
Die Herausforderungen, die auf keiner Preisseite stehen
Es sind fünf. Sie sind unterschiedlich schwierig. Deshalb bekommen sie unterschiedlich viel Raum.
Pflichten werden immer mehr. Neue Rahmenwerke, neue Rechtsräume, neue Auslegungen alter Regeln. Nichts entfällt. Ihre Personalstärke wird nie im Gleichschritt mit Ihren Pflichten wachsen. Das wird sich auch künftig nicht ändern.
Nachweise liegen in vier Systemen und einem Posteingang. Sie manuell zusammenzustellen ist mühsam. Das Problem ist allerdings tatsächlich gelöst. Darauf haben die Anbieter für Sicherheits-Compliance ihre Kategorie aufgebaut.
Alarmmüdigkeit. Daran scheitern Programme.
So läuft es tatsächlich ab. Die Plattform wird installiert. Die ersten Meldungen treffen ein. In den ersten zwei Wochen lesen alle mit, weil die neue Lösung noch ein wenig Begeisterung auslöst. Bis Woche sechs hat sich eine niedrige Trefferquote eingependelt. Das Ignorieren einer Meldung hat bisher niemanden etwas gekostet. Gedanklich ist der Kanal inzwischen bei den E-Mails der Gebäudeverwaltung eingeordnet.
Niemand beschließt das. Es passiert einfach.
Würde ein Kunde sagen, er habe das durch ein Gespräch mit dem Team behoben, würde ich widersprechen. Es ist kein Disziplinproblem. Anweisungen lösen es nicht. Das Verhalten ist eine vollkommen rationale Reaktion auf einen Informationsstrom mit wenig relevanten Signalen. Die einzige wirksame Lösung ist, die eingehenden Meldungen zu verändern: Schweregrade, klar benannte Verantwortliche und deutlich weniger Unterbrechungen, die tatsächlich gerechtfertigt sind.
Dritte sind der blinde Fleck aller Beteiligten. Sie können eine Tätigkeit auslagern. Die Verantwortung dafür können Sie nicht auslagern. Die Aufsicht sagt das ausdrücklich. Trotzdem überwachen die meisten Unternehmen Dritte anhand einer Tabelle, die zuletzt bei Vertragsunterzeichnung aktualisiert wurde.
Niemand kann beweisen, dass ohne ihn etwas passiert wäre. Ein Jahr ohne Vorfälle sieht von außen immer gleich aus, ob Ihr Programm hervorragend ist oder Sie Glück hatten. Der CFO kann den Unterschied nicht erkennen. Ehrlich gesagt können Sie es auch nicht.
Genau deshalb haben wir ein ROI-Modell entwickelt, statt eine weitere Seite mit abschreckenden Statistiken zu füllen. Wenn Sie Partnern eine Zahl vorlegen, muss sie einer gründlichen Prüfung standhalten.
Was gute Compliance-Software Ihnen tatsächlich bringt
Ohne die üblichen Übertreibungen:
- Zeitgewinn. Nachweissammlung, Prüfungen und Berichtserstellung beanspruchen keine ganzen Analystenwochen mehr. Dieser Nutzen lässt sich am leichtesten messen und wird am häufigsten übertrieben dargestellt.
- Schnellere Kenntnis. Die Verzögerung zwischen einem Ereignis und seiner Wahrnehmung in Ihrer Organisation schrumpft drastisch. Die Erkennungsverzögerung ist die Kennzahl, die Ergebnisse tatsächlich vorhersagt. Fast niemand erfasst sie.
- Konsistenz. Dieselben Prüfungen laufen jedes Mal auf dieselbe Weise. Das ist enorm wichtig, wenn die Person, die sie bisher manuell erledigt hat, gegangen ist.
- Belastbare Nachweise. Eine datierte, mit Quellen belegte Dokumentation dessen, was Sie wann wussten. Im Streitfall ist das mehr wert als alles andere zusammen.
- Weniger und weniger kostspielige Überraschungen. Früh erkannte Probleme sind kleiner. Das ist banal und zugleich das gesamte wirtschaftliche Argument.
- Bereitschaft für institutionelle Anforderungen. LPs, Unternehmenskunden und Bankpartner fragen zunehmend, wie Sie dieses Thema steuern. Eine klare Antwort verkürzt Vertriebszyklen und Kapitalaufnahmen. Das ist ein wirtschaftlicher Nutzen, der als Compliance-Vorteil erscheint.
Beachten Sie, was auf dieser Liste fehlt. Compliance-Software macht Sie nicht regelkonform. Sie macht ein funktionierendes Compliance-Programm günstiger, schneller und konsistenter. Fehlt das Programm darunter, haben Sie einen leeren Prozess automatisiert.
Wie ein Kauf im falschen Quadranten konkret aussieht
Abstrakte Beschreibungen bleiben oft nicht hängen. Hier sind die vier häufigsten Fehlermuster, die wir beobachten. Alle lassen sich korrigieren und vermeiden. Keines ist billig.
Der leere Behälter. Ein Unternehmen kauft GRC und erwartet, dass die Plattform externe Risiken aufdeckt. Neun Monate und eine aufwendige Implementierung später enthält das Risikoregister genau das, was jemand eingetragen hat. Die Plattform funktioniert einwandfrei. Sie war bloß nie eine Quelle für Risikoinformationen.
Der Fonds mit ausschließlicher Onboarding-Prüfung. Hervorragende Due Diligence beim Abschluss, danach nichts. Der Fonds ist gegen Risiken abgesichert, die am Tag der Überweisung bestanden. Für alle später entstandenen Risiken ist er blind. Bei Haltedauern von sieben oder acht Jahren ist das der Großteil.
Der Kryptofonds mit ausschließlich On-Chain-Analysen. Risikoverbindungen der Wallets werden hervorragend überwacht. Gründerhintergründe, Unternehmensstruktur und Identitätsmissbrauch überhaupt nicht. Ein Bereich wird genau beobachtet, während sich dahinter ein anderer verändert.
Die Informationsflut. Das Unternehmen hat Datenfeeds direkt lizenziert und eine eigene Prüfschicht entwickelt. Nun erhält es vierhundert Meldungen pro Woche, die niemand liest. Technisch besteht Datenabdeckung. Praktisch ist das nicht davon zu unterscheiden, gar nichts zu haben. Es hat nur mehr gekostet.
Ein Compliance-Management-System aufbauen: die vier häufigsten Bruchstellen
Die meisten Anleitungen beschreiben einen ordentlichen linearen Ablauf, den tatsächlich noch niemand so befolgt hat. Nützlicher ist zu wissen, wo er scheitert. Die Bruchstellen sind vorhersehbar. Es gibt ungefähr vier.
Bruchstelle eins: Sie haben zuerst die Software gekauft.
Mit Abstand die häufigste. Jemand sieht eine wirklich beeindruckende Demo. Der Einkauf wird einbezogen. Sechs Wochen später gibt es eine Plattform, aber kein Programm.
Die Lösung ist unspektakulär. Schreiben Sie vor dem ersten Anbieterkontakt alle Regeln, Rahmenwerke und vertraglichen Zusagen auf, die Sie tatsächlich binden. Entscheidend sind die verbindlichen, nicht die beeindruckenden. Diese Liste ist meist kürzer und ungewöhnlicher als erwartet. Unsere enthielt zwei Pflichten, an die im Unternehmen seit über einem Jahr niemand gedacht hatte. Außerdem halbiert sie Ihre Anbieterauswahl ungefähr, noch bevor Sie ein Gespräch geführt haben. Das ist ein ordentlicher Ertrag für einen Nachmittag Arbeit.
Bruchstelle zwei: Niemand auf Führungsebene trägt tatsächlich die Verantwortung.
Falls Sie nicht aus einem regulierten Umfeld kommen, sollten Sie Folgendes wissen. Bei der Bewertung eines CMS wird die Aufsicht durch Leitungsorgane und Management eigenständig beurteilt, unabhängig von Richtlinien und Tools. Sie können hervorragende Dokumentation, eine gut konfigurierte Plattform und geschultes Personal haben und trotzdem durchfallen. Etwa weil die nominell verantwortliche Person seit dem Implementierungsgespräch nichts davon angesehen hat.
Eine Führungskraft braucht Entscheidungsbefugnis, Budget und einen direkten Zugang zum zuständigen Leitungsorgan. Eine benannte Person, die sich freiwillig nebenbei kümmert, genügt nicht.
Bruchstelle drei: Sie automatisieren Entscheidungen, die Sie noch nicht getroffen haben.
Software bildet ab, was Sie bereits entschieden haben. Fehlen die Richtlinien, automatisieren Sie Ihre eigene Unklarheit. Und das in großem Maßstab.
Schreiben Sie zuerst die Richtlinien. Verfahren, Zuständigkeiten und eine ausdrückliche Festlegung, was bei Problemen geschieht. Das ist der uninteressanteste Absatz dieses Artikels. Auch ich würde ihn überspringen. Genau deshalb fehlt so vielen Programmen im Kern die Substanz.
Bruchstelle vier, und diese wird teuer: Dritte.
Erfassen Sie alle, deren Versagen zu Ihrem Problem wird. Lieferanten, Dienstleister, Portfoliounternehmen, Geschäftspartner.
Die meisten Unternehmen tun das einmal, bei Vertragsunterzeichnung oder während der Due Diligence, und danach nie wieder. Die regulatorischen Vorgaben sind eindeutig: Das reicht nicht. Erwartet wird eine laufende Überwachung Dritter. Mit einer Tätigkeit lagern Sie nicht Ihre Verantwortung dafür aus. Eine bei Vertragsunterzeichnung erstellte und nie aktualisierte Übersicht ist keine Überwachung. Sie ist ein Archiv.
Entscheiden Sie deshalb bewusst: periodisch oder kontinuierlich? Wenn periodisch, machen Sie sich die Kosten konkret klar. Bei einer vierteljährlichen Prüfung bleibt eine Sanktionslistung aus Woche drei elf Wochen lang unentdeckt.
Erst danach folgt der Einkauf.
Sind Pflichten erfasst und Dritte aufgelistet, ergibt sich die Toolauswahl fast von selbst. Sie wissen dann, ob Sie automatisierte Nachweissammlung, ein zentrales Dokumentationssystem, Eingangsprüfungen, laufendes Monitoring oder zwei dieser Lösungen brauchen.
Leiten Sie Ergebnisse an namentlich benannte Personen weiter, mit Schweregraden und Reaktionsfristen. Nutzen Sie dafür die Tools, mit denen das Team ohnehin arbeitet. Vereinbaren Sie außerdem jetzt die Überprüfung in sechs Monaten, solange Sie noch motiviert genug sind, den Termin einzuhalten. Denn ein ungeprüftes Programm kommt unbemerkt vom Kurs ab. Es kündigt das nicht an.
Welche Lösung brauchen Sie tatsächlich?
Antworten Sie ehrlich. Ein Kauf im falschen Quadranten ist teuer, und der Fehler fällt erst spät auf.
Sie verkaufen an Großunternehmen und brauchen SOC 2 oder ISO 27001. Wenden Sie sich an Vanta, Drata oder Sprinto. Das ist ernst gemeint. Dieser Beitrag richtet sich nicht an Sie, und unser Angebot ebenso wenig.
Sie sind eine große Organisation und brauchen eine zentrale Risikodokumentation, Richtlinienverwaltung und Berichterstattung an Leitungs- und Kontrollorgane. Das ist GRC. LogicGate, Archer, OneTrust. Planen Sie entsprechend: Es ist nicht billig, und die Implementierung geht nicht schnell.
Sie verifizieren Nutzer oder Unternehmen bei der Registrierung in einem regulierten Prozess. Das ist Identitätsprüfung. Sumsub und vergleichbare Anbieter bringen Sie schneller in den Betrieb, als Sie erwarten.
Sie müssen wissen, woher Kryptogelder kamen und wohin sie flossen. On-Chain-Analysen. Chainalysis, TRM, Elliptic. Dafür gibt es keinen Ersatz. Suchen Sie auch nicht danach.
Sie entwickeln eine eigene Prüfschicht und brauchen die zugrunde liegenden Feeds. Gehen Sie direkt zu den Datenanbietern und sparen Sie sich Zwischenanbieter. Kalkulieren Sie ehrlich, was die selbst zu entwickelnde Relevanzbewertung kosten wird.
Sie haben Beziehungen zu externen Personen und Unternehmen, bei denen Risiken erst nach Beginn der Beziehung entstehen. Portfoliounternehmen. Geschäftspartner. Gründer, in die Sie bereits investiert haben. Das ist die sechste Kategorie. Sie wurde Ihnen nie verkauft, weil sie bis vor relativ kurzer Zeit niemand angeboten hat.
Die meisten Unternehmen brauchen zwei oder drei dieser Lösungen
Anbieter sagen das ungern. Sprechen wir es deshalb aus.
Diese Kategorien ergänzen einander. Sie ersetzen einander nicht. Ein ernst zu nehmendes Risikomanagement nutzt meist mehrere gleichzeitig.
Ein Kryptofonds jeder Größe braucht realistischerweise On-Chain-Analysen und Risikoinformationen zu Personen und Unternehmen. Beide beobachten unterschiedliche Bereiche, und keiner erfasst den anderen. Ein Fintech braucht eine Identitätsprüfung am Eingang und laufendes Monitoring danach. Denn eine einmalige Kundenprüfung sagt nichts darüber aus, wer der Kunde inzwischen geworden ist. Ein reguliertes Institut braucht ein GRC-System als zentrale Dokumentation und eine Lösung, die es tatsächlich mit Informationen versorgt.
Wer Ihnen sagt, sein einzelnes Produkt decke die gesamte Karte ab, hat sie entweder selbst nicht verstanden oder hofft, dass es Ihnen so geht.
Die Zukunft der Compliance-Software: KI, Prognosen und das Problem der Nachvollziehbarkeit
Jeder Anbieter in diesem Markt wirbt inzwischen auf seiner Startseite mit KI, auch wir. Deshalb lohnt sich die Trennung zwischen tatsächlicher Leistung und bloßer Dekoration.
Tatsächliche Leistung: die Relevanzbewertung. Der eigentliche Engpass in der Compliance war nie die Datenbeschaffung, sondern die Entscheidung, welche Daten wichtig sind. Sprachmodelle können zehntausend Nachrichtenartikel lesen und die vier identifizieren, die Ihre relevante Person oder Ihr relevantes Unternehmen betreffen. Auch in einer Sprache, die Ihr Team nicht liest, und aus einem Regionalmedium, das niemand kennt. Diese Fähigkeit gab es vor fünf Jahren nicht. Sie verändert die Wirtschaftlichkeit des Monitorings grundlegend.
Tatsächliche, aber übertrieben beworbene Leistung: prädiktive Analysen. Das Versprechen lautet, KI werde Ihnen sagen, welcher Geschäftspartner zum Problem wird, bevor es so weit ist. Ein Teil davon funktioniert, insbesondere die Mustererkennung über mehrere Personen und Unternehmen hinweg. Vieles ist jedoch ein Korrelationsmodell, das selbstsicher auftritt. Dieser selbstsichere Auftritt ist der gefährliche Teil.
Damit kommen wir zu einem Thema, mit dem sich die Branche meiner Ansicht nach bald auseinandersetzen muss.
Ein KI-generierter Risikobericht ohne nachvollziehbare Quellen ist eine Belastung statt eines Vorteils. Fasst ein Modell einen Treffer zu negativen Medienberichten unmerklich falsch zusammen, treffen Sie eine Entscheidung auf Grundlage einer Halluzination. Sie haben keine Möglichkeit, das zu erkennen. Schlimmer noch: In Ihren Unterlagen liegt nun ein Dokument, das verlässlich wirkt.
Belastbar ist nur ein Ansatz, bei dem jedes Signal auf eine Primärquelle zurückführt, die ein Mensch öffnen, lesen und prüfen kann. Das Modell soll filtern und priorisieren. Es soll nicht einfach geglaubt werden. Diese Unterscheidung klingt pedantisch, bis ein Prüfer nach der Herkunft einer Schlussfolgerung fragt. Und die ehrliche Antwort lautet: Die KI hat es gesagt.
Wir entwickeln nach diesem nachvollziehbaren Ansatz. Das ist ebenso eine wirtschaftliche wie eine ethische Position. Sie sollten diese Anforderung aber jedem Anbieter in diesem Markt stellen, auch uns. Die Antwort sollte ein Link sein, kein Absatz.
Häufig gestellte Fragen
Ein Compliance-Management-System hält diese Arbeit am Laufen, nachdem die Person gekündigt hat, die es aufgebaut hat. Es ist die Struktur, nicht die Tätigkeit.
Software ist ein Bestandteil des Systems. Sie ist nicht das System selbst. Unternehmen, die sie in dieser Annahme kaufen, erkennen den Unterschied meist nach etwa sechs Monaten, häufig während einer Prüfung.
Fazit
Der Begriff „Compliance-Software“ hält sich, weil er bequem ist, nicht weil er präzise wäre. Aus genau demselben Grund wird er wahrscheinlich ein weiteres Jahrzehnt überdauern. Analysten werden weiterhin Quadranten zeichnen, die sechs unterschiedliche Geschäftsmodelle in ein Diagramm setzen.
Doch das war nie die hilfreiche Frage. Die Frage, die tatsächlich bestimmt, was Sie kaufen sollten, ist enger gefasst und etwas unbequemer.
Was wollen wir erkennen, und wie oft müssen wir hinsehen?
Beantworten Sie das ehrlich, wird die Auswahl erheblich leichter. Beantworten Sie es schlecht, geben Sie einen sechsstelligen Betrag aus, um herauszufinden, in welchem Quadranten Sie die ganze Zeit waren.
Wenn Ihre Antwort im Feld unten rechts liegt, ist das unser Bereich. Wir bieten laufendes Monitoring von Portfoliounternehmen, Gründern und Geschäftspartnern anhand von Sanktionslisten, negativen Medienberichten, Unternehmensregistern und Identitätsmissbrauch in sozialen Medien. Jedes Signal lässt sich bis zur Originalquelle zurückverfolgen. Buchen Sie einen Termin. Wir prüfen Ihre tatsächlichen Beteiligungen statt eines Demo-Datensatzes.
