Der Fokus im Sanktionsmanagement liegt längst nicht mehr allein auf dem Abgleich von Kundenstamm und Transaktionen mit Sanktionslisten. In den Vordergrund treten neue Fragestellungen, die die Komplexität stetig erhöhen: Wie lässt sich der Sanktions-Risikoappetit definieren, wenn geopolitische Entwicklungen die Risikoparameter laufend verschieben? Wann genügt ein Sanktionsbezug, um eine Transaktion rechtmässig zu beschränken? Welche Bedeutung haben US-Sekundärsanktionen, welche auch auf Sachverhalte ohne jeglichen US-Bezug Anwendung finden können? Und welche Rolle kann künstliche Intelligenz übernehmen, ohne dass die regulatorische Nachvollziehbarkeit verloren geht? Die Antworten auf diese Fragen markieren einen Paradigmenwechsel, weg vom regelbasierten Screening, hin zu einer differenzierten, datenbasierten Risikobeurteilung.
Sanktions-Risikoappetit beginnt dort, wo AML an seine Grenzen stösst
Die Diskussion über den Sanktions-Risikoappetit hat den Verwaltungsrat erreicht – seine inhaltliche Verankerung bleibt jedoch anspruchsvoll. Zwar bietet das aus dem Geldwäschereiabwehrdispositiv bereits etablierte Risikoverständnis Orientierung, für Sanktionsrisiken reicht es allein aber nicht aus. Beide Disziplinen überschneiden sich, folgen jedoch unterschiedlichen Logiken. Während Geldwäschereirisiken vergleichsweise stabil bleiben, können sich Sanktionsrisiken innert kürzester Zeit aufgrund geopolitischer Entwicklungen verändern. Die Risikobereitschaft und die entsprechende Risikoüberwachung müssen diesem Tempo folgen.
Damit stellt sich auch die Frage nach geeigneten Key Risk Indicators neu. Die Anzahl sanktionierter Kunden mag einfach messbar sein, sagt über das tatsächliche Risikoprofil eines Instituts jedoch wenig aus. Aussagekräftiger sind Indikatoren, die wirtschaftliche Aktivitäten erfassen – geografische Geschäftsmuster, Transaktionsarten oder Geschäftsbeziehungen mit sogenannten Proxy-Staaten, also Ländern, bei denen aufgrund ihrer geografischen Lage oder politischen Nähe zu sanktionierten Staaten ein erhöhtes Umgehungsrisiko besteht. Die entsprechende Messung und Steuerung der Risiken steht und fällt dabei mit der Datenqualität. Wer beurteilen will, was ein Kunde tut, benötigt strukturierte und belastbare Daten; genau daran fehlt es vielerorts noch.
Parallel dazu steigen die Erwartungen der FINMA. Gefordert sind keine abstrakten Risikobeschreibungen, sondern nachvollziehbare Analysen, die den Weg von der Risikoidentifikation bis zur gewählten Mitigationsmassnahme transparent herleiten. Ebenso erwartet die Aufsicht eine aktive Einbindung der Geschäftsleitung in die Definition eines differenzierten Risikoappetits. Dabei genügt kein generisches, vom Verwaltungsrat genehmigtes Statement, vielmehr wird eine echte Auseinandersetzung mit dem spezifischen Risikoprofil des Instituts erwartet. Oder anders ausgedrückt: Die Geschäftsleitung muss die Verantwortung für das Risikoappetit-Framework nachweisbar wahrnehmen und nicht lediglich formell absegnen.
Unverändert bleibt schliesslich das Grunddilemma jedes Sanktions-Risikoappetits: Zwischen einer faktischen Nullrisikotoleranz und einer risikobewussten Geschäftstätigkeit existiert kein einfacher Mittelweg. Entsprechend stellt sich in der Praxis immer häufiger die Frage, ob regulatorische Erwartungen Banken nicht schrittweise zu einer über die gesetzlichen Pflichten hinausgehenden Risikovorsorge drängen.
Haftungsschutz entsteht durch eine belastbare Begründung und nicht durch Gewissheit
Die Schweizer Rechtsprechung zeichnet ein konsistentes Bild: Banken dürfen Zahlungen zurückhalten oder Vermögenswerte einfrieren, wenn ausreichende Anhaltspunkte für einen Sanktionsbezug bestehen. Entscheidend ist nicht die abschliessende Gewissheit, sondern eine sorgfältige, verhältnismässige und nachvollziehbar dokumentierte Beurteilung.
Ebenso wichtig ist der Blick über die eigene Entscheidung hinaus. Internationale Transaktionsketten schaffen Abhängigkeiten, weil Korrespondenzbanken dieselbe Zahlung anhand eigener Sanktionsmassstäbe beurteilen. Das Risiko endet folglich nicht bei der ausführenden Bank in der Schweiz.
Flankiert werden sollte dies durch entsprechend ausgestaltete Allgemeine Geschäftsbedingungen. Vertragliche Grundlagen, welche die Verzögerung oder Ablehnung von Transaktionen sowie das Einfrieren von Vermögenswerten ausdrücklich vorsehen, bleiben ein zentrales Instrument zur Begrenzung späterer Haftungsansprüche.
Sekundärsanktionen verändern die Compliance-Perspektive grundlegend
Der Leitsatz «No US nexus, no problem» trägt der aktuellen Durchsetzungspraxis nicht mehr Rechnung. Die extraterritoriale Reichweite US-amerikanischer Sanktionen – insbesondere im Bereich der Sekundärsanktionen – verlangt eine deutlich breitere Risikobetrachtung als noch vor wenigen Jahren.
Während US-Primärsanktionen im Schweizer Finanzplatz seit Längerem strikt umgesetzt werden, verlagert sich die Herausforderung auf indirekte Risikokonstellationen. Zur Erinnerung: Primärsanktionen greifen erst, sobald ein US-Nexus vorliegt – etwa bei einer über eine US-Korrespondenzbank abgewickelten USD-Zahlung –, und weist diese einen Sanktionsbezug auf, hätte eine Schweizer Bank sie schon bisher nicht ausgelöst. Anspruchsvoller sind jene Konstellationen, in denen ein solcher unmittelbarer Nexus fehlt: Sekundärsanktionen setzen genau dort an – sie bedrohen Nicht-US-Akteure für Geschäfte mit sanktionierten Parteien mit dem Ausschluss vom US-Markt, auch ohne eigenen US-Bezug. Ihre Ausweitung auf weitere Sanktionsprogramme, unter anderem im Zusammenhang mit Iran und Venezuela, verlangt daher eine Analyse, die weit über das klassische SDN-Screening hinausgeht. Im Zentrum steht nicht mehr allein die gelistete Gegenpartei, sondern die Frage, ob wirtschaftliche Aktivitäten oder mittelbare Unterstützungsleistungen eine Sanktionsrelevanz begründen könnten – selbst ohne direkten US-Bezug.
KI verschiebt den Engpass vom Screening zur Governance
Das Potenzial künstlicher Intelligenz liegt nicht mehr nur in der Theorie. Im Client Screening kann KI zum Beispiel «False Positives» schneller erkennen und den Fokus der Analysten gezielt auf risikorelevante Treffer lenken; im Transaction Monitoring lassen sich Alerts risikobasiert bewerten und komplexe Muster schneller identifizieren. Der operative Nutzen ist überzeugend.
Der regulatorische Produktiveinsatz verlangt jedoch mehr als leistungsfähige Algorithmen. Modelle müssen validierbar, nachvollziehbar und revisionsfähig sein. Ebenso entscheidend ist die organisatorische Einbettung solcher Lösungen: Es braucht Klarheit darüber, wer das Modellrisiko verantwortet, wie Resultate überprüft und kritisch hinterfragt werden und wie die Einhaltung der einschlägigen Vorgaben wie Datenschutz, Outsourcing-Regeln, Model Risk Management laufend sichergestellt wird. Ohne eine belastbare Governance rund um das Werkzeug selbst genügt die technische Validierung für den Produktiveinsatz nicht. Viele Institute befinden sich deshalb weiterhin in Pilotphasen.
Die Entwicklung ist dennoch klar erkennbar: Die Frage lautet nicht, ob KI Client Screening und Transaction Monitoring nachhaltig verändern wird, sondern wie rasch sich Lösungen etablieren lassen, die Effizienzgewinne mit regulatorischer Nachvollziehbarkeit verbinden.
Fazit
Die Anforderungen an ein wirksames Sanktionsmanagement steigen nicht primär durch zusätzliche Regulierung, sondern durch die wachsende Komplexität der Risikobeurteilung. Gefragt sind belastbare Governance-Strukturen, um die Sanktionsrisiken auch wirklich zu steuern, fundierte Entscheidungen und eine Dokumentation, die regulatorischer Überprüfung standhält. Wer Sanktionen weiterhin primär als Screening-Aufgabe versteht, greift zu kurz. Entscheidend wird die Fähigkeit sein, regulatorische Erwartungen, wirtschaftliche Zusammenhänge und technologische Möglichkeiten in einer konsistenten Risikosteuerung zusammenzuführen.