AFM- und BFT-Prüfungsergebnisse: Niederländische Wirtschaftsprüfer kennen die Risiken, aber die Kontrollen hinken hinterher
Niederländische Prüfungsgesellschaften mit Standardlizenz sind sich weitgehend bewusst, dass Kunden mit Russland-Geschäften Sanktionsrisiken tragen. Dies ist das Fazit einer gemeinsamen Prüfung der AFM (Autoriteit Financiële Markten) und des BFT (Bureau Financieel Toezicht), die am 18. Juni 2026 veröffentlicht wurde. Die unangenehmere Erkenntnis ist, dass sich dieses Bewusstsein nicht durchgängig in robusten Kontrollen niedergeschlagen hat und mindestens zwei Jahresabschlussprüfungen zu uneingeschränkten Bestätigungsvermerken führten, die nun überprüft werden. Für Wirtschaftsprüfungsgesellschaften und ihre Qualitätsteams ist der Bericht ein direktes Signal, die Richtlinien, Screening-Verfahren und die Art und Weise, wie sanktionsbedingte Betrugsrisiken in Prüfungsvermerken kommuniziert werden, zu überdenken.
Umfang und Struktur der gemeinsamen Prüfung
AFM und BFT führten parallele, aber getrennte Prüfungen durch, die jeweils auf ihrem eigenen Aufsichtsmandat basierten.
Was jede Aufsichtsbehörde untersuchte
Der BFT konzentrierte sich auf die Sorgfaltspflichten gegenüber Kunden und die Überwachungspflichten nach dem Wwft (dem niederländischen Gesetz zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung). Er überprüfte drei Standardlizenzinhaber anhand von zehn Kundenakten. Die AFM untersuchte Qualitätssysteme und Geschäftsabläufe bei sechs Standardlizenzinhabern, die insgesamt rund dreißig Jahresabschlussprüfungen umfassten. Der kombinierte Umfang bedeutet, dass die Ergebnisse sowohl die kundenbezogenen als auch die internen Governance-Aspekte der Sanktionscompliance widerspiegeln.
Wo die Unternehmen richtig liegen
Die Prüfung identifizierte durchaus echte vorbildliche Praktiken. Mehrere Unternehmen lehnten die Übernahme oder beendeten Geschäftsbeziehungen mit Kunden, die Russland-Geschäfte tätigten, wenn das Risikoprofil nicht akzeptabel war. Einige gingen weiter, als es die Sanktionsregeln streng genommen erforderten. Andere nahmen Mandate nur unter der Bedingung an, dass die Russland-Geschäfte abgewickelt werden. Unternehmen holten auch formelle Leitlinien der NBA (der niederländischen Wirtschaftsprüferkammer) und des Centrale Dienst voor In- en Uitvoer ein, um zu bestätigen, dass ihre Dienstleistungen keinen Sanktionsverstoß darstellten. Ein Portfolio-Screening wurde mithilfe strukturierter Daten und direkter Nachfragen bei externen Prüfern durchgeführt, insbesondere wenn neue Sanktionspakete eingeführt wurden. Wo der Prüfungsumfang durch sanktionsbedingte Zugangsbeschränkungen eingeschränkt war, wurden in Übereinstimmung mit NBA Alert 45 modifizierte Bestätigungsvermerke erteilt.
Wo Kontrollen verbessert werden müssen
Das positive Bild ist nur teilweise zutreffend. Die Prüfung identifizierte wiederkehrende Lücken im Richtliniendesign, in der Abhängigkeit von Dritten, in der Verifizierungsdisziplin und im Inhalt der Prüfungsvermerke.
Richtlinienlücken: Sanktionsrisiko zu eng definiert
Interne Richtlinien mehrerer Unternehmen befassen sich mit sanktionierten Personen und Unternehmen, erstrecken sich aber nicht durchgängig auf sanktionierte Waren und Dienstleistungen. Ein Sanktions-Compliance-Rahmenwerk, das nur Geschäftspartner screenet, übersieht das Risiko, dass ein Kunde beschränkte Güter liefert oder bezieht. Die AFM erwartet, dass die Richtlinie ausdrücklich die Identifizierung, Kontrolle, Überwachung und regelmäßige Bewertung des gesamten Spektrums der Sanktionsrisiken abdeckt.
Übermäßige Abhängigkeit von eingeholten Gutachten Dritter durch den Kunden
Nur eines der geprüften Unternehmen beauftragte unabhängig einen Sanktionsrechtsspezialisten. Wenn Kunden selbst rechtliche Beratung zu Sanktionsrisiken einholten, forderten die Prüfer nicht immer einen Nachweis dieser Beratung an. Ebenso hinterfragten die Prüfer bei der Überprüfung von Screening-Berichten, die vom oder für den Kunden erstellt wurden, nicht durchgängig den Umfang des Screenings, seine Grenzen, die Relevanz der Methodik oder die verbleibende Grundgesamtheit, die möglicherweise ausgeschlossen wurde. Sich auf den eigenen Experten des Kunden zu verlassen, ohne die Grundlage und die Grenzen dieser Beratung unabhängig zu verifizieren, ist eine erhebliche Kontrollschwäche.
Verifizierung sanktionierter Waren und Dienstleistungen
Bei wesentlichen Transaktionen mit Waren oder Dienstleistungen, die möglicherweise Beschränkungen unterliegen, zeigte die Prüfung, dass die Prüfer nicht immer unabhängig die Sanktionslisten selbst überprüften. Wenn die betroffenen Beträge signifikant sind, ist das unabhängige Abgleichen mit den relevanten Listen, anstatt sich vollständig auf Darstellungen des Managements zu verlassen, eine grundlegende Kontrolle, die mehrere Unternehmen nicht konsequent anwendeten.
Uneingeschränkte Bestätigungsvermerke, während Prüfungen noch liefen
Bei zwei der überprüften Jahresabschlussprüfungen wurde ein uneingeschränkter Bestätigungsvermerk erteilt, während die Untersuchung, ob dieser Bestätigungsvermerk angesichts der Einschränkungen bei der Prüfung der Russland-Geschäfte angemessen war, noch andauerte. Die AFM stellt fest, dass diese Fälle überprüft werden. Die Erteilung eines uneingeschränkten Bestätigungsvermerks vor der Klärung einer bekannten Umfangsbeschränkung bei Russland-bezogenen Geschäften ist eine Lücke, die regulatorische und reputationsbezogene Konsequenzen nach sich zieht.
Umsatzsubstitution wird nicht verfolgt
Die Prüfung stellt eine pointierte Frage, die Prüfungsteams ihren Kunden stellen sollten: Wie wird der zuvor in Russland erzielte Umsatz ersetzt? Wenn ein Kunde den russischen Markt formell verlassen hat, die Gesamtumsätze aber stabil geblieben sind, ist das Verständnis der Substitution ein wesentlicher Prüfungshandlung, keine optionale Anfrage. Die Unternehmen verfolgten diese Analyse nicht konsequent.
Betrugsrisiko durch Sanktionsumgehung fehlt in Prüfungsvermerken
Die Feststellung, die im AFM-Bericht die schärfste Sprache hervorrief, ist diese: In keiner der überprüften Jahresabschlussprüfungen enthielt der Prüfungsvermerk ein Betrugsrisiko im Zusammenhang mit einer möglichen Verletzung oder Umgehung von Sanktionen. Die AFM hält diese Auslassung bei Kunden mit bedeutenden Russland-Aktivitäten für schwer zu rechtfertigen. Sanktionsumgehung ist per Definition ein Risiko für die Finanzberichterstattung, da der Jahresabschluss die wahre Natur der Transaktionen möglicherweise nicht korrekt widerspiegelt. Prüfungsteams, die an solchen Mandaten arbeiten, sollten beurteilen, ob eine spezifische Offenlegung des Betrugsrisikos in den Bestätigungsvermerk gehört.
Was Unternehmen jetzt tun sollten
AFM und BFT arbeiten mit der NBA und der SRA, dem Branchenverband, der viele Standardlizenzunternehmen vertritt, zusammen, um dem Sektor bei der Umsetzung dieser Ergebnisse zu helfen. Die Regulierungsbehörden haben deutlich gemacht: Sie erwarten, dass sich die Unternehmen mit den Verbesserungspunkten befassen und den Bericht nicht als externe Beobachtung betrachten. Für Qualitätsverantwortliche und Prüfungspartner ist die praktische Checkliste kurz, aber anspruchsvoll.
Unmittelbare Prioritäten für Qualitätsteams
Erstens: Überprüfen Sie Ihr eigenes Richtliniendokument. Wenn es sich mit sanktionierten Personen befasst, aber zu sanktionierten Waren und Dienstleistungen schweigt, aktualisieren Sie es vor dem nächsten Mandatszyklus. Zweitens: Legen Sie ein Protokoll für die unabhängige Einholung von Sanktionsrechtsexpertise fest, anstatt in Auftrag gegebene Gutachten des Kunden für bare Münze zu nehmen, und dokumentieren Sie, welche Nachweise Sie verlangen, wenn ein Kunde seine eigene rechtliche Beratung vorlegt. Drittens: Bauen Sie einen Schritt in die Dateiprüfung ein, der überprüft, ob ein Betrugsrisiko im Zusammenhang mit Sanktionsumgehung in Betracht gezogen und, bei Kunden mit wesentlichem Russland-Exposure, im Prüfungsvermerk dokumentiert wurde. Viertens: Behandeln Sie die Umsatzsubstitutionsanalyse als erforderliche Verfahrenshandlung und nicht als Hintergrundbeobachtung. Fünftens: Stellen Sie sicher, dass kein uneingeschränkter Bestätigungsvermerk abgeschlossen wird, während eine wesentliche sanktionsbezogene Umfangsfrage offen ist.
Unternehmen, die Crypto-Compliance-Reporting-Workflows neben traditionellen Prüfungstools verwenden, sollten beachten, dass die hier genannten Kontrollprinzipien gleichermaßen für Digital-Asset-Kunden mit grenzüberschreitendem Exposure gelten. Die von der AFM identifizierten Screening-Lücken sind toolunabhängig: Die Frage ist, ob der Prozess des Unternehmens unabhängig verifiziert, was verifiziert werden muss, nicht ob die Daten des Kunden selbst sauber aussehen. Eine Digital-Asset-Buchhaltungssoftware, die Wallet- und Entity-Ebene-Flags aufdeckt, kann den unabhängigen Verifizierungsschritt unterstützen, aber nur, wenn die Richtlinie des Unternehmens diesen Schritt überhaupt vorschreibt.
Die breitere Sanktions-Compliance-Landschaft verschärft sich in allen Jurisdiktionen. Die in diesem AFM/BFT-Bericht dokumentierten Muster – übermäßige Abhängigkeit von Kundenaussagen, unzureichend spezifizierter Richtlinienumfang und unvollständige Offenlegung von Betrugsrisiken – sind nicht auf die Niederlande beschränkt. Unternehmen, die zu OFAC-SDN-Kryptowährungsadressen und Compliance-Prioritäten von Unternehmen beraten, werden dieselben strukturellen Spannungen erkennen. Ebenso spiegelt die Sorge um Umsätze, die durch komplexe Gegenparteiketten verschleiert werden, die Risiken wider, die in den AML-Risiken rund um die Huione Group und USDH-Stablecoin dokumentiert sind.
FAQs
Auf welche Unternehmen bezieht sich dieser AFM/BFT-Bericht?
Die Prüfung umfasste Wirtschaftsprüfungsgesellschaften mit Standardlizenz in den Niederlanden. Die AFM untersuchte sechs Unternehmen bei etwa dreißig Jahresabschlussprüfungen; der BFT überprüfte drei Unternehmen anhand von zehn Kundenakten. Die Ergebnisse richten sich an den gesamten Sektor, nicht nur an die direkt geprüften Unternehmen.
Was ist NBA Alert 45 und warum ist er hier relevant?
NBA Alert 45 ist ein Leitfaden der niederländischen Wirtschaftsprüferkammer, der beschreibt, wie Prüfer mit Änderungen des Bestätigungsvermerks umgehen sollten, wenn Sanktionen den Zugang zu Informationen über Russland-Aktivitäten einschränken. Die AFM stellte positive Beispiele für modifizierte Bestätigungsvermerke in Übereinstimmung mit Alert 45 fest, aber auch Fälle, in denen uneingeschränkte Bestätigungsvermerke erteilt wurden, bevor eine entsprechende Prüfung abgeschlossen war.
Besteht eine Verpflichtung, ein Sanktionsbetrugsrisiko in jeden Prüfungsvermerk für Russland-bezogene Mandanten aufzunehmen?
Die AFM sagt nicht, dass dies in jedem Fall zwingend erforderlich ist, macht aber deutlich, dass bei Mandanten mit wesentlichen Russland-Aktivitäten das Fehlen einer Offenlegung des Betrugsrisikos im Zusammenhang mit Sanktionsumgehung schwer zu rechtfertigen ist. Die Prüfungsteams sollten ihre Beurteilung dokumentieren, unabhängig davon, zu welchem Schluss sie kommen.
Wie sollten Unternehmen mit einer eigenen rechtlichen Stellungnahme des Mandanten zu Sanktionsrisiken umgehen?
Die AFM erwartet von den Prüfern, dass sie die dokumentarischen Nachweise aller vom Mandanten eingeholten rechtlichen Beratung anfordern und prüfen und deren Umfang, Grenzen und Relevanz unabhängig beurteilen. Die bloße Annahme einer Zusammenfassung des Managements ohne Einsicht in die zugrunde liegende Beratung erfüllt nicht den Verifizierungsstandard.
Betrifft dieser Bericht auch Crypto-Asset-Dienstleister oder nur traditionelle Prüfungsmandanten?
Die Prüfung konzentrierte sich auf Jahresabschlussprüfungsmandanten mit Russland-Aktivitäten. Die AFM hat jedoch separate Aufsichtspflichten für Crypto-Asset-Dienstleister nach MiCA und niederländischem Recht. Die Kontrollprinzipien – unabhängiges Screening, Richtlinien, die Waren und Dienstleistungen und nicht nur Personen abdecken, und Betrugsrisikobewertung – gelten für alle Mandantentypen, bei denen ein Sanktionsrisiko besteht.