Compliance-Remediation nach Prüfungsfeststellungen: Massnahmen planen und nachweisen

Kurzantwort: Ein Compliance-Remediation-Massnahmenplan übersetzt jede Feststellung aus Prüfung oder Aufsicht in eine Massnahme mit Ursache, verantwortlicher Person, Termin und vorab definiertem Nachweis. Abgeschlossen ist eine Massnahme erst, wenn der Nachweis geprüft und von der zuständigen Stelle freigegeben ist, nicht schon, wenn ein Dokument überarbeitet wurde. Für Banken in Deutschland verlangen die MaRisk (AT 4.4.3 Tz. 11), dass die Interne Revision die fristgerechte Beseitigung festgestellter Mängel überwacht.

Dieser Ratgeber richtet sich an Heads of Compliance, Chief Risk Officers und General Counsel in der Schweiz und in Deutschland, die Feststellungen der Internen Revision, der Prüfgesellschaft oder der Aufsicht umsetzen müssen. Er zeigt, wie Sie Feststellungen priorisieren, einen Massnahmenplan aufstellen, Nachweise führen und das Team steuern.

Woher Feststellungen kommen und was sie verlangen

Feststellungen stammen meist aus vier Quellen: der Internen Revision, der externen Prüfgesellschaft, der Aufsichtsbehörde oder einer eigenen Kontrolle der Compliance-Funktion. Je höher die Quelle, desto strenger sind in der Regel Fristen und Nachweisanforderungen.

• Interne Revision: In Deutschland hat die Interne Revision von Kreditinstituten nach MaRisk AT 4.4.3 Tz. 11 die fristgerechte Beseitigung der Mängel zu überwachen, gegebenenfalls mit einer Nachschauprüfung. Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert die Leitung der Internen Revision zuerst den zuständigen Geschäftsleiter schriftlich und spätestens im nächsten Gesamtbericht die Geschäftsleitung.
• Prüfgesellschaft: Feststellungen aus der aufsichtsrechtlichen Prüfung werden im Prüfbericht festgehalten und bei der Folgeprüfung nachverfolgt. In der Schweiz regelt das FINMA-Rundschreiben 2025/1 „Prüfwesen“ die Aufsichtsprüfung; Form und Frist der Nachverfolgung ergeben sich aus dem jeweiligen Prüfbericht.
• Aufsicht: In der Schweiz sorgt die FINMA nach Art. 31 FINMAG für die Wiederherstellung des ordnungsgemässen Zustandes, wenn Beaufsichtigte das Aufsichtsrecht verletzen oder sonstige Missstände bestehen. Nach Art. 36 FINMAG kann sie eine Untersuchungsbeauftragte oder einen Untersuchungsbeauftragten einsetzen, auch um angeordnete Massnahmen umzusetzen. In Deutschland kann die BaFin nach § 45c KWG einen Sonderbeauftragten bestellen, der unter anderem die Beachtung ihrer Anordnungen überwacht.
• Eigene Kontrollen: Mängel aus dem Monitoring der Compliance-Funktion gehören in denselben Massnahmenplan; nach MaRisk AT 4.4.2 enthält der Compliance-Bericht auch Angaben zu Defiziten und Massnahmen zu deren Behebung.

Feststellungen priorisieren

Priorisieren Sie Feststellungen nach Schweregrad, Frist und Abhängigkeiten, nicht nach Reihenfolge im Bericht. Ein einfaches Raster:

1. Schweregrad übernehmen: Die Einstufung des Prüfers (zum Beispiel hoch, mittel, gering) ist der Ausgangspunkt.
2. Frist zuordnen: Von der Aufsicht gesetzte Termine haben Vorrang vor intern gesetzten.
3. Ursache bestimmen: Mehrere Feststellungen gehen oft auf eine gemeinsame Ursache zurück, etwa eine unklare Zuständigkeit oder ein fehlendes Systemfeld. Eine Massnahme an der Ursache erledigt dann mehrere Feststellungen.
4. Abhängigkeiten sichtbar machen: Massnahmen, die auf IT-Änderungen, Daten oder Entscheidungen der Geschäftsleitung warten, früh einplanen.
5. Kapazität abgleichen: Prüfen, ob das interne Team die Massnahmen neben dem Tagesgeschäft fristgerecht umsetzen kann.

Den Massnahmenplan aufstellen

Der Massnahmenplan verbindet jede Feststellung mit einer konkreten Massnahme, einem Nachweis, einer verantwortlichen Person und einem Termin. Die folgende Tabelle zeigt Beispiele; Feststellungen und Termine sind Annahmen.

Übersetzen Sie jede Massnahme in konkrete Arbeitsschritte und Nachweisanforderungen. Ein Massnahmenregister sollte mindestens enthalten: Feststellungs-ID, Ursache, Massnahme, verantwortliche Person, Termin, Status, Nachweis, Prüfer des Nachweises und Freigabe.

Wann ist eine Massnahme abgeschlossen?

Eine Massnahme ist abgeschlossen, wenn der vereinbarte Nachweis vorliegt, unabhängig geprüft und von der zuständigen Stelle freigegeben ist. Ein bearbeitetes Dokument ist noch keine wirksam umgesetzte Massnahme. Vereinbaren Sie deshalb im Voraus:

• welcher Nachweis benötigt wird und in welcher Form;
• wer ihn prüft, idealerweise eine Person, die die Massnahme nicht selbst umgesetzt hat;
• wer den Abschluss freigibt;
• ob neben der Ausgestaltung (Design) auch die Wirksamkeit über einen Zeitraum belegt werden muss.

So vermeiden Sie, dass Aufgaben nur formal als erledigt gelten und bei der Folgeprüfung erneut geöffnet werden.

Nachweisführung gegenüber Prüfer und Aufsicht

Prüfer und Aufsicht erwarten nachvollziehbare, vollständige und datierte Nachweise, die ohne Erklärung verständlich sind. Bewährt hat sich ein Nachweispaket je Feststellung:

• kurze Beschreibung der Feststellung, der Ursache und der Massnahme;
• Belege der Umsetzung, etwa genehmigte Dokumente, Systemauszüge oder Protokolle;
• Ergebnis der Qualitätsprüfung oder des Wirksamkeitstests;
• Freigabe durch die zuständige interne Stelle mit Datum;
• verbleibende Restrisiken und wer sie akzeptiert hat.

Melden Sie dem Prüfer oder der Aufsicht früh, wenn ein Termin nicht zu halten ist, und nennen Sie Grund, neuen Termin und Zwischenmassnahmen. Was die Aufsicht im Einzelfall verlangt, ergibt sich aus der jeweiligen Anordnung oder dem Prüfbericht.

Team und Steuerung der Remediation

Ein Remediation-Programm braucht eine klare Steuerung und genügend Kapazität für Bearbeitung und Qualitätssicherung. Massnahmenbearbeitung, Qualitätssicherung und formelle Freigabe sollten als unterschiedliche Aufgaben geplant werden. Typische Rollen:

• Programmverantwortung: Head of Compliance oder CRO; berichtet an Geschäftsleitung und Prüfungsausschuss.
• Projektleitung oder PMO: führt das Massnahmenregister, verfolgt Termine und Abhängigkeiten.
• Remediation-Analysten: bearbeiten Dossiers, Alerts oder Prozessdokumente, je nach Feststellung Junior- bis Experienced-Profile.
• Qualitätssicherung: erfahrene Compliance Officers prüfen Stichproben nach festen Kriterien.
• Fachverantwortliche: geben Massnahmen in ihrem Bereich frei und tragen Restrisiken.

Alpinum Solutions stellt dafür Compliance- und Legal-Fachkräfte über Staff Leasing oder Freelancing bereit, als Einzelperson oder als Taskforce, in Teilzeit oder Vollzeit. In einem anonymisierten Einsatz arbeitete eine Taskforce mit acht Compliance Officers (8 FTE) inklusive Team Lead im Staff Leasing an einer KYC-Remediation in einem Finanzinstitut in der Schweiz; der Team Lead berichtete an die interne Compliance, und das Projekt war nach zehn Monaten abgeschlossen (Fallstudie KYC-Taskforce). Wie Sie ein solches Team aufstellen, zeigen die Ratgeber KYC-Remediation planen und Taskforce für Legal- und Compliance-Projekte.

Was gehört in das Briefing?

Für die erste Anfrage reichen strukturierte Angaben ohne sensible Einzelfalldaten:

• Art und Umfang der Feststellungen, etwa Zahl und Schweregrad;
• Fristen und wer sie gesetzt hat;
• betroffene Prozesse und Systeme;
• vorhandene Massnahmenpläne und interne Governance;
• gesuchte Profile, Pensum, Sprachen und Arbeitsort.

Am Ende sollten ein aktualisiertes Massnahmenregister, geordnete Nachweise, dokumentierte Prüfungen und klar benannte offene Entscheidungen übergeben werden.

Grenzen und Risiken

• Die Verantwortung für die Remediation bleibt bei Geschäftsleitung und Fachverantwortlichen. Externe Fachkräfte bearbeiten und prüfen, geben aber keine Restrisiken frei.
• Werden Ursachen nicht behoben, kehren Feststellungen bei der nächsten Prüfung zurück.
• Kunden- und Transaktionsdaten sind vertraulich. Zugriffe, Ablage und Datenschutz sind vor dem Start zu regeln.
• Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung. Auslegungsfragen zu Anordnungen klären Rechtsabteilung oder externe Berater.

Häufige Fragen zur Compliance-Remediation

Wer verantwortet die Remediation?

Die Verantwortung liegt bei der Geschäftsleitung; die Umsetzung verantworten die jeweiligen Fachbereiche. Die Compliance-Funktion oder ein Programmbüro steuert den Massnahmenplan und berichtet über den Fortschritt. Die Interne Revision überwacht unabhängig, ob Mängel fristgerecht beseitigt werden; bei deutschen Kreditinstituten ist das nach MaRisk AT 4.4.3 Tz. 11 ausdrücklich ihre Aufgabe.

Was erwartet die Aufsicht als Nachweis?

Die Aufsicht erwartet Belege, dass eine Massnahme nicht nur beschlossen, sondern umgesetzt und wirksam ist. Dazu gehören genehmigte Dokumente, Systemauszüge, Prüfprotokolle, Testergebnisse und die Freigabe der zuständigen Stelle. Welche Nachweise im Einzelfall genügen, ergibt sich aus der Anordnung oder dem Prüfbericht. Stimmen Sie die Nachweisform im Zweifel früh mit dem Prüfer ab.

Was passiert, wenn ein Termin nicht gehalten werden kann?

Informieren Sie die Stelle, die den Termin gesetzt hat, frühzeitig und schriftlich, mit Grund, neuem Termin und Zwischenmassnahmen. Bei deutschen Kreditinstituten muss die Interne Revision nicht fristgerecht beseitigte wesentliche Mängel nach MaRisk AT 4.4.3 an den zuständigen Geschäftsleiter und spätestens im nächsten Gesamtbericht an die Geschäftsleitung melden. Stillschweigende Verzögerungen schaden dem Vertrauen von Prüfer und Aufsicht.

Wie viele Personen braucht ein Remediation-Programm?

Das hängt von Zahl und Art der Feststellungen, den Fristen und der internen Kapazität ab. Einzelne Richtlinien- oder Prozessfeststellungen kann oft eine erfahrene Fachkraft umsetzen. Massenhafte Nacharbeiten, etwa bei KYC-Dossiers oder Alerts, brauchen ein Team mit Analysten, Qualitätssicherung und Team Lead. Schätzen Sie den Aufwand aus einer Stichprobe hoch, bevor Sie das Team festlegen.

Kann die Remediation extern unterstützt werden?

Ja. Temporäre Fachkräfte übernehmen häufig Bearbeitung, Qualitätssicherung oder Projektsteuerung, während das interne Team das Tagesgeschäft weiterführt. Im Staff Leasing liegt das fachliche Weisungsrecht beim Unternehmen; im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des vereinbarten Mandats. Freigaben und Restrisiken bleiben in jedem Fall beim Unternehmen.

Nächster Schritt

Beschreiben Sie Feststellungen, Fristen und vorhandene Kapazität. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Interim Compliance
• AML- und KYC-Remediation
• Compliance-Management-System aufbauen
• Bedarf besprechen

Stand: 31. Oktober 2026.