Dan Ostergaard · Mitgründer, Trusty · ehemaliger Global Head of Compliance bei Novartis · Gründer von PolicyStore
Warum „angemessene Verfahren“ jetzt nachweisbare Schulungen, aktive Implementierung und einen funktionierenden Whistleblowing-Kanal bedeuten, und warum sich der Rest der Regulierungswelt in die gleiche Richtung bewegt
Jahrelang konnte die Betrugsprävention mit einem Aktenordner erfüllt oder zumindest verteidigt werden. Eine Richtlinie existierte, wurde genehmigt und lag im Intranet. Ob sie jemand gelesen, verstanden oder danach gehandelt hat, war eine andere Frage und selten die, die Regulierungsbehörden stellten. Diese Ära ist vorbei.
Seit dem 1. September 2025 ist die Straftat der Pflichtverletzung zur Betrugsverhinderung („Failure to Prevent Fraud“) nach Section 199 des britischen Economic Crime and Corporate Transparency Act 2023 (ECCTA) für große Organisationen in Kraft. Die Mechanismen sind bewusst weit gefasst: Eine Organisation kann strafrechtlich haftbar gemacht werden, mit einer unbegrenzten Geldstrafe, wenn eine verbundene Person (ein Mitarbeiter, Vertreter, eine Tochtergesellschaft oder ein Auftragnehmer) einen Betrug begeht, der der Organisation zugutekommen soll. Die einzige gesetzliche Verteidigungsmöglichkeit besteht darin, dass die Organisation angemessene Verfahren zur Verhinderung dieses Betrugs implementiert hatte.
Und das Serious Fraud Office hat unmissverständlich klargestellt, was „angemessene Verfahren“ nicht bedeuten.
Die Nachweisprüfung des SFO
Die Kernbotschaft der Durchsetzungsbehörden ist einfach: Eine schriftliche Richtlinie ohne Nachweis ihrer tatsächlichen Wirksamkeit wird die Verteidigung nicht überzeugen. Eine Richtlinie, für die niemand geschult wird, die nicht überwacht wird und die keine Aufzeichnungen über ihre eigene Funktionsweise liefert, ist für Verteidigungszwecke nahezu wertlos. Was eine Organisation schützt, ist nicht die Existenz eines Verfahrens, sondern der Nachweis, dass das Verfahren gelebt wird: dass Personen geschult wurden, dass die Schulung verstanden wurde, dass Kontrollen fortlaufend überwacht werden und dass Bedenken geäußert werden und darauf reagiert wird.
Damit ordnet sich Compliance um drei nachweisbare Elemente neu:
- Nachweis von Mitarbeiterschulungen. Nicht „wir haben einen Verhaltenskodex“, sondern ein überprüfbarer Nachweis darüber, wer wann wozu geschult wurde und ob die Person ihr Verständnis belegt hat. Eine Schulung, die sich nicht belegen lässt, hat vor Gericht nicht stattgefunden.
- Implementierung und fortlaufende Überwachung. Angemessene Verfahren sind kein einmaliges Ereignis; sie sind eine kontinuierliche Kontrolle. Die Verteidigung beruht auf dem Nachweis, dass Kontrollen implementiert, von namentlich genannten Personen verantwortet und über die Zeit überwacht wurden, mit einer dokumentierten Spur von Risikobewertungen, Überprüfungen und Abhilfemaßnahmen.
- Ein funktionierender Whistleblowing-Kanal. Das erste volle Jahr der Straftat hat die Erwartung verfestigt, dass Whistleblowing, Schulungen zur Betrugsprävention und wirksame Aufsicht essenziell und nicht optional sind. Ein Kanal, der auf dem Papier existiert, aber keine Meldungen, keine Triage und keine ergriffenen Maßnahmen erzeugt, ist selbst ein Warnsignal.
Der gemeinsame Nenner ist derselbe, der echte interne Kontrolle vom Abhaken von Kästchen unterscheidet: Eine Kontrolle ist nur dann relevant, wenn ihre Wirksamkeit nachgewiesen werden kann.
Dies ist keine britische Eigenheit: Es ist die globale Richtung der Entwicklung
Die Versuchung besteht darin, den Straftatbestand „Failure to Prevent Fraud“ als „britisches Problem“ abzutun. Das wäre ein Fehler. Über alle Gerichtsbarkeiten und Sektoren hinweg nähern sich die Regulierungsbehörden demselben Prinzip an: nachgewiesene Wirksamkeit vor dokumentierter Absicht.
- Vereinigtes Königreich, Betrugsstrategie 2026 bis 2029. Am 9. März 2026 startete die britische Regierung eine neue nationale Betrugsstrategie, die über 250 Millionen Pfund über drei Jahre und ein „Disrupt, Safeguard, Respond“-Modell vorsieht. Sie baut direkt auf dem Straftatbestand „Failure to Prevent Fraud“ auf und verstärkt die Erwartung, dass Organisationen einen proaktiven, evidenzbasierten Ansatz verfolgen.
- Schweiz, Revision der Geldwäschereiverordnung der FINMA. Im Mai 2026 eröffnete die FINMA eine Konsultation zu einer teilweisen Revision ihrer Geldwäschereiverordnung, wobei der überarbeitete Rahmen voraussichtlich am 1. Januar 2027 in Kraft treten wird. Zu den Änderungen gehört eine erhöhte Rechenschaftspflicht des Top-Managements für die Wirksamkeit interner Kontrollen, nicht nur für deren Existenz. Die regulatorische Richtung spiegelt eine breitere Verschiebung von der Überwachung von Prozessen hin zur Überwachung von Ergebnissen wider, wobei die Frage ist, ob ein Programm Fehlverhalten tatsächlich erkennt und verhindert.
- Vereinigte Staaten, Rekord-Rückforderungen des DOJ und Haftung für verbundene Personen. Im Januar 2026 berichtete das Justizministerium, dass die Vergleichszahlungen und Urteile nach dem False Claims Act für das Geschäftsjahr 2025 6,8 Milliarden US-Dollar überstiegen, der höchste Jahresgesamtbetrag in der Geschichte des Gesetzes und eine Steigerung von etwa 120 % gegenüber dem Vorjahr. Das Gesundheitswesen und die Biowissenschaften trugen den überwiegenden Teil dazu bei. Bemerkenswert ist, dass die Durchsetzung zunehmend Drittvertriebshändler und -vertreter erreicht: Der Status als unabhängiger Auftragnehmer schützt einen Vertreter nicht vor Haftung, und der Hersteller, den sie vertreten, kann ebenfalls herangezogen werden: dieselbe vorgelagerte Rechenschaftslogik wie beim britischen Straftatbestand.
- EU, verschärfte Aufsicht über Medizintechnik. Auch wenn die Europäische Kommission vorschlägt, die Medizinprodukteverordnung zu straffen, treten harte Verpflichtungen in Kraft: EUDAMED wurde im Mai 2026 obligatorisch, und die Anforderungen an die Meldung von Vorfällen wurden verschärft. Stimmen aus der Industrie haben gewarnt, dass jede Reduzierung der Prüffrequenz oder der Dokumentenstichproben das Risiko birgt, genau die Lücken wieder zu öffnen, in denen Fehlverhalten unentdeckt bleibt.
Die Vorbereitungslücke. Eine Umfrage unter Leitern der Internen Revision vom Februar 2026 ergab: KI-gestützter Betrug gilt zwar weithin als wachsendes Risiko, doch nur etwa vier von zehn hielten ihre Funktion für ausreichend vorbereitet, ihn zu erkennen oder darauf zu reagieren.
Zusammengenommen ist das Bild konsistent. Ob die Regulierungsbehörde das SFO, die FINMA, das DOJ oder die Europäische Kommission ist, die Anforderungen an den Nachweis steigen, und „wir hatten eine Richtlinie“ ist nicht länger die Antwort auf die gestellte Frage.
Die Implementierungslücke und wie man sie schließt
Hier liegt das praktische Problem. Die meisten Organisationen haben bereits Richtlinien. Was ihnen oft fehlt, ist das verbindende Element, das eine Richtlinie in nachweisbare Beweise verwandelt: eine einzige, prüfbare Aufzeichnung, die jedes Verfahren mit den darauf geschulten Personen, den es implementierenden Kontrollen und den dagegen geäußerten Bedenken verknüpft.
Genau hier setzt eine spezialisierte Compliance-Plattform an.
Die Trusty Compliance App ist um die drei Elemente herum aufgebaut, die die Verteidigung beim Straftatbestand „Failure to Prevent Fraud“ jetzt verlangt:
- Nachweis der Schulung, auf Abruf. Die Trusty Compliance App führt einen verifizierbaren Nachweis über Richtlinienverteilung, Bestätigung (Attestation) und abgeschlossene Schulungen: wer geschult wurde, zu welcher Version der Richtlinie, wann und mit welchem Ergebnis. Wenn eine Aufsichtsbehörde oder ein Auditor einen Beleg verlangt, genügt ein Bericht, kein hektisches Zusammensuchen.
- Implementierung, die Sie überwachen können. Statt Compliance als jährliches Ereignis zu behandeln, unterstützt die Trusty Compliance App die laufende Implementierung: Benennung verantwortlicher Kontrollinhaber, Nachverfolgung von Bestätigungen und Reviews sowie das Sichtbarmachen von Lücken, bevor sie zu einer Prüfungsfeststellung werden. So wird „angemessene Verfahren“ von einer Behauptung zu einem kontinuierlich belegten Zustand.
- Whistleblowing integriert. Ein vertraulicher Meldekanal ist in dieselbe Plattform integriert, mit strukturierter Triage und einer dokumentierten Spur, wie jede Meldung bearbeitet wird. So wird die Existenz des Kanals durch Nachweise ergänzt, dass Meldungen eingehen, geprüft und bearbeitet werden.
Der strategische Punkt ist nicht, dass Software Kultur ersetzt. Das tut sie nicht. Aber in einer Welt, in der die Verteidigung von Nachweisen abhängt, sind die Organisationen, die diese Nachweise vorlegen können (Schulungsnachweise, Monitoring-Trails, Whistleblowing-Logs, alles an einem Ort), diejenigen, die einer Prüfung standhalten. Alle anderen werden im Nachhinein erklären, warum ihre sorgfältig formulierte Richtlinie nicht verhindert hat, was sie verhindern sollte.
Die Straftat ist in Kraft. Die Strategie ist finanziert. Die globale Richtung ist gesetzt. Die einzige offene Frage ist, ob Ihre Verfahren sich selbst beweisen können.
Die Nachweisprüfung des SFO
Die Nachweisprüfung des SFO verlangt drei Dinge: dokumentierte Schulungen, gesteuerte Richtlinien und einen funktionierenden Whistleblowing-Kanal. Trusty vereint alle drei auf einer Plattform: prüfungsbereit und in unter 5 Minuten live.
- Nachweisliche Schulungen, auf Abruf. Trusty Compliance App verfolgt, wer welche Richtlinienversion wann und mit welchem Ergebnis abgeschlossen hat. Wenn das SFO fragt, legen Sie einen zeitgestempelten Bericht vor.
- Richtlinien, denen Ihr Team tatsächlich folgt. Trusty Compliance App verwandelt Anti-Betrugs-Richtlinien in bestätigte, zeitgestempelte Aufzeichnungen. Jede Mitarbeiterunterschrift wird Teil Ihres Audit-Trails.
- Integriertes Whistleblowing. Trusty Whistleblowing ist vertraulich, anonymisierbar, DSGVO-konform und auf die EU-Hinweisgeberrichtlinie abgestimmt. In wenigen Minuten live.
Vertrauen von 1.000+ Unternehmen in ganz Europa. Ab 49 €/Monat, keine Einrichtungsgebühren, keine IT erforderlich. Trusty Whistleblowing → Compliance App → Trusty Compliance App → Alle Preise →
Quellen
- UK Government, Neue Leitlinien zu „Failure to Prevent Fraud“ veröffentlicht: www.gov.uk/government/news/new-failure-to-prevent-fraud-guidance-published
- Trowers & Hamlins, Betrug: Was 2026 bevorsteht
- Bird & Bird, UK Fraud Strategy 2026–2029
- Fiscaltec, UK Fraud & Sanctions Compliance 2026: ECCTA, OFSI
- FINMA, Konsultation zur teilweisen Revision der AMLO: www.finma.ch/en/news/2026/05/20260512-mm-anh-gwv-finma/
- GRC Report, FINMA schlägt AML-Überarbeitung vor
- Epstein Becker Green, Rückforderungen nach dem False Claims Act erreichen im GJ 2025 historische Höchststände
- MedDeviceGuide, DOJ-Durchsetzung bei Medizinproduktebetrug 2026
- MedTech Europe, Vorschlag zur Revision der Medizinprodukte-Regeln
- The IIA / AuditBoard, Interne Revision und KI-gestützter Betrug
Häufig gestellte Fragen
Die Vorschrift gilt für „große Organisationen“, wie im Companies Act 2006 definiert (zwei von drei Kriterien: über 36 Mio. £ Umsatz, über 18 Mio. £ Bilanzsumme, über 250 Mitarbeiter). KMU unterhalb dieser Schwelle fallen derzeit nicht direkt in den Geltungsbereich, aber die gleichen evidenzbasierten Erwartungen spiegeln sich zunehmend bei den Regulierungsbehörden der einzelnen Sektoren wider.
Das SFO erwartet sechs Elemente: verhältnismäßige Verfahren, Commitment der obersten Leitung, Risikobewertung, Due Diligence zu verbundenen Personen, Kommunikation und Schulung sowie Monitoring und Review. Jedes Element muss nachweisbar sein: Eine schriftliche Richtlinie ohne funktionierende Nachweisspur reicht nicht aus.
Ja. Durchsetzungssignale aus dem ersten Jahr der Straftat machen deutlich, dass ein funktionierender interner Meldekanal als Teil angemessener Verfahren erwartet wird. Ein Kanal, der auf dem Papier existiert, aber keine dokumentierten Meldungen oder Triage-Maßnahmen erzeugt, ist selbst ein Risikoindikator.
Eine dedizierte Plattform wie Trusty kann in unter 5 Minuten konfiguriert werden und live gehen, ohne IT-Einbindung. Dazu gehören ein anonymer Meldekanal, ein Case-Management-Dashboard, DSGVO-konforme Datenverarbeitung und ein vollständiger Audit-Trail aller Meldungen und ergriffenen Maßnahmen.
Ja. Wie dieser Artikel erläutert, ist die globale Richtung konsistent: nachgewiesene Wirksamkeit statt dokumentierter Absicht. Die EU-Hinweisgeberrichtlinie (2019/1937) gilt für alle privatwirtschaftlichen Organisationen mit 50 oder mehr Beschäftigten in der EU. FINMA, das DOJ und Branchenaufsichtsbehörden bewegen sich alle in Richtung ergebnisorientierter Aufsicht.
RICHTLINIEN, SCHULUNGEN UND HOTLINE
Trusty Compliance App: Unternehmensrichtlinien, Compliance-Schulungen und ein Hinweisgeberkanal in einer einzigen App für Ihre Mitarbeiter. 10 vorgefertigte Richtlinien, 6 Schulungen, kostenlose Testversion, keine IT-Einrichtung erforderlich.