Interviewfragen für Compliance Officers, mit ausgearbeiteten Antworten

So nutzt du diese Fragen

Beantworte jede Frage zuerst mit dem Zweck der Regel, dann mit dem, was du tun würdest, dann damit, wie du es später einem Prüfer oder der Aufsicht zeigen würdest. Füge einen eigenen Fall hinzu, mit der Art des Kunden und dem Ergebnis, aber ohne Namen oder Details einer Meldung: Interviewer erwarten, dass du sie vertraulich hältst.

Was ein Compliance Officer können muss

• Der risikobasierte Ansatz: bewerten, wo die Firma ausgesetzt ist, und dort den Aufwand für ComplianceGesetze und Regeln der Aufsicht in Pflichten, Verantwortliche und Kontrollen übersetzen und mit Belegen zeigen, dass sie erfüllt sind. einsetzen, mit RisikomanagementCompliance-Risiken nach Wahrscheinlichkeit und Schwere bewerten und jedes mit seinen Kontrollen verbinden., das mit internen KontrollenKontrollen mit klarem Verantwortlichen, einem Test, der zeigt, dass sie wirken, und einer Korrektur, wenn nicht. verbunden ist.
• Finanzkriminalität: KYCKunden und ihre wirtschaftlich Berechtigten identifizieren, ihr Geschäft verstehen und die Akte aktuell halten, wenn sich das Risiko ändert. und Sorgfaltspflichten, GeldwäschepräventionWissen, wie Geld gewaschen und Terrorismus finanziert wird, und welche Kontrollen eine Firma gegen beides führen muss., SanktionsscreeningKunden und Zahlungen gegen amtliche Listen prüfen, mögliche Treffer beurteilen und stoppen, was gestoppt werden muss. und TransaktionsmonitoringRegeln und Szenarien, die ungewöhnliche Zahlungen markieren, Alarme, die fair und schnell bearbeitet werden, und Anpassungen, die dokumentiert sind..
• Verhalten: Richtlinien, Schulungen, Interessenkonflikte, Geschenke, Korruption und Hinweisgebersysteme.
• Belege: Monitoring und Tests, Aufzeichnungen, aufsichtliches MeldewesenMeldungen und Berichte, die die Aufsicht verlangt, vollständig und pünktlich, mit Zahlen, die sich bis zur Quelle zurückverfolgen lassen. und Personendaten, behandelt nach der DSGVOPersonendaten in der Compliance-Arbeit: eine Rechtsgrundlage, kurze Aufbewahrung und Sorgfalt bei Screening und Fallakten. der EU oder dem Recht des Landes.
• Werkzeuge: ExcelFeststellungen verfolgen, Stichproben von Akten ziehen und Alarme in Mappen zusammenfassen, denen ein Prüfer Schritt für Schritt folgen kann., DatenanalyseGroße Mengen an Alarmen, Kunden oder Zahlungen lesen und das Muster hinter den Zahlen sehen. und die Screening- und Monitoring-Systeme der Firma.

Die Systeme unterscheiden sich von Firma zu Firma, und Anzeigen nennen sie gleichrangig nebeneinander: Monitoring-Plattformen wie NICE Actimize oder SAS und Screening-Daten von World-Check, Dow Jones oder LexisNexis, oft neben Excel und eigenen Werkzeugen. Wer eines kennt, lernt die anderen schnell; Interviewer prüfen, wie du beurteilst, was das System zeigt.

Risiko, KYC und Sanktionen

Was heißt risikobasierter Ansatz, und wie würdest du eine Compliance-Risikoanalyse aufbauen?

Worauf sie achten: dass du entscheiden kannst, wo du zuerst hinsiehst, und erklärst, warum.

Kurze Antwort: „Risikobasiert heißt, dass der Aufwand dem Risiko folgt. Für die Risikoanalyse liste ich auf, was die Firma tut, für wen, wo und über welche Vertriebswege, bewerte für jeden Bereich, wie wahrscheinlich und wie schwer ein Verstoß wäre, sehe mir die vorhandenen Kontrollen an und bewerte das Risiko, das bleibt. Die höchsten verbleibenden Risiken bekommen das meiste Monitoring und die ersten Verbesserungen.“

Die ausführliche Antwort: Die Grundlagen sind Kunden, Produkte, Länder und Vertriebswege, dazu frühere Feststellungen und Vorfälle. Die Aufsicht erwartet, dass die Methode schriftlich festgehalten, von der Geschäftsleitung genehmigt und mindestens einmal im Jahr oder bei Änderungen im Geschäft aktualisiert wird. Die Analyse steuert alles andere: die Tiefe der Sorgfaltspflichten, den Monitoring-Plan und die Schulungen.

Schwache Antwort: „Wir behandeln sicherheitshalber jeden Kunden und jedes Produkt gleich.“ Nachfrage: „Die Firma bringt im nächsten Quartal ein Krypto-Produkt heraus.“ Sag, wie sich die Analyse vor dem Start ändert.

Wie führst du KYC und die Sorgfaltspflichten für einen neuen Firmenkunden durch, einschließlich seiner Eigentümer?

Worauf sie achten: die Schritte der Kundenannahme und die Idee des wirtschaftlich Berechtigten.

Kurze Antwort: „Die Sorgfaltspflichten heißen, dass ich die Firma aus amtlichen Registern identifiziere, verstehe, wer sie besitzt und kontrolliert, bis zu den Menschen, denen sie am Ende zugutekommt, den wirtschaftlich Berechtigten, und sie überprüfe. Ich lerne, was der Kunde tut und warum er das Konto will, damit sich spätere Zahlungen daran messen lassen, und ich gebe dem Kunden eine Risikoeinstufung.“

Die ausführliche Antwort: Verschachtelte Eigentümerstrukturen über mehrere Firmen oder Länder sind ein Grund, mehr zu fragen, kein Grund, bei der ersten Ebene aufzuhören. Register der wirtschaftlich Berechtigten helfen, sind aber eine Quelle zum Prüfen, kein Beweis. KYC endet nicht bei der Kundenannahme: Die Akte wird in einem Rhythmus überprüft, den die Risikoeinstufung vorgibt, und immer dann, wenn sich etwas ändert.

Schwache Antwort: „Sobald wir eine Kopie des Passes des Geschäftsführers haben, ist KYC erledigt.“ Nachfrage: „Der Eigentümer ist ein Trust in einem anderen Land.“ Erkläre, wonach du fragen würdest.

Wann wendest du verstärkte Sorgfaltspflichten an, zum Beispiel bei einer politisch exponierten Person?

Worauf sie achten: dass du die Auslöser kennst und weißt, was „mehr“ wirklich heißt.

Kurze Antwort: „Verstärkte Sorgfaltspflichten gelten, wenn das Risiko höher ist: bei einer politisch exponierten Person, die ein wichtiges öffentliches Amt hat oder hatte, oder bei ihrer Familie und ihr nahestehenden Personen; bei Kunden aus Ländern mit hohem Risiko; bei ungewöhnlichen Strukturen. Das heißt: Zustimmung der Geschäftsleitung, Belege, woher Gelder und Vermögen stammen, und engeres Monitoring.“

Die ausführliche Antwort: Eine politisch exponierte Person ist keine Verdächtige; der Status verlangt mehr Sorgfalt, weil ein öffentliches Amt Gelegenheiten zur Bestechung bringt. Frag nach Dokumenten, die zur Geschichte passen, etwa einem Kaufvertrag oder Steuerunterlagen, und halte fest, warum du sie akzeptiert hast. Halte den Rhythmus der Überprüfung kürzer und prüf von Zeit zu Zeit negative Presseberichte.

Schwache Antwort: „Wir lehnen alle politisch exponierten Personen ab.“ Nachfrage: „Ein Vorstandsmitglied einer staatlichen Firma will ein privates Konto.“ Geh deine Schritte durch.

Wie funktioniert Sanktionsscreening, und was tust du mit einem möglichen Treffer?

Worauf sie achten: eine klare Methode für Treffer und der Unterschied zwischen einem ähnlichen Namen und einem echten Treffer.

Kurze Antwort: „Sanktionsscreening gleicht Kunden, ihre Eigentümer und Zahlungen mit den amtlichen Listen ab, die für die Firma gelten. Bei einem möglichen Treffer vergleiche ich weitere Daten, etwa Geburtsdatum, Staatsangehörigkeit und Adresse. Ist es ein echter Treffer, friere ich ein oder stoppe, was die Regeln verlangen, melde es der Behörde und warne den Kunden nicht; ist er falsch, halte ich fest, warum.“

Die ausführliche Antwort: Die Listen kommen von den Vereinten Nationen, der EU, nationalen Behörden und, bei Zahlungen in Dollar, von US-Behörden, und sie ändern sich oft, also müssen die Listen im System aktuell sein. Auch Eigentümer zählen: Eine Firma, die einer gelisteten Person gehört oder von ihr kontrolliert wird, kann erfasst sein. Die Einstellungen für unscharfe Treffer entscheiden, wie viele Fehlalarme das Team sieht, und Änderungen daran müssen getestet und genehmigt werden.

Schwache Antwort: „Das System entscheidet; wir geben nur die Zahlung frei.“ Nachfrage: „Der Name stimmt, aber das Geburtsdatum fehlt.“ Sag, wonach du fragen würdest.

Monitoring, Meldungen und Aufzeichnungen

Wie würdest du das Transaktionsmonitoring einstellen, damit es echte Risiken findet, ohne das Team mit Alarmen zu überfluten?

Worauf sie achten: dass du Monitoring als gemessenes System siehst, nicht als Blackbox.

Kurze Antwort: „Transaktionsmonitoring nutzt Regeln und Szenarien, um Zahlungen zu markieren, die nicht zum Profil eines Kunden passen. Um es einzustellen, beginne ich bei den Risiken aus der Risikoanalyse, schaue, welche Regeln nützliche Fälle liefern und welche nur Rauschen, und ändere Schwellenwerte mit Tests an vergangenen Daten. Jede Änderung wird genehmigt und festgehalten, und ich prüfe, dass nichts Wichtiges mehr durchrutscht.“

Die ausführliche Antwort: Die Abdeckung zählt so viel wie das Rauschen: Jedes Hauptrisiko sollte ein Szenario haben. Kunden in Segmente zu teilen, etwa Privat- und Firmenkunden, macht Schwellenwerte fairer. Alarme brauchen klare Schritte und Fristen, und eine Stichprobe geschlossener Alarme sollte auf Qualität geprüft werden.

Schwache Antwort: „Wir heben jeden Schwellenwert an, bis der Rückstau weg ist.“ Nachfrage: „Die Datenlieferung hat drei Monate lang eine Zahlungsart ausgelassen.“ Erkläre, wie du findest, was durchgerutscht ist.

Eine Zahlung sieht verdächtig aus. Führ uns durch die Schritte bis zur Verdachtsmeldung.

Worauf sie achten: die Pflicht zur Meldung, der Zeitpunkt und das Verbot, den Kunden zu warnen.

Kurze Antwort: „Ich sammle die Fakten: das Profil des Kunden, die Zahlung, frühere Aktivitäten und öffentliche Quellen. Hält die Erklärung nicht, geht der Fall an den Geldwäschebeauftragten der Firma, der über eine Verdachtsmeldung an die zentrale Meldestelle entscheidet, die Financial Intelligence Unit, in Österreich die Geldwäschemeldestelle, in der Schweiz die MROS. Der Kunde erfährt nichts, die Akte hält die Begründung fest, und die Geschäftsbeziehung wird überprüft.“

Die ausführliche Antwort: Maßstab ist der Verdacht, nicht der Beweis: Ein Compliance Officer ermittelt keine Straftaten. Manche Länder verlangen, dass die Zahlung angehalten wird, bis die Behörde antwortet. Entscheidungen, nicht zu melden, brauchen ihre Gründe genauso sorgfältig festgehalten wie Entscheidungen, zu melden.

Schwache Antwort: „Ich würde zuerst den Kunden bitten, die Zahlung zu erklären, und dann entscheiden.“ Nachfrage: „Der Kundenbetreuer sagt, der Kunde sei wichtig.“ Erkläre, warum das die Entscheidung nicht ändern darf.

Wie planst du Compliance-Monitoring und Tests für ein Jahr, und wie führst du Aufzeichnungen, denen eine Aufsicht folgen kann?

Worauf sie achten: dass Kontrollen getestet werden und Entscheidungen nachvollziehbar sind.

Kurze Antwort: „Der Monitoring-Plan folgt der Risikoanalyse: Die höchsten Risiken werden jedes Jahr getestet, andere im Wechsel. Jeder Test hat eine Methode, eine Stichprobe, ein Ergebnis und Maßnahmen mit Verantwortlichen und Terminen. Die Aufzeichnungen zeigen, was entschieden wurde, von wem und warum, damit eine Aufsicht oder ein Prüfer es nachvollziehen kann, ohne mich zu fragen.“

Die ausführliche Antwort: Misch Aktenprüfungen am Schreibtisch mit Tests der Kontrollen selbst, etwa ob das Screening einen bekannten Testnamen gefunden hat. Verfolge die Maßnahmen, bis sie erledigt sind, und melde überfällige nach oben. Bewahre Aufzeichnungen so lange auf, wie das Gesetz es verlangt, und geh mit den Personendaten darin sorgfältig nach den Regeln zum Datenschutz um.

Schwache Antwort: „Wir testen, was das Geschäft uns ansehen lassen will.“ Nachfrage: „Ein externer Dienstleister erledigt einen Teil der KYC-Prüfungen.“ Sag, wie der Plan die Auslagerung abdeckt.

Richtlinien, Interessenkonflikte, Korruption und Untersuchungen

Wie schreibst du eine Richtlinie, der die Leute wirklich folgen, und wie führst du die Schulung dazu?

Worauf sie achten: dass du für den Leser schreibst und misst, ob es gewirkt hat.

Kurze Antwort: „Eine Richtlinie sagt, wofür die Regel da ist, was die Leute tun müssen und wen sie fragen, in einfachen Worten und so kurz wie möglich. Ich teste sie mit den Leuten, die sie nutzen, schule sie dann mit Fällen aus ihrer eigenen Arbeit und prüfe später, ob sich das Verhalten geändert hat, etwa an Erklärungen oder Testergebnissen.“

Die ausführliche Antwort: Halte Richtlinie, Verfahrensanweisung und Leitfaden auseinander: Die Richtlinie ändert sich selten, die Verfahrensanweisung öfter. Schulungen sollten für Rollen mit höherem Risiko kürzer und gezielter sein, und eine abgeschlossene Schulung allein beweist kein Verständnis.

Schwache Antwort: „Wir schicken die Richtlinie per E-Mail und lassen bestätigen, dass sie gelesen wurde.“ Nachfrage: „Alle haben die Schulung abgeschlossen, aber derselbe Fehler passiert immer wieder.“ Sag, was du ändern würdest.

Ein Beschäftigter meldet einen Interessenkonflikt zu spät. Wie gehst du damit um?

Worauf sie achten: Fairness und eine Lösung für den Fall und für den Prozess.

Kurze Antwort: „Ein Interessenkonflikt liegt vor, wenn ein privates Interesse eine Entscheidung bei der Arbeit beeinflussen könnte. Ich finde heraus, welche Entscheidungen die Person getroffen hat, während der Konflikt bestand, ob die Firma oder Kunden geschädigt wurden und was sich jetzt ändern muss, etwa dass die Person aus einer Entscheidung herausgenommen wird. Dann frage ich, warum die Meldung zu spät kam, und behebe das.“

Die ausführliche Antwort: Spät ist besser als nie: Behandle eine ehrliche späte Meldung anders als einen verschwiegenen Konflikt. Halte den Konflikt, die Maßnahme und wer sie genehmigt hat fest. Ein Register der Interessenkonflikte, regelmäßig durchgesehen, hilft Führungskräften, Muster zu sehen.

Schwache Antwort: „Eine späte Meldung heißt immer ein Disziplinarverfahren.“ Nachfrage: „Die Person leitet einen Geschäftsbereich.“ Erkläre, wer entscheidet und wie du eskalierst.

Was braucht ein Programm gegen Korruption, und wie prüfst du Geschenke und Dritte?

Worauf sie achten: die Teile eines Programms und der Blick auf Vermittler und Agenten.

Kurze Antwort: „Eine klare Richtlinie gegen Bestechung, ein Register für Geschenke und Einladungen mit Grenzen, Sorgfaltsprüfungen bei Agenten, Beratern und anderen Dritten, die für die Firma handeln, Vertragsklauseln, Schulungen und ein Weg, Bedenken zu melden. Ich prüfe das Register gegen die Spesen und sehe mir Zahlungen an Dritte an, die für die geleistete Arbeit hoch wirken.“

Die ausführliche Antwort: Viele große Korruptionsfälle liefen über Dritte, also verdienen ihre Auswahl und Bezahlung die meiste Sorgfalt. Gesetze mit Wirkung im Ausland, etwa der US FCPA oder der UK Bribery Act, können für Firmen außerhalb dieser Länder gelten. Das Vorbild der Führung zählt: Regeln, die Führungskräfte brechen, sind keine Regeln.

Schwache Antwort: „Kleine Geschenke sind in unserem Markt normal, also halten wir sie nicht fest.“ Nachfrage: „Ein Vertriebsagent verlangt eine Erfolgsprämie, doppelt so hoch wie üblich.“ Sag, was du tun würdest.

Wie würdest du ein Hinweisgebersystem aufbauen und die Menschen schützen, die es nutzen?

Worauf sie achten: Vertrauen, Vertraulichkeit und konsequentes Nachverfolgen.

Kurze Antwort: „Ein Hinweisgebersystem braucht einen Meldeweg, auch anonym, wo das Gesetz es erlaubt, eine Person, die die Meldungen unabhängig bearbeitet, feste Fristen für die Eingangsbestätigung und die Rückmeldung und strengen Schutz vor Benachteiligung. Ich erkläre den Beschäftigten, wie es funktioniert, und berichte dem Vorstand Zahlen und Themen ohne Namen.“

Die ausführliche Antwort: In der EU setzt die Whistleblower-Richtlinie, umgesetzt in das Recht jedes EU-Landes, Mindeststandards für viele Arbeitgeber; andere Länder haben eigene Regeln. Einem Meldeweg wird nur vertraut, wenn Meldungen zu sichtbaren Folgen führen und niemand, der in gutem Glauben meldet, darunter leidet.

Schwache Antwort: „Meldungen gehen an die direkte Führungskraft der meldenden Person.“ Nachfrage: „Eine Meldung nennt ein Mitglied des Vorstands.“ Erkläre, wer sie bearbeitet.

Wie führst du eine interne Untersuchung fair?

Worauf sie achten: ein Plan, Beweise, Fairness gegenüber der betroffenen Person und die richtigen Leute an Bord.

Kurze Antwort: „Ich lege den Umfang fest und wer beteiligt ist, oft mit der Rechtsabteilung und HR, sichere die Beweise, bevor jemand gewarnt wird, befrage Zeugen und dann die betroffene Person, die zu jedem Punkt Stellung nehmen kann, und schreibe einen Bericht, der Fakten von Schlussfolgerungen trennt. Personendaten werden nach den Regeln zum Datenschutz behandelt, und der Betriebsrat oder ähnliche Gremien werden beteiligt, wo das Gesetz es verlangt.“

Die ausführliche Antwort: Entscheide früh, ob externe Anwälte die Untersuchung leiten, damit der Schutz der anwaltlichen Vertraulichkeit erhalten bleibt, wo es ihn gibt. Eine Untersuchung kann auch eine Lücke in den Kontrollen zeigen; die Lehre daraus geht in den Monitoring-Plan.

Schwache Antwort: „Ich würde den Beschäftigten sofort zur Rede stellen, um seine Reaktion zu sehen.“ Nachfrage: „Die Beweise sind auf dem privaten Handy der Person.“ Sprich darüber, was du darfst und was nicht, und wen du fragst.

Governance, neue Regeln und der Vorstand

Wie passt Compliance in das Modell der drei Verteidigungslinien, neben das Geschäft, das Risikomanagement und die Interne Revision?

Worauf sie achten: klare Rollen und Unabhängigkeit.

Kurze Antwort: „Im Modell der drei Linien trägt das Geschäft seine Risiken und Kontrollen, Compliance und Risikomanagement setzen als zweite Linie Standards und prüfen sie, und die Interne Revision gibt als dritte Linie unabhängige Sicherheit. Compliance muss nah genug sein, um zu beraten, und unabhängig genug, um Nein zu sagen, mit direktem Zugang zum Vorstand.“

Die ausführliche Antwort: Überschneidungen erzeugen Reibung: Vereinbare mit dem Risikomanagement, wem welche Risikoarten gehören, und sorg für eine gemeinsame Sicht auf die Feststellungen. Compliance sollte keine Kontrollen ausführen, die sie später testet, sonst prüft sie ihre eigene Arbeit.

Schwache Antwort: „Compliance macht die KYC-Prüfungen für das Geschäft, damit das Geschäft es nicht muss.“ Nachfrage: „Wer ist schuld, wenn eine Prüfung versagt?“ Antworte mit den drei Linien.

Eine neue Regel kommt. Wie steuerst du die Umsetzung vom ersten Entwurf bis zum Start?

Worauf sie achten: eine Methode, Verantwortliche und ein Termin, der hält.

Kurze Antwort: „Die Umsetzung beginnt, wenn ein Entwurf veröffentlicht wird: Ich lese, was sich ändert, bewerte die Lücke zu den heutigen Prozessen, vereinbare Verantwortliche im Geschäft, in der IT und in der Rechtsabteilung, plane die Arbeit vom Termin aus rückwärts und verfolge sie. Nach dem Start teste ich, ob die neuen Kontrollen wirken, und passe Richtlinien und Schulungen an.“

Die ausführliche Antwort: Ein Register kommender Regeln, aus den Websites der Aufsicht, von Branchenverbänden und aus den Updates von Anwälten, sorgt dafür, dass nichts zu spät ankommt. In der EU sind das neue Regelwerk gegen Geldwäsche und die AMLA, die neue Behörde der EU, eine solche Änderung; anderswo ist es ein neues Rundschreiben der Aufsicht. Berichte der Geschäftsleitung über den Fortschritt, solange noch Zeit zum Handeln ist.

Schwache Antwort: „Die Rechtsabteilung sagt uns, wenn wir etwas tun müssen.“ Nachfrage: „Die IT kann vor der Frist nicht liefern.“ Sag, welche Übergangskontrolle du einführen würdest.

Wie berichtest du als Head of Compliance an den Vorstand, und wie baust du eine Compliance-Kultur auf?

Worauf sie achten: dass du die Funktion führen und Einfluss nehmen kannst, ohne das Geschäft zu besitzen.

Kurze Antwort: „Der Bericht an den Vorstand zeigt die Hauptrisiken, den Trend, überfällige Maßnahmen, Verstöße und was ich vom Vorstand brauche, auf wenigen Seiten. Kultur zeigt sich, wenn Menschen Probleme früh ansprechen: Ich baue sie auf, indem ich dem Geschäft nütze, durch Führungskräfte, die die Regeln vorleben, und indem ich ehrliche Fehler anders behandle als verschwiegene.“

Die ausführliche Antwort: Als Compliance Manager und Head of Compliance wird die Arbeit zum Plan für die ganze Funktion, zum Budget und zum Team, zur Beziehung zur Aufsicht und zu Prüfungen der Aufsicht. Als Senior Compliance Officer oder AML Officer bereitest du vieles davon vor; der Head unterschreibt. An vielen Orten stehen der Head of Compliance und der Geldwäschebeauftragte persönlich gegenüber der Aufsicht in der Verantwortung.

Schwache Antwort: „Ich stelle jede Feststellung im Detail vor, damit der Vorstand sieht, wie viel wir tun.“ Nachfrage: „Der Vorstand fragt, warum dieselbe Feststellung im dritten Jahr offen ist.“ Erkläre, was du den Vorstand entscheiden lassen würdest.

Dein Lebenslauf für diese Fragen

Jede Stelle in deinem Lebenslauf lädt zu den Fragen oben ein: welche Risiken, welche Akten, welche Regeln, was du entschieden hast und was danach passiert ist. Gib diesen Geschichten je eine Zeile, so geschrieben, dass ein Head of Compliance danach fragen will:

Bewerte deinen Lebenslauf kostenlos an einem Job in der Compliance, den du willst; den Bereich, den die Bewertung als dünn erkennt, übst du zuerst, mit einem echten Fall, erzählt ohne Namen.