Evidenzbasierte Compliance: Kontrollen, die eine Spur hinterlassen
In jeder Prüfung, jedem Review und jeder Due Diligence fällt irgendwann dieselbe Frage: Zeigen Sie, dass diese Kontrolle im März funktioniert hat. Eine Richtlinie beantwortet eine andere Frage. Dieser Text handelt davon, Kontrollen so zu gestalten, dass der Nachweis existiert, bevor jemand fragt.
Sechzig Sekunden, die das Gespräch prägen
Stellen Sie sich einen Termin Ende August vor. Die Anwältin des Investors teilt ihren Bildschirm, öffnet Ihre AML-Richtlinie und sagt: „Auf Seite 12 steht, dass jeder neue Geschäftspartner geprüft wird. Zeigen Sie mir den Prüfvermerk für einen im März aufgenommenen Partner.” Die nächste Minute bestimmt den Rest des Reviews.
Ein Nachweis hat eine Anatomie: wer gehandelt hat, was geprüft wurde, wann, auf welcher Grundlage (welche Liste, welche Version, welcher Schwellenwert) und wo der Eintrag liegt. Ein drei Wochen später zusammengebauter Screenshot hält den wenigsten dieser Elemente stand.
KSeF als Entwurfsmuster
Polen betreibt ein lebendes Beispiel einer Pflicht, die ihre Nachweise selbst erzeugt. Das nationale E-Rechnungssystem KSeF ist seit dem 1. Februar 2026 für Steuerpflichtige mit Bruttoumsätzen über 200 Mio. Złoty im Jahr 2024 verpflichtend und seit dem 1. April 2026 für alle übrigen; Grundlage ist das Gesetz vom 5. August 2025 (Gesetzblatt 2025, Pos. 1203). Bis Ende 2026 gelten Übergangserleichterungen, unter anderem für Rechnungen aus Registrierkassen und vereinfachte Rechnungen bei Umsätzen bis 10.000 Złoty monatlich.
Für Compliance-Verantwortliche zählt die Mechanik mehr als der Steueraspekt: Die Rechnung läuft beim Ausstellen durch das staatliche System, der Transaktionsnachweis entsteht also in dem Moment, in dem die Arbeit passiert. Niemand rekonstruiert im April die Märzrechnungen. Dieselbe Logik lässt sich auf eigene Kontrollen übertragen: Der Eintrag soll als Nebenprodukt der Arbeit entstehen, erzeugt vom System, in dem gearbeitet wird.
Der Drei-Fragen-Test
Nehmen Sie eine beliebige Kontrolle aus Ihrem Register und stellen Sie drei Fragen. Erstens: Wenn sie im letzten Monat gegriffen hat, wo liegt der Eintrag? Zweitens: Zeigt der Eintrag, wer entschieden hat, was geprüft wurde und auf welcher Grundlage? Drittens: Können Sie ihn binnen einer Stunde vorlegen, ohne die Person zu fragen, die die Arbeit gemacht hat? Jedes „Nein” markiert eine Kontrolle, die Sie in einem Review kaum verteidigen können.
Der Test verändert die Vorbereitung auf Reviews und Due Diligence. Statt Erzählungen für den Datenraum zu schreiben, indexieren Sie vorhandene Einträge: Kontrolle, Ablageort, Verantwortlicher, Zugriffszeit. Lücken zeigen sich Monate früher, solange sie sich noch schließen lassen.
Was wir jetzt empfehlen
Für die nächsten zwei Wochen:
- Wählen Sie fünf Kontrollen aus Ihrem Register, mit denen ein Prüfer beginnen würde, und lassen Sie jede durch den Drei-Fragen-Test laufen.
- Verlagern Sie bei durchgefallenen Kontrollen die Aufzeichnung in das Werkzeug, in dem gearbeitet wird: Ticketfelder, Workflow-Protokolle, Systemberichte mit „wer, was, wann, auf welcher Grundlage”.
- Vereinbaren Sie im Team eine Regel: Ein Review sammelt vorhandene Einträge, niemand rekonstruiert Nachweise im Nachhinein.
- Wenn KSeF Ihr Unternehmen erfasst, beschreiben Sie die Einführung als internes Fallbeispiel und benennen Sie zwei weitere Pflichten, bei denen Nachweise genauso systemisch entstehen können.
- Legen Sie einen Nachweis-Index für das nächste Review oder die nächste Due Diligence an: Kontrolle, Ablageort, Verantwortlicher, Vorlagezeit.
Quellen: ksef.podatki.gov.pl: Rechtsgrundlagen und Fristen