Antikorruptionsstandards und ISO 37001

1) Einführung: Warum ISO 37001

Die Korruptionsrisiken in iGaming/Fintech werden durch komplexe Lieferketten, Affiliates, Lizenzen und Marketing in verschiedenen Märkten verstärkt. ISO 37001 (Anti-Bribery Management System, ABMS) ist ein internationaler Standard, der ein Managementsystem zur Verhinderung, Erkennung und Reaktion auf Bestechung/Erpressung festlegt. Sein Ziel ist es, die Wahrscheinlichkeit von Vorfällen zu reduzieren und den Aufsichtsbehörden/Partnern zu beweisen, dass das Unternehmen die Risiken systematisch verwaltet.

2) Grundprinzipien von ABMS

Ton an der Spitze (Ton an der Spitze): Verwaltungsrat/Top-Management akzeptieren und zeigen null Toleranz.
Risikobasierter Ansatz: Identifizierung, Bewertung, Behandlungsplan, Priorisierung von Bereichen mit hoher Exposition.
Verhältnismäßige Maßnahmen: Die Kontrollen entsprechen dem Umfang und dem Risikoprofil.
Unabhängigkeit der Compliance-Funktion: Ausreichend Berechtigungen und Ressourcen.
Kontinuierliche Verbesserung: Überwachung, Audits, Korrekturmaßnahmen.

3) Umfang der Korruptionsrisiken

Direkte/indirekte Bestechung, kommerzielle Bestechung, „Schmierung“ (facilitation payments, wo verboten), Schmiergelder.
Geschenke, Gastfreundschaft, Sponsoring, Nächstenliebe - als verdeckte Bestechungskanäle.
Affiliates/Agenten/Vermittler, Lizenzberater, Marketingpartner.
Öffentlicher Sektor: Lizenzen, Inspektionen, Genehmigungen, staatliche Partnerschaften, staatliche Casinos/Lotterien.
Interessenkonflikte und Insidervereinbarungen.
Fusionen und Übernahmen (M&A) und Joint Ventures (JV).

4) Systemrahmen: Was ISO 37001 in der Praxis erfordert

1. Anti-Korruptions-Politik und Kodex + Politik der Geschenke/Interessenkonflikte/Spenden und Sponsoring.
2. Die Rolle des „Anti-Corruption Officer“ (ABCO) und die Verteilung der Verantwortung.
3. Risikobewertung nach Geschäftsbereichen, Geografien und Arten von Gegenparteien.
4. Due diligence Dritter (risikobasiert) mit Sanktions- und Gerichtsscreening.
5. Transaktionskontrolle und Überwachung der „roten Fahnen“.
6. Schulungen und Kommunikation für Mitarbeiter und Partner.
7. Whistleblower-Linien und Repressionsverbot (verbunden mit Whistleblower-Politik).
8. Ermittlungen, Disziplinarmaßnahmen und Remediation.
9. Interne Revision/Überwachung, Management-Revue und CAPA (Corrective and Preventive Actions).
10. Vorbereitung auf die Zertifizierung durch eine externe Stelle.

5) Risikomatrix (Beispiel)

6) Geschenke, Gastfreundschaft und Ausgabenpolitik (G&H)

Limits: Baräquivalente und „Natur“ (z.B. bis zu X EUR pro Person/Veranstaltung; Jahresgrenze).
Verbot von Bargeld, Geschenkkarten, Luxusreisen ohne dienstliche Begründung.
Koordination: alle, die die Schwelle überschritten haben - durch ABCO; obligatorische Eintragung in das Register.
Öffentlicher Sektor: strengere Regeln/vollständiges Verbot.
Transparenz: Geschenk- und Hospitality-Register stehen für interne Audits zur Verfügung.

7) Interessenkonflikte

Jährliche Erklärung bei allen Führungskräften/Einkauf/BD/Marketing/Rechtsanwälte.
Ereignisdeklaration bei Einstellung/Übergang in eine neue Rolle/Projektstart.
Maßnahmen: Widerruf, Rotation, Dienstverbot für „seine“ Lieferanten.

8) Due diligence Dritter (insbesondere Affiliates und Intermediäre)

Screening: Sanktionen, PEP, Rechtsfälle, negative Medien, Nutznießer.
Fragebogen und unterstützende Dokumente: Registrierung, Lizenzen, Steuerstatus, Anti-Korruptions-Politik, Code.
Vertragspflichten: Antikorruptionsklausel, Prüfungsrecht, Verbot von Untervermittlern ohne Vereinbarung, Bruch bei Verstoß.
Risikoabstufung: KYC-Level der Gegenparteien (niedrig/mittel/hoch), Häufigkeit der Revisionen (z.B. jährlich bei hohem Risiko).
Zahlungsmerkmale: Zahlungsverbot für Offshore/persönliche Konten, obligatorische Rechnung/Handlungen.

9) Rote Fahnen (Betriebsanzeigen)

„Berater“ ohne explizite Expertise, fordert Bargeld/hohe Provision, pocht auf „schnelle Ergebnisse“.
Anfragen, die Zahlung aufzuteilen oder Geld an Drittkonten zu senden.
Bestehen auf „no name“ Affiliates/Agenten und Berichterstattung.
Ausschluss des Wettbewerbs bei Ausschreibungen unter einem weit hergeholten Vorwand.
Aktivitäten in Ländern mit hoher Korruptionsexposition ohne verstärkte Kontrollen.

10) Ausbildung und Kommunikation

Jährliche Pflichtschulung + interaktive Fälle (G&H, Behörden, Affiliates, M&A).
Onboarding-Modul für neue Mitarbeiter und „erfrischende“ Tests für hochriskante Rollen.
Kommunikation von oben: regelmäßige E-Mails von SEO/Board, interne ABMS-Seite, FAQ.

11) Whistleblower Linien und Untersuchungen

Anonymer 24/7-Kanal, Repressionsverbot, SLA für Bestätigung und Antworten (siehe separate Whistleblower-Richtlinie).
Rechtliches Festhalten und Beweissicherung, unabhängiges Untersuchungsteam.
Disziplinarmaßnahmen bis hin zur Kündigung/Kündigung von Verträgen; in schweren Fällen - Appell an die Strafverfolgungsbehörden.

12) Überwachung, Prüfung und Berichterstattung

ABMS-KPIs: Trainingsabdeckung, Anzahl/Anteil geschlossener Fälle, Reaktionszeit, Anteil Dritter mit bestandener DD, Ergebnisse von G & H-Compliance-Tests.
Interne Audits zum Risikoplan (vierteljährlich/jährlich).
Management Review (Board): Mindestens einmal im Jahr - Überblick über Risiken, Vorfälle, CAPAs, Ressourcenentscheidungen.
Kontinuierliche Verbesserung: Anpassung der Grenzwerte, Aktualisierung der Risikomatrix, neue Kontrollen.

13) Integration mit iGaming/Fintech-Prozessen

Affiliates und Marketing: rigide Verifizierung, transparente Berichterstattung, Prüfung von Grids und Traffic-Quellen.
Lizenzierung und regulatorische Interaktionen: Sitzungsprotokoll, Vierte-Augen-Regel, Verbot von Geschenken an Beamte.
Zahlungspartner/PSP: Antikorruptionsklauseln in Verträgen, Prüfungsrecht, Verbot von Vermittlern ohne Vereinbarung.
Spieleanbieter/Studios: Belohnungskontrollen, transparente Rabatte/Rebuys, Ausschluss von „grauen“ Arrangements.
M & A/JV: Anti-Korruptions-Due-Diligence-Ziele, Integrationsplan für ABMS.

14) Implementierungs- und Zertifizierungsfahrplan (6-9 Monate)

Phase 0 - Diagnose (0-4 Wochen): Gap-Analyse vs. ISO 37001, Prozesslandkarte, Risikomatrix, Projektplan, ABCO-Zuordnung.
Phase 1 - Richtlinien und Kontrolldesign (1-2 Monate): Antikorruptionspolitik, G&H, Interessenkonflikte, Vertragsvorlagen, DD-Verfahren, Untersuchungen und Hinweisgeber.
Phase 2 - Implementierung und Schulung (2-4 Monate): Geschenkregister, Kontaktregister mit Regierungsbehörden, Start des DD-Prozesses, Schulung, KPI-Dashboard.
Phase 3 - Monitoring und Audit (4-6 Monate): Pilotprüfungen, Falltest, internes ABMS-Audit, CAPA.
Phase 4 - Zertifizierung (6-9 Monate): Pre-Audit, dann Stage 1/Stage 2 bei einer externen Zertifizierungsstelle; Ausstellung eines Zertifikats bei erfolgreichem Abschluss.
Danach - Wartung: jährliche aufsichtliche Prüfung, Überprüfung der Risiken und KPIs.

15) Kontrollmatrix (vereinfacht)

16) RACI durch ABMS

17) Musterklauseln (Fragmente)

Antikorruptionsklausel im Vertrag: "Die Parteien bestätigen die Einhaltung der geltenden Gesetze zur Bekämpfung von Bestechung... der Verstoß ist erheblich und berechtigt zur sofortigen Kündigung".
Geschenke und Gastfreundschaft: "Geschenke/Unterhaltung über die Grenzen hinaus oder jede Form der Barzahlung ist verboten. Ausnahmen bedürfen der vorherigen schriftlichen Vereinbarung mit ABCO".
Vermittler/Affiliates: "Es ist verboten, Untervermittler ohne schriftliche Zustimmung zu engagieren; Die Vertragspartei gewährt Zugang zu Dokumenten für Stichprobenprüfungen".
Berichte über Verstöße: „Das Unternehmen stellt vertrauliche Kanäle zur Verfügung und verbietet jegliche Repression gegen gutgläubige Whistleblower“.

18) Häufige Fehler und wie man sie vermeidet

„Politiker auf Papier“ ohne Register und Überwachung. Lösung: KPI-Dashboard, vierteljährliche Prüfungen.
Keine DD für Affiliates/Agenten. Lösung: Standardfragebögen, Sanktionsscreening, auditierbare Berichte.
Es gibt keinen einzigen ABMS-Besitzer. Lösung: Benennung von ABCO mit Mandat und Ressourcen.
Allgemeine „Null-Grenzen“ für Geschenke. Lösung: angemessene Grenzen + Ausnahmen durch den Ausschuss.
Ignoriere die „roten Fahnen“. Die Lösung: Alert-Automatisierung und SLA-Eskalation.

19) Artefaktpaket (im Repository aufbewahren)

ABMS-Politik, G & H-Politik, Interessenkonfliktpolitik.
Vorlagen für vertragliche Antikorruptionsklauseln.
Geschenk-/Hospitality-Register und Kontakte zu Regierungsbehörden.
Due Diligence Verfahren + Formulare und Checklisten.
Trainingsplan + Kursinhalte/Tests.
Untersuchungsverfahren + Runbook von Whistleblowern.
Auditplan, interne Auditberichte, CAPA.

Risikomatrix und Control Matrix (ABMS ↔ ISO 37001)

Ausgabe

ISO 37001 ist nicht nur ein Zertifikat, sondern ein nachhaltiger Managementkreislauf: Risiken → Richtlinien → Due Diligence → Schulung → Überwachung → Untersuchung → Verbesserung. Für ein iGaming/Fintech-Unternehmen diszipliniert es die Arbeit mit Affiliates, Lizenzierung und Marketing, reduziert die Wahrscheinlichkeit von Vorfällen und erhöht das Vertrauen von Aufsichtsbehörden und Partnern. Beginnen Sie mit der Risikobewertung und den zugrunde liegenden Richtlinien, gefolgt von der Implementierung von Registern und DDs, Schulungen und internen Audits. Gehen Sie nach dem „Einlauf“ der Prozesse zur Zertifizierung.