KYB-Tests sind die Arbeit, mit der man sicherstellt, dass ein Ablauf zur Unternehmensprüfung korrekt funktioniert, bevor ihm ein echter Antragsteller begegnet. KYB steht für Know Your Business, und der Name benennt genau den Unterschied, auf den es ankommt: Geprüft wird eine Organisation und keine Person, und eine Organisation hat Schichten – Eigentümer, Kontrollpersonen, Eintragungen, Dokumente –, mit denen eine reine Identitätsprüfung nie umgehen muss.
Dieser Artikel legt dar, was ein KYB-Ablauf tatsächlich prüft, warum die Prüfung eines Unternehmens schwieriger ist als die einer Person, wie sich Ablehnung und Durchsicht verhalten sollten und wie man das Ganze testet, ohne die Kontrollen abzuschwächen, die man gerade prüft.
Was prüft ein KYB-Ablauf tatsächlich?
Er prüft, dass die Organisation real ist, dass sie das ist, was sie zu sein behauptet, und dass die Menschen dahinter die sind, die sie zu sein vorgeben. Eine Identitätsprüfung beantwortet die Frage, ob diese Person die ist, die sie zu sein vorgibt; eine Unternehmensprüfung beantwortet dieselbe Frage für eine Rechtsperson und fügt eine zweite Frage nach den Menschen hinzu, die sie kontrollieren.
Ein typischer Ablauf sammelt deshalb mehrere Arten von Nachweisen, wobei die konkreten Anforderungen von der Jurisdiktion und von der Aufsicht abhängen, der das anbahnende Unternehmen unterliegt. Grob gefasst:
- Existenz – der Nachweis, dass die Rechtsperson eingetragen ist, entnommen dem Register ihres Gründungslandes.
- Identifikation – die Registernummer und jede Steuer- oder Umsatzsteuernummer, die die Rechtsperson führt.
- Standort – der Nachweis der eingetragenen Adresse und mitunter auch einer Betriebsadresse.
- Eigentum und Kontrolle – die Personen, die die Rechtsperson letztlich besitzen oder kontrollieren.
- Tätigkeit – was das Unternehmen tatsächlich tut und welche Zulassung oder Genehmigung diese Tätigkeit verlangt.
- Vertretung – die Bestätigung, dass die einreichende Person berechtigt ist, für die Rechtsperson zu handeln.
Nichts davon ist eine Formalie, und nichts davon lässt sich aus einem anderen Punkt ableiten. Ein eingetragenes Unternehmen kann undurchsichtige Eigentumsverhältnisse haben, eine Genehmigung kann vorliegen und abgelaufen sein, und die Person, die das Formular ausfüllt, ist häufig kein Geschäftsführer.
Warum ist die Prüfung eines Unternehmens schwieriger als die einer Person?
Aus drei strukturellen Gründen, die alle als Fehler in Tests sichtbar werden.
Der erste ist die Schichtung. Eine Person ist ein Subjekt mit einer Identität. Ein Unternehmen kann einer anderen Gesellschaft gehören, die einem Trust gehört, der in einem dritten Land verwaltet wird. Der Ablauf muss diese Kette weit genug verfolgen, um die Menschen an ihrem Ende zu identifizieren, und wie weit genug ist eine Einschätzung und keine feste Zahl von Schritten.
Der zweite ist die Verteilung der Nachweise. Identitätsdokumente kommen von einer Stelle in einem Land. Unternehmensnachweise kommen von einem Register hier, einer Steuerverwaltung dort und einer Bank anderswo, in mehreren Sprachen, mit unterschiedlichen Gültigkeitsdauern und unterschiedlicher öffentlicher Zugänglichkeit.
Der dritte ist, dass die Prüfung kein einzelnes Ereignis ist. Eigentumsverhältnisse ändern sich, Adressen ändern sich, Genehmigungen laufen ab, Rechtspersonen werden umbenannt oder umstrukturiert. Ein Unternehmen, das in einem Jahr die Prüfung bestanden hat, kann im nächsten ein wesentlich anderes Bild abgeben.
Was muss der Antragsteller einreichen?
Das hängt von der Jurisdiktion und vom Risikoprofil ab, das die prüfende Institution anwendet, aber eine repräsentative Anforderungsliste sieht so aus.
| Anforderung | Was sie belegt | Hinweise für Tester |
|---|---|---|
| Gründungsurkunde oder Entsprechung | Dass die Rechtsperson existiert und Name und Nummer wie behauptet lauten | Häufig zusammen mit einem aktuellen Registerauszug |
| Nachweis der Steuer- oder Umsatzsteuerregistrierung | Die steuerliche Identität der Rechtsperson | Muss nicht für jedes legitime Unternehmen existieren |
| Nachweis der eingetragenen Adresse | Wo die Rechtsperson amtlich sitzt | Je nach Land eine Rechnung oder ein Registerauszug |
| Angaben zu Eigentum oder Kontrolle | Wer die Rechtsperson letztlich besitzt oder kontrolliert | Der am schwierigsten zu modellierende und zu testende Teil |
| Identitätsdokumente der Kontrollpersonen | Dass die Personen real sind | Löst eine eigene Personenprüfung aus |
| Zulassung oder Genehmigung | Dass eine regulierte Tätigkeit erlaubt ist | Fehlt bei den meisten unregulierten Unternehmen |
Die entscheidende technische Beobachtung steht in der letzten Spalte der mittleren Zeilen: Mehrere dieser Punkte sind auf eine Weise optional, die legitim ist und nicht unvollständig. Ein Unternehmen ohne Umsatzsteuerregistrierung ist kein mangelhafter Antragsteller, und ein Ablauf, der das Fehlen als Scheitern behandelt, weist einen großen Teil des realen Marktes ab.
Wie sollten Ablehnung und Durchsicht sich verhalten?
Als gewöhnliche, erwartbare Zustände und nicht als Endfehler. Ein Prüfablauf, der nur in einer Genehmigung oder in einer Sackgasse enden kann, ist ein Ablauf, der von den Menschen, die ihn betreiben, umgangen wird, und eine umgangene Kontrolle ist eine verlorene Kontrolle.
Entwerfen Sie die Ergebnisse getrennt. Eine Ablehnung aus dokumentierten Gründen – etwa ein Dokument, das nicht zum Register passt – ist überprüfbar und anfechtbar. Eine Bitte um weitere Informationen ist ein fortsetzbarer Zustand, der alles bereits Eingereichte erhält. Eine manuelle Prüfwarteschlange ist ein legitimes Ergebnis und kein Versagen der Automatisierung. Und jede Ablehnung sollte einen so konkreten Grund tragen, dass er handhabbar ist, denn eine allgemeine Meldung über eine gescheiterte Prüfung gibt dem Antragsteller nichts zu korrigieren und dem Support nichts zu erklären.
Zwei Eigenschaften machen diese Zustände von der Theorie zu einem brauchbaren Ablauf. Ablehnungsgründe sollten ein kontrolliertes Vokabular bilden, damit sie gezählt, weitergeleitet und einheitlich beantwortet werden können. Und ein abgelehnter Antrag sollte fortsetzbar sein: Der Antragsteller korrigiert ein Dokument und nicht die gesamte Einreichung.
Was nicht geschehen darf, ist eine Testabkürzung, die die Kontrollen abschaltet. Sanktions-, Eigentums- oder Dokumentenprüfungen abzuschalten, damit ein Test durchläuft, erzeugt ein System, dessen Ausfälle unsichtbar bleiben, bis sie teuer werden.
Für Entwickler: Zustände, Nachweise und Aufbewahrung
Modellieren Sie den Ablauf als ausdrücklichen Zustandsautomaten – nicht begonnen, eingereicht, in Durchsicht, wartet auf Informationen, genehmigt, abgelehnt – mit festgehaltenen Übergängen, Zeitstempeln und der jeweils verantwortlichen Rolle. Ein Statusfeld als freie Zeichenkette driftet innerhalb eines Monats, und die Drift bleibt unsichtbar, bis jemand darüber berichten will.
Nachweise brauchen ein eigenes Modell. Jedes eingereichte Dokument sollte eine Art, eine ausgebende Stelle oder ein Land, das Ausstellungsdatum und, wo eins gilt, ein Ablaufdatum tragen, denn eine abgelaufene Genehmigung ist kein Nachweis, auch wenn die Datei noch da ist. Trennen Sie die Metadaten des Dokuments von der Datei selbst, damit Aufbewahrungsregeln auf die Metadaten wirken können, ohne den Inhalt anzutasten.
Wirtschaftlich Berechtigte sind der Teil, den Teams unterschätzen. Modellieren Sie sie als Graph – Rechtspersonen und Personen als Knoten, Eigentum und Kontrolle als Kanten –, auch wenn die Oberfläche nie mehr als zwei Ebenen zeigt. Zu wenigen Namensfeldern zusammengefaltet sind die Daten unbrauchbar, sobald eine Beteiligungsstruktur erneut geprüft werden muss.
Aufbewahrung und Isolation sind die weiteren unverhandelbaren Punkte. Prüfnachweise gehören zum sensibelsten Material, das ein Unternehmen hält; halten Sie Testumgebungen deshalb frei von echten Dokumenten und echten Antragstellern und halten Sie Produktionsdaten vollständig aus Testdatenbanken heraus. Die synthetischen Einheiten aus dem Unternehmensdaten-Generator sind die richtige Eingabe, um diesen Ablauf zu proben: Sie beschreiben kein reales Unternehmen, und der Artikel zu den Grenzen synthetischer Unternehmensdaten erklärt, warum das zählt, sobald ein Screenshot oder ein Export seine Umgebung verlässt. Die übrige Maschinerie synthetischer Geschäftsdatensätze behandelt der Beitrag zu den Testunternehmensdaten.
Nächste Schritte
Schreiben Sie jeden Zustand auf, in dem sich Ihr Prüfablauf befinden kann, und prüfen Sie dann, ob jeder in einer Testumgebung erreichbar ist und ob jeder eine handhabbare Meldung für den Antragsteller trägt. Jeder Zustand, der im Test nicht betreten werden kann, wird zuerst in der Produktion betreten. Proben Sie den Ablauf anschließend end to end mit einem erzeugten Unternehmen aus dem Unternehmensdaten-Generator und bestätigen Sie, dass kein Schritt verlangt, eine Kontrolle abzuschalten, um durchzukommen.