8 Tipps für den Aufbau eines effektiven Compliance-Managements

Und wie sollen diese Regelungen konkret ausgestaltet sein, damit die Mitarbeiter die regulatorischen Anforderungen auch tatsächlich beachten? Zusammen mit den Compliance-Experten Karin Pfäffle und Sören Meyer haben wir acht Tipps zum Aufbau eines effektiven Compliance-Managements zusammengestellt.

1. Identifikation von Risiken und gesetzlichen Vorgaben

   Im ersten Schritt müssen alle allgemeinen und branchen- oder unternehmensspezifischen Risikobereiche identifiziert werden, in denen sich das Unternehmen bewegt. Dazu gehört auch, die gesetzlichen Rahmenbedingungen und die hieraus resultierenden Prozessanforderungen zu ermitteln.

   Allgemeine Risiken können Arbeitnehmerregelungen, das Antidiskriminierungsgesetz, Korruptionsstraftaten, Datenschutz oder Steuerschutz sein. Unternehmensspezifische Risiken sind vor allem zu finden in kartellrechtlichen Anforderungen, Außenwirtschaftsregelungen, Umweltstandards, Lebensmittel- und Hygienevorschriften oder Vergabevorschriften.

2. Analyse des Ist-Zustandes

   Ein Compliance-Audit stellt den Ist-Zustand im Unternehmen fest und hält fest, welche Regelungen und Sicherstellungsmechanismen bereits vorhanden sind. Dies können beispielsweise Regelungen in Arbeitsverträgen, Dienstanweisungen, Betriebsvereinbarungen im Bereich Datenschutz oder im Hinblick auf Verhaltensregelungen zur Annahme von Geschenken sowie Unterschriftenrichtlinien sein. Die Compliance-Risiken müssen nach Schadenspotenzial und Eintrittswahrscheinlichkeit bewertet werden.

3. Formulierung von Compliance-Richtlinien und eines „code of conduct“

   Im dritten Schritt werden die Compliance-Standards definiert, angelehnt an die Vorgaben und Risiken des Unternehmens. Neue Regelwerke und Überwachungsmechanismen müssen formuliert, bewährte Regelungen einbezogen werden. Wichtig ist, vorhandene Fachabteilungen wie Personal oder Recht einzubinden. Auch der Betriebsrat darf nicht vergessen werden. Soweit bisherige Regelungen ersetzt werden sollen, ist deren arbeitsrechtliche Einordnung (Teil des Arbeitsvertrages, Dienstanweisung, Betriebsvereinbarung etc.) zu beachten.

   Für die Mitarbeiter ist wichtig, dass alle relevanten Vorgaben in verständlicher Form als Handlungsmaxime in einem Verhaltenskodex formuliert werden. Das „Wie wollen wir arbeiten?“ steht im Mittelpunkt dieses „code of conduct“.

4. Compliance-Organisation

   Da nicht alle theoretisch möglichen Kontrollmaßnahmen ergriffen werden müssen, sondern nur die, die nach dem Grundsatz der Verhältnismäßigkeit angemessen sind, bleibt es Sache der Unternehmensführung, darüber zu entscheiden, ob sie selbst die Regeltreue eines Unternehmens gewährleisten können oder ob sie hierzu eine Organisation schaffen wollen. Die Compliance-Organisation sollte direkt unter dem Management angesiedelt werden. Die Implementierung des Compliance-Managementsystems folgt dem „Top down“-Prinzip: Geschäftsführung und Vorgesetzte haben eine Vorbildfunktion, sie müssen die Werte vorleben. Es werden die Rollen und Verantwortlichkeiten sowie die Aufbau- und Ablauforganisation im Compliance-Managementsystem festgelegt.

5. Compliance-Manager benennen

   Will das Unternehmen keine eigene Compliance-Abteilung aufbauen, so reicht auch die Benennung eines Compliance-Verantwortlichen oder -Managers. Compliance-Manager entwickeln Verhaltenskodizes, Richtlinien und Trainingsmaßnahmen. Inhaltlich und organisatorisch ist die Aufgabe meist an die Rechtsabteilung, die interne Revision oder das Risikomanagement angelehnt. Der Compliance-Manager, häufig auch Compliance-Officer genannt, berichtet direkt an die Geschäftsleitung. Der Bedarf an Compliance-Spezialisten hat in den letzten Jahren stark zugenommen, bislang gibt es aber nur wenige spezifische Qualifizierungsmöglichkeiten.

6. Compliance-Kommunikation

   Eine entscheidende Bedeutung für ein erfolgreiches Compliance-Management hat die Kommunikation. Die Mitarbeiter müssen umfassend über die Compliance-Richtlinien und das Programm einschließlich der Verantwortlichkeiten informiert werden, damit sie die Regelungen einhalten und ihre Aufgaben erfüllen können. Regelmässige Schulungen stellen dies sicher.

   Den Mitarbeitern sollten insbesondere folgende Aspekte bekannt sein:

   • „code of conduct“ – wie wollen wir arbeiten?
   • Rechtliche Aspekte und Bestimmungen in Bezug auf den Wettbewerb
   • Vorbeugung gegen Bestechung und Korruption
   • Beschaffungsrichtlinien
   • Richtlinien zu Spenden und Sponsoring
   • Unterschriftenrichtlinien (wer hat welche Kompetenzen, wer darf bis zu welchem Betrag zeichnen, Vier-Augen-Prinzip)
   • IT-Sicherheit
   • Ombudsmannsystem/Hinweisgebersystem
7. Compliance-Monitoring und Controlling

   Wesentliche Punkte sind das Compliance-Monitoring und ein funktionierendes Hinweisgebersystem, für den Fall, dass Vorfälle und Verstöße gemeldet werden. Dazu gehört auch die Einrichtung einer Stelle, in der Mitarbeiter Verstöße gegen Richtlinien melden können, ohne Sanktionen befürchten zu müssen. Das kann beispielsweise eine anonym nutzbare Hotline sein, die auch Fragen zu Compliance-konformem Verhalten beantwortet. Letzteres kann auch der Compliance-Beauftragte übernehmen. Die Herausforderung für das Compliance-Controlling besteht zum einen darin, einen Steuerungsrahmen für die einzuhaltenden Regelungen aufzubauen. Das erfordert messbare Kriterien für die Compliance-relevanten Bereiche. Andererseits müssen Prozesse bereits mit Blick auf Compliance-Vorschriften entworfen werden. Zunehmend sind auch Controller verantwortlich für die Bereitstellung Compliance-relevanter Informationen. Dabei müssen sie diese Informationen nicht nur liefern, sondern auch interpretieren und Implikationen daraus ableiten können.

8. Compliance in der Unternehmenspraxis

   Compliance-Management bedeutet, Risiken im Unternehmen adäquat zu steuern. Wo das Compliance-Management angesiedelt wird, hängt mit Unternehmensgröße und -modell zusammen. Bei mittleren und kleineren Gesellschaften wird es häufig an die Rechtsabteilung angebunden, dort wird die Aufgabe des Compliance-Managers zumeist dem Chefsyndikus übertragen. Durch vielfache Berührungspunkte der Compliance zu den Aufgabenbereichen der Internen Revision wird das Compliance-Management auch teilweise als Bestandteil der Internen Revision organisiert. Als Modell ist auch ein interdisziplinärer Compliance-Lenkungskreis denkbar, der aus den Leitern der Unternehmensfunktionen Interne Revision, Rechtsabteilung, Unternehmenssicherheit und Personal besteht. Egal welches Modell ein Unternehmen für sich wählt, wichtig ist, dass klar abgegrenzte Zuständigkeiten und Verantwortungsbereiche für die operative Umsetzung sowie eine organisatorische Einheit zur Koordination der schwerpunktmäßigen Ausrichtung und Umsetzung des Compliance-Managements existieren.

Zu diesem Artikel erreichte uns folgender Kommentar:

"Punkt 8: "Compliance-Management bedeutet, Risiken im Unternehmen adäquat zu steuern." Diese Beschreiung triff wohl eher Risk-Management zu. Unter Compliance verstehe ich die Einhaltung von Gesetzen und Vorschriften, ethische Corectness und faires Verhalten in allen Geschäftsprozessen. Compliance-Management demnach die Umsetzung dieser Werte in der Unternehmensphilosophie und -praxis, unabhängig davon, ob ein Risiko besteht oder nicht. Compliance gibt es nicht als Teillösung bzw. ist nicht teilbar. "