Unternehmensführung
Der Aufbau von Compliance Management Systemen
Ein Compliance Management System nach ISO 37301 schützt Unternehmen vor folgenschweren Gesetzesverstößen.
Zum Blog Wissen kompakt
Unternehmensführung
Ein Compliance Management System nach ISO 37301 schützt Unternehmen vor folgenschweren Gesetzesverstößen.
Zum Blog Wissen kompaktUm sicherzustellen, dass sie sich zu jedem Zeitpunkt regelkonform verhalten, brauchen Unternehmen ein Compliance Management System (CMS). Denn Gesetzesverstöße stellen nicht nur aus ethischen Gründen ein Problem dar. Sie können auch hohe Strafen nach sich ziehen. Zusätzlich droht je nach Art des Verstoßes ein folgenschwerer Imageschaden.
Wir haben uns mit Frank Machalz, Geschäftsführer der envigration GmbH und Spezialist für Compliance Management, darüber unterhalten,
Ein Compliance Management System bündelt alle Strukturen, Prozesse und Maßnahmen in einer Organisation, die dazu dienen, Regelkonformität sicherzustellen. Anders ausgedrückt schafft es die Voraussetzungen dafür, dass Organisationen nicht gegen rechtsverbindliche externe Regeln und interne Vorgaben verstoßen.
Der Umfang eines Compliance Managements wird laut Frank Machalz gerne unterschätzt: „Wenn Sie heute Geschäftsführer von Unternehmen fragen, was Sie unter Compliance Management verstehen, erhalten Sie häufig die Antwort: Kartellrecht, Wettbewerbsrecht und Geldwäscheprävention.“ Falsch sei das nicht, aber nur ein kleiner Teil des großen Ganzen.
Frank Machalz veranschaulicht die vielen Facetten von Compliance Management gerne am Beispiel eines Notstromaggregats. Während Arbeitsschützer dieses „mit der Risikobrille des Individualschutzes“ betrachten, sähen andere vor allem die damit verbundenen Umweltrisiken, steuerliche Aspekte oder Risiken in Verbindung mit Beschaffungsprozessen. Ein Compliance Management decke alle Risiken ab.
Das Abbild eines Steuerrades dient der Veranschaulichung für ein ganzheitliches, holistisches integriertes Managementsystem auf Basis des PDCA-Zyklus (äußerster Kreis), wie es idealerweise in jeder Organisation vorhanden sein sollte. So wie jedes Schiff nur ein Steuerrad hat, hat jede Organisation auch nur ein Managementsystem, mit dem es die unternehmerischen Risiken identifiziert und priorisiert sowie Maßnahmen zum Umgang mit den relevanten Risiken und zur Nutzung von Chancen ableitet.
Zentrum und Ausgangspunkt jedes Managementsystems ist das rechtlich verpflichtende Risikomanagement jeder Organisation (in der Abbildung innerer gelber Kreis). Dessen integraler Bestandteil ist wiederum das Nachhaltigkeitsmanagement (in der Abbildung orangefarbener Kreis) und die darin integrierten Naturgesetze sowie das Compliance Management (blauer Kreis) mit seinen segmentübergreifenden regulatorischen Aspekten (Legal Compliance). Das Compliance Management basiert auf den u. a. bereits durch den Gesetzgeber erfolgten Risikobewertungen, etwa im Bereich der Strafen und Bußgelder, und ist sowohl bei der Eintrittswahrscheinlichkeit, aber insbesondere bei der konkreten Schadenshöhe zu berücksichtigen. Mithin ist die Compliance-Risikoanalyse und Risikobewertung integraler Bestandteil des Risikomanagementsystems. Auch Nachhaltigkeit (ESG) wird stark durch regulatorische Rahmenbedingungen gelenkt und gesteuert. Seien es die im HGB verankerten Berichtspflichten für Nachhaltigkeitsberichte (nicht finanzielle Erklärung), die mit der Taxonomieverordnung kalibrierten Anforderungen an eine ökologisch nachhaltige Wirtschaftstätigkeit bis hin zum Thema strafbarer Kapitalanlagebetrug wegen fehlerhafter Angaben bei vermeintlich grünen / nachhaltigen Finanzprodukten. Alle drei bilden somit die Grundlage und Basis für die auf den äußeren Segmenten abgebildeten Risikofelder, die jeweils nur einzelne unternehmerische Risiken betrachten. Dabei ist die Abbildung nicht vollständig, sondern zeigt nur einige wesentliche Risikofelder.
Allen diesen „Subsystemen“ sind jedoch die gleichen Prozesse und Verfahren zur Ermittlung und zum Umgang mit Risiken und Chancen immanent und zugleich sind verschiedene Nachhaltigkeitsaspekte (u. a. verschiedene Ziele aus den 17 Zielen der Nachhaltigkeit der vereinten Nationen, z. B. Klimaschutz, 13. Ziel, nachhaltige Produktion und Konsumtion 12. Ziel)) enthalten. Außerdem gehören zu jedem dieser „Subsysteme“ auch die jeweils zu beachtenden regulatorischen und sonstigen Anforderungen. (z. B. Bundes-Immissionsschutzgesetz, Klimaschutzgesetz, Taxonomieverordnung, Kreislaufwirtschaftsgesetz, Arbeitsschutzgesetz, Datenschutzgrundverordnung etc.).
In unserem Info-Webinar erhalten Sie einen kompakten Überblick über die aktuellen Änderungen der Berichtsstandards durch die Omnibus-Initiative und erfahren, welche Auswirkungen diese auf Ihre künftige Berichtspflicht haben.
Zwingend vorgeschrieben ist ein Compliance Management System in Deutschland bislang nur für Unternehmen aus der Finanz- und Versicherungsbranche.
Frank Machalz hält es aber auch in kleineren Unternehmen für unverzichtbar. Schließlich hat ein CMS entscheidende Vorteile:
Dabei geht es auch ohne Zertifizierung, obwohl diese natürlich Vorteile mit sich bringt. Kleine Unternehmen mit geringen Ressourcen können auf die damit verbundenen Ausgaben erst einmal verzichten.
Astrid Meyer-Krumenacker ist Rechtsanwältin in München. Sie verfügt über langjährige Managementerfahrung in verschiedenen Funktionen, zum Beispiel als Abteilungsleiterin Recht und Versicherungen sowie Recht und Personal und als Chief Compliance Officer. Außerdem schreibt sie für einen süddeutschen Verlag zum Thema Lieferkettensorgfaltspflichtengesetz.
Als erfahrene Problemlöserin unterstützt Astrid Meyer-Krumenacker mittelständische Unternehmen dabei, durch die Einführung von Hinweisgebersystemen und Compliance-Management-Systemen sowie die Umsetzung der Anforderungen aus dem Hinweisgeberschutzgesetz und Lieferkettengesetz ihren unternehmerischen Erfolg zu sichern und Risiken zu minimieren.
"Ja, der stimmt. Oft kommt das Argument: „Für Compliance sind wir zu klein.“ Das sagt mir, dass sich die Verantwortlichen in dem Unternehmen nie Gedanken darüber gemacht haben, was Compliance bedeutet."
"Zunächst müssen sie abklären, welche Compliance-Risiken vorhanden sind. Manche Themen, zum Beispiel die Steuer-Compliance oder der Datenschutz, betreffen jedes Unternehmen. Zusätzlich existieren je nach Tätigkeit weitere Risiken, zum Beispiel im Bereich Arbeitssicherheit. Wenn ein Unternehmen international tätig ist, spielt die Zoll-Compliance eine Rolle. Solche Themen erfordern allerdings Fachkompetenz, die sich KMU im Regelfall von außen einkaufen.
Im nächsten Schritt geht es darum, Risiken einzuordnen und zu gewichten. Welche Risiken sind existenzbedrohend und welche kann ich vernachlässigen? Gibt es Themen, zum Beispiel das Kartellrecht, für die sich eine Schulung anbietet?"
"Es ist Teil der Lieferantenbewertung, ob ein Unternehmen ein Compliance Management System installiert, das Lieferkettengesetz umgesetzt hat usw. Wer da keine zufriedenstellenden Antworten geben kann, bekommt eine schlechte Bewertung. In der Automobilindustrie gibt es die A-, B- und C-Bewertung. Werden Mängel festgestellt, müssen Lieferanten diese beheben. Das betrifft inzwischen auch Compliance-Maßnahmen. Gelingt ihnen das nicht im festgesetzten Zeitraum, werden sie C-Lieferant und C-Lieferanten können nicht beauftragt werden."
"Einer muss die Verantwortung tragen. Diese muss schriftlich delegiert werden und die betreffende Person muss die notwendigen Fähigkeiten und das Budget haben, um die damit verbundenen Aufgaben zu erfüllen. Sonst verbleibt die Verantwortung bei der Geschäftsführung.
Außerdem ist Compliance kein Papiertiger. Es kommt nicht darauf an, was man im Ordner, im Schrank oder im PC abgelegt hat. Compliance muss in wichtige Unternehmensprozesse integriert und gelebt werden. Dafür ist es auch wichtig, dass die Mitarbeitenden wissen, was von ihnen erwartet wird und warum man etwas so und nicht anders macht.
Entscheidend ist : Es gibt kein Compliance Management von der Stange. Ein funktionierendes CMS ist immer maßgeschneidert für das jeweilige Unternehmen."
"Compliance heißt, ich befähige die Organisation und die Mitarbeitenden im Unternehmen dazu, die geltenden Gesetze und internen Richtlinien einzuhalten. Das müssen Unternehmen jeder Größe machen.
Ein Compliance Management System dient dazu, die Haftung des Unternehmensinhabers oder der angestellten Geschäftsführer:innen zu reduzieren. Denn die sind nach Legalitätsprinzip dafür verantwortlich, dass das Unternehmen so organisiert ist, dass alle Gesetze eingehalten werden. Geht etwas schief, haften sie mit ihrem Privatvermögen und im schlimmsten Fall mit ihrer Lebenszeit. Das wissen allerdings viele nicht."
"Das ist eine spannende Frage. Im neuen Unternehmensstrafrecht wird eine Formulierung enthalten sein, die aussagt, dass Unternehmen nach einem Gesetzesverstoß straffrei bleiben, wenn sie ein „effizientes und wirksames Compliance Management System“ installiert haben. Punkt. Das Gesetz führt nicht auf, was „wirksam“ und „effizient“ bedeuten. Ein Zertifikat könnte ein Hinweis sein, muss es aber nicht. Und natürlich kommt es auf die Qualität des Zertifikats an.
Für eine Zertifizierung nach ISO 37301 ist es aber ohnehin Voraussetzung, ein oder zwei Jahre ein Compliance Management System gelebt zu haben. Ich muss also erst einmal ein CMS installieren, bevor ich an eine Zertifizierung denke."
"Die ISO-Normen sind so formuliert, dass alle Organisationen, die unternehmerisch am Wirtschaftsleben teilnehmen, Compliance Management Systeme nach ISO-Norm umsetzen können, vom Gartenbauverein bis zum DAX-Konzern. Natürlich kann ein Unternehmen eine Abteilung einrichten oder eine Person für Compliance freistellen. Man kann die Aufgaben aber auch in einer Art Round-Table-Lösung auf mehrere Personen in Unternehmen verteilen. Oder es macht jemand nebenbei. Dann ist es aber wichtig, dass das Volumen der Aufgaben das zulässt und die Person die Möglichkeit hat, sich zu informieren."
Die internationale Norm ISO 37301 wurde im April 2021 veröffentlicht. Sie löste die ISO 19600 ab.
Inhaltlich sind beide Normen weitgehend identisch. Allerdings gibt es einige zentrale Unterschiede im Detail:
Wichtig: Frank Machalz betont die Vorteile integrierter Managementsysteme für Organisationen. Gemäß der Frage „Addierst du noch oder integrierst du schon?“ empfiehlt er Unternehmen, Synergieeffekte zu nutzen. So ließen sich die ISO 37301, die ISO 31000 und die ISO 26000 als äußerer Rahmen bereits vorhandener ISO-Managementsystemnormen einsetzen.
Compliance Management einführen – die ersten Schritte
Wo und wie also anfangen mit einem CMS nach ISO 37301?
Im Grunde gehen Unternehmen bei der Implementierung wie bei einem Risikomanagement vor. Zentral sind die folgenden Schritte:
Ein häufiger Fehler beim Aufbau eines Compliance Management Systems im Unternehmen besteht laut Frank Machalz in einer unvollständigen Compliance-Risikoanalyse. So bilde diese häufig sogar in einer Organisation vorhandene Managementsysteme wie ein Umweltmanagementsystem nicht ab. Vollständigkeit aber sei entscheidend für ein CMS, das seine Ziele erfüllt.
Im Compliance Management gibt es drei Arten von zentralen Akteuren:
Unternehmen können theoretisch auch externe Compliance Management Beauftragte bestellen. In der Praxis ist das aber meist wenig sinnvoll, denn Compliance Officer müssen ein Unternehmen gut kennen. Besser ist es, intern eine Person zu beauftragen, die die entsprechenden Voraussetzungen mitbringt und eine Compliance-Schulung absolviert.
Ob und in welchen Fällen eine Rechtspflicht zur Compliance besteht beziehungsweise sich herleiten lässt, ist unter Juristen umstritten. Einigkeit herrscht aber darüber, dass eine Compliance-Organisation eine essenzielle Rolle in Unternehmen verschiedener Größenordnungen spielt.
Dabei machen es neue Gesetzgebungen wie das Lieferkettengesetz noch wichtiger als früher, die Einhaltung von Gesetzen im gesamten Unternehmen sicherzustellen. Die ISO 37301 stellt den Rahmen dafür bereit und sie ermöglicht es Unternehmen durch ihre High Level Structure, von den Synergieeffekten eines integrierten Managementsystems zu profitieren.
Weil es in der Regel schon eine Reihe von Beauftragten für unterschiedliche Themenbereiche gebe, so Frank Machalz, existiere sogar bereits eine Compliance-Struktur, die sich durch einen Compliance Officer vervollständigen lasse. Unternehmen müssten also nicht bei null anfangen.
Berufliche Weiterbildung hat viele Gesichter und trägt maßgeblich zum Erfolg der Mitarbeitenden sowie des ganzen Unternehmens bei. In unserem Blog "Wissen kompakt" lesen Sie Fachbeiträge zu aktuellen Fragestellungen, die jetzt und in der Zukunft Ihre Arbeitswelt bestimmen.
Unser Blog richtet sich an Fach- und Führungskräfte jeden Alters und jeder Unternehmensgröße, an berufliche Einsteiger genauso wie an erfahrene Arbeitskräfte.
Unser Podcast ist die Antwort auf den Wunsch, unsere Inhalte in einem modernen Format zugänglich zu machen, das bequem nebenbei konsumiert werden kann.
