Compliance

Reinhard Preusche, Karl Würz

• Verlag: Haufe
• Jahr: 2020
• Auflage: 3
• eBook-ISBN:
  9783648129838
• Thema: Betriebswirtschaft
• Thema: Finanzwesen

Compliance sichert die Einhaltung von Vorschriften und internen Regeln und dadurch auch den unternehmerischen Erfolg. Verstöße beschädigen das Image, verärgern Geschäftspartner und lösen Schadensersatzansprüche oder im schlimmsten Fall ein Gerichtsverfahren aus. Dass dabei die Vorsorge gar nicht so aufwändig ist, erfahren Sie hier.Inhalte: - Compliance: die wichtigsten Rechtsvorschriften- Persönliche Haftung: Was Unternehmern und Geschäftsführern bei Rechtsverstößen droht- Compliance-Management-System: Anforderungen und Herausforderungen- Die Aufgaben des Compliance-Beauftragten- Compliance Organisation: schlanker Aufbau auf Basis vorhandener Strukturen

[29]Compliance-Management-System

Ihr Unternehmen braucht ein vorzeigbares Compliance-Management-System, d. h. aufbau- und ablauforganisatorische Maßnahmen und Regelprozesse, die dazu geeignet sind, das Risiko der Verletzung straf- und bußgeldbewehrter Vorschriften zu reduzieren und als Beleg für die ordnungsgemäße Wahrnehmung der Aufsichts- und Kontrollpflichten der Geschäftsleitung dienen.

[30]Anforderungen und Herausforderungen

Ein Compliance-Management-System (CMS) setzt eine vernünftige Unternehmensorganisation voraus. Wer sich über eine vernünftige Funktionstrennung, das Vier-Augenprinzip oder Qualitätssicherung noch keine Gedanken gemacht hat, sollte sich zunächst darum kümmern.

Ein CMS muss zur Einbeziehung der Risiken aus straf- und bußgeldbewehrten Vorschriften eine Reihe ganz unterschiedlicher Funktionen und Verfahren erfassen

Die vorherrschenden CMS-Vorgaben spiegeln Anforderungen an Großunternehmen wider. Für mittelständische Unternehmen können diese so schon aus Budgetgründen kaum umgesetzt werden (z. B. eigene Stabsstelle Risikomanagement oder Revision).

Hinzu kommt der menschliche Faktor:

• Compliance-Verstöße beruhen in der Regel nicht auf Unkenntnis. Das wird zwar immer wieder behauptet, weil bequem, und trifft in Einzelfällen auch zu. So kann z. B. mangelnde Kenntnis im Spiel sein, wenn Sie mit neuen rechtlichen Anforderungen konfrontiert oder in neuen Märkten aktiv werden. Möglicherweise wird auch die Bedeutung interner Prozesse unterschätzt, wie etwa bei den Aufgaben interner Dienste für die Korruptionsprävention und die Verhinderung von Geldwäsche.
• [31]In aller Regel geht es aber eher darum, dass man rechtliche Anforderungen nicht ernst nimmt oder über Unredlichkeiten hinwegsieht, weil andere Probleme mit unmittelbar drängender Wirkung im Vordergrund stehen.
• In einer Reihe von Fällen geht es schließlich um eine bewusste Regelmissachtung durch Führungskräfte und Mitarbeiter.

Hierin unterscheiden sich Compliance-Prozesse grundlegend von Qualitätsmanagement-Prozessen. Während man beim Qualitätsmanagement von einem übereinstimmenden Interesse der Beteiligten und direktem Fehler-Feedback ausgehen kann – natürlich gibt es auch hier Ausnahmen –, muss man sich bei Compliance-Verstößen auf ein großes Dunkelfeld und auf zielgerichtet regelwidriges Verhalten einstellen. Wir sprechen in diesem Zusammenhang höflich von »Submilieus mit abweichenden Wertungen«.

Regelprozesse allein reichen daher nicht aus. Mit entscheidend ist die Reaktionsbereitschaft des CMS in Sonder- und Störfällen.

• Welche Befugnisse hat der Compliance-Beauftragte, Compliance-widrige Vorgänge aufzuklären oder ermitteln zu lassen?
• Wer ist an der Festlegung von arbeitsrechtlichen Sanktionen bei Fehlverhalten beteiligt?
• Wie schnell reagiert das Unternehmen auf Vorwürfe?
• Können Mitarbeiter Schwachstellen oder Verdachtsfälle melden, ohne Gefahr zu laufen, Repressalien ausgesetzt zu sein?
• [32]Welche Beratungsmöglichkeiten stehen zur Verfügung, damit aus kleinen Fehlern keine großen werden?

Hierin liegt auch die Bedeutung von Compliance-Kultur im Sinne einer tatsächlichen Ausrichtung des täglichen Arbeitsumfelds. Gerade bei eigentümergeführten oder kleineren Unternehmen kommt es insoweit entscheidend auf Ihr Vorbild als Führungskraft an.

Sie haben schon mehr, als Sie glauben

Wenn wir Sie überzeugt haben, nachstehend einige Überlegungen, die Sie beachten sollten, damit Sie das Richtige tun (bzw. lassen) anstatt das Falsche zu optimieren.

Sie haben bereits mehr, als Sie glauben. Es geht nicht darum, neue Funktionen zu erfinden.

• Welche Fachverantwortlichen und -prozesse sorgen schon jetzt für die Einhaltung gesetzlicher Anforderungen?
• Wer kümmert sich bereits um Fairness und Redlichkeit im Unternehmen?
• Führen diese Verfahren zu den erforderlichen Ergebnissen oder haben sie Schwachstellen, die Risiken bergen?

Wenn es gelingt, die Aktivitäten Ihres Unternehmens, die Rechtskonformität und Redlichkeit unterstützen, im Rahmen des Compliance-Management-Systems zu bündeln und vor[33]zeigbar zu machen, haben Sie schon fast gewonnen. Ein CMS wird dann auch für mittelständische Unternehmen möglich.

Das ist allerdings kein triviales Thema! In Ihrem Unternehmen dürfte es einige Platzhirsche geben, die den Compliance-Manager im Stolz auf die eigene Leistung zunächst als jemanden betrachten, der die eigenen Kreise und das eingespielte Rollenverständnis stören könnte.

Einbeziehung von existierenden Spezialnormen

Hinzu kommt, dass zusätzlich zu den klassischen Compliance- Themen, wie Verhaltenskodex, Diskriminierungsverbot, Vermeidung von Korruption und Kartellverstöße, eine ganze Reihe von Spezialnormen nebst zugehörigen Prozessen in das CMS einbezogen werden müssen, für die im Unternehmen gesonderte Themenverantwortliche oder Beauftragte bestellt sind (z. B. Arbeitssicherheit, Brandschutz, Datenschutz, IT-Sicherheit, Umweltschutz, Abwasserschutz und Abfallbeseitigung, Luftfracht, Verzollung, Export-und Importkontrolle, Qualitätsmanagement).

Es wäre falsch, wenn man unter der Compliance-Flagge in solche Spezialprozesse und -verantwortlichkeiten eingreifen wollte. Hierzu wird es bei den für Compliance Verantwortlichen in der Regel schon an der erforderlichen Sachkenntnis fehlen. Aufgabe des Compliance-Managements ist es vielmehr, die vorhandenen Fachkompetenzen und Prozesse im Unternehmen im CMS zu bündeln und dort, wo notwendig, zu unterstützen. Hier[34]zu ist einerseits eine vernünftige Koordination des Compliance-Managers mit den Fachverantwortlichen erforderlich. Andererseits muss ein ergebnisorientiertes Qualitätsmanagement der Unterstützungs- und Fachprozesse des Unternehmens dafür sorgen, dass Schwachstellen und Ergänzungsbedarf rechtzeitig erkannt werden.

Wer eine überbordende Compliance-Bürokratie verhindern will, sollte ferner darauf achten, dass möglichst wenige Doppelungen zwischen neuen Compliance-Regeln und bereits bestehenden Mitarbeitervorgaben eintreten. Daher sollten grundsätzlich normale Compliance-Risiken durch die im Unternehmen bereits eingerichteten Standardprozesse und Weisungen abgedeckt werden. Zusätzliche Compliance-eigene Prozesse sollten Aufgaben dienen, die von den Normalprozessen nicht erfasst werden. Ergänzend können sie für Risikosituationen vorgesehen werden, die in den Standardprozessen wegen ihrer Neuartigkeit noch nicht ausreichend berücksichtigt werden konnten oder diese überfordern.

Originäre Compliance-Prozesse

Nachstehend einige Beispiele für Compliance-eigene Prozesse: Verfahren für anonyme Hinweise oder Anfragen, Bearbeitung und Dokumentation von Compliance-Vorgängen (Case-Reporting- und Case-Management-Systeme) oder Compliance-veranlasste Dienstleistungen, wie die Bearbeitung von Embargo- und Terrorismuskontrollen.

[35]Dagegen sollte etwa das Verfahren zur Lieferantenauswahl grundsätzlich beim Einkauf liegen und durch Compliance-bezogene Fragestellungen ergänzt werden. Für Dienstleister und Geschäftspartner mit besonderem Korruptionsrisiko (Intermediäre in korruptionsgefährdenden Ländern, hoher Staatsanteil der Kundschaft) können dann besondere Compliance-Prüfungen in eigener Verantwortung der Compliance-Funktion eingerichtet werden.

Finden Sie den richtigen Rhythmus und Zeitrahmen für Ihre Compliance-Maßnahmen. Zunächst geht es darum, den angemessenen aufbau- und ablauforganisatorischen Rahmen für ein vorzeigbares Compliance-Management-System zu schaffen und offenkundigen Missständen abzuhelfen. Auf dieser Basis können Sie dann auf weitere Risiken und Störfallmeldungen reagieren.

Versuchen Sie nicht, den Compliance-Musterschüler zu spielen oder mit Ihren Compliance-Anstrengungen zu werben. Wenn Sie in eine Compliance-Krise hineingeschlittert sind und Besserung nachweisen müssen, kann das notwendig werden. Für den Normalfall empfehlen wir Zurückhaltung. Sie kennen das noch aus der Schulzeit: Die Rolle des Klassenprimus wird nur selten belohnt und kann bei Störfällen zu besonders harschen Reaktionen führen.

Denken Sie bitte daran: Einmal getroffene Compliance-Maßnahmen sind nur schwer rückgängig zu machen, selbst wenn [36]sie sich im Lichte genauerer Erfahrung als nicht erforderlich erweisen sollten. Entscheidend ist Ihr glaubhaftes, zielgerichtetes Bemühen.

Lassen Sie sich und Ihren Mitarbeitern daher von vornherein Raum für Verbesserungen im Detail. Wir nennen das auf Neu-Deutsch ein dynamisches, Feedback-orientiertes CMS-System.

Konzept, Aufbauorganisation und Prozessarchitektur

Ein Compliance-Management-System kann in Konzept, Aufbauorganisation und Prozessarchitektur etwa wie folgt aussehen:

Compliance-Management-System (CMS) (Design auf Makroebene)

Risikoprofil

Compliance Scoping (Ziel- und Zwecksetzung)

Compliance-Aufbauorganisation

• Compliance-Beauftragter ⇨ Compliance-Delegierte in der Fläche
• Besondere Funktionsträger + Themenverantwortliche
• Gesetzlich Beauftragte
• Fachverantwortliche in der Linie
• Zentralisierte, dezentrale oder gemischte Organisation
• Pflichtendelegation
• Compliance-eigene Prozesse
• Prozesse von Unterstützungsfunktionen
• Produktions- oder dienstleistungsbezogene Fachprozesse
• Steuerung und Koordination

[37]Zielsetzung und Umfang (Scoping)

Aufgrund des Risikoprofils Ihres Unternehmens ist zunächst festzulegen, welche besonderen Themen Compliance umfassen soll und welche Funktionen dementsprechend in das Compliance-Management-System einzubeziehen sind. Mögliche Compliance-Themengebiete sind in Hinblick auf die Gefahr der Verletzung straf- oder bußgeldbewehrter Normen oder besondere Reputations- oder Vermögensschadensrisiken etwa:

• Arbeitnehmerschutz,
• Arbeitssicherheit,
• Auswahl von Geschäftspartnern,
• Brandschutz,
• Datenschutz,
• Export- und Importkontrolle,
• Geldwäscheprävention,
• Gesundheitsschutz,
• Korruptionsprävention,
• Luftfrachtsicherheit,
• Geldwäscheprävention,
• Einsatz von Fremdressourcen (Werk-/Dienstleistungsverträge),
• Produktsicherheit,
• Qualitätsmanagement,
• [38] REACH,
• Vertragsmanagement,
• unlauterer Wettbewerb,
• Umweltschutz,
• Verhinderung von Wirtschaftskriminalität oder
• Zoll (AEO, Zugelassener Wirtschaftsbeteiligter).

Beteiligte und deren Koordination

Das schafft die Grundlage zur Bestimmung der Funktionsträger und Themenverantwortlichen, die eine besondere Rolle für die Compliance-Organisation wahrnehmen sollen.

Die Bestellung eines Compliance-Beauftragten ist nach heute herrschender Meinung unerlässlich. Wird kein Compliance- Beauftragter benannt oder erhält dieser keine ausreichenden Aufgaben und Befugnisse, verbleibt die entsprechende Aufgabenstellung bei der Geschäftsleitung. Ob es sinnvoll ist, den Compliance-Beauftragten durch ein Team und/oder Compliance- Delegierte in den Fachabteilungen oder Betriebsstätten zu unterstützen, hängt von der Größe des Unternehmens ab.

Als weitere Funktionsträger sollten die für Corporate-Governance-Stabsabteilungen (hier auch Unterstützungsfunktionen genannt) Verantwortlichen in die Compliance-Aufbauorganisation einbezogen werden. Dazu zählen – soweit vorhanden – die Leiter Rechnungswesen, Risikomanagement, Personal, Revision [39]oder Rechtsabteilung. Diese Funktionen spielen für Rechtskonformität und Redlichkeit im Unternehmen eine tragende Rolle.

Bezogen auf ihr jeweiliges Fachgebiet gilt das auch für besondere Themenverantwortliche mit Stabs- oder Linienfunktion, wie z. B. den Exportkontroll-, Zoll- oder Luftfrachtsicherheitsver-antwortlichen. Schon hieraus wird deutlich, dass der Kreis der Personen, die wegen ihrer Funktion am CMS mitwirken sollten, zu groß ist, um in praktikabler Weise direkt in der Compliance-Aufbauorganisation berücksichtigt werden zu können.

Dieser Effekt verstärkt sich, wenn man die zahlreichen Beauftragten berücksichtigt, die aufgrund gesetzlicher oder berufsständischer Anforderungen zu bestellen sind, wie z. B. Datenschutz-, Arbeitssicherheits- und Brandschutz-, Umweltschutz- und Abwasserbeauftragter. In aller Regel sind solche Beauftragten für Aufgabengebiete zuständig, die durch straf- oder b...

Inhaltsverzeichnis

• Inhalt
• Hinweis zum Urheberrecht
• Impressum
• Vorwort
• Compliance – was ist das?
• Compliance-Management-System
• Compliance-Management am Beispiel ausgewählterAufgabengebiete
• Anhang
• Stichwortverzeichnis
• Die Autoren