Compliance im Unternehmen – wie Sie ein Compliance-Management-System aufbauen und Haftung vermeiden

Compliance im Unternehmen – wie Sie ein Compliance-Management-System aufbauen und Haftung vermeiden

Compliance ist ein System aus Regeln, Verfahren und Maßnahmen, das sicherstellen soll, dass eine Organisation im Einklang mit dem Gesetz, internen Vorgaben und ethischen Standards handelt. In der Praxis läuft die Antwort auf die Frage Was ist Compliance? auf das Management von Verstößen und Risiken hinaus - bevor es zu Schäden, Strafverfahren, behördlichen Sanktionen oder einer Reputationskrise kommt.

Für Geschäftsführung und Unternehmenseigentümer ist Compliance nicht nur eine formale Pflicht. Sie ist ein Instrument zur Begrenzung der persönlichen Haftung von Organmitgliedern, zum Schutz des Unternehmens und zur Strukturierung von Entscheidungsprozessen. Ein gut konzipiertes Compliance-Management-System hilft dabei, die gebotene Sorgfalt nachzuweisen. Das ist sowohl in Wirtschaftsstrafsachen als auch bei arbeitsrechtlichen Streitigkeiten, Prüfungen durch Aufsichtsbehörden oder Verfahren wegen Missständen von Bedeutung [1][2].

Warum Compliance für die Haftung des Unternehmens und der Geschäftsleitung wichtig ist

Fehlt ein System zur Sicherstellung der Rechtskonformität, steigt das Risiko auf mehreren Ebenen zugleich. Das betrifft die Haftung der Gesellschaft, der Mitglieder der Geschäftsleitung, des Managements und mitunter auch der Mitarbeitenden, die für bestimmte operative Bereiche verantwortlich sind.

Die häufigsten Folgen fehlender wirksamer Compliance-Mechanismen sind:

• Verstöße gegen arbeitsrechtliche Vorschriften, Datenschutz, AML oder Antikorruptionsregeln,
• strafrechtliche oder steuerstrafrechtliche Haftung von Führungskräften,
• behördliche und finanzielle Sanktionen,
• Verlust der Glaubwürdigkeit gegenüber Geschäftspartnern, Banken und Investoren,
• Beweisschwierigkeiten beim Nachweis der gebotenen Sorgfalt.

In der Praxis sind insbesondere Verfahren zum Hinweisgeberschutz, zu Interessenkonflikten, zur Freigabe von Ausgaben, zu Beziehungen mit Geschäftspartnern, zur Vertretung der Gesellschaft, zu Kommunikationsregeln und zum Dokumentenfluss besonders wichtig. Genau in diesen Bereichen entstehen am häufigsten Risiken, die später Gegenstand von Streitigkeiten oder Ermittlungen werden.

Mehr dazu, wie sich Risiken auf Seiten der Unternehmensleitung begrenzen lassen, lesen Sie im Beitrag zur strafrechtlichen Haftung von Vorstandsmitgliedern und Geschäftsleitern.

Compliance-Management-System - aus welchen Elementen sollte es bestehen?

Ein wirksames Compliance-Management-System besteht nicht nur aus einer einzelnen Richtlinie oder einem Ethikkodex. Es sollte an die Größe der Organisation, die Branche, die Eigentümerstruktur, das Vertriebsmodell und das Risikoniveau angepasst sein. Was für ein Produktionsunternehmen sinnvoll ist, unterscheidet sich von den Anforderungen an ein Finanzinstitut oder an eine international tätige Unternehmensgruppe.

Zu den grundlegenden Elementen des Systems gehören:

1. Risikomapping - die Identifizierung von Bereichen mit dem höchsten Risiko für Verstöße.
2. Verfahren und Richtlinien - Dokumente, die das Handeln der Organisation in Hochrisikobereichen regeln.
3. Verteilung der Verantwortlichkeiten - Benennung der Personen, die für Aufsicht, Berichterstattung und Reaktion auf Vorfälle zuständig sind.
4. Schulungen - regelmäßige und dokumentierte Schulungsmaßnahmen für Mitarbeitende und Führungskräfte.
5. Hinweisgebersystem - sichere Kanäle für Whistleblower und Verfahren zur Untersuchung von Unregelmäßigkeiten.
6. Monitoring und Audit - die Überprüfung, ob die Verfahren tatsächlich funktionieren und nicht nur formal bestehen.
7. Reaktion auf Verstöße - interne Untersuchungen, Abhilfemaßnahmen und die Dokumentation von Entscheidungen.

Der Implementierung sollte eine Analyse des Ist-Zustands vorausgehen. Erst dann lässt sich beurteilen, ob das Problem im Fehlen von Verfahren, mangelnden Kontrollen, einer unklaren Verantwortungsstruktur oder in einer ungeeigneten Unternehmenskultur liegt.

Compliance Officer - Rolle, Verantwortungsbereich und Stellung in der Organisation

Der Compliance Officer ist für die Koordination der Maßnahmen zur Sicherstellung der Compliance verantwortlich. Das bedeutet jedoch nicht, dass er die gesamte Verantwortung für Verstöße übernimmt. Die Verantwortung für die Rechtskonformität der Organisation liegt weiterhin in erster Linie bei den Leitungsorganen sowie bei den Verantwortlichen der jeweiligen Fachbereiche.

Zum Aufgabenbereich eines Compliance Officers gehören in der Regel:

• Identifikation und Bewertung von Risiken,
• Ausarbeitung und Aktualisierung von Verfahren,
• Durchführung von Schulungen,
• Entgegennahme und Analyse von Meldungen,
• Berichterstattung an die Geschäftsleitung oder den Aufsichtsrat,
• Zusammenarbeit mit der Rechtsabteilung, HR, Sicherheit und Revision.

Wichtig ist, dieser Funktion eine angemessene Unabhängigkeit, Zugang zu Informationen und eine echte Verankerung in der Organisationsstruktur zu geben. Ein Compliance Officer ohne Rückhalt der Geschäftsleitung bleibt eine bloße Formalie - und das erhöht das Risiko des Vorwurfs, dass die Verfahren nur auf dem Papier existierten.

Compliance-Pflichten - was sich aus Gesetzen und aus der Marktpraxis ergibt

Der Umfang der Compliance-Pflichten hängt von der Branche und dem Tätigkeitsprofil ab. Ein Teil dieser Pflichten ergibt sich unmittelbar aus gesetzlichen Vorschriften. Beispiele sind Regelungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung, zum Schutz von Hinweisgebern, zum Schutz personenbezogener Daten oder zur Verantwortung des Arbeitgebers für die Organisation einer sicheren Arbeitsumgebung [3][4][5].

In anderen Bereichen ergibt sich die Pflicht zum Aufbau eines Compliance-Management-Systems mittelbar aus den Grundsätzen der gebotenen Sorgfalt, der Treuepflicht gegenüber der Gesellschaft sowie aus der Verpflichtung, Prozesse rechtskonform zu organisieren. Das ist relevant bei der Beurteilung der Haftung von Geschäftsleitern nach gesellschaftsrechtlichen sowie straf- und zivilrechtlichen Vorschriften [2][6].

Zu den in der Praxis häufigsten Pflichten gehören:

• Einführung von Verfahren, die den jeweiligen Risiken angemessen sind,
• Durchführung von Schulungen und Dokumentation der Teilnahme,
• Sicherstellung von Meldekanälen und Schutz der meldenden Personen,
• Untersuchung von Vorfällen und Ergreifen von Abhilfemaßnahmen,
• regelmäßige Überprüfung und Aktualisierung der Verfahren.

Wie Sie Compliance im Unternehmen Schritt für Schritt umsetzen

Eine wirksame Implementierung sollte in Etappen erfolgen. Dieses Modell verringert das Risiko, Dokumente zu erstellen, die nicht zu den tatsächlichen Abläufen im Unternehmen passen.

1. Audit von Risiken und Prozessen - Analyse der Bereiche, die besonders anfällig für Missbrauch, Fehler oder Haftung sind.
2. Entwurf der Verfahren - Erstellung von Dokumenten, die an die Unternehmensstruktur und die operative Praxis angepasst sind.
3. Managemententscheidungen - formale Verabschiedung der Regeln sowie Festlegung von Rollen und Berichtswegen.
4. Interne Kommunikation - Information der Mitarbeitenden darüber, welche Regeln gelten und welche Folgen Verstöße haben.
5. Schulungen - praxisnahe Erläuterung der Verfahren, idealerweise anhand von Beispielen aus der Tätigkeit der Organisation.
6. Tests und Monitoring - Prüfung, ob das System auch in Krisensituationen funktioniert.

Bei der Gestaltung und Aktualisierung von Verfahren sind Materialien zum Thema Compliance hilfreich, die unter anderem Compliance-Einführungen, Schulungen, AML-Maßnahmen und forensische Audits umfassen.

Die häufigsten Fehler beim Aufbau eines Compliance-Management-Systems

Der schwerwiegendste Fehler besteht darin, Compliance als Sammlung von Dokumenten zu behandeln, die ausschließlich für den Fall einer Kontrolle erstellt wurden. Ein solches Modell funktioniert in der Praxis meist nicht. Ebenso riskant ist es, Verfahren aus anderen Organisationen zu übernehmen, ohne die Besonderheiten der eigenen Tätigkeit zu berücksichtigen.

Zu den häufigen Fehlern gehören außerdem:

• fehlendes Engagement der Geschäftsleitung,
• fehlende tatsächliche Unabhängigkeit der Compliance-Funktion,
• mangelnde Abstimmung der Verfahren auf Geschäftsprozesse,
• Auslassen des mittleren Managements bei Schulungen,
• fehlende Reaktion auf gemeldete Verstöße,
• fehlende Dokumentation von Abhilfemaßnahmen.

Aus Beweissicht ist es besonders wichtig, nicht nur Verfahren einzuführen, sondern auch nachweisen zu können, dass die Organisation diese tatsächlich angewendet hat. In Streitfällen oder behördlichen Verfahren zählen Dokumente, Entscheidungsspuren, Protokolle, Melderegister und Schulungsnachweise.

Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Wenn Risiken bewertet oder angemessene Verfahren entwickelt werden sollen, empfiehlt sich eine Analyse des konkreten Sachverhalts mit Experten. Einzelheiten zum Unterstützungsumfang finden Sie auf der Website von KKZ.

FAQ

Muss jedes Unternehmen ein Compliance-Management-System haben?

Nicht in jedem Fall verlangen gesetzliche Vorschriften ausdrücklich ein formal so bezeichnetes Compliance-Management-System. Jede Organisation sollte jedoch über Mechanismen verfügen, die die Einhaltung des Rechts und die Kontrolle von Risiken sicherstellen. Der Umfang dieser Lösungen hängt von der Größe des Unternehmens, der Branche und dem Risikoniveau ab.

Was bedeutet Compliance in einem kleinen Unternehmen?

In einer kleineren Organisation bedeutet Compliance in der Regel ein einfacheres Regelwerk: grundlegende Verfahren, eine klare Verteilung von Verantwortlichkeiten, Schulungen, Kontrolle des Dokumentenflusses und ein Meldekanal für Unregelmäßigkeiten. Es geht nicht um eine komplexe Struktur, sondern um Angemessenheit.

Ist ein Compliance Officer verpflichtend?

Nicht immer. In einigen regulierten Sektoren ergibt sich eine solche Funktion aus gesetzlichen Vorschriften oder aufsichtsrechtlichen Leitlinien. In anderen Fällen hängt die Benennung von der Größe der Organisation und vom Risikoniveau ab. Auch ohne formale Position müssen Compliance-Aufgaben konkreten Personen zugewiesen werden.

Welche Risiken reduziert ein Compliance-Management-System?

Vor allem strafrechtliche, behördliche, finanzielle, arbeitsrechtliche und Reputationsrisiken. Ein Compliance-Management-System hilft außerdem, das Risiko interner Missstände, von Interessenkonflikten und von Unregelmäßigkeiten in der Zusammenarbeit mit Geschäftspartnern zu verringern.

Wie oft sollten Compliance-Verfahren aktualisiert werden?

Grundsätzlich nach jeder wesentlichen Änderung der Rechtslage, der Organisationsstruktur oder des Geschäftsmodells sowie nach dem Eintritt eines Vorfalls. Darüber hinaus ist eine regelmäßige Überprüfung - zum Beispiel einmal jährlich - eine gute Praxis.

Reicht eine Richtlinie allein aus, um Haftung zu vermeiden?

Nein. Entscheidend ist nicht nur der Inhalt der Verfahren, sondern auch deren Umsetzung, Kommunikation, Schulung, Überwachung und die Reaktion auf Verstöße. Ein formales Dokument ohne praktische Anwendung bietet in der Regel keinen ausreichenden Schutz.

Literaturverzeichnis

[1] Gesetz vom 6. Juni 1997 - Strafgesetzbuch.

[2] Gesetz vom 15. September 2000 - Handelsgesellschaftengesetzbuch.

[3] Gesetz vom 1. März 2018 über die Verhinderung von Geldwäsche und Terrorismusfinanzierung.

[4] Gesetz vom 14. Juni 2024 über den Schutz von Hinweisgebern.

[5] Verordnung des Europäischen Parlaments und des Rates (EU) 2016/679 vom 27. April 2016 (DSGVO).

[6] Gesetz vom 26. Juni 1974 - Arbeitsgesetzbuch.

Author: adw. Maciej Zaborowski, Managing Partner

E-mail: m.zaborowski@kkz.com.pl

tel.: +48 22 501 56 10

LinkedIn