Compliance ist heute in aller Unternehmen Munde, aber: Top-Manager tun sich oft schwer mit dem Begriff und dem, was dahinter steht. Dabei meint Compliance nichts weniger als „rechtskonformes, ethisch korrektes Verhalten“ – eine Selbstverständlichkeit, oder?
INHALT
Wenn man die Bedeutung des englischen Wortes Compliance (von engl. to comply = erfüllen) ins Deutsche überträgt, scheint eigentlich alles ganz klar und einfach, vor allem aber selbstverständlich. Die Verantwortlichen eines Unternehmens brauchen sich doch nur an alle relevanten (gesetzlichen) Regeln zu halten und ethisch korrekt zu handeln, und schon ist Compliance hergestellt – wo ist das Problem?
Die Antwort lautet: Die Realität ist eine andere. Viele Verantwortliche und Mitarbeiter im Unternehmen kennen die Regeln, die sie einhalten sollen, nicht. Andere kennen sie durchaus, halten sie aber ganz gezielt nicht ein. Manches wiederum ist auf den ersten Blick zwar kein Regelverstoß, aber dafür ethisch nicht besonders wertvoll oder nach heutigen CSR-Standards kaum vertretbar.
Nicht wenige Unternehmen agieren in einer mal ins Hellere, mal ins Dunklere changierenden Grauzone. Jedoch: Die Notwendigkeit, Licht in dieses Halbdunkel zu bringen, erkennen immer mehr Verantwortliche – nicht zuletzt auch wegen der damit verbundenen Haftungsrisiken.
Unternehmen brauchen folglich eine Systematik, die sicherstellt, dass sämtliche (gesetzlichen) Regeln bekannt sind und eingehalten werden. Ein wirksames Compliance Management System (CMS) schafft Klarheit und Rechtssicherheit. Und: Es hilft der Unternehmensleitung, eine von ihr selbst gelebte Unternehmenskultur zu etablieren, in der Verstöße jeder Art keine Option sind. Diese Unternehmenskultur, in Amerika bildhaft als „Tone at the Top“ bezeichnet, ist letztlich auch der Schlüssel, um das gesamte Unternehmen wirksam und angemessen mit dem Compliance-Gedanken zu durchdringen.
Die formale Sicherstellung der Regelkonformität durch ein wirksam implementiertes Compliance Management System trägt gleichzeitig wesentlich zur Haftungsvermeidung bzw. Haftungsminimierung bei, und das kann für ein Unternehmen existenziell sein. Dies betrifft in besonderem Maß die tatsächlich handelnden Personen, denn das deutsche Strafrecht kennt zumindest bisher kein „Unternehmensstrafrecht“.
Das neue Unternehmenssanktionsrecht, welches vom Bundesjustizministerium im Gesetzentwurf vorliegt, ist eine Art verschärftes Ordnungswidrigkeitenrecht mit Entschädigungen für Verbraucher und neuen Regeln für „internal investigations“. Somit wird deutlich, dass ein systematisches Compliance Management spürbare Erleichterungen für Unternehmen einräumen wird.
Aus den §§ 93, 76 Aktiengesetz und § 43 GmbH-Gesetz leitet sich die Legalitäts- und Legalitätskontrollpflicht bzw. die Sorgfaltspflicht der Geschäftsführung ab. Das bedeutet, dass eine Organisations- und Auswahlpflicht in Bezug auf die Beschäftigten besteht. Die Geschäftsleitung muss also Vorkehrungen zur Sicherstellung eines rechtmäßigen Verhaltens des Unternehmens und seiner Mitarbeiter treffen. Im Fall der Fälle: Kommt die Geschäftsführung diesen Pflichten nicht oder nur unzureichend nach, kann sie dafür in Haftung genommen werden – laut § 130 in Verbindung mit § 30 OWiG* mit enormen Haftungssummen von bis zu 10 Mio. Euro. Wurde aufgrund einer unrechtmäßigen Handlung ein Gewinn erzielt, kann dieser gemäß § 29a OWiG eingezogen werden, was sich schnell zu einem dreistelligen Millionenbetrag auswachsen kann.
*OWiG – Gesetz über Ordnungswidrigkeiten
Die oberste Leitung kann ihrer Kontrollpflicht ohne ein entsprechendes Managementsystem nicht ausreichend nachkommen. In der Rechtsprechung ist allerdings strittig, ob ein Compliance Management System erforderlich ist. Wie es auszugestalten ist, wird dagegen kurioserweise benannt – Landgericht München I, Urteil vom 10.12.2013, 5HK O 1387/10 („Neubürger“): „Ein Vorstandsmitglied … hat … dafür zu sorgen, dass das Unternehmen so organisiert und beaufsichtigt wird, dass keine Gesetze verletzt werden. Seine entsprechende Organisationspflicht zur Verhinderung von Rechtsverletzungen erfüllt der Vorstand nur dann, wenn er eine auf Schadensprävention und Risikokontrolle angelegte Compliance-Organisation einrichtet, die der Gefährdungslage entspricht.“
An der Einführung eines CMS geht also auch aus Sicht der Rechtsprechung kein Weg vorbei. Das jedenfalls gilt für Unternehmen, die in Haftungsfragen, die aus Regelverstößen resultieren, sichergehen wollen.
Viele Unternehmen befürchten jedoch, dass mit einem Compliance Management ein weiteres Managementsystem eingeführt werden muss. Allerdings steckt hinter dieser Vorstellung ein noch immer weit verbreitetes Missverständnis, denn: Unternehmen haben grundsätzlich nur ein einziges Managementsystem! In der Regel basiert das bestehende Managementsystem auf ISO 9001, in das dann die Anforderungen weiterer Regelwerke integriert werden.
Dies ist auch einer der großen Vorteile der gemeinsamen Grundstruktur, der sogenannten High Level Structure (HLS), über die alle modernen ISO-Managementsystemnormen verfügen, u.a. ISO 9001, ISO 14001, ISO 45001, ISO 50001 und ISO 27001. Durch die HLS wird ein integriertes Managementsystem deutlich effizienter. Denn die Integration von Anforderungen unterschiedlicher Regelwerke wird nun bis in die letzten Winkel eines Unternehmens möglich.
HLS – Chance für ein integriertes Managementsystem
von Rita Kagerer, Expertin für integrierte Managementsysteme
Ein CMS gemäß ISO 19600 kann ebenfalls in das bestehende Managementsystem integriert werden. Es legt sich dabei wie eine Klammer um alle Compliance-Themen, die von anderen Normen angesprochen werden. So geht es im Qualitätsmanagement hauptsächlich um Risiken aus der Produkthaftung, beim Umweltmanagement um Risiken aus einschlägigen Umweltgesetzen und so weiter.
Alle Rechtsthemen und Risiken, die bisher nicht oder nur unzureichend berücksichtigt wurden, werden durch das Compliance Management System erfasst, bewertet und gesteuert. Ein übergeordneter Wertekodex, weitere interne Kontrollen und Anpassungen der Risikobewertung sichern das Unternehmen und die verantwortlich handelnden Personen ab. Insofern kommt der Risikoanalyse eine entscheidende Rolle zu.
Dabei gilt es, die Stellen und Funktionen herauszuarbeiten, an denen Rechtsverstöße möglich sind, die schwerste Auswirkungen für das Unternehmen haben könnten. Es muss also ein Sicherungssystem installiert werden, um einen größtmöglichen Aufdeckungsgrad zu erzielen. Allein mit der Annahme „ach, das gibt es bei uns nicht“ scheint wenig geholfen – und wird vor Gericht auch wenig Verständnis finden.
Klare Strukturen tragen dafür Sorge, dass Compliance-Verstöße schneller aufgedeckt werden können und die Verantwortlichkeiten feststehen. Im Fall von Gerichtsverfahren wird das Compliance Management zur Exkulpation beitragen. Oder zumindest mit großer Wahrscheinlichkeit eine Schuldminderung herbeiführen, da alle Gründe, die gegen oder für einen Angeklagten sprechen, zur Festlegung des Strafrahmens herangezogen werden.
Spannendes Thema? Kontaktieren Sie uns.
Ganz unverbindlich und kostenfrei.
Eines aber muss klar sein: Bei „Prüfungsstandards“ wie ISO 19600 handelt es sich um Rechtsmeinungen, die Richter berücksichtigen können, ggf. werden, sofern diese in einem Kontext mit dem Rechtsverstoß stehen. Ist jedoch kein CMS vorhanden, so ist das an sich schon ein Obliegenheitsverstoß der Geschäftsführung, der sich mit großer Wahrscheinlichkeit strafverschärfend auswirken wird. Ein gut aufgestelltes Unternehmen muss sich allein schon aus dem eigenen Schutzbedürfnis der Geschäftsführung mit dem Thema Compliance beschäftigen.
TIPP: Lesen Sie auch unseren Blogbeitrag Compliance Management im Mittelstand – Pflicht oder Kür? von Viola Beecken.
Der studierte Jurist und Rechtsanwalt ist Produktexperte Compliance bei der DQS. Seine langjährige Erfahrung bringt Spahn zudem als Lead-Auditor für Qualitätsmanagement sowie diverse Branchenstandards ein.
