Compliance Management in SMEs (CMS)

合規意味著 "遵守規則"--無論它是什麼樣的規則，也無論誰制定的規則。如果出現違規行為，公司的高層管理人員要直接承擔責任。因此，組織必須決定是否實施一個跨公司的合規管理系統（CMS），以確保對規則的遵守。但這並沒有結束。究竟如何驗證CMS的有效性？

内容

建立CMS的主要動機是什麼？
鑑別危險
相關標準
稽核以確保有效性？
定期稽核- 計畫周密
遵守稽核的好處
結論

關於中小型公司的合規管理，設計和執行合規管理系統（CMS）乍看之下似乎對任何公司都是一個耗時的經濟負擔。然而，如果深入了解，會發現有趣的觀點：在管理機構的支持下，同時也透過內部和外部稽核人員對CMS的適當性和有效性的審查，合規文化可持續增長，並為增加企業的成功打開了機會，從而增加公司的價值。

建立CMS的主要動機是什麼？

大多數中小企業認為避免責任和防止腐敗是建立CMS的最重要動機。然而，商業夥伴的要求和聲譽保護也越來越重要。腐敗、違反競爭法和資料保護經常被列在相關合規問題的首位。其他首要問題是公司的勞工和社會標準。

另一方面，中小企業擔心所謂的合規官僚主義會給組織帶來額外的負擔。因此，針對中小企業的合理方法必須與大公司的方法有很大不同。

鑑別危險

首先，重要的是公司要透過風險分析的方式，向自己澄清其個別的合規危險性。只有在這些被確認的重要風險領域，才應該對現有的法規和行為進行審查，如果有必要，還應該進行補充。例如：公司可以先看看是否涵蓋了公司中的關鍵子領域（如人力資源中的資料保護）或個別類型的合規性，例如，遵守職業健康和安全方面的法律義務。換句話說。如果合規措施正是基於這種風險評估，那麼這些措施最終是合理和必要的。

中小企業的合規管理：相關標準

發佈於2021年4月，這裡要提到的第一個標準當然是ISO 37301：2021-04。該標準制定了對合規管理系統的要求和應用指南。該標準可從Beuth獲得。同時，ISO 19600:2016-12（合規管理系統-指南）已被撤銷。

從風險導向的角度來看，ISO 31000:2018-10也很有意思。該標準規定了處理公司所面臨的風險的準則。該標準可從Beuth獲得。

稽核以確保有效性？

特別是考慮到法定代表人的管理職責，持續的有效性稽核必須與實際的CMS放在一起。這方面的原因在於判例法。在這裡，管理階層必須履行兩項任務，作為其監督職責的一部分。一方面，它必須監督公司為確保合規性而制定的措施。其次，它必須嚴格監督其有效性--而且是定期監督，而不僅僅是臨時性的。這項義務適用於股份公司的董事會成員和有限責任公司的總經理。

"獨立第三方對CMS的有效性審查是履行監督義務的客觀證明"。

監督的目的是確保CMS的實施原則（行為准則、政策等）和措施（訓練、控制等）適合於預防、極大地阻礙或及時發現CMS所規定的違反規則的行為。CMS的有效性可以透過內部和外部控制來檢查。

透過內部控制的有效性監測：屬於系統內部的監控被稱為 "內部控制"。這種控制是CMS的一個重要組成部分，也可以稱為品質管理（QM）。因此，品質管理包括所有有助於創造或維持先前定義的CMS品質的準備性、伴隨性和下游的措施。
透過外部控制的有效性監測：對系統外部的監控被稱為 "檢查 "或 "稽核"。在這種形式的監控中，稽核實體是獨立於系統的，不參與帶來系統的實際狀態。這裡有一個獨立性方面的優勢。CMS由外部稽核人員（如律師、稽核員、DQS等驗證機構或其他外部專家）進行稽核。

白皮書

ISO 45001 - 工作場所安全與合規

BS OHSAS 和 ISO 45001的四個重要區別
著重於與 OHS 相關的主題合規
不合規怎麼辦?
實施 ISO 45001 的七個步驟

立即下載

定期審查 - 計劃周詳

為了確保獨立於系統的審查的有效性，應該對間隔時間進行良好的規劃。每當新實施CMS時，審查就會有幫助。此外，每隔三至五年應定期進行一次外部稽核。不定期的審查是在發現違規行為後進行的。然而，即使是已經建立的CMS，越來越明顯的是，定期稽核被認為是事實上的強制性稽核。除了與流程相關的控制之外，CMS的設計、充分性和有效性也應定期審查，獨立的系統稽核或驗證最好每年進行一次，至少每三年進行一次。

合規性稽核的優勢

當涉及到中小企業的合規管理時，一般可以從合規性稽核中獲得如下的附加價值：

最佳化現有流程
對CMS中的弱點的認識
提高CMS的效率和效益
導入現代標準
建立合規文化
提高競爭力
保障營運業務的安全
確保企業的永續成功
增加公司的價值

正確的稽核員 - 最重要的決策標準：

CMS的有效性稽核包含了多學科的要求。
因此，稽核員的專業知識必須放在首位。

→ 例如，稽核員必須擁有相關的法律和商業知識以及產業經驗。

→稽核員的獨立性必須得到保證（在事實中的獨立，但也要考慮到公眾在外觀上的獨立）。

→ 最後，重要的是，稽核要有較高的市場聲譽。

→既定的稽核和驗證標準的一個例子是，例如，IDW的稽核標準 "合規管理系統的正確稽核原則"（IDW PS 980）。

→ 對CMS的外部稽核結果可以用來"驗證 "經過稽核的CMS。頒發的證書代表了外部對CMS符合規定要求的證明。它規定了證書的有效期和範圍，目標對象和稽核程序（稽核的主體、類型和範圍），以及對稽核機構的獨立性和能力的要求（"驗證"）。