Karl Würz, Dr. Reinhard Preusche
Ein Compliance-Management-System kann in Konzept, Aufbauorganisation und Prozessarchitektur etwa wie folgt aussehen:
2.3.1 Zielsetzung und Umfang (Scoping)
Aufgrund des Risikoprofils Ihres Unternehmens ist zunächst festzulegen, welche besonderen Themen Compliance umfassen soll und welche Funktionen dementsprechend in das Compliance-Management-System einzubeziehen sind. Mögliche Compliance-Themengebiete sind in Hinblick auf die Gefahr der Verletzung straf- oder bußgeldbewehrter Normen oder besondere Reputations- oder Vermögensschadensrisiken etwa:
- Arbeitnehmerschutz,
- Arbeitssicherheit,
- Auswahl von Geschäftspartnern,
- Brandschutz,
- Datenschutz,
- Export- und Importkontrolle,
- Geldwäscheprävention,
- Gesundheitsschutz,
- Korruptionsprävention,
- Luftfrachtsicherheit,
- Geldwäscheprävention,
- Einsatz von Fremdressourcen (Werk-/Dienstleistungsverträge),
- Produktsicherheit,
- Qualitätsmanagement,
- REACH,
- Vertragsmanagement,
- unlauterer Wettbewerb,
- Umweltschutz,
- Verhinderung von Wirtschaftskriminalität oder
- Zoll (AEO, Zugelassener Wirtschaftsbeteiligter).
2.3.2 Beteiligte und deren Koordination
Das schafft die Grundlage zur Bestimmung der Funktionsträger und Themenverantwortlichen, die eine besondere Rolle für die Compliance-Organisation wahrnehmen sollen.
Die Bestellung eines Compliance-Beauftragten ist nach heute herrschender Meinung unerlässlich. Wird kein Compliance-Beauftragter benannt oder erhält dieser keine ausreichenden Aufgaben und Befugnisse, verbleibt die entsprechende Aufgabenstellung bei der Geschäftsleitung. Ob es sinnvoll ist, den Compliance-Beauftragten durch ein Team und/oder Compliance-Delegierte in den Fachabteilungen oder Betriebsstätten zu unterstützen, hängt von der Größe des Unternehmens ab.
Als weitere Funktionsträger sollten die für Corporate-Governance-Stabsabteilungen (hier auch Unterstützungsfunktionen genannt) Verantwortlichen in die Compliance-Aufbauorganisation einbezogen werden. Dazu zählen – soweit vorhanden – die Leiter Rechnungswesen, Risikomanagement, Personal, Revision oder Rechtsabteilung. Diese Funktionen spielen für Rechtskonformität und Redlichkeit im Unternehmen eine tragende Rolle.
Bezogen auf ihr jeweiliges Fachgebiet gilt das auch für besondere Themenverantwortliche mit Stabs- oder Linienfunktion, wie z. B. den Exportkontroll-, Zoll- oder Luftfrachtsicherheitsverantwortlichen. Schon hieraus wird deutlich, dass der Kreis der Personen, die wegen ihrer Funktion am CMS mitwirken sollten, zu groß ist, um in praktikabler Weise direkt in der Compliance-Aufbauorganisation berücksichtigt werden zu können.
Dieser Effekt verstärkt sich, wenn man die zahlreichen Beauftragten berücksichtigt, die aufgrund gesetzlicher oder berufsständischer Anforderungen zu bestellen sind, wie z. B. Datenschutz-, Arbeitssicherheits- und Brandschutz-, Umweltschutz- und Abwasserbeauftragter. In aller Regel sind solche Beauftragten für Aufgabengebiete zuständig, die durch straf- oder bußgeldbewehrte Normen geregelt sind. Nimmt man noch Linienvorgesetzte mit einem besonders Compliance-exponierten Verantwortungsbereich hinzu, wie etwa die Leiter Vertrieb und Einkauf, wird der Kreis der Personen, die funktional an einem CMS beteiligt sind, noch größer.
Dementsprechend sollte Ihr CMS über ein Steuerungsgremium verfügen, das alle Beteiligten in koordinierter Weise in das Compliance-Management einbezieht. Natürlich arbeiten die Verantwortlichen gerade in mittelständischen oder eigentümergeführten Unternehmen in vielen Fällen bereits auch ohne förmliche Organisation auf informeller Basis gut zusammen. Zum Nachweis der ordnungsgemäßen Erfüllung der Aufsichts- und Kontrollpflichten aus Geschäftsleitungssicht ist diese Form der Zusammenarbeit aber leider nur bedingt geeignet.
Mit der RICKO-Gruppe (Risikomanagement- und Compliance-Koordinationsgruppe) bzw. dem Compliance Board haben wir eine Lösung entwickelt, die
- diese Anforderungen in vorzeigbarer Form erfüllt,
- vergleichsweise wenig zusätzlichen Aufwand erfordert und
- einen tatsächlichen Mehrwert für das Unternehmen schafft.
2.3.3 Prozessarchitektur
Was den Rahmen für die Ablauforganisation des CMS angeht, sollte man zwischen
- Compliance-eigenen Prozessen,
- Unterstützungsprozessen und
- produktions- oder dienstleistungsbezogenen Fachprozessen
unterscheiden. Die Prozessarten sind den hierfür jeweils aufbauorganisatorisch vorgesehenen Verantwortlichen zuzuordnen, also Compliance-eigene Prozesse dem Compliance-Beauftragten, Compliance-Unterstützungsprozesse den Leitern der jeweiligen Stabsabteilungen, Fachprozesse den jeweiligen Linienverantwortlichen.
Im Rahmen des Compliance-Management-Systems unterliegen nur die Compliance-eigenen Prozesse einer unmittelbaren Ergebniskontrolle und Steuerung. Unterstützungsprozesse werden, wie die Unternehmenskern- oder Fachprozesse, nur in Bezug auf Schwachstellen und Verbesserungsmöglichkeiten eingebunden. Hierzu berichten die Fachverantwortlichen in den Sitzungen der Risikomanagement- und Compliance-Koordinationsgruppe.
Die gewählte Kategorisierung ist dabei keineswegs zwingend. Bitte verstehen Sie ferner die Bezeichnung "Compliance-Unterstützungsprozesse" nicht ...