Christoph Naucke, Dr. Christian Corell
Der erste Satz in der Formulierung des ersten Grundelements "Compliance-Kultur" im IDW PS 980 lautet nicht zufällig unverändert: "Die Compliance-Kultur stellt die Grundlage für die Angemessenheit und Wirksamkeit des CMS dar." Dass der Umgang der gesetzlichen Vertreter mit erkannten Compliance-Verstößen und die tatsächliche Bewältigung von Compliance-Risiken dem hohen Anspruch der CMS-Beschreibung gerade nicht gerecht werden könnten, ist eine der elementaren Gefahren der Compliance-Praxis und, in der Folge, der Prüfungspraxis.
Im sog. Neubürger-Urteil wurde dem Beklagten vorgeworfen, er habe nicht für ein funktionierenden CMS gesorgt. In einem späteren Interview erläuterte der Vorsitzende Richter Dr. Helmut Krenek diesen Vorwurf: "Das Compliance-System hat bei Siemens zum damaligen Zeitpunkt nicht funktioniert. Das hätte man daran sehen können, dass es trotz Anmahnungen aus dem Vorstand immer wieder zu Korruptionsfällen gekommen ist. Aber dann ist doch hinreichend klar, dass der Vorstand, wenn er merkt, es funktioniert nicht, etwas tun muss. Es war aus Überzeugung der Kammer in dem entschiedenen Fall gerade kein Ausreißer". Bei der Frage nach einem Organisationsverschulden der gesetzlichen Vertreter als (Mit-)Ursache eines Compliance-Verstoßes geht es immer um die zentrale Frage, ob es sich bei der CMS-Beschreibung eher um die Abbildung idealtypischer Wunschbilder oder um tatsächlich gelebte Compliance handelt, deren konsequente Einhaltung und Umsetzung sich durch das dokumentierte Handeln der gesetzlichen Vertreter belegen lässt. Damit wird die Frage der Compliance-Kultur zur "Gretchenfrage" des CMS.
Wenn der IDW PS 980 n. F. von "Risiken wesentlicher falscher Darstellungen in der CMS-Beschreibung" spricht, referenziert er wesentlich auf dieses Problem. Der zugehörige Abschnitt ist folgerichtig deutlich ausführlicher. Besonders klare Aussagen finden sich dann im Abschnitt 3.4.4 zum Prüfungsurteil: "Sind die falschen Darstellungen [in der CMS-Beschreibung] so bedeutend oder so zahlreich, dass nach der pflichtgemäßen Beurteilung des CMS-Prüfers keine Einschränkung [des Prüfungsurteils] […] mehr in Frage kommt, z. B. weil aufgrund […] einer ungünstigen Compliance-Kultur die Regelungen des CMS insgesamt als nicht angemessen anzusehen sind, ist das Prüfungsurteil zu versagen."
Auch wenn diese Forderung im Kern schon bestand, hat sich ihre Auswirkung durch erhebliche Präzisierung des einschlägigen Anwendungshinweises deutlich erhöht. Als neue sog. kulturprägende Determinanten werden genannt: Die Förderung einer konstruktiven Fehlerkultur und die Art und Weise des Umgangs mit internen und externen Konflikten. Weiter heißt es: "Eine authentische Compliance-Kultur lebt von einer regelmäßigen bewussten Reflektion der kulturellen Rahmenbedingungen der Organisation. Zu diesem Zweck kann es erforderlich sein, die Compliance-Kultur zu operationalisieren […]." Unter den Beispielen dafür finden sich: Die organisatorische Verankerung der Compliance-Kultur auf der Leitungsebene, die regelmäßige Reflektion der gelebten Compliance-Kultur und das regelmäßige kritische Hinterfragen der Ursachen von Fehlverhalten ("Root Cause Analysis").
Auch enthält die betreffende Ziffer neuerdings eine Liste von sieben beispielhaften Merkmalen der Compliance-Kultur. Diese sind u. a.
- die Aufstellung von eindeutigen Verhaltensgrundsätzen
- das integre, werteorientierte Verhalten der Mitglieder des Managements auf allen Managementebenen, den Führungsstil und die Personalpolitik
- die Bereitstellung eines Hinweisgebersystems
- die Frage von Anreizsystemen
Fehlsteuerungen durch falsche Anreize verursachen oft Compliance-Verstöße. Ziel sollten stattdessen Anreizsysteme sein, "mit denen regelwidriges Verhalten verhindert und regelkonformes Verhalten gefördert wird, einschließlich der Berücksichtigung von Werteorientierung und Compliance bei der Festlegung variabler Vergütungsbestandteile und der dafür zu erreichenden Ziele, im Einstellungsprozess, bei Personalbeurteilungen und Beförderungen."
Ein weiterer Beleg der Bedeutung der Compliance-Kultur findet sich in einer Ergänzung der Anwendungshinweise im Abschnitt Compliance-Kommunikation: „Die Frequenz der Kommunikation sowie der Detailgrad […] ist den speziellen Risiken der Empfänger(-gruppen) angepasst. Bei besonders exponierten Personen kann sich eine individuell zugeschnittene und gegebenenfalls Ereignisorientierte Kommunikation anbieten.“
Abschließend gilt das Augenmerk einer unveränderten Formulierung in den Anwendungshinweisen im Bereich der Compliance-Überwachung und -Verbesserung: "Ergeben sich im Rahmen der Überwachung oder bei sonstigen Maßnahmen des CMS Hinweise auf Regelverstöße von Mitarbeitern oder Dritten, werden als Bestandteil der Durchsetzung des CMS erkennbare Maßnahmen getroffen, um solche Vorfälle in der Zukunft zu vermeiden."
Im Ergebnis reicht für den Nachweis einer angemessenen Compliance-Kultur das Erkennen und Dokumentieren von Compliance-Verstößen nicht aus, zusätz...