Compliance-Gefährdungsanalyse: Risiken identifizieren, G ... / 2 Die Gefährdungsanalyse

2.1 Der Nutzen für das Unternehmen – Geordnete Bestandsaufnahme und Anregung zum genauen Hinschauen

Natürlich können für die Beurteilung der Compliance-Risiken eines Unternehmens besondere Kenntnisse erforderlich sein. Das gilt insbesondere für die Fülle straf- oder bußgeldbewehrter arbeits-, sozial-, gesundheits- und gewerberechtlicher Normen und Branchenstandards. Wer ein Unternehmen längere Zeit führt, kennt in der Regel aber dessen wesentliche Compliance-Risiken. Ob er diese in der Bedeutung richtig einordnet, steht auf einem anderen Blatt.

Zudem finden Rechtsverstöße und Unredlichkeiten typischerweise im Verborgenen statt. Die Erfahrung aus größeren Compliance-Fällen zeigt immer wieder, dass die Risikoursachen im Unternehmen bereits bekannt waren, man diese aber verdrängt hat oder nicht darüber sprechen wollte. Der Wert einer Compliance-Gefährdungsanalyse liegt daher in erster Linie nicht so sehr in der Aufdeckung, Kategorisierung und der systematischen Erfassung von Risiken. Vielmehr kommt es darauf an, die Führungskräfte dazu zu veranlassen, sich in einer geordneten Vorgehensweise mit den möglichen oder bekannten Risiken in ihrem Verantwortungsbereich und den zugrundeliegenden Sachverhalten zu befassen, anstatt diese Themen als "unproduktive" Aufgaben beiseite zu schieben.

2.2 Besonderheiten bei Compliance-Risiken

Compliance-Risiken sind unter der Rubrik "Operative Risiken – Rechtsrisiken" Teil des allgemeinen Risikomanagementsystems des Unternehmens. Vor diesem Hintergrund haben sie einige Besonderheiten:

• Generell gilt der Grundsatz: Keine Chancen ohne Risiken. Aufgabe des allgemeinen Risikomanagements ist es daher, Chancen und Risiken unter Abschätzung von Wahrscheinlichkeit, Schadenshöhe und Kosten zu optimieren und mögliche Auswirkungen auf den Unternehmenserfolg zu dokumentieren.
• Demgegenüber akzeptiert der staatliche Durchsetzungsanspruch für straf- oder bußgeldbewehrte Normen grundsätzlich keine wirtschaftliche Risikoabwägung, die sich an Eintrittswahrscheinlichkeiten und Folgebewertung orientiert. Wer so vorgeht – und dies durch seine Risikoerfassung und Berichterstattung auch noch unterstreicht – riskiert den Vorwurf, Rechtsverstöße fahrlässig oder wissentlich in Kauf genommen zu haben.
• Soweit es um straf- oder bußgeldbewehrte Normen geht, besteht deshalb für die Umsetzung von Vorschlägen zur Reduzierung von Compliance-Risiken kein unternehmerischer Spielraum.
• Viele Compliance-Risiken ähneln Katastrophenrisiken. Sie realisieren sich zum Glück so selten, dass Mitarbeiter sinnvollerweise keine eigenen erfahrungsbasierte Eintrittswahrscheinlichkeiten und Folgebewertungen abgegeben können.
• Compliance-Risiken sind häufig mit persönlicher Verantwortung der zuständigen Führungskräfte verbunden. Das spiegelt sich bei Risikobewertungen im Wege der Selbsteinschätzung wieder: Umfeldbedingte, nicht persönlich zuordenbare Compliance-Risiken werden eher hoch eingeschätzt; ebenso Risiken, die zur Begründung von Budget- oder Personalanforderungen dienen können. Risiken, die auf persönlich zurechenbares Verhalten zurückgehen oder besondere Führungsverantwortung verlangen, werden eher niedrig bewertet.

2.3 Was folgt daraus für die Risikoerfassung und -beurteilung?

• Allgemein gehaltene Selbsteinschätzungsfragebogen für Compliance-Risiken geben eine erste Orientierung und erhöhen die Compliance-Aufmerksamkeit.
• Zum Aufzeigen von Schwachstellen oder als Grundlage für Präventionsmanagement haben sie eher eine geringe bzw. möglicherweise irreführende Aussagekraft.
• Sie sollten daher durch detaillierte Fragen nach objektiven, risikorelevanten Sachverhalten (Schwachpunkt oder Risikobiotop Prüflisten) unterfüttert werden.
• Das erhöht zugleich Qualität und persönliche Zurechenbarkeit der abgegebenen Risikobeurteilung.
• Eine genauere Befragung nach wahrscheinlicher Schadensfrequenz und Schadenshöhe von Compliance-Risiken sollte unterbleiben.
• Wenn Compliance-Risiken über eine Ersteinschätzung hinausgehen, sollten sie in jedem Fall unter Mitwirkung des Compliance-Beauftragten oder eines Beraters erfolgen.
• Hierdurch wird auch dafür Sorge getragen, dass Fachkenntnisse (anwendbare Rechtsnormen, Risikoereignisse bei anderen Unternehmen) mit in die Risikobetrachtung einfließen.

2.4 Was folgt daraus für Risikomanagement, Prävention und Wirksamkeitskontrolle?

• Risikoreduzierende Maßnahmen sollten bei Erfassung von Compliance-Risiken nicht – wie sonst bei Risikoinventuren üblich – im Sinne einer Ideensammlung und Anregung beigefügt werden sondern nur als bereits gezielter Vorschlag nach Vorabprüfung über die Umsetzbarkeit erfolgen.
• Generell sollten die Standardprozesse des Unternehmens darauf ausgelegt sein, normalen Compliance-Risiken Rechnung zu tragen.
• Besondere Compliance-Prozesse sollten nach Möglichkeit nur für neue Compliance-Risikofelder oder erhöhte Compliance-Risiken vorgesehen werden.
• Die ergänzenden Compliance-Prüflisten können auch als Wirksamkeitskontrolle für die Umsetzung von Präventionsmaßnahmen verwendet werden.
• Gefährdungsanalyse und Umsetzungs- sowie Wirksamkeitskontrolle können damit auf Grundlage gleicher oder ähnlicher Prüflisten erfolgen.