Compliance-Management: Bedeutung, Aufgabenschwerpunkte u ... / 2.7 Compliance-Management-System – Aufbau- und Ablauforganisation im Sitzungsformat

Mit der Tagesordnung und den Unterlagen für die Sitzungen der Koordinationsgruppe können Sie Aufbau-und Ablauforganisation des unternehmensinternen CMS in Verbindung mit der RICKO-Geschäftsordnung ohne weitere zusätzliche Beschreibungen festlegen.

2.7.1 Tagesordnung

Die Tagesordnung führt zunächst die Arbeitsgebiete auf, die im Rahmen eines Compliance-Management-Systems regelmäßig zu behandeln sind, z. B. Korruptionsbekämpfung, Datenschutz, Exportkontrolle, Arbeitssicherheit. Damit können Sie den im der Konzeption festgelegten Compliance-Umfang abbilden.

Dabei ist jeweils anzugeben,

• mit welcher Zielsetzung die Themen in einer Sitzung aufgerufen sind (Berichterstattung, Risikobeurteilung, Beschlussfassung, Wirksamkeitskontrolle),
• wer hierzu berichten oder Vorschläge machen soll und
• welche Unterlagen jeweils vorzulegen sind.

Über die Angabe der vortragenden Person(en) lässt sich festlegen, wer für ein bestimmtes Thema verantwortlich sein soll. Während sich Zuständigkeiten im Schnittstellenbereich verschiedener Funktionen mit Allgemeingültigkeitsanspruch nur schwer konkret festlegen lassen, fällt das im Hinblick auf konkrete Aufgabenstellungen erfahrungsgemäß leichter. Schon deshalb, weil es dann um die Zuweisung konkreter Aufgaben geht, die die eigenen Ressourcen belasten und mit Risiken verbunden sind. Wir haben die Erfahrung gemacht, dass auf diese Weise – sozusagen in einem Angebots- und Testverfahren unter zentraler Steuerung – Zuständigkeits- und Schnittstellenfragen im Unternehmen reibungslos und wirksam geklärt werden können.

Zusammen mit der Ergebnisspalte und den vorbereitenden Anlagen kann die Tagesordnung als Ergebnisprotokoll dienen. In der Regel sollte nur das Ergebnis, nicht der Verlauf der Erörterung dokumentiert werden. Damit bleiben die Protokolle kurz. Sie verhindern "Schwarzer Peter"-Strategien und verhindern ungenaue oder überschießende Formulierungen, die bei Dritten Anlass zu Missverständnissen geben könnten.

2.7.2 Themenfolge

Die Tagesordnungsfolge der RICKO-Themen folgt der Ablauforganisation des CMS. Fachübergreifende Themen, wie z. B. Änderungen der Gefährdungsanalyse, neue gesetzliche Anforderungen, Schulung und Training, Berichterstattung über besondere Ereignisse, Störfalluntersuchungen und Konsequenzenmanagement, sollten regelmäßig aufgerufen werden. Andere Themen können schwerpunktmäßig in bestimmten Sitzungen behandelt werden. Wir stellen nachfolgend eine mögliche Themenfolge dar, wie sie die RICKO-Mustertagesordnung vorschlägt. Dabei weisen wir auch kurz auf Sachüberlegungen und Empfehlungen hin, die für die Behandlung des jeweiligen Themas nützlich sein können.

2.7.3 Risikoprofil und Gefährdungsanalyse

Zu Beginn stehen Risikoprofil und Gefährdungsanalyse. Ausgangspunkt sind die im Rahmen der allgemeinen Risikoanalyse getroffenen Feststellungen. Hiervon ausgehend erfolgt dann eine eigenständige Beurteilung der Compliance-Risiken (Kapitel "Compliance-Gefährdungsanalyse").

2.7.4 Feedback-Verfahren

Während des Geschäftsjahres ist die ursprüngliche Risikobeurteilung einem fortlaufenden Feedback-Verfahren zu unterziehen. Hierin fließen natürlich alle Fälle ein, in denen sich Compliance-Risiken realisiert haben, außerdem Beratungsfälle, die Hinweise auf Risiken, Verstöße oder Verbesserungsmöglichkeiten enthalten, sowie anonyme Hinweise und Compliance-veranlasste Untersuchungen. Solche Untersuchungen können

• prozessbezogen sein, wenn es um Verfahrensschwächen bzw. Verbesserungsmöglichkeiten geht,
• oder personenbezogen, wenn persönliches Fehlverhalten behandelt werden soll.

Unter der Rubrik "Compliance-Nachrichten" sollte nach neueren Entwicklungen bei Wettbewerbern, in Gesetzgebung und Rechtsprechung oder bei Aufsichtsbehörden gefragt werden, die eine Änderung der Risikobeurteilung zur Folge haben könnten. Wichtig ist, dass auch Nullmeldungen – also keine Hinweise auf Veränderungsbedarf – protokolliert werden, um das Funktionieren des Feedback-Verfahrens dokumentieren zu können.

2.7.5 Compliance-eigene Unterstützungs- und Kontrollprozesse

Hieran können sich dann Berichterstattung und Beschlussfassung zu fach- und funktionsübergreifenden Compliance-eigenen Unterstützungs- und Kontrollprozessen anschließen.

Das beginnt mit dem Konsequenzenmanagement. Feststellungen über Compliance-Ereignisse im Feedback-Verfahren führen zur Frage nach den Folgen für Verfahren oder Personen. Hierbei sollte man unterscheiden zwischen

• internen Konsequenzen, wie Beratung, Personalgespräch, arbeitsrechtlichen Maßnahmen, und
• der Einschaltung Externer (in der Regel Aufsichts- oder Strafverfolgungsbehörden). Die Entscheidung über die Einschaltung externer Dritter wird im Regelfall bei der Geschäftsleitung, nicht beim Compliance-Beauftragten oder der Risiko- und Compliance-Koordinationsgruppe liegen. Allerdings sollte der Compliance-Beauftragte an solchen Entscheidungen mitwirken.

Kommunikationsthemen sind schon im Normalbetrieb ein wesentlicher Faktor für die Compliance-Kultur Ihres Unternehmens. Bei Compliance-Störfällen/-anlässen sind Kommunikationsmaßnahmen gegenüber Mitarbeitern, Geschäftspartnern, Behörden und der Öffentlichkeit unverzichtbarer Teil des Krisen- und Konsequenzenm...