Neuer Standard bietet Orientierung im Compliance-Dschungel

Das Stichwort Compliance umfasst dabei die Einhaltung von Gesetzen, unternehmensinternen Richtlinien, freiwilligen Kodizes und ethischen Grundsätzen. Die Nichteinhaltung von zu beachtenden Regeln kann für Unternehmen zu gravierenden wirtschaftlichen Nachteilen sowie für die Unternehmensorgane zu persönlichen Haftungs- und strafrechtlichen Risiken führen. Ein aktuelles Beispiel für diese oft unterschätzten Gefahren ist der im Juli 2011 in Kraft getretene UK-Bribery-Act. Das englische Antikorruptionsgesetz gilt als eines der härtesten der Welt und kann für deutsche Unternehmen, die in England aktiv sind, zu einer echten Compliance-Falle werden. Unternehmen, die beim Thema Compliance auf der sicheren Seite sein wollen, sollten daher über die Einführung eines Compliance Management Systems (CMS) nachdenken.

Erstmals definiert nun ein Standard die Grundelemente eines CMS und bietet Verantwortlichen in Unternehmen eine Richtschnur zur Einhaltung ihrer Compliance-Verpflichtungen. Der im März 2011 vom Institut der Wirtschaftsprüfer (IDW) verabschiedete IDW PS 980 benennt die Grundsätze und Grundelemente, die ein CMS aufweisen sollte.

IDW-PS 980 empfiehlt für ein angemessenes CMS die folgenden Grundelemente:

1. Compliance-Kultur: Die Kultur ist die Grundlage für die Angemessenheit und Wirksamkeit des CMS. Sie wird geprägt durch die Grundeinstellungen und Verhaltensweisen des Managements und Aufsichtsorgans.

2. Compliance-Ziele: Die gesetzlichen Vertreter legen auf Basis der Unternehmensziele die Ziele fest, die mit dem CMS erreicht werden sollen. Dies umfasst insbesondere die Festlegung der in den einzelnen Teilbereichen einzuhaltenden Regeln.

3. Compliance-Organisation: Hier werden die Rollen und Verantwortlichkeiten (Aufgaben) sowie die Aufbau- und Ablauforganisation im CMS als wesentlicher Bestandteil der Unternehmensorganisation festgelegt.

4. Compliance-Risiken: Es erfolgt eine Feststellung und Analyse der Risiken, die Verstöße gegen Regeln zur Folge haben können, in einem systematischen Verfahren der Risikoerkennung und -berichterstattung.

5. Compliance-Programm: Auf der Grundlage der Compliance-Risiken werden Grundsätze und Maßnahmen eingeführt, die auf die Begrenzung der Risiken und damit auf die Vermeidung von Compliance-Verstößen ausgerichtet sind.

6. Compliance-Kommunikation: Die Mitarbeiterinnen und Mitarbeiter und ggf. Dritte werden über das Compliance-Programm und die damit verbundenen Verantwortlichkeiten informiert, damit diese ihre Aufgaben sachgerecht erfüllen. Es wird festgelegt, wie Risiken und Hinweise auf mögliche und festgestellte Regelverstöße kommuniziert werden.

7. Compliance-Überwachung und Verbesserung: Die Angemessenheit und Wirksamkeit des CMS werden in geeigneter Weise überwacht. Kommt es bei der Überwachung zur Feststellung von Schwachstellen oder Verstößen, werden Verbesserungen des CMS eingeleitet.

Zweifel innerhalb des Unternehmens, von Aufsichtsorganen und auch von externen Stakeholdern an Angemessenheit und Wirksamkeit eines Compliance-Systems lassen sich häufig mit einer externen Prüfung des Systems ausräumen. Der Standard definiert die Bestandteile des CMS, dessen Prüfung in mehreren Schritten von unterschiedlicher Intensität durchgeführt werden kann. Die einzelnen Prüfungsschritte bauen dabei aufeinander auf.

Konzeption des CMS: Es wird beurteilt, ob die Angaben des Unternehmens zur Konzeption des CMS zutreffend und vollständig sind und ob die Beschreibung auf sämtliche Grundelemente eingeht, die der Standard definiert.

Angemessenheit des CMS: Basierend auf der Konzeption des CMS wird geprüft, ob die Ausgestaltung und Implementierung der Grundsätze und Maßnahmen des CMS geeignet sind, Risiken für wesentliche Regelverstöße mit hinreichender Sicherheit rechtzeitig zu erkennen und Verstöße zu verhindern.

Wirksamkeit des CMS: Basierend auf der Konzeption und Implementierung des CMS wird geprüft, ob die Grundsätze und Maßnahmen des CMS wirksam sind, ob sie innerhalb des Unternehmens bei der allgemeinen Geschäftstätigkeit beachtet werden.

Bei allen drei Auftragsarten besteht die Möglichkeit, die Prüfung projektbegleitend durchzuführen. Der CMS Prüfer wird damit nicht erst nach vollständig erfolgter Implementierung des CMS tätig, sondern kann seine prüferischen Feststellungen bereits während der Entwicklungs- und Implementierungsphase in das Projekt einbringen.

Quelle: Warth & Klein Grant Thornton