als „Process Owner“ jeweils über umfangreiches Wissen über die spezifischen Compliance-Risiken verfügen. So kann es sich etwa zur Steuerung der Compliance-Risiken im operativen Betrieb empfehlen, durch spezifische Risikoanalysen und Kontrollen bestimmte Prozesse mit besonderen Compliance-Risiken (z.B. im Einkauf und Vertrieb) systematisch daraufhin zu untersuchen, inwieweit gegen bestehende Regeln verstoßen werden könnte (z.B. bei der Vergabe von Aufträgen im Einkaufsprozess).322 Je nach Untersuchungsergebnis können dann spezifische Maßnahmen zur Prävention von Fehlverhalten eingeführt werden, wie beispielsweise besondere Kontroll-, Dokumentations- oder Freigabeprozesse.323 Bei der Zusammenarbeit mit Lieferanten kann es sich anbieten, diese durch einen Auswahlprozess (unter Einbeziehung von Compliance- und Integritätsaspekten) zu selektieren und durch einen separaten Verhaltenskodex auf rechtskonformes Verhalten und bestimmte ethische Grundsätze zu verpflichten.324
84
Im Zusammenhang mit den Geschäftspartnern des Unternehmens empfiehlt sich die Durchführung einer sog. „Third Party Due Diligence“ vor Abschluss von Transaktionen.325 Dieses besondere Verfahren zur Einschätzung und Steuerung von Compliance-Risiken spielt angesichts der Integration vieler Unternehmen in komplexe Wertschöpfungsketten326 und damit verbundenen Verantwortungszuweisungen eine immer größere Rolle.
6. Koordination der Zusammenarbeit mit anderen Unternehmensfunktionen
85
Wie gezeigt, gibt es für die Wahrnehmung von Compliance-Aufgaben kein einheitliches Modell, sondern – je nach Unternehmenssituation – viele unterschiedliche Gestaltungen, bei denen häufig andere Unternehmensfunktionen (z.B. Rechtsabteilung, Risikomanagement und interne Revision) oder Unternehmensbeauftragte (z.B. Datenschutzbeauftragte, Arbeitssicherheitsbeauftragte, Exportkontrollbeauftragte) bestimmte Compliance-Aufgaben (mit-)erfüllen.327 Im Hinblick auf die Wirksamkeit des Compliance Managements ist eine effiziente Koordination der verschiedenen Kompetenzen und Aktivitäten wichtig (sog. „Schnittstellenmanagement“).328 Dabei ist darauf zu achten, dass im Unternehmen vorhandene Erfahrungen und Kompetenzen zu Compliance-Fragen abteilungsübergreifend erfasst und integriert werden.329
7. Einrichtung von wirksamen Kontrollen und Feedback-Prozessen
86
Um sicherzustellen, dass die relevanten Compliance-Regeln und Prinzipien in allen Unternehmensbereichen und von allen Unternehmensangehörigen tatsächlich eingehalten werden, ist eine systematische Überwachung und Kontrolle unabdingbar – das Compliance-System ist nur so gut wie seine beste Kontrolle.330 Dabei ist zunächst zu beachten, dass die primäre Kontroll- und Überwachungspflicht grundsätzlich bei der Geschäftsleitung verbleibt, einzelne Kontroll- und Überwachungsaufgaben können aber an den Compliance Officer delegiert werden.331 Umfang und Ausgestaltung der erforderlichen Aufgaben und Maßnahmen richten sich wiederum nach den individuellen Besonderheiten des Unternehmens und dessen Compliance-Risiko-Struktur.332 Jedoch ist stets darauf zu achten, dass die entsprechenden Kontrollmaßnahmen regelkonform sind: Bei Kontrollen sind fast immer personenbezogene Daten betroffen, so dass beispielsweise die Vorgaben des Datenschutzrechts zu berücksichtigen sind.333
8. Aufklärung von Verstößen und Bedeutung von Hinweisgebersystemen
87
Auch die Aufdeckung und Aufklärung von Compliance-Verstößen ist ein wichtiges Element des Compliance Managements.334 Denn einerseits gibt es in jedem Unternehmen Fälle vorsätzlicher Regelverletzungen, andererseits kann auch die beste Schulung fahrlässige Regelverstöße nicht absolut ausschließen. Zur Aufdeckung von Regelverletzungen nutzen viele Unternehmen sog. Hinweisgebersysteme (durch den Einsatz von Ombudspersonen oder durch sog. „Whistleblowing-Systeme“).335 Dadurch sollen die Unternehmensangehörigen die Möglichkeit anonymer Hinweise auf Regelverstöße erhalten.336 Die Ausgestaltung im Einzelnen richtet sich nach den Besonderheiten des jeweiligen Unternehmens, in jedem Fall ist auch bei der Ausgestaltung von Hinweisgebersystemen die Einhaltung relevanter arbeitsrechtlicher und datenschutzrechtlicher Vorgaben zu beachten.337 In der Unternehmenspraxis existieren viele unterschiedliche Modelle von Hinweisgebersystemen, in mittelständischen und kleineren Unternehmen werden Compliance Officer oder Ombudsleute mit dieser Funktion betraut.338 Dies wird sich mit der Umsetzung der am 23.10.2019 verabschiedeten EU-Hinweisgeberrichtlinie339 in deutsches Recht und den damit verbundenen Anforderungen ändern.
9. Konsequente Sanktionierung von regelwidrigem Verhalten
88
Für den Erfolg des Compliance Managements ist die konsequente Sanktionierung festgestellter Regelverletzungen nicht zu unterschätzen. Denn der Umgang mit aufgedeckter „Non-Compliance“ wird von den Unternehmensangehörigen unmittelbar registriert und kann erhebliche Auswirkungen auf die Integritäts- und Compliance-Kultur haben.340 Sofern die Geschäftsleitung Regelverstöße toleriert oder nicht mit genügendem Nachdruck verfolgt, kann bei vielen Unternehmensangehörigen der fatale Eindruck entstehen, Compliance sei nur ein „Lippenbekenntnis“. Dieser Eindruck kann die konzeptionellen Bemühungen vollständig konterkarieren, da sich manche die Frage stellen werden, ob sich ein regelkonformes Verhalten überhaupt lohnt. Im Compliance Management bestätigt sich damit der Grundsatz, dass sich die Wirksamkeit von Normen auch an der Wahrnehmung ihrer Durchsetzung bemisst.
10. „Legal Monitoring“ und regelmäßige Aktualisierung
89
Da sich die rechtlichen Rahmenbedingungen unternehmerischen Handelns durch die oben exemplarisch beschriebenen vielfältigen Aktivitäten der Gesetzgeber und Normsetzer auf nationaler und internationaler Ebene sowie durch Vorgaben der Gerichte ständig verändern, besteht für das Compliance Management ein kontinuierlicher Überprüfungs- und Anpassungsbedarf.341 Dies erfordert die kontinuierliche Beobachtung und Analyse aktueller Rechtsentwicklungen im Sinne eines „Legal Monitoring“. Im Rahmen sog. „Compliance Audits“ ist regelmäßig ferner zu fragen, inwieweit ein Unternehmen hinreichende, d.h. den unternehmensspezifischen Compliance-Risiken angepasste Compliance-Maßnahmen etabliert und umgesetzt hat: Sofern bereits ein Compliance Management etabliert wurde, kann sich dessen mangelnde Eignung zur Einhaltung rechtlicher Vorgaben durch das Unternehmen und dessen Mitarbeiter herausstellen und zu einer Neuausrichtung zwingen.342 Insbesondere aus einem aufgeklärten Regelverstoß resultiert die Pflicht, aber zugleich die Chance, das Compliance Management anzupassen bzw. neue Compliance-Maßnahmen zu entwickeln.343
11. Angemessene Dokumentation
90
Für den Nachweis eines funktionierenden Compliance Managements ist schließlich die die sorgfältige Dokumentation der implementierten Compliance-Strukturen, Prozesse und Maßnahmen wichtig.344 Die Dokumentation des Compliance Managements kann der Unternehmensleitung in Fällen von „Non-Compliance“ helfen, die Erfüllung ihrer Organisationspflichten nachzuweisen.345
IV. Vorteile eines effektiven Compliance Managements
91
Gelingt es, mit der Einführung und regelmäßigen Aktualisierung der oben beschriebenen Strukturen, Prozesse und Maßnahmen ein wirksames Compliance Management zu schaffen, so hat dies für Unternehmen und Verbände zahlreiche Vorteile.
1. Prävention
