wie Dritten die Möglichkeit eingeräumt werden, geschützt Hinweise auf Rechtsverstöße im Unternehmen zu geben.
22
Die höhere Bedeutung von CSR entspricht dem neueren Begriffsverständnis,88 wonach Corporate Social Responsibility nicht mehr nur Gegenstand freiwilliger Selbstverpflichtung ist, sondern die Verantwortung von Unternehmen für ihre Auswirkungen auf die Gesellschaft beschreibt: Dabei markiert die Einhaltung des geltenden Rechts (Compliance) nur das Minimum unternehmerischer Verantwortung, Unternehmen sollen darüber hinaus aber auch Auswirkungen auf soziale, ökologische, wirtschaftsethische Belange sowie die Menschenrechte berücksichtigen.89 Viele Unternehmen integrieren Fragen nach ihrer gesellschaftlichen Verantwortung in die Erklärung ihrer Unternehmenswerte, z.B. im Rahmen eines Code of Conduct.90
9. Verbindungslinien zum Reputationsmanagement
23
Wie die aktuelle Diskussion um Corporate Social Responsibility zeigt, wird der unternehmerische Verantwortungsbereich durch diverse CSR-Vorgaben und Initiativen für verantwortliches gesellschaftliches Handeln erweitert, ohne dass dabei die Frage nach dem wünschenswerten Umfang unternehmerischer Verantwortung einerseits und dem rechtlich zulässigen Maß der Begrenzung unternehmerischer Aktivität andererseits stets im Einzelnen geklärt wäre.91 Zu bereits existierenden und oben exemplarisch skizzierten umfangreichen Rechtspflichten tritt ein Trend der „Verrechtlichung“ unterschiedlicher Anforderungen des „Soft Law“ hinzu, wie dies etwa die Pflicht zur CSR-Berichterstattung, die erforderlichen Compliance-Maßnahmen nach der EU-Konfliktmineralien-Verordnung92 oder die geplanten menschenrechtliche Sorgfaltspflicht in dem geplanten Lieferketten-Gesetz verdeutlichen.93 Diese Beispiele zeigen: Von Erwartungen an Integrität und verantwortungsvolles Unternehmertum bis hin zu Rechtspflichten und deren Durchsetzung kann es im Kontext neuer Entwicklungen teilweise nur ein kleiner Schritt sein – es entwickelt sich ein neuer Bereich der „CSR-Compliance“.94
24
Die Beachtung von CSR-Anforderungen kann im Interesse der Sicherung der Unternehmensreputation auch jenseits der Rechtsverbindlichkeit geboten sein. Die Reputation eines Unternehmens gilt als bedeutender immaterieller Vermögensgegenstand.95 Die sog. Image- und Reputationsschäden sind häufig schwer zu beziffern, sie können aber zu erheblichen Verlusten und Nachteilen bis hin zu einem Einbruch des Börsenwerts führen.96 Der Schutz der Reputation spielt daher eine zentrale Rolle, das positive Image des Unternehmens in der Öffentlichkeit und bei den maßgeblichen Bezugsgruppen (Mitarbeiter, Kunden, Lieferanten, Investoren etc.) kann durch „Non-Compliance“ nachhaltig beeinträchtigt oder ganz zerstört werden.97 Reputationsrisiken und „Reputationsmanagement“ haben sich zu wichtigen Themen für das Compliance- und Risikomanagement entwickelt.98 Somit ist die Identifikation und Steuerung von Reputationsrisiken ein wichtiger Bestandteil des Compliance Managements.99
25
Da die Missachtung ethischer Verhaltenserwartungen der Stakeholder ebenso zu Imageschäden und Reputationseinbußen führen kann wie die Missachtung rechtlicher Vorgaben,100 sollte die Unternehmensleitung im Einzelfall erwägen, zum Schutz vor Reputationsverlusten auf eine Gewinnoptimierung aus ethischen Aspekten zu verzichten.101 Wie die im Nachhaltigen Aktionsplan (NAP)102 formulierten Erwartungen der Regierung an verantwortliches Handeln der Unternehmen und die damit verbundene Diskussion um die Notwendigkeit eines sog. „Lieferkettengesetzes“ exemplarisch zeigen, kann es sich für die jeweilige Unternehmensleitung empfehlen, das eigene Geschäftsmodell und die Unternehmensstrategie nicht allein auf Rechtskonformität, sondern auch auf ethisch einwandfreie Gestaltungen hin zu überprüfen.
26
Die gezeigten Beispiele umfangreich bestehender Rechtspflichten sowie neuer Anforderungen und weitergehender Trends zur „Verrechtlichung“ vormals freiwilliger Verantwortungsbereiche verdeutlichen, dass Compliance Management für Unternehmen und Verbände sowie deren Leitungsorgane eine dauerhafte und anspruchsvolle Aufgabe ist.103 Infolge vielfältiger, komplexer sowie teils unklarer bzw. auslegungsbedürftiger Vorgaben müssen Entscheidungen häufig unter Rechtsunsicherheit getroffen werden.104
II. Vorgaben und Orientierungshilfen für Compliance Management
1. Compliance-Organisationspflicht als verbandsübergreifende Ausprägung der Leitungsverantwortung
27
Wie ausgeführt, steht im Fokus prominenter Regelverstöße häufig die Frage nach der Verantwortung der Geschäftsleiter für fehlendes oder mangelhaftes Compliance Management.105 Denn eine der Besonderheiten von Compliance-Fällen liegt in der Pflicht von Geschäftsleitern, nicht nur das eigene, sondern auch das rechtmäßige Verhalten aller Unternehmensangehörigen sicherzustellen (Legalitäts- bzw. Legalitätskontrollpflicht).106 Ursprung, Umfang und Grenzen dieser Pflicht sind seit langem prominenter Gegenstand rechtswissenschaftlicher Diskussion und beschäftigen zunehmend die Gerichte.107
28
Allerdings empfiehlt es sich, hierbei zu differenzieren.108 Die Compliance-Pflicht im Sinne einer Organisationspflicht zur Einhaltung rechtlicher Vorgaben und der Verhinderung regelwidrigen Verhaltens im Unternehmen ist zutreffend als ein allgemeiner, rechtsformübergreifender Grundsatz des Verbandsrechts beschrieben worden,109 denn sie stellt eine besondere Ausprägung der Leitungsverantwortung dar, wonach jeder Geschäftsleiter im Rahmen seiner sog. Leitungssorgfaltspflicht auf die Normeinhaltung durch den Verband und im Verband zu achten hat.110 Compliance ist eine rechtsform-, struktur- und größenunabhängige Pflichtaufgabe eines jeden Geschäftsleiters,111 denn jeder Verband ist so zu organisieren, dass Rechts- und Regelverstöße verhindert werden.112
29
Soweit die Geschäftsleiter nicht selbst und höchstpersönlich für die Erfüllung von Rechtspflichten verantwortlich sein sollen (z.B. im Zusammenhang mit steuer- und sozialversicherungsrechtlichen Anforderungen, datenschutzrechtlichen Vorgaben oder Pflichten im Zusammenhang mit einer Insolvenz),113 müssen sie entsprechende organisatorische Maßnahmen treffen, um rechtskonformes Verhalten der Unternehmensangehörigen sicherzustellen und Regelverletzungen möglichst zu vermeiden.114 Dieser Organisationsauftrag115 der Geschäftsleitung umfasst sowohl die Entscheidung über die Einführung von Compliance-Maßnahmen als auch über die wesentlichen Strategie- und Strukturentscheidungen bezüglich des Compliance Managements.116 Dieses Kernbestands an Organisationsaufgaben kann sich die Unternehmensleitung nicht entäußern bzw. durch Delegation entziehen.117
2. Individuelle Ausgestaltung des Compliance Managements
30
Dagegen richtet sich die jeweilige Ausgestaltung des Compliance Managements, d.h. Art und Umfang der erforderlichen Compliance-Maßnahmen (einschließlich einer etwaigen „Compliance-Organisation“) stets nach dem individuellen Risikoprofil und den Besonderheiten des jeweiligen Unternehmens oder Verbands. Als relevante Kriterien für die individuelle Ausgestaltung gelten u.a.:118
– Branche bzw. Industriesektor;
– regulatorisches Umfeld;
– Unternehmensgröße und Struktur;
– Kapitalmarktzugang;
– Geschäftsmodell (insbesondere Vertriebsstruktur);
– internationale Präsenz bzw. Auslandsaktivitäten;
–
