allgemeinen Risikomanagement, da sich auch für Compliance-Risiken die systematische Identifizierung sowie Analyse und Bewertung mit anschließender Einleitung risikosteuernder Maßnahmen empfiehlt.145 Dabei sind allerdings die Besonderheiten von Compliance-Risiken zu beachten.
aa) Besonderheiten von Compliance-Risiken
41
Bei der Steuerung von Compliance-Risiken geht es stets um den Umgang mit menschlichem (Fehl-)Verhalten, welches einer juristischen Bewertung bedarf. Die rechtliche Bewertung durch Gerichte und Behörden ist ein dynamischer Prozess und in unterschiedlichen Rechtsordnungen unterschiedlich ausgeprägt – eine rein rechnerische Betrachtung von Compliance-Risiken erscheint daher nicht angebracht.146
42
Eine weitere Besonderheit von Compliance-Risiken folgt ferner aus dem dargelegten Verständnis von Compliance Management als Organisationspflicht zur systematischen Prävention regelwidrigen Verhaltens. Denn bei Compliance-Verstößen steht regelmäßig der Vorwurf fehlender bzw. unzureichender präventiver Maßnahmen im Mittelpunkt.147 Dieses Risiko unzureichender Unternehmensorganisation ist aufgrund des oben dargestellten dynamischen rechtlichen Umfelds hoch, die sog. Legalitätspflicht der Geschäftsleiter hat sich zu einer umfassenden Legalitätskontrollpflicht entwickelt.148 Diese Legalitätskontrollpflicht schließt die Verantwortung für das rechtmäßige Verhalten der Unternehmensangehörigen ein.149 Zu den besonderen Merkmalen von „Non-Compliance“-Fällen zählen ferner besondere Image- und Reputationsrisiken, ihre Vermeidung bzw. Minimierung steht oft im Mittelpunkt von Compliance-Maßnahmen.150
43
Eine wesentliche Besonderheit von Compliance-Risiken und Compliance Management besteht zudem darin, dass der staatliche Rechtsdurchsetzungsanspruch grundsätzlich keine wirtschaftliche Risikoabwägung kennt151 – sog. „nützliche Pflichtverletzungen“ werden rechtlich nicht toleriert und sind regelmäßig Compliance-Verstöße.152 Wie das oben erwähnte Urteil des Landgerichts München bestätigt hat, können insbesondere regionale Geschäftsgepflogenheiten in anderen Ländern in keinem Fall Bestechungshandlungen rechtfertigen.153 Die Leitgedanken dieser Entscheidung – Organisationspflicht zur Vermeidung von Rechtsverstößen in Abhängigkeit von dem jeweiligen Compliance-Risikoprofil – lassen sich grundsätzlich auf alle Unternehmen und Verbände übertragen.154 Es empfiehlt sich daher, auf Basis der vielfältigen Organisationsanforderungen der Rechtsordnung155 eine unternehmensspezifische Risikoinventur als Ausgangspunkt für das Compliance Management zu wählen (siehe unter 57ff.) und dabei die Besonderheiten von Compliance-Risiken zu beachten.156
bb) Berücksichtigung integrativer Perspektiven (Beispiel GRC-Ansatz)
44
Hilfreich für die Konzeption und Weiterentwicklung von Maßnahmen des Compliance-Risiko-Managements kann die Berücksichtigung ganzheitlicher bzw. integrativer Perspektiven sein. So wurde in der Betriebswirtschaftslehre ein integrierter Managementansatz von Governance, Risk und Compliance (sog. GRC-Ansatz) entwickelt.157 Wenngleich nicht alle Unternehmen über eigenständige Kontroll-, Risikomanagement- und Compliance-Funktionen verfügen, erscheint es sinnvoll, über die wirkungsvolle Verknüpfung der durch diese Funktionen institutionalisierten Prozesse nachzudenken. So sollen nach dem Model der „Three-Lines-of-Defense“158 in erster Linie bei den operativen Unternehmenseinheiten adressiert, in zweiter Linie durch das Risikomanagement und die Compliance Funktion und in dritter Linie durch die interne Revision verhindert bzw. gesteuert werden.159 Daraus lässt sich die Notwendigkeit eines differenzierten und abgestuften Prozesses für die Steuerung von Compliance-Risiken ableiten und insbesondere die Notwendigkeit einer Einbettung des Compliance-Risikomanagements in die relevanten Geschäftsprozesse.160
c) Anforderungen an Aufsichts- und Überwachungsmaßnahmen
45
Auch aus dem Gesetz über Ordnungswidrigkeiten, insbesondere aus § 130 OWiG, lassen sich allgemeine Anforderungen für das Compliance Management ableiten.161 Die Vorschrift gilt rechtsformübergreifend für alle Verbände.162 Nach § 130 OWiG handelt ordnungswidrig, wer als Inhaber eines Betriebs oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist. Der Normadressat hat seine Aufsichtspflichten dabei so zu erfüllen, dass grundsätzlich sämtliche betriebsbezogene Pflichten eingehalten werden.163 Die Gerichte haben in langjähriger Entscheidungspraxis die relevanten Pflichten nach § 130 OWiG konkretisiert.164 Daraus folgt zwar bislang keine ausdrückliche Verpflichtung zu einer bestimmten Compliance-Organisation, wohl aber ergeben sich konkrete Anforderungen an die Erfüllung der geforderten Aufsichtspflichten, etwa hinsichtlich der sorgfältigen Auswahl und Bestellung von Aufsichtspersonen, ihrer Instruktion und Überwachung sowie hinsichtlich der Untersuchung, Aufklärung und Sanktionierung von Verstößen.165 In den Regelungen zur Haftung des Aufsichtspflichtigen (§§ 130, 9 OWiG) und zur Haftung des Unternehmens bei Fehlverhalten von Aufsichtspflichten (§§ 30, 130, 9 OWiG) wird daher eine zentrale Rechtsgrundlage für Compliance gesehen.166
d) Vorgaben der Unternehmensorganisationspflichten und Garantenpflichten
46
Eine weitere Quelle für die Konkretisierung der Compliance-Pflicht ist die Rechtsprechung zu den sog. Unternehmensorganisationspflichten. Die Gerichte haben auf der Basis deliktsrechtlicher Verkehrssicherungs- und Organisationspflichten sowie strafrechtlicher Garantenpflichten167 umfangreiche Anforderungen entwickelt, für deren Verletzung die Unternehmen (sowie unter bestimmten Umständen auch die Geschäftsleiter persönlich) haften.168 In einer umfangreichen Kasuistik wurden zahlreiche Organisationspflichten statuiert: Hierzu zählen u.a. Pflichten zu ordnungsgemäßer Betriebsorganisation, Informationsversorgung, Risikosteuerung, Delegation, Instruktion, Überwachung und Kontrolle sowie Dokumentation.169
e) Beispiele von Leitfäden anderer Rechtsordnungen
47
Für international tätige Unternehmen können sich weitere Anforderungen und Vorgaben für erforderliche Compliance-Maßnahmen auch aus anderen Rechtsordnungen ergeben.170 Grenzüberschreitende Geschäftstätigkeit führt insofern zu einer Risiko- und Komplexitätserhöhung in Bezug auf das Compliance Management. So sind häufig besondere Vorgaben zu beachten, etwa beim Export von Gütern171 oder bei jeder Übermittlung personenbezogener Daten.172 Ein zusätzliches Risiko ist die extraterritoriale Geltung ausländischer Gesetze für inländische Unternehmen, die schon bei einer geringfügigen Geschäftsverbindung mit einer anderen Rechtsordnung eintreten kann.173
aa) UK Bribery Act (Vereinigtes Königreich)
48
Ein Beispiel bietet der UK Bribery Act,174 dessen Strafandrohung für Korruptionsdelikte sich auf alle Unternehmen erstreckt, die im Vereinigten Königreich geschäftstätig sind.175 Erfasst werden durch seinen weiten Anwendungsbereich auch zahlreiche deutsche Unternehmen mit relevanter Geschäftsbeziehung. Allerdings zeigt das Beispiel des britischen Korruptionsstrafgesetzes, dass Unternehmen und Verbände auch bestimmten Leitlinien und Empfehlungen der Behörden für die Ausgestaltung ihrer Compliance-Maßnahmen nutzen können. So können die betroffenen Unternehmen einer Sanktion nach dem UK Bribery Act dann entgehen, wenn sie die Umsetzung angemessener Vorkehrungen (adequate procedures) zur Korruptionsverhinderung
