Compliance-Management-System: Warum es mehr ist als ein „Nice-to-have“

„Tone from and at the Top“: Was versteht man unter einer (guten) Compliance-Kultur?

Eine starke Compliance-Kultur unterstützt die Werte, Einstellungen und Verhaltensweisen innerhalb einer Organisation, die die Einhaltung von Regeln und ethischen Grundsätzen fördern. Es geht darum, ein gemeinsames Verständnis für richtiges Handeln zu schaffen, und zwar unabhängig davon, ob jemand zusieht oder nicht.

Führungskräfte prägen diese Kultur maßgeblich. Wenn sie Integrität vorleben, dann wird sie Teil der Unternehmensidentität werden. Das Vorleben erfolgt dadurch, dass Integrität sichtbar praktiziert wird: in Entscheidungen, in der Kommunikation und im Umgang mit Fehlern. Praxistipp: Die Erreichung von Compliance-Zielen kann als Bestandteil der Leistungsbewertung von Führungskräften berücksichtigt werden.

Eine starke Kultur entsteht dort, wo Führungskräfte Haltung zeigen und Mitarbeitende befähigt werden, ethisch zu handeln – auch dann, wenn niemand zusieht. In der Praxis kann es hilfreich sein, mit erfahrenen Fachleuten zusammenzuarbeiten, um geeignete Wege für die Etablierung und das Vorleben von Integrität zu entwickeln und nachhaltig im Unternehmen zu verankern.

Warum ist eine Risikoanalyse beim Compliance-Management-System so wichtig?

Mit der Risikoanalyse steht und fällt jedes CMS. Sie bildet die Grundlage, um relevante Risiken aus Gesetzen, Richtlinien und dem Geschäftsumfeld zu erkennen und zu priorisieren.

In der Praxis definieren Unternehmen oft Risikobereiche, ohne ihre Geschäftsfelder genau zu analysieren. So wird zum Beispiel der Risikobereich „Korruption“ aufgenommen, obwohl das Unternehmen seit Jahren mit denselben drei Lieferanten zusammenarbeitet, keinen Kontakt zu Amtsträger:innen hat und ausschließlich im privaten Bereich tätig ist. Das heißt nicht, dass Korruption irrelevant ist, aber andere Themen wie Datenschutz oder Wettbewerbsrecht können aktuell wichtiger sein. Eine fundierte Risikoanalyse ist der erste Schritt hin zu einem treffsicheren CMS. Sie hilft, Ressourcen gezielt einzusetzen, statt nach Checkliste zu handeln. In komplexen Geschäftsfeldern kann externe Expertise die Analyse zusätzlich stärken.

Viele Unternehmen glauben fälschlicherweise, dass eine einmalige Risikoanalyse für mehrere Jahre ausreicht. Doch regulatorische Anforderungen und Risikoprofile verändern sich schnell, wie die verschobenen Fristen der EU-Lieferkettenrichtlinie durch die Omnibus-Verordnung zeigen. Wer seine Risikobewertung nicht regelmäßig anpasst, läuft Gefahr, dass sein CMS auf veralteten Annahmen basiert. Da Risikoanalysen stets Momentaufnahmen sind, sind regelmäßige Überprüfungen notwendig, um ein CMS aktuell und wirksam zu halten.

Was gehört unter anderem zu einem funktionierenden Compliance-Management-System?

• Klare Verantwortlichkeiten: Benennung eines bzw. einer Compliance-Beauftragten und ein sichtbarer „Tone from the Top“
• Risikoanalyse und Risikobewertung: Systematische Erfassung und Priorisierung relevanter Risiken
• Richtlinien und Verhaltenskodex: Verständliche und zugängliche Regelwerke, die Orientierung bieten
• Schulungen und Kommunikation: Regelmäßige Sensibilisierung und Befähigung von Mitarbeitenden
• Hinweisgebersystem und Untersuchungen: Anonymes Meldesystem und klar definierte Verfahren zur Fallbearbeitung
• Überwachung und Berichterstattung: Laufende Kontrolle und regelmäßige Berichte an die Unternehmensleitung
• Kontinuierliche Verbesserung: Regelmäßige Überprüfung und Anpassung des CMS an neue Anforderungen

Muss ein Compliance-Management-System zertifiziert sein?

Ob ein vorhandenes CMS zertifiziert werden muss, hängt von der Zielsetzung, den Erwartungen der Stakeholder:innen und den unternehmensspezifischen Rahmenbedingungen ab. Die Nachfrage nach Zertifizierungen ist nachvollziehbar. Unternehmen wünschen sich häufig externes Feedback zur Wirksamkeit ihres CMS. Gleichzeitig fordern Geschäftspartner:innen und Investor:innen zunehmend einen formellen Nachweis für ein funktionierendes System. Eine Zertifizierung, etwa nach ISO 37301, bewertet vor allem Struktur und Dokumentation. Ob ein Unternehmen tatsächlich integer handelt, lässt sich durch Prüfprozesse jedoch nicht abschließend beurteilen: Integrität zeigt sich im gelebten Alltag, nicht nur in einem Bericht. Eine Alternative zur ISO-Zertifizierung ist die Bestätigung nach IDW PS 980, die stärker auf den deutschsprachigen Rechts- und Unternehmenskontext ausgerichtet ist.

Zertifizierungen oder Bestätigungen sind kein Muss, sie können aber strategisch sinnvoll sein. Sie stärken die Glaubwürdigkeit, erleichtern die Positionierung gegenüber Geschäftspartner:innen und helfen, steigende Anforderungen im Rahmen von Due-Diligence-Prozessen zu erfüllen. Für die Vorbereitung und Umsetzung kann die Zusammenarbeit mit erfahrenen Fachleuten hilfreich sein.

Fazit: Ein CMS lebt von Haltung, nicht von Papier

Ein CMS funktioniert nur, wenn es praxisnah ist. Statt Papier-berge zu produzieren, sollten Unternehmen Risiken realistisch bewerten, Prozesse schlank halten und Führungskräfte als Vorbilder einsetzen. Wer Compliance lebt, macht sie zum Teil der DNA und nicht zur Pflichtübung.

FAQ – Häufige Fragen zu Compliance-Management-Systemen