Was ist ein Compliance-Audit und wie läuft es ab?

Ein Compliance-Audit ist eine systematische Prüfung, die feststellt, ob eine Organisation die für sie geltenden Gesetze, Branchenstandards, internen Richtlinien und vertraglichen Vereinbarungen einhält. „Compliance“ bedeutet Regeleinhaltung; das Audit ist der methodische Prüfungsprozess, der diese Einhaltung belegt oder Lücken aufzeigt. Verwandte Bezeichnungen sind Compliance-Prüfung und Compliance-Review. Eine allgemein etablierte Abkürzung gibt es nicht; Kürzel beziehen sich meist auf das jeweils geprüfte Regelwerk.

Geprüft werden Dokumentation, Arbeitsabläufe, Geschäftspraktiken und die Wirksamkeit des internen Kontrollsystems in Bezug auf Compliance-Fragen. Das Ergebnis ist ein Bericht, der festgestellte Abweichungen benennt und Empfehlungen zu ihrer Behebung enthält.

Aus welchen Gründen wird ein Compliance-Audit durchgeführt?

Anlass können gesetzliche oder aufsichtsrechtliche Anforderungen sein, Branchenstandards, interne Richtlinien oder Verträge mit Geschäftspartnern. Ein Beispiel aus der Finanzbranche: Kreditinstitute müssen nach § 25a Kreditwesengesetz über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der gesetzlichen Bestimmungen gewährleistet. Dazu gehören eine unabhängige Compliance-Funktion und eine Interne Revision. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) überwacht, ob diese Anforderungen erfüllt sind.

Mängel in der Compliance können rechtliche Sanktionen, Bußgelder und einen Verlust an öffentlichem Vertrauen nach sich ziehen. Regelmäßige Audits helfen, mit sich ändernden Vorschriften Schritt zu halten und Risiken früh zu erkennen. Sie sind damit ein Baustein des Risikomanagements und der Corporate Governance.

Wie läuft ein Compliance-Audit ab?

Ein Compliance-Audit gliedert sich typischerweise in vier Phasen:

1. Planung: Umfang, Ziele und Prüfungsmaßstab werden festgelegt, also welche Gesetze, Normen oder Richtlinien geprüft werden. Wie Audits über das Jahr verteilt und priorisiert werden, beschreibt der Beitrag zur Planung von Compliance-Audits.
2. Bestandsaufnahme: Die Prüfer vergleichen die tatsächlichen Praktiken und Prozesse mit den Anforderungen. Sie sichten Dokumente, führen Interviews und prüfen Stichproben.
3. Bewertung: Bereiche, in denen die Organisation die Anforderungen nicht erfüllt, werden identifiziert und nach ihrer Bedeutung eingestuft.
4. Bericht und Nachverfolgung: Der Prüfbericht benennt die Mängel und gibt Empfehlungen zur Korrektur. Die Organisation setzt Maßnahmen um und überwacht ihre Wirkung.

Für Audits von Managementsystemen gibt die Leitlinie ISO 19011:2026 einen gemeinsamen Rahmen vor. Sie beschreibt die Grundsätze des Auditierens, die Steuerung eines Auditprogramms, die Durchführung einzelner Audits und die Kompetenz der Auditoren. Wer ein Compliance-Management-System nach ISO 37301:2021 betreibt, der Nachfolgenorm der zurückgezogenen ISO 19600, bewertet dieses System regelmäßig; Compliance-Audits liefern dafür die Grundlage.

Wer führt Compliance-Audits durch?

Compliance-Audits können intern oder extern durchgeführt werden. Intern übernimmt das meist die Interne Revision, sofern sie über die nötige Unabhängigkeit und Fachkenntnis verfügt. Externe Prüfer, etwa Wirtschaftsprüfer oder spezialisierte Prüfungsgesellschaften, bringen zusätzliche Distanz zur geprüften Organisation mit. Diese Unparteilichkeit stärkt die Aussagekraft des Ergebnisses.

In Deutschland können Wirtschaftsprüfer Compliance-Management-Systeme nach dem Prüfungsstandard IDW PS 980 n.F. (09.2022) des Instituts der Wirtschaftsprüfer prüfen. Nach dem IDW-Positionspapier zur Empfehlung A.5 DCGK umfasst die Reihe der IDW PS 980 zwei Prüfungsarten: Die Angemessenheitsprüfung beurteilt, ob die Regelungen zu einem bestimmten Zeitpunkt geeignet und eingeführt waren. Die Wirksamkeitsprüfung beurteilt zusätzlich, ob sie über einen Zeitraum hinweg wirksam waren. Eine solche Prüfung ist freiwillig und nicht dem Abschlussprüfer vorbehalten.

Welche Beispiele gibt es aus der Praxis?

• Datenschutz: Ein Audit prüft, ob ein Unternehmen die Datenschutz-Grundverordnung (DSGVO) einhält: wie personenbezogene Daten erhoben, gespeichert und verarbeitet werden und ob sie ausreichend vor Missbrauch geschützt sind.
• Geldwäscheprävention: Bei einer Bank richtet sich das Audit auf die Einhaltung des Geldwäschegesetzes, etwa auf Kundenidentifizierung und Transaktionsüberwachung.
• Umwelt und Arbeitssicherheit: Ein Produktionsunternehmen wird auf die Einhaltung von Umweltauflagen und Sicherheitsstandards geprüft.

Wie unterscheidet sich ein Compliance-Audit von anderen Prüfungen?

Ein Finanzaudit prüft die Rechnungslegung, ein Performance-Audit die Effektivität und Effizienz von Prozessen, ein Qualitätsaudit die Einhaltung von Qualitätsmanagementstandards. Das Compliance-Audit richtet sich dagegen auf die gesetzes- und richtlinienkonforme Geschäftsführung. Einzelne Prüfungen der Wirksamkeit von Kontrollen beschreibt der Beitrag zu Compliance-Tests.

Abzugrenzen ist es auch von der Compliance-Überprüfung. Sie bezeichnet den laufenden Prozess, mit dem ein Unternehmen die Einhaltung seiner Vorgaben fortlaufend beurteilt, etwa durch Selbstbewertungen und Kontrollen. Das Compliance-Audit ist dagegen eine abgegrenzte, formale Prüfung mit festgelegtem Umfang, unabhängigen Prüfern und einem Prüfbericht. Es kann Teil einer Compliance-Überprüfung sein. Den Rahmen für beides bildet das Compliance-Management-System. Übergeordnet steht die Corporate Governance, also die Führung und Kontrolle des Unternehmens unter Berücksichtigung der Interessen aller Beteiligten.

Häufige Fragen zum Compliance-Audit

Warum ist ein Compliance-Audit wichtig?

Es senkt das Risiko von Rechtsverstößen und hilft, Bußgelder, Rechtsstreitigkeiten und Reputationsschäden zu vermeiden. Zugleich stärkt ein dokumentiertes Audit das Vertrauen von Kunden, Partnern, Investoren und Behörden in die Integrität der Organisation und deckt oft auch ineffiziente Abläufe auf.

Welche Bereiche werden bei einem Compliance-Audit geprüft?

Das hängt von Branche, Größe und Art der Organisation ab. Häufig untersucht werden Datenschutz, Finanzberichterstattung und Finanzierungspraktiken, Korruptionsbekämpfung, Arbeitssicherheit und Umweltschutzauflagen. Ziel ist ein vollständiges Bild der Compliance-Lage in den geprüften Bereichen.

Wie bereitet sich ein Unternehmen auf ein Compliance-Audit vor?

Alle relevanten Dokumente und Nachweise sollten aktuell und leicht zugänglich sein. Eine Selbstbewertung vorab zeigt Schwachstellen, die sich noch vor dem Audit beheben lassen. Hilfreich sind außerdem ein internes Ansprechpartner-Team, transparente Prozesse und Kontrollen sowie die Einbindung von Führungskräften und Beschäftigten. Als Arbeitshilfe dient dabei oft eine Compliance-Checkliste.

Was übernehmen externe Anbieter bei einem Compliance-Audit?

Externe Prüfer oder spezialisierte Prüfungsgesellschaften übernehmen typischerweise die gesamte Prüfung: Sie untersuchen Geschäftsprozesse, Arbeitsabläufe und Unternehmensdokumentation, bewerten die Einhaltung der geltenden Vorgaben und anerkannter Praktiken und fassen das Ergebnis in einem Bericht zusammen. Unternehmen greifen darauf zurück, wenn intern Fachwissen oder die nötige Unabhängigkeit fehlt.

Was geschieht nach einem Compliance-Audit?

Die Prüfer legen einen Bericht mit den festgestellten Mängeln und meist auch Empfehlungen zu deren Behebung vor. Die Organisation leitet daraus Verbesserungsmaßnahmen ab, setzt sie um und verfolgt nach, ob sie wirken. Das Ergebnis zeigt zugleich Stärken und Schwächen des eigenen Compliance-Programms.

Kann ein Unternehmen ein Compliance-Audit verweigern?

Ein freiwilliges Audit kann ein Unternehmen ablehnen, wenn keine gesetzliche, aufsichtsrechtliche oder vertragliche Pflicht besteht. Eine Verweigerung kann aber Zweifel an Transparenz und Integrität wecken und das Vertrauen von Geschäftspartnern, Investoren und Kunden kosten.