Wie funktioniert ein Compliance-Management-System?

Ein Compliance-Management-System (CMS) ist der organisatorische Rahmen, mit dem ein Unternehmen sicherstellt, dass Gesetze, regulatorische Vorgaben, Branchenstandards und interne Richtlinien eingehalten werden. Es bündelt Richtlinien, Zuständigkeiten, Prozesse, Compliance-Kontrollen und Werkzeuge. Ziel ist, rechtliche und regulatorische Risiken zu begrenzen, Verstöße zu verhindern oder früh aufzudecken und angemessen darauf zu reagieren.

Verwandte Begriffe sind Compliance-Management, Regulatory Compliance und GRC (Governance, Risk Management and Compliance). Vom Qualitätsmanagement unterscheidet sich ein CMS durch sein Ziel: Das Qualitätsmanagement zielt auf die Qualität von Produkten und Dienstleistungen, das CMS auf die Einhaltung von Regeln. Auch das allgemeine Risikomanagement reicht weiter, denn Compliance-Risiken sind nur ein Teil aller Unternehmensrisiken.

Bestandteile eines Compliance-Management-Systems

• Richtlinien und Verfahren: schriftliche Regeln, die festlegen, wie die Beschäftigten ihre Aufgaben im Einklang mit Gesetzen und Vorgaben erledigen. Wie sie entstehen, erklärt der Beitrag zu Compliance-Richtlinien.
• Organisation und Verantwortlichkeiten: klare Zuständigkeiten, häufig mit einem Compliance-Officer oder Compliance-Beauftragten, der direkt an die Geschäftsleitung berichtet.
• Risikomanagement: Identifikation, Bewertung und Priorisierung der Compliance-Risiken, damit Mittel dort eingesetzt werden, wo das Risiko am größten ist.
• Kommunikation und Schulung: regelmäßige Compliance-Schulungen und klar kommunizierte Leitlinien, die das Verständnis der Beschäftigten schärfen.
• Überwachung und Berichterstattung: laufende Kontrollen (Compliance-Monitoring) und regelmäßige Compliance-Berichte über den Zustand des Systems.
• Reaktion auf Verstöße: Meldewege und festgelegte Abläufe, um Verstöße oder Schwachstellen schnell zu untersuchen und abzustellen.

Ein CMS einführen

Die Einführung läuft in der Regel in diesen Schritten ab:

• Ziele und Geltungsbereich festlegen: Welche Unternehmensteile, Standorte und Rechtsgebiete umfasst das System?
• Anforderungen erfassen: alle für das Unternehmen relevanten Gesetze, Vorschriften und Standards ermitteln.
• Risiken analysieren: feststellen, wo Verstöße am wahrscheinlichsten und folgenreichsten wären, siehe Compliance-Risikoanalyse.
• Richtlinien und Verfahren entwickeln: auf Basis von Anforderungen und Risiken interne Regeln formulieren.
• Zuständigkeiten zuweisen und schulen: Verantwortliche benennen und die Beschäftigten schulen.
• Kontrollen einrichten: Überwachungs- und Kontrollmechanismen, die die Einhaltung prüfen und bei Bedarf Korrekturmaßnahmen auslösen.
• Überprüfen und anpassen: die Wirksamkeit regelmäßig bewerten und das System an neue Gesetze und Änderungen im Geschäft anpassen.

Einbezogen werden neben der Geschäftsführung die Rechtsabteilung, IT, Personal und die Fachabteilungen, die von den Regeln betroffen sind. So werden rechtliche und betriebliche Aspekte berücksichtigt und die Regeln später eher akzeptiert. Ohne sichtbares Engagement der Unternehmensleitung gelingt die Einführung kaum.

Wie ein CMS aussieht, hängt von der Branche ab. Ein Finanzinstitut unterliegt strengen Vorgaben zu Kundenschutz, Geldwäschebekämpfung und Datenschutz. Sein CMS umfasst deshalb Verfahren zur Kundenidentifikation, zur Transaktionsüberwachung und zur Meldung verdächtiger Aktivitäten. Ein Pharmaunternehmen muss vor allem Vorschriften zu Entwicklung, Zulassung und Vermarktung von Arzneimitteln einhalten und richtet sein CMS auf diese Prozesse aus, von der Forschung bis zum Vertrieb.

Norm für Compliance-Management-Systeme

International legt die Norm ISO 37301:2021 die Anforderungen an Compliance-Management-Systeme fest. Sie ist für Organisationen jeder Art und Größe gedacht und ist aus der Überarbeitung der früheren Leitlinie ISO 19600 hervorgegangen. Mehr dazu im Beitrag zu ISO 19600 und ISO 37301. Weitere Rahmenwerke stellt der Beitrag zu Compliance-Frameworks vor, die Verzahnung mit der Unternehmensführung der Beitrag zu Compliance-Governance-Modellen.

Wirksamkeit, Kultur und Technik

Ob ein CMS wirkt, zeigen etwa die Zahl erkannter und behobener Risiken, die Ergebnisse von Compliance-Audits, Schulungsteilnahmen, die Reaktionszeit auf gemeldete Verstöße und Rückmeldungen der Beschäftigten.

Entscheidend ist die Compliance-Kultur: Wo die Führung Integrität vorlebt und Bedenken ohne Nachteile geäußert werden können, halten sich Beschäftigte eher an Regeln und melden Fehlverhalten. Typische Hürden bei der Einführung sind Widerstand gegen Veränderungen, die Anpassung bestehender Prozesse und die laufende Aktualisierung bei neuen Gesetzen.

Compliance-Software unterstützt das CMS mit automatisierten Prüfungen, Werkzeugen zur Risikobewertung, zentraler Dokumentation und Schulungsplattformen. Mehr dazu im Beitrag zur Automatisierung von Compliance-Prozessen.

Häufige Fragen zum Compliance-Management-System

Was ist ein Compliance-Management-System?

Ein Rahmenwerk aus Richtlinien, Prozessen, Zuständigkeiten und Kontrollen, mit dem eine Organisation die Einhaltung von Gesetzen, Vorgaben und ethischen Standards sicherstellt.

Wer braucht ein Compliance-Management-System?

Grundsätzlich jedes Unternehmen, das rechtliche Risiken begrenzen will, unabhängig von seiner Größe. Besonders wichtig ist es in stark regulierten Branchen wie Finanzwesen, Pharmaindustrie und Gesundheitswesen.

Wie wird ein CMS eingeführt?

Mit der Festlegung von Zielen und Geltungsbereich, der Erfassung der geltenden Vorschriften und einer Risikoanalyse. Darauf folgen interne Richtlinien, Zuständigkeiten, Schulungen und Kontrollen, die regelmäßig überprüft werden.

Gibt es eine Norm für Compliance-Management-Systeme?

Ja. ISO 37301:2021 legt die Anforderungen fest. Sie hat die frühere Leitlinie ISO 19600 abgelöst.

Welche Rolle spielt die Unternehmenskultur?

Eine Kultur, die ethisches Verhalten, Transparenz und Verantwortlichkeit fördert, trägt das System. Beschäftigte halten sich eher an Regeln und melden Fehlverhalten, wenn diese Werte vorgelebt werden.

Wie hilft Technik beim Compliance-Management?

Software automatisiert Routineprüfungen, unterstützt die Risikobewertung, dokumentiert Nachweise zentral und organisiert Schulungen. Das spart Aufwand und verringert menschliche Fehler.