Wie werden Compliance-Risiken bewertet?

Compliance-Risiken werden bewertet, indem ein Unternehmen zuerst die für es geltenden Gesetze, Vorschriften, Standards und internen Richtlinien erfasst, daraus mögliche Verstöße ableitet und jedes Risiko nach Eintrittswahrscheinlichkeit und möglicher Auswirkung einschätzt. Das Ergebnis ist eine Rangfolge, nach der Maßnahmen und Mittel verteilt werden.

Ein Compliance-Risiko ist die Gefahr, dass ein Unternehmen durch Nichtbeachtung von Vorschriften, Richtlinien oder Standards Sanktionen, finanzielle Verluste oder Reputationsschäden erleidet. Die Bewertung ist Teil des Managements von Compliance-Risiken. Von anderen Risikobewertungen unterscheidet sie sich durch ihren Fokus auf gesetzliche, regulatorische und interne Vorgaben einschließlich ethischer Standards. Das allgemeine Risikomanagement betrachtet dagegen alle Arten von Risiken.

Gleichbedeutend wird von Compliance-Risikoanalyse oder Compliance-Risikobewertung gesprochen. Sie ist für Unternehmen aller Größen und Branchen relevant, weil sie hilft, Strafen, Reputationsschäden und andere Folgen von Verstößen zu vermeiden.

Ablauf der Bewertung

Anforderungen und Risiken identifizieren

Grundlage ist eine Bestandsaufnahme der Geschäftsbereiche des Unternehmens und der dort geltenden Anforderungen, etwa aus Finanzmarktregulierung, Datenschutzrecht oder branchenspezifischen Vorschriften. Daraus ergeben sich die Stellen, an denen Verstöße möglich sind. Das setzt ein gutes Verständnis des regulatorischen Umfelds und der internen Prozesse voraus. Grundlage ist meist eine Kombination aus internem Wissen und externem Fachwissen.

Wahrscheinlichkeit und Auswirkung einschätzen

Für jedes Risiko werden Eintrittswahrscheinlichkeit und mögliche Folgen bestimmt. Dafür braucht es juristische, finanzielle und betriebliche Sicht, deshalb arbeiten Compliance, Recht, Risikomanagement und Fachbereiche zusammen.

Priorisieren

Nicht alle Risiken sind gleich wichtig. Risiken mit hoher Wahrscheinlichkeit und hohem Schadenspotenzial erhalten die höchste Priorität. So setzt das Unternehmen seine Ressourcen dort ein, wo sie am meisten bewirken. Kriterien und Methoden dafür beschreibt der Beitrag zur Priorisierung von Compliance-Risiken.

Maßnahmen ableiten und überwachen

Auf Basis der Rangfolge werden Maßnahmen festgelegt, etwa angepasste Richtlinien, Schulungen oder neue Kontrollsysteme. Zusammen bilden sie das Compliance-Programm. Risikolage und Wirkung der Maßnahmen werden laufend überwacht, dokumentiert und berichtet, siehe Compliance-Monitoring.

Analyse und Maßnahmen werden sorgfältig dokumentiert. Das dient der internen Nachvollziehbarkeit und dem Nachweis gegenüber Aufsichtsbehörden oder externen Prüfern, siehe Compliance-Dokumentation.

Methoden

Qualitative Methoden stützen sich auf Experteneinschätzungen, Interviews mit Schlüsselpersonen und Risiko-Workshops. Quantitative Methoden arbeiten mit Risikopunkten und Risikomatrizen, die Wahrscheinlichkeit und Ausmaß gegenüberstellen, siehe Risiko-Heatmap. Häufig werden beide kombiniert, um ein genaueres Bild zu erhalten. Ausgewertet werden außerdem frühere Vorfälle und Verstöße sowie die bestehenden Compliance-Programme und Richtlinien.

Häufigkeit und typische Fehler

Die Bewertung wird regelmäßig wiederholt, weil sich Gesetze, Geschäftsprozesse und Märkte ändern. Sinnvoll ist ein fester Turnus, etwa jährlich, dazu eine zusätzliche Bewertung bei wesentlichen Änderungen im Unternehmen oder in seinem Umfeld.

Typische Fehler sind unterschätzte Risiken, eine zu geringe Einbindung der obersten Führungsebene, zu knappe Mittel für Compliance-Maßnahmen und fehlendes oder unregelmäßiges Monitoring.

Beteiligte und Hilfsmittel

Gesteuert wird die Analyse meist von Compliance-Beauftragten oder einer Compliance-Abteilung, die das regulatorische Umfeld und die Anforderungen des Unternehmens kennen. Die Beschäftigten sind oft direkt mit den Risiken konfrontiert und können auf mögliche Probleme hinweisen. Ihre Beteiligung über Schulungen, Befragungen oder die Meldung von Unregelmäßigkeiten trägt wesentlich zu einem vollständigen Bild bei.

Schwierig ist es, neue oder unscharf umrissene Risiken richtig zu erkennen und einzuschätzen, Widerstand gegen Veränderungen zu überwinden und den Aufwand für Compliance mit den betrieblichen Anforderungen in Einklang zu bringen. Software zur Datenanalyse, eine klare Berichterstattung an die Führungsebene und feste Abläufe für den Umgang mit erkannten Risiken helfen dabei.

Beispiele

• Finanzinstitut und Datenschutz: Ein Finanzinstitut prüft, wie es die Datenschutz-Grundverordnung (DSGVO) einhält. Die Bewertung zeigt, dass seine Richtlinien zur Datenverarbeitung aktualisiert werden müssen. Allgemein dazu der Beitrag Datenschutz im Unternehmen.
• Produktion mit chemischen Stoffen: Ein Unternehmen, das chemische Stoffe einsetzt, stellt fest, dass geeignete Schutzausrüstung fehlt. Das ist zugleich ein Gesundheits- und ein Compliance-Risiko. Maßnahmen sind die Beschaffung der Ausrüstung und Sicherheitsschulungen.
• Bank und Transaktionsprüfung: Im Finanzsektor gelten strenge Vorschriften zu Geldwäsche, Betrug und Datenschutz. Eine Bank stellt fest, dass ihr System zur Überprüfung von Kundentransaktionen nicht mehr den aktuellen gesetzlichen Anforderungen entspricht. Die Bewertung erkennt dieses Risiko, ein verbessertes Kontrollsystem mindert es.

Eine Kultur der Integrität senkt die Wahrscheinlichkeit von Verstößen und macht es leichter, Risiken offen anzusprechen, siehe Compliance-Kultur.

Häufige Fragen zur Bewertung von Compliance-Risiken

Was sind Compliance-Risiken?

Die Gefahr, dass ein Unternehmen durch Nichtbeachtung von Vorschriften, Richtlinien oder Standards finanzielle Verluste, Sanktionen oder Reputationsschäden erleidet. Sie betreffen rechtliche, finanzielle und ethische Aspekte in allen Geschäftsbereichen.

Womit beginnt die Bewertung?

Mit einer Bestandsaufnahme aller relevanten Gesetze, Vorschriften und Standards für die Geschäftsbereiche des Unternehmens. Danach folgt die Risikoanalyse.

Wer führt die Bewertung durch?

Meist ein Team aus Compliance-Verantwortlichen, Risikomanagement und Fachbereichen, gelegentlich unterstützt durch externe Fachleute.

Welche Methoden werden genutzt?

Qualitative Verfahren wie Experteneinschätzungen und Workshops sowie quantitative Verfahren wie Risikopunkte und Risikomatrizen, oft in Kombination.

Wie werden die Risiken priorisiert?

Nach der Schwere des möglichen Schadens und der Wahrscheinlichkeit des Eintritts. Risiken, bei denen beides hoch ist, kommen zuerst.

Wie oft sollte bewertet werden?

Regelmäßig, etwa jährlich. Hinzu kommt eine Bewertung bei wesentlichen Änderungen in der Organisation oder ihrem Umfeld.

Welche Rolle spielt die Unternehmenskultur?

Eine Kultur der Ethik und Integrität verringert die Wahrscheinlichkeit von Verstößen und fördert offene Kommunikation über Risiken. Dadurch werden Risiken früher erkannt.

Was ist eine Compliance-Risikoanalyse?

Ein anderer Name für denselben Vorgang: Das Unternehmen ermittelt mögliche Gefahren für die Einhaltung gesetzlicher und regulatorischer Vorgaben, bewertet sie und steuert gegen. Ziel ist, Risiken früh zu erkennen.

Welche Rolle spielen die Beschäftigten?

Eine wichtige, weil sie oft direkt mit den Risiken zu tun haben. Über Befragungen, Schulungen und die Meldung von Unregelmäßigkeiten tragen sie dazu bei, dass Risiken vollständig erfasst werden.