Wie wird Compliance-Risiko gemanagt?

Ein Compliance-Risiko ist die Gefahr, dass eine Organisation gegen Gesetze, Verordnungen, Branchenstandards oder eigene Richtlinien verstößt und dadurch rechtliche oder regulatorische Sanktionen, finanzielle Verluste oder einen Reputationsschaden erleidet. Gemanagt wird es in einem wiederkehrenden Kreislauf: Risiken identifizieren, bewerten und priorisieren, Steuerungsmaßnahmen festlegen, deren Wirksamkeit überwachen, Ergebnisse berichten und das Vorgehen anpassen.

Das betrifft jedes Unternehmen unabhängig von Größe und Branche. Welche Vorschriften im Vordergrund stehen, hängt dagegen stark vom Geschäftsmodell ab: Eine Bank beschäftigt sich vor allem mit Geldwäsche und Insiderhandel, ein produzierendes Unternehmen eher mit Umweltauflagen und Arbeitssicherheit.

Der Rahmen: ein Compliance-Management-System

Den organisatorischen Rahmen bildet in der Regel ein Compliance-Management-System (CMS). Es bündelt Richtlinien, Prozesse, Zuständigkeiten und Werkzeuge, mit denen ein Unternehmen seine Pflichten erkennt, umsetzt und Verstöße verhindert oder aufdeckt. International beschreibt die Norm ISO 37301:2021 die Anforderungen an ein solches System. Sie hat die frühere Leitlinie ISO 19600:2014 abgelöst, die nach Erscheinen von ISO 37301 zurückgezogen wurde.

Vom allgemeinen Risikomanagement unterscheidet sich das Management von Compliance-Risiken durch seinen Fokus: Es betrachtet nur die Risiken, die aus der Nichteinhaltung von Gesetzen, Normen, freiwilligen Kodizes und internen Regeln entstehen.

Wie Compliance-Risiken gemanagt werden

Risiken identifizieren

Am Anfang steht die Frage, welche Regeln für das Unternehmen überhaupt gelten. Dazu werden die anwendbaren Gesetze und Branchenvorgaben, Verträge mit Geschäftspartnern und die internen Richtlinien erfasst und mit den tatsächlichen Geschäftsprozessen abgeglichen. Hilfreich sind interne und externe Datenquellen, Gespräche mit den Fachbereichen und Mitarbeiterbefragungen. Weil sich Rechtslage und Geschäft ändern, ist die Identifikation keine einmalige Aufgabe, sondern muss regelmäßig wiederholt werden. Wie eine solche Analyse im Detail abläuft, beschreibt der Beitrag zur Compliance-Risikoanalyse.

Risiken bewerten und priorisieren

Jedes erkannte Risiko wird nach Eintrittswahrscheinlichkeit und möglicher Auswirkung eingeschätzt. Aus dieser Bewertung der Compliance-Risiken ergibt sich eine Rangfolge: Die Risiken mit der höchsten Kombination aus beidem bekommen zuerst Aufmerksamkeit und Mittel. Wie diese Rangfolge entsteht, beschreibt der Beitrag zur Priorisierung von Compliance-Risiken.

Steuerungsmaßnahmen festlegen

Auf Basis der Bewertung legt das Unternehmen fest, wie es die Risiken begrenzt. Diese Maßnahmen bilden zusammen ein Compliance-Programm. Typische Bestandteile sind:

• Richtlinien und Verfahren, die verbindlich regeln, wie in risikoreichen Situationen zu handeln ist.
• Schulungen, damit die Beschäftigten die für sie geltenden Regeln kennen und Verstöße erkennen.
• Kontrollen in den Prozessen, etwa Freigaben oder das Vier-Augen-Prinzip.
• Meldewege für Verdachtsfälle und festgelegte Abläufe für den Umgang mit festgestellten Verstößen.

Für Meldewege gibt es in Deutschland eine gesetzliche Pflicht: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen nach § 12 Hinweisgeberschutzgesetz eine interne Meldestelle einrichten und betreiben.

Überwachen und berichten

Ob die Maßnahmen wirken, zeigt erst die laufende Überwachung. Dazu gehören regelmäßige Überprüfungen der Compliance-Verfahren, Audits und das Compliance-Monitoring im Tagesgeschäft. Die Ergebnisse gehen in Berichte an die Unternehmensführung, die daraus Entscheidungen ableitet. Transparente Berichte über Verdachtsfälle und Verstöße helfen, neue Risiken früh zu erkennen.

Hinweise auf die Wirksamkeit geben etwa die Zahl erkannter und behobener Risiken im Vergleich zu früheren Zeiträumen, die Ergebnisse interner und externer Audits sowie Rückmeldungen von Beschäftigten und Geschäftspartnern.

Dokumentieren und anpassen

Die Dokumentation belegt, dass das Unternehmen angemessene Vorkehrungen gegen Compliance-Risiken getroffen hat. Zugleich ist sie die Grundlage für Verbesserungen. Risikobewertung und Compliance-Programm werden regelmäßig überprüft und angepasst, vor allem wenn sich Gesetze ändern, neue Märkte oder Produkte hinzukommen oder interne Prüfungen Schwachstellen zeigen.

Wer zuständig ist

In größeren Unternehmen liegt das Management von Compliance-Risiken meist bei einer Compliance-Abteilung oder einem Compliance-Officer. Je nach Größe und Struktur übernehmen auch das Risikomanagement oder die Rechtsabteilung diese Aufgabe. Wirksam wird es nur, wenn Recht, Risikomanagement und Unternehmensführung eng zusammenarbeiten.

Kleinere Unternehmen konzentrieren sich auf wenige klare Richtlinien und Verfahren, regelmäßige Schulungen und ihre wichtigsten Compliance-Risiken. Fehlt intern das Fachwissen, ziehen sie bei Bedarf externe Fachleute hinzu.

Unternehmenskultur und Technik als Hebel

Regeln wirken nur, wenn sie gelebt werden. Eine Compliance-Kultur entsteht, wenn die Führung sichtbar als Vorbild handelt, Compliance-Werte in die Unternehmenswerte einfließen und Beschäftigte Bedenken äußern können, ohne Nachteile befürchten zu müssen. Anerkennung für regelkonformes Verhalten stärkt diese Kultur zusätzlich.

Software unterstützt das Management von Compliance-Risiken, indem sie Daten zentral erfasst und verwaltet, Prüfungen automatisiert, Auffälligkeiten zeitnah meldet und Schulungen organisiert. Verfahren aus dem Bereich künstliche Intelligenz und maschinelles Lernen können in großen Datenmengen Muster erkennen, die auf Verstöße hindeuten.

Beispiele für Compliance-Risiken

• Datenschutz: Ein Unternehmen verarbeitet personenbezogene Daten ohne Rechtsgrundlage und verstößt damit gegen die Datenschutz-Grundverordnung (DSGVO). Die Folge können erhebliche Bußgelder sein.
• Arbeitsrecht: Arbeitszeit- oder Arbeitsschutzvorschriften werden nicht eingehalten, was zu Rechtsstreitigkeiten und Reputationsschäden führen kann.
• Finanzsektor: Unzureichende Kontrollen gegen Geldwäsche oder Insiderhandel ziehen aufsichtsrechtliche Maßnahmen nach sich.
• Internationale Tätigkeit: Ein Unternehmen, das in mehreren Ländern tätig ist, muss die jeweiligen nationalen Vorschriften einhalten, etwa zu Datenschutz, Geldwäscheprävention und Korruptionsbekämpfung. Ein systematisches Management macht diese Unterschiede sichtbar und steuerbar.

Häufige Fragen zum Compliance-Risiko

Was versteht man unter einem Compliance-Risiko?

Ein Compliance-Risiko ist die Gefahr, dass eine Organisation Gesetze, Verordnungen, Kodizes, Standards oder interne Vorgaben nicht einhält und daraus Sanktionen, finanzielle Verluste oder Reputationsschäden entstehen. Es reicht von Bußgeldern bis zu Störungen des laufenden Betriebs.

Welche Schritte umfasst das Management von Compliance-Risiken?

Die Kernschritte sind Identifikation, Bewertung und Priorisierung der Risiken, die Festlegung von Steuerungsmaßnahmen wie Richtlinien, Schulungen und Kontrollen, die laufende Überwachung samt Berichterstattung an die Unternehmensführung sowie die regelmäßige Anpassung an neue rechtliche oder geschäftliche Rahmenbedingungen.

Wie lassen sich Compliance-Risiken erkennen?

Ausgangspunkt ist eine Bestandsaufnahme aller anwendbaren Gesetze, Vorschriften und internen Richtlinien, die mit den Geschäftsprozessen abgeglichen wird. Risikoanalysen mit internen und externen Daten, Gespräche mit den Fachbereichen und Mitarbeiterbefragungen zeigen, wo Verstöße am wahrscheinlichsten sind.

Wer ist für Compliance-Risiken zuständig?

Meist die Compliance-Abteilung oder ein Compliance-Officer, je nach Größe und Struktur des Unternehmens auch das Risikomanagement oder die Rechtsabteilung. Sichtbar unterstützt werden muss es von der Unternehmensführung.

Welche Rolle spielen die Beschäftigten?

Die Beschäftigten setzen die Regeln im Alltag um. Durch Schulungen und Sensibilisierung lernen sie, regelwidriges Verhalten zu erkennen und über die vorgesehenen Meldewege zu melden. Ohne ihre Mitwirkung bleibt jedes Compliance-Programm auf dem Papier.

Welche Technik unterstützt das Compliance-Risikomanagement?

Eingesetzt werden Compliance-Management-Software, Datenanalysewerkzeuge und Programme zur Überwachung von Transaktionen oder Kommunikation. Sie automatisieren Routineprüfungen, melden Auffälligkeiten zeitnah und erleichtern Dokumentation und Schulung.

Was passiert, wenn Compliance-Risiken nicht beachtet werden?

Mögliche Folgen sind Bußgelder, gerichtliche Auseinandersetzungen, Geschäftsunterbrechungen und der Verlust des Vertrauens von Kunden und Geschäftspartnern. Auf Dauer kann das die finanzielle Stabilität und den Ruf einer Organisation ernsthaft schädigen.

Wie fördert eine Organisation eine Kultur der Compliance?

Entscheidend ist, dass die Führung Compliance sichtbar unterstützt und vorlebt. Dazu kommen regelmäßige Schulungen, klare Kommunikation, die Verankerung von Integrität in den Unternehmenswerten und ein Umfeld, in dem Hinweise auf Verstöße ohne Angst vor Nachteilen möglich sind.