Compliance-Kennzahlen: Woran erkennt die Geschäftsleitung, ob das Compliance-Management wirklich funktioniert? (Teil 2)

Ein Compliance-Management-System besteht nicht aus Richtlinien, Schulungen oder Audits. Sein Wert zeigt sich erst dann, wenn die Unternehmensleitung beantworten kann, ob Risiken erkannt, gesetzliche Anforderungen eingehalten und beschlossene Maßnahmen tatsächlich umgesetzt werden. Genau dabei helfen aussagekräftige Compliance-Kennzahlen.
Hier geht´s zu Teil 1.

Schulungsquote: Viel hilft nicht automatisch viel

Kaum eine Kennzahl findet sich so regelmäßig in Compliance-Berichten wie die Schulungsquote. Auf den ersten Blick erscheint sie auch naheliegend: Wenn möglichst viele Beschäftigte an Compliance-Schulungen teilnehmen, sollte das Risiko von Regelverstößen sinken. So einfach ist es jedoch nicht.

Eine Schulung ist zunächst einmal eine Maßnahme – kein Nachweis ihrer Wirksamkeit. Sie dokumentiert, dass Wissen vermittelt wurde. Ob dieses Wissen im Arbeitsalltag tatsächlich angewendet wird, lässt sich daraus nicht ableiten.

Für die Geschäftsleitung ist deshalb weniger die absolute Zahl der durchgeführten Schulungen interessant als deren Qualität und Zielgenauigkeit. Ein Unternehmen, das jährlich alle Mitarbeitenden zu allgemeinen Compliance-Themen schult, erreicht damit unter Umständen weniger als ein Unternehmen, das Schulungen konsequent risikoorientiert plant und auf besonders exponierte Funktionen ausrichtet.

Dennoch bleibt die Schulungsquote eine wichtige Kennzahl. Sie zeigt, ob Pflichtschulungen zuverlässig durchgeführt werden und ob neue Mitarbeitende zeitnah in das Compliance-Management eingebunden werden. Kritisch wird es insbesondere dann, wenn verpflichtende Schulungen über längere Zeiträume ausbleiben oder einzelne Unternehmensbereiche regelmäßig hinter den definierten Zielwerten zurückbleiben.

Ein Dashboard sollte deshalb nicht nur die allgemeine Schulungsquote ausweisen, sondern beispielsweise auch unterscheiden zwischen:

• fristgerecht abgeschlossenen Pflichtschulungen,
• überfälligen Schulungen,
• Schulungen neuer Mitarbeitender sowie
• Schulungen in besonders risikobehafteten Bereichen.

Damit wird aus einer reinen Aktivitätskennzahl ein Instrument zur Steuerung.

Das Hinweisgebersystem: Nicht die Anzahl der Meldungen ist entscheidend

Seit Inkrafttreten des Hinweisgeberschutzgesetzes hat das interne Meldesystem in vielen Unternehmen deutlich an Bedeutung gewonnen. Gleichzeitig hält sich ein hartnäckiges Missverständnis: Je weniger Hinweise eingehen, desto besser funktioniere die Compliance.

Diese Schlussfolgerung greift zu kurz.

Eine geringe Zahl von Meldungen kann unterschiedliche Ursachen haben. Sie kann tatsächlich auf wenige Regelverstöße hindeuten. Ebenso gut kann sie aber darauf zurückzuführen sein, dass Beschäftigte das Meldesystem nicht kennen, ihm nicht vertrauen oder Nachteile befürchten. In einem solchen Fall wäre eine niedrige Meldequote gerade kein positives Signal.

Umgekehrt muss ein Anstieg der Meldungen ebenfalls nicht negativ sein. Häufig zeigt er, dass das Hinweisgebersystem akzeptiert wird und Beschäftigte bereit sind, mögliche Missstände anzusprechen. Aus Sicht der Unternehmensleitung ist das grundsätzlich positiv, denn Hinweise ermöglichen es, Risiken frühzeitig zu erkennen und geeignete Gegenmaßnahmen einzuleiten.

Die Aussagekraft des Hinweisgebersystems ergibt sich daher nicht aus der Zahl der eingegangenen Meldungen, sondern aus dem Umgang mit ihnen.

Ein Compliance-Dashboard sollte deshalb insbesondere folgende Fragen beantworten:

• Wie schnell werden Hinweise geprüft?
• Wie viele Verfahren konnten abgeschlossen werden?
• Werden aus bestätigten Verstößen geeignete Maßnahmen abgeleitet?
• Wiederholen sich bestimmte Sachverhalte oder Unternehmensbereiche?

Gerade die Bearbeitungsdauer besitzt eine hohe Aussagekraft. Bleiben Hinweise über Monate unbearbeitet, leidet nicht nur die Wirksamkeit des Compliance-Managements. Auch das Vertrauen der Beschäftigten in das Meldesystem kann nachhaltig beeinträchtigt werden.

Warum Trends wichtiger sind als Einzelwerte

Viele Unternehmen betrachten Compliance-Kennzahlen isoliert. Einmal im Monat wird der aktuelle Stand dokumentiert, anschließend verschwindet der Bericht in der Ablage. Für die Unternehmenssteuerung ist ein solcher Schnappschuss jedoch nur begrenzt hilfreich.

Entscheidend ist die Entwicklung über einen längeren Zeitraum.

Steigt die Zahl überfälliger Maßnahmen seit sechs Monaten kontinuierlich an? Gehen Schulungsquoten zurück? Bleiben Auditfeststellungen länger offen als noch im Vorjahr? Oder nimmt die durchschnittliche Bearbeitungsdauer von Hinweisen stetig zu?

Erst solche Trends ermöglichen belastbare Rückschlüsse auf die Leistungsfähigkeit des Compliance-Management-Systems. Einzelne Abweichungen sind im Unternehmensalltag normal. Wiederkehrende Entwicklungen weisen dagegen häufig auf strukturelle Ursachen hin, die genauer untersucht werden sollten.

Aus diesem Grund sollte ein Compliance-Dashboard nicht nur den aktuellen Status darstellen, sondern immer auch Vergleichswerte enthalten – etwa zum Vormonat, Vorquartal oder Vorjahr. Ergänzend kann eine Ampelbewertung helfen, kritische Entwicklungen schnell zu erkennen. Sie ersetzt zwar keine Detailanalyse, erleichtert der Geschäftsleitung aber die Priorisierung ihrer Entscheidungen.

Ein Dashboard ersetzt keine Führung – es unterstützt sie

Kennzahlen schaffen Transparenz. Entscheidungen treffen sie nicht.

Auch das beste Compliance-Dashboard kann die Bewertung durch die Geschäftsleitung nicht ersetzen. Es liefert Informationen, macht Entwicklungen sichtbar und zeigt Handlungsbedarf auf. Welche Maßnahmen daraus folgen, bleibt eine Führungsaufgabe.

Genau deshalb sollten Compliance-Kennzahlen niemals isoliert betrachtet werden. Erst im Zusammenspiel mit Risikoanalysen, internen Audits, Management-Reviews und dem kontinuierlichen Austausch mit den verantwortlichen Fachbereichen entsteht ein realistisches Bild über die Wirksamkeit des Compliance-Management-Systems.

Im letzten Abschnitt fassen wir die wichtigsten Erkenntnisse zusammen und zeigen, welche Grundsätze Unternehmen beim Aufbau eines Compliance-Dashboards beachten sollten.

Compliance-Kennzahlen schaffen Transparenz – ersetzen aber keine Führung

Ein wirksames Compliance-Management-System lässt sich nicht an der Anzahl von Richtlinien, Schulungen oder Audits messen. Entscheidend ist vielmehr, ob das Unternehmen Risiken frühzeitig erkennt, gesetzliche Anforderungen zuverlässig umsetzt und identifizierte Schwachstellen konsequent beseitigt.

Genau hier setzen Compliance-Kennzahlen an. Sie machen Entwicklungen sichtbar und schaffen eine objektive Grundlage für Entscheidungen der Geschäftsleitung.

Konzentrieren Sie sich auf wenige aussagekräftige KPIs

In der Praxis besteht häufig die Versuchung, möglichst viele Kennzahlen in ein Dashboard aufzunehmen. Das führt jedoch selten zu besseren Entscheidungen. Im Gegenteil: Umfangreiche Reportings erschweren den Blick auf das Wesentliche.

Bewährt hat sich ein schlankes Dashboard mit wenigen Kennzahlen, die regelmäßig aktualisiert und über einen längeren Zeitraum ausgewertet werden. Dazu gehören insbesondere:

• Umsetzungsgrad von Compliance-Maßnahmen,
• Bearbeitungsstand neuer Rechtsanforderungen,
• Entwicklung der Compliance-Risiken,
• Ergebnisse interner Audits,
• Schulungsquote,
• Bearbeitung von Hinweisen sowie
• Status des Management-Reviews.

Diese Kennzahlen liefern der Geschäftsleitung ein belastbares Bild über die Leistungsfähigkeit des Compliance-Management-Systems.

Trends sind wichtiger als Einzelwerte

Eine einzelne Kennzahl besitzt nur eine begrenzte Aussagekraft. Erst ihre Entwicklung über mehrere Monate zeigt, ob Prozesse wirksam sind oder sich organisatorische Schwächen entwickeln.

Ein Compliance-Dashboard sollte deshalb nicht nur den aktuellen Status darstellen, sondern Veränderungen sichtbar machen. Steigende Bearbeitungszeiten, zunehmende Auditfeststellungen oder wachsende Rückstände bei der Umsetzung gesetzlicher Anforderungen sind häufig die deutlich aussagekräftigeren Signale als ein einzelner Momentwert.

Das Dashboard ist ein Führungsinstrument

Ein Compliance-Dashboard ersetzt weder interne Audits noch Risikoanalysen oder Management-Reviews. Es verdichtet die Ergebnisse dieser Prozesse und unterstützt die Geschäftsleitung dabei, fundierte Entscheidungen zu treffen.

Die internationale Norm ISO 37301 schreibt zwar kein bestimmtes Dashboard vor, fordert aber eine regelmäßige Überwachung, Bewertung und kontinuierliche Verbesserung des Compliance-Management-Systems. Ohne geeignete Kennzahlen lässt sich diese Anforderung in der Praxis kaum erfüllen.

Unser Praxistipp

Beginnen Sie nicht mit möglichst vielen Kennzahlen. Definieren Sie zunächst die Fragen, die Ihre Geschäftsleitung regelmäßig beantworten können muss:

• Werden Risiken wirksam gesteuert?
• Werden Maßnahmen fristgerecht umgesetzt?
• Werden gesetzliche Änderungen zuverlässig berücksichtigt?
• Funktioniert das Compliance-Management-System wie vorgesehen?

Erst wenn diese Fragen beantwortet sind, sollten die passenden Kennzahlen festgelegt werden. Erfahrungsgemäß reichen sieben bis zehn aussagekräftige KPIs aus, um den Zustand eines Compliance-Management-Systems zuverlässig zu beurteilen.

Nicht die Menge der Kennzahlen entscheidet über die Qualität eines Compliance-Dashboards, sondern deren Aussagekraft. Gute Compliance-Kennzahlen schaffen Transparenz, unterstützen fundierte Entscheidungen und helfen dabei, die Wirksamkeit des Compliance-Management-Systems kontinuierlich zu verbessern.