Eine Compliance-Organisation ist eine Organisationseinheit innerhalb eines Unternehmens, die für die Einhaltung von Gesetzen, Vorschriften und unternehmensinternen Vorgaben verantwortlich ist. Sie kann als eigenständige Abteilung oder als Teil einer anderen Abteilung, z. B. der Rechtsabteilung, organisiert sein.

Die Aufgaben umfassen:

  • Entwicklung und Umsetzung von Compliance-Richtlinien und -Verfahren
  • Schulung von Mitarbeitern zu Compliance-Themen
  • Überwachung der Einhaltung von Compliance-Vorgaben
  • Untersuchung von Compliance-Verstößen
  • Berichterstattung an das Top-Management

Die Compliance-Organisation spielt eine wichtige Rolle für die Unternehmenskultur und die Risikominimierung. Durch die Einhaltung von Gesetzen und Vorschriften kann das Unternehmen Bußgelder und Strafen vermeiden, das Vertrauen von Kunden und Mitarbeitern stärken und seine Reputation schützen.

Eine effektive Organisation sollte folgende Merkmale aufweisen:

  • Unabhängigkeit: Die Compliance-Organisation sollte unabhängig von anderen Abteilungen sein, um ihre Objektivität zu gewährleisten.
  • Autorität: Die Compliance-Organisation sollte die Autorität haben, Compliance-Maßnahmen zu entwickeln und umzusetzen.
  • Ressourcen: Sie sollte über die notwendigen Ressourcen verfügen, um ihre Aufgaben effektiv zu erfüllen.
  • Unterstützung durch das Top-Management: Das Top-Management muss sich für die Compliance-Organisation einsetzen und deren Arbeit unterstützen.

Die Größe und Struktur der Organisation hängt von der Größe und Komplexität des Unternehmens sowie von den Compliance-Risiken des Unternehmens ab. Kleine Unternehmen können dafür eine einzige Person haben, während große Unternehmen eine Compliance-Abteilung mit mehreren Mitarbeitern haben können.

Unabhängig von ihrer Größe und Struktur spielt die Compliance-Organisation eine wichtige Rolle für das Unternehmen. Durch die Einhaltung von Gesetzen und Vorschriften kann das Unternehmen vor Risiken geschützt und seine Reputation gestärkt werden.

By: Bard

Bußgeldzumessung

Datenschutzaufsichtsbehörden legen Konzept zur Bußgeldzumessung vor

[vc_row][vc_column][vc_column_text]Die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder haben Mitte Oktober 2019 ein Konzept zur Bußgeldzumessung in Verfahren gegen Unternehmen vorgelegt, die gegen die europäische Datenschutz-Grundverordnung DSGVO verstoßen haben. Ziel des Konzeptes ist es laut einer Pressemitteilung der Deutschen Datenschutzkonferenz vom 16. Oktober 2019, „den Datenschutzaufsichtsbehörden eine einheitliche Methode für eine systematische, transparente und nachvollziehbare Bemessung von Geldbußen zur Verfügung zu stellen.“ Das Konzept richtet sich ausschließlich an Unternehmen, nicht aber an Vereine oder Private.

Bußgeld richtet sich nach Unternehmensumsatz

Die Bußgeldzumessung bei DSGVO-Verstößen ist mit dem neuen Konzept an den Umsatz eines Unternehmens geknüpft. Darin kommt der „Willen des europäischen Gesetzgebers, die Wirksamkeit, Verhältnismäßigkeit und abschreckende Wirkung der Verhängung von Geldbußen sicherzustellen“, zum Ausdruck.

Das Konzept sieht die Bußgeldzumessung in fünf Schritten vor:

  1. Zuordnung des Unternehmens zu einer Größenklasse nach weltweit erzieltem Vorjahresumsatz
    • Kleinstunternehmen mit maximal 2 Mio. Euro Jahresumsatz
    • Kleine Unternehmen (Umsatz zwischen 2 und 10 Mio. Euro)
    • Mittlere Unternehmen (Umsatz zwischen 10 und 50 Mio. Euro)
    • Großunternehmen mit einem Umsatz größer 50 Mio. Euro
  2. Bestimmung des mittleren Jahresumsatzes der jeweiligen Untergruppe der Größenklasse
  3. Ermittlung eines wirtschaftlichen Grundwertes
  4. Multiplikation des Grundwertes mit einem Faktor, der von der Schwere der Tatumstände abhängt:
    Hier spielen Art und Dauer des Verstoßes, Zahl der betroffenen Personen und das Schadensausmaß eine Rolle.
  5. Anpassung des unter 4. ermittelten Wertes anhand täterbezogener und sonstiger noch nicht berücksichtigter Umstände.

Das neue Bußgeldkonzept gilt ausschließlich für deutsche Aufsichtsbehörden und zwar solange, bis es endgültige Leitlinie des Europäischen Datenschutzausschuss gibt. Wie die Berechnung konkret erfolgt, lesen Sie hier in einer Information der Datenschutzkonferenz.

Aktuelle Bußgeldverfahren

Nachdem die befürchtete Abmahnwelle nach dem endgültigen Inkrafttreten der DSGVO im Mai 2018 ausgeblieben war, greifen die Aufsichtsbehörden beim Thema Datenschutz in jüngster Zeit offenbar stärker durch. Gegen die Delivery Hero Germany GmbH hat die Berliner Beauftragte für Datenschutz und Informationsfreiheit Maja Smoltczyk das bislang höchste Bußgeld in Deutschland über 195.407 Euro verhängt. „Mit den Geldbußen ahndete die Berliner Datenschutzbeauftragte diverse datenschutzrechtliche Einzelverstöße des Unternehmens. Die Mehrzahl der Fälle betraf die Nichtachtung der Betroffenenrechte, wie das Recht auf Auskunft über die Verarbeitung der eigenen Daten, das Recht auf Löschung der Daten sowie das Recht auf Widerspruch“, schrieb die Berliner Datenschützerin in einer Presserklärung vom 19.9.2019. Dort hieß es weiter: „Bereits im März 2019 hatte die Berliner Beauftragte für Datenschutz und Informationsfreiheit ein erstes beträchtliches Bußgeld nach den Maßstäben der DSGVO in Höhe von 50.000 Euro gegen die Online Bank N26 festgesetzt. Das junge Unternehmen hatte zu Zwecken der Geldwäscheprävention die Namen ehemaliger Kundinnen und Kunden auf eine schwarze Liste gesetzt, unabhängig davon, ob diese tatsächlich der Geldwäsche verdächtig waren.“

Konsequenzen für Unternehmen

Das Thema Datenschutz wurde in vielen Unternehmen lange stiefmütterlich behandelt, obwohl es im digitalen Zeitalter ein besonders wichtiges Grundrecht ist. Die DSGVO wirkt dem entgegen. „Bei den genannten Unternehmen ist die Bereitschaft zur Aufarbeitung von Mängeln mittlerweile erkennbar. Ich hoffe, dass diese Bußgelder auch auf andere Unternehmen eine mahnende Wirkung entfalten“, sagte Maja Smoltczyk.

Wer mit personenbezogenen Daten arbeite, brauche ein funktionierendes Datenschutzmanagement. Das helfe nicht nur, Bußgelder zu vermeiden, sondern stärke auch das Vertrauen und die Zufriedenheit der Kundschaft.

In Berlin beispielsweise gibt es zweimal im Monat Start-up-Sprechstunden für Unternehmen in der Gründungsphase, in denen sie Fragen zum Datenschutz klären können. Auch SAT unterstützt Unternehmen mit Kooperationspartnern bei der Umsetzung der EU-Vorschriften zu Datenschutz und Datenverarbeitung. Suchen Sie einen externen Datenschutzbeauftragten, können Sie sich gerne für ein erstes unverbindliches Gespräch an das SAT-Team wenden.[/vc_column_text][/vc_column][/vc_row]

Compliance Management System

Compliance Management System gibt vor Gericht den Ausschlag

Das Oberlandesgericht Hamm hat im Sommer ein weitreichendes Urteil über die Relevanz eines Compliance Management Systems in Unternehmen getroffen. Es urteilte, dass einem Geschäftsführer wegen gravierender Compliance-Verstöße aus wichtigem Grund ohne vorherige Abmahnung gekündigt werden kann (OLG Hamm, 8 U 146/18).

In dem Fall hatte der Geschäftsführer einer konzernzugehörigen GmbH mit einem Geschäftspartner eine Provisionsvereinbarung getroffen, die den im Konzern geltenden Compliance-Vorschriften widersprach. Demnach musste bei Provisionen ab einer bestimmten Größenordnung das Vier-Augen-Prinzip eingehalten werden. Auch durften derartige Vereinbarungen nicht ohne Zustimmung des Bereichsvorstandes getroffen werden. Im Urteil des OLG Hamm heißt es daher: „Gibt ein GmbH-Geschäftsführer eine Zahlung auf eine – wie er weiß – fingierte Forderung frei, um damit eine Provisionsabrede zu honorieren, die gegen die unternehmensinternen Compliance-Vorschriften über zustimmungsbedürftige Geschäfte verstieß, kann darin eine Pflichtverletzung liegen, die einen wichtigen Grund zur Kündigung des Anstellungsvertrages darstellt.“ (Quelle: justiz.nrw.de)

Das Oberlandesgericht Hamm stellte in seinem Urteil fest, dass der Verstoß gegen die Compliance-Regelung schon für sich eine schwerwiegende Pflichtverletzung darstelle. Die Klage des ehemaligen Geschäftsführers gegen die Abberufung als Geschäftsführer und die fristlose Kündigung des Dienstverhältnisses sowie auf Fortzahlung des Geschäftsführergehaltes wies es daher ab. Das OLG betont: „Wer die Compliance-Regeln seines eigenen Unternehmens und die Sanktionen, mit denen sie bewehrt sind, nicht kennt, ist von vornherein ungeeignet, dieses zu führen.“

Bedeutung des Urteils für die Praxis

Das Urteil des OLG Hamm stellt einmal mehr klar, dass ein Compliance Management System in Unternehmen nicht nur „nice to have“ ist und ethisches wie moralisches Verhalten der Mitarbeiter und Führungskräfte regelt. Es ist darauf ausgerichtet, alle Abläufe in einer Organisation regel- und gesetzeskonform umzusetzen. Relevant sind dabei alle nationalen und internationalen Richtlinien und Gesetze, die eine Firma – definiert durch ihr Tätigkeitsfeld – berücksichtigen muss. Die Größe der Organisation ist dabei irrelevant: Vom Konzern bis zum mittelständischen oder kleinen Unternehmen sind alle an rechtskonformes Handeln und Verhalten gebunden.

Ganz klar wird durch das Urteil, dass mit einem funktionierenden Compliance Management System dem Unternehmen ein Werkzeug an die Hand gegeben ist, gegen Mitarbeiter und Führungskräfte – bis zur fristlosen Kündigung – vorzugehen, die sich nicht Compliance-konform verhalten.

Etablierung eines Compliance Management Systems

Vor diesem Hintergrund sei darauf hingewiesen, dass ein unternehmensinternes Compliance Management System der langfristigen, strategischen Vorbereitung, Einführung, Umsetzung und Kontrolle bedarf. Mit Hilfe eines Gesetzeskataster sollten Unternehmen die Grundlage schaffen zu ermitteln, welche gesetzlichen Regelungen für das eigene Tätigkeitsgebiet relevant sind. Darauf aufbauend, muss ein Compliance Management System über alle Geschäftsbereiche und –hierarchien in das Unternehmen eingeführt und dessen Umsetzung in regelmäßigen Abständen überprüft werden.

SAT berät Sie zu den detaillierten Schritten bei der Umsetzung Ihres Compliance Management Systems.

Transparenzregister

Transparenzregister gegen Geldwäsche wird öffentlich zugänglich

Seit Sommer 2017 ist das Geldwäschegesetz in Kraft, das ein elektronisches Transparenzregister vorsieht. Konnten bislang nur Strafverfolgungsbehörden, Steuerfahnder und Menschen mit „berechtigtem Interesse“ auf das Register zugreifen, soll es nun im Zuge der Umsetzung der Fünften EU-Geldwäscherichtlinie öffentlich zugänglich gemacht werden.

Das sogenannte Transparenzregister ist ein elektronisches Verzeichnis, in dem „wirtschaftlich Berechtigte“ aufgeführt werden, die mehr als 25 Prozent an einem Unternehmen besitzen. Es soll verhindern, dass illegale Vermögenswerte durch komplexe Firmenkonstruktionen verschleiert werden. Ziel ist es außerdem, die strafrechtliche Verfolgung unter anderem von organisierter Kriminalität, Geldwäsche und Steuerhinterziehung zu erleichtern.

Meldepflicht für das Transparenzregister

Die Pflicht zur Eintragung ins Transparenzregister gilt prinzipiell für alle Unternehmen. Aktiv werden sollten spätestens jetzt aber vor allem ältere Gesellschaften mit beschränkter Haftung (GmbH) ohne elektronisch abrufbare Gesellschafterlisten im Handelsregister. Sie müssen die wirtschaftlich Berechtigten ihres Unternehmens offenlegen. Betroffen sind vor allem Gesellschaften mit Eintragung vor 2007 und seither nicht mehr aktualisierter Gesellschafterliste.

Die IHK Hannover schreibt dazu auf Ihrer Internetseite https://www.hannover.ihk.de: „Die Angaben zu den wirtschaftlich Berechtigten dieser Vereinigungen sind auf aktuellem Stand zu halten.  Bei juristischen Personen oder sonstigen Vereinigungen ist jede natürliche Person wirtschaftlich Berechtigter, die unmittelbar oder mittelbar mehr als 25 Prozent der Kapitalanteile hält oder mehr als 25 Prozent der Stimmrechte kontrolliert oder auf vergleichbare Weise Kontrolle ausübt.“ Außerdem informiert die IHK darüber, wer die Eintragungen im Transparenzregister vornehmen muss: „Gesetzliche Vertreter von juristischen Personen des Privatrechts und rechtsfähige Personengesellschaften (vgl. § 20 Abs. 1 GwG) sowie Trustees und Treuhänder (vgl. § 21 Abs. 1 und 2 GwG) sind zu unverzüglichen Mitteilungen ihrer wirtschaftlich Berechtigten an das Transparenzregister verpflichtet, sofern sich die wirtschaftlich Berechtigten nicht bereits aus anderen öffentlichen Quellen (z. B. dem Handelsregister) ergeben. Börsennotierte Gesellschaften sind von gesonderten Mitteilungen an das Transparenzregisters ausgenommen, sofern sich die kontrollierende Stellung bereits aus entsprechenden Stimmrechtsmitteilungen ergibt.“

Angaben im Transparenzregister

Mitteilungspflichtig seien folgende Angaben zum wirtschaftlich Berechtigten: der Vor- und Familienname, das Geburtsdatum, der Wohnort, der Typ des wirtschaftlich Berechtigten (fiktiv oder tatsächlich) sowie Art und der Umfang des wirtschaftlichen Interesses (vgl. § 19 Abs. 1 GwG). Sowohl nachträgliche Änderungen der Angaben zum wirtschaftlich Berechtigten als auch Hinweise darauf, dass der wirtschaftlich Berechtigte sich zwischenzeitlich (wieder) aus anderen Registern ergibt, seien mitteilungspflichtig.

Kritik wegen Datenschutz

Kritik an den Plänen von Bundesfinanzminister Scholz, das Transparenzregister nach EU-Vorgaben öffentlich zugänglich zu machen, hat es zuletzt aus der Wirtschaft gegeben: Ihr gehen die Auskünfte über die „wirtschaftlich Berechtigten“ aus Datenschutzgründen zu weit. Deshalb will die Bundesregierung den eingeräumten Spielraum bei der Umsetzung der 5. Geldwäscherichtlinie für Auskünfte aus dem Transparenzregister nicht nutzen. „In der Antwort (19/10716) auf eine Kleine Anfrage der FDP-Fraktion (19/10359) erläutert die Regierung, Auskünfte über wirtschaftlich Berechtigte von Unternehmen für die Öffentlichkeit würden mindestens Name, Jahr der Geburt, Wohnsitzland und Staatsangehörigkeit sowie Art und Umfang des wirtschaftlichen Interesses enthalten. Darüber hinaus könnten die Mitgliedstaaten Zugang zu weiteren Informationen wie Geburtstag und Kontaktdaten der wirtschaftlich Berechtigten gewähren. Die Bundesregierung beabsichtigt jedoch zum Schutz der personenbezogenen Daten der wirtschaftlich Berechtigten nicht, von den erweiterten Möglichkeiten Gebrauch zu machen und Zugang zu weiteren als den mindestens erforderlichen Daten zu gewähren, heißt es in der Antwort“ laut Pressemitteilung des Deutschen Bundestages.

Im vergangenen Jahr wurden insgesamt 1003 Anträge auf Einsichtnahme aus dem Personenkreis der Öffentlichkeit gestellt. In 512 Fällen wurde dem Antrag stattgegeben, in 421 abgelehnt. 70 Anträge haben die Antragsteller selbst zurückgenommen.

Das Transparenzregister bietet eine kostenlose Servicenummer (0800-1234337), Mo–Fr von 8:00 bis 18:30 Uhr.

Whistleblower

EU schützt Whistleblower künftig einheitlich

Auf europäischer Ebene wird es künftig hohe Standards für den Schutz sogenannter Whistleblower geben, die Verstöße gegen das EU-Recht in Unternehmen melden. „Hinweisgeber tun das Richtige für die Gesellschaft und sollten von uns geschützt werden, damit sie dafür nicht bestraft, entlassen, degradiert oder vor Gericht verklagt werden“, sagte Frans Timmermans, zum Zeitpunkt der Entscheidung in diesem Frühjahr Erster Vizepräsident der EU-Kommission. Bislang ist der Schutz von Whistleblowern in der Europäischen Union nicht einheitlich geregelt.

„Die neuen EU-weiten Vorschriften zum Schutz von Hinweisgebern dienen genau diesem Zweck und werden dafür sorgen, dass Hinweisgeber Verstöße gegen das EU-Recht in vielen Bereichen sicher melden können. Dies wird Betrug, Korruption, Steuervermeidung durch Unternehmen sowie Schädigungen der menschlichen Gesundheit und der Umwelt bekämpfen helfen. Wir fordern die Mitgliedstaaten auf, ausgehend von diesen Prinzipien umfassende Rahmenbedingungen für den Schutz von Hinweisgebern zu schaffen“, so Timmermans weiter.

Hinweisgeber sollen dabei helfen, rechtswidrige Handlungen und illegale Machenschaften aufzudecken. Die Whistleblower sollen aber zugleich umfassende Unterstützung und Schutz genießen. Das neue System stärkt außerdem Arbeitgeber darin,  Probleme intern zu lösen, Hinweisgebern aber auch die Möglichkeit zu erhalten, sich ohne Angst vor Vergeltung an Behörden zu wenden.

„Die neuen Vorschriften decken ein breites Spektrum an EU-Rechtsbereichen ab, unter anderem die Geldwäschebekämpfung, die Unternehmensbesteuerung, den Datenschutz, den Schutz der finanziellen Interessen der Union, die Lebensmittel- und Produktsicherheit sowie den Umweltschutz und die nukleare Sicherheit. Überdies steht es den Mitgliedstaaten frei, diese Vorschriften auf andere Bereiche auszuweiten. Die Kommission empfiehlt ihnen, ausgehend von diesen Prinzipien umfassende Rahmenbedingungen für den Schutz von Hinweisgebern zu schaffen.

Klare Meldeverfahren und Pflichten für Arbeitgeber

Mit den neuen Vorschriften wird ein System von sicheren Kanälen für die Meldung von Missständen sowohl innerhalb einer Organisation als auch an Behörden geschaffen.

Sichere Meldekanäle

Hinweisgeber werden ermutigt, Missstände zunächst intern zu melden, wenn der Verstoß, den sie aufdecken möchten, innerhalb ihrer Organisation wirksam angegangen werden kann und sie keine Vergeltungsmaßnahmen riskieren. Je nach den Umständen im jeweiligen Fall können sie sich auch direkt an die zuständigen Behörden wenden. Wenn nach der Meldung an die Behörden keine geeigneten Maßnahmen ergriffen werden, eine drohende oder offenkundige Gefahr für das öffentliche Interesse zu erkennen ist oder eine Meldung an die Behörden keine Option wäre, beispielsweise weil die betreffenden Behörden und der Straftäter Absprachen getroffen haben, können Hinweisgeber mit ihren Informationen an die Öffentlichkeit gehen und hierfür auch die Medien nutzen. Dies bietet Hinweisgebern Schutz, wenn sie als Quellen für investigativen Journalismus dienen.

Vermeidung von Vergeltungsmaßnahmen und wirksamer Schutz

Die Vorschriften schützen Hinweisgeber vor Kündigungen, Zurückstufungen und anderen Repressalien. Ferner werden die nationalen Behörden verpflichtet, die Bürgerinnen und Bürger über die Verfahren zur Meldung von Missständen und über den bestehenden Schutz zu informieren. Darüber hinaus werden Hinweisgeber in Gerichtsverfahren geschützt.“  (Quelle: Pressemitteilung der Europäischen Kommission vom 12. März 2019)

Was bedeutet das für Unternehmen?

Unternehmen werden künftig verpflichtet sein, ein Hinweisgebersystem aufzubauen, so dass Whistleblower interne Verstöße gegen geltendes Recht anzeigen können, ohne Repressalien befürchten zu müssen. SAT wird Sie künftig beraten, wie Sie ein solches System einführen können und damit den EU-Vorschriften gerecht werden.

ISO 37301

Zertifizierbare Compliance-Management-Norm ISO 37301 kommt Ende 2020

Mit Hilfe der internationalen  Norm ISO 19600 erhalten Unternehmen jeglicher Branche und Größe bereits heute sowohl Empfehlungen wie auch praktische Hinweise, wie ein Compliance-Management-System wirksam und organisationsspezifisch umgesetzt werden kann. Hierdurch wird die Grundlage geschaffen, dass sich Führungskräfte und Mitarbeiter im Sinne ihres Compliance Management Systems regelkonform verhalten. Die ISO 19600 hat jedoch einen entscheidenden Nachteil: Sie ist kein zertifizierbarer Standard. Diese Lücke soll ab Ende 2020 die neue Norm ISO 37301 schließen.

ISO 37301 ist bei Anti-Korruption angesiedelt

Aktuell wird die Norm ISO 19600 einer Revision unterzogen. Als Ergebnis soll im kommenden Jahr die ISO 37301 als Managementsystem-Standard etabliert werden, der dann auch zertifiziert werden kann. Der neue Standard wird von der Systematik her beim internationalen Standard für Anti-Korruptionsmanagementsysteme ISO 37001 angesiedelt sein, den die International Organization for Standardization ISO bereits im Oktober 2016 veröffentlicht hat. ISO 37001 beschreibt die Anforderungen an Organisationen jeder Größenordnung und Branche, ein wirkungsvolles Anti-Korruptionsmanagement-System einzuführen und umzusetzen. Ziel ist es, optimale Rahmenbedingungen zu schaffen, um Korruption und Bestechung erfolgreich aufzudecken und dauerhaft und zu verhindern.

Zertifizierbarkeit der ISO-Standards

Sollte ein Unternehmen bereits jetzt eine Zertifizierung anstreben, empfehlen wir aktuell den TR CMS 101:2015 des TÜV Rheinland. Dieser Standard ist sehr eng an die ISO 19600 angelehnt und beinhaltet alle Grundelemente für die Feststellung eines überprüfbaren und nachweisbaren Compliance-Management Systems. Der TR CMS 101:2015 wird voraussichtlich durch die ISO 37301 abgelöst werden.

Mit der Zertifizierung können die Unternehmen den Beweis antreten, dass sie alle notwendigen und möglichen Maßnahmen ergriffen haben, um die Anforderungen der verschiedenen Standards umzusetzen. Das betrifft ISO 37001 für die Korruptionsbekämpfung ebenso wie den kommenden ISO 37301 für die Etablierung von Compliance-Management-Systemen. Ein zertifiziertes Unternehmen bekennt sich nachweislich zur gesetzeskonformen Tätigkeit in allen Bereichen. Die extern überprüfte und dafür notwendige Transparenz schafft Vertrauen bei den Geschäftspartnern und bildet damit die Grundlage für einen langfristigen Unternehmenserfolg.

Neben der ISO 37301 soll die ISO 19600 als Informationsstandard auch über das Jahr 2020 hinaus erhalten bleiben.

Stellenwert der Compliance

Stellenwert der Compliance im Unternehmen nimmt weiter zu

Sind es die verschärften gesetzlichen Auflagen oder ein rein wirtschaftlich-monetärer Aspekt? Der Stellenwert der Compliance nimmt weiter zu – wenn auch der Antrieb oftmals noch von der Korruptionsbekämpfung im Unternehmen ausgeht.

Compliance – mehr als Korruptionsbekämpfung

Wir verstehen Compliance als die Einhaltung sämtlicher Gesetze, Regeln und Vorschriften, die für ein Unternehmen aufgrund seiner Tätigkeit relevant sind, und zwar national wie international. Korruption oder Bestechung sind dabei nur ein Aspekt, allerdings nach wie vor der mit der stärksten Öffentlichkeitswirkung, wenn er bekannt wird.

Ein wesentlicher Antrieb, die Compliance-Maßnahmen im Unternehmen zu verstärken, liegt daher immer noch in der Korruptionsbekämpfung, um Imageverluste bei Geschäftspartnern und Kunden zu vermeiden. Denn: Die Zusammenarbeit mit nicht nur wirtschaftlich, sondern auch ethisch einwandfrei auf- und eingestellten Firmen ist mittlerweile zum Wert an sich geworden.

Compliance als Wettbewerbsfaktor

Unternehmen, die gesetzeskonform handeln und sich an die regulatorischen Auflagen im Rahmen ihrer Tätigkeit halten, steigern ihre Reputation am Markt, werden als vertrauenswürdig wahrgenommen. Dementsprechend gehört es zu den wichtigsten Zielen vieler Compliance-Beauftragter, das Thema nachhaltig auf allen Ebenen in ein Unternehmen hineinzutragen und die notwendige Compliance-Kultur zur fördern.

Dieser Veränderungsprozess hin zur durchgängigen Gesetzeskonformität hat zugleich unmittelbaren Einfluss auf den wirtschaftlichen Erfolg – ein entscheidender Grund, warum das Thema Compliance mittlerweile in vielen Vorstands- und Geschäftsführungsetagen angekommen ist.

Volkswagen ist ein Beispiel dafür, dass Compliance zunehmend höchste Aufmerksamkeit genießt: Nach dem Bekanntwerden des Dieselskandals wurde 2016 das Ressort „Recht und Integrität“ auf oberster Führungsebene installiert. Seit 2017 hat Airbus mit Sylvie Kandé de Beaupuy einen Chief Compliance Officer im Vorstand.

Stellenwert der Compliance steigt auch durch Gesetzesänderungen

Doch weder der ethische noch der wirtschaftlichen Aspekt allein stärken den Stellenwert der Compliance in Unternehmen. Hinzu kommt vor allem die veränderte Gesetzeslage auf den internationalen Märkten, die viele Firmen zum Handeln zwingt. Wer nicht zahlen will (mit allen negativen finanziellen Aspekten plus Imageverlust), hält sich an die rechtlichen Bestimmungen. In diesem Sommer ist beispielsweise die fünfte EU-Geldwäscherichtlinie in Kraft getreten, die  Geldwäsche und Terrorismusfinanzierung vorbeugen soll. Sie sieht eine höhere Sorgfaltspflichte bei Geschäftspartnern in Hochrisiko-Drittländern vor, außerdem mehr Transparenz über die wirtschaftlichen Eigentümer eines Unternehmens.

Bei den gesetzlichen Veränderungen ist außerdem zu denken an die deutsche ISO19600, an den amerikanischen „Foreign Corrupt Practices Act“ oder an den UK Bribery Act: In den USA und in Großbritannien machen sich Unternehmen strafbar, wenn sie nicht durch ihre internen Strukturen Korruption bekämpfen oder verhindern. Damit steht die Wirksamkeit der unternehmerischen Compliance-Management-Systeme auf dem Prüfstand.

 

 

DSGVO

Mehr als 100 Tage DSGVO: Was hat sich getan?

Vier Monate ist es her, dass am 25. Mai 2018 die europäische Datenschutz Grundverordnung DSGVO in Kraft getreten ist. Das Beben, das mit der Umsetzung durch Unternehmen jeder Größenordnung bis hin zu Vereinen ging, ist noch nicht abgeebbt.

DSGVO – Schutz vor dem Missbrauch persönlicher Daten

Vom Grundgedanken her mag die DSGVO in Zeiten der Digitalisierung bis in die tiefste Privatsphäre hinein sinnvoll sein: „Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten“, heißt es in Artikel 1 der Datenschutz Grundverordnung. So weit so gut. Schützen wollte das Europäische Parlament die Menschen vor allem vor den Datenkraken der Internetkonzerne, die personenbezogene Daten zu wirtschaftlichen Zwecken in großen Umfang verarbeiten und nutzen. Doch getroffen hat das Regelwerk auch Kleinstunternehmen, Handwerksbetriebe, gemeinnützige Vereine, Mittelständler, für die die Umsetzung oftmals mit unverhältnismäßigem Aufwand verbunden war und nach wie vor ist.

Und die verunsichert sind, was sie tun müssen oder dürfen, um noch datenschutzkonform zu agieren, um Abmahnungen und Strafzahlungen zu entgehen. So sind zahlreiche Unternehmen bis heute nicht datenschutzkonform aufgestellt. Ihnen fehlen die entsprechenden Datenschutzkonzepte, von der praktischen Umsetzung ganz zu schweigen. Die Zahl der Unternehmens- und Vereinswebsites, die wegen der gestiegenen Anforderungen aus der DSGVO sicherheitshalber vom Netz genommen wurden, ist in den letzten Monaten deutlich in die Höhe gegangen. Bosch hatte beispielsweise für seine Online-Handwerker-Community zwischenzeitlich die Reißleine gezogen. Amerikanische Zeitungen wie die Chicago Tribune sperren europäische Leser aus ihrem Online-Angebot ganz aus, weil sie die DSGVO nicht umsetzen können oder wollen.

Rechtssicherheit für Unternehmen aller Größenordnungen

Bereits kurz nach Inkrafttreten der Verordnung wurde die Forderung laut, höhere Rechtssicherheit zu schaffen. Unklar ist unter anderem immer noch, ob Verstöße gegen den Datenschutz überhaupt abmahnfähig sind. Ist Datenschutz ein Wettbewerbsfaktor? Entstehen Wettbewerbern Nachteile durch fehlenden Datenschutz des Konkurrenten? Diese Fragen haben bislang weder der  Gesetzgeber noch die Gerichte geklärt. Im „Handelsblatt“ hat Bundesjustizministerin Katarina Barley (SPD) bereits im Juni angekündigt, gegen missbräuchliche Abmahnungen vorzugehen. „Wir werden professionellen Abmahnern das Wasser abgraben. Dafür brauchen wir eine umfassende Lösung. Gerade kleine Unternehmen und Selbständige, aber auch Vereine und Privatpersonen, brauchen einen wirksamen Schutz vor dem Treiben von professionellen Abmahnern.“ (Handelsblatt vom 13.6.2018)

Abmahnwelle ausgeblieben

Möglicherweise auch aufgrund der rechtlichen Unklarheit hat eine Abmahnwelle bislang nicht im prognostizierten Umfang stattgefunden. „Viele der um den 25. Mai in der Öffentlichkeit kursierenden Fehlinformationen zur DSGVO haben zu unnötiger Unsicherheit geführt. Es wurde eine Abmahnwelle befürchtet oder die massenweise Verhängung von Geldbußen durch die Aufsichtsbehörden. Solche Szenarien sind ausgeblieben“, verkündete Anfang September Andrea Voßhoff, Bundesbeauftragte für den Datenschutz. Die Datenschutzbehörden hatten darüber hinaus angekündigt, mit der Verhängung von Bußgeldern zunächst zurückhaltend umzugehen, vielmehr Beratung und Ermahnung in den Vordergrund zu stellen.

Bürger nutzen Rechte aus DSGVO verstärkt

Was nach dem 25. Mai 2018 laut Andrea Voßhoff deutlich zugenommen hat, sind indes die Anfragen und Beschwerden der Menschen bei den Behörden: „Bürgerinnen und Bürger nehmen ihre neuen Rechte nach der DSGVO verstärkt wahr. Dies ist auch anhand der signifikant gestiegenen Eingänge bei den Aufsichtsbehörden erkennbar. So erreichten mein Haus seit dem 25. Mai bis Mitte August insgesamt 1.020 Beschwerden und 1.453 allgemeine Anfragen. Auch die in meinen Zuständigkeitsbereich fallenden Institutionen nehmen ihre Pflichten ernst, meldeten im vorgenannten Zeitraum 4.254 potentielle Datenschutzverstöße und baten darüber hinaus um Beratung. Mit bisher 262 europaweit anhängigen Fällen haben die europäischen Datenschutzaufsichtsbehörden ihre gemeinsame koordinierende Tätigkeit aufgenommen. Diese Entwicklung ist zu begrüßen, denn sie zeigt: Die DSGVO lernt Laufen“, schreibt Voßhoff in einer Pressemitteilung vom 4. September.

Bundesjustizministerin will „Kleine“ schützen

Ende August hat Bundesjustizministerin Katarina Barley (SPD) in der Tagesschau übrigens angekündigt,  dass „kleine Unternehmen, Vereine und Selbstständige […] nach den Plänen bei kleineren Verstößen gegen die DSGVO von kostenpflichtigen Abmahnungen ausgenommen werden.“ Ein entsprechender Gesetzentwurf sollte bis Anfang September 2018 vorliegen.

Trotz dieser Anpassungen der DSGVO bleibt es Aufgabe und Pflicht aller Organisationen – vom gemeinnützigen Verein über den Einzelunternehmer und Handwerker bis zum Großkonzern – die Anforderungen der Vorschrift umzusetzen. Denn sie räumt den Menschen umfassende Rechte ein, denen Unternehmen und Vereine gerecht werden müssen. Dazu gehört das Recht auf Auskunft, welche personenbezogenen Daten erhoben werden, das Recht auf Korrektur falscher oder lückenhafter Daten, das Recht auf Datenlöschung und das Recht auf Datenübertragung. Um diesen Anforderungen zu genügen, sollten Unternehmen und Vereine jeder Größenordnung ein Datenschutzkonzept entwickeln und kurz- bis mittelfristig umsetzen.

Compliance Quick Check

Compliance Quick Check: Wie reif ist Ihr Unternehmen?

Wie steht es in Ihrem Unternehmen um die Compliance? Sind sie in allen Berei­chen rechtskonform aufgestellt? Um eine seriöse Einschätzung zu erhalten, bietet SAT den Compliance Quick Check – schnell und zu überschaubaren Kosten.

Compliance Quick Check untersucht Compliance-Reife

Ziel des Compliance Quick Check  ist es, die Compliance-Reife eines Unterneh­mens in den wesentlichen Punkten zu bewerten. Er geht einem organisationswei­ten Compliance-Audit voraus, anhand dessen später detaillierte Aussagen zur Rechtskonformität getroffen werden können.

Folgende Punkte prüft der Quick-Check:

  • Compliance-Verständnis
  • Compliance-Ziele
  • Compliance-Prozess
  • Compliance-Verantwortung
  • Compliance-Bewusstsein
  • Compliance-Anforderungen
  • Compliance-Aktualität
  • Compliance-Konformität
  • Compliance-Überwachung
  • Compliance-Ereignis

In Gesprächen mit Führungskräften und Mitarbeitern in verschiedenen Unter­nehmensbereichen geht es um die realistische Einschätzung, wie tief das Thema Compliance in der Organisation verankert ist. Hier einige Beispielfragen:

  1. Was verstehen Sie unter „Compliance“?

Ziel der Frage:

Ist eine einheitliche Begriffsdefinition im Unternehmen vorhanden bzw. ist das Thema überhaupt bekannt?

Mindestanforderungen, damit ein Unternehmen als compliant gelten kann:

  • Aussage: jederzeit gesetzes- und regelkonform sein
  • Konformität hinsichtlich:
    • Gesetze:
      EU, Bund, Länder, Kommune
    • Regeln:
      unternehmensintern (Arbeitsanweisungen, Org.-Anweisungen); Technische Regelwerke (TRBS, TRBA, BG, …); technische Normen (DIN, VDI, VDE,…)

Welche Dokumente/Nachweise geht der/die Befragte zum Thema Compliance?

  • Grundsatzerklärung, Ethikrichtlinie, usw.

Anhand dieser Aussagen bewerten die Prüfer im Compliance Quick Check, ob es bei den Befragten ein grundsätzliches Verständnis von Compliance gibt. Daraus leiten wir entsprechende Maßnahmen und Empfehlungen.

Ebenso gehen wir beispielsweise bei der Frage zu den Compliance-Zielen vor:

  1. Existieren für das Unternehmen/Ihren Bereich Compliance-Ziele?

Ziel der Frage:

  • Wie systematisch wird das Thema Compliance im Unternehmen behandelt?
  • Ist der systematische Umgang mit dem Thema Compliance im Unterneh­men sichergestellt?

Mindestanforderungen, um von vorhandenen Compliance-Zielen sprechen zu können:

  • Es existieren formulierte und messbare Ziele.
  • Ziele sind bekannt und abrufbar.
  • Ziel sind bestenfalls in Zielvereinbarungen verankert

Es gibt Dokumente/Nachweise über die Compliance-Ziele:

  • freigegebene Compliance-Ziele
  • Zielvereinbarungen
  • Befragung von Mitarbeitern

Der Fragenkatalog erstreckt sich schließlich bis hin zur Compliance-Kon­formität, zu der die Mitarbeiter sich äußern sollen.

  1. Wie stellen Sie die Beachtung der Compliance-Anforderungen sicher?

Ziel der Frage:

  • Werden Compliance-Anforderungen termingerecht umgesetzt?

Mindestanforderungen, um von der Beachtung der Compliance-Anforderungen sprechen zu können:

  • Ableitungen von Maßnahmen aus Anforderungen
  • Festlegung von Zuständigkeiten und Terminen
  • Bereitstellung von Budget zur Erfüllung der Anforderungen

Als Dokumente oder Nachweise, dass die Compliance-Anforderungen be­achtet werden, gilt hier ein Maßnahmenplan mit Zuständigkeiten und Ter­minen.

Durch die unterschiedlichen Themenkomplexe rund um die Compliance ergibt sich im Gespräch mit den Mitarbeitern und Führungskräften ein aussagekräftiges Gesamtbild. Anhand dessen können wir beurteilen, ob Ihr Unternehmen die notwendige Compliance-Reife erreicht. Sollte das nicht so sein, geben wir Empfehlungen zu weiterführenden Maßnahmen ab, damit sie das rechtskonforme Handeln in Ihrer Organisation sicherstellen können.

Vorteil des Compliance Quick Check

Eine realistische Einschätzung zur Rechtskonformität in ihrem Unternehmen zu erhalten, verbinden viele Verantwortliche mit einem enormen zeitlichen und kos­tenintensiven Aufwand. Und obwohl ein funktionierendes Compliance Manage­ment System finanzielle und juristische Risiken durch mangelhafte Rechtskonfor­mität erheblich reduziert, fürchten insbesondere mittelständische Unternehmen oftmals den vermeintlichen Aufwand der Überprüfung und verzichten zuweilen ganz darauf. Das aber ist nicht nur aus Haftungsgründen äußerst riskant, sondern auch wegen des drohenden Imageverlustes bei den Geschäftspartnern, sollte eine Organisation nicht rechtskonform arbeiten.

Mit dem SAT Compliance Quick Check lösen wir dieses Problem: Wir bieten ihn zum Festpreis an. So können Sie sich zunächst einen Einblick über die Compliance-Situation in Ihrem Unternehmen machen, bevor Sie – falls notwendig – einen umfangreicheren Auftrag vergeben.

Compliance-Kontrolle

Compliance-Kontrolle: Compliance einführen und umsetzen

Ein Compliance-System im Unternehmen einführen ist ein dauerhafter Prozess. Denn nach der Implementierung kommt die Compliance-Kontrolle, die sicherstellen soll, dass die Gesetzeskonformität in allen Geschäftsbereichen von Dauer ist. Wie gehen Sie vor, was gehört dazu?

Einführung eines Compliance-Systems in fünf Schritten

In fünf Schritten führen Sie ein strukturiertes Compliance-System in Ihrem Unternehmen ein.

  1. Quick-Check: Überblick über die Situation im Unternehmen verschaffen

    Welche Compliance-Risiken bestehen aktuell in Ihrer Organisation? Gibt es schon Elemente eines Compliance-Management-Systems? Wo sehen Sie derzeit den größten Handlungsbedarf, um Ihr Unternehmen gesetzeskonform aufzustellen?

  2. Ausrichtung/Risiken: Compliance-Management-System grundsätzlich ausrichten

    Analysieren Sie, welche nationalen und internationalen Gesetze und Vorschriften für Ihr Unternehmen gelten. Nutzen Sie dazu ein vollständiges und aktuelles Gesetzes- und Vorschriftenkataster.

    Mit der Kenntnis der geltenden Regeln und Gesetze geht es an die Bewertung: Wie groß sind die Risiken für Ihr Unternehmen, wenn es nicht durchgängig gesetzes- und regelkonform aufgestellt ist? Davon hängt ab, für welchen Unternehmensbereich Sie sich zuerst Gedanken über ein funktionierendes Compliance-System machen.

  3. Unternehmens- und risikospezifische Konzeption des Compliance Management Systems

    Hier geht es um die Organisation des Compliance-Management-Systems. Welche Compliance-Instanzen gehören dazu, welche weiteren relevanten Bausteine? Die Entscheidung hängt von Ihrer Organisationsstruktur ab, aber auch von den individuellen Risiken, die Sie zuvor identifiziert haben. Sie entscheiden, auf welcher Organisationsebene das Thema Compliance verankert wird, wer dafür zuständig und verantwortlich ist, wer welche Beiträge dazu liefern muss. Installieren Sie einen Compliance-Beauftragen? Mit welchen Kompetenzen wird er ausgestattet? An wen berichtet er?

  4. Operationalisieren des Compliance-Konzeptes

    Sie legen Compliance-Prüfpunkte in den Unternehmensprozessen fest und definieren Verantwortlichkeiten. Bestimmen Sie, welche Unternehmensbereiche Sie kontinuierlich beobachten und an veränderte Gesetze und Vorschriften anpassen.

    Erstellen Sie Detailregelungen, beispielsweise zu Vertragswerken und Arbeitsverträgen. Ein nicht gesetzteskonformes Contracting mit Lieferanten beispielsweise ist haftungsträchtig. Hier sollten Sie Lieferanten vertraglich dazu verpflichten, sich im Sinne der Ethikrichtlinien des Unternehmens zu verhalten.

    Notwendig ist auch die kontinuierliche Information der Mitarbeiter im Unternehmen über die Pflicht zur Einhaltung gesetzlicher Regelungen. Hierzu gehört auch, die Ethikgrundsätze künftigen Arbeitsverträgen beizufügen und gegenzeichnen zu lassen.

    Konkretisieren und führen Sie die Compliance-Instanzen ein. Ziel ist es, die Compliance-Maßnahmen so detailliert zu planen, dass sie reif für die Umsetzung sind.

  5. Umsetzung der Compliance-Maßnahmen

    Setzen Sie die Maßnahmen in den Unternehmensbereichen um, die sie kontinuierlich auf Gesetzeskonformität beobachten. Die Implementierung in der Organisation sieht unter anderem

  • die Schulung der Führungskräfte und Mitarbeiter,
  • die Information der Führungskräfte und Mitarbeiter,
  • die Umsetzung der modifizierten Prozessen und Vorschriften in der Praxis

vor. Nur, wenn Sie die Führungskräfte und die Mitarbeiter ins Boot holen, lässt sich Compliance langfristig umsetzen und im Unternehmen leben.

  1. Kontinuierlicher Verbesserungsprozess und Compliance-Kontrolle

    Langfristig müssen Sie kontinuierlich an der Verbesserung der Compliance in Ihrem Unternehmen arbeiten. Stichwort: „Nachhaltigkeitssicherung“. Compliance muss zum integralen Bestandteil der täglichen Arbeit in der Organisation werden. Dazu gehört auch die Compliance-Kontrolle.

    Element der Überprüfung sind regelmäßige Audits der umgesetzten Maßnahmen: Werden sie in der Praxis tatsächlich gelebt? Überprüfen Sie Ihr Compliance-Management-System, ob es im Alltag praktikabel ist oder ob es angepasst werden muss. Entwickeln Sie es ständig weiter und tragen Sie dazu bei, dass es mittel- bis langfristig als völlig selbstverständlich wahrgenommen und umgesetzt wird.

    Schulung der Mitarbeiter

Weiterer Bestandteil der Compliance-Kontrolle ist die Schulung der Mitarbeiter. Mit Hilfe eines Gesetzeskatasters sollten Sie wissen, welche Gesetze, Vorschriften und Richtlinien sich ändern und welche Auswirkungen das auf Ihre Organisation hat. Ihre Mitarbeiter müssen Sie über die Veränderungen informieren und immer wieder schulen. Dazu empfehlen wir die Einführung eines Compliance Schulungsprogrammes.

Lassen Sie das Thema Compliance nicht aus den Augen. Sie müssen nicht regelkonformes Verhalten im Unternehmen nicht nur aufdecken, sondern verhindern. Schließlich sind die Konsequenzen mangelnder Compliance weitaus komplexer und komplizierter zu handhaben, als die notwendige Auseinandersetzung und Umsetzung eines Compliance-Systems und der notwendigen Compliance-Kontrolle.

Aufsichtsrat

Aufsichtsrat und Compliance – Überwachung und Steuerung

Die Geschäftsführung oder der Vorstand eines Unternehmens sind für die Einführung und Umsetzung eines wirkungsvollen Compliance Management Systems im gesamten Unternehmen verantwortlich. Doch wer kontrolliert die Unternehmensleitung, ob ihr Verhalten jederzeit gesetzeskonform ist und ob sie die Rechtskonformität über alle Unternehmensebenen hinweg umsetzt und überwacht? Hier kommt dem Aufsichtsrat oder Beirat eine wichtige Rolle bei der Kontrolle des Compliance Management Systems zu.

Systemüberwachung und Beratung des Vorstands

Gesetzlich ist der Aufsichtsrat von Geschäftsführungsaufgaben ausgeschlossen. Ihm kommt vielmehr die zentrale Aufgabe der Beratung, Systemüberwachung und Kontrolle der Geschäftsführung bzw. des Vorstandes zu. Dazu gehört auch die Klärung, ob die Geschäftsleitung dafür sorgt, dass im Rahmen eines funktionierenden und wirksamen Compliance Management Systems sämtliche relevanten Gesetze, Vorschriften und Regularien eingehalten werden, um Geldstrafen, aber auch Imageverlust in der Öffentlichkeit zu verhindern.

Informationspflicht des Vorstandes

Der Deutsche Corporate Governance Kodex sieht deshalb vor, dass ein Vorstand regelmäßig und umfassend den Aufsichtsrat über Compliance-relevante Themen im Unternehmen informieren muss. Findet dieser Austausch nicht statt, muss der Aufsichtsrat die Complianceberichte vom Vorstand oder der Geschäftsführung aktiv einfordern. Im „Schadensfall“ ist der Aufsichtsrat außerdem aufgerufen, zur Aufklärung und Behebung nicht rechtskonformen Verhaltens im Unternehmen beizutragen. Ansonsten können auch die Mitglieder des Kontrollgremiums persönlich haften.

Fachliche Auseinandersetzung gefordert

Der Aufsichtsrat eines Unternehmens kann diese Kontrollfunktion gegenüber dem Vorstand oder der Geschäftsführung indes nur nach einer intensiven fachlichen Auseinandersetzung mit dem Thema und bei einem funktionierenden Compliance Management System im Unternehmen effizient wahrnehmen. Nur dadurch wird er in die Lage versetzt, die Wirksamkeit des Systems zu beurteilen und die Frage zu klären, ob Risiken der Unternehmenstätigkeit darin angemessen abgebildet sind. Die fachliche Auseinandersetzung der Aufsichtsratsmitglieder mit allen Themen rund um die Compliance in ihrem Unternehmen ist heutzutage ein absolutes Muss.