Compliance-Kennzahlen: Woran erkennt die Geschäftsleitung, ob das Compliance-Management wirklich funktioniert? (Teil 1)

Ein Compliance-Management-System besteht nicht aus Richtlinien, Schulungen oder Audits. Sein Wert zeigt sich erst dann, wenn die Unternehmensleitung beantworten kann, ob Risiken erkannt, gesetzliche Anforderungen eingehalten und beschlossene Maßnahmen tatsächlich umgesetzt werden. Genau dabei helfen aussagekräftige Compliance-Kennzahlen.

Viel Aktivität bedeutet nicht automatisch wirksame Compliance

Stellen Sie sich folgendes Szenario vor:

Ein mittelständisches Unternehmen hat in den vergangenen Jahren viel in sein Compliance-Management investiert. Es gibt einen Verhaltenskodex, interne Richtlinien, regelmäßige Schulungen und ein Hinweisgebersystem. Neue Gesetze werden über ein Rechtskataster beobachtet und einmal jährlich findet ein Management-Review statt. Auf den ersten Blick scheint alles vorhanden zu sein, was ein modernes Compliance-Management-System ausmacht.

Doch bei einem internen Audit zeigt sich ein anderes Bild. Mehrere gesetzliche Änderungen wurden zwar identifiziert, ihre Auswirkungen jedoch nie bewertet. Maßnahmen aus dem letzten Audit sind seit Monaten überfällig. Pflichtschulungen wurden in einzelnen Bereichen nicht durchgeführt und Hinweise aus dem Meldesystem warten noch immer auf ihre abschließende Bearbeitung.

Die Frage lautet nun nicht, ob das Unternehmen ein Compliance-Management-System besitzt. Die entscheidende Frage lautet:

Hat das Compliance-Management-System seine Aufgabe erfüllt?

Genau hier liegt eine der größten Herausforderungen in der Unternehmenspraxis. Compliance wird häufig anhand ihrer Aktivitäten bewertet. Wie viele Schulungen wurden durchgeführt? Wie viele Audits fanden statt? Wie viele Richtlinien wurden überarbeitet?

Diese Informationen sind zwar wichtig, sie sagen jedoch nur wenig darüber aus, ob das System tatsächlich wirksam ist. Eine hohe Zahl durchgeführter Schulungen garantiert beispielsweise nicht, dass Mitarbeitende Regelverstöße erkennen oder vermeiden. Ebenso beweist ein umfangreiches Regelwerk noch nicht, dass gesetzliche Anforderungen im Unternehmensalltag eingehalten werden.

Ein wirksames Compliance-Management muss daher mehr leisten als die Dokumentation einzelner Aktivitäten. Es muss der Geschäftsleitung ermöglichen, Risiken frühzeitig zu erkennen, Entwicklungen zu bewerten und bei Bedarf gegenzusteuern. Genau deshalb fordern anerkannte Standards wie die ISO 37301 und der IDW PS 980 eine regelmäßige Überwachung und Bewertung des Compliance-Management-Systems. Die Unternehmensleitung soll nicht nur wissen, welche Maßnahmen durchgeführt wurden, sondern auch beurteilen können, ob diese Maßnahmen ihren Zweck erfüllen.

An dieser Stelle kommen Compliance-Kennzahlen ins Spiel.

Warum Compliance-Kennzahlen unverzichtbar sind

Jedes Unternehmen arbeitet mit Kennzahlen. Umsatzrendite, Eigenkapitalquote oder Liefertermintreue helfen dabei, den Erfolg des Unternehmens objektiv zu bewerten. Niemand käme auf die Idee, die wirtschaftliche Entwicklung ausschließlich nach Bauchgefühl zu beurteilen.

Für das Compliance-Management gilt derselbe Grundsatz.

Auch hier benötigt die Geschäftsleitung belastbare Informationen, um ihre Organisations- und Überwachungspflichten wahrnehmen zu können. Sie muss erkennen können, ob gesetzliche Anforderungen rechtzeitig umgesetzt werden, ob identifizierte Risiken beherrscht sind und ob das Compliance-Management-System kontinuierlich verbessert wird.

Ein gutes Compliance-Dashboard erfüllt dabei eine ähnliche Funktion wie das Cockpit eines Fahrzeugs. Es zeigt nicht jedes technische Detail an, sondern konzentriert sich auf die Informationen, die für eine sichere Steuerung erforderlich sind. Niemand erwartet von einer Geschäftsführerin oder einem Geschäftsführer, jede einzelne Richtlinie oder jede offene Maßnahme persönlich zu verfolgen. Erwartet wird jedoch, dass wesentliche Entwicklungen erkannt und notwendige Entscheidungen rechtzeitig getroffen werden.

Genau deshalb sollte ein Compliance-Dashboard nicht möglichst viele Zahlen enthalten. Entscheidend sind wenige Kennzahlen mit hoher Aussagekraft. Sie müssen verständlich sein, regelmäßig aktualisiert werden und Entwicklungen über einen längeren Zeitraum sichtbar machen. Erst dadurch entsteht ein realistisches Bild über den Zustand des Compliance-Management-Systems.

Was eine gute Compliance-Kennzahl auszeichnet

In vielen Unternehmen wächst ein Dashboard über Jahre hinweg. Mit jedem Audit, jeder Zertifizierung und jeder neuen gesetzlichen Anforderung kommen weitere Tabellen, Diagramme oder Ampeln hinzu. Irgendwann umfasst das monatliche Reporting mehrere Dutzend Kennzahlen – und verliert gerade dadurch seinen Nutzen.

Ein wirksames Compliance-Dashboard verfolgt einen anderen Ansatz. Es beginnt nicht mit der Frage, welche Daten verfügbar sind, sondern welche Entscheidungen die Geschäftsleitung treffen muss. Eine gute Compliance-Kennzahl beantwortet deshalb immer eine konkrete Managementfrage.

Zum Beispiel:

• Werden identifizierte Schwachstellen tatsächlich beseitigt?
• Entstehen neue regulatorische Risiken?
• Werden gesetzliche Änderungen rechtzeitig umgesetzt?
• Funktioniert das Hinweisgebersystem?
• Verbessert oder verschlechtert sich das Compliance-Management im Zeitverlauf?

Kann eine Kennzahl keine dieser Fragen beantworten, gehört sie in der Regel auch nicht in das Management-Dashboard.

Ebenso wichtig ist die Entwicklung über die Zeit. Eine einzelne Zahl besitzt häufig nur eine begrenzte Aussagekraft. Erst der Vergleich über mehrere Monate zeigt, ob Maßnahmen wirken oder ob sich strukturelle Probleme entwickeln. Ein Dashboard sollte daher nicht nur den aktuellen Status darstellen, sondern immer auch Trends sichtbar machen.

Die wichtigste Kennzahl: Werden Maßnahmen tatsächlich umgesetzt?

Jedes Compliance-Management-System produziert Maßnahmen. Sie entstehen nach internen Audits, aus Risikoanalysen, aufgrund neuer gesetzlicher Anforderungen oder nach Hinweisen aus dem Hinweisgebersystem. Solange diese Maßnahmen dokumentiert und terminiert werden, entsteht leicht der Eindruck, dass das Unternehmen seine Compliance aktiv steuert. Tatsächlich beginnt die eigentliche Arbeit jedoch erst nach der Entscheidung.

Eine Maßnahme, die seit Monaten im Status „in Bearbeitung“ geführt wird, reduziert kein Risiko. Gleiches gilt für Empfehlungen aus einem Audit, die zwar beschlossen, aber nie umgesetzt wurden. Aus Sicht der Geschäftsleitung ist deshalb nicht die Anzahl der Maßnahmen entscheidend, sondern deren Umsetzung.

Ein Compliance-Dashboard sollte daher auf einen Blick erkennen lassen,

• wie viele Maßnahmen aktuell offen sind,
• wie viele fristgerecht abgeschlossen wurden,
• welche Maßnahmen überfällig sind und
• ob besonders kritische Maßnahmen rechtzeitig umgesetzt werden.

Dabei lohnt sich auch ein Blick auf die Ursachen. Häufen sich überfällige Maßnahmen, liegt das Problem häufig nicht im Compliance-Management selbst. Oft fehlen klare Verantwortlichkeiten, notwendige Ressourcen oder verbindliche Fristen. Das Dashboard macht diese Entwicklung sichtbar und schafft damit die Grundlage für organisatorische Verbesserungen.

Praxis-Tipp: Konzentrieren Sie sich nicht auf die absolute Anzahl offener Maßnahmen. Aussagekräftiger ist der Anteil überfälliger Maßnahmen sowie deren Entwicklung über mehrere Monate.

Werden gesetzliche Änderungen rechtzeitig umgesetzt?

Gesetze ändern sich kontinuierlich. Für Unternehmen bedeutet das, neue Anforderungen zu identifizieren, ihre Auswirkungen zu bewerten und – falls erforderlich – Prozesse, Richtlinien oder technische Maßnahmen anzupassen.

In der Praxis funktioniert dieser Prozess jedoch nicht immer reibungslos. Während die Rechtsbeobachtung häufig etabliert ist, gerät die Umsetzung neuer Anforderungen leicht ins Stocken. Verantwortlichkeiten sind unklar, Fachbereiche priorisieren andere Projekte oder notwendige Entscheidungen werden vertagt. Gerade deshalb gehört der Umgang mit Rechtsänderungen zu den wichtigsten Kennzahlen eines Compliance-Dashboards.

Die Geschäftsleitung sollte jederzeit erkennen können,

• wie viele neue Rechtsänderungen identifiziert wurden,
• welche bereits bewertet sind,
• für welche Änderungen Maßnahmen beschlossen wurden und
• bei welchen Anforderungen die Umsetzung noch aussteht.

Besonders wertvoll wird diese Kennzahl, wenn sie nicht nur den aktuellen Bestand zeigt, sondern auch die Bearbeitungsdauer. Bleiben Rechtsänderungen über Monate unbehandelt, steigt das Risiko, dass gesetzliche Pflichten nicht rechtzeitig umgesetzt werden.

Unternehmen mit einem digitalen Rechtskataster verfügen hier über einen klaren Vorteil. Die notwendigen Informationen liegen bereits strukturiert vor und lassen sich ohne zusätzlichen Dokumentationsaufwand in das Dashboard übernehmen.

Wie entwickeln sich die Compliance-Risiken?

Compliance bedeutet nicht, jedes Risiko vollständig auszuschließen. Ziel ist vielmehr, Risiken systematisch zu erkennen, zu bewerten und auf ein vertretbares Maß zu reduzieren. Ein Dashboard sollte deshalb nicht nur dokumentieren, welche Risiken aktuell bestehen, sondern vor allem deren Entwicklung sichtbar machen.

Nehmen Risiken in bestimmten Unternehmensbereichen zu? Entstehen neue regulatorische Themen? Oder zeigen bereits umgesetzte Maßnahmen die gewünschte Wirkung? Für die Geschäftsleitung ist diese Entwicklung deutlich wichtiger als eine statische Risikoliste.

Bewährt hat sich eine Darstellung nach Risikoklassen – beispielsweise niedrig, mittel und hoch – ergänzt um einen Vergleich zum Vormonat oder Vorquartal. Dadurch wird sofort sichtbar, ob sich das Gesamtrisikoprofil verbessert oder verschlechtert.

Noch aussagekräftiger wird die Analyse, wenn Risiken einzelnen Themenfeldern zugeordnet werden, etwa Datenschutz, Umweltrecht, Arbeitsschutz oder Lieferkettensorgfalt. So lassen sich Schwerpunkte erkennen und Ressourcen gezielt einsetzen.

Was verraten interne Audits über die Wirksamkeit des Systems?

Interne Audits gehören zu den wichtigsten Instrumenten eines Compliance-Management-Systems. Sie zeigen, ob definierte Prozesse im Unternehmensalltag tatsächlich funktionieren oder lediglich auf dem Papier bestehen. Für die Geschäftsleitung ist jedoch weniger entscheidend, wie viele Audits durchgeführt wurden. Aussagekräftiger ist die Frage, welche Erkenntnisse daraus gewonnen wurden.

Treten dieselben Feststellungen in mehreren Audits immer wieder auf, deutet das häufig auf strukturelle Schwächen hin. Werden Auditmaßnahmen dagegen konsequent umgesetzt und verschwinden identifizierte Mängel dauerhaft, spricht dies für ein lernendes und wirksames Compliance-Management.

Ein Compliance-Dashboard sollte daher insbesondere folgende Entwicklungen sichtbar machen:

• wiederkehrende Feststellungen,
• offene Auditmaßnahmen,
• durchschnittliche Zeit bis zur Umsetzung sowie
• besonders kritische Abweichungen.

Gerade wiederkehrende Feststellungen verdienen besondere Aufmerksamkeit. Sie zeigen, dass Probleme zwar erkannt, ihre Ursachen jedoch nicht nachhaltig beseitigt wurden.

Compliance beginnt beim Menschen

Selbst das beste Regelwerk bleibt wirkungslos, wenn Mitarbeitende ihre Pflichten nicht kennen oder Unsicherheiten im Arbeitsalltag nicht ansprechen. Deshalb gehören auch Schulungen und das Hinweisgebersystem zu einem aussagekräftigen Compliance-Dashboard.

Allerdings sollten diese Bereiche nicht isoliert betrachtet werden. Eine hohe Schulungsquote allein belegt noch keine wirksame Compliance-Kultur. Ebenso ist eine steigende Zahl eingehender Hinweise nicht automatisch ein Zeichen für mehr Regelverstöße.

Im nächsten Abschnitt betrachten wir deshalb zwei Kennzahlen, die häufig missverstanden werden – die Schulungsquote und das Hinweisgebersystem – und zeigen, welche Rückschlüsse die Geschäftsleitung daraus tatsächlich ziehen kann.

Fortsetzung folgt…