Risikoanalyse im Compliance Management

Risikoanalyse im Compliance Management ist eine zentrale Aufgabe für jeden Compliance Beauftragen im Unternehmen. Die ISO 19600 als Compliance-Standard basiert sogar zu einem ganz wesentlichen Teil auf der Bewertung der Compliance-Risiken. Wie gehen Unternehmen dabei vor?

Risikoanalyse – Grundlage jedes Compliance Management Systems

Bei der Analyse und Bewertung der Risiken, die sich aus der Compliance oder Non-Compliance einer Organisation ergeben, geht es im Wesentlichen darum, sämtliche relevanten Gesetze, Vorschriften und Normen national und gegebenenfalls auch international zu identifizieren und in ihrer Bedeutung für das Unternehmen zu bewerten. Dabei geht es nicht nur um eine einmalige Feststellung der Gesetzeslage. „Die Organisation muss in regelmäßigen Abständen ihre Compliance-Risiken und –Verpflichtungen ermitteln, aktualisieren und neu bewerten oder bei folgenden Ereignissen eine Neubewertung vornehmen:

• bei neuen oder geänderten anzuwendenden Gesetzen, Geschäftsaktivitäten, Produkten, Aufgaben oder Dienstleistungen,
• bei einer geänderten Organisations- bzw. Unternehmensstruktur oder Unternehmensstrategie,
• bei beträchtlichen äußeren Änderungen wie finanziellen, wirtschaftlichen Umständen, Haftungsänderungen und Kundenbeziehungen,
• bei Änderungen von Compliance-Verpflichtungen und –Verstößen.“ (Quelle: Standard für Compliance-Management-Systeme – TR CMS 101:2015 des TÜV Rheinland, Köln)

Im besten Fall verfügt die Organisation deshalb über ein maßgeschneidertes Rechtskataster, das sämtliche relevanten Rechtsgebiete permanent beobachtet und Veränderungen auf ihre Bedeutung für das Unternehmen hin untersucht. Dieses Rechtskataster ist der Kern eines funktionierenden Compliance Management Systems, von dem alle weiteren Maßnahmen ausgehen.

Wie lassen sich Compliance-Risiken ermitteln?

Ein einzelner Compliance Manager oder selbst eine damit betraute Abteilung ist möglicherweise nicht in der Lage, die Risiken, gegen Compliance zu verstoßen, über alle Geschäftsbereiche und über alle Hierarchieebenen hinweg zu beurteilen. Sinnvoll scheint es daher zu sein, eine möglichst breite Basis zu schaffen – mit Beteiligten aus den verschiedenen Tätigkeitsfeldern und aus unterschiedlichen Managementfunktionen. Damit wird die Voraussetzung geschaffen, das Thema Compliance und potenzielle Risiken aus möglichst vielen Perspektiven zu betrachten und zu beurteilen.

Wir empfehlen, zu diesem Zweck die Beteiligten zumindest am Anfang oder in regelmäßigen Abständen für kurze Zeit aus ihrem Tagesgeschäft herauszuholen und beispielsweise in Arbeitstreffen konzentriert an das Thema heranzugehen. Strukturiert lassen sich die Compliance-Risiken beispielsweise pro Geschäfts- oder Produktbereich aufdecken. Ist die initiale Risikoanalyse erfolgt, bietet es sich an, über strukturierte Informations- und Kommunikationsprozesse den Austausch zwischen Compliance Beauftragtem und Geschäftsbereichen permanent aufrecht zu erhalten.

Bewertung der Compliance-Risiken

Die Risiken zu erkennen, ist der erste wichtige Schritt. Um ressourcenschonend zu arbeiten, ist es aber entscheidend zu beurteilen, wie groß die einzelnen Risiken für ein Unternehmen sind. Alle „Gefahrenherde“ für die  Compliance auf einmal ausschalten zu wollen, ist kaum praktikabel. Empfehlenswert ist deshalb die Entwicklung einer sogenannten „Compliance-Risikolandkarte“.

Ein Risiko einschätzen lässt sich an Kriterien wie der Wahrscheinlichkeit, dass ein Schaden eintritt und der möglichen Höhe eines Schadens bei Verstoßes gegen die Rechtskonformität. Führen Sie diese Kriterien zusammen, erhalten Sie einen Überblick, welche Schäden im negativen Fall mit hoher Wahrscheinlichkeit eintreten und dabei hohe Schäden verursachen. Oder im umgekehrten Fall kaum vorkommen werden und auch vernachlässigbare Folgen haben. Tragen Sie diese Bewertungen zusammen, erhalten Sie eine Risikolandkarte, mit der sich die Risiken und die daraus resultierenden Maßnahmen priorisieren lassen.

Was sind mögliche Schäden?

Mögliche Schäden durch Compliance-Verstöße sind nicht nur finanzieller Art, beispielsweise durch Strafzahlungen. Auch ein Imageverlust wirkt sich massiv negativ auf den Unternehmenserfolg aus, wenn Geschäftspartner die Zusammenarbeit beenden. Wichtig ist daher die qualitative Betrachtung und Bewertung der Compliance-Risiken. Das setzt voraus, dass die beteiligten Mitarbeiter und Führungskräfte in der Lage sind, Risiken hinsichtlich ihrer möglichen Schadenshöhe richtig einzuschätzen. Die Bild der Risikolandkarte kann sich schon dadurch entscheidend verändern, dass Risiken aus Compliance-Verstößen tendenziell eher zu gering bewertet werden.

Ist die Risikobewertung abgeschlossen, ist sie die Basis für die Entwicklung eines Maßnahmenkatalogs: Wie gehen Sie in Ihrem Unternehmen gegen Compliance-Risiken vor? Beseitigen, verringern, zunächst wegen geringer Relevanz zunächst zurückstellen? Diese Entscheidung ist ein zentrales Element der Unternehmensführung und -steuerung, die sowohl von Geschäftsführung und Vorstand als auch vom Aufsichtsrat wahrgenommen werden muss.