Corporate Compliance

Infolge veränderter rechtlicher Rahmenbedingungen und gestiegener Anforderungen seitens der Stakeholder sehen sich Unternehmen zunehmend mit wachsenden Risiken aus Verstößen gegen Gesetze und sonstigen Regularien konfrontiert. Dieser Entwicklung begegnen Unternehmen mit der Einführung von Compliance-Maßnahmen. Nach der Studie Wirtschaftskriminalität 2009 der Wirtschaftsprüfungsgesellschaft PricewaterhouseCoopers verfügen derzeit 44 % der deutschen Großunternehmen über derartige Compliance-Programme.

Definition und Abgrenzung

Compliance bezeichnet das Einhalten und Befolgen von Gesetzen und Richtlinien, vertraglicher Verpflichtungen und freiwilliger Selbstverpflichtungen durch Organmitglieder, Führungskräfte und Mitarbeiter eines Unternehmens (Hauschka 2007). Compliance kann somit aus der allgemeinen Organisationsverantwortung (Sorgfaltspflicht) für Vorstände bzw. Geschäftsführer (vgl. §§ 93 AktG, 43 GmbHG) abgeleitet werden. Erstmals kodifiziert wurde der Begriff durch die Aufnahme in den Deutschen Corporate Governance Kodex (DCGK), der eine freiwillige Selbstverpflichtung für deutsche börsennotierte Unternehmen darstellt (s. dazu auch unter Verpflichtung vs. Non-Compliance). Bereits vor seiner Kodifizierung hat der Begriff der Compliance Einzug in die betriebswirtschaftliche Terminologie gehalten. Da bei wurde er in Folge von Bilanz- und Finanzskandalen überwiegend im Zusammenhang mit den Begriffen des "Fraud and Error" (zum Begriff Fraud s. auch Fraud Tree) im US-amerikanischen Raum, in Deutschland mit dem Begriff der Wirtschaftskriminalität, bzw. (bewusste) Verstöße und unbewusste Unrichtigkeiten in Zusammenhang gebracht. Durch eine mangelnde Compliance können dem Unternehmen Schäden durch wirtschaftskriminelle oder rechtswidrige Handlungen entstehen. Durch seine Kontrollfunktion erfüllt ein Compliance-Management-System, eine im Unternehmen geschaffene Organisation, die durch verschiedene Maßnahmen bzw. Instrumente die Compliance sicherstellt, einen wesentlichen Beitrag zur Prävention wirtschaftskrimineller Handlungen.

Da der Begriff in seiner betriebswirtschaftlichen Bedeutung ausschließlich einen Bezug zu Unternehmen aufweist, wird häufig der Begriff der Corporate (~Unternehmens) Compliance verwendet - auch um einer möglichen Verwechselung mit der Begrifflichkeit aus anderen Disziplinen (bspw. der Medizin) vorzubeugen. Corporate Compliance ist dabei abzugrenzen von der Begrifflichkeit Corporate Governance, die als weiter gefasster Begriff alle gesetzlichen Regeln und anerkannte Standards einer guten und ordnungsgemäßen Unternehmensführung beschreibt. Corporate Compliance kann daher als Teil der Corporate Governance beschrieben werden. Ebenfalls zu unterscheiden ist der Begriff von der Corporate Social Responsibility, die die sozialen und ethischen Pflichten der Geschäftsführung eines Unternehmens zusammenfasst und damit über die gesetzlichen Pflichten hinausgeht.

Etymologie

Nach der Wortbedeutung entstammt das Nomen Compliance der englischen Sprache und wird übersetzt als das Einverständnis, das Einhalten (~with rules), die Willfährigkeit bzw. die Fügsamkeit. „In compliance with law / our wishes“ wird übersetzt als dem Gesetz / unseren Wünschen gemäß. Das Verb „to comply“ bedeutet einwilligen (einer Person), die Bedingungen erfüllen / den Bedingungen entsprechen (Objekt, System etc.) oder einer Sache entsprechen (to comply with s.th.) bzw. in Einklang mit etw. stehen. In anderen Sprachzusammenhängen wird es übersetzt mit "eine Vertragsbedingung erfüllen" (~with a clause), einer/m Bitte / Wunsch / Anordnung nachkommen oder entsprechen oder sich an die Regeln halten (~with rules).

Verpflichtung vs. Non-Compliance

Für einzelne Branchen gibt es konkrete gesetzliche Vorgaben zur Einrichtung eines Compliance-Programms (bspw. § 25a I KWG, § 33 I Nr. 3 WpHG für Kreditinstitute; an der US-Börse gelistete Unternehmen unterliegen den Compliance-Anforderungen des Sarbanes-Oxley-Acts). Abgesehen von diesen Bestimmungen gibt es keine einheitliche Meinung darüber, ob eine Verpflichtung zur Einrichtung eines Compliance-Management-Systems besteht. Zumindest die herrschende Meinung bejaht diese für größere Unternehmen und sieht in den Haftungs- und Pflichtenregeln für Unternehmensverantwortliche (insbes. § 130 OWiG, §§ 76, 91 II, 116 AktG, § 43 GmbHG) eine Pflicht zur Einrichtung organisatorischer Maßnahmen, die den Anforderungen eines Compliance-Management-Systems entsprechen.

Die nachteiligen Folgen von Non-Compliance, also der mangelnden Einhaltung gesetzlicher Vorschriften, führen dazu, dass im Grunde jede sanktionierende Norm eine Rechtsgrundlage für die praktische Gebotenheit eines Compliance-Management-Systems im Unternehmen darstellt. Folgen von Non-Compliance lassen sich dabei nach Bock (2009) in Sanktionen gegen das Unternehmen (sog. Business Risks) und wirtschaftliche als auch straf-, zivil- und arbeitsrechtliche Sanktionen gegen den einzelnen Mitarbeiter oder handelndes Organ (sog. Personal Risks) unterteilen. Hier eine nicht abschließende Aufzählung:

Business Risks*:

• empfindliche Geldbußen (z.B. gemäß § 130 III OWiG Bußgelder bis zu 1 Mio. EUR)
• Schadensersatzforderungen Dritter
• schwerwiegende Reputationsschäden / Imageverluste
• verstärkte Auftragsverluste
• Vertrauensverluste bei Share-, Stakeholdern, Lieferanten und Kunden
• dauerhafter Ausschluss von öffentlichen Vergaben (sog. „blacklisting“)

Personal Risks*:

• Geld- und in besonders schweren Fällen Haftstrafen
• Schadensersatzforderungen
• Abmahnung und Kündigung

Zielsetzung und Aufbau eines Compliance-Management-Systems

Ziel jedes Compliance-Management-Systems ist das Hinwirken auf die Einhaltung gesetzlicher Normen oder unternehmensdefinierter Vorgaben, um so Haftungsansprüche oder andere Rechtsnachteile für das Unternehmen, seine Mitarbeiter und Organe zu vermeiden (Hauschka 2008). Einen Pflichtenkatalog mit konkreten Anforderungen an den Aufbau bzw. mit geforderten (Mindest-) Elementen eines Compliance-Management-System gibt es aus Gründen einer mangelnden Verpflichtung zur Einrichtung bisher nicht. Es kann daher im Folgenden auch nur von Empfehlungen gesprochen werden.

Fehler beim Erstellen des Vorschaubildes: Datei fehlt

(möglicher) Aufbau eines Compliance-Management-Systems: eigene Darstellung

Organisation

Die Organisation eines Compliance-Management-Systems sollte die Zuständigkeiten sowie die Verantwortung im Hinblick auf dessen Umsetzung und Überwachung genau festlegen. Diese Tätigkeiten werden dabei oftmals auf einen so genannten Compliance-Officer übertragen, der seine Tätigkeit unabhängig in Form einer Stabsstelle wahrnehmen sollte. Zu einer Organisation gehören dabei auch die Festlegung von Berichts- und Kommunikationswegen, um bei ermittelten Compliance-Verstößen effektiv reagieren zu können.

Maßnahmen / Instrumente

Maßnahmen bzw. Instrumente im Rahmen von Compliance-Management-Systemen sorgen letztlich dafür, dass Verstöße gegen Gesetze oder unternehmensinterne Regularien auch ermittelt werden können. Diese können dabei gezielt einen gefährdeten Bereich abdecken (bspw. Anti-Korruptions-Schulungen der Mitarbeiter im Bereich Einkauf) oder aber auch einen ganzheitlichen Ansatz verfolgen (bspw. Hinweisgebersysteme, an die jegliche Art von Verstößen gemeldet werden können).

Unternehmensinterne Regelwerke

Hierunter fallen u. a. Verhaltenskodizes oder aber auch Korruptionsrichtlinien, die bspw. den Umgang mit Geschenken regeln. Diese Regelwerke enthalten meist einen Katalog von Ver- und Geboten, der auch eine arbeitsrechtlich verbindliche Grundlage für das Verhalten der Mitarbeiter darstellt. Diese Regelwerke mögen sich zwar primär an die Mitarbeiter eines Unternehmens richten, sollten aber ebenso vom Management (vor-)gelebt werden. Unternehmensinterne Regelwerke als eine am Strafrecht orientierte wirtschaftliche Kommunikation können dabei als eine im Unternehmensinteresse ausgeübte und nach innen wirkende soziale Kontrolle beschrieben werden (Theile 2008).

Hinweisgebersysteme

Hinweisgebersysteme, auch Whistleblowingsysteme genannt (s. hierzu auch Whistleblower), liefern den Mitarbeitern einen Kommunikationskanal, über den sie, auch anonym, Hinweise auf Compliance-Verstöße abgeben können. Zu diesem Zweck werden sowohl telefon- oder internetbasierte Meldesysteme als auch unternehmensin- oder externe Ombudsmänner eingesetzt.

Mitarbeiterschulungen

Mitarbeiterschulungen stellen sicher, dass ein Mitarbeiter in der Lage ist, sich in einer kritischen Situation rechts- und richtlinienkonform zu verhalten, um so einer auf Unwissenheit gründenden Strafbarkeit zu entgehen. Hierzu werden Compliance-Workshops und praxisnahe Trainings durchgeführt.

Compliance-Audits

Eine regelmäßige Überprüfung des Compliance-Management-Systems ist erforderlich, um dessen Wirksamkeit sicherzustellen. Compliance-Audits decken so Schwachstellen auf und führen zu einer stetigen Verbesserung des Systems.

Kriminologische Relevanz

Auf der 11. Wissenschaftlichen Fachtagung der Kriminologischen Gesellschaft (KrimG) vom 17.-19. September 2009 wurde das Thema Compliance angesichts aktueller Entwicklungen wie der Bankenkrise erstmals in Form eines praxisorientierten Austauschs mit Unternehmensvertretern diskutiert. Bussmann sprach bereits 2003 von einer "Kriminologie des Managements" und forderte deutsche Wirtschaftsunternehmen zur Unterstützung des Wirtschaftsstrafrechts auf (Bussmann 2003).

Derzeit fehlt es aber in Deutschland noch an einer entsprechenden empirischen Evaluation der in Unternehmen eingesetzten Compliance-Maßnahmen, nicht zuletzt begründet durch den nur schweren Zugang zu bestehenden Erkenntnissen seitens der Unternehmen. Zur Wirksamkeit von Compliance-Management-Systemen gibt es derzeit nur US-amerikanische Studien und Untersuchungen. Diese belegen jedoch weder eindeutig dessen Wirksamkeit noch dessen Scheitern bzw. die Erfüllung einer "Alibi-Funktion". Als Fazit könne hingegen gelten, dass die Grundlage einer wirksamen Compliance in der Schaffung einer Unternehmenskultur des "do-it-right" besteht (Pape 2009). Aus kriminologischer Sicht muss für die unternehmensinterne Kriminalprävention eine Unternehmenskultur entwickelt werden, die in allen Bereichen eines Unternehmens auf ethischen Werten, Transparenz und Fairness gründet (Bussmann 2004). Corporate Compliance folgt diesem Ansatz. So wird insbesondere über unternehmensinterne Regelwerke aber auch über deren Absicherung durch weitere Compliance-Maßnahmen soziale Kontrolle ausgeübt (Theile 2008).

Unternehmenskultur vermag darüber hinaus die informelle soziale Kontrolle der Unternehmensangehörigen zu prägen. Diese informelle soziale Kontrolle erfüllt dabei eine wichtige Kontrollfunktion durch Abschreckung. Hier stehen aber keine Sanktionen wie bspw. die Androhung einer Strafanzeige im Vordergrund, sondern vielmehr eine soziale Missbilligung der Straftat im persönlich-informellen Umfeld des Täters. Der Täter unterliegt bei steigender Transparenz in seinem Unternehmen einer höheren Entdeckungswahrscheinlichkeit. Als Resultat daraus steigen seine Tathemmungen, da er Status und Ansehen in der (Arbeits-)Gemeinschaft nicht gefährden will. Als Schutzmechanismen entwickelt der Täter daraufhin Rechtfertigungs- und Neutralisationstechniken (Bussmann 2009).

Literaturliste

• Bock, Dennis (2009): Strafrechtliche Aspekte der Compliance-Diskussion - § 130 OWiG alws zentrale Norm der Criminal Compliance, in: Zeitschrift für Internationale Strafrechtsdogmatik (ZIS) 2/2009, S.68-81.

• Bussmann, Kai-D. (2003): Business Ethics und Wirtschaftsstrafrecht - Zu einer Kriminologie des Managements, in: Monatsschrift für Kriminologie und Strafrechtsreform Heft 2, S.89-104.

• Bussmann, Kai-D. (2004): Kriminalprävention durch Business Ethics - Ursachen von Wirtschaftskriminalität und die besondere Bedeutung von Werten, in: Zeitschrift für Wirtschafts- und Unternehmensethik (ZFWU) 5/1, S.35-50.

• Bussmann, Kai-D. (2009): Steinbeis-Compliance und Integrity Monitor - Nachhaltigkeit durch Mitarbeiterbefragung, in: Zeitschrift für Risk, Fraud & Compliance (ZRFC) 5/2009, S.220-226.

• Dieners, Peter (2007): Vermeidung von Korruptionsrisiken aus Unternehmenssicht, in: Dölling, Dieter [Hrsg.]: Handbuch der Korruptionsprävention für Wirtschaftsunternehmen und öffentliche Verwaltung, 1. Aufl. München: Beck.

• Fecker, Jörg; Kinzl, Ulrich-Peter (2010): Ausgestaltung der arbeitsrechtlichen Stellung des Compliance-Officers – Schlussfolgerungen aus der BSR-Entscheidung des BGH, in: Corporate Compliance Zeitschrift (CCZ) 1/2010, S.13-20.

• Hauschka, Christoph [Hrsg.](2007): Corporate Compliance - Handbuch der Haftungsvermeidung im Unternehmen, 1. Aufl. München, Beck.

• Pape, Jonas (2009: Zur Wirksamkeit von Corporate Compliance, in: Corporate Compliance Zeitschrift (CCZ) 6/2009, S.233-236.

• Scherer, Josef [Hrsg.] (2009): Geschäftsführer-Compliance - Praxiswissen zu Pflichten, Haftungsrisiken und Vermeidungsstrategien, 1. Aufl. Berlin, Schmidt (Erich).

• Schubert, Marco (2008): Konzeption und Implementierung eines Compliance-Systems - Kernelemente und Handlungsempfehlungen, 1. Aufl. Saarbrücken: VDM Dr. Müller.

• Theile, Hans (2008): Unternehmensrichtlinien - Ein Beitrag zur Prävention von Wirtschaftskriminalität? in: Zeitschrift für Internationale Strafrechtsdogmatik (ZIS) 9/2008, S.406-418.

• Vetter, Eberhard (2008): Compliance in der Unternehmenspraxis, in: Wecker, Gregor; van Laak, Hendrik [Hrsg.]: Compliance in der Unternehmenspraxis - Grundlagen, Organisation und Umsetzung, 1. Aufl. Wiesbaden: Gabler.

• Wecker, Gregor; Galla, Stefan (2008): Pflichten der Geschäftsleitung & Aufbau einer Compliance Organisation, in: Wecker, Gregor; van Laak, Hendrik [Hrsg.]: Compliance in der Unternehmenspraxis - Grundlagen, Organisation und Umsetzung, 1. Aufl. Wiesbaden: Gabler.

• Wieland, Josef; Steinmeyer, Roland; Grüninger, Stephan [Hrsg.] (2010): Handbuch Compliance-Management - Konzeptionelle Grundlagen, praktische Erfolgsfaktoren, globale Herausforderungen, 1. Aufl. Berlin: Schmidt (Erich).

Links

• Corporate Compliance Zeitschrift www.ccz.beck.de
• IT Compliance & IT Governance compliance-magazin.de www.compliance-magazin.de
• Netzwerk Compliance e.V. www.netzwerk-compliance.de
• Regierungskommission Deutscher Corporate Governance Kodex www.corporate-governance-code.de
• Society of Corporate Compliance and Ethics (SCCE) www.corporatecompliance.org
• Transparency International Deitschland e.V. www.transparency.de