Читать книгу: «Erfolgreich mit Compliance»
Impressum
978-3-85402-413-2
Auch als Buch verfügbar
978-3-85402-412-5
2., überarbeitete Auflage 2021
Das Werk ist urheberrechtlich geschützt.
Alle Rechte vorbehalten.
Nachdruck oder Vervielfältigung, Aufnahme
auf oder in sonstige Medien oder Datenträger,
auch bei nur auszugsweiser Verwertung,
sind nur mit ausdrücklicher Zustimmung der
Austrian Standards plus GmbH gestattet.
Alle Angaben in diesem Fachbuch erfolgen
trotz sorgfältiger Bearbeitung ohne Gewähr
und eine Haftung der Autorin oder des Verlages
ist ausgeschlossen.
Aus Gründen der besseren Lesbarkeit wird im vorliegenden Werk die Sprachform des generischen Maskulinums angewendet.
Es wird an dieser Stelle darauf hingewiesen, dass die ausschließliche Verwendung der männlichen Form geschlechtsunabhängig verstanden werden soll.
© Austrian Standards plus GmbH, Wien 2021
Die Austrian Standards plus GmbH ist ein
Unternehmen von Austrian Standards International.
Austrian Standards plus GmbH
1020 Wien, Heinestraße 38
T +43 1 213 00-300
F +43 1 213 00-355
E service@austrian-standards.at
www.austrian-standards.at/fachliteratur
ProjektManagement
Gertraud Reznicek
Cover – Fotocredit
© iStockphoto.com/Bedrin-Alexander
Satz/gestaltung
Alexander Mang
Inhalt
Abkürzungsverzeichnis
Vorwort
1 Grundlagen und Rahmenbedingungen
1.1 Begriffsbestimmung Compliance
1.2 Rechtliche Rahmenbedingungen für Compliance in Organisationen
1.2.1 Verantwortung von Organisationen im internationalen Rahmen
1.2.2 Verantwortung von Organisationen im nationalen Rahmen
1.2.3 Verantwortung für Compliance in Österreich
1.3 Compliance als Werkzeug des strategischen Managements
1.3.1 Begriffsbestimmung Management-Systeme
1.3.2 Compliance-Management-Systeme
1.4 Abgrenzung Governance – IKS – RMS – CMS
1.4.1 Corporate Governance
1.4.2 Internes Kontrollsystem (IKS)
1.4.3 Risikomanagement-System (RMS)
1.4.4 Compliance-Management (CMS)
1.5 ISO 37301 als Best-Practice-Ansatz für regelkonformes Verhalten
2 Umsetzung der ISO 37301 im Kontext
2.1 Standardisierung von Management-Systemen nach ISO
2.1.1 Management-System-Standards nach ISO High-Level Structure
2.1.2 Integriertes Management-System
2.1.3 ISO 37001 Anti-bribery management systems
2.2 Das Prinzip der fortlaufenden Verbesserung – PDCA-Zyklus
2.2.1 Prinzip der fortlaufenden Verbesserung von ISO Management- System-Standards (MSS)
2.2.2 ISO 37301 im PDCA-Zyklus
2.3 Change-Management als Führungsinstrument zur Umsetzung der ISO 37301
2.3.1 Definition Change-Management
2.3.2 Einflussfaktoren von Change-Management
2.3.3 Leading Change – Das 8-Stufen-Modell nach John P. Kotter
3 Anforderungen der ISO 37301 – Compliance-Management-Systeme
3.1 Einleitung
3.2 Anwendungsbereich der ISO 37301
3.3 Begriffe nach ISO 37301
3.4 Die Organisation und ihr Kontext
3.4.1 Verstehen der Organisation und ihres Kontextes
3.4.2 Erfordernisse und Erwartungen von interessierten Parteien
3.4.3 Bestimmung des Anwendungsbereichs des Compliance-Management-Systems
3.4.4 Compliance-Management-System
3.4.5 Compliance-Verpflichtungen
3.4.6 Compliance-Risikobewertung
3.5 Führung
3.5.1 Führung und Engagement
3.5.2 Compliance-Politik
3.5.3 Rollen, Verantwortlichkeiten und Zuständigkeiten
3.6 Planung
3.6.1 Maßnahmen zur Behandlung von Compliance-Risiken
3.6.2 Compliance-Ziele und Planung zu deren Erreichung
3.6.3 Planung von Änderungen
3.7 Unterstützung
3.7.1 Ressourcen
3.7.2 Kompetenz
3.7.3 Bewusstsein
3.7.4 Kommunikation
3.7.5 Dokumentierte Information
3.8 Betrieb
3.8.1 Operative Planung und Steuerung
3.8.2 Errichtung von Maßnahmen und Kontrollen
3.8.3 Compliance-Bedenken
3.8.4 Untersuchungsprozesse
3.9 Bewertung der Leistung
3.9.1 Überwachung, Messung, Analyse und Bewertung
3.9.2 Internes Audit
3.9.3 Management-Bewertung
3.10 Verbesserung
3.10.1 Kontinuierliche Verbesserung
3.10.2 Nichtkonformität und Korrekturmaßnahmen
4 Leitfaden für kleinere und mittlere Unternehmen (KMU)
4.1 Compliance-relevante Merkmale des Mittelstandes
4.2 Umsetzen und Ausgestalten von Compliance-Management im Mittelstand
4.3 Fazit
5 Externe Überprüfung und Zertifizierung
5.1 Externe Audits von Compliance-Management-Systemen
5.1.1 Grundlagen
5.1.2 Auditprozess
5.2 Zertifizierung eines CMS
5.3 Zertifizierungsprozess im Rahmen von ISO
6 Weiterführende Konzepte
6.1 Organisationskultur als Führungsinstrument
6.1.1 Einflüsse auf Organisationskulturen
6.1.2 Merkmale von Organisationskulturen
6.1.3 Das Kulturmodell nach Schein
6.1.4 Wirkung und Funktion von Organisationskulturen
6.1.5 Messung von Organisationskulturen – das Modell von Denison
6.1.6 Organisationskultur und ein CMS nach ISO 37301
6.2 Risikomanagement
6.2.1 Ein Risikomanagement-System im Überblick
6.2.2 ERM – organisationsweites, ganzheitliches Risikomanagement
6.2.3 ISO 31000 Risk Management
6.2.4 Risikomanagement und ein CMS nach ISO 37301
7 Resümee und Ausblick
Literaturverzeichnis
Die Autorin
Abbildungsverzeichnis
Abbildung 1: COSO Internal Control – Integrated Framework
Abbildung 2: ISO 37301 im Deming-Zyklus der ständigen Verbesserung
Abbildung 3: Phasenschema von Veränderungen nach Lewin
Abbildung 4: Promotoren und Destruktoren nach Ladwig/Domsch
Abbildung 5: Allgemeine Symptome des Widerstandes nach Doppler/Lauterburg
Abbildung 6: Ausgewählte Handlungsfelder von Widerständen nach Reiß
Abbildung 7: 8-Stufen-Modell für Veränderungen nach Kotter
Abbildung 8: PESTLE-Analyse des äußeren Umfeldes
Abbildung 9: Interessierte Parteien/Stakeholder
Abbildung 10: Stakeholder Einfluss-Interessen-Matrix
Abbildung 11: Risikomatrix
Abbildung 12: Ebenen und Eigenschaften eines Verhaltenskodex
Abbildung 13: Wertorientierung des CMS nach Grüninger
Abbildung 14: Compliance als Unterstützung der Organisationsziele
Abbildung 15: Mittel zur Umsetzung der Compliance-Politik
Abbildung 16: Komponenten der Handlungsfähigkeit
Abbildung 17: Fraud Triangle und Ansätze zur Prävention nach Grüninger
Abbildung 18: DMAIC-Zyklus der laufenden Verbesserung
Abbildung 19: Überblick Kommunikationsmittel nach Mast/Maletzke
Abbildung 20: Ablauf eines Monitoring-Verfahrens
Abbildung 21: Ansätze zum Compliance-Management nach Saitz/Tempel/Brühl
Abbildung 22: Zertifizierungsprozess nach ISO/IEC 17021
Abbildung 23: Kulturelles Schachtelmodell nach Thomas
Abbildung 24: Kulturebenen nach Schein
Abbildung 25: Parameter für Organisationskulturen nach Dension
Abbildung 26: Unternehmenskultur und Effektivität
Abbildung 27: Bausteine eines Risikomanagement-Systems
Abbildung 28: COSO ERM Framework
Abbildung 29: Risikomatrix
Abbildung 30: Risikomanagementprozess nach ISO 31000:2018
Tabellenverzeichnis
Tabelle 1: Anforderungen an ein effektives CMS vs. ISO 37301
Tabelle 2: Richtlinie US-DOJ zur Beurteilung eines effektiven Corporate-Compliance-Programmes vs. ISO 37301
Tabelle 3: Weltbankgruppe Integritäts-Compliance Richtlinien vs. ISO 37001
Tabelle 4: Vergleich HLS-Struktur in verschiedenen ISO MSS – Übersicht
Tabelle 5: Vergleich HLS-Struktur in ISO MSS – Kapitel 8 „Betrieb“
Tabelle 6: Richtlinie zum UK Bribery Act 2010 vs. ISO 37001
Tabelle 7: ICC Anti-Korruptionsrichtlinien vs. ISO 37001
Tabelle 8: Anforderungen an ein effektives Managementsystem zur Korruptionsbekämpfung vs. ISO 37001
Tabelle 9: Vergleich ISO 37301 vs. ISO 37001 auf Basis der HLS-Struktur von ISO MSS
Tabelle 10: Vergleich ISO 37301 vs. ISO 37001 – Kapitel 8 „Betrieb“
Tabelle 11: Interne Bestimmungsfaktoren einer Organisation
Tabelle 12: Skala Eintrittswahrscheinlichkeit
Tabelle 13: Beispiel Risikolandkarte
Tabelle 14: Indikatoren für CMS Ziele nach Johnson/Soreide
Tabelle 15: Informations- und Kommunikationsbedarf (Beispiele) nach Bruhn
Tabelle 16: Klassifikation von Kommunikationsmedien nach Vahs/Wieand
Tabelle 17: EU-Definition KMU
Tabelle 18: Arten von Systemaudits
Tabelle 19: Beispiele Key-Risk-Indikatoren (KRIs)
Abkürzungsverzeichnis
| AG | Aktiengesellschaft |
| AktG | Aktiengesetz |
| AQAP | Allied Quality Assurance Publications |
| ArbVG | Arbeitsverfassungsgesetz |
| AS | Australien |
| BGBl. | Bundesgesetzblatt |
| BWG | Bankwesengesetz |
| BSI | British Standards Institution |
| bzgl. | bezüglich |
| bzw. | beziehungsweise |
| CMS | Compliance-Management-System |
| COSO | Committee of Sponsoring Organizations of the Treadway Commission |
| d.h. | das heißt |
| DOJ | United States Department of Justice |
| DMAIC | Define-Measure-Analyse-Improve-Control |
| DSG | Datenschutzgesetz |
| DSK | Datenschutzkommission |
| etc. | et cetera |
| EU | Europäische Union |
| ERM | Enterprise Risk Management |
| ERP | Enterprise Resource Planning |
| EUR | Euro |
| FATF | Financial Action Task Force |
| FCPA | United States Foreign Corrupt Practices Act |
| FMA | Finanzmarktaufsicht |
| FSGM | Federal Sentencing Guidelines Manual |
| GARP | Global Association of Risk Professionals |
| GenG | Genossenschaftsgesetz |
| geb. | geboren |
| gem. | gemäß |
| ggf. | gegebenenfalls |
| GmbHG | Gesetz über die Gesellschaft mit beschränkter Haftung |
| grs. | grundsätzlich |
| HLS | High Level Structure |
| ICC | International Chamber of Commerce |
| idgF | in der geltenden Fassung |
| idR | in der Regel |
| IEC | International Electrotechnical Commission |
| IKS | internes Kontrollsystem |
| ILO | International Labour Organization |
| inkl. | inklusive |
| insb. | insbesondere |
| ISO | International Organization for Standardization |
| IT | Informationstechnologie |
| Jhdt. | Jahrhundert |
| JTC | Joint Technical Committee |
| JTCG | Joint Technical Coordinating Group |
| Kap. | Kapitel |
| KG | Kommanditgesellschaft |
| KMU | Klein- und Mittelbetrieb(e) |
| KPI | Key Performance Indicator |
| KRI | Key Risk Indicator |
| KYC | Know Your Customer |
| MS | Management-System |
| MMS | Management-System-Standard |
| NATO | North Atlantic Treaty Organization |
| NZS | Neuseeland |
| OECD | Organisation for Economic Cooperation and Development |
| ÖCGK | Österreichischer Corporate Governance Kodex |
| OGH | Oberster Gerichtshof |
| OWiG | Gesetz über Ordnungswidrigkeiten |
| PACI | Partnering Against Corruption Initiative |
| PDCA | Plan-Do-Check-Act |
| RM | Risikomanagement |
| RMS | Risikomanagement-System |
| SAI | Social Accountability International |
| SEC | United States Securities and Exchange Commission |
| sog. | sogenannt |
| SOX | Sarbanes-Oxley Act |
| TC | Technical Committee |
| TMB | Technical Management Board |
| u.a. | unter anderem |
| VAG | Versicherungsaufsichtsgesetz |
| VbVG | Verbandsverantwortlichkeitsgesetz |
| vgl. | vergleiche |
| UGB | Unternehmensgesetzbuch |
| UN | United Nations (Vereinte Nationen) |
| UNODC | United Nations Office on Drugs and Crime |
| UK | United Kingdom |
| USA, US | United States |
| usw. | und so weiter |
| u.U. | unter Umständen |
| uvm. | und vieles mehr |
| WAG | Wertpapieraufsichtsgesetz |
| WBG | The World Bank Group |
| z.B. | zum Beispiel |
Vorwort
Compliance-Management beinhaltet die standardisierte Identifikation von Verpflichtungen und deren systematische Übersetzung in den Organisationsalltag. Die Entwicklung von Strukturen und Maßnahmen und dessen Integration in bestehende Verfahren und Prozesse verringert das Risiko von nicht-regelkonformem Verhalten bei der Ausübung der Geschäftstätigkeit. Ein Compliance-Management-System (CMS) muss jedoch mehr bieten. Um akzeptiert zu werden, müssen Compliance-Maßnahmen eng mit Effektivität und Effizienz verbunden sein und dürfen nicht als bürokratische Hindernisse empfunden werden. Compliance ist demnach keine reine Pflichtübung, um negative Folgen von einer Organisation abzuwenden, sondern trägt zur Verbesserung des operativen Betriebes bei. Dieses Buch leistet dazu einen Beitrag und unterstützt Organisationen aller Art dabei, Compliance-Maßnahmen zur Steigerung von Effektivität und Effizienz der gesamten Organisationssteuerung zu nutzen.
Die ISO 37301:2021 „Compliance-Management-Systems – Requirements with guidance for use“ wurde von Anwendern für Anwender entwickelt. Sie erhebt den Anspruch, ein Best-Practice-Ansatz für weltweit vereinheitlichte Anforderungen zur Entwicklung, Umsetzung, Aufrechterhaltung und kontinuierlichen Verbesserung eines CMS zu sein. Der Umfang, in dem die einzelnen Elemente umgesetzt werden, ist dem Prinzip der Angemessenheit folgend auf die individuellen Besonderheiten der Organisation abzustimmen. Der Standard ist somit auf alle Arten von Organisationen – unabhängig von Größe, Branche, Geschäftstätigkeit oder Rechtsform – anwendbar.
Dieser Kommentar erläutert alle Elemente der ISO 37301 und führt mit zahlreichen Praxistipps an eine schrittweise Umsetzung heran. Durch den ganzheitlichen Ansatz ist ein CMS nach ISO 37301 ein Führungsinstrument des strategischen Managements. Dieses Buch erhebt den Anspruch, die praktische Umsetzung wissenschaftlich zu fundieren, gepaart mit jahrzehntelanger Erfahrung im Aufbau und in der Leitung von komplexen Systemen. Zum Zeitpunkt der Drucklegung dieses Kommentars (Stand Juni 2021) stand eine deutschsprachige Fassung der ISO 37301 noch nicht zur Verfügung. Die Begrifflichkeiten richten sich nach der am 13. April 2021 publizierten englischen Fassung. Die Übersetzungen erfolgten durch die Autorin.
Wie schon der Vorgängerstandard ISO 19600 beruht die ISO 37301 auf einer einheitlichen Vorlage von ISO-Management-System-Standards (ebenso wie z.B. ISO 37001 Managementsysteme zur Korruptionsbekämpfung – Anforderungen mit Leitlinien zur Anwendung) und kann daher in einer integrierten Weise implementiert werden. In diesem Sinne ist der ISO 37301 zu wünschen, dass sie sich – nicht zuletzt wegen der globalen Bekanntheit und Akzeptanz von ISO-Standards – als internationale Benchmark für die angemessene Umsetzung und Verankerung von Compliance in Organisationen aller Arten bewährt.
Ich wünsche allen Leserinnen und Lesern viele hilfreiche Impulse und für Ihre Praxis relevanten Nutzen. Über Ihre Kommentare, Ihr Feedback und Ihre Verbesserungsvorschläge freue ich mich unter office@neiger.eu!
Wien, im Juli 2021 Barbara Neiger
1Grundlagen und Rahmenbedingungen
1 Grundlagen und Rahmenbedingungen
In fünf Kapiteln werden Grundlagen und Rahmenbedingungen für ein Compliance Management System (CMS) nach ISO 37301 dargelegt. Als Erstes muss die Bedeutung des Begriffes „Compliance“ im Zusammenhang mit diesem Praxiskommentar geklärt werden: die Einhaltung von Verpflichtungen, die für eine Organisation aufgrund obligatorischer Bestimmungen und freiwillig eingegangener Selbstverpflichtungen bindend sind. In Kapitel 1.2 werden die rechtlichen Rahmenbedingungen für Compliance in Organisationen anhand von nationalen und internationalen Vorschriften über die (strafrechtliche) Verantwortung von Organisationen für regelwidrige Handlungen ihrer Mitarbeiter erläutert. Die Verpflichtung der Geschäftsleitung zur Errichtung eines der individuellen Situation der Organisation angemessenen CMS basiert auf deren allgemeiner Sorgfaltspflicht als ordentlicher Kaufmann. Wie in Kapitel 1.3 dargelegt, soll ein CMS als Werkzeug des strategischen Managements durch ein planvolles Vorgehen sicherstellen, dass bei der Abwicklung der Geschäftstätigkeit die für die Organisation relevanten Verpflichtungen eingehalten werden. Durch die Vermeidung von Compliance-Verstößen bzw. durch die Verringerung von deren negativen Auswirkungen wird das Erreichen der Ziele einer Organisation unterstützt. Die Abgrenzung des CMS zu Corporate Governance und zu weiteren Führungsinstrumenten, wie einem internen Kontrollsystem (IKS) und einem Risikomanagement-System (RMS), werden anschließend in Kapitel 1.4 besprochen. Kapitel 1.5 gibt einen Überblick über die Positionierung der ISO 37301 als unparteiisches Best-Practice-Instrument zur Sicherstellung von einem wirksamen Compliance-Management in Organisationen.
1.1 Begriffsbestimmung Compliance
Der Begriff „Compliance“ leitet sich vom Englischen „to comply with something“ (etwas erfüllen oder einhalten)[1] ab und bedeutet im Zusammenhang des vorliegenden Handbuches die Befolgung von Regeln durch eine Organisation. Und zwar jener Regeln, die für die Organisation aufgrund rechtlicher oder regulatorischer Bestimmungen bindend sind, also auch jener, deren Einhaltung sich die Organisation freiwillig unterworfen hat.
Damit bedeutet Compliance zunächst einmal nur, dass Verbindlichkeiten eingehalten werden. Das ist nicht neu und ein in Rechtsstaaten immer schon selbstverständliches Prinzip.[2] Compliance umfasst aber auch die Thematik, wie Organisationen die Einhaltung von Regeln durch ihre Organe und Mitarbeiter sicherstellen. Den verantwortlichen Führungskräften obliegt es dabei im Rahmen ihrer Aufsichts- und Sorgfaltspflicht dafür zu sorgen, dass sich die für die Organisation tätigen Personen im täglichen Geschäftsverkehr an relevante Verbindlichkeiten, wie z.B. gesetzliche, behördliche oder aufsichtsrechtliche Vorschriften, Branchenvorgaben und unternehmensinterne Richtlinien oder Verträge und verbindliche zwei- oder mehrseitige Vereinbarungen halten.
Die Verpflichtung zur Einhaltung von relevanten gesetzlichen, behördlichen oder aufsichtsrechtlichen Vorschriften gilt für alle Organisationen. Auch die Beachtung von Branchenvorgaben und organisationsinternen Richtlinien dient nicht einem Selbstzweck, sondern liegt im Interesse der Organisation. Allen Organisationen, unabhängig von ihrer rechtlichen Form, ihrer Größe oder ihrem Tätigkeitsbereich, stehen beschränkte Ressourcen zur Verfügung, die möglichst effizient und effektiv eingesetzt werden müssen. Es ist unrichtig, zu argumentieren, dass das Erfordernis eines solch wirtschaftlichen Handelns nur für auf Gewinn (Profit) gerichtete Organisationen gilt. Auch Not-for-profit-Organisationen haben begrenzte Ressourcen zur Verfügung, mit deren Einsatz das bestmögliche Ergebnis zu erzielen ist. Negative finanzielle Folgen von Non-Compliance in Form von Straf- und Bußgeld-Zahlungen fallen sicher nicht unter die Definition des „bestmöglichen Ergebnisses“.
1.2 Rechtliche Rahmenbedingungen für Compliance in Organisationen
Das angelsächsische Recht (common law wie z.B. in UK, den USA und in anderen Ländern) machte seit jeher keinen grundsätzlichen Unterschied zwischen natürlichen und juristischen Personen. Die Verantwortlichkeit von juristischen Personen für (bestimmte) Straftaten war deshalb in diesem Rechtssystem immer gegeben. In kodifizierten Rechtssystemen (wie z.B. in kontinentaleuropäischen Staaten) gilt ein anderer Grundsatz, nämlich: Societas delinquere non potest – „eine Gesellschaft kann sich nicht vergehen“.[3] Erst die Entwicklungen in den letzten 20 Jahren haben dazu geführt, dass eine Verantwortlichkeit für juristische Personen in diesem Rechtssystem eigens begründet wurde.[4] Zahlreiche zwischenstaatliche Rechtsakte innerhalb und außerhalb der EU verpflichten Mitglieds- und Vertragsstaaten, eine Verantwortlichkeit von juristischen Personen für bestimmte Straftaten vorzusehen.
Der erste Rechtsakt, der eine solche Verpflichtung vorsieht, ist das Zweite Protokoll zum Übereinkommen über den Schutz der finanziellen Interessen der Europäischen Gemeinschaft.[5] Die strafrechtliche Verantwortung von Organisationen wird gefordert, wenn Betrug, Bestechung oder Geldwäsche zu ihren Gunsten von Personen, allein oder als Teil der Organisation der juristischen Person, begangen wurde. Organisationen müssen insbesondere dafür verantwortlich gemacht werden, wenn mangelnde Aufsicht oder Kontrolle die Tat ermöglicht hat. Neben dem Zweiten Protokoll gibt es zahlreiche weitere Rechtsakte, die für ca. 100 Straftatbestände eine Verantwortung von juristischen Personen vorsehen (z.B. Vermögensdelikte wie Betrug, Untreue; Subventionsmissbrauch oder Absprachen bei Vergabeverfahren; Korruptions- und Umweltdelikten; Tatbestände im Urheberrecht, Börsengesetz, Finanzstrafgesetz oder Gesetz gegen den unlauteren Wettbewerb).[6]
Von Rechtsakten außerhalb der EU ist das im Rahmen der OECD geschlossene Übereinkommen für die Bekämpfung der Bestechung ausländischer Amtsträger im internationalen Geschäftsverkehr aus 1997 zu erwähnen. Die Verantwortung von juristischen Personen sehen des Weiteren drei im Rahmen des Europarates abgeschlossene Vereinbarungen vor (Schutz der Umwelt 1998; Cyber-Crime 2001; Terrorismusbekämpfung 2005). Zur Bekämpfung von Geldwäsche werden wirksame, angemessene und abschreckende Sanktionen gegenüber juristischen Personen in den Empfehlungen der FAFTA verlangt.[7] Schließlich enthalten die UN-Übereinkommen zur Bekämpfung der Finanzierung von Terrorismus (2000)[8] und von Korruption (2005)[9] weitere Vorschriften für die straf- oder verwaltungsrechtliche Verantwortung von juristischen Personen.
1.2.1 Verantwortung von Organisationen im internationalen Rahmen[10]
Die meisten europäischen Staaten und zahleiche Staaten außerhalb der EU haben die Verantwortlichkeit für juristische Personen in ihren Rechtsystemen umgesetzt. In Kontinentaleuropa werden rein strafrechtliche, rein verwaltungsrechtliche oder gemischte Modelle unterschieden. Angelsächsische Staaten wie UK, Irland oder Zypern kennen kein Verwaltungsstrafrecht. Der Staat und seine Gebietskörperschaften sind in einigen Ländern von der Verantwortlichkeit zur Gänze ausgenommen (z.B. Frankreich, Italien, Schweiz, Ungarn, Polen). In manchen Ländern (Frankreich, Niederlande, Kroatien, UK) gibt es eine derartige Beschränkung nur für hoheitliche Tätigkeiten. Die Verantwortung von Unternehmen, die im öffentlichen Eigentum stehen, ist grundsätzlich nicht beschränkt. In den meisten Ländern umfasst die Verantwortlichkeit von juristischen Personen alle Delikte, in manchen Ländern nur wenige, auf internationale Vereinbarungen beschränkte Delikte (z.B. in Spanien, Italien, Malta, Brasilien, Canada, China und Indien). In einigen Ländern ist für die Zurechenbarkeit der Verantwortlichkeit erforderlich, dass die Tat zu Gunsten, im Auftrag, im Namen oder im Interesse der juristischen Person erfolgte (z.B. Deutschland, Frankreich, Italien, Polen, Slowenien). In manchen Staaten ist für die Begründung der Unternehmenshaftung ein bloßer Zusammenhang mit der Geschäftstätigkeit der juristischen Person ausreichend (z.B. Schweiz, UK). In den meisten Staaten werden Delikte von einem untergeordneten Mitarbeiter nur im Zusammenhang mit mangelnder Kontrolle oder Überwachung durch eine Person in Führungsposition der Verantwortung der juristischen Person zugerechnet (z.B. Deutschland, Frankreich, Niederlande, Italien, Polen, Ungarn). In einigen Ländern reicht die Tat einer beliebigen, für die juristische Person tätigen, Person zur Auslösung der Verantwortlichkeit aus (Belgien, Schweiz, Rumänien). In fast allen Rechtsordnungen ist vorgesehen, dass die Bestrafung der juristischen Person neben der Bestrafung der natürlichen Person erfolgen kann. In Belgien sind, soweit eine natürliche Person nicht wissentlich oder nicht willentlich gehandelt hat, nicht beide zu bestrafen, sondern jene (natürliche oder juristische) Person, der größere Schuld anzulasten ist.
1.2.2 Verantwortung von Organisationen im nationalen Rahmen
Die strafrechtliche Verantwortlichkeit für juristische Personen wird in Österreich in dem am 1. Januar 2006 in Kraft getretenen Verbandsverantwortlichkeitsgesetz (VbVG)[11] begründet und findet für alle absichtlichen und unabsichtlichen Straftaten Anwendung, die strafrechtlich verfolgt werden können. Ausgenommen von der Strafbarkeit sind nur anerkannte Religionsgesellschaften in Ausübung von seelsorgerischen Tätigkeiten[12] und staatliche Einrichtungen.[13] Die Straftat muss von einem „Entscheider“ begangen worden sein oder durch einen Mitarbeiter, entweder zugunsten der juristischen Person oder in Verletzung einer für die juristische Person geltenden Pflicht. Für Straftaten begangen von Mitarbeitern ist die juristische Person grundsätzlich nur verantwortlich, wenn der Mitarbeiter vorsätzlich oder grob fahrlässig gehandelt hat und wenn ein Entscheidungsträger unter Außerachtlassen der gebotenen und zumutbaren Sorgfalt die Begehung der Tat dadurch ermöglicht oder wesentlich erleichtert hat, indem wesentliche technische, organisatorische oder personelle Maßnahmen zur Verhinderung solcher Taten unterlassen wurden. Die Strafverfolgung der natürlichen Person, die die Straftat begangen hat, ist nicht Voraussetzung für die Haftung der juristischen Person. Geldstrafen sind mit einer Höchststrafe von insg. 1,8 Mio. EUR begrenzt und bemessen sich nach Tagsätzen, deren Höhe von der Ertragslage der juristischen Person abhängt. Zusätzlich kann als Sanktion eine Schadensgutmachung angeordnet werden.
In der Schweiz ist die strafrechtliche Verantwortlichkeit von juristischen Personen in Artikel 102 des Schweizerischen Strafgesetzbuches (StGB) geregelt. Eine generelle Strafbarkeit ist gegeben, wenn die Straftat in Ausübung kommerzieller Aktivitäten begangen wird und die Straftat aufgrund der unzureichenden Organisation des Unternehmens nicht einer bestimmten Person zugeordnet werden kann. Die primäre Haftung gilt für eine begrenzte Anzahl schwerwiegender Straftaten, einschließlich Geldwäscherei, Bestechung von Schweizer und ausländischen Beamten und Finanzierung von Terrorismus, zu deren Verhinderung das Unternehmen keine angemessenen organisatorischen Maßnahmen ergriffen hat, unabhängig davon, ob diese Straftat einer bestimmten Person zugeordnet werden kann oder nicht.[14]
In Deutschland gilt das Strafgesetzbuch nur für Individuen – nicht für Unternehmen. Diese können nach dem Gesetz über Ordnungswidrigkeiten (OWiG)[15] zivilrechtlich haftbar gemacht werden. Geldstrafen sind mit 10 Mio. EUR begrenzt. Die Beschlagnahme aller durch z.B. Bestechung erlangten wirtschaftlichen Vorteile unterliegt keiner Betragsbeschränkung.[16] Mit Juni 2020 hat das Deutsche Bundesministerium für Justiz und Verbraucherschutz einen Gesetzesentwurf mit dem Titel Gesetz zur Sanktionierung von verbandsbezogenen Straftaten (Verbandssanktionengesetz – VerSanG) zur Begutachtung veröffentlicht.[17] Der Gesetzesentwurf sieht die strafrechtliche Verantwortlichkeit von Unternehmen vor und verpflichtet Strafverfolgungsbehörden, Unternehmen entsprechend zu untersuchen und strafrechtlich zu verfolgen.
1.2.3 Verantwortung für Compliance in Österreich
In Österreich gibt es – ähnlich wie in Deutschland und in der Schweiz – kein für alle Organisationen verpflichtendes Regelwerk, das die Einführung eines Compliance-Management-Systems regelt bzw. dessen Einführung fordert. In Österreich sind nur Organisationen, die dem Wertpapieraufsichtsgesetz unterliegen, gem. § 18 WAG zur Einführung einer Compliance-Organisation verpflichtet.[18] Im österreichischen Corporate Governance Kodex (dessen Geltung auf freiwilliger Basis beruht) wird festgehalten, dass der Vorstand einer börsennotierten Aktiengesellschaft geeignete Maßnahmen zur Sicherstellung der Einhaltung der für das Unternehmen relevanten Gesetze zu treffen hat. Der Prüfungsausschuss des Aufsichtsrates hat die Wirksamkeit des internen Kontrollsystems und des Risikomanagement-Systems zu überwachen. [19]
Durch die in § 76 Abs. 1 AktG[20] und § 25 Abs. 1 GmbHG[21] geforderte Sorgfaltspflicht eines ordentlichen und gewissenhaften Geschäftsführers wird eine implizite Aufsichts- und Kontrollpflicht zur Einhaltung von Gesetzen begründet. Nach § 82 AktG und § 22 (1) GmbHG haben der Vorstand bzw. die Geschäftsführung dafür zu sorgen, dass neben einem adäquaten Rechnungswesen ein den Erfordernissen der Gesellschaft entsprechendes internes Kontrollsystem eingeführt wird. Ähnliche Verpflichtungen ergeben sich aus dem Genossenschaftsgesetz (§ 22(1) GenG).[22]
1.3 Compliance als Werkzeug des strategischen Managements
Unter einem Management-System werden miteinander in Wechselwirkung stehende Elemente (Strukturen als statisches und Abläufe als dynamisches Element) verstanden, die dazu dienen, dass eine Organisation die ihr gesetzten Ziele erreicht. Da unter Strategie jener Plan verstanden wird, mit dem die Ziele einer Organisation umgesetzt werden, sind Management-Systeme Teil des strategischen Managements.[23] Dieses Kapitel gibt einen Einblick über die Entwicklung von Management-Systemen und von Compliance-Management-Systemen und ermöglicht die Einordnung des CMS nach ISO 37301 in diesem Kontext.
1.3.1 Begriffsbestimmung Management-Systeme
Entscheidend für den heute geläufigen und auch der ISO 37301 zugrundeliegenden Ansatz des systemorientierten Managements sind Entwicklungen von Lehre und Praxis in den USA und in Deutschland, die sich durch unterschiedliche Zugänge zu diesem Thema voneinander abgrenzen.
Die Geschichte der Betriebswirtschaftslehre in Deutschland geht auf die Gründung von Handelshochschulen Ende des 19. Jhdt. in Deutschland, Österreich und der Schweiz zurück. Neben der Vermittlung von Sprachkenntnissen und technologischem Wissen gewann schon bald die Systematisierung des vorhandenen Wissens an Bedeutung. Zum Zwecke der Abgrenzung zur Volkswirtschaftslehre wurde und wird bis heute intensiv die Bestimmung des Erkenntnisobjektes diskutiert. Der anfänglich im Vordergrund stehende Handelsbetrieb wurde ergänzt durch produzierende Betriebe (Industrie) und private Haushalte. Die inhaltliche Entwicklung der Betriebswirtschaftslehre konzentrierte sich zunächst auf das Rechnungswesen und auf Fragen der Kostenverursachung und der Finanzierung. In weiterer Folge wurden diese Teilgebiete durch die Untersuchung von Absatz-, Produktions- und Organisationsfragen erweitert.[24] Stand in der Wiederaufbauphase nach dem Zweiten Weltkrieg vorerst die kurzfristige Planung von Finanzströmen im Mittelpunkt, so entwickelte sich ab den 1960er-Jahren eine auf den Ergebnissen der Vergangenheit beruhende Langfristplanung mit Gewinnprognosen für weiter in der Zukunft liegende Perioden. Die Ölkrise 1973 und die zunehmende globale politische Destabilisierung machten deutlich, dass diese Vorgangsweise nicht mehr ausreichte, sondern eine Analyse des Umfeldes zur Identifikation von zukünftigen Risiken und Chance erforderlich wurde. Als Ergänzung zur betriebswirtschaftlichen Planungsrechnung fand das vorrangig in den USA entwickelte Konzept des strategischen Managements zunehmend auch in Deutschland und in ganz Europa Verwendung.[25]
Das Konzept einer strategischen Unternehmensführung lässt sich in den USA bis zum Anfang des 19. Jhdt. zu Frederick Winslow Taylor (1856-1915) zurückverfolgen. Im Gegensatz zur deutschen Betriebswirtschaftslehre, die sich als eine eigene Wirtschaftswissenschaft etablierte, ging es Taylor – der als Ingenieur aus der Praxis kam – um die Entwicklung eines Konzeptes für die tatsächliche Betriebsführung. Im Vordergrund standen Fragen der Verbesserung der Produktionsleistung (z.B. Gestaltung des Arbeitsplatzes, Entlohnungssysteme) und (noch) nicht Aufgaben der Gesamtführung eines Unternehmens. Die auch weiterhin von Praktikern wie Unternehmensleitern und Beratern getragene Managementlehre wandte sich in der Folge der Erstellung von Regeln und Prinzipien zu und den Fragen von Zusammenarbeit und Mitarbeiterführung. Durch das Hineintragen von Erkenntnissen aus anderen Wissenschaften wie Mathematik, Physik, Soziologie und Technik und letztendlich durch das Aufkommen von Computern entstand eine – nach wie vor – praxisorientierte Systemtheorie des Managements.[26] Als dessen Begründer und einer der wichtigsten Vertreter gilt Peter F. Drucker (1909-2005), der 1943 die Unternehmensführung und Arbeitsweise von General Motors untersuchte.[27] In seinem auf diesen Erkenntnissen basierendem Buch „Concept of the Corporation“ beschreibt Drucker den Konzern als eine Institution (als eine von vielen in einer Gesellschaft) zur Organisation menschlichen Handels zur Erreichung eines Unternehmenszwecks. Entscheidend für die Lösung der damit verbundenen Probleme sind die Unternehmensführung und die von ihr bestimmte Geschäftspolitik sowie die zur Umsetzung dieser Politik festgelegten Vorgangsweisen.[28] Konzerne (wie alle anderen Organisationen) können nicht überleben, wenn sie von einer oder von wenigen Personen abhängig sind. Es bedarf des Zusammenspiels von Managern und Mitarbeitern zur Errichtung eines Systems, das – basierend auf Leitbildern und Prinzipien – die Zielerreichung regelt. Und zwar so regelt, dass dieses System keine starre Planung darstellt, sondern die notwendige Flexibilität aufweist, damit die für die Zielerreichung notwendige Anpassung einzelner Schritte möglich wird.[29] Die zunehmende Erkenntnis über die Bedeutung der Einflüsse der Umwelt auf die Möglichkeiten und die Fähigkeiten eines Unternehmens, seine Ziele zu erreichen, führte zur Entwicklung des strategischen Managements. Die Chancen und Risiken, die sich aus dem Unternehmensumfeld ergaben, wurden ebenso analysiert wie die eigenen Stärken und Schwächen. Die Ergebnisse bilden die Grundlage für die Definition von Zielen und die Entwicklung einer Strategie, wie diese Ziele zu erreichen sind. Praktische Erfahrungen resultierten in einem Verständnis darüber, dass es zur erfolgreichen Implementierung von strategischen Maßnahmen die Akzeptanz der Mitglieder des Unternehmens bedarf. Unter diesem Gesichtspunkt erlangten die sog. soft facts – wie Aufbau- und Ablauforganisation, Personalmanagement, Unternehmenskultur sowie der Erhalt und die Verteilung von Information – eine eigenständige strategische Bedeutung.[30]
Zusammenfassend ist festzuhalten, dass beide Strömungen einen wesentlichen Beitrag zur Entwicklung und Führung von Organisationen leisten. Die aus der Praxis kommende systemorientierte Managementlehre liefert die Werkzeuge für die Umsetzung und die Bewältigung von sich laufend verändernden Anforderungen. Die Betriebswirtschaftslehre steuert durch ein Planungskonzept die fundierten Grundlagen für eine solide Entscheidungsvorbereitung bei.
Aus der Betrachtung von Organisationen als Systeme ergeben sich einige Merkmale, die auf alle Organisationen unabhängig von Größe, Organisationsform oder Aufgabenstellung zutreffen.[31] Bei der Betrachtung einer Organisation als System – in Anlehnung an Biologie oder Ökologie –wird klar, dass alle Elemente ein Wirkungsgefüge bilden und ein Eingriff an einer Stelle Auswirkungen an einer anderen Stelle hat bzw. haben kann. Organisationen müssen deshalb in ihrer Gesamtheit betrachtet werden. Bei der Vornahme von Maßnahmen sind alle Systemkomponenten (Strukturen, Prozesse, Mitarbeiter, Kunden etc.) zu berücksichtigen. Organisationen sind keine statischen Gebilde, sondern dynamische Systeme, gekennzeichnet durch (fortlaufende) Veränderungen. Veränderungen sind einerseits aus der Organisation heraus bedingt, andererseits werden sie durch Einwirkungen aus der Umwelt verursacht. Daraus ergibt sich, dass Organisationen – als Teil eines Netzwerkes von wirtschaftlichen, juristischen und gesellschaftlichen Beziehungen – offene Systeme sind. Das abschließende Merkmal einer systemischen Betrachtung von Organisationen ist ihre Komplexität.[32] Diese ist jedoch nicht als unvermeidbares Übel zu sehen, sondern es sind eben die Vielzahl der Parameter, die es Organisationen erst ermöglicht, sich Anforderungen anzupassen und somit ihre Lebensfähigkeit zu erhalten.
Die Aufgabe und Bedeutung von Management-Systemen liegt darin, komplexe Systeme dadurch beherrschbar zu machen, dass das Verhalten (einer Vielzahl) von Menschen auf ein Ziel hin koordiniert wird.[33] Durch Gestaltung von Strukturen, Regeln und Abläufen und der kontinuierlichen Steuerung und Verbesserung aller Aktivitäten bilden Management-Systeme einen Rahmen für die einheitliche zielorientierte Organisationsausrichtung. Ein CMS nach ISO 37301 folgt diesem Ansatz. Die Zuteilung – als strukturelles oder statisches Element – von Aufgaben und Verantwortung für Compliance einer Organisation bei der Abwicklung ihrer Geschäftstätigkeiten wird unterstützt durch die Integration von Compliance-Maßnahmen (als dynamisches Element) in bestehende Verfahren, Abläufe, Prozesse etc.
1.3.2 Compliance-Management-Systeme
Durch die Gestaltung von Strukturen, Regeln und Abläufen und der kontinuierlichen Steuerung und Verbesserung aller Aktivitäten bilden Management-Systeme einen Rahmen für die einheitliche und zielorientierte Organisationsausrichtung. Nationale wie internationale Rechtsordnungen sehen vor, dass Organisationen eine (implizite) Aufsichts- und Kontrollpflicht zur Einhaltung von Gesetzen haben. Abgesehen von einigen Ausnahmen gibt es jedoch keine Vorschriften darüber, wie diese Aufsichts- und Kontrollmaßnahmen auszugestalten sind. Insbesondere gibt es keine für alle Organisationen gültige gesetzliche Vorschrift, die die Einführung eines Compliance-Management-Systems (CMS) vorschreibt.
Auf internationaler Ebene haben sich Compliance-Management-Systeme im Finanzsektor zur Bekämpfung von Geldwäsche entwickelt.[34] Dies ist auch in Österreich der Fall. Für Organisationen, die dem Wertpapiergesetz unterliegen, besteht gemäß § 18 Wertpapieraufsichtsgesetz (WAG) die Verpflichtung, eine unabhängige Compliance-Funktion auf Dauer einzurichten, die die Überwachung und regelmäßige Bewertung der Angemessenheit vorgeschriebener Verfahren sowie die Setzung von Maßnahmen zur Behebung etwaiger Mängel zur Aufgabe hat. Die ersten Maßstäbe für Compliance-Management-Systeme in Zusammenhang mit Anti-Korruptionsbestimmungen wurden in den USA und in Großbritannien gesetzt. In beiden Ländern kann ein angemessenes und wirksames Compliance- und Ethik-Programm eine Strafverfolgung beeinflussen, wenngleich in unterschiedlicher Ausprägung. Zahlreiche Staaten haben in den letzten Jahren in ihren Rechtssystemen die strafrechtliche Verantwortlichkeit für juristische Personen umgesetzt. Voraussetzung ist oftmals, dass zum Zeitpunkt der Verfolgung eine Fahrlässigkeit der Organisation vorliegt, d. h. die Organisation hat zuvor keine ordnungsgemäßen und geeigneten Maßnahmen errichtet und umgesetzt, mit dem das Risiko des Auftretens der verfolgten Straftat erheblich verringert werden sollte. [35]
1.4 Abgrenzung Governance – IKS – RMS – CMS
Im weiteren Sinne wird unter Governance alle Instrumente verstanden, die das Erreichen des Zweckes einer Organisation unterstützen und dabei eine ordnungsgemäße und auf nachhaltige und langfristige Wertschöpfung ausgerichtete Steuerung der Organisation im Interesse aller Stakeholder sicherstellt.[36] Dazu gehören alle Vorgänge, die bestimmen, wie in einer Organisation wichtige Entscheidungen getroffen werden, wie Leistung erbracht und Kontrolle ausgeübt wird.[37] Nachfolgend werden drei Institutionen vorgestellt, die als Instrumente effizienter und effektiver Governance-Struktur angesehen werden: internes Kontrollsystem (IKS), Risikomanagement-System (RMS) und Compliance-Management-System (CMS).
1.4.1 Corporate Governance
Der Begriff Corporate Governance geht auf die Notwendigkeit zurück, die Interessen von Kapitalgebern gegenüber eigennützigen Handlungen des Managements zu schützen. Bereits Adam Smith behandelte im 18.Jhdt. ausgiebig die Problematik, wie bei wachsender Größe der Unternehmen eine arbeitsteilige Organisation anzuleiten und zu kontrollieren sei. Manager können Aktionären finanziellen Schaden zufügen durch z.B. unzureichende Anstrengungen auf der Suche nach Geschäftsmöglichkeiten oder das Ausbleiben notwendiger Modernisierungen, durch Abschluss von risikoreichen Transaktionen oder unzureichend ausgearbeiteten Investitionen oder durch mangelnde Kontrolle von Aktivitäten innerhalb des Unternehmens. Mit der Trennung von Eigentum am und der Kontrolle über das Unternehmen wurde es notwendig, Regeln zu bestimmen, die sicherstellten, dass die mit der Führung des Unternehmens betrauten Manager (Agenten) im Interesse der Eigentümer (Prinzipale) handelten.[38] Dieses Prinzipal-Agent-Problem[39] ist die Grundlage für die anfangs enge Definition von Corporate Governance als Art und Weise, wie Zuständigkeiten und Rollen zwischen den einzelnen Organen einer Gesellschaft verteilt werden, um den Kapitalgebern (= Eigentümern) die erwartete Rendite zu sichern.[40]
Eine erweiterte Perspektive von Corporate Governance entwickelte sich aus dem Verständnis, dass ein Unternehmen als ein Netzwerk von Verträgen verstanden werden kann, das im Innenverhältnis das Unternehmen selbst darstellt und im Außenverhältnis die Beziehung zu den Stakeholdern regelt.[41] Die Erweiterung des Begriffes erfolgt in Bezug auf mehrere Faktoren: Erstens in Bezug auf die Akteure, weil nicht nur Eigentümer und Manager einbezogen werden, sondern die Interessen eines weiteren Personenkreises (= Stakeholder) berücksichtigt werden, wie z.B. Kunden, Mitarbeiter, Lieferanten oder externe Kapitalgeber. Zweitens steht nicht mehr die Anwendung von finanziellem Schaden der Eigentümer im Vordergrund, sondern die Wahrung der Rechte und legitimen Interessen aller Stakeholder. Corporate Governance kann somit als übergeordneter Steuerungsrahmen verstanden werden, der die Austauschbeziehungen innerhalb einer Organisation einerseits und mit ihrem Umfeld andererseits regelt.[42] Aufgrund der Unterschiedlichkeit von Organisationen gibt es grundsätzlich keine einheitlichen Bestimmungen über Elemente der Aufbau- oder der Ablauforganisation. Die Governance-Strukturen sind auf die individuelle Situation der Organisation anzupassen in dem Sinne, dass die Erreichung der Organisationsziele unterstützt wird. Verschiedene Institutionen haben sich in der Praxis und in weiterer Folge in der Gesetzgebung herausgebildet, die als Instrumente effizienter und effektiver Governance-Struktur angesehen werden, wie ein internes Kontrollsystem (IKS), ein Risikomanagement-System (RMS) und ein Compliance-Management-System (CMS).
1.4.2 Internes Kontrollsystem (IKS)
Unter einem IKS werden alle in einer Organisation eingeführten, aufeinander abgestimmten Grundsätze, Methoden und Maßnahmen verstanden, die zur Sicherung des Vermögens, der Ordnungsmäßigkeit, Genauigkeit und Zuverlässigkeit der internen und externen Rechnungslegung sowie der Einhaltung der vorgeschriebenen Geschäftspolitik dienen.[43] Zur Sicherstellung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit sollte ein IKS alle wesentlichen Geschäftsprozesse umfassen.
Der Begriff IKS geht auf eine Studie aus dem Jahre 1992 zurück, welche vom Committee of Sponsoring Organizations of the Treadway Commission (COSO)[44] veröffentlicht wurde. Durch das darin vorgestellte „Internal Control System“ wurden Begriffe aus dem Corporate Governance Bereich präzisiert und mit konkreten Maßnahmen unterlegt. Zur richtigen Einordnung dieses Ansatzes ist zu berücksichtigen, dass im Englischen mit dem Wort „control“ nicht nur Kontrollen im Sinne von Überprüfungen gemeint sind, sondern auch die Maßnahmen, die gesetzt wurden, um bestimmte Ergebnisse zu erreichen. Es empfiehlt sich daher, ein IKS als Gesamtheit seiner beiden Teilbereiche zu betrachten: ein internes Steuerungssystem und ein internes Überwachungssystem.[45]
COSO definiert drei Geschäftsziele eines IKS: (i) Effektivität und Effizienz der Geschäftsprozesse, (ii) Verlässlichkeit der finanziellen Berichterstattung und (iii) Einhaltung von gültigen Gesetzen und Vorschriften. Mit „Internal Control“ wird die Summe aller Instrumente verstanden, die erforderlich sind, um die Erreichung dieser drei Zielkategorien sicherzustellen. Die Instrumente sind in fünf Komponenten eingeteilt: Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten (im Sinne von Steuerung), Information und Kommunikation sowie Überwachung. Die drei Zielkategorien sowie alle fünf Komponenten werden sowohl auf Konzernebene wie auch auf alle Bereiche und/oder Aktivitäten einer Organisation (Einheiten) angewandt. Die drei Dimensionen sind in Abbildung 1 grafisch dargestellt, die Komponenten der 2. Dimension (Prozesse) werden nachfolgend näher erläutert.[46]
Abbildung 1
COSO Internal Control – Integrated Framework[47]
Kontrollumfeld – Mit dem Kontrollumfeld wird die Basis der Organisation umfasst. Diese wird ausgedrückt durch (i) Einflüsse und Werte, die die Verhaltensweisen lenken, durch (ii) Strukturen, die die Verantwortungen zuteilen und abbilden, und durch (iii) Abläufe, die die Koordination von Aufgaben regeln. All diese Parameter sind so zu gestalten, dass sie die Erreichung der Geschäftsziele unterstützen. Die Risikobereitschaft als Element des internen Umfeldes wird sowohl durch quantitative als auch durch qualitative Ziele und Beschränkungen ausgedrückt und fließt in der weiteren Folge als Messgröße für akzeptables Risiko in die Risikobeurteilung ein.
Risikobeurteilung – Die Bewertung identifizierter Risiken erfolgt durch Festlegung ihrer Eintrittswahrscheinlichkeit und des potenziellen Schadensausmaßes. Für die nach Risikotransfermaßnahmen (z.B. Versicherung) verbleibenden Restrisiken werden Steuerungsmaßnahmen zu ihrer Bewältigung gesetzt.
Steuerungsmaßnahmen – Vorschriften, Richtlinien und Verfahren (wie z.B. Aufgabentrennung, Stichproben etc.) werden implementiert, um den operativen Betrieb, die ordnungsgemäße Rechnungslegung sowie die Einhaltung der für die Organisation relevanten Regeln (Compliance) sicherzustellen.
Information und Kommunikation – Kenntnis über alle wesentlichen Prozessschritte ermöglicht es Mitarbeitern, ihre Verantwortlichkeit wahrzunehmen und ihren Beitrag zu einer effizienten Abwicklung der operativen Tätigkeiten, einer ordnungsgemäßen Rechnungslegung und der Einhaltung aller gesetzlichen Bestimmungen zu leisten.
Überwachung – Alle gesetzten Maßnahmen müssen regelmäßig überwacht und, falls erforderlich, verbessert werden. Die Funktionstätigkeit und Angemessenheit des IKS ist von einer unabhängigen Stelle zu prüfen.
1.4.3 Risikomanagement-System (RMS)[48]
Das Risikomanagement als Teil des IKS und zweites Instrument einer effizienten und effektiven Governance-Struktur ist darauf ausgerichtet, Chancen und Gefahren frühzeitig zu erkennen und dahingehend zu bewerten, wie sie die Erreichung der Unternehmensziele (in strategischer, operativer, Rechnungslegung und Compliance Sicht) beeinflussen können. Die Erkenntnisse unterstützen die Entscheidungsfindung einer zukunftsorientierten Planung und fließen in die Risikosteuerung ein.
Ereignisidentifikation – Es gilt, alle internen und externen Ereignisse zu identifizieren, die das Erreichen der Ziele einer Organisation beeinflussen. Diese Einflüsse können sowohl von positiver (Chance) als auch von negativer Natur (Risiko) sein.
Risikobeurteilung – Die identifizierten potenziellen Risiken werden in einem Risikokatalog zusammengefasst und nach ihrer Eintrittswahrscheinlichkeit und ihrer Auswirkung hin untersucht und bewertet. Anhand der Bewertungsergebnisse werden die Risiken priorisiert, um zielgerichtete Maßnahmen zu ihrer Bewältigung zu entwickeln.
Risikosteuerung – Risiken können durch Unterlassen einer Geschäftsaktivität vermieden werden. In allen anderen Fällen werden Maßnahmen zur Verringerung zu setzen sein, sei es durch Kontrollen oder durch Übertragung (z.B. Versicherungen).
1.4.4 Compliance-Management (CMS)
Als drittes Instrument einer effizienten und effektiven Governance-Struktur ist ein Compliance-Management-System darauf ausgerichtet, die Einhaltung von gesetzlichen, regulatorischen oder freiwillig eingegangenen Verpflichtungen bei der Ausübung der Geschäftstätigkeit zu gewährleisten. Durch geeignete Maßnahmen sollen Nichteinhaltungen von Compliance-Verpflichtungen verhindert werden. Verstöße sind rechtzeitig zu erkennen sowie Maßnahmen zur Bereinigung der Situation zu setzen. Durch Verbesserungen und Anpassungen des CMS werden Wiederholungen von Verstößen vermieden und Compliance der Organisation in Bezug auf die Abwicklung ihre Geschäftstätigkeiten (wieder)hergestellt.
Als Fazit ist festzuhalten, dass ein IKS, ein RMS und ein CMS Instrumente für eine effektive und effiziente Führung von Organisationen sind, die nicht losgelöst voneinander betrachtet werden können bzw. sollten. Ein CMS unterstützt bei der Bewältigung von Compliance-
Risiken und ist somit ein Teil des RMS. Die Bestimmung jener Compliance-Verpflichtungen, deren Einhaltung durch ein CMS und seine Maßnahmen zu gewährleisten ist, ergibt sich aus der Risikobewertung dieser Compliance-Verpflichtungen. Die Prinzipien eines Risikomanagements sind somit Teil eines wirksamen CMS. Compliance – als Organisationsziel – sicherzustellen, ist ein Kernelement eines IKS. Für seine Angemessenheit wird durch die Beurteilung der Gesamtrisikosituation einer Organisation vorgesorgt.
1.5 ISO 37301 als Best-Practice-Ansatz für regelkonformes Verhalten
Compliance-Management-Systeme haben sich erstmalig im Finanzsektor zur Bekämpfung von Geldwäsche entwickelt. Als treibende Kraft für die Festlegung von Standards im Kampf gegen Geldwäsche und Terrorismusfinanzierung wird seit ihrer Gründung im Jahre 1989 die Financial Action Task Force (FATFA) angesehen. Seit ihrem ersten Erscheinen 1990 gelten die regelmäßig aktualisierten 40 Recommendations (Empfehlungen) von FATFA[49] als Grundlage für internationale wie nationale Vorschriften. Für ausgewählte Risikogebiete (Geldwäsche, Finanzmarkttransaktionen oder Korruptionsbekämpfung) gibt es lokale oder regionale Richtlinien für Compliance-Programme, die die Einhaltung der entsprechenden Vorschriften sicherstellen sollen. Die Gefahr besteht jedoch darin, dass in einer Organisation mehrere Compliance-Management-Systeme nebeneinander entstehen, wodurch Effektivität und Effizienz verloren gehen und Compliance-Management zu einer Erschwerung der Geschäftsabwicklung wird.
Durch den systemorientierten Ansatz können in einem CMS nach ISO 37301 mehrere Compliance-Verpflichtungen zusammengefasst werden. Regelkonformes Verhalten wird in der Organisation unterstützt und gleichzeitig die Effizienz durch eine adäquate Allokation von Ressourcen gesteigert. Compliance-Management wird zur Unterstützung für eine nachhaltige Geschäftsentwicklung.
Die strafrechtliche Verantwortung von Organisationen (Verband) ist in Österreich im Verbandsverantwortlichkeitsgesetz geregelt.[50] Ein Verband ist für eine von einem Mitarbeiter begangene Straftat u.a. dann verantwortlich, wenn wesentliche technische, organisatorische oder personelle Maßnahmen zur Verhinderung der Tat unterlassen wurden. Es gibt keine Erläuterungen oder allgemein anwendbare Richtlinien, was unter „wesentliche technische, organisatorische oder personelle Maßnahmen“ zu verstehen ist. Eine ähnliche Reglung zur strafrechtlichen Verantwortung von Organisationen sieht das Schweizerische Strafgesetzbuch vor (§ 102 Abs.2 StGB).[51] Ein Unternehmen wird bestraft, wenn es nicht alle erforderlichen und zumutbaren organisatorischen Vorkehrungen getroffen hat, um die gegenständliche Straftat zu verhindern. Erläuterungen bzw. eine allgemein anwendbare Richtlinie zu „erforderlichen und zumutbaren organisatorischen Vorkehrungen“ gibt es nicht. Das – in der Gesetzgebung befindliche – Deutsche Verbandssanktionengesetz[52] sieht vor, dass eine Verbandsstrafe verhängt werden kann, wenn die Straftat durch angemessene Vorkehrungen zur Vermeidung – wie insbesondere Organisation, Auswahl, Anleitung und Aufsicht – hätte verhindert oder wesentlich erschwert hätte werden können. Erläuterungen über „angemessene Vorkehrungen“ sieht das Gesetz nicht vor (eine Richtlinie zur Anwendung liegt derzeit ebenfalls nicht vor).
Das Vorliegen eines Organisationsmangels ist in allen drei Gesetzen (Österreich, Schweiz und Deutschland) Voraussetzung für die Strafbarkeit der Organisation. Die Schwere und das Ausmaß des Organisationsmangels, oder umgekehrt, die Angemessenheit und die Wirksamkeit von Maßnahmen und Vorkehrungen, werden bei der Bemessung der Strafe mitberücksichtigt. In allen drei Ländern enthalten die Vorschriften über die Bekämpfung von Geldwäsche fundamentale Bestimmungen über die Einführung einer Compliance-Organisation.[53] Neben diesen branchenspezifischen Regelungen gibt es keine allgemein gültige Vorschrift, die die Errichtung eines CMS vorsieht oder gar vorschreibt.
Auf internationaler Ebene haben sich in einigen Ländern Regelungen etabliert, die Anforderungen an Compliance-Maßnahmen festlegen. Die Beurteilung der Effektivität dieser Maßnahmen kann einerseits die Strafbemessung beeinflussen. Der Nachweis, dass eine Organisation die gebotene Sorgfalt zur Verhinderung der Straftat angewendet hat, kann anderseits vor Strafverfolgung schützen. In Tabelle 1 werden drei Beispiele aufgezeigt, in denen Anforderungen an die Elemente einer wirksamen Compliance-Organisation bestimmt sind. Deren Wirksamkeit wird bei der Entscheidung über eine Strafverfolgung und/oder das Strafausmaß berücksichtigt.
Tabelle 1
Anforderungen an ein effektives CMS vs. ISO 37301[54]
| ISO 37301 | Italien | Spanien | US DOJ |
| Kapitel 4 Kontext der Organisation | 2.a Risikobewertung | 1. Risikobewertung | I.A. Risikobewertung |
| 1.d Proaktive Wachsamkeit | |||
| Kapitel 5Führung | 1.a Engagement der obersten Leitung | 1. Engagement und Handlung der obersten Leitung | II.A. Engagement der Führungskräfte |
| 1.a Einbeziehung des Aufsichtsgremiums | 2. Compliance-Funktion | II.B. Autonomie & Ressourcen | |
| 2.e Sanktionen | 5. Sanktionen | ||
| Kapitel 6 Planung | 2. Geeignete Verfahren | I.B. Politiken & Verfahren | |
| Kapitel 7Unterstützung | 2.b Schulungen | 3. Schulungen | I.C. Schulungen |
| 2.c Geeignete Ressourcen | 5. Sanktionen | II.C. Anreize und Disziplinarmaßnahmen | |
| 2.e Sanktionen | |||
| Kapitel 8Betrieb | 2.b Interne Verfahren | 3. Finanzielle Kontrollen | I.B. Politiken & Verfahren |
| 2.d Äußern von Bedenken | 4. Äußern von Bedenken | I.D. Vertrauliche Berichtsstruktur | |
| I.D. Untersuchungsprozess | |||
| I.E. Drittparteien Mgt. | |||
| I.F. Mergers & Acquisitions | |||
| III.B. Untersuchung von Fehlverhalten | |||
| Kapitel 9Leistungsbeurteilung | 6. Kontrolle der Umsetzung | III.A. Regelmäßige Tests und Überprüfungen | |
| Kapitel 10Kontinuierliche Verbesserung | III.A. Ständige Verbesserung | ||
| III.B Untersuchung von Fehlverhalten |
Gemäß dem italienischen Gesetzesdekret Nr. 231 (2001) kann eine Organisation von der Haftung befreit werden, wenn sie u.a. nachweist, dass wirksame und spezifische interne Compliance-Maßnahmen ergriffen wurden. In Spanien etablierte die Änderung des Strafgesetzbuchs (2015) die Befreiung von der strafrechtlichen Haftung für juristische Personen, die eine wirksame Umsetzung eines Verbrechensverhütungs- oder Compliance-Programms nachweisen können.
Die Grundsätze der Bundesverfolgung von Unternehmensverbänden im Justizhandbuch des US-Justizministeriums[55] beschreiben spezifische Faktoren, die bei der Durchführung einer Untersuchung von Unternehmen zu berücksichtigen sind. Zu diesen Faktoren gehören die Umsetzung und Verbesserung eines wirksamen Compliance-Programmes zum Zeitpunkt der Straftat und zum Zeitpunkt der Verfahrensentscheidung. Die umfangreiche Richtline des US-Justizministeriums (Kriminalabteilung, Juni 2020) zur Evaluierung von Corporate-Compliance-Programmen soll Staatsanwälte bei der Bewertung dieser Faktoren unterstützen.
Tabelle 2
Richtlinie US-DOJ zur Beurteilung eines effektiven Corporate-Compliance-Programmes vs. ISO 37301[56]
| Kriminalabteilung des US-Justizministeriums | Elemente ISO 37301 | |
| Evaluierung des Corporate-Compliance-Programms / Juni 2020 | Kapitel | |
| I. Ist das Corporate-Compliance-Programm gut konzipiert? | ||
| I.A. | Risikobewertung | 4.1 Kontext der Organisation, 4.6 Compliance-Risiko; 7.2.2 Beschäftigungsverfahren |
| I.B. | Richtlinien und Verfahren | 6. Planung; 8.1/2 Operative Maßnahmen; 9.1-9.3 Überwachung |
| I.C. | Schulung und Kommunikation | 7.2. Kompetenz und Schulung, 7.3 Bewusstsein, 7.4 Kommunikation |
| I.D. | Vertrauliche Berichtsstruktur und Untersuchungsprozess | 8.3 Bedenken äußern; 8.4 Untersuchungsprozess |
| I.E. | Verwaltung durch Dritte | 8.1 & 8.2 Ausgelagerte Prozesse/Due Diligence |
| I.F. | Mergers & Acquisitions (M&A) | 8.1 & 8.2 Ausgelagerte Prozesse/Due Diligence |
| II. Ist das Compliance-Programm des Unternehmens angemessen ausgestattet und befähigt, effektiv zu funktionieren? | ||
| II.A | Engagement des Senior und Minor Middle Management | 5.1 Führung und Engagement, 5.2 Compliance-Politik; 5.3 Verantwortlichkeiten Führungskräfte |
| II.B. | Autonomie und Ressourcen | 5.3. Compliance-Funktion; 7.1 Ressourcen |
| II.C | Anreize und Disziplinarmaßnahmen | 7.3 Bewusstsein |
| III. Funktioniert das Corporate-Compliance-Programm in der Praxis? | ||
| III.A | Kontinuierliche Verbesserung, regelmäßige Tests und Überprüfung | 9.1 Überwachung, 9.2 Internes Audit, 9.4 Überprüfung oberste Leitung (Aufsichtsgremium) |
| III.B | Untersuchung von Fehlverhalten | 8.4 Untersuchungsprozess |
| III.C. | Analyse und Behebung von zugrunde liegendem Fehlverhalten | 8.4 Untersuchungsprozess; 10.1 Kontinuierliche Verbesserung |
Der umfangreichen Darstellung von Beispielthemen und Fragen kommt aufgrund der Vielzahl an Geschäftsbeziehungen zu Unternehmen der weltweit größten Volkswirtschaft eine gewisse Bedeutung bei der Bemessung der Wirksamkeit eines CMS zu. Jedoch mag es nicht immer angebracht sein, die Richtlinie einer innerstaatlichen Institution als Maßstab heranzuziehen. Die Vereinbarkeit des Anspruches der DOJ-Richtlinie mit den Anforderungen der ISO 37301 wird daher in zweifacher Hinsicht veranschaulicht. In Tabelle 1 wurden die Anforderungen der ISO 37301 den Erwartungen der DOJ-Richtlinie gegenübergestellt. Tabelle 2 zeigt, durch welche Anforderungen der ISO 37301 die Erwartungen der DOJ-Richtline abgedeckt werden. Die DOJ-Richtline wird nicht nur – wie manchmal fälschlich angenommen – auf Korruptionsdelikte angewandt. Das zu bewertende Compliance-Programm kann sich auf alle relevanten Compliance-Verpflichtungen einer Organisation beziehen.[57]
ISO Standards werden im internationalen Kontext von Anwendern für Anwender entwickelt. Dieser Ansatz ermöglicht die Position von ISO Standards als unparteiisches Best-Practice-Instrument. Aufgrund der ähnlich weitreichenden Bedeutung wie die DOJ-Richtlinien zur Bewertung der Wirksamkeit eines Compliance-Programmes werden in der nachfolgenden Tabelle 3 die Richtlinien der Weltbankgruppe an ein wirksames Compliance-Programm dargestellt und den Elementen der ISO 37301 gegenübergestellt.
Tabelle 3
Weltbankgruppe Integritäts-Compliance Richtlinien vs. ISO 37001[58]
| Die Weltbankgruppe | Elemente ISO 37301 | |
| Die Integritäts-Compliance-Richtlinien | Kapitel | |
| 1 | Einfordern von regelkonformem Verhalten | 5.2 Compliance-Politk |
| 2 | Verantwortung | 5.1 Führung & Engagement, 5.3 Rollen & Verantwortung |
| 3 | Programminitiierung, Risikobewertung und Überprüfung | 4.6 Compliance-Risikobewertung; 6. Planung; 9. Leistungsbeurteilung |
| 4 | Interne Richtlinien | 5.3 Compliance-Funktion, 7.1 Ressourcen |
| 5 | Richtlinien zu Geschäftspartnern | 8.1 & 8.2 Betriebliche Kontrollen und Verfahren |
| 6 | Interne Kontrollen | 8.1 & 8.2 Betriebliche Kontrollen und Verfahren |
| 7 | Schulung & Kommunikation | 7.2 Kompetenz und Ausbildung, 7.4 Kommunikation |
| 8 | Anreize | 7.3 Bewusstsein |
| 9 | Berichterstattung | 8.3 Äußern von Bedenken |
| 10 | Fehlverhalten beheben | 8.4 Untersuchungsprozess |
| 11 | Kollektive Maßnahmen | 4.2 Interessierte Parteien |
Das Sanktionssystem der Weltbankgruppe (WBG) soll sicherstellen, dass Entwicklungsfinanzierungen in WBG-Operationen nur für die vorgesehenen Zwecke verwendet werden. Der zweistufige Prozess soll sowohl künftiges Fehlverhalten verhindern als auch die Rehabilitation der Sanktionsparteien fördern. Die häufigste Sanktion ist es, eine sanktionierte Partei für einen Mindestzeitraum vom Zugang zu WBG-Finanzierungen auszuschließen (Debarment). Für eine Aufhebung des Ausschlusses ist die Umsetzung eines wirksamen Compliance-Programmes erforderlich.
Das Sanktionssystem der WBG findet auf die Nichteinhaltung unterschiedlicher Compliance-Verpflichtungen Anwendung, wie z.B. Betrug, Korruption, Absprachen oder Zwangspraktiken. Von besonderer Bedeutung ist das sogenannte Cross-Debarment-Regime. Es besagt, dass wenn eine Organisation von einer Entwicklungsbank ausgeschlossen wurde, auch anderen Entwicklungsbanken einen Ausschluss von ihren Finanzierungen verhängen.[59] Es ist weiters üblich, dass Organisationen, die auf der Ausschlussliste der WBG[60] angeführt sind, von öffentlichen Bieterverfahren nationaler Staaten ausgeschlossen werden.
1Vgl. Herbst/Readett 1989, S.219
2Vgl. Hauschka 2010, S.3
3Vgl. Zeder 2006, S.3
4Vgl. Ibid., S.9
5BGBl III 136/2009 idgF
6Vgl. Zeder 2006, S.9-13
7http://www.fatf-gafi.org/ (Stand 05.03.2021)
8https://treaties.un.org/doc/db/Terrorism/english-18-11.pdf (Stand 05.03.2021)
9https://www.unodc.org/unodc/en/treaties/CAC/ (Stand 05.03.2021)
10Vgl. Zeder 2006, S.226ff., https://www.jonesday.com/en/insights/2020/12/2020-crossborder-corporate-criminal-liability-survey (Stand 04.03.2021)
11BGBl I 151/2005 idgF
12Anerkannte Religionsgesellschaften sind für alle nicht die Seelsorge betreffenden Handlungen haftbar, wie z.B. im Zusammenhang mit wirtschaftlichen oder gemeinnützigen (= humanitäre) Tätigkeiten.
13Die Haftung von Körperschaften ist in Österreich im Amtshaftungsgesetz geregelt. BGBl 20/1949 idgF
14Schweizerisches Strafgesetzbuch (StGB) idgF, https://www.fedlex.admin.ch/eli/cc/54/757_781_799/de (Stand 05.03.2021)
15Gesetz über Ordnungswidrigkeiten (OWiG) 1968 idgF, https://www.gesetze-im-internet.de/owig_1968/ (Stand 06.07.2021)
16Vgl. Hauschka 2012, S.8
17Zum Zeitpunkt der Drucklegung dieses Praxiskommentars (Mai 2021) befand sich der Gesetzesentwurf in der Endphase des Gesetzgebungsprozesses. https://www.bmjv.de/SharedDocs/Gesetzgebungsverfahren/Dokumente/RegE_Staerkung_Integritaet_Wirtschaft.pdf?__blob=publicationFile&v=2 (Stand 05.03.2021)
18BGBl I 60/2007 idgF
19http://www.corporate-governance.at/ (Stand 05.03.2021)
20BGBl I 98/1965 idgF
21BGBl 58/1906 idgF
22BGBl 70/1873 idgF
23Vgl. Schertler 1998, S.90f.
24Vgl. Ulrich 1970, S.82ff.
25Vgl. Bea/Haas 2005, S.12ff.
26Vgl. Ulrich 1970, S.92ff.
27Vgl. Stone 1998, S.XI
28Vgl. Drucker 1966, S.48f.
29Vgl. Ibid, S.97f.
30Vgl. Bea/Haas 2005, S.14
31Vgl. Malik 2008, S.27ff.
32Vgl. Duden 2003, S.733: Gesamtheit aller Merkmale. Das Adjektiv „komplex“ ist zu unterscheiden von „kompliziert“, das so viel bedeutet wie: schwierig, umständlich, mit Komplikationen verbunden.
33Vgl. Malik 1994, S.8
34Vgl. Pieth 2011, S.41
35https://www.jonesday.com/en/insights/2020/12/2020-crossborder-corporate-criminal-liability-survey (Stand 02.03.2021)
36Vgl. Wieland 2020, S.15f.
37Vgl. Kieser 2004, S.28; Bea/Göbel 2006, S.284f.
38Vgl. Tirole 2001, S.2
39Zur Principal-Agent Theory vgl. Moe, 1984; Eisenhardt 1989; Mirrlees/Raimondo 2012.
40Vgl. Berle/Means 1933, S.127ff.; Frese, Graumann/Theuvsen 2011, S.515ff.
41Vgl. Coase 1933, S.392; Putterman/Kroszner 1986, S.111-134
42Vgl. Grüninger 2014, S.50
43Vgl. Bungartz 2010, S.28
44https://www.coso.org/Pages/default.aspx (Stand 03.03.2021)
45Vgl. Bungartz 2010, S.37
46Vgl. Moeller 2011, S.56ff.
47Vgl. Withus 2014, S.45
48Vgl. Pampel/Glage 2010, S.92ff.
49https://www.fatf-gafi.org/media/fatf/documents/recommendations/pdfs/FATF%20Recommendations%202012.pdf (Stand 05.03.2021)
50Österreich: Verbandsverantwortlichkeitsgesetz https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20004425 (Stand 05.03.2021)
51Schweiz: Schweizerisches Strafgesetzbuch (StGB) idgF, https://www.fedlex.admin.ch/eli/cc/54/757_781_799/de (Stand 05.03.2021)
52Deutschland: Entwurf zum Gesetz zur Sanktionierung von verbandsbezogenen Straftaten (Verbandssanktionengesetz – VerSanG), https://www.bmjv.de/SharedDocs/Gesetzgebungsverfahren/DE/Staerkung_Integritaet_Wirtschaft.html (Stand 05.03.2021) Zum Zeitpunkt der Drucklegung dieses Praxiskommentars befindet sich das Gesetz noch im Gesetzgebungsverfahren.
53Österreich: FMA 01/2019: Rundschreiben „Interne Organisation zur Prävention von Geldwäscherei und Terrorismusfinanzierung“ (Stand 05.03.2021)
Deutschland: Gesetz zur Umsetzung der Änderungsrichtlinie zur Vierten EU-Geldwäscherichtlinie Bundesgesetzblatt Jahrgang 2019 Teil I Nr. 50, ausgegeben zu Bonn am 19. Dezember 2019, https://www.bundesfinanzministerium.de/Content/DE/Gesetzestexte/Gesetze_Gesetzesvorhaben/Abteilungen/Abteilung_VII/19_Legislaturperiode/2019-12-19-Gesetz-4-EU-Geldwaescherichtlinie/0-Gesetz.html (Stand 05.03.2021)
Schweiz: FINMA Rundschreiben 2017/1: Leitplanken zur Corporate Governance bei Banken (https://www.finma.ch/de/news/2016/11/20161101-mm-rs-corporate-governance-bei-banken/ (Stand 05.03.2021)
54Italien Executive decree no. 231 of 8 June 2001, “Discipline of the administrative liability of legal persons, of companies and of associations even without a legal status, pursuant to Article 11 of Law no. 300 of 29 September 2000”, published in the Gazzetta Ufficiale no. 140 of 19 June 2000. http://www.oecd.org/investment/anti-bribery/anti-briberyconvention/45508054.pdf (Stand 05.03.2021)
Spanien: Criminal Code, https://www.legislationline.org/download/id/6443/file/Spain_CC_am2013_en.pdf; Circular 1/2016, de 22 de enero, sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por Ley Orgánica 1/2015. (Rundschreiben 1/2016 vom 22. Januar über die strafrechtliche Verantwortlichkeit juristischer Personen gemäß der Reform des Strafgesetzbuchs durch das Organgesetz 1/2015.) https://www.boe.es/buscar/doc.php?id=FIS-C-2016-00001, (Stand 05.03.2021)
US: U.S. Department of Justice-Criminal Division: Evaluation of Corporate Compliance Programs (Updated June 2020) https://www.justice.gov/criminal-fraud/page/file/937501/download, (Stand 05.03.2021)
559-28.000 Justice Manual US-Justizministerium (https://www.justice.gov/jm/jm-9-28000-principles-federal-prosecution-business-organizations, (Stand 05.03.2021)
56https://www.ussc.gov/guidelines/2018-guidelines-manual/annotated-2018-chapter-8#NaN (Stand 05.03.2021)
57Vgl. z.B.:(i) United States vs. The Boing Company, Jänner 2021. https://www.justice.gov/opa/pr/boeing-charged-737-max-fraud-conspiracy-and-agrees-pay-over-25-billion . (ii) United States vs. Airbus SE, Jänner 2020. https://www.justice.gov/opa/pr/airbus-agrees-pay-over-39-billion-global-penalties-resolve-foreign-bribery-and-itar-case (Stand 05.03.2021)
58https://www.worldbank.org/en/about/unit/integrity-vice-presidency#3 (Stand 05.03.2021)
59African Development Bank Group, Asian Development Bank, European Bank for Reconstruction and Development, Inter-American Development Bank Group. https://www.ifc.org/wps/wcm/connect/topics_ext_content/ifc_external_corporate_site/ac_home/faqsxb (Stand 05.03.2021)
60: https://www.worldbank.org/en/projects-operations/procurement/debarred-firms (Stand 05.03.2021)
2Umsetzung der ISO 37301 im Kontext
2 Umsetzung der ISO 37301 im Kontext
Durch Gestaltung von Strukturen, Regeln und Abläufen und der kontinuierlichen Steuerung und Verbesserung aller Aktivitäten bilden Management-Systeme einen Rahmen für die einheitliche, zielorientierte Organisationsausrichtung, und zwar unabhängig von Größe, Branche, Organisationsform oder Aufgabenstellung. Mit zunehmender Größe und umfangreicher Aufgabenstellung ist zu beobachten, dass unterschiedliche – meist organisch entstandene und nicht harmonisierte – Führungssysteme innerhalb einer Organisation entstanden sind. Eine derartige Aufsplitterung in Teilbereiche (z.B. Qualitätssicherung, Beschaffung, Marketing, Umwelt, Sicherheit etc.) kann die Steuerung von Organisationen unübersichtlich machen, wodurch die Effizienz sinkt. Gegenstand eines CMS sind grundsätzlich alle für eine Organisation relevanten rechtlichen, ethischen oder sozialen Normen, zu deren Einhaltung die Organisation aufgrund von Gesetzen, Regulierungen etc. verpflichtet ist oder zu deren Einhaltung sie sich freiwillig verpflichtet hat. Nichteinhaltungen von Compliance-Verpflichtungen bergen ein hohes Schadenspotenzial. Sie können erheblich negativen Einfluss auf die finanzielle Ausstattung und die erfolgreiche Entwicklung einer Organisation haben.[61] Ein CMS deckt alle von der Organisation bestimmten Bereiche ab und kann als ein übergeordnetes Rahmenwerk dienen, das die Effizienz der gesamten Organisation steigert und somit die Ressourcenzuteilung oder den Ressourceneinsatz verbessert. Die Problematik liegt oft darin, dass ein CMS ausschließlich von der rechtlichen Seite her betrachtet wird und weniger aus der Sicht des Managements. Ein CMS ist – als Management-System – in erster Linie ein Führungsinstrument. Für die Umsetzung bedarf es einerseits rechtlichen Fachwissens. Abhängig von der individuellen Situation der Organisation kann dieses durch die interne Rechtsabteilung abgedeckt werden oder wird über externe Experten eingebracht. Anderseits sind Kenntnisse über die Geschäftsaktivitäten und deren Abläufe erforderlich, um durch die Integration von Compliance-Maßnahmen in Richtlinien Verfahren und Prozesse sicherzustellen. Über dieses Wissen verfügen die Mitarbeiter der Organisation. Deren Einbeziehung in die Errichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung des CMS ist unabdingbar zur Sicherstellung von dessen Wirksamkeit.
Die ISO 37301 erhebt den Anspruch, ein Best-Practice-Ansatz für die Errichtung, Umsetzung, Aufrechterhaltung und die laufende Verbesserung eines effektiven Compliance-Management-Systems für alle Arten von Organisationen zu sein. Zur Überprüfung dieses Anspruchs wurden in Kapitel 1.5 Anforderungen aus internationalen Richtlinien bzw. Rechtskommentaren herangezogen und den Elementen der ISO 37301 gegenübergestellt. In diesem zweiten Teil des Praxiskommentars wird auf einen effizienten Zugang zur Errichtung und Umsetzung der ISO 37301 eingegangen. Kapitel 2.1 legt die Positionierung der ISO 37301 im Kontext der ISO Management-System-Standard-Struktur (MSS) dar. Im Kapitel 2.2 werden die Kernelemente des Standards in komprimierter Form anhand des Prinzips „Plan-Do-Check-Act“ (PDCA; Planen-Ausführen-Überprüfen-Verbessern) dargestellt.
2.1 Standardisierung von Management-Systemen nach ISO
Im Bereich der Standardisierung kann der Begriff des „Management-Systems“ bis zum Jahre 1959 zurückverfolgt werden, als das US-Verteidigungsministerium die Qualitätsnorm
MIL-Q-9858 veröffentlichte. Diese Vorschrift wurde 1969 in die NATO AQAP-Normenreihe aufgenommen und diente in der weiteren Folge 1979 als Grundlage für die BS 5750 Reihe von Qualitätssicherungsstandards der British Standards Institution (BSI). Auf Basis des BS 5750 Standards wurde im Jahr 1987 von der Internationalen Organisation für Standardisierung (ISO) der erstmalige ISO 9000 Standard für Grundlagen und Begriffe zu Qualitätsmanagement-Systemen publiziert.[62]
2.1.1 Management-System-Standards nach ISO High-Level Structure
Die Internationale Organisation für Standardisierung (ISO) mit Sitz in Genf, Schweiz, ist wahrscheinlich der weltweit bekannteste und größte Bereitsteller von freiwilligen internationalen Standards.[63] 1946 in London von Bauingenieuren aus 25 Ländern gegründet, ist ISO eine unabhängige, nichtstaatliche Organisation, die von nationalen Organisationen für Standardisierung aus 165 Mitgliedsländern aus der ganzen Welt gebildet wird. Mit mehr als 23.500 veröffentlichten internationalen Standards werden nahezu alle Branchen abgedeckt. Zu Erreichung einer nachhaltigen Zukunft unterstützen ISO-Standards den Welthandel, ein integratives und gerechtes Wirtschaftswachstum, Innovationen sowie die Förderungen von Gesundheit und Sicherheit.[64] Die Art der Entwicklung in überregionalen Komitees, besetzt mit internationalen, im Konsensverfahren agierenden Fachleuten, stellt sicher, dass die Spezifikationen für Produkte, Dienstleistungen und Systeme dem neuesten Stand der Technik entsprechen – zur Gewährleistung von Qualität, Sicherheit und Effizienz.
Um diesem Anspruch der Vereinheitlichung selbst gerecht zu werden, wurde im Jahr 2012 eine Vorlage für die Entwicklung von ISO-Standards für Management-Systeme in Kraft gesetzt. Divergierende Anforderungen in Standards zu unterschiedlichen Management-Systemen werden dadurch ausgeschlossen und die Umsetzung eines sogenannten „integrierten“ Management-Systems ermöglicht. In einem integrierten Management-System werden Anforderungen zweier oder mehrerer Standards zu Management-Systemen verbunden umgesetzt (z.B. ISO 9001 Qualitätsmanagement mit ISO 14001 Umweltmanagement). Eine zeitaufwendige, kostspielige und ineffiziente Parallelführung von mehreren Management-Systemen kann dadurch vermieden werden.
Die Einführung der Vorlage erfolgte 2012 durch Ergänzung der ISO internen Verfahrensvorschrift ISO/IEC Directives, Part 1 (Consolidated ISO Supplement – Procedures specific to ISO), die die Entwicklung internationaler Standards und anderer Publikationen im Rahmen von ISO regelt.[65] Der neu hinzugekommene Annex SL regelt die Vorbereitung, Entwicklung und Umsetzungen von Standards zu Management-Systemen. Der Appendix 2 zum Annex SL enthält den Text der Vorlage, der in der ISO Terminologie als „High Level Structure“ (HLS) bezeichnet und in der Standardisierungsarbeit auf internationaler Ebene gängig verwendet wird. Die HLS-Vorlage enthält Vorgaben für eine einheitliche (identical) Reihenfolge und Bezeichnungen der Hauptkapitel, von Texten sowie von Begriffen und Definitionen. Eine Abänderung der Vorgaben ist nur in ausreichend begründeten Fällen möglich und bedarf einer Genehmigung des ISO Technical Management Board (TMB). Die Anforderungen, die sich aus den zu standardisierenden Fachgebieten ergeben (z.B. Qualität, Umwelt, Compliance), werden durch Ergänzungen der HLS-Vorgabe abgebildet.
Neben der Vereinheitlichung verfolgt diese strenge Vorgabe noch einen weiteren Zweck, der als „systemischer Ansatz“ bezeichnet werden kann. Die Hauptkapitel 4 bis 10 (siehe unter Kapitel 3) bestimmen sieben Elemente, und nur wenn alle diese sieben Elemente von einer Organisation angesprochen werden, dann liegt ein Management-System nach ISO vor. Wichtig hervorzuheben ist, dass die HLS-Vorlage bestimmt, WAS erzielt werden muss, aber nicht festlegt, WIE diese Vorgaben realisiert werden sollen oder müssen. Nach dem Grundsatz der Angemessenheit ist die Art der Umsetzung einer Organisation freigestellt. Der Umfang der Umsetzung hängt von den Besonderheiten der Organisation ab – wie z.B. Größe, Aktivität, Risikobewertung etc.
Es gibt auch keine Vorschrift betreffend die Reihenfolge der Umsetzung der einzelnen Kapitel. Keine Bestimmung legt fest, dass die Anforderungen oder Empfehlungen eines Kapitels zuerst abgeschlossen sein müssen, bevor mit der Umsetzung des nächsten Kapitels begonnen werden kann. Aus dem systemischen oder ganzheitlichen Ansatz ergibt sich, dass bestimmte Elemente bei der Entwicklung, Umsetzung und Aufrechterhaltung laufend oder wiederkehrend berücksichtigt werden müssen (wie z.B. Leadership, Kompetenz, Kommunikation oder Dokumentation).
2.1.2 Integriertes Management-System
Ein integriertes Managementsystem (IMS) kombiniert Systeme, Prozesse und Standards einer Organisation in einem intelligenten System. Diese Zusammenführung ermöglicht es einer Organisation, die Geschäftsaktivitäten zu rationalisieren, Ressourcen zu sparen und die Effizienz zu steigern.
Ein IMS in Bezug auf mehrere ISO Standards umfasst Methoden und Instrumente zur Einhaltung von Anforderungen aus verschiedenen Bereichen (z. B. Qualität, Umwelt- und Arbeitsschutz, Sicherheit und Energie etc.). Eine einheitliche Struktur nützt Synergien und bündelt Ressourcen. Im Vergleich zu einzelnen, isolierten Management-Systemen ermöglicht diese ganzheitliche Betrachtung aller Elemente ein schlankeres und effizienteres Management-System.
In allen Standards muss der Kontext der Organisation im Zusammenhang mit den Anordnungen der relevanten Standards festgelegt werden. Es kann einzelne Politiken zu Qualität, Umwelt oder Compliance und Anti-Korruption geben. Es ist aber sehr wohl eine Geschäftspolitik vorstellbar, in der Qualität, Umweltbewusstsein, Informationssicherheit und regelkonformes Verhalten als Grundwerte der Organisation für die Abwicklung ihrer Geschäftsaktivitäten festgelegt sind. Es spart Ressourcen und kann zu einer zielgerichteten Berücksichtigung von Anforderungen von interessierten Parteien beitragen, wenn deren Erwartungen nicht getrennt nach einzelnen Themengebieten verifiziert, sondern in einer Gesamtanalyse erhoben und bewertet werden. Die Struktur und Gliederung von Kompetenzen, Verantwortungen und Aufgaben werden meist für alle Funktionen einheitlich bestimmt. Die individuelle Ausgestaltung der Aufgaben in Bezug auf die Themen unterschiedlicher Standards erfolgt dann auf Mitarbeiterebene durch personalisierte Stellenschreibungen. Verfahren und Kriterien zur Überwachung von Maßnahmen, zur Bewertung der Ergebnisse und deren Berichterstattung können vereinheitlichet werden. Programme und Verfahren zu internen Audits sind meist ohnehin abgestimmt. Reaktionen auf Nichteinhaltungen der Maßnahmen sowie Verbesserungen des Management-Systems auf Basis von Ursachenanalyse sind identisch für alle ISO MSS.
Der systemische HLS-Ansatz von ISO Management-System-Standards (MSS) wird in Tabelle 4 dargestellt. Die sieben Elemente eines MSS werden von allen Standards angesprochen.
Die HLS-Vorlage sieht vor, dass Anforderungen aus den zu standardisierenden Fachgebieten (z.B. Qualität, Umwelt, Compliance) durch Ergänzungen der HLS-Vorgabe abgebildet werden. Die Abbildung individueller Anforderungen ist hauptsächlich in den operativen Maßnahmen eines MS erforderlich. Wie in der nachfolgenden Tabelle 5 dargestellt, zeigt sich somit im Kapitel 8 (Betrieb) der größte und meist auch einzige markante Unterschied. Dies gilt nicht nur für die angeführten Beispiele, sondern grundsätzlich für die Umsetzung von ISO MSS.
Tabelle 4
Vergleich HLS-Struktur in verschiedenen ISO MSS – Übersicht[66]
| ISO 9001QualitätsMS | ISO 14001UmweltMS | ISO/IEC 27001InformationssicherheitsMS | ISO 37001Anti-KorruptionsMS | ISO 37301Compliance MS | Kommentare |
| 4. Kontext der Organisation | 4. Kontext der Organisation | 4. Kontext der Organisation | 4. Kontext der Organisation | 4. Kontext der Organisation | Gleiche Anforderungen nehmen Bezug auf Qualität, Umwelt, Informationssicherheit, Anti-Korruption oder Compliance. |
| 5. Führung | 5. Führung | 5. Führung | 5. Führung | 5. Führung | Gleiche Anforderungen; Politik ist auf das Thema des Standards abgestimmt. |
| 6. Führung | 6. Führung | 6. Führung | 6. Führung | 6. Führung | Alle Standard adressieren Risiken und Chancen. ISO 9001 & ISO 37301 erfordern geplante Vorgangsweise bei Änderungen. |
| 7. Unterstützung | 7. Unterstützung | 7. Unterstützung | 7. Unterstützung | 7. Unterstützung | Anforderungen weichen nur geringfügig voneinander ab. |
| 8. Betrieb | 8. Betrieb | 8. Betrieb | 8. Betrieb | 8. Betrieb | Alle Standards fordern die Errichtung von operativen Maßnahmen. Die speziellen Anforderungen in Bezug auf Qualität, Umwelt, Informationssicherheit, Anti-Korruption oder Compliance sind die wesentlichen Unterschiede zwischen den Standards. |
| 9. Leistungsbeurteilung | 9. Leistungsbeurteilung | 9. Leistungsbeurteilung | 9. Leistungsbeurteilung | 9. Leistungsbe-urteilung | Anforderungen sind gleich unter Berücksichtigung des Themas des Standards. ISO 9001 enthält zusätzliche Anforderungen zur Messung der Kundenzufriedenheit. ISO 37001 erfordert die Bewertung durch die Compliance-Funktion und das Aufsichtsgremium. |
| 10. Verbesserung | 10. Verbesserung | 10. Verbesserung | 10. Verbesserung | 10. Verbesserung | Gleiche Anforderungen in allen Standards. |
Tabelle 5
Vergleich HLS-Struktur in ISO MSS – Kapitel 8 „Betrieb“
| ISO 9001QualitätsMS | ISO 14001UmweltMS | ISO/IEC 27001InformationssicherheitsMS | ISO 37001Anti-KorruptionsMS | ISO 37301Compliance MS | |
| 8.1 | Betriebliche Planung und Steuerung | Betriebliche Planung und Steuerung | Betriebliche Planung und Steuerung | Betriebliche Planung und Steuerung | Betriebliche Planung und Steuerung |
| 8.2 | Anforderungen Produkte und Dienstleistungen | Notfallvorsorge und Gefahrenabweh | Bewertung Informations-sicherheitsrisikos | Due Diligence | Festlegung von Kontrollen und Verfahren |
| 8.3 | Entwicklung Produkte und Dienstleistungen | Behandlung des Informa-tionssicherheitsrisikos | Finnzielle Kontrollen | Äußern von Bedenken | |
| 8.4 | Steuerung extern bereitge-stellter Prozessen, Produkten, Dienstleistungen | Nicht-finanzielle Kontrollne | Untersuchungsprozess | ||
| 8.5 | Produktion und Dienstleistungserbringung | Kontrollierte und nicht-kontrollierte Geschäftspartner | |||
| 8.6 | Freigabe von Produkten und Dienstleistungen | Anti-Korruptions-verpflichtungen | |||
| 8.7 | Steuerung nichtkonformer Ergebnisse | Geschenke, Bewirtung, Spenden etc. | |||
| 8.8 | Unzureichende Kontrollen verwalten | ||||
| 8.9 | Äußern von Bedenken | ||||
| 8.10 | Untersuchung und Umgang mit Bestechung |
Die Integration von Compliance-Maßnahmen in Richtlinien, Verfahren und Prozessen zur Abwicklung der Geschäftsaktivitäten ist ein wichtiger Faktor für die Wirksamkeit eines CSM. Dieser Grundsatz gilt auch für andere ISO MSS. Die Einbindung der Fachabteilungen in die Errichtung und die Umsetzung von operativen Maßnahmen eines MSS ist unabdingbar. Die Einbindung sollte jedoch nicht auf die operativen Maßnahmen beschränkt sein. Insbesondere bei Risikoanalysen und der Errichtung von Maßnahmen zur Behandlung der Risiken, ist dieses Fachwissen erforderlich, um Situationen von potenziellen Nichteinhaltungen in Bezug auf die Themengebiete eines ISO MSS zu verifizieren und zu bewerten.
2.1.3 ISO 37001 Anti-bribery management systems
Die ISO 37301 ist auf alle Arten von Compliance-Verpflichtungen anwendbar. Die ISO 37001 enthält Anforderungen für ein Management-System in Bezug auf die spezielle Compliance-Verpflichtung Anti-Korruption. Eine integrierte Anwendung beider Standards ist daher evident. Auf die Kohärenz dieser beider Standards sowie auf deren Unterschiede wird in diesem Kapitel eingegangen.
2.1.3.1ISO 37001 als Best-Practice-Ansatz zur Korruptionsbekämpfung
Der US Foreign Corrupt Practices Act (FCPA)[67] von 1977 war das weltweit erste Anti-Korruptionsgesetz, das eine Unternehmenshaftung, eine Haftung für Dritte sowie eine exterritoriale Zuständigkeit für Korruptionsdelikte einführte. Der FCPA wird mit nahezu globaler Gerichtsbarkeit durchgesetzt und hat daher eine hohe Relevanz für alle Organisationen, deren Tätigkeit in Zusammenhang mit den USA gesehen werden kann. Das US-Justizministerium (DOJ; Department of Justice)[68] und die US-Börsenaufsichtsbehörde (SEC; Securities and Exchange Commission)[69] sind mit den Durchsetzungsmaßnahmen beauftragt. Die Angemessenheit und Effektivität des Compliance-Programms wird bei der Strafbemessung berücksichtigt.[70]
Das Prinzip der Unternehmenshaftung für korrupte Handlungen von Mitgliedern der Unternehmensleitung, Mitarbeitern, Agenten oder Tochtergesellschaften, die im Namen eines Unternehmens handeln, wurde in Großbritannien durch den UK Bribery Act 2010 eingeführt.
Tabelle 6
Richtlinie zum UK Bribery Act 2010 vs. ISO 37001[71]
| „Anleitung zum UK Bribery Act(Guidance to the UK Bribery Act)Sechs Prinzipien“ | „Elemente ISO 37001Artikel“ |
| 1. Verhältnismäßigkeit: Verfahren und Maßnahmen zur Verhinderung von Korruption sind an Größe und Risiken der Organisation angepasst. | 4.1 Kontext, 4.2 interessierte Parteien, 4.3 Umfang ABMS; 6. Planung; 8. Betrieb |
| 2. Engagement der Führungskräfte: die obersten Führungsorgane zeigen aktiv ihr Bekenntnis gegen Korruption („tone from the top“) und überwachen die Umsetzung entsprechender Maßnahmen. | 5.1 Führung, 5.2 Compliance-Politik, 5.3.3 Rollen und Verantwortung von Top-Management und Aufsichtsgremium |
| 3. Risikoanalyse: Korruptionsrisiken, denen die Organisation in Märkten und bei der Art ihrer Geschäftstätigkeit ausgesetzt sind, wurden identifiziert und bewertet. | 4.5 Compliance-Risiken |
| 4. Due Diligence: Geschäftspartner werden im Hinblick auf Korruptionsrisiken überprüft. | 8.2 Ausgelagerte Prozesse |
| 5. Kommunikation: Maßnahmen sind an Mitarbeiter und Geschäftspartner in angemessener Form kommuniziert. | 5.3.4 Compliance-Funktion7.3.2.3 Compliance-Kultur, 7.4 Kommunikation |
| 6. Aufsicht und Überprüfung: Mechanismen stellen sicher, dass Maßnahmen an geänderte Korruptionsrisiken angepasst werden. | 9.1 Überprüfung, 9.2 Interne Audits, 9.3 Bewertung obertse Leitung und Aufsichtsgremiun |
Dem UK Bribery Act kommt eine ähnlich globale Gerichtsbarkeit wie dem FCPA zu. Im Gegensatz zum FCPA bietet der UK Bribery Act Organisationen die Möglichkeit, sich gegen eine Strafverfolgung zu schützen, wenn sie nachweisen können, angemessene Maßnahmen in ihrer Organisation zur Verhinderung von Korruption gesetzt zu haben. Sechs Prinzipen eines wirksamen CMS, die die Umsetzung von angemessenen Maßnahmen unterstützen, sind im Leitfaden des britischen Justizministeriums zum UK Bribery Act festgelegt. Die Gegenüberstellung in Tabelle 6 zeigt, dass alle Prinzipien des Leitfadens durch Anforderungen der ISO 37001 abgedeckt werden.
Zahlreiche anerkannte internationale Institutionen haben Grundsätze für Anti-Korruptions-Compliance-Programme bzw. für einzelne Elemente publiziert. Eine gute Zusammenfassung findet sich in dem von der UNODC gemeinsam mit der OECD und der Weltbank Gruppe 2013 herausgegeben „Anti-Korruption und Compliance-Handbuch“. Die in diesem Zusammenhang wahrscheinlich ältesten Regeln zur Bekämpfung von Korruption sind jene der Internationalen Handelskammer (ICC) aus dem Jahr 1977 (derzeit in der 5. Auflage 2011 veröffentlicht). Da die ICC eine der angesehensten internationalen Schiedsgerichte unterhält, kommt diesen Regeln für im internationalen Handel tätige Unternehmen Bedeutung zu. In Teil III, Artikel 10 der ICC Rules on Combating Corruption (Richtlinien zur Bekämpfung von Korruption) werden eine Reihe von Elementen eines Corporate-Compliance-Programms angeführt. Tabelle 7 zeigt, dass allen Anforderungen der Richtlinien Elemente der ISO 37001 zugeordnet werden können.
Tabelle 7
ICC Anti-Korruptionsrichtlinien vs. ISO 37001[72]
| ICC-Regeln zur Korruptionsbekämpfung | Elemente ISO 37001 | |
| Teil III – Elemente eines effizienten Corporate Compliance-Programms | Kapitel | |
| a) b) | Starke, klare und kommunizierte Unterstützung und Engagement von oberster Leitung und Aufsichtsgremium | 5.1 Führung und Verpflichtung |
| c) | Risikobewertungen | 4.5 Bewertung von Korruptionsrisiko |
| e) | Unabhängige Compliance-Funktion verfügt über ausreichende Befugnisse & Ressourcen für Überwachung und Koordinierung | 5.3.1 Compliance-Funktion für die Korruptionsbekämpfung |
| d) f) h) i) | Maßnahmen erfordern konformes Verhalten und sanktionieren Fehlverhalten | 5.2 Politik zur Korruptionsbekämpfung |
| g) l) | Compliance Due Diligence bei der Auswahl von Direktoren, leitenden Angestellten, Mitarbeitern und Geschäftspartnern | 7.2.2 Personal; 8.2 Due Diligence |
| j) | Regelmäßige interne und externe Kommunikation zur Korruptionsbekämpfung | 7.4 Kommunikation |
| k) | Schulung für alle Mitglieder der Organisation (einschließlich Management und Geschäftspartner) | 7.3 Bewusstsein und Schulung |
| m) | Möglichkeit zur Meldung von Compliance-Verstößen | 8.9 Äußern von Bedenken |
| n) | Geeignete Korrekturmaßnahmen bei Verstößen | 10.2 Kontinuierliche Verbesserung |
Nach diesen Vorreitern haben sich in einigen Ländern Regelungen etabliert, die Anforderungen an Anti-Korruptionsmaßnahmen festlegen. Die Beurteilung der Effektivität dieser Maßnahmen kann die Strafbemessung beeinflussen oder eine Organisation vor einer Strafverfolgung schützen. In Tabelle 8 sind die Elemente der ISO 37001 den Anforderungen an eine wirksame Anti-Korruption-Compliance-Organisation aus drei Ländern gegenübergestellt.
Tabelle 8
Anforderungen an ein effektives Managementsystem zur Korruptionsbekämpfung vs. ISO 37001[73]
| ISO 37001 | Frankreich | Brasilien | UK |
| Kapitel 4Kontext der Organisation | 3. Risikobewertung | 3. Risikobewertung | 3. Risikobewertung |
| Kapitel 5Führung | 1.Verhaltenskodex und interne Regelungen | 1. Engagement des Top Managements | 1.Verhaltenskodex und interne Regelungen |
| 7. Sanktionen | 2. Compliance-Funktion | 7. Sanktionen | |
| Kapitel 6Planung | |||
| Kapitel 7Unterstützung | 6. Schulungen | 4. Kommunikation | 6. Schulungen |
| 7. Sanktionen | 4. Schulungen | 7. Sanktionen | |
| Kapitel 8Betrieb | 1. Verhaltenskodex und interne Regelungen | 4. Maßnahmen und Richtlinien | 1. Verhaltenskodex und interne Regelungen |
| 2. Äußern von Bedenken | 4. Äußern von Bedenken | 2. Äußern von Bedenken | |
| 5. Drittparteien Due Diligence | 5. Drittparteien Due Diligence | ||
| 6. Finanzielle Kontrollen | 6. Finanzielle Kontrollen | ||
| Kapitel 9Leistungsbeurteilung | 8. Programm Bewertung | 6. Kontrolle der Umsetzung | 8. Programm Bewertung |
| Kapitel 10Kontinuierliche Verbesserung | 7. Kontrolle der Wirksamkeit |
Der Brasilianische Clean Company Act (Gesetz Nr. 12.846, 2015) macht Unternehmen für korrupte Handlungen von Mitarbeitern verantwortlich und führt eine verschuldensunabhängige Haftung ein (Unternehmen können ohne Feststellung eines Verschuldens haftbar gemacht werden). In Frankreich hat das Gesetz über Transparenz, Korruptionsbekämpfung und Modernisierung des Wirtschaftslebens (Sapin II, 2016) zu einer markanten Änderung in der Strafverfolgung von Korruptionsdelikten geführt. Gefordert wird ein aktives Management des Korruptionsrisikos für Unternehmen mit mindestens 500 Mitarbeitern und einem konsolidierten Umsatz von über 100 Mio. EUR. Die Beispiele bestätigen den Anspruch der Positionierung von ISO Standards als unparteiische Best-Practice-Instrumente.
2.1.3.2Die Kohärenz von ISO 37301 und ISO 37001
Beide Standards basieren auf der gleichen, für ISO MSS verpflichtenden, High-Level-Struktur (HLS-Struktur). Die einheitlichen Hauptkapitel (4 bis 10) bestimmen die sieben Elemente eines Management-Systems nach ISO und beinhalten einheitliche Texte, Begriffen und Definitionen. Die Anforderungen, die sich aus den zu standardisierenden Fachgebieten ergeben (z.B. Compliance, Anti-Korruption) werden durch Ergänzungen der HLS-Vorgabe abgebildet. Die Anwendung dieser HLS-Struktur leichtert die Integration der ISO 37301 mit der ISO 37001.
Die ISO 37301 ist auf alle Compliance-Verpflichtungen anwendbar. Die ISO 37001 bezieht sich dagegen auf eine spezielle Compliance Anforderung. Die wesentlichen Unterschiede zwischen den beiden Standards sind daher im operativen Betrieb des Management-Systems zu finden, wie es nachfolgend in Tabelle 9 dargestellt ist. In Kapitel 8 (Betrieb) beinhaltet die ISO 37001 neun operative Anforderungen, deren Implementierung für ein wirksames Management-System erforderlich sind, um Korruption bzw. Bestechung zu verhindern, zu erkennen und im Anlassfall darauf zu reagieren.
Tabelle 9
Vergleich ISO 37301 vs. ISO 37001 auf Basis der HLS-Struktur von ISO MSS
| HLS Struktur | ISO 37301 Compliance MS | ISO 37001 Antikorruptions MS |
| 4 Kontext der Organisation | Alle Compliance-VerpflichtungenCompliance-Risiko-Bewertung | Anti-KorruptionsverpflichtungKorruptionsrisiko-Bewertung |
| 5 Führung | Compliance-Kultur explizitCompliance-Governance explizit | Compliance-Kultur implizit Compliance-Governance implizit |
| 6 Planung | Planung von Änderungen | xxx |
| 7 Unterstützung | xxx | xxx |
| 8 Betrieb | Allgemein bzgl. relevanten Compliance-Verpflichtungen, inkl. DrittparteienMelden von BedenkenUntersuchungen | Neun operative Anforderungen zu ABAC, inkl. Drittparteien Melden von Bedenken und Untersuchungen |
| 9 Leistungsbeurteilung | xxx | Überprüfung Compliance-FunktionÜberprüfung Aufsichtsgremium |
| 10 Verbesserung | xxx | xxx |
Die in ISO 37301 und ISO 37001 enthaltenen Anforderungen sind auf jede Art von Organisation anwendbar. In beiden Standards ist eine Organisation als eine Person oder Gruppe von Personen definiert, die ihre eigenen Funktionen mit Verantwortlichkeiten, Befugnissen und Beziehungen hat, um ihre Ziele zu erreichen. Umfasst sind Einzelunternehmer ebenso wie Unternehmen, Konzerne, (öffentliche) Behörden und andere Institutionen sowie Wohltätigkeitsorganisationen. Umfasst sind verschiedene Organisationstypen jeglicher Art von Produktions- und Dienstleistungsbetrieben, aber auch Einrichtungen des Bildungswesens (Schulen, Universitäten), Anwaltskanzleien, (öffentliche) Krankenhäuser oder Einrichtungen der Bundes-, Landes- oder Kommunalverwaltungen. Ein ABMS nach ISO 37001 kann auch auf Teile oder Kombinationen einer dieser Strukturen angewandt werden.
Basis für den angemessenen Umfang des ABMS ist die Bestimmung des Kontexts der Organisation, welcher die Ermittlung und Berücksichtigung der Bedürfnisse und Erwartungen von interessierten Parteien (Stakeholder) und die Bewertung des Korruptionsrisikos umfasst.
Grundsätzlich ist es einer Organisation freigestellt, die Methode für die Bewertung des Korruptionsrisikos festzulegen. Diese Methode sollte die Festlegung von Kriterien umfassen, um Korruptionsrisiken zu gewichten und zu priorisieren. Es sollte weiters der Risikoappetit festgelegt werden, d.h. wann und inwieweit ein Korruptionsrisiko akzeptiert oder toleriert wird. Die Akzeptanz oder das Tolerieren von einem Korruptionsrisiko bezieht sich ausschließlich auf das Ausmaß der aufzuwendenden oder einzusetzenden Ressourcen zur Verhinderung bzw. Aufdeckung von Korruption in Situationen, in denen das Risiko von Korruption als niedrig bewertet wurden. Sollte es in diesen Situationen zu einem Korruptionsfall kommen, so ist auf diesen in adäquater Weise mit Untersuchungen, Konsequenzen etc. zu reagieren. Risikoakzeptanz bezieht sich niemals auf das Tolerieren eines Fehlverhaltens.
Für die Bewertung des Korruptionsrisikos empfiehlt es sich, die Auswirkung und die Wahrscheinlichkeit des Eintretens eines Korruptionsfalles als Kriterien festzulegen. Bei der Festlegung der Parameter für diese beiden Kriterien sind die Ziele der Organisation zu berücksichtigen. Die Bewertung und anschließende Priorisierung erfolgen durch die Kombination der beiden Kriterien. Bei der Risiko-Identifizierung werden Risiken (des Eintritts und des Ausmaßes von Korruption) erkannt und beschrieben, die eine Organisation daran hindern könnten, ihre Ziele zu erreichen. Diese Risiken können in Kategorien eingeteilt werden, wie z.B. Länderrisiko, sektorales Risiko, Risiko im Zusammenhang mit Geschäftspartnern oder Risiko des öffentlichen Sektors (z.B. Frequenz und Art der Kontakte mit Beamten).
Die Risikobewertung ist zu dokumentieren und sollte regelmäßig auf Aktualität überprüft werden. Wenn sich die Struktur oder die Aktivitäten einer Organisation erheblich ändern, ist eine Neuerwerbung des Korruptionsrisikos durchzuführen.
Auf Basis der Ergebnisse der Bewertung des Korruptionsrisikos sind angemessene und verhältnismäßige Maßnahmen zu entwickeln und zu implementieren. Dazu gehören u.a. eine Anti-Korruptionspolitik, die Ernennung einer Compliance-Funktion, Schulungen sowie das aktive Engagement und die sichtbare Unterstützung der obersten Leitung und des Aufsichtsgremiums zu Anti-Korruptionsmaßnahmen in Verbindung mit der Ausübung der Geschäftstätigkeiten.
Die operative Planung konzentriert sich auf die Implementierung, Überprüfung und Steuerung der zur Bewältigung der bewerteten Risiken festgelegten Maßnahmen. Da sich die ISO 37301 auf alle Compliance-Verpflichtungen beziehen kann, die für eine Organisation relevant sind bzw. denen sich eine Organisation freiwillig unterwirft, ist es unmöglich, spezifische operative Maßnahmen zu diesen fast unendlichen Möglichkeiten festzulegen. Die Anforderungen der ISO 37301 an operative Richtlinien und Prozesse sind daher allgemein gehalten. Gefordert ist die Festlegung von Kriterien für Maßnahmen, die Implementierung von Parametern zur Kontrolle der Einhaltung dieser Maßnahmen und die Aufbewahrung geeigneter dokumentierter Informationen.
Tabelle 10
Vergleich ISO 37301 vs. ISO 37001 – Kapitel 8 „Betrieb“
| ISO 37301 | ISO 37001 | |
| 8.1 | Betriebliche Planung und Steuerung | Betriebliche Planung und Steuerung |
| 8.2 | Errichten von Steuerungen und Prozessen | Due diligence |
| 8.3 | Bedenken äußern | Finanzielle Kontrollen |
| 8.4 | Untersuchungsprozess | Nichtfinanzielle Antibestechungskontrollen |
| 8.5 | xxx | Implementierung von Anti-Bestechungskontrollen durch kontrollierte Organisationen und Geschäftspartner |
| 8.6 | xxx | Verpflichtungen zur Bekämpfung von Bestechung |
| 8.7 | xxx | Geschenke, Gastfreundschaft, Spenden und ähnliche Leistungen |
| 8.8 | xxx | Bewältigung der Unzulänglichkeit von Kontrollen zur Bekämpfung von Bestechung |
| 8.9 | xxx | Bedenken äußern |
| 8.10 | xxx | Untersuchung und Umgang mit Bestechung |
Die ISO 37001 bezieht sich nur auf eine bestimmte Compliance-Verpflichtung. Es sind daher – wie in Tabelle 10 dargestellt – neun operative Anforderungen festgelegt, die für ein wirksames Anti-Korruptionsmanagementsystem zur Verhinderung, Aufdeckung von und Reaktion auf Korruption erforderlich sind.
+Due Diligence
Bei einem Due-Diligence-Verfahren werden Informationen für eine vertiefende Prüfung aus mehreren Quellen gesammelt, validiert und bewertet. Ressourcen für das Verfahren werden auf die Bereiche mit erhöhtem Risiko konzentriert.
Due-Diligence-Verfahren sind durchzuführen für (i) Transaktionen, Projekte oder sonstige Aktivitäten, für (ii) geplante oder laufende Beziehungen zu bestimmten Kategorien von Geschäftspartnern und für (iii) Mitarbeiter in bestimmten Positionen, die mit einem erhöhten Korruptionsrisiko verbunden sind. Bei der Sammlung und Bewertung der Informationen ist mit eingehender Sorgfalt vorzugehen, um eine transparente und fundierte Grundlage für die Bewertung des Korruptionsrisikos zu erhalten. Es sind Verfahren einzurichten, um die risikobezogenen Ergebnisse eines Due-Diligence-Verfahrens in Geschäftsentscheidungen zu berücksichtigen.
+Finanzielle Kontrollen
Die wahrheitsgemäße Charakterisierung von Zahlungen sowie die genaue und vollständige Aufzeichnung von Zahlungsströmen ist sicherzustellen. Eine Reihe von finanziellen Kontrollen können dazu beitragen, das Korruptionsrisiko zu verringern, wie z.B.:
+Genehmigung von Zahlungen durch eine andere Person als jene, die die Zahlung (Bestellung) initiiert hat
+Überprüfung der ordnungsgemäßen Genehmigung von zu zahlenden Dienstleistungen oder Produkten,
+Überprüfung, ob Transaktionen einen echten Geschäftszweck haben,
+Befugnisse, gestaffelt nach Höhe und Ausprägung des Korruptionsrisikos,
+angemessene Dokumentation von Transaktionen, inkl. Belege und Leistungsnachweise,
+Beschränkung der Verwendung von Bargeld auf kleine Beträge und
+Festlegung von Regeln für Eilaufträge, Sonderkonditionen oder Ausnahmen.
+Nichtfinanzielle Kontrollen
Zur Bewältigung des Korruptionsrisikos sind in bestimmten Bereichen (wie z.B. Beschaffung, Betrieb, Vertrieb, Handel, Personalwesen, rechtliche und regulatorische Aktivitäten) nichtfinanzielle Kontrollen einzurichten. Diese umfassen z.B.:
+Standardverträge, inkl. Anti-Korruptionsklauseln, Ermächtigung von Überprüfungen eines Geschäftspartners,
+Verhaltenskodizes und Schulungen von Geschäftspartnern,
+Regelungen zur Einschränkung des IT-Zugriffs (z.B. Passwörter),
+Überwachung oder Überprüfung der laufenden operativen Aktivitäten und
+Erfordernis der Verwendung von Videoüberwachung, Schlössern und anderen Hindernissen zum Schutz von Vermögenswerten.
+Implementierung von Anti-Korruptionskontrollen durch kontrollierte Organisationen und Geschäftspartner
Eine kontrollierte Organisation im Sinne der ISO 37001 liegt dann vor, wenn eine Organisation direkt oder indirekt (z.B. durch die Bestellung des Managements oder auf vertraglicher Basis) die Verwaltung dieser anderen Organisation bestimmen kann. Kontrollierte Organisationen (Tochtergesellschaft, JV) können in den Geltungsbereich der ABMS der Muttergesellschaft aufgenommen werden. Ist dies nicht der Fall, hat die kontrollierende Organisation dafür Sorge zu tragen, dass die kontrollierte Organisation angemessene und verhältnismäßige Anti-Korruptionsmaßnahmen entwickelt und umsetzt.
Bei Geschäftspartner (= nichtkontrollierte Organisationen) muss festgestellt werden, ob der Geschäftspartner angemessene Maßnahmen zur Steuerung des Korruptionsrisikos implementiert hat. Ist dies nicht der Fall oder können die Maßnahmen nicht festgestellt werden, muss die Organisation eine vertragliche Verpflichtung des Geschäftspartners zur Implementierung von Anti-Korruptionsmaßnahmen in Betracht ziehen. Ist eine solche Verpflichtung nicht praktikabel, muss dieser Umstand in der Bewertung des Korruptionsrisikos dieses Geschäftspartners berücksichtigt werden.
+Verpflichtungen zur Bekämpfung von Korruption
Eine Organisation muss Verfahren implementieren, um Geschäftspartner zu Maßnahmen zur Bekämpfung von Korruption zu verpflichten. Diese Verpflichtung kann sich z.B. auf Folgendes erstrecken:
+Erstellung und Umsetzung einer Anti-Korruptionspolitik,
+Implementierung von Richtlinien und Verfahren, um Korruption zu verhindern, aufzudecken und gegebenenfalls darauf zu reagieren,
+Einrichtung eines Hinweisgebersystems für Mitarbeiter und externe Stakeholder,
+Schulung bestimmter Mitarbeiter in Bezug auf Korruptionsprävention und
+Zulassung von Audits vor Ort (inkl. Überprüfung von Büchern und Aufzeichnungen).
Ist eine solche Verpflichtung nicht praktikabel, muss dieser Umstand in der Bewertung des Korruptionsrisikos dieser Geschäftspartner berücksichtigt werden.
+Geschenke, Bewirtung, Spenden und ähnliche Leistungen
Eine Organisation muss Regelungen erstellen für Geschenke, Bewirtung, Spenden und ähnliche Leistungen, wenn das Anbieten, Bereitstellen oder Annehmen als Bestechung angesehen wird bzw. vernünftigerweise als solche angesehen werden könnte.
In vielen Ländern wird der Brauch von Geschenken und Gefälligkeiten verwendet, um Beziehungen und Netzwerke aufzubauen und zu stärken. Unter diesem Deckmantel können jedoch Zuwendungen – in welcher Form auch immer – absichtlich und gezielt als Bestechung eingesetzt werden. Das Dilemma für eine Organisation besteht darin, dass die Untersagung selbst geringfügiger Geschenke und Aufmerksamkeiten als unhöflich oder als kulturell unwissend angesehen werden kann. Es ist jedoch zu beobachten, dass auch in Ländern mit einer ehemals auf Geschenke und Aufmerksamkeiten orientierten Geschäftskultur ein Umdenken stattfindet.
Entsprechend der Art des Geschäftstätigkeiten und der Märkte (z.B. ob national oder international) sollten Richtlinien nachstehende Themen als Minimalerfordernisse abdecken:
+Art und Umfang der Zuwendung: Bargeld und geldwerte Zuwendungen sollten gänzlich untersagt sein. Anstelle von fixen Betragslimits können Wertetabellen eine Anpassung an lokale Gepflogenheiten ermöglichen. Bevorzugt werden sollten günstige (aber nicht billig wirkende) Werbegeschenke, versehen mit dem Logo der Organisation. Erlaubte Zuwendungen sollten selten (und nicht wiederkehrend) sein, geeignet für den Anlass, angepasst an örtliche Gesetze und Vorschriften, von den Verhaltensstandards des Empfängers zugelassen und mit einem legitimen Geschäftszweck verbunden sein. Zuwendungen an Partner, Familienmitglieder, Freunde oder andere enge Bezugspersonen sollten nicht gestattet sein.
+Autorisierung: Zuwendungen aller Art an Beamte und Vertreter der öffentlichen Hand sollten grundsätzlich untersagt sein. Ausnahmen bedürfen einer vorherigen Genehmigung einer unabhängigen Stelle (z.B. Rechtsabteilung, Compliance).
+Empfang von Zuwendungen: Grundsätzlich sollten die gleichen strikten Regelungen gelten wie für die Leistung von Zuwendungen an Dritte. Der Empfang von Zuwendung über einen bestimmten geringen Wert hinaus sollte genehmigungspflichtig sein. Der Empfang von Zuwendungen ist zu dokumentieren.
+Interessenkonflikt: Um die Beeinträchtigung eines objektiven geschäftlichen Urteilsvermögens zu verhindern, sollte das Geben und Empfangen von Zuwendungen aller Art in bestimmten Situationen gänzlich untersagt sein, wie z.B. laufende Ausschreibungs- oder Angebotsverfahren im Zuge von Kunden- bzw. Lieferantenbewertungen.
+Umgang mit Unzulänglichkeiten bei der Bekämpfung von Bestechung
Nach ISO 37001 muss eine Organisation die von Geschäftspartnern ausgehenden Korruptionsrisiken bewerten (Due-Diligence-Verfahren) und mit angemessenen Maßnahmen steuern. Zu diesen Maßnahmen zählen u.a. in der Intensität auf das Korruptionsrisiko abgestimmte laufende Überprüfungen, die Verpflichtung des Geschäftspartners zu Anti-Korruptionsmaßnahmen und Schulungen. Kann mit bestehenden Maßnahmen das Korruptionsrisiko im Zusammenhang mit einem Geschäftspartner nicht beherrscht werden und sind weiter Maßnahmen nicht möglich oder nicht praktikabel, so ist die Geschäftsbeziehung zu diesem Geschäftspartner so bald als möglich zu beendigen oder, im Falle einer neuen Geschäftsbeziehung, nicht einzugehen.
+Bedenken äußern
Bedenken zu äußern bedeutet, versuchte, vermutete und tatsächliche Korruption oder Verstöße gegen das ABMS zu melden. Die Bedenken müssen in gutem Glauben geäußert werden. Berichtskanäle können verschiedene Formen haben (wie z.B. Hotlines, web-basierte Systeme, dedizierte E-Mail- und Postanschrift oder ein externer Ombudsmann). Diese Berichtsmöglichkeiten müssen nicht ausschließlich für vermutete oder tatsächliche Korruptionsfälle reserviert sein. In allen Fällen müssen die Kanäle zur Meldung von Bedenken gewährleisten, dass der Bericht vertraulich behandelt wird und anonyme Meldungen möglich sind. Der Zweck der Vertraulichkeit besteht darin, den Berichterstatter vor möglichen Vergeltungsmaßnahmen zu schützen. Im Falle einer anonymen Meldung kann ein Termin für einen weiteren Kontakt vereinbart werden, um Rückmeldung über die Bearbeitung der Meldung zu geben und um auftretende Fragen abklären zu können.
Die Mitarbeiter müssen über die Meldemöglichkeiten informiert und geschult sein und zur Verwendung des Berichtssystems ermutigt werden. Sie sind auf den Schutz vor Vergeltungsmaßnahmen bei gutgläubigen Meldungen ausdrücklich hinzuweisen.
+Untersuchung und Umgang mit Bestechung
Die Organisation muss Verfahren vorsehen, um gemeldete, aufgedeckte oder vermutete Fälle von Korruption oder von Verstößen gegen das ABMS zu bewerten und gegebenenfalls zu untersuchen. Untersuchungen sollten von kompetenten und unabhängigen Personen auf vertraulicher Basis durchgeführt werden. Diese Personen sollten auch für die Planung und Durchführung der Untersuchung verantwortlich sein. Für die Berichterstattung über die Ergebnisse einer Untersuchung sind Kommunikationsrichtlinien festzulegen. Die Durchführung einer Untersuchung wie deren Ergebnisse sind strukturiert, nachvollziehbar und in einem ausreichenden Maß zu dokumentieren.
Die Möglichkeit, Bedenken zu äußern und ein strukturiertes Vorgehen bei der Untersuchung von möglichem Fehlverhalten sind Anforderungen an jedes Compliance-Management-System. Diese beiden Anforderungen sind daher sowohl in der ISO 37001 als auch in der ISO 37301 in Kapitel 8 zu betrieblichen Maßnahmen enthalten.
2.2 Das Prinzip der fortlaufenden Verbesserung –
PDCA-Zyklus
2.2.1 Prinzip der fortlaufenden Verbesserung von ISO Management-
System-Standards (MSS)
In der Einleitung zur ISO 37301 werden die einzelnen Elemente des CMS nach ISO 37301 in einem Diagramm[74] dargestellt, das dem Prinzip „Plan-Do-Check-Act“ (PDCA; Planen-Ausführen-Überprüfen-Verbessern) folgt, das auch unter der Bezeichnung „Deming-Zyklus der Ständigen Verbesserung“ geläufig ist.[75] William Edwards Deming (1900-1993) ist bekannt als Pionier des Qualitätsmanagements durch die Einführung der von ihm entwickelten Methode zur statistischen Prozesskontrolle. Seine Methode wurde zunächst höchst erfolgreich in Japan bei verschiedenen Herstellungsprozessen angewandt und wird seit den 1980er-Jahren auch in Europa eingesetzt.[76] Deming war der Auffassung, dass alle Tätigkeiten als Prozesse dargestellt werden können und dass zur Erreichung oder Steigerung von Qualität eine ständige Verbesserung erforderlich ist. Zur Qualitätsverbesserung ist es des Weiteren erforderlich, auftretende Probleme nicht nur zu lösen, sondern erforderliche Veränderungen einzuleiten, um wiederholtem Auftreten solcher Probleme entgegenzuwirken. Letztlich ist ein aktives Handeln der Unternehmensführung erforderlich und nicht nur eine Verantwortungsübernahme für in der Vergangenheit stattgefundene Handlungen.[77] Das PDCA-Prinzip stellt eine Zusammenfassung von Demings „14 Punkte des Managements“ dar, durch die die oberste Leitung mit Hilfe aktiven Handelns Sichtbarkeit nach innen und nach außen erlangt und Führungsstärke zeigt.[78]
Der in Abbildung 2 dargestellte PDCA-Zyklus umfasst vier Phasen, denen die Kernelemente der ISO 37301 zugeordnet sind.
Abbildung 2
ISO 37301 im Deming-Zyklus der ständigen Verbesserung[79]
Der PDCA-Zyklus ist als Aufforderung zu verstehen, methodisch an eine Problemerkennung und an die Entwicklung und Implementierung von Lösungen heranzugehen. Deming betont ausdrücklich, dass eine entsprechend methodische Herangehensweise für alle Arten von Organisationen (Produktion wie Dienstleistung), unabhängig von der Größe und Rechtsform, anwendbar ist und diese generell zur Verbesserung der Qualität von Produkten wie von Dienstleistungen erforderlich ist.[80]
Schritt 1 – PLAN: Identifizierung und Analyse des Problems
+Bestimmen des Problems durch genaue Analyse des Ursache-Wirkungszusammenhanges
+Definieren des Zielzustandes, der nach der Problemlösung zu erreichen ist
+Entwickeln eines Planes zur Beseitigung der Ursachen des Problems und Erreichen eines neuen, vorab definierten Ziels
+Festlegen von Maßnahmen, die zur Erreichung des Zielzustandes erforderlich sind (Wer-Was-Wo-Wann)
+Fixieren von Messkriterien für die festgelegten Maßnahmen
Schritt 2 – DO: Entwicklung und Erprobung möglicher Lösungen
+Umsetzen des Plans durch Implementieren der Maßnahmen
+Anlegen einer Dokumentation
+Sammeln von Daten für die nachfolgende Analyse („CHECK“ und „ACT“ Schritte)
Schritt 3 – CHECK: Messen der Wirksamkeit der Maßnahmen, Analysieren von Verbesserungspotenzial
+Überprüfen der tatsächlichen Ergebnisse (gemessen im „DO“ Schritt)
+Vergleichen mit dem geplanten Zielzustand
+Analysieren der Abweichungen und deren Gründe
+Dokumentieren von Abweichungen (als Vorbereitung für 4.Schritt „ACT“)
+Zusammenfassen von Erfahrungen und Gelerntem
Schritt 4 – ACT: Umsetzung der verbesserten Lösung
+Entwickeln von Korrekturmaßnahmen zur Behebung der Abweichung vom gewünschten Ergebnis
+Analysieren der Ergebnisse der geänderten Vorgangsweise
+Wiederholen des ganzen Zyklus, beginnend mit Schritt A, wenn Korrekturmaßnahmen nicht erfolgreich sind.
Die einzelnen Komponenten sind sicherlich nicht neu und finden regelmäßig Anwendung in vielen Bereichen des Managements von Organisationen. Die Besonderheit des PDCA-Zyklus liegt im konzentrierten Ablauf und der inhärenten laufenden Verbesserung. Die Verwendung eines PDCA-Zyklus erfordert einen höheren Zeitaufwand als eine Sofortlösung von Problemen. In echten Notlagen – wie z.B. bei notwendigen Korrekturen nach einem Compliance-Verstoß – ist eine Anwendung dieser Methode zur unmittelbaren Problemlösung weniger geeignet. Methodisches Vorgehen bei der Umsetzung der ISO 37301 erhöht hingegen sicherlich die Nachhaltigkeit des CMS.
2.2.2 ISO 37301 im PDCA-Zyklus
Nachfolgend werden die Kernelemente des CMS nach ISO 37301 anhand des PDCA-Zyklus zusammengefasst. Diese Zusammenfassung stellt kein zusätzliches Management-System dar, sondern soll als Hilfestellung für das Verständnis der ISO 37301 dienen und bei der Umsetzung in einer Organisation unterstützen.
2.2.2.1PLAN – Die Vorbereitung
Alle Nummerierungen beziehen sich auf Kapitel der ISO 37301.
+Kapitel 4 – Die Organisation und ihr Kontext
Kapitel 4 setzt sich aus sechs Unterkapiteln zusammen, die ineinandergreifen bzw. einander bedingen, insbesondere in kleineren Organisationen oder in Organisationen mit wenig komplexen Aktivitäten.
4.1 Verstehen der Organisation und ihres Kontextes
Es müssen alle jene Faktoren des äußeren und internen Umfeldes bestimmt werden, die einen Einfluss auf das Erreichen des Zwecks bzw. der Ziele der Organisation haben und die darüber hinaus die Fähigkeit der Organisation beeinflussen, die festgesetzten Ziele des CMS zu erreichen.
4.2 Erfordernisse und Erwartungen interessierter Parteien
Es ist ein übergeordnetes Verständnis für die Bedürfnisse und Erwartungen relevanter interessierter Parteien an das CMS zu bestimmen. Nicht alle Anforderungen von relevanten interessierten Parteien müssen Anforderungen an die jeweilige Organisation bzw. deren CMS sein.
4.3 Bestimmung des Anwendungsbereiches des Compliance-Management-Systems
Die Organisation hat die Freiheit und Flexibilität, die geographischen und/oder organisatorischen Grenzen ihres CMS zu definieren. Ein CMS kann für die gesamte Organisation, eine bestimmte Einheit, eine bestimmte Funktion oder einen Bereich innerhalb einer Organisation implementiert werden.
4.4 Compliance-Management-System
Folgende Prozessschritte sind für das Vorliegen eines CMS nach ISO 37301 erforderlich: errichten (establish), umsetzen (implement), aufrechterhalten (maintain) und fortlaufend verbessern (continually improve). Eine Einschränkung des CMS nach ISO 37301 auf nur einzelne dieser Elemente ist nicht möglich. In einem solchen Fall liegt kein CMS nach ISO 37301 vor, sondern eventuell ein (internes) Kontrollsystem oder ein System zur Bewältigung bestimmter Risiken.
4.5 Compliance-Verpflichtungen
Compliance-Verpflichtungen sind alle jene Regeln, deren Einhaltung zwingend vorgeschrieben ist bzw. zu deren Einhaltung sich die Organisation freiwillig verpflichtet hat. Es ist ein Verfahren einzurichten, durch das die Compliance-Verpflichtungen systematisch identifiziert, ausreichend dokumentiert und deren Auswirkungen auf Aktivitäten, Produkte und Dienstleistungen der Organisation festgestellt werden. Neue Compliance-Verpflichtungen oder deren Änderungen werden zeitnah erkannt, Auswirkungen bewertet und notwendige Änderungen zu ihrer Einhaltung entwickelt und umgesetzt.
4.6 Compliance-Risikobewertung
Compliance-Verpflichtungen werden mit Produkten, Dienstleistungen, Tätigkeiten und relevanten Aspekten in Verbindung gebracht, um Situationen zu identifizieren, in deren Zusammenhang es zu einer Nichteinhaltung von Compliance-Verpflichtungen kommen kann. Die möglichen Nichteinhaltungen sind nach Schwere ihrer Folgen sowie der Wahrscheinlichkeit ihres Eintretens zu bewerten. Die Ergebnisse dieser Risikobewertung werden priorisiert und Maßnahmen zur Bewältigung der Compliance-Risiken bestimmt.
+Kapitel 5 – Leadership
Die Mitglieder des Aufsichtsgremiums und der obersten Leitung zeigen persönliches Engagement. Das Aufsichtsgremium und die oberste Leitung bringen in einer Compliance-Politik das Bekenntnis der Organisation zum nachhaltig regelkonformen Verhalten bei der Abwicklung aller Aktivitäten klar zum Ausdruck. Beide Organe nehmen ihre Verantwortung für das CMS wahr durch Festlegung der Rahmenbedingungen für das CMS, durch Zuteilung von Aufgaben und Verantwortung sowie regelmäßiger Überwachung der Funktionstüchtigkeit und der Wirksamkeit des CMS. Sie steuern die Organisation in Bezug auf regelkonformes Verhalten durch das Festlegen von Strukturen und Maßnahmen, die regelkonformes Verhalten unterstützen und regelwidriges Verhalten verhindern bzw. im Falle eines Regelverstoßes diesen aufdecken, entsprechend sanktionieren und zum Anlass für notwendige Verbesserungen nehmen.
Es muss eine Compliance-Funktion ausdrücklich bestimmt werden, der die Verantwortung für den Betrieb des CMS zugeteilt ist. Die Ausgestaltung der Funktion hängt von den individuellen Gegebenheiten der Organisation ab. Grundsätzlich sind Aufgaben definiert, die auch zu einer bestehenden Position zusätzlich zugeteilt werden können. Die Compliance-Funktion muss die Möglichkeit eines direkten Zuganges zum Aufsichtsgremium haben, in Bezug auf ihre Tätigkeit weisungsfrei sein und über die notwendigen Kompetenzen und Ressourcen verfügen. Eine regelmäßige Berichterstattung an die oberste Leitung und an das Aufsichtsgremium muss sichergestellt sein, um beide Organe angemessen über den Stand und die Leistung des CMS zu informieren.
Aufsichtsgremium, oberste Leitung und alle Führungsmitarbeiter schaffen und fördern durch sichtbares und nachhaltiges Bekenntnis zu den Verhaltensstandards eine Organisationskultur, die die Wirksamkeit des CMS unterstützt.
Führungsmitarbeiter sind für die Maßnahmen zur Sicherstellung von regelkonformem Verhalten der Mitarbeiter der jeweiligen Bereiche verantwortlich. Alle Mitglieder der Organisation (inkl. Mitglieder des Aufsichtsgremiums und der obersten Leitung sowie Führungskräfte) sind für ihr eigenes regelkonformes Verhalten verantwortlich.
+Kapitel 6 – Planung
Die strategische Planung legt fest, welche Compliance-Risiken angesprochen werden müssen, und wie die beabsichtigten Ergebnisse des CMS zu erzielen, unerwünschte Effekte zu verhindern oder zu reduzieren und eine laufende Verbesserung des CMS zu erreichen sind. Die Arten von Maßnahmen, die notwendig oder zielführend sind, um die relevanten Risiken zu bewältigen, werden bestimmt, ebenso wie die größtmögliche Integration dieser Maßnahmen in bestehende Richtlinien, Verfahren oder Prozesse. Die Verbindung zwischen der Compliance-Risikobewertung und der strategischen Planung wird in angemessener Weise dokumentiert. Für alle relevanten Bereiche und Funktionen werden strategische Compliance-Ziele festgelegt.
+7.1 Ressourcen
Die für Errichtung, Umsetzung und Aufrechterhaltung des CMS erforderlichen Ressourcen werden antizipiert. Das Ausmaß ist bedingt durch die Größe und die Struktur der Organisation, durch die Art und Komplexität der Geschäftstätigkeiten sowie durch die Risikobewertung der Compliance-Verpflichtungen.
2.2.2.2DO – Die Umsetzung
Alle Nummerierungen beziehen sich auf Kapitel der ISO 37301.
+7.2 Kompetenz
Für alle unter der Kontrolle der Organisation tätigen Personen, die die Leistung des CMS beeinflussen, sind die erforderlichen Kompetenzen zu bestimmen und bei der Besetzung von Positionen zu berücksichtigen. Es ist sicherzustellen, dass die Mitarbeiter aufgrund entsprechender Ausbildung, Schulung und/oder Berufserfahrung die erforderliche Handlungsfähigkeit haben oder erwerben, um die ihnen zugeteilten Aufgaben und Funktionen zu erledigen.
+7.3 Bewusstsein
Aufsichtsgremium, oberste Leitung und alle Führungsmitarbeiter schaffen eine Organisationskultur, die die Wirksamkeit des CMS unterstützt. Sie fördern diese durch ein aktives, sichtbares, einheitliches und nachhaltiges Bekenntnis zu den Verhaltensstandards der Organisation. Die Mitarbeiter kennen ihre Rolle und ihren Beitrag zur Wirksamkeit und zur Verbesserung des CMS und sind sich der Konsequenzen eines Compliance-Verstoßes oder der Nichteinhaltung einer Bestimmung des CMS bewusst.
+7.4 Kommunikation
Für die sowohl intern wie extern aktiv gesteuerte Kommunikation ist nach den Grundsätzen von Transparenz, Angemessenheit, Glaubwürdigkeit und Klarheit ein Konzept auszuarbeiten und es sind Verantwortlichkeiten für die Umsetzung zu bestimmen.
+7.5 Dokumentierte Information
Die dokumentierte Information des CMS muss gesteuert und gewartet werden. Es sind Verfahren zu errichten, die die Erstellung und Aktualisierung sowie Kennzeichnung und Verwahrung von dokumentierter Information regeln.
+Kapitel 8 – Betrieb
Die operative Steuerung umfasst Maßnahmen, die sicherstellen, dass die Compliance-Verpflichtungen (4.5) eingehalten werden und Non-Compliance vorgebeugt wird. Im Falle von Verstößen werden diese aufgedeckt sowie die erforderlichen Korrekturen gesetzt. So weit wie möglich sind die Compliance-Maßnahmen in vorhandene organisatorische Prozesse einzubetten. Es ist eine Verknüpfung zwischen Maßnahme(n) und Compliance-Verpflichtung(en) herzustellen, anderenfalls liegt kein CMS vor bzw. keine einem CMS zurechenbare Maßnahme (sondern z.B. eine Maßnahme zur Qualitätssicherung).
Ein CMS gemäß ISO 37301 kann auf eine breite Palette von Compliance-Verpflichtungen angewendet werden (wie z.B. Geldwäsche, Betrug, Wettbewerbsrecht, Sanktionen usw.). Es ist unmöglich, detaillierte Anforderungen in Bezug auf mehrere Compliance-Verpflichtungen festzulegen, wie dies in der ISO 37001 der Fall ist, die sich nur auf die Bekämpfung von Bestechung bzw. Korruption bezieht. Die von einer Organisation zu bestimmenden Maßnahmen (und deren Integration in die Geschäftsaktivitäten) ergibt sich aus der (Priorisierung) der Compliance-Risikobewertung.
Drei Anforderungen werden in Kapitel 8 ausdrücklich festgelegt, die für die Wirksamkeit eines CMS nach ISO 37301 – unabhängig von den Compliance-Verpflichtungen – unabdingbar sind: (i) Steuerung von ausgelagerten Prozessen und von Prozessen mit Geschäftspartnern, (ii) Etablierung eines Mechanismus zum Melden von potenziellen oder tatsächlichen Verstößen gegen Compliance-Verpflichtungen oder eine Nichteinhaltung des CMS, auf vertraulicher Basis und ohne Angst vor Repressalien und (iii) Implementierung eines Prozesses zur Bearbeitung von Berichten in Bezug auf tatsächliche oder vermutete Fälle der Nichteinhaltung von Compliance-Verpflichtungen.
2.2.2.3CHECK – Die Überprüfung
Alle Nummerierungen beziehen sich auf Kapitel der ISO 37301.
+Kapitel 9 – Beurteilung der Leistung
Die Einhaltung der Maßnahmen zur Sicherstellung von regelkonformem Verhalten sowie die Leistung und die Wirksamkeit des CMS müssen mit qualitativen und/oder quantitativen Methoden regelmäßig überwacht, überprüft, analysiert und bewertet werden. Zur Qualifizierung der Wirksamkeit und der Leistung des CMS sind Indikatoren zu entwickeln. Unabhängige Audits werden regelmäßig nach einem festgesetzten Verfahren geplant und durchgeführt. Diese überprüfen, ob (i) das CMS den selbstgestellten Anforderungen der Organisation sowie den Anforderungen nach ISO 37301 entspricht (Konformitätsprüfung) und ob (ii) die Compliance-Maßnahmen umgesetzt und aufrechterhalten werden (Effektivitätsprüfung). Die oberste Leitung überprüft in regelmäßigen Abständen die Angemessenheit und Wirksamkeit des CMS. Alle Überprüfungen, ihre Ergebnisse und Schlussfolgerungen werden zur Entwicklung von Maßnahmen zur Verbesserung des CMS herangezogen.
2.2.2.4ACT – Die Verbesserung
Alle Nummerierungen beziehen sich auf Kapitel der ISO 37301.
+Kapitel 10 – Verbesserung
Die kontinuierliche Verbesserung muss sich auf die Konzeption und auf die Umsetzung des CMS beziehen, um sicherzustellen, dass das CMS angemessen für die Organisation (und deren Größe, Zwecke, Aktivitäten etc.) ist, die relevanten Compliance-Verpflichtungen abdeckt und durch das Erzielen der geplanten Compliance-Ziele wirksam ist.
Für den Fall, dass Bestimmungen des CMS nicht eingehalten werden oder gegen eine Compliance-Verpflichtung verstoßen wird, sind Maßnahmen zur Korrektur des Fehlverhaltens und zur Verhinderung eines neuerlichen Auftretens zu setzen. Ein adäquates Berichtswesen ist zu errichten, das sicherstellt, dass Verstöße gegen Compliance-Verpflichtungen und eine Nichteinhaltung des CMS erfasst und angemessen berichtet werden. In wichtigen Fällen ist die oberste Leitung zu informieren.
2.3 Change-Management als Führungsinstrument zur Umsetzung der ISO 37301
Bei der Errichtung eines CMS nach ISO 37301 fängt keine Organisation bei null an. Jede Organisation hat Maßnahmen zur Einhaltung von relevanten gesetzlichen und regulatorischen Vorschriften sowie von vertraglichen Vereinbarungen getroffen. Die Umsetzungen eines CMS nach ISO 37301 kann einen – u.U. umfassenden – Anpassungs- und Veränderungsprozess in einer Organisation auslösen. Es werden z.B. Compliance-Risikobewertungen durchgeführt, zusätzliche Verantwortungen zugeteilt, neue Prozesse aufgesetzt und in bestehende Verfahren integriert oder Prozesse mit Geschäftspartnern evaluiert. Die Entwicklung dieser Maßnahmen bedeutet – unabhängig von ihrem Umfang – zuerst einmal ein Mehr an Arbeit, die zusätzlich zu bestehenden Aufgaben zu erledigen ist. Die Umsetzung der Maßnahmen kann Unsicherheiten bei den Mitarbeitern auslösen, weil z.B. die Compliance-Funktion noch nicht vertraut ist und die Compliance-Maßnahmen noch nicht eingeübt sind. Auch die Umsetzung bedeutet zusätzliche Arbeit, wenn weitere Prozessschritte eingeführt und zusätzliche Kontrollen durchgeführt werden. Beide Situationen, aber insbesondere die Unsicherheiten über die neuen Vorgangsweisen, können Widerstände auslösen, die die Entwicklung und die Umsetzung eines CMS nachhaltig negativ beeinflussen. Dem aktiven Umgang mit (potenziellen) Widerständen ist daher besondere Aufmerksamkeit zu widmen.
Change-Management unterstützt die nachhaltige Umsetzung von notwendigen Veränderungen. Die Anpassung bekannter Strukturen oder eingeübter Prozesse bedingt Unsicherheit über die Zukunft. Ein methodisches Vorgehen steigert die Anpassungsfähigkeit einer Organisation an ihr dynamisches Umfeld und begegnet Widerständen.
Mit der Darstellung von Change-Management und dem 8-Stufen-Modell von Kotter wird nicht die Implementierung eines weiteren Management-Systems verfolgt, sondern ein Werkzeug vorgestellt, das die Effizienz des Entwicklungsprozesses des CMS steigert. Insbesondere die Beachtung der Reihenfolge der einzelnen Phasen eines Veränderungsprozesses trägt wesentlich zur Verringerung von Widerständen bei und somit zur nachhaltigen Effektivität der Umsetzung eines CMS nach ISO 37301.
2.3.1 Definition Change-Management
Das englische Wort „change“ bedeutet (Ver-)Änderung, (Ver-)Wandlung, Wandel, Wechsel, Umschwung.[81] Veränderung impliziert eine Abweichung von einer bestimmten Gegebenheit und dem Erreichen oder Eintreten einer neuen oder geänderten Gegebenheit. Nun können den Bezeichnungen „Wandel“ bzw. „Veränderung“ zweierlei Bedeutung beigemessen werden: einerseits bezeichnen sie das Ergebnis eines Prozesses, aber andererseits können Wandel bzw. Veränderung auch als Handlung und als Geschehen betrachtet werden. Wandlung als Handlung ist vom Merkmal einer subjektiven Zielausrichtung gekennzeichnet. Bei Wandlung als Prozess ist zu unterscheiden, ob dieser geplant, strategisch erfolgt oder nicht geplant und unbeabsichtigt ist.
Kurt Lewin (1890-1947) war Psychologe, hauptsächlich auf dem Gebiet der Sozialpolitik tätig. Er publizierte sein Modell über den Verlauf von Veränderungen im Jahre 1943. Im Mittelpunkt seiner Betrachtungen steht das soziale Feld als eine Summe von Faktoren, von denen das Verhalten eines Individuums abhängt. Beispiele für solche Faktoren sind Ziele des Individuums, Sicht auf die Vergangenheit, Gegenwart und Zukunft, aber auch vorhandene oder überwundene Schwierigkeiten. Das Verhalten eines Individuums wird nicht als eine statische Vermengung einzelner Komponenten gesehen, sondern als ganzheitlicher Prozess, der sich aus der Korrelation zwischen einer Person und seiner Umwelt ergibt.[82] Jede Gruppe bildet ein eigenes soziales Feld, das alle sozialen Felder der einzelnen Mitglieder einschließt. Das Verhalten einer Gruppe unterliegt gemäß Lewin dem Ergebnis zweier gegenläufiger Kräfte: Die eine Kraft strebt nach Beibehaltung des Status Quo, die andere fordert Veränderung. Im Zustand des quasi-stationären Gleichgewichts sind diese beiden Kräfte etwa gleich stark.[83] Ein Wandel muss die Veränderung einer der beiden Kräfte herbeiführen, die den quasi-stationären Zustand erzeugen. Es können jene Kräfte reduziert werden, die am Fortbestand des derzeitigen Zustandes Interesse haben oder die auf Veränderung gerichteten Kräfte erhöht oder beschleunigt werden.[84]Gemäß Lewin gliedert sich ein erfolgreicher Veränderungsprozess in drei Phasen:
Abbildung 3
Phasenschema von Veränderungen nach Lewin
Phase 1: Auflockern (Unfreezing)
Das erwünschte neue Niveau muss dargestellt werden. Durch Erzeugen von Zweifel, Unruhe und Unsicherheit ob, in welchem Ausmaß und wie lange der derzeitige Zustand noch angebracht und zielführend ist, werden die Voraussetzungen für Veränderungen geschaffen. In die Gestaltung der Veränderung sind jene Personen einzubeziehen, die vom Ergebnis des Veränderungsprozesses (am stärksten) betroffen sind.
Phase 2: Hinübergleiten (Moving)
In dieser Phase finden die eigentlichen Veränderungsprozesse statt. Das Verhalten einer Gruppe oder einer ganzen Organisation wird verändert. Durch Umgestaltung von Prozessen und Strukturen werden neue Verhaltensweisen, Werte und Strukturen geschaffen.[85] Die einzelnen Maßnahmen zielen entweder auf die Erhöhung, Beschleunigung oder Hinzufügung von Kräften ab, die den Wandel unterstützen oder auf die Reduzierung von Kräften, die dem Wandel entgegenstehen. Welcher der beiden Wege eingeschlagen wird, bestimmt das Ausmaß der Widerstände gegen die Veränderungen. Wird eine Veränderung durch die Erhöhung der die Veränderung unterstützenden Kräfte bewirkt, dann werden Spannungen und Widerstände höher sein, als wenn die Veränderung durch Verringerung der einer Veränderung entgegenstehenden Kräfte hervorgerufen wird. Es ist jedoch davon auszugehen, dass es in jedem der beiden Fälle zu Widerständen und Spannungen kommt, da jede Veränderung bestehende Gewohnheiten, Strukturen und Prozesse stört.[86] Wie bereits in der Phase der Auflockerung ist auch im laufenden Veränderungsprozess die Einbindung der betroffenen Personen von Bedeutung. Haben die einzelnen Gruppenmitglieder an der Entscheidung über den Wandel mitgewirkt, wird der Veränderungsprozess von ihnen konstruktiv mitgetragen werden.
Phase 3: Verfestigen (Refreezing)
Es ist nicht ausreichend, ein anderes Niveau der Gruppenleistung als Ziel zu definieren, sondern man muss auch das Fortbestehen dieses Niveaus in die Zieldefinition einbeziehen.[87] Die Ergebnisse der beiden vorangegangenen Veränderungsphasen sind zu überprüfen und der neue Gruppenzustand durch Kultur und Normen, aber auch durch zu schaffende Strukturen in einem Gleichgewichtszustand zu stabilisieren.
Durch die Teilnahme an den in den ersten beiden Phasen getroffenen Gruppenentscheidungen wird es dem Einzelnen erleichtert, sein Verhalten zu verändern. Die Dauerhaftigkeit eines neuen Niveaus nur der Art der Entscheidungsfindung zuzuschreiben, wäre eine zu eingeschränkte Sichtweise. Strukturen, die ein Abgehen vom erreichten Niveau erschweren oder unmöglich machen, sind für die Stabilität dieses neuen Niveaus fördernd.[88]
Die Umsetzung der ISO 37301 als geplante Veränderung ist als gezielter Eingriff in Bestehendes zu verstehen, um bestimmte Aspekte einer Organisation in eine bestimmte Richtung zur Erreichung eines vordefinierten Zieles zu verändern (Regel konformes Verhalten bei der Abwicklung der Geschäftsaktivitäten sicherzustellen). Dabei mag es sich einerseits um Zustände, Normen oder Verhältnisse (statische Betrachtung), aber andererseits auch um Prozesse, Abläufe, Vorgangsweisen (dynamische Betrachtung) handeln.
Begibt man sich in der einschlägigen Fachliteratur auf die Suche nach Definitionen von Change- oder Veränderungsmanagement, so findet man eine ganz Reihe von Erklärungen, wobei alle eine Gemeinsamkeit aufweisen: die Gestaltung eines Prozesses. Change-Management kann als Durchführung von organisatorischen Veränderungen bezeichnet werden, deren Erfolg mit der Umsetzung von Konzepten steht und fällt.[89] Praxisbezogen können Change- oder Veränderungsprozesse als eine Arbeitsweise oder Methode betrachtet werden, um von einem Ausgangszustand A zu einem Zielzustand B zu gelangen. Unter „Methode“ wird ein planmäßiges Vorgehen verstanden.“[90] Aufgrund der unterschiedlichen Ausgangssituationen können und müssen unterschiedliche Maßnahmen zur Erreichung des vielleicht gleichen Zieles angestrebt werden. Zur Sicherstellung eines methodischen Vorgehens in Zusammenhang mit Change-Prozessen wurden sogenannte Phasenmodelle entwickelt. Auf der dargestellten Grundlage von Lewin wurden über die Jahre zahlreiche Phasenmodelle entwickelt.[91] Im Kapitel 2.3.3 wird das 8-Stufen-Modell von John P. Kotter dargestellt, das weltweit zu einem der bekanntesten Phasenmodelle eines erfolgreichen Veränderungsprozesses zählt.
Бесплатный фрагмент закончился.
