Prof. Dr. Katharina Hastenrath

Basics: Compliance-Risiken

Der vierte Beitrag dieser Reihe befasst sich mit den Compliance-Risiken und zeigt die Grundzüge einer Risikoanalyse auf. Die Risikoanalyse ist die Grundlage für jedes unternehmensindividuelle Compliance-Management-System (folgend: CMS). Sie ermittelt die relevanten Rechts- und Reputationsrisiken, die dann im CMS minimiert werden sollen.

I. Grundsatz Compliance-Risiken

Die Compliance-Organisation und das CMS sind nicht für die Minimierung aller Risiken eines Unternehmens verantwortlich, sondern nur für die größten, bestandsgefährdenden Rechts- und Reputationsrisiken. Diese Aufgabe ist originär den Organen eines Unternehmens zugeordnet, kann aber in gewissen Teilen wirksam an die Compliance-Organisation delegiert werden.

Um diese Risiken zu bestimmen bedarf es einer klar strukturierten Risikoanalyse. Diese wird im Folgenden beschrieben.

II. Definition Compliance-Risiko-Analyse

Eine zutreffende, wenn auch nicht legal definierte Definition findet sich bei Wieland: „Das Compliance Risk Assessment ist die systematische Identifikation und Bewertung sowie Dokumentation und Berichterstattung von Konstellationen, die das Potenzial aufweisen, das unternehmerische Ziel der Übereinstimmung mit relevanten gesetzlichen, internen und freiwilligen Verpflichtungen zu gefährden. Dabei dient das Compliance Risk Assessment als Grundlage für die Allokation unternehmerischer Ressourcen mit dem Ziel der effektiven und effizienten Sicherstellung von Compliance im Unternehmenskontext.“1

Compliance-Risiken sind damit, wie bereits erläutert, inhaltlich Rechts- und Reputationsrisiken. Freiwillige Verpflichtungen spielen entsprechend nur eine Rolle, wenn das Unternehmen sich solche gegeben hat.

III. Anforderungen aus Gesetzen und Literatur

1. Gesetzliche Anforderungen

Diverse Gesetze und andere Normierungen verlangen eine Compliance-Risikoanalyse, so in etwa die US Federal Sentencing Guidelines, Resource Guide to the US Foreign Corrupt Practices Act, Brasilianischer Clean Company Act, UKBA Guideline, Spanish Criminal Code, 13 Good Practices on Internal Controls, Ethics and Compliance (OECD), Transparency International – Nine Business Principles for Countering Bribery, ISO Standard 37301, § 91 Absatz 2 Aktiengesetz (AktG), § 43 Absatz 1 GmbHG und LkSG bezüglich Menschenrechten und verschiedenen Umweltvorschriften oder der Prüfungsstandard IDW PS 980 in Deutschland.

Soweit es keine ausdrückliche Norm gibt, wird die Pflicht für ein CMS in Deutschland aus der allgemeinen Legalitäts- und Legalitätskontrollpflicht der Organe eines Unternehmens unstreitig abgeleitet.

2. Anforderungen nach der Literatur

a) Art und Umfang einer Risikoanalyse

Die Literatur fordert eine gründliche Analyse der unternehmensindividuellen Risikosituation, um einen Überblick über wesentliche Compliance-Risiken zu erhalten, die Compliance-Organisation daran auszurichten und entsprechende Compliance-Maßnahmen zu definieren und nach einem Maßnahmenplan prioritär geordnet umzusetzen.2 Teilweise soll diese Analyse dabei auf die abgegrenzten Teilbereiche eines CMS beschränkt sein. Die Risikoanalyse ist damit für Teilbereiche eines CMS oder weitergehend die Basis für das CMS.3 Ein guter Compliance-Risikomanagementprozess stellt Transparenz über die Gefährdungslage her.4

Das „Wie“ der Ausgestaltung der Risikoanalyse steht dabei grundsätzlich im unternehmerischen Ermessen. So sind in etwa ein Self-Assessment mittels Fragebögen, quantitative und qualitative Analysen z. B. mittels Interviews,5 die Auswertung von Unternehmensdaten, eine top-down und bottom-up-Analyse oder die Beiziehung interner Experten aus risikoorientierten Einheiten (z. B. aus Rechtsabteilung, Risikomanagement, Vorstandsstab) denkbar.6 Die Unternehmensleitung kann also auch im Rahmen der Zielsetzung, also des „WIEs“, und unter Beachtung der Business Judgement Rule festlegen, welchen Themen sich die Compliance-Abteilung widmen soll, z. B. Haftstrafen auf der Rechtsfolgenseite. Andere Compliance-Risiken, also Rechtsrisiken in dezentralen, bestehenden Einheiten wie in etwa das Thema Arbeitsrecht können in der Personalabteilung belassen werden. Diese Möglichkeit wird in der Best Practice flächendeckend angewandt, d. h. die zentrale Compliance-Abteilung bearbeitet zwei oder drei Risiken, der Rest verbleibt in angestammten Abteilungen. Dies wird unter dem Begriff Compliance-Matrix-Organisation geführt. Zu beachten ist hier allerdings, dass dieses Umsetzungsermessen zunehmend gesetzlich eingeschränkt wird, indem dazu in neueren Gesetzen verbindliche Maßnahmen vorgeschrieben werden. Diese Tendenz wird sich in den kommenden Jahren aller Voraussicht nach so fortsetzen.

b) Zentrale Compliance-Risiken

Risiken, die dem Chief Compliance Officer und seiner zentralen Compliance-Abteilung nach der Best Practice zugeordnet werden, waren typischerweise (aktive und passive) Korruptionsrisiken, Kartellrisiken (insbesondere horizontale Kartellrisiken), Exportkontrollrisiken (soweit anwendbar) sowie Geldwäscherisiken.7 In der letzten Zeit kommen teilweise der Datenschutz, die IT-Sicherheit sowie die KI-Governance hinzu.

IV. Ablauf einer unternehmensinternen Compliance-Risikoanalyse am Beispiel der Korruption

Unter Berücksichtigung der vorgenannten Eckpfeiler läuft eine Risikoanalyse, hier exemplarisch für das Korruptionsrisiko, in Unternehmen nach der Best Practice oftmals so oder ähnlich ab:

1. Risikoerhebung

Der erste Schritt in der Risikoanalyse ist die Risikoerhebung durch die Zusammenstellung eines Dokuments, das die denkbaren Konstellationen darstellt, in denen sich das Korruptionsrisiko im Unternehmen verwirklichen kann. Beginnen kann dies mit einer Einschätzung der Compliance-Funktion zum allgemeinen Korruptionsrisiko, beispielsweise wie folgt (Siehe Abb. 1).

Abb. 1: Risikoerhebung durch Compliance-Abteilung

1. Unternehmensaufstellung

2. Typisches Branchenrisiko

3. Pressemeldungen zur Korruption

4. Komplexität

5. Prozesslandschaft im Unternehmen

6. Operativer Ergebnisdruck

7. Unternehmenskultur

8. Status nach CPI (Korruptionswahrnehmungsindex)

9. Drittbeteiligungen mit Korruptionsrelevanz (Sales Agents, Intermediäre, Stroh- oder Briefkastenfirmen (in Steueroasen))

10. Gesetze, Regulierung

11. Urteile/Verfahren

12. Unternehmenshistorie

Nach Zusammenstellung dieser Daten empfiehlt sich eine Abfrage bzw. ein Workshop mit der höchsten Führungsebene mit etwa folgendem Inhalt (siehe Abb. 2).

Abb. 2: Risikoerhebung mit C-Level

1. Kenntnisse bei Geschäftsführung

2. Risikoeinschätzung der Korruption

3. Prozesseinschätzung

4. Vorfälle im Bereich der Korruption

5. Riskante Strukturen/Prozesse

6. Unternehmenszielsetzung

7. Durchgriff der Muttergesellschaft

8. Vorhandene, relevante Berichte, auch von anderen Funktionen wie der Internen Revision, dem Risikomanagement oder dem Qualitätsmanagement

9. Historie Compliance zur Korruptionsprävention

10. Sonstige Punkte mit Relevanz der Geschäftsführung

Schließlich ist mindestens noch eine Erhebung der Risikolage mit dem Business erforderlich, die noch aufgeteilt werden kann in übergeordnete Businessfunktionen wie einem Zentraleinkauf, einem zentralen Marketing etc. und dem lokalen Business in den Tochtergesellschaften.

Hier kann die Abfrage mit dem lokalen Business wie folgt dargestellt werden (siehe Abb. 3).

Abb. 3: Risikoerhebung mit operativen Einheiten/Risikoträgern

1. Gesetzeslage vor Ort

2. Strafbemessung vor Ort

3. Urteile/behördliche Entscheidungen

4. Antikorruptionssysteme durch Gesetz

5. Behördliche Antikorruptionsguidelines

6. Allg. Best Practice (allgemein und Branche)

7. Kenntnisse der Mitarbeiter vor Ort

8. Interne, lokale Antikorruptionsvorgaben

9. Prozesse

10. Vertragsstruktur

11. Amtsträger/PEPs

12. Business-Partner

13. Abhängigkeiten

14. Rotationen

15. Zuwendungen/Einladungen/Events

16. Spenden

17. Bonus, Rabatte, Verrechnungen

18. Eigene Trainings

19. Vorfälle

2. Risikobewertung

Im nächsten Schritt werden alle Ergebnisse, die sich aus der Datenerhebung durch Fragebögen, Interviews oder Workshops ergeben haben, auf ihre Risikorelevanz kategorisiert, wobei bestehende, risikominierende Maßnahmen berücksichtigt werden sollten. Hier gibt es viele Vorschläge und Vorgehen aus der Best Practice, die mit Eintrittswahrscheinlichkeit und Schadenshöhe-Ansätzen, mathematischen Ansätzen zur Einordnung im Zweigraphensystem oder ähnlich sehr granularen Aufschlüsselungen arbeiten. Dies macht aus Sicht der Verfasserin nur bedingt Sinn und zwar aus folgenden Überlegungen heraus:

1. Es folgt daraus lediglich eine Scheingenauigkeit, die die Geschäftsführung unter Umständen in einer falschen Scheinsicherheit wiegt. Die Eintrittswahrscheinlichkeit eines Korruptionsverstoßes ist schlicht und ergreifend nicht mathematisch berechenbar und in keiner dezidierten Weise vorhersagbar. Daher ist der Versuch einer derartigen Aufschlüsselung fehlgehend.
2. Dass ein Risiko bis drei Dezimalstellen hinter dem Komma auf einer erdachten Skala berechnet wird, erhöht zwar den Erhebungsaufwand drastisch, bringt aber neben der schon erwähnten Scheingenauigkeit auch deshalb keinen Mehrwert, weil die risikominimierenden Maßnahmen dieselben sein werden. Ist das Korruptionsrisiko hoch, sind die Compliance-Maßnahmen identisch, ob bis drei Dezimalstellen hinter dem Komma auf einer Skala berechnet oder nicht.

Daher ist die Empfehlung an dieser Stelle, eine einfachere Eingruppierung vorzunehmen, in etwa an einer etwas erweiterten Ampellogik (siehe Abb. 4).

Abb. 4: Risikobewertung mit erweiterter Ampellogik (hellgrau = grün über gelb bis dunkelgrau =rot).

Bewertung Korruptionsrisiko
Risikolage ist gering	Risikolage ist neutral	Risikolage ist erhöht	Risikolage ist stark erhöhterhöht	Risikolage ist drastisch erhöht

---

Dabei kann eine Gesamtbewertung von der Compliance-Funktion, der Geschäftsführung und den operativen Mitarbeitern, gegebenenfalls noch nach Ländern weiter untergliedert, erfolgen. Letzteres empfiehlt sich dann, wenn das Geschäftsmodell in einzelnen Ländern oder Regionen spezifische Sparten umfasst, die in anderen Ländern oder Regionen keine Rolle spielen. Eine ausschließliche Bewertung der operativen Funktionen ist nicht empfehlenswert, wie sich aus den Erfahrungen der vergangenen 20 Jahre ergibt. Grund dafür ist häufig die viel zu positive Einschätzung mit einem geringen Risiko, entweder aus Unkenntnis oder in der Annahme, dass dies das gewünschte Ergebnis sei und/oder dieses den geringsten Aufwand bei den operativ Verantwortlichen erzeugen würde.

3. Planung von Maßnahmen zur Risikomitigation

Grundsätzlich bedarf es für ein funktionierendes CMS ein sauber aufgebautes System, in dem die Maßnahmen der verschiedenen Elemente sinnvoll aufeinander aufbauen und Interdependenzen berücksichtigt werden.

Zur konkreten Reduktion des Korruptionsrisikos kann dann im Rahmen dieses Plans an folgende Maßnahmen gedacht werden (siehe Abb. 5).

Abb. 5: Übersicht risikomitigierender Maßnahmen

Antikorruptionsrichtlinie

Basis-Antikorruptionstraining

Antikorruptionstrainings für Risikogruppen

Red-flags-Katalog für Korruptions-Red-flags im Unternehmen

Zentrale Vertragsmuster für Hochrisiko-Businesspartner und Überwachung über den gesamten Lebenszyklus der Vertragsbeziehung

Ländervergleiche zu kritischen Prozessen, z. B. die Zwischenschaltung von Intermediären

Leistungsdokumentationen von kritischen Vertragspartnern

Stichprobe mit Buchhaltungsdaten zu gemeldeten Vertriebskennzahlen von kritischen Vertragspartnern

Besuche der Compliance-Abteilungen im Business, möglichst regelmäßig und in persona

Incentivierung im Sinne von Compliance, also nicht nur Gewinnmaximierung, sondern auch Zeitaufwand für Compliance-Trainings der operativen Mitarbeiter durch Middle-Management

Berücksichtigung des menschlichen Verhaltens/Behavioral Sciences-Erkenntnisse

Aufnahme der Unternehmen der Korruption nach Unternehmensrealität, wenn z. B. Hospitality kein Thema, dann kurz in Richtlinien

Einbeziehung des Betriebsrats (wenn vorhanden), um die Mitarbeiter mitzunehmen und compliant im Sinne der Mitbestimmung zu sein

Technische Prozessunterstützungen/KI-Kontrollen, z. B. automatische Zahlungssperre in SAP, wenn Business Partner seine Leistungen nicht vertragsgemäß erbringt; KI-Prüfungen mit Datenauswertungen zu Auffälligkeiten im Bereich der Korruption

V. Alte und neue Herausforderungen bei der Risikoanalyse

Die Entwicklungen der Risikoanalysen seit 2010 sind erheblich. Begannen Unternehmen 2010 eher zögerlich mit Risikoanalysen zu einem Thema, in etwa der Korruption, und wiederholten diese nicht oder in größeren Intervallen von drei bis fünf Jahren, sind Risikoanalysen seit 2020 qualitativ und quantitativ deutlich fortgeschritten. Durch die Entwicklung von diversen Compliance-Standards sowie deutlich strengeren Gesetzen, werden Risikoanalysen nun eher jährlich- bis zweijährlich durchgeführt oder jedenfalls gesetzlich gefordert. Auch werden zunehmend mehr Risiken untersucht.

1. Alte Herausforderungen

Die größten Herausforderungen seit 2010 lagen vor allem im qualifizierten Personal, vor allem auf lokaler Compliance-Officer-Ebene, der hinreichenden Mitwirkung der operativen Mitarbeiter und der Umsetzung der gefundenen Verbesserungspotentiale.

2. Neue Herausforderungen

Betrachtet man die gestiegenen Anforderungen zu Häufigkeit, Menge und Tiefe der Risikoanalysen bzw. den Anforderungen daran, lassen sich folgende, weitere Herausforderungen erkennen:

• erhöhter Personalbedarf, der häufig von Unternehmen nicht befriedigt wird
• besser ausgebildete zentrale und vor allem lokale Compliance-Funktionen
• mehr Budget
• immer kürzere Fristen, um risikomitigierende Maßnahmen umzusetzen
• Schulungen der betroffenen Mitarbeiter, die neue Prozesse umsetzen müssen
• zunehmende Komplexität

All diese Herausforderungen treffen Unternehmen in einer wirtschaftlich volatilen Zeit mit großen Umbrüchen und Herausforderungen. Dies kann dazu führen, dass Risikoanalysen zwar deutlich an Wichtigkeit gewinnen, aber trotzdem aus wirtschaftlichen Gründen nicht durchgeführt werden.

VI. Fazit

Compliance-Risiken sind durch gute Risikoanalysen zu erheben, zu bewerten und zu mitigieren. Dies erfordert eine gute Planung und hinreichend Ressourcen. Besonders wichtig, auch in wirtschaftlich angespannten Zeiten wie aktuell, ist die Umsetzung der am Ende der Risikoanalyse erarbeiteten, risikomitigierenden Maßnahmen. Nur so kann den Risiken wirksam begegnet werden und die Unternehmensleitung ihren Legalitäts(kontroll)- und Organisationspflichten nachkommen.

---