Teil II: Compliance-Management-Systeme: Aufbau, Berichterstattung und Entscheidungsfindung

Dieser Teil II unserer Reihe beschreibt, wie ein wirksames Compliance-Management-System (CMS) konzipiert und betrieben wird, das international belastbar ist und zugleich der deutschen Unternehmenspraxis entspricht. Die Kernaussage ist klar: Compliance sollte risikobasiert, unabhängig und gut dokumentiert organisiert sein, sich an anerkannten Rahmenwerken ausrichten und durch strukturierte Berichtswege sowie klar definierte Entscheidungsrechte gegenüber Geschäftsleitung und Aufsichtsrat gestützt werden.

Die Pflichten der Leitungsebene zur ordnungsgemäßen Organisation und Überwachung des Unternehmens, einschließlich der Pflicht zur Früherkennung bestandsgefährdender Risiken, bilden die Grundlage. Für börsennotierte Unternehmen sind die Erwartungen erhöht und werden durch den Deutschen Corporate Governance Kodex (DCGK) ergänzt, der eine transparente Beschreibung des internen Kontroll- und Risikomanagementsystems, einschließlich des CMS, sowie eine Beurteilung seiner Angemessenheit und Wirksamkeit verlangt.

Zudem stellen spezialgesetzliche Regelwerke, insbesondere das Hinweisgeberschutzgesetz (HinSchG) und das Lieferkettensorgfaltspflichtengesetz (LkSG), konkrete organisatorische, prozessuale und zeitliche Vorgaben auf, insbesondere hinsichtlich der Meldekanäle und der Beschwerdeverfahren.

1. Compliance-Auftrag und seine praktischen Anknüpfungspunkte

1.1 Organisationspflichten des Vorstands und Risikofrüherkennung

Die Pflicht, eine wirksame Compliance-Organisation einzurichten und zu betreiben, leitet sich aus der Verpflichtung ab, rechtmäßiges Verhalten und eine angemessene Aufbau- und Ablauforganisation sicherzustellen, einschließlich eines Frühwarnsystems für Risiken, die den Fortbestand des Unternehmens gefährden können.

Für börsennotierte Unternehmen hat der Gesetzgeber zudem klargestellt, dass ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem vorzuhalten ist; in der Praxis gilt das CMS als integraler Bestandteil dieses Gesamtrahmens. Selbst wenn gesetzliche Vorgaben formal auf börsennotierte Unternehmen beschränkt sind, können für andere Unternehmen vergleichbare Erwartungen aus der allgemeinen Sorgfaltspflicht und den Grundsätzen ordnungsgemäßer Organisation entstehen, wenn Größe, Komplexität oder Risikoprofil dies erfordern. In Gesellschaften mit beschränkter Haftung wird die Sorgfaltspflicht der Geschäftsführung in ähnlicher Weise ausgelegt. Operative Verantwortlichkeiten können innerhalb der Organisation delegiert werden, die Letztverantwortung verbleibt jedoch bei der Geschäftsleitung, insbesondere hinsichtlich Auftrag, Ausstattung, Unabhängigkeit und laufender Überwachung der Compliance-Funktion.

1.2 Spezialgesetzliche Regelwerke, die die Architektur des CMS prägen

Unabhängig von der Branche begründen spezialisierte gesetzliche Regelwerke konkrete Anforderungen an die Ausgestaltung des Compliance-Management-Systems.

Das HinSchG verpflichtet Organisationen mit 50 oder mehr Beschäftigten, interne Meldekanäle einzurichten, eine unparteiische Meldestelle zu benennen, strikte Vertraulichkeit sicherzustellen und definierte Fristen einzuhalten, insbesondere eine Eingangsbestätigung innerhalb von sieben Tagen und eine ergebnisorientierte Rückmeldung innerhalb von drei Monaten. Das LkSG schreibt risikobasierte Sorgfaltspflichten in Bezug auf Menschenrechte und bestimmte Umweltrisiken vor, einschließlich der Benennung verantwortlicher Funktionen, regelmäßiger und anlassbezogener Risikoanalysen, der Umsetzung präventiver und abhelfender Maßnahmen sowie des Betriebs eines zugänglichen Beschwerdemechanismus. Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) hat Ende 2025 angekündigt, routinemäßige Prüfungen von Unternehmensberichten einzustellen und die Durchsetzung vorübergehend auf schwerwiegende Verstöße zu konzentrieren, während Gesetzesänderungen vorbereitet werden; die zentralen Sorgfalts- und Beschwerdepflichten gelten jedoch fort und unterliegen risikobasierten ex officio-Prüfungen.

Über das deutsche Recht hinaus unterliegen viele Unternehmensgruppen zudem aufsichtsrechtlichen Erwartungen in regulierten Branchen sowie emittentenbezogenen Pflichten am Kapitalmarkt. Zusammengenommen unterstreichen diese Anforderungen die Notwendigkeit eines strukturierten, angemessen ausgestatteten und gut dokumentierten CMS mit klar definierten Entscheidungsrechten, Berichtswegen und Eskalationspfaden.

1.3 Internationale Rahmenwerke und das Drei-Linien-Modell

ISO 37301:2021 ist ein internationaler, zertifizierbarer Standard der Internationalen Organisation für Normung, der Anforderungen und Leitlinien für ein wirksames CMS definiert. Er folgt dem Plan-Do-Check-Act-Zyklus und betont Führungskommitment, Compliance-Kultur, Risikobewertung, Kontrollen und kontinuierliche Verbesserung.

In der Praxis ist IDW PS 980 zudem als maßgeblicher Prüfungsstandard anerkannt, um die Angemessenheit und Wirksamkeit eines CMS zu beurteilen.

Aus organisatorischer Sicht sollten Unternehmen ein Drei-Linien-Modell betreiben:

• Die erste Linie, also das Geschäft, trägt die Verantwortung für Compliance in den täglichen Prozessen;
• die zweite Linie, also Compliance und andere Kontrollfunktionen, setzt Rahmenvorgaben, berät, überwacht und hinterfragt; und
• die dritte Linie, also die Interne Revision, erbringt unabhängige Prüfungsbestätigung und berichtet an den Prüfungsausschuss.

Dieses international etablierte Modell passt gut zu deutschen Corporate-Governance-Strukturen und aufsichtsrechtlichen Erwartungen.

2. Governance-Design: Rollen, Unabhängigkeit und Berichtswege

2.1 Managementmandat, Unabhängigkeitssicherungen und Ressourcen

Eine klare Compliance-Ordnung sollte den Umfang und die Ziele des CMS, die Befugnisse der Compliance-Funktion sowie Vorkehrungen zur Wahrung ihrer Unabhängigkeit festlegen. Sie sollte ausdrücklich einen unbeschränkten Zugang zu einschlägigen Informationen vorsehen, Regeln zum Umgang mit Interessenkonflikten bei Sachverhalten mit Beteiligung der Führungsebene festschreiben und unmittelbare Berichtsrechte an den CEO oder den General Counsel sowie, wo angemessen, an den Vorsitzenden des Prüfungsausschusses sichern. Das Management sollte einen jährlichen Compliance-Plan entsprechend dem Risikoprofil des Unternehmens genehmigen und sicherstellen, dass das CMS angemessen ausgestattet ist. Eine Zentralisierung der Compliance auf Konzernebene ist häufig effizient, setzt jedoch eine unparteiische Fallbearbeitung, eine wirksame lokale Erreichbarkeit, eine ausreichende Sprachabdeckung und belastbare Servicevereinbarungen voraus, die mit den lokalen Mitbestimmungs- und Datenschutzanforderungen vereinbar sind.

2.2 Aufsicht durch den Aufsichtsrat und die Schnittstelle zum Prüfungsausschuss

Der Aufsichtsrat, der in der Regel über den Prüfungsausschuss handelt, ist für die Überwachung des CMS verantwortlich. Die regelmäßige Berichterstattung an den Prüfungsausschuss sollte wesentliche Compliance-Risiken, bedeutende Untersuchungen und deren Ergebnisse, den Stand von Abhilfemaßnahmen, wesentliche Änderungen der Richtlinien, die Abdeckung durch Schulungen, die Ergebnisse von Überwachungs- und Testaktivitäten sowie wichtige Leistungsindikatoren (KPIs) behandeln. Angelegenheiten von wesentlicher Bedeutung, insbesondere Fälle, an denen die oberste Führungsebene beteiligt ist oder die auf systemische Kontrollmängel hindeuten, sollten unverzüglich an den gesamten Aufsichtsrat weitergeleitet werden.

2.3 Drei Linien in der Praxis und Koordinationsprotokolle

Wirksame Koordinationsmechanismen sind entscheidend, um Lücken und Doppelarbeiten zwischen Compliance, Risikomanagement, internem Kontrollsystem und Interner Revision zu vermeiden. Gemeinsame Risiko- und Kontrolltaxonomien, ein zentrales Register für Feststellungen und Maßnahmen mit klarer Einzelverantwortung sowie ein vierteljährliches Executive-Compliance- oder Risk-Komitee stellen sicher, dass Aktivitäten der zweiten und dritten Linie zeitnah in Managementmaßnahmen münden und in eine konsistente, hochwertige Berichterstattung an den Aufsichtsrat einfließen. In grenzüberschreitend tätigen Konzernen ist außerdem sicherzustellen, dass zentrale Compliance-Teams angemessenen Zugang zu lokalen Daten und Mitarbeitenden haben, um eine unparteiische Fallbearbeitung und wirksames Monitoring zu ermöglichen.

2.4 Spezialbeauftragte und Schnittstellen

Ein praxistaugliches CMS bindet Spezialbeauftragte und deren gesetzliche Programme ein, etwa den Datenschutzbeauftragten (DPO), den Geldwäschebeauftragten (AMLO) sowie den Menschenrechtsbeauftragten oder eine sonst benannte verantwortliche Person nach dem LkSG. Die nach dem HinSchG eingerichtete interne Meldestelle dient als zentrale Anlaufstelle für Fallannahme und Nachverfolgung. Klare, gut definierte Schnittstellen zwischen diesen Rollen und der zentralen Compliance-Funktion, gestützt durch einheitliche Standards für das Fallmanagement und harmonisierte Eskalationskriterien, sind unerlässlich, um Kohärenz, klare Verantwortlichkeiten und eine wirksame Aufsicht sicherzustellen.

3. Bausteine eines effektiven CMS

3.1 Ausrichtung an Rahmenwerken, Verhältnismäßigkeit und Prüfbarkeit

Die Angleichung an ISO 37301 schafft eine gemeinsame Sprache für globale Stakeholder und erleichtert eine Zertifizierung, sofern diese Mehrwert stiftet. Eine Prüfung nach IDW PS 980 kann, sei es mit Fokus auf Aufbau und Gestaltung, Implementierung oder Wirksamkeit, eine belastbare externe Bestätigung liefern. Maßgeblich bleibt die Verhältnismäßigkeit: Ausgestaltung der Kontrollen, Tiefe des Monitorings und Strenge der Dokumentation sollten sich am Risikoprofil und möglichen Auswirkungen orientieren. Wird das CMS von Beginn an mit Blick auf seine Prüfbarkeit konzipiert, lassen sich Reibungen mit Interner Revision, Abschlussprüfern und Aufsichtsbehörden minimieren.

3.2 Richtlinienarchitektur und Risikoanalyse

Ein kohärentes Richtlinienwerk sollte vom zentralen Verhaltenskodex ausgehend in zielgerichtete, risikospezifische Richtlinien und Verfahren ausdifferenzieren. Die Compliance-Risikoanalyse sollte systematisch, gut dokumentiert und in das Enterprise Risk Management integriert sein; sie stützt sich unter anderem auf Faktoren wie geografische Präsenz, Geschäftsmodell, Vertriebskanäle, Gegenparteiprofile und Vorfallhistorie. Die Ergebnisse sollten unmittelbar in Richtlinienanpassungen, Kontrollgestaltung, Trainingsschwerpunkte und Monitoring-Aktivitäten der zweiten Linie einfließen.

3.3 Speak-up, Fallannahme und geschütztes Verfahren

Das Speak-up-System muss mehrere Meldekanäle vorsehen, wo möglich auch anonyme Optionen, und die unparteiische Bearbeitung durch die nach dem HinSchG eingerichtete Meldestelle integrieren. Der Eingang sollte innerhalb weniger Tage bestätigt und eine ergebnisorientierte Rückmeldung innerhalb weniger Monate gegeben werden, sofern gesetzliche Vorgaben nichts anderes verlangen. Ein standardisiertes Protokoll für Annahme, Triage und Eskalation sollte Interessenkonflikt-Checks, die Prüfung von Rechtsprivilegien, frühzeitige Beweissicherung sowie Schutzvorkehrungen gegen unzulässiges „Tipping-off“ enthalten, insbesondere bei Risiken der Finanzkriminalität oder des Marktmissbrauchs. Methoden für Interviews und forensische Maßnahmen sind Durchführungsthemen; siehe Teil III (Mitarbeiterinterviews) und Teil IV (Daten-/Dokumentensichtung und Durchsuchungen).

3.4 Kontrollen, Monitoring, Kennzahlen und Assurance

Präventive und detektive Kontrollen sollten direkt in die Geschäftsprozesse eingebettet sein, unterstützt durch Monitoring der zweiten Linie und regelmäßige Tests. Ein definierter Satz von KPIs sollte unter anderem nachverfolgen:

• Speak-up-Aktivität und Nutzung der Meldekanäle;
• Rechtzeitigkeit von Fallannahme und Triage;
• Durchlaufzeiten von Untersuchungen;
• wiederkehrende Muster bei Ursachenanalysen;
• Rechtzeitigkeit und Wirksamkeit von Abhilfemaßnahmen;
• Richtlinienbestätigungen;
• Trainingsabschluss und -abdeckung; und
• Performance wesentlicher Kontrollen.

Wo sinnvoll, kann eine freiwillige externe Assurance des CMS nach IDW PS 980 die Aufsichtsfunktion des Aufsichtsrats zusätzlich stärken und externe Glaubwürdigkeit schaffen.

3.5 Grundgerüst der Dokumentation

Pflegen Sie ein Grundgerüst der Dokumentation, das sowohl die zeitnahe Unterrichtung des Managements als auch eine spätere Überprüfung trägt: Arbeitspapiere der Risikoanalyse, Richtlinienstände und -bestätigungen, Schulungsnachweise, Monitoring- und Testergebnisse, Untersuchungsakten, Maßnahmen-Tracker zur Abhilfe sowie Protokolle von Management-Reviews und Unterrichtungen des Aufsichtsgremiums.

4. Berichtsstruktur und Entscheidungsfindung

4.1 Entscheidungsbefugnisse und Eskalationsmatrizen

Für Compliance-Maßnahmen mit hohem Risiko sollte eine klare Matrix der Entscheidungsbefugnisse definiert werden, die Folgendes umfasst:

• Abgrenzung und Priorisierung von Fällen;
• Genehmigung forensischer Maßnahmen und Durchsuchungsbereitschaft;
• Autorisierung von Befragungen und Festlegung der Befragungsreihenfolge;
• Beauftragung und Mandatierung externer Anwälte oder Forensik-Experten;
• Festlegung und Einhaltung von Protokollen zum Anwaltsgeheimnis;
• Entscheidungen über die externe Meldung an Behörden;
• Aussetzung oder Beendigung der Geschäftsbeziehung mit Vertragspartnern;
• Disziplinarmaßnahmen;
• Genehmigung von Kontrollkorrekturmaßnahmen; und
• Meldungen an den Aufsichtsrat.

Die Entscheidungskriterien sollten risikobasiert sein und insbesondere die Schwere und Glaubwürdigkeit der Vorwürfe, das potenzielle rechtliche, finanzielle und reputationsbezogene Risiko, die Beteiligung der Geschäftsleitung sowie grenzüberschreitende Implikationen berücksichtigen. Hinsichtlich der anwendbaren Schwellenwerte und Fristen für Ad-hoc-Mitteilungen und die Führung von Insiderlisten wird auf Teil I dieser Reihe verwiesen.

4.2 Strukturierte Berichterstattung an das Management

Das Management sollte regelmäßige sowie anlassbezogene Berichterstattung erhalten, die wesentliche Compliance-Risiken, Vorfälle und deren Ergebnisse, den Fortschritt von Abhilfemaßnahmen und Kontrollverbesserungen, Entwicklungen bei Richtlinien und Schulungen, Ergebnisse von Überwachungs- und Prüfungstätigkeiten sowie relevante Feststellungen aus der Prüfungssicherung zusammenfasst. Dem Prüfungsausschuss sollte eine konsolidierte, systemweite Übersicht bereitgestellt werden, die sich auf die Gesamtwirksamkeit des CMS, aufkommende Trends und systemische Probleme konzentriert; zudem sollte er Abhilfemaßnahmen aktiv bis zu deren Abschluss nachverfolgen. Angelegenheiten, die die Geschäftsleitung betreffen oder auf wesentliche oder systemische Kontrolldefizite hindeuten, sollten sofort eskaliert werden.

4.3 Abschlussdisziplin

Jeder wesentliche Fall sollte mit einer dokumentierten Analyse sowie einem Maßnahmenpaket abgeschlossen werden, das die Neugestaltung von Kontrollen, Prozessverbesserungen, gezielte Schulungsauffrischungen und, soweit anwendbar, Maßnahmen gegenüber Geschäftspartnern umfasst. Erkenntnisse sollten systematisch in die Compliance-Risikobewertung, die einschlägigen Richtlinien und die Schulungscurricula zurückfließen, um die Prävention zu stärken. Erwägungen zu disziplinarischen Maßnahmen und einer möglichen Amnestie werden in Teil VII dieser Reihe behandelt.

Governance-Rahmen: Rollen, Mandate und Berichtslinien

5. Umsetzungsfahrplan und Betriebsdisziplin

5.1 Diagnose, Festlegung und Fahrplan

Ausgangspunkt sollte eine strukturierte Lückenanalyse sein, die an ISO 37301 und den nach der Praxis erwarteten Elementen gemessen und auf das spezifische Risikoprofil des Unternehmens kalibriert wird. Auf Grundlage der Ergebnisse ist eine Compliance-Charta zu entwickeln, die den Umfang des CMS, Mandate, Entscheidungs- und Eskalationsrechte sowie Vorkehrungen zur Wahrung der Unabhängigkeit klar definiert. Die Geschäftsleitung sollte sodann einen zwei- bis dreijährigen Reifegrad-Fahrplan für das CMS genehmigen, der nach Risiko und Komplexität priorisiert ist, und die Meilensteine der Überwachung mit den Tagesordnungen des Prüfungsausschusses abstimmen.

5.2 Workflow der Fallbearbeitung und Servicelevel

Es ist ein standardisiertes Fallbearbeitungsrahmenwerk einzurichten, das Eingangskanäle, Triage-Kategorien, Entscheidungsbefugnisse, Beweissicherung, Interessenkonfliktprüfungen und die Abschlussdokumentation umfasst. Die gesetzlichen Fristenvorgaben des HinSchG, insbesondere Eingangsbestätigung und Rückmeldungsfristen, sowie die Beschwerdebearbeitungspflichten nach dem LkSG sollten von vornherein in das System integriert werden. Die Schnittstellen zu Rechtsabteilung, Personalabteilung, Datenschutz und IT-Forensik sind klar abzugrenzen, um eine reibungslose Zusammenarbeit sicherzustellen. Für detaillierte Hinweise zu Befragungsstandards und Datenscreening-Protokollen wird auf Teil III und Teil IV dieser Reihe verwiesen.

5.3 Systeme, Kennzahlen und Überwachung

Das CMS ist durch geeignete Systeme zu unterstützen, darunter ein Fallbearbeitungstool mit rollenbasierten Zugriffskontrollen, eine Richtlinienmanagement-Plattform mit Versionskontrolle und Bestätigungsfunktionen sowie eine Schulungslösung mit Abschluss- und Abdeckungsanalysen. Es ist ein belastbares Set an KPIs zu definieren, auf das sich Geschäftsleitung und Prüfungsausschuss dauerhaft stützen können. Ein vierteljährlich tagendes Compliance- oder Risikogremium, in der Regel unter Vorsitz des CEO oder General Counsel, sollte Leistungskennzahlen auswerten, Abhilfemaßnahmen priorisieren sowie Inhalt und Schwerpunkte der Berichterstattung an den Aufsichtsrat festlegen.

6. Sonderthemen und aktuelle Entwicklungen

6.1 LkSG-Praxis und Durchsetzung

Die Kernsorgfaltspflichtenarchitektur des LkSG bleibt vollumfänglich in Kraft, einschließlich Risikomanagement, anlassbezogener und regelmäßiger Risikoanalysen, Präventions- und Abhilfemaßnahmen sowie eines zugänglichen Beschwerdeverfahrens. Obwohl Ankündigungen des BAFA im Jahr 2025 einen Rückbau der routinemäßigen Überprüfung von Unternehmensberichten und eine Fokussierung der Durchsetzung signalisierten, während die gesetzgeberische Überarbeitung vorbereitet wird, und umfassende Prüfungen der Berichtseinreichungen zurückgestellt wurden, werden risikobasierte Prüfungen von Amts wegen weiterhin durchgeführt. Die materiellen Sorgfaltspflichten bleiben daher unverändert bestehen. Unternehmen sollten eine belastbare Dokumentation vorhalten, stakeholder- und risikobasierte Analysen durchführen und zugängliche sowie barrierefreie Beschwerdekanäle betreiben. Auf EU-Ebene wird die Richtlinie über die Sorgfaltspflichten von Unternehmen im Bereich der Nachhaltigkeit (CSDDD) nach Umsetzung in die nationalen Rechtsordnungen der EU-Mitgliedstaaten Anwendungsbereich und Pflichten in den kommenden Jahren neu gestalten. Wer bereits jetzt skalierbare und anpassungsfähige Prozesse gestaltet, kann kostspielige Nacharbeiten vermeiden.

6.2 Globale Ausrichtung und lokale Besonderheiten

Für multinationale Konzerne kann ein zentral konzipiertes, an ISO 37301 ausgerichtetes CMS ein kohärentes globales Grundgerüst bilden. Zugleich sind lokale Ergänzungen unerlässlich, um jurisdiktionsspezifische Anforderungen abzubilden, darunter betriebliche Mitbestimmung, Datenschutzvorschriften, Hinweisgebersysteme und sektorspezifische Regulierung. Konzernweite Service-Level-Vereinbarungen sollten unparteiische Bearbeitungsstandards, Zugriffsrechte, Sprachabdeckung und Eskalationswege klar definieren. Die Rolle und Rechte der Arbeitnehmervertretungen werden in Teil VI dieser Reihe behandelt.

7. Fazit

Eine wirksame Compliance-Organisation beginnt mit einem klaren Mandat, einer verhältnismäßigen Ausgestaltung und nachweisbarer Unabhängigkeit. Die Pflichten des Vorstands zur ordnungsgemäßen Organisation und Überwachung des Unternehmens, bei börsennotierten Gesellschaften in gesteigertem Maße, bilden die rechtliche Grundlage, während sich der DCGK zu einem praktischen Maßstab für die Beschreibung des CMS sowie die Beurteilung seiner Angemessenheit und Wirksamkeit entwickelt hat.

Spezialisierte gesetzliche Regime übersetzen allgemeine Grundsätze in konkrete organisatorische Anforderungen, definierte Bearbeitungsfristen und disziplinierte Dokumentationspraktiken. Um internationale Glaubwürdigkeit zu erreichen, orientiert sich die Umsetzung typischerweise an ISO 37301, ist entlang eines Drei-Linien-Modells strukturiert und wird durch systematische interne Überwachung sowie, wo angemessen, externe Prüfungssicherung gestützt, um sowohl die Aufsicht durch den Vorstand als auch die externe Kommunikation zu stärken.

Zentrale operative Leitlinien umfassen klar definierte Entscheidungsbefugnisse, disziplinierte Eskalation und Berichterstattung, belastbare Dokumentation und Kennzahlen sowie eine kontinuierliche Verbesserung, die auf Vorfallanalysen und integrierter Prüfungssicherung beruht. Wo die Compliance-Umsetzung Schnittstellen zu Befragungen, Datenscreenings, Datenverarbeitung oder Mitbestimmungsanforderungen aufweist, sollten Unternehmen ihren Ansatz an den in Teilen III bis VI dieser Briefing-Reihe dargelegten Leitlinien ausrichten.