Compliance im Unternehmen für Dummies E-Book

Oliver Haag

• Herausgeber: Wiley-VCH GmbH
• Kategorie: Fachliteratur
• Serie: ...für Dummies
• Sprache: Deutsch

Seitenzahl: 608

Veröffentlichungsjahr: 2024

Beschreibung

Recht so!

Erfüllt Ihr Unternehmen die gesetzlichen Vorgaben? Die Rechtsfolgen bei Compliance-Verstößen können erheblich sein. Wer sich also mit Compliance auskennt, die Risiken kennt und zu vermeiden oder zumindest zu begrenzen weiß, der ist gut beraten. Dieses Buch zeigt, mit welchen konkreten Compliance-Maßnahmen Sie Ihr Unternehmen absichern und sich wirkungsvoll gegen Compliance-Verstöße wie zum Beispiel Korruption oder andere Regelverstöße schützen können. Außerdem erfahren Sie, wie Sie die Anforderungen von Corporate Social Responsibility und Environmental, Social und Governance erfüllen können.

Sie erfahren

• Warum Compliance für Ihr Unternehmen wichtig ist
• Wie Compliance-Maßnahmen Ihr Unternehmen vor Schaden bewahren
• Warum Sie ein Hinweisgebersystem einführen sollten
• Wissenswertes über CSR, ESG und das Lieferkettensorgfaltspflichtengesetz

Leseprobe

Compliance im Unternehmen für Dummies

Schummelseite

WAS IST COMPLIANCE?

Compliance bedeutet die Einhaltung aller für das jeweilige Unternehmen geltenden Regeln. Hierunter fallen die einzuhaltenden Gesetze (externe Regeln) und die vom Unternehmen selbst gesetzten Vorgaben wie zum Beispiel Unternehmensrichtlinien und Arbeitsanweisungen (interne Regeln).

DIE FOLGEN BEI COMPLIANCE-VERSTÖßEN

Compliance-Verstöße werden von den deutschen und internationalen Behörden hart sanktioniert. Nach den Gesetzen drohen:

Bußgelder, Geld- oder Freiheitsstrafen für die Mitarbeiter, die kriminelle Verstöße begangen habenBußgelder und mögliche Freiheitsstrafen gegen die Geschäftsleitung, wenn erforderliche Organisations- und Aufsichtspflichten vernachlässigt worden oder unterblieben sind, um Compliance-Verstöße der Beschäftigten zu vermeidenBußgelder für das Unternehmen selbst, wenn keine ausreichenden Compliance-Maßnahmen im Unternehmen vorhanden sind, um Gesetzesverstöße bestmöglich zu vermeidenSchadensersatzansprüche der Gesellschaft gegenüber der Unternehmensleitung (Vorstandsmitglieder, GmbH-Geschäftsführer)Ausschluss des Unternehmens von der Vergabe öffentlicher Aufträge

Neben diesen gesetzlichen Konsequenzen dürfen Sie aber auch Reputationsschäden für Ihr Unternehmen aufgrund von Gesetzesverstößen nicht unterschätzen.

ZIELE EINES COMPLIANCE-MANAGEMENT-SYSTEMS (CMS)

Prävention, das heißt die Begrenzung oder Vermeidung von Verstößen und Fehlverhalten der BeschäftigtenAufdeckung von FehlverhaltenReaktion auf entdeckte Verstöße, also zum einen Fehlverhalten zu sanktionieren und zum anderen das Compliance-Management-System (CMS) fortlaufend zu verbessern

EINE KLEINE AUSWAHL VON COMPLIANCE-BEGRIFFEN

Vorteilsgewährung: wenn einem Amtsträger ein Vorteil für diesen oder einen Dritten angeboten, versprochen oder gewährt wird, damit dieser eine legale Dienstausübung vornimmt.

Bestechung: wenn einem Amtsträger ein Vorteil für diesen oder einen Dritten als Gegenleistung dafür angeboten, versprochen oder gewährt wird, dass dieser eine Diensthandlung vorgenommen hat oder künftig vornimmt und dadurch seine Dienstpflichten verletzt beziehungsweise verletzen würde.

Compliance-Monitor: unabhängiger externer Experte, der meist aufgrund von Vergleichsverträgen zwischen den US-amerikanischen Behörden und dem Unternehmen, gegen das wegen Verstößen gegen das US-amerikanische Anti-Korruptionsgesetz ermittelt wird, eingesetzt wird. Er ist für einen begrenzten Zeitraum als Aufpasser im Unternehmen tätig und prüft, ob das Unternehmen die vereinbarten Maßnahmen auch umsetzt und einhält.

Dual-Use-Güter: sind Produkte, die für den alltäglichen Gebrauch (ziviler Verwendungszweck) oder für militärische Zwecke verwendet werden können (Güter mit doppeltem Verwendungszweck). Hierunter fallen insbesondere viele Produkte aus dem Bereich der Telekommunikation, der IT-Technik, dem mechanischen, elektrischen oder elektrotechnischen Bereich.

Geldwäsche: wenn illegal erwirtschaftete Vermögenswerte in den legalen Finanz- und Wirtschaftskreislauf eingeschleust werden; vorzugsweise über schwer nachvollziehbare Bareinnahmen wie zum Beispiel aus Casinos oder dem Handel mit Gebrauchtwaren.

Hinweisgebersystem (auch »Whistleblowing« genannt): wenn Mitarbeiter oder Geschäftspartner über verschiedene Meldekanäle wie zum Beispiel E-Mail, Telefon-Hotline oder Ombudspersonen die Möglichkeit haben, mehr oder weniger anonym auf Compliance-Verstöße in Ihrem Unternehmen hinzuweisen.

Kartell: ein Zusammenschluss mehrerer Unternehmen, die ihr Verhalten auf dem Markt gemeinsam koordinieren, um den Wettbewerb einzuschränken oder auszuschalten.

Legalitätspflicht: Vorstandsmitglieder müssen zum Schutz des Vermögens der Gesellschaft sicherstellen, dass sich die einzelnen Vorstandsmitglieder und alle Mitarbeiter der Gesellschaft bei der Ausübung ihrer geschäftlichen Tätigkeit an sämtliche geltenden Gesetze und Normen halten.

Vier-Augen-Prinzip: Damit stellen Sie sicher, dass nicht ein einzelner Ihrer Mitarbeiter allein wesentliche Entscheidungen treffen darf. Stattdessen wird bei bestimmten Tätigkeiten eine weitere Person zur Kontrolle oder Entscheidung eingebunden.

Compliance im Unternehmen für Dummies

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

2., überarbeitete und aktualisierte Auflage 2024

© 2024 Wiley-VCH GmbH, Boschstraße 12, 69469 Weinheim, Germany

Wiley, the Wiley logo, Für Dummies, the Dummies Man logo, and related trademarks and trade dress are trademarks or registered trademarks of John Wiley & Sons, Inc. and/or its affiliates, in the United States and other countries. Used by permission.

Wiley, die Bezeichnung »Für Dummies«, das Dummies-Mann-Logo und darauf bezogene Gestaltungen sind Marken oder eingetragene Marken von John Wiley & Sons, Inc., USA, Deutschland und in anderen Ländern.

Das vorliegende Werk wurde sorgfältig erarbeitet. Dennoch übernehmen Autoren und Verlag für die Richtigkeit von Angaben, Hinweisen und Ratschlägen sowie eventuelle Druckfehler keine Haftung.

Coverfoto: © STUDIO GRAND WEB / stock.adobe.comLektorat: Dr. Katharina Hemschemeier, BerlinKorrektur: Johanna Rupp, Walldorf

Print ISBN: 978-3-527-72060-6 ePub ISBN: 978-3-527-84206-3

Über die Autoren

Oliver Haag ist Professor für Wirtschaftsrecht an der Hochschule Konstanz mit den Lehr- und Tätigkeitsschwerpunkten Corporate Compliance, Handels- und Gesellschaftsrecht sowie Arbeitsrecht. Zuvor war er mehrere Jahre als Rechtsanwalt und Chefsyndikus in der europäischen Luft- und Raumfahrtindustrie vorwiegend mit nationalen und internationalen Unternehmenstransaktionen, Restrukturierungen und Beteiligungsmanagement beschäftigt. Neben seiner Tätigkeit als Hochschullehrer ist er für verschiedene Bildungsträger in der berufsbegleitenden Erwachsenenbildung sowie als Of Counsel einer auf Unternehmensrecht spezialisierten Anwaltskanzlei für nationale und internationale Unternehmen und Verbände tätig. Er verfügt über umfangreiche Praxis- und Lehrerfahrung und hat zahlreiche Beiträge zum Unternehmensrecht veröffentlicht, unter anderem »Arbeitsrecht für Dummies«.

Maximilian Jantz ist Syndikusrechtsanwalt und Compliance-Manager eines deutschen Großunternehmens. Er verfügt über langjährige Compliance-Erfahrung und -Praxis in den unterschiedlichsten Compliance-Bereichen verschiedener Industrieunternehmen. In der Zeit von 2011 bis 2014 war er im Konstanz Institut für Corporate Governance (KICG) für die juristische Bearbeitung des vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Forschungsprojekts »Leitlinien für das Management von Organisations- undAufsichtspflichten« beschäftigt. Er war mehrere Jahre als Lehrbeauftragter zum Handels- und Gesellschaftsrecht tätig und ist Referent zu verschiedenen Rechts- und Compliance-Themen.

Inhaltsverzeichnis

Cover

Titelblatt

Impressum

Über die Autoren

Inhaltsverzeichnis

Einführung

Über dieses Buch

Was dieses Buch nicht will

Konventionen in diesem Buch

Törichte Annahmen über den Leser

Wie dieses Buch aufgebaut ist

Symbole, die in diesem Buch verwendet werden

Wie es weitergeht

Teil I: Willkommen in der Welt von Compliance

Kapitel 1: Was Sie schon immer über Compliance wissen wollten

Back to the roots

Warum Menschen Wirtschaftsstraftaten begehen

Was die Gesetze zu Compliance sagen

Und was ist nun die Quintessenz?

Teil II: Anforderungen an eine funktionierende Compliance

Kapitel 2: Compliance-Organisation

Compliance-Verantwortung obliegt der Leitung!

Der (Chief) Compliance Officer (CCO oder CO)

Informationsversorgung und Berichtswesen

Die Rolle des Aufsichtsrats

Organisatorische Besonderheiten für Unternehmen von »öffentlichem Interesse«

Kapitel 3: Gefahren im Blick behalten: Die Risikoanalyse

Typische Compliance-Risiken

Der Risikomanagementprozess

Risikoberichtswesen und Dokumentation

Kapitel 4: Compliance- und Verhaltensrichtlinien

Unwissenheit schützt vor Strafe nicht: den richtigen Pfad abstecken

Der Verhaltenskodex (Code of Conduct)

Wann Compliance- und Verhaltensrichtlinien spezifisch definiert sein müssen

Typischer Aufbau von Compliance- und Verhaltensrichtlinien

Wichtige Punkte zu Compliance- und Verhaltensrichtlinien

Verhaltens- und Compliance-Richtlinien in ausländischen Tochterunternehmen

Anpassung von Richtlinien und Dokumentation

Compliance-Richtlinien und der Betriebsrat

Kapitel 5: Kennen Sie Ihren Geschäftspartner?

Prüfe, wer sich bindet – die Geschäftspartnerprüfung

Ziel einer Geschäftspartnerprüfung

Geschäftspartnerprüfung in der Praxis

Compliance-Risiken mit Geschäftspartnern minimieren

Kapitel 6: Compliance im Personalwesen

Sorgfältige Personalauswahl

Personaleinstellung und Einarbeitungsprozess

Personal- und Führungskräfteentwicklung

Vergütung und finanzielle Anreizsysteme

Personal- oder Aufgabenrotation

Die Sanktionierung von Fehlverhalten

Ausscheiden von Mitarbeitern

Die Rolle der Personalabteilung

Kapitel 7: Whistleblowing – das Hinweisgebersystem

Müssen Sie ein Hinweisgebersystem einrichten?

Die interne Meldestelle und ihre Aufgaben

Die externen Meldestellen

Welche Art von Hinweisen fällt eigentlich in den Schutzbereich des HinSchG?

Auf welche Personen erstreckt sich der Hinweisgeberschutz?

Umfang des Hinweisgeberschutzes

Da hat der Hinweisgeberschutz seine Grenzen

Auch diese Personen werden geschützt

Meldepflicht für Mitarbeiter

Datenschutz und Datensicherheit

Herausforderungen an (internationale) Konzerne

Amnestie im Unternehmen

Kapitel 8: Compliance-Kommunikation, Schulung und Unternehmenskultur

Training und Schulung

Interne Compliance-Kommunikation

Gestaltung der Schulungsinhalte und Kommunikationsmaßnahmen

Externe Compliance-Kommunikation

Kommunikation bei Neueinführung von Compliance

Unternehmenskultur – nicht Wasser predigen und Wein trinken

Kapitel 9: Überwachung und Kontrolle

Fehlverhalten vermeiden und aufdecken

Wie gut funktioniert Ihr CMS?

Kapitel 10: Compliance-Programm

Die richtigen »Zutaten« für Ihr Unternehmen

Compliance bedeutet kontinuierliche Arbeit!

Kapitel 11: Interne und behördliche Untersuchungen

Interne Untersuchungen

Zehn goldene Regeln bei behördlichen Durchsuchungen

Teil III: Compliance-Rechtsgebiete mit hohen Risiken

Kapitel 12: Korruptionsdelikte und Prävention

Eine Hand wäscht die andere?

Amtsträgerbestechung

Abgeordnetenbestechung

Bestechung und Bestechlichkeit im geschäftlichen Verkehr

Bestechung und Bestechlichkeit im Gesundheitswesen

Wo ist die Grenze zwischen Höflichkeit und Korruption?

Die Korruption kommt selten allein …

Korruptionstypologien und »Red Flags«

Korruption im internationalen Kontext

Niemals Korruption – außer im absoluten Notfall

Spenden und Sponsoring

Korruptionsprävention im Unternehmen

Sanktionen

Ein kleiner Denkanstoß zum Schluss

Kapitel 13: Kartellrecht

Kartellrecht – was ist das?

Das Kartellverbot

Missbrauch einer marktbeherrschenden Stellung

Sanktionen, Bußgelder und sonstige Konsequenzen

Das Kind ist im Brunnen – was tun bei Verstößen?

Kapitel 14: Exportkontrolle und Sanktionslistenprüfung

Die Ziele der Exportkontrolle

Was darf ich ausführen oder verbringen, was nicht?

Organisatorische Anforderungen an die Exportkontrolle

Embargos und Anti-Terror-Verordnungen der EU

Exportkontrolle und Terrorlisten der USA

Verstöße gegen Exportkontrollvorschriften und Sanktionslisten

Kapitel 15: Geldwäscheprävention und Vermeidung von Terrorismusfinanzierung

Die drei Waschvorgänge für illegale Einnahmen

Geldwäschebekämpfung und Vermeidung der Terrorismusfinanzierung – das Geldwäschegesetz (GwG)

Wer muss und wer nicht? – Die glorreichen 16 »Verpflichteten«

Allgemeines Risikomanagement

Allgemeine Sorgfaltspflichten

Wo es Allgemeines gibt, existiert auch das Besondere

Dokumentation nicht vergessen!

Des einen Freud, des andren Leid – das Transparenzregister

Das ist doch faul – Meldepflicht bei Verdachtsfällen

Verstöße gegen das GwG – immer ein teurer Spaß

Ein gut gemeinter Rat zum Schluss

Kapitel 16: Datenschutzrecht

Das Datenschutzgesetz

Personenbezogene Daten

Die Verarbeitung

Unter welchen Voraussetzungen dürfen Sie Daten verarbeiten?

Transparenz- und Informationspflichten

Die »Datenschutz-Folgenabschätzung«

Der Datenschutzbeauftragte

Besondere Rechte der betroffenen Personen

Auftragsdatenverarbeitung

TOM ist gefragt

Verzeichnis von Verarbeitungstätigkeiten

Datenpannen-Meldepflicht

Bußgelder und Sanktionen

Die Herausforderung an Compliance

Datenübermittlung in Drittländer

Kapitel 17: Lieferkettensorgfaltspflichtengesetz

Was ist das LkSG und warum brauchen wir es?

Diese Unternehmen müssen handeln – der Anwendungsbereich des LkSG

Die geschützten Menschenrechte und Umweltbelange

Hätte, hätte, Lieferkette – was ist eigentlich die »Lieferkette«?

Die neun Gebote des LkSG – Sorgfaltspflichten von Unternehmen

Bestimmung, wer im Haus was macht – die betriebsinterne Zuständigkeit

Grundsatzerklärung – klare Ansage von oben

Präventionsmaßnahmen verankern

Wer nicht folgt, muss mit Folgen rechnen – Konsequenzen bei LkSG-Verstößen

Die Rolle des BAFA

Teil IV: Der Top-Ten-Teil

Kapitel 18: Zehn falsche Thesen über Compliance

Compliance ist doch nur etwas für Großkonzerne!

Wir brauchen keine Compliance, unsere Mitarbeiter begehen keine Verstöße!

Compliance bringt keinen Mehrwert und kostet nur unnötig Geld!

Meinen Verstoß bekommen die Behörden doch gar nicht mit!

Ein Verstoß wird schon nicht so teuer werden …

Uns kann nichts passieren, wir haben uns ja rausgehalten!

Compliance ist doch nur ein Geschäftsverhinderer!

Ein Hinweisgebersystem (Whistleblowing System) fördert nur das Denunziantentum!

Ein funktionierendes Compliance-Management-System verhindert alle Verstöße.

Wegen Compliance müssen wir die Finger von Risikogeschäften lassen.

Kapitel 19: Notfallmanagement – wenn es eng wird

Notfall – ja, aber welcher?

In der Kürze liegt die Würze

Tatütata – das Notfallteam ist da

Auch Notfallteams haben Urlaub – die Stellvertretung

Informations- und Meldepflichten

Unterlagen sind gefragt

Kommunikationsregeln

Schulung des Notfallteams

Aktualisieren Sie den Notfallplan

Übung macht den Meister

Kapitel 20: Zehn Websites rund um das Thema Compliance und Integrität

Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA)

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Bundeskartellamt

Berufsverband der Compliance-Manager (BCM)

Deutsches Institut für Compliance e.V.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)

Forum Compliance & Integrity

Konstanz Institut für Corporate Governance (KICG)

Transparency International Deutschland e.V.

UN Global Compact

Stichwortverzeichnis

End User License Agreement

Tabellenverzeichnis

Kapitel 2

Tabelle 2.1: Vor- und Nachteile eines Compliance-Gremiums

Kapitel 3

Tabelle 3.1: Systematische Risikoerfassung

Kapitel 4

Tabelle 4.1: »Für jeden die richtige Richtlinie«

Tabelle 4.2: Richtlinienstruktur und -hierarchie

Tabelle 4.3: Beispiel für eine Richtliniendokumentation

Tabelle 4.4: Mitbestimmungsrechte des Betriebsrats

Kapitel 15

Tabelle 15.1: Faktoren für geringes oder hohes Risiko

Kapitel 17

Tabelle 17.1: Anforderungen an ein Meldesystem nach dem LkSG und dem HinSchG

Illustrationsverzeichnis

Kapitel 1

Abbildung 1.1: Das Betrugsdreieck nach Cressey

Kapitel 3

Abbildung 3.1: Risikomanagement-Kreislauf

Kapitel 4

Abbildung 4.1: Die Normenpyramide

Kapitel 10

Abbildung 10.1: Compliance-Ziel und abgeleitete Maßnahmen

Kapitel 12

Abbildung 12.1: Der Ablauf einer Kick-Back-Zahlung

Abbildung 12.2: Korruptionshandlungsmuster »Schwarze Kasse«

Kapitel 15

Abbildung 15.1: Der wirtschaftlich Berechtigte (UBO)

Abbildung 15.2: Mehrstufige Beteiligungsketten

Orientierungspunkte

Cover

Titelblatt

Impressum

Über die Autoren

Inhaltsverzeichnis

Einführung

Fangen Sie an zu lesen

Stichwortverzeichnis

End User License Agreement

Seitenliste

1

2

5

6

7

21

22

23

24

25

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

79

80

81

83

84

85

86

87

88

89

90

91

92

93

94

95

96

97

98

99

100

101

102

103

104

105

106

107

108

109

110

111

113

114

115

116

117

118

119

120

121

122

123

125

126

127

128

129

130

131

132

133

134

135

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

325

326

327

328

329

331

332

333

334

335

336

337

338

339

340

341

342

343

344

345

346

347

348

349

350

351

352

353

354

355

356

357

358

359

360

361

362

363

364

365

366

367

368

369

370

371

372

373

374

375

376

377

378

379

380

381

382

383

384

385

387

388

389

390

391

392

393

394

395

396

397

398

399

400

401

402

403

404

405

406

407

408

Teil I

Willkommen in der Welt von Compliance

IN DIESEM TEIL …

Wo Compliance herkommtWarum Menschen (immer wieder) Gesetzesverstöße begehenWie der rechtliche Rahmen zu Compliance aussieht – Normen und Gesetze im Blick habenWelche Organisations- und Aufsichtspflichten die Unternehmensleitung hatWarum Compliance-Verstöße richtig schmerzhaft sein können – die Folgen für das Unternehmen, die Unternehmensleitung und die MitarbeiterWeshalb Sie als Unternehmen gesellschaftliche Verantwortung wahrnehmen sollten – die Bedeutung von Corporate Social Responsibility und Environmental, Social und Governance

Kapitel 1

Was Sie schon immer über Compliance wissen wollten

IN DIESEM KAPITEL

Was Compliance bedeutetDer rechtliche RahmenGesellschaftliche Verantwortung übernehmenCompliance zum Schutz des Unternehmens

Wenn Sie regelmäßig den Wirtschaftsteil von Zeitungen verfolgen, wird Ihnen der Begriff Compliance mit Sicherheit schon einmal untergekommen sein. Er stammt aus dem Englischen und bedeutet übersetzt »Einhaltung, Beachtung, Befolgung oder Erfüllung«. Ja gut, werden Sie jetzt vielleicht denken, aber was hat das mit meinem Unternehmen zu tun, und warum sollte ich mich darum kümmern?

Es ist für Sie in der Tat von Vorteil, sich darum zu kümmern, denn im wirtschaftlichen Kontext ist mit »Compliance« weitaus mehr als lediglich eine Befolgung von Regeln verbunden – und das betrifft jedes Unternehmen, egal ob groß oder klein. Mit Compliance im unternehmerischen Sinne ist »Regeltreue, Regelkonformität des Unternehmens und seiner Mitarbeiter« gemeint. Kurz gesagt: Hier geht es darum, dass die Unternehmensleitung und die Mitarbeiter die geltenden Gesetze, Normen, unternehmensinternen Richtlinien und Verhaltensgrundsätze einhalten. Um dies zu erreichen, müssen Sie in Ihrem Unternehmen bestimmte zumutbare Anstrengungen und Maßnahmen umsetzen, da Sie andernfalls in Schwierigkeiten kommen werden.

Lassen Sie sich auf den nächsten Seiten in die Welt der Compliance entführen! Erfahren Sie, warum Compliance auch für Sie und für Ihr Unternehmen wichtig ist und wie auch kleine und mittelgroße Unternehmen mit wenigen, einfachen Mitteln diesem Ziel näherkommen und unnötige Risiken vermeiden können.

Back to the roots

Gehen wir kurz ein wenig zurück in der Geschichte, woher der Begriff »Compliance« eigentlich ursprünglich stammt, der in der Unternehmenswelt der USA bereits seit den 1980er-Jahren kursiert. Auslöser hierfür waren Wirtschaftsskandale der US-Finanzbranche. Insiderhandel, hochriskante Unternehmensfinanzierungen und Ramschanleihen verschiedener Finanzinstitute hatten 1989 zu einem Bankenkollaps in den USA mit erheblichen wirtschaftlichen Schäden geführt. Gegen die Unternehmen und viele Manager wurden drakonische Sanktionen verhängt; Haftstrafen von mehreren Jahren sowie Geldstrafen in dreifacher Millionenhöhe waren bereits damals keine Seltenheit.

Als Folge dieser Skandale überarbeitete 1991 die US-amerikanische Behörde United States Sentencing Commission (USSC) ihre Richtlinien, die US Sentencing Guidelines (USSG). Diese Richtlinien enthalten Empfehlungen für die Verhängung von Strafen durch die Bundesgerichte der USA, welche um Regelungen für die Bestrafung von Unternehmen ergänzt wurden. Völlig neu zu dieser Zeit war, dass die USSGCompliance-Programme zu einem zentralen Bestandteil im Rahmen der Strafzumessung gemacht haben. Wenn ein Unternehmen wegen einer Bundesstraftat für schuldig erklärt wurde, die Unternehmensleitung allerdings nachweisen konnte, dass sie ein effektives Compliance-Programm eingerichtet hatte, um Straftaten zu verhindern und aufzudecken, konnte das zu einer erheblichen Verringerung der Strafen gegen das Unternehmen führen (weitere Details zu den USSG finden Sie weiter hinten in diesem Kapitel).

Anfang des neuen Jahrtausends sorgten unter anderem die Bilanzfälschungsskandale der US-amerikanischen Unternehmen Enron (2001) und WorldCom (2002) für internationale Aufmerksamkeit. Wirtschaftsskandale wie Korruptions-, Kartellrechtsverstöße und Bilanzfälschungsskandale gab es zu jener Zeit nicht nur in den USA, sondern auch in Deutschland. Damals war die angloamerikanische Bezeichnung in Deutschland noch weitgehend unbekannt, aber seit dieser Zeit hat der Begriff »Compliance« auch in der deutschen beziehungsweise auch europäischen Öffentlichkeit einen steilen Aufstieg erlebt. Dies hängt unter anderem mit dem Bekanntwerden verschiedener Korruptionsskandale deutscher Großunternehmen Mitte/Ende 2000 zusammen, die für ein großes mediales Interesse sorgten.

Wussten Sie, dass der Begriff »Compliance« ursprünglich aus dem medizinischen Bereich stammt und dort so viel wie »das Befolgen von ärztlichen Ratschlägen durch den Patienten« (also so etwas wie Therapietreue) bedeutet? Das ist gar nicht so fern von der wirtschaftswissenschaftlichen Bedeutung, und ehrlich gesagt, selbst wenn es sich hier um das Befolgen von Unternehmensgrundsätzen handelt. Warum also neue Begriffe erfinden, wenn man in anderen Wissenschaftsdisziplinen fündig wird …?

Warum Menschen Wirtschaftsstraftaten begehen

Donald R. Cressey, ein US-amerikanischer Kriminologe, befasste sich bereits in den 1950er-Jahren mit der Erforschung von Wirtschaftskriminalität und organisierter Kriminalität und entwickelte dabei das »Betrugsdreieck« (Fraud Triangle). Dieses Modell besagt, dass die Wahrscheinlichkeit von Wirtschaftskriminalität dann besonders hoch ist, wenn die drei Faktoren »Gelegenheit«, »Motivation« und »Rechtfertigung« gegeben sind.

Der Täter muss also

eine

Gelegenheit

für die Tat sehen,

eine

Motivation

zur Tatbegehung haben und

die Tat für sich innerlich

rechtfertigen

können.

Gelegenheit macht Diebe!

Zur Gelegenheit für eine Straftat wie zum Beispiel einen Betrug tragen vor allem Umstände bei wie etwa:

fehlende oder ungenügende

Kontrollen

im Unternehmen

fehlende oder unzureichende

Sanktionierung

von Verstößen

Bei der »Gelegenheit« kann es sich sowohl um eine reale Gelegenheit handeln, weil beispielsweise Kontrollen im Unternehmen tatsächlich nicht oder nur unzureichend vorhanden sind. Es kann sich aber auch um eine lediglich vom Täter nur subjektiv wahrgenommene Gelegenheit handeln. Hier hat der Täter die Vorstellung, dass seine Taten bestimmt unentdeckt bleiben und er kein Risiko zu befürchten hat.

Motivation aus unterschiedlichen Beweggründen

Die Motivation für strafbare Handlungen kann einerseits auf Druck beruhen, sich andererseits aber auch aus besonderen Anreizen für den Täter ergeben. Zu den Beweggründen, die einen Menschen zu einer Wirtschaftsstraftat verleiten können, zählen zum Beispiel

finanzielle Notlagen oder erhebliche finanzielle Verpflichtungen des Mitarbeiters (beispielsweise Unterhaltszahlungen an den Ex-Partner und die gemeinsamen Kinder nach einer Scheidung oder hohe monatliche Belastungen für ein neu erworbenes Eigenheim für die Familie)

unrealistisch hohe unternehmerische Zielvorgaben

Gier und Provisionsstreben

Finanzierung eines aufwendigen Lebensstils

Unzufriedenheit, Karriereknick

Erreichen eines bestimmten Status im sozialen Umfeld

Rechtfertigung – der klassische Selbstbetrug!

Die meisten Menschen, die Wirtschafsstraftaten begehen, sehen sich nicht als Kriminelle. Damit ihr eigenes Selbstbild von einem rechtsschaffenden Menschen nicht zerbröckelt, müssen die Täter ihr Handeln vor sich selbst rechtfertigen können. Hierzu konstruieren sie entsprechende Rechtfertigungen für ihre Taten (Neutralisationstechniken).

Solche Rechtfertigungen sind zum Beispiel:

»Aber die anderen machen das doch auch …«

»Ich habe so viel für das Unternehmen geleistet, das steht mir jetzt auch mal zu«.

»Das ist doch noch gar nicht kriminell …«

»Ich habe das alles nur für die Firma gemacht…«

»Wenn wir nicht bestechen, dann macht das die Konkurrenz und schnappt uns den Auftrag weg«.

Das Modell: eine ganz einfache »Betrugsmathematik«

Auch wenn es sich beim Betrugsdreieck um ein theoretisches Modell handelt, kann es Ihnen als Frühwarninstrument dienen, mit dem Sie Maßnahmen zur Vermeidung von wirtschaftskriminellem Handeln ableiten und entwickeln können.

Als Faustregel gilt: Die Wahrscheinlichkeit für die Begehung von Wirtschaftsdelikten ist umso höher, je größer die Gelegenheit, die Motivation und die eigene Rechtfertigung hierfür sind. Aus dieser Faustregel wurde folgende Formel abgeleitet:

Sobald einer der drei Faktoren gegen null tendiert, so sinkt entsprechend die Wahrscheinlichkeit von Wirtschaftskriminalität.

In Abbildung 1.1 finden Sie eine Darstellung des Betrugsdreiecks.

Abbildung 1.1 Das Betrugsdreieck nach Cressey

Aus diesem Modell lassen sich zu jedem der drei Faktoren Präventionsmaßnahmen ableiten, um Compliance im Unternehmen zu erreichen – also um ein Fehlverhalten und Verstöße von Beschäftigten im Unternehmen so gut wie möglich zu vermeiden.

Präventionsstrategien in Bezug auf den Faktor »Gelegenheit« sind beispielsweise alle Arten von Kontrollprozessen (Stichprobenkontrollen, Vier-Augen-Prinzip oder Taschen-Ausgangskontrollen sowie die Beschränkung von Zugriffsrechten der Mitarbeiter auf bestimmte Unterlagen oder sensible Daten). Weitere wichtige und geeignete Maßnahmen zur Vermeidung von Verstößen sind, dass Ihre Mitarbeiter Verstöße melden können (Hinweisgebersystem) und aufgedeckte Verstöße durch Sie konsequent sanktioniert werden.

Sie möchten die Faktoren »Motivation und Rechtfertigung« Ihrer Mitarbeiter in Bezug auf Fehlverhalten bestmöglich minimieren. Dann können Sie dies zum Beispiel durch Maßnahmen erreichen wie eine sorgfältige Bewerberauswahl, die Zahlung von angemessenen Löhnen und Gehältern und die gerechte (Be-)Förderung Ihrer Mitarbeiter. Wenn sich die Unternehmensleitung und Führungskräfte selbst vorbildlich verhalten und Sie eine gute Unternehmenskultur pflegen, setzen Sie ein weiteres wichtiges Signal, dass Ihnen die Einhaltung der Gesetze und Unternehmensrichtlinien wichtig ist. Dies wird sich wiederum positiv auf die Einstellung Ihrer Mitarbeiter zum Thema Compliance auswirken.

Was die Gesetze zu Compliance sagen

Wenn Sie nach einem Gesetz suchen, das einem Unternehmen konkret und detailliert vorschreibt, dass und wie es Compliance im Unternehmen umzusetzen hat, werden Sie (nahezu) vergeblich suchen. Ein solches Gesetz existiert nicht – zumindest nicht für den Großteil der Wirtschaftsunternehmen.

Es gibt allerdings verschiedene Spezialgesetze, nach denen Unternehmen aus bestimmten Branchen ausdrücklich konkrete Organisationspflichten in Bezug auf Compliance umsetzen müssen. Hierzu zählen zum Beispiel Kredit- und Finanzdienstleistungsinstitute sowie Versicherungsunternehmen. In diesem Buch geht es aber nicht um diese branchenspezifischen Pflichten, sondern um die allgemeine Compliance für alle Unternehmen. Deshalb möchten wir Ihnen an dieser Stelle lediglich in aller Kürze zwei dieser speziellen Normen vorstellen.

§ 29 Versicherungsaufsichtsgesetz (VAG)

Nach dieser Vorschrift müssen zum Beispiel Versicherungsunternehmen bestimmte organisatorische Anforderungen erfüllen, wie zum Beispiel über ein »… wirksames internes Kontrollsystem verfügen, das mindestens Verwaltungs- und Rechnungslegungsverfahren, einen internen Kontrollrahmen und eine angemessene unternehmensinterne Berichterstattung auf allen Unternehmensebenen umfasst. Darüber hinaus muss das interne Kontrollsystem über eine Funktion zur Überwachung der Einhaltung der Anforderungen (Compliance-Funktion) verfügen«. Weiterhin wird in dieser Norm ausgeführt, dass

zu den Aufgaben der Compliance-Funktion die Beratung des Vorstands in Bezug auf die Einhaltung der Gesetze und Verwaltungsvorschriften, die für den Betrieb des Versicherungsgeschäfts gelten, gehört

die Compliance-Funktion bestimmte, auf die Geschäftstätigkeit bezogene Compliance-Risiken identifizieren und beurteilen muss

§ 25a Kreditwesengesetz (KWG)

Auch Kredit- und Finanzdienstleistungsinstituten werden nach dieser Norm spezifische organisatorische Maßnahmen auferlegt. So müssen die von diesem Gesetz erfassten Institute »… über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bestimmungen und der betriebswirtschaftlichen Notwendigkeiten gewährleistet«. Auch in § 25a KWG werden weitere konkrete Anforderungen gestellt, wie zum Beispiel, dass

die Geschäftsleiter für die ordnungsgemäße Geschäftsorganisation des Instituts verantwortlich sind

die Geschäftsleiter die erforderlichen Maßnahmen für die Ausarbeitung der entsprechenden institutsinternen Vorgaben ergreifen müssen, sofern nicht das Verwaltungs- oder Aufsichtsorgan entscheidet

eine ordnungsgemäße Geschäftsorganisation ein angemessenes und wirksames Risikomanagement umfassen muss

interne Kontrollverfahren mit einem internen Kontrollsystem und einer internen Revision einzurichten sind, wobei das interne Kontrollsystem insbesondere

aufbau- und ablauforganisatorische Regelungen enthalten muss, die eine klare Abgrenzung der Verantwortungsbereiche gewährleisten

Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation bestimmter Risiken umfassen muss

eine Risikocontrolling-Funktion und eine Compliance-Funktion umfassen muss

ABER! Auch für Wirtschaftsunternehmen gibt es verschiedene Gesetze und Normen, die Ihnen als Inhaber eines solchen Unternehmens, egal ob Kaufmann, Geschäftsführer oder Vorstand, bestimmte Organisations- und Sorgfaltspflichten auferlegen. Sollte es zu Compliance-Verstößen in Ihrem Unternehmen kommen und können Sie nicht nachweisen, dass Sie Ihre Organisations- und Sorgfaltspflichten ordnungsgemäß erfüllt haben, kann das sowohl für Sie als Unternehmensleitung als auch für das Unternehmen sehr unerfreulich enden.

Egal, ob es sich bei Ihnen als Leser um ein Mitglied der Unternehmensleitung, einen Mitarbeiter aus dem Bereich Compliance oder einfach um jemanden handelt, der sich gerne mit dem Thema Compliance intensiver befassen will, möchten wir Ihnen ein paar solcher Gesetze und Normen vorstellen, die Sie kennen sollten. Daher wird es an dieser Stelle nun etwas »juristischer« zur Sache gehen. Zunächst stellen wir Ihnen ein paar Regelungen aus unserer deutschen Rechtsordnung vor, die in Bezug auf das Thema Compliance bedeutsam sind, und werden dann auf ein paar internationale Gesetze eingehen.

Gesellschaftsrechtliche Vorschriften

Nach gesellschaftsrechtlichen Vorschriften wird den Organen vonKapitalgesellschaften wie der Gesellschaft mit beschränkter Haftung (GmbH) oder der Aktiengesellschaft (AG), insbesondere dem Vorstand, dem Aufsichtsrat oder dem GmbH-Geschäftsführer, bei Ausübung ihrer Tätigkeiten ein besonderer Sorgfaltsmaßstab auferlegt (zugegeben eine etwas steife Formulierung, aber so heißt es nun einmal bei den Juristen).

§ 93 Absatz 1 Aktiengesetz (AktG)

Nach § 93 Absatz 1 AktG haben die Vorstandsmitglieder von Aktiengesellschaften »bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden«. Der Gesetzgeber hat dem Vorstand also eine besondere Pflichtenstellung gegenüber der Gesellschaft bei der Ausübung seiner Geschäftsführung auferlegt, da der Vorstand nicht Inhaber oder Eigentümer der Gesellschaft und ihres Vermögens ist. Die Vermögenswerte gehören vielmehr der Aktiengesellschaft selbst. Der Vorstand wirtschaftet daher nicht mit eigenen, sondern vielmehr wie ein Treuhänder mit fremden Mitteln, nämlich mit den Mitteln der Gesellschaft. Aus dieser Norm wird unter anderem als eine seiner Sorgfaltspflichten die Legalitätspflicht abgeleitet.

Die Legalitätspflicht besagt, dass die Vorstandsmitglieder zum Schutz des Vermögens der Gesellschaft verpflichtet sind sicherzustellen, dass die einzelnen Vorstandsmitglieder und alle Mitarbeiter der Gesellschaft bei der Ausübung ihrer geschäftlichen Tätigkeit sämtliche geltenden Gesetze und Normen einhalten.

Aus Compliance-Gesichtspunkten zählen hierunter zum Beispiel insbesondere die Vorschriften des

Zivil- und Wirtschaftsrechts

Bilanz- und Steuerrechts

Kartell- und Wettbewerbsrechts

Straf- und Ordnungswidrigkeitenrechts

Arbeits- und Sozialrechts

Wenn der Vorstand schuldhaft gegen seine aus § 93 Absatz 1 AktG resultierenden Sorgfaltspflichten verstößt, kann er zivilrechtlich persönlich in Anspruch genommen werden, um der Gesellschaft den entstandenen Schaden zu ersetzen (§ 93 Absatz 2 AktG). Um seiner Legalitätspflicht gerecht zu werden und um die eigene Haftung bestmöglich zu minimieren, wird ein Vorstand nicht umhinkommen, bestimmte Compliance-Maßnahmen im Unternehmen einzurichten.

§ 91 Absatz 2 AktG

Nach dieser Norm muss der Vorstand geeignete Maßnahmen treffen und insbesondere ein Überwachungssystem einrichten, damit »den Fortbestand der Gesellschaft gefährdende Entwicklungen« rechtzeitig erkannt werden. Nach allgemeiner Ansicht in der juristischen Literatur bedeutet »Überwachungssystem« allerdings nicht, dass der Vorstand ein allgemeines Compliance-Management-System oder umfassendes Risikomanagement-System einrichten muss. Der Vorstand muss vielmehr ein Früherkennungs- und Überwachungssystem einrichten, das sich nur auf Teilaspekte eines umfassenderen Risikomanagement-Systems bezieht. Es geht hier um die Einrichtung eines Systems zur Früherkennung bestandsgefährdender Entwicklungen und Risiken und die Einrichtung von Kontrollmaßnahmen, ob die vom Vorstand angeordneten Früherkennungsmaßnahmen auch tatsächlich umgesetzt werden.

Zu den »bestandsgefährdenden« Entwicklungen zählen existenzbedrohende Risiken für die Vermögens-, Ertrags- oder Finanzlage der Gesellschaft oder des Konzerns.

Richtet der Vorstand kein derartiges Überwachungssystems ein und entsteht der Gesellschaft daraus ein Schaden, kann der Vorstand hierfür wegen Verletzung seiner Sorgfaltspflichten nach § 93 Absatz 1 AktG persönlich zur Rechenschaft gezogen und zum Ersatz des Schadens in Anspruch genommen werden (§ 93 Absatz 2 AktG).

§§ 111 Absatz 1 und 116 AktG

In § 111 Absatz 1 AktG wird die Aufgabe des Aufsichtsrats kurz und prägnant beschrieben: »Der Aufsichtsrat hat die Geschäftsführung zu überwachen«. Für die Sorgfalt und Verantwortlichkeit der Aufsichtsratsmitglieder verweist das Aktiengesetz in § 116 auf den § 93, wonach die Aufsichtsratsmitglieder dieselbe Sorgfalt und Verantwortlichkeit wie die Vorstandsmitglieder an den Tag legen müssen. Das bedeutet, dass auch die Aufsichtsratsmitglieder ihre Aufgaben mit der Sorgfalt eines ordentlichen und gewissenhaften Überwachers und Beraters wahrnehmen müssen.

Verletzten die Aufsichtsratsmitglieder ihre Pflichten, sind auch sie gegenüber der Gesellschaft für den entstehenden Schaden verantwortlich (§§ 116, 93 Absatz 2 AktG).

Selbst wenn der Gesetzgeber an dieser Stelle nicht näher ausgeführt hat, welche konkreten Überwachungshandlungen der Aufsichtsrat vornehmen muss, tut der Aufsichtsrat gut daran, kritisch zu hinterfragen und zu prüfen, ob der Vorstand seiner Legalitätspflicht auch ordnungsgemäß nachkommt und welche Maßnahmen der Vorstand hierzu umgesetzt hat.

Stellt der Aufsichtsrat fest, dass der Vorstand seine Pflichten gegenüber der Gesellschaft verletzt hat und dieser dadurch ein Schaden entstanden ist, ist der Aufsichtsrat nach der Rechtsprechung des Bundesgerichtshofs sogar verpflichtet, durchsetzbare Schadensersatzansprüche der Gesellschaft gegenüber Vorstandsmitgliedern geltend zu machen und den Vorstand hierfür in Regress zu nehmen. Unterlässt dies der Aufsichtsrat, so läuft er selbst Gefahr, für den Schaden in Anspruch genommen zu werden (BGH, Urteil vom 21. April 1997, BGHZ 135, 244).

Handelt es sich bei Ihnen um ein Aufsichtsratsmitglied einer Aktiengesellschaft, dann sollten Sie sich unbedingt Folgendes merken: Der Aufsichtsrat kann sich unter Umständen sogar wegen Untreue (§ 266 Strafgesetzbuch) strafbar machen, wenn er es versäumt, solche Schadensersatzansprüche gegen den Vorstand durchzusetzen.

§ 43 Absatz 1 des Gesetzes für Gesellschaften mit beschränkter Haftung (GmbHG)

Sie sind Geschäftsführer einer GmbH? Dann wird auch Ihnen aufgrund Ihrer besonderen Pflichtenstellung gegenüber der Gesellschaft ein besonderer Sorgfaltsmaßstab abverlangt. Nach § 43 Absatz 1 GmbHG hat der Geschäftsführer in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. Nach herrschender juristischer Meinung entspricht dies dem gleichen Maßstab wie für den Vorstand nach § 93 AktG, nämlich der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Kurzum: Nicht nur Sie als GmbH-Geschäftsführer müssen Ihre Amtsführung gesetzestreu ausüben, sondern ebenso durch entsprechende Maßnahmen sicherstellen, dass auch Ihre Mitarbeiter sich an die geltenden Gesetze halten (Legalitätspflicht). Ein Geschäftsführer, der seine Pflichten nach § 43 Absatz 1 GmbHG verletzt, hat gegenüber der Gesellschaft für den entstandenen Schaden geradezustehen (§ 43 Absatz 2 GmbHG).

»Wo gehobelt wird, da fallen Späne« - Business Judgement Rule

Reden wir an dieser Stelle über (unvermeidbare?) Kollateralschäden – denn nichts anderes bedeutet dieser Spruch – und über die Konsequenzen, die das »Hobeln« nach sich ziehen könnte. Bedeutet das nun, dass ein Vorstand nach § 93 Absatz 1 Satz 1 AktG oder ein GmbH-Geschäftsführer nach § 43 Absatz 1 GmbHG für jede für die Gesellschaft nachteilige Entscheidung haftet, weil man ihm vorwerfen kann, er habe seine Geschäftsführung nicht mit der »Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters« ausgeübt? Nein, denn das wäre nicht sachgerecht.

Um wettbewerbsfähig zu bleiben und dem Unternehmen dauerhaft zum Erfolg zu verhelfen, ist es zwangsläufig erforderlich, das eine oder andere Risiko einzugehen. Außerdem können unternehmerische Entscheidungen Risiken bergen, die zum Zeitpunkt der Entscheidung nicht vorhersehbar waren und sich erst später realisieren. Dem Vorstand ist deshalb bei der Ausübung seiner Entscheidungen ein weiter Ermessenspielraum einzuräumen (Business Judgement Rule). Der BGH hatte hierzu in seinem Urteil vom 21. April 1997 (Az.: II ZR 175/95) auch entschieden, dass »…dem Vorstand bei der Leitung der Geschäfte des Gesellschaftsunternehmens ein weiter Handlungsspielraum zugebilligt werden muß, ohne den eine unternehmerische Tätigkeit schlechterdings nicht denkbar ist. Dazu gehört neben dem bewußten Eingehen geschäftlicher Risiken grundsätzlich auch die Gefahr von Fehlbeurteilungen und Fehleinschätzungen, der jeder Unternehmensleiter, mag er auch noch so verantwortungsbewußt handeln, ausgesetzt ist«.

Die aus dem US-amerikanischen Recht stammende Business Judgement Rule wurde dann im Jahr 2005 in § 93 Abs. 1 Satz 2 AktG überführt, wo es nun ausdrücklich lautet: »Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln«.

Danach trifft einen Vorstand für eine rechtskonforme unternehmerische Entscheidung dann keine persönliche Haftung, wenn er

sich zuvor ausreichend gut informiert hat,seine Entscheidung nachvollziehbar ist under seine Entscheidung im besten Sinne des Unternehmens getroffen hat.

Nun könnte ein gewiefter Vorstand oder Geschäftsführer auf die Idee kommen, sich mit folgender Aussage auf die Business Judgement Rule zu berufen: »Ich habe nun einmal entschieden, dass Compliance nichts für unser Unternehmen ist!«

Nein – so einfach ist das nicht! Das wäre weit gefehlt, denn nach allgemeiner juristischer Ansicht steht der Unternehmensleitung zu der Frage, »ob« Compliance im Unternehmen erforderlich ist oder nicht, überhaupt kein Entscheidungsspielraum zu. Schließlich versteht es sich von selbst, dass die Gesetze eingehalten werden müssen. Die Unternehmensleitung hat jedoch in Bezug auf die Frage des »wie«, das heißt mit welchen Maßnahmen sie Compliance im Unternehmen umsetzen und sicherstellen möchte, einen entsprechenden Ermessensspielraum gemäß der Business Judgement Rule.

Das Rüstungsunternehmen X AG steht wirtschaftlich alles andere als gut da. Seit Monaten laufen die Geschäfte schlecht. Wenn nicht bald ein neuer Großauftrag »ins Haus flattert«, steht die Insolvenz vor der Tür. Die Regierung eines asiatischen Staates hat einen Großauftrag für 30 Kampf-Jets öffentlich ausgeschrieben. Der Vorstand der X AG möchte die Talfahrt nicht länger tatenlos hinnehmen und lässt dem zuständigen Entscheidungsträger der Regierung ein saftiges Bestechungsgeld zukommen. Die Rechnung des Vorstands geht auf: die X AG hat den Auftrag gewonnen und kann so vor dem finanziellen Untergang bewahrt werden.

Auch wenn der Vorstand seine Entscheidung zum Wohle der Gesellschaft getroffen hat (ohne diesen Auftrag hätte es möglicherweise das wirtschaftliche Aus für die X AG bedeutet), kann sich der Vorstand nicht auf den »sicheren Hafen« (auch Safe Harbour genannt) der Business Judgement Rule berufen. Entsteht der Gesellschaft wegen des Korruptionsdelikts ein Schaden (beispielsweise ein Bußgeld oder Reputationsschaden), kann die Gesellschaft vom Vorstand Schadensersatz verlangen. Hier hat die Legalitätspflicht schlichtweg Vorrang.

Kurz gesagt: Vorstand und Geschäftsführer dürfen auch keine Gesetzesverstöße begehen, die für die Gesellschaft wirtschaftlich günstig wären.

Was gilt für Kaufleute und Geschäftsführer von Personengesellschaften?

Nur weil das Gesellschaftsrecht den Organen von Kapitalgesellschaften besondere Sorgfaltspflichten auferlegt, bedeutet das noch lange nicht, dass nicht auch Kaufleute oder Geschäftsführer von Personengesellschaften die Legalitätspflicht zu erfüllen haben. Selbstverständlich müssen auch diese Personen sich an die geltenden Gesetze halten und darauf achten, dass sich Unternehmen und Mitarbeiter rechtstreu verhalten. Der wesentliche Unterschied liegt lediglich darin, dass Kaufleute und Geschäftsführer von Personengesellschaften bei Verletzung ihrer Sorgfaltspflichten nicht gegenüber der Personengesellschaft oder dem Betrieb ihre Legalitätspflicht verletzen und für die daraus entstehenden Schäden haften. Denn schließlich sind Kaufleute beziehungsweise Inhaber von Betrieben ja selbst Inhaber und Eigentümer ihrer Unternehmen.

Entsteht dem Unternehmen ein Schaden, so ist dies ein persönlicher Vermögensschaden des jeweiligen Betriebsinhabers. Allerdings haftet dieser zudem gegenüber Dritten wie Kunden, Lieferanten und sonstigen Geschäftspartnern, wenn die eigenen Mitarbeiter Gesetzesverstöße begehen und den Dritten dadurch ein Schaden entsteht. Außerdem drohen bei Gesetzesverstößen der eigenen Mitarbeiter hohe Bußgelder nach § 130 Ordnungswidrigkeitengesetz (hierzu ausführlicher gleich weiter hinten in diesem Kapitel). Daher sind Compliance-Bemühungen für Kaufleute, Geschäftsführer von Personengesellschaften oder sonstige Betriebsinhaber ebenso wichtig wie für die Unternehmensleitung von Kapitalgesellschaften.

Der Deutsche Corporate Governance Kodex (DCGK)

Nachdem immer mehr Missstände in Unternehmen aufgedeckt worden waren, setzte das Bundesjustizministerium die Regierungskommission »Corporate Governance Kodex« ein, die im Jahr 2002 den Deutschen Corporate Governance Kodex (DCGK) verabschiedete.

Der englische Begriff Corporate Governance heißt übersetzt »Unternehmensführung«. Es gibt zwar keine allgemeine einheitliche Definition, was alles genau unter Corporate Governance fällt. Sie können darunter aber all die Grundsätze wie zum Beispiel Regeln, Verfahren und Gesetze verstehen, nach denen ein Unternehmen geführt und kontrolliert wird.

Durch Corporate Governance soll ein Unternehmen sicherstellen, dass es sich an die geltenden Gesetze, an anerkannte ethische Standards und bewährte und vorbildliche Praktiken oder Vorgehensweisen aus der betrieblichen Praxis (Best Practices) hält. In der Unternehmenswelt wird daher auch der Begriff »gute Unternehmensführung«, also »Good Corporate Governance« verwendet.

Der DCGK …

ist ein privates Regelwerk (

Soft Law

) und kein zwingendes Recht

beschreibt die wesentlichen gesetzlichen Vorschriften zur Leitung und Überwachung deutscher börsennotierter Gesellschaften

enthält Empfehlungen und Anregungen international und national anerkannter Standards guter und verantwortungsvoller Unternehmensführung

soll die Unternehmensleitungen deutscher börsennotierter Gesellschaft anhalten, eine entsprechend »gute und verantwortungsvolle Unternehmensführung« zu praktizieren

definiert in seinem Grundsatz 5 Compliance wie folgt:

Der Vorstand hat für die Einhaltung der gesetzlichen Bestimmungen und der internen Richtlinien zu sorgen und wirkt auf deren Beachtung im Unternehmen hin (Compliance).

Der Grundsatz 5 des DCGK besagt weiterhin:

Das interne Kontrollsystem und das Risikomanagementsystem umfassen auch ein an der Risikolage des Unternehmens ausgerichtetes Compliance Management System

.

wird von der Kommission regelmäßig angepasst (zuletzt im April 2022)

kann von der Internetseite der Regierungskommission Deutscher Corporate Governance Kodex unter

www.dcgk.de/de/

heruntergeladen werden

Comply or explain! Pflicht oder nicht Pflicht?

»Comply or explain« heißt übersetzt »befolgen oder erklären«. Auch wenn die Vorschriften des DCGK weder eine unmittelbare noch eine mittelbare Gesetzeskraft haben, enthalten diese über § 161 AktG eine Art »Quasiverpflichtung«. Nach § 161 AktG müssen börsennotierte Unternehmen und bestimmte Wertpapierhandelsunternehmen jährlich eine Entsprechenserklärung abgeben. Das bedeutet, dass Vorstand und Aufsichtsrat dieser Gesellschaften jährlich erklären müssen,

ob den Empfehlungen der »Regierungskommission Deutscher Corporate Governance Kodex« entsprochen wurde und wird,welche Empfehlungen nicht angewendet wurden oder werden und wenn das so war, warum nicht.

Fällt Ihr Unternehmen in den Anwendungsbereich von § 161 AktG, haben Sie als Unternehmensleitung diese Entsprechenserklärung im amtlichen Teil des Bundesanzeigers zu veröffentlichen und den Aktionären auch dauerhaft zugänglich zu machen, zum Beispiel auf Ihrer Unternehmenswebsite. Machen Sie sich Ihr eigenes Bild davon, welchen »Geschmack« es bei Ihren Aktionären, aber auch der Öffentlichkeit hinterlassen kann, wenn Sie sich nicht an die Empfehlungen des DCGK halten. Könnte bei dem ein oder anderen nicht der Eindruck entstehen, dass Ihnen an einer guten und verantwortungsvollen Unternehmensführung möglicherweise wenig liegt?

Das Ordnungswidrigkeitengesetz (OWiG)

Nach dem Ordnungswidrigkeitengesetz können sowohl gegen das Unternehmen als auch gegen die Betriebsinhaber (wie zum Beispiel Einzelkaufleute, Geschäftsführer und Vorstände) Bußgelder verhängt werden, wenn sie schuldhaft bestimmte Aufsichts- und Organisationspflichten verletzen.

§§ 130, 9 OWiG – das kann teuer werden!

Angenommen einer Ihrer Beschäftigten hat betriebliche Pflichten verletzt, die mit Strafe oder Geldbuße geahndet werden können (er hat zum Beispiel gegen gesetzliche Vorschriften verstoßen). Stellt sich hierbei nun heraus, dass Sie als Betriebsinhaber des Unternehmens die erforderlichen und zumutbaren Aufsichtsmaßnahmen unterlassen haben, um solche Verstöße der Mitarbeiter zu erschweren oder zu vermeiden, kann gegen Sie persönlich eine Geldbuße bis zu einer Millionen Euro verhängt werden (§ 130 OWiG).

Handelt es sich bei dem Unternehmen um eine juristische Person wie zum Beispiel eine GmbH oder AG, dann ist diese zwar »Betriebsinhaber« im Sinne des § 130 OWiG. Da eine AG oder GmbH aber nachvollziehbarerweise ja selbst keine Aufsichtsmaßnahmen umsetzen oder unterlassen kann, sagt § 9 Absatz 1 OWiG, dass in solchen Fällen die Haftung nach § 130 OWiG den Vorstand oder den Geschäftsführern trifft.

Die Norm beschreibt leider nicht konkret, welche Aufsichtsmaßnahmen Sie im Einzelnen vornehmen sollen, sondern erwähnt (sehr allgemein gehalten), dass zu den erforderlichen Aufsichtsmaßnahmen »auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen« gehören. Jedoch haben die Rechtsprechung und die juristische Literatur aus dieser Norm die Fünf-Stufen-Lehre abgeleitet, wonach Sie als Betriebsinhaber zur Vermeidung einer Haftung nach § 130 OWiG folgende Maßnahmen treffen müssen:

Suchen Sie Ihre Mitarbeiter sorgfältig aus.

Sorgen Sie für eine sachgerechte Organisation und Aufgabenverteilung.

Nehmen Sie eine angemessene Aufklärung und Schulung Ihrer Mitarbeiter vor und klären Sie diese über ihre Aufgaben und Pflichten auf.

Führen Sie eine angemessene Kontrolle und Überwachung Ihrer Mitarbeiter durch.

Schreiten Sie gegen Fehlverhalten Ihrer Mitarbeiter ein und sanktionieren Sie dieses auch angemessen.

Ein Bußgeld nach § 130 OWiG kann aber unter Umständen auch gegen Führungskräfte auf Managementebene unter dem Vorstand oder dem Geschäftsführer verhängt werden. Werden beispielsweise Ihnen als Führungskraft vom Geschäftsführer oder Vorstand bestimmte Aufgaben übertragen und unterlassen Sie in Ihrem Bereich die erforderlichen Organisations- und Aufsichtspflichten, dann kann eine Haftung nach § 130 OWiG auch für Sie in Betracht kommen (§ 9 Absatz 2 OWiG).

§ 30 Absatz 1 OWiG – ein bisschen wie Sippenhaft

Sollte eine Person als vertretungsberechtigtes Organ, als Organmitglied oder bestimmte Personen in leitender Stellung (§ 9 OWiG) eines Unternehmens eine Straftat oder Ordnungswidrigkeit begehen, kann eine Geldbuße nicht nur gegen diese natürliche Person, sondern auch gegen die juristische Person (also zum Beispiel gegen die Gesellschaft) verhängt werden. Die Gesellschaft wird so behandelt, als hätte sie die Straftat oder Ordnungswidrigkeit selbst, nämlich durch Ihre Repräsentanten, begangen. Und nun halten Sie sich fest – die Geldbuße gegen Ihr Unternehmen kann bis zu 10 Millionen Euro betragen (§ 30 Absatz 2 OWiG)!

»Korruption lohnt sich nicht, my Darling« – Die Gewinnabschöpfung

Eine potenzielle Geldbuße von maximal 10 Millionen Euro auf der einen Seite, ein lukrativer Auftrag im oberen zweistelligen Millionenbereich auf der anderen Seite, das klingt ja auf den ersten Blick noch immer wirtschaftlich vorteilhaft. Da mag manch einer auf die Idee kommen, dass sich Bestechung noch immer lohnen könnte – und dann wird eben die Geldbuße einfach vom Gewinn abgeschrieben. Der Gesetzgeber ist aber nicht von gestern und hat dies entsprechend berücksichtigt. Eine Überschreitung der Geldbuße von 10 Millionen Euro ist im Wege der sogenannten Gewinnabschöpfung möglich (§ 30 Absatz 3 in Verbindung mit § 17 Absatz 4 OWiG). Das heißt, dass der Täter den wirtschaftlichen Vorteil, den er aus der Straftat oder Ordnungswidrigkeit erhalten hat, nicht behalten darf. Der Vermögensvorteil, den der Täter oder das Unternehmen erlangt hat, kann über § 17 Absatz 4 OWiG abgeschöpft werden. In der Vergangenheit mussten bereits verschiedene deutsche Unternehmen die schmerzhafte Erfahrung machen und Abschöpfungen in dreistelliger Millionenhöhe schlucken.

§ 30 Absatz 2a OWiG – nicht jedes Erbe macht Freude

Sind Sie Rechtsnachfolger eines Unternehmens oder Betriebs, zum Beispiel weil

Ihnen das Geschäft von Ihren Eltern vererbt worden ist?

Sie eine Gesellschaft zu Ihrem bestehenden Unternehmen hinzugekauft haben?

Sie mit einem anderen Unternehmen fusionieren?

In diesem Fall sollten Sie sich vorher gründlich informieren, ob es Anhaltspunkte zu möglichen Compliance-Verstößen des Erwerbsunternehmens aus der Vergangenheit gibt. Denn als Rechtsnachfolger können auch Sie für die Verstöße des erworbenen Unternehmens haften mit der Folge, dass auch gegen Sie eine Geldbuße verhängt werden kann (§ 30 Absatz 2a OWiG).

Internationale Gesetze einhalten

Vielleicht denken Sie an dieser Stelle »Was interessieren mich als deutsches Unternehmen die Anforderungen an Compliance aufgrund internationaler Gesetze?« Wir möchten Ihre Illusion ja nicht trüben, aber es gibt Konstellationen, da können sich die internationalen Gesetze auch auf deutsche Unternehmen auswirken. Lassen Sie uns Ihnen einen kleinen Auszug an solchen Gesetzen näherbringen.

Sarbances-Oxley-Act: Vertrauen ist gut, Kontrolle ist besser

Im Juli 2002 erließ der US-Kongress das US-Kapitalmarktgesetz Sarbanes-Oxley Act (SOA oderSOX), nachdem insbesondere die beiden Wirtschaftsskandale von Enron und WorldCom die US-amerikanische Wirtschaft so richtig durchgebeutelt hatten. Mit diesem Gesetz wollte der US-amerikanische Gesetzgeber das Vertrauen der Kapitalanleger in die Kapitalmärkte wiederherstellen, um Schadensbegrenzung zu erreichen. Es ging dem Gesetzgeber nicht nur darum, den bereits eingetretenen Schaden der Kapitalmärkte zu minimieren, sondern vor allem auch darum, künftige ähnliche Verstöße und die damit verbundenen Schäden für die Kapitalmärkte zu verhindern oder zu begrenzen.

Ihr Unternehmen fällt dann in den Anwendungsbereich des SOX, wenn

die Wertpapiere Ihres Unternehmens an den amerikanischen Börsen gehandelt oder anderweitig öffentlich in den USA angeboten werden

Sie aus bestimmten Gründen Berichte bei der US-Börsenaufsichtsbehörde (

United States Securities and Exchange Commission – kurz: SEC

) einreichen müssen und damit deren Aufsicht unterliegen

es sich bei Ihrem Unternehmen um eine Tochtergesellschaft einer SEC-registrierten Muttergesellschaft handelt, die dem SOX unterliegt

Trifft eines der zuvor beschriebenen Kriterien auf Ihr Unternehmen zu, dann unterfallen auch Sie grundsätzlich dem SOX, unabhängig davon, in welchem Land Ihr Unternehmen seinen Firmensitz hat.

Einige SOX-Bestimmungen, die für Unternehmen wichtig sein können

Nach Section 301 des SOX müssen Sie in Ihrem Unternehmen

einen Prüfungsausschuss (Audit Committee) einrichten. Dieses Gremium ist dafür verantwortlich zu überwachen, dass in Ihrem Unternehmen die Rechnungslegung sowie die Abschlussprüfung ordnungsgemäß ablaufen.ein Meldeverfahren zur Entgegennahme und Behandlung von Beschwerden einrichten, mit dem Sie es Ihren Mitarbeitern ermöglichen – auch anonym – auf Missstände wie zum Beispiel illegales oder unethisches Verhalten hinweisen zu können (das Hinweisgeber- oder Whistleblowing System – Näheres hierzu finden Sie in Kapitel 7). Dabei muss Ihr Meldeverfahren gewährleisten, dass die Hinweisgeber des Unternehmens aufgrund ihrer Meldung keinerlei negativen Konsequenzen erfahren, also nicht benachteiligt, entlassen, herabgestuft, bedroht oder sonst irgendwie diskriminiert werden (Section 806 SOX).Gemäß Section 302 des SOX ist das Geschäftsführungsorgan (bei deutschen Aktiengesellschaften ist dies der Vorstand) verpflichtet, Offenlegungskontrollen und -verfahren einzurichten. Danach müssen Sie alle notwendigen Unternehmensinformationen entsprechend dokumentieren, verarbeiten und berichten. Schließlich sollen alle Interessierten wie zum Beispiel Ihre Kapitalgeber, Ihre Anteilseigner, Gesellschafter, Vertragspartner und Mitarbeiter zum Schutz vor finanziellen Nachteilen die Möglichkeit haben, sich über die wirtschaftliche Lage Ihres Unternehmens informieren zu können. Der Vorstandsvorsitzende (Chief Executive Officer – CEO) und der Finanzvorstand Ihres Unternehmens (Chief Financial Officer – CFO) haben eine eidesstattliche Bestätigung abzugeben. Sie müssen gegenüber der SEC einen sogenannten Bilanzeid leisten, dass sie im Unternehmen entsprechende Kontrollen nach Section 302 und Section 404 (hierzu gleich weiter hinten in diesem Kapitel) eingerichtet und gepflegt haben. Damit übernehmen Sie für die Richtigkeit der offengelegten Berichte die Verantwortung!Bei Section 404 handelt es sich um eine der komplexesten Regelung des SOX, die hohe Anforderungen an die Unternehmensleitung stellt. Nach dieser Regelung müssen Sie in Ihrem Unternehmen interne Kontrollen einführen. Der SOX versteht unter »internen Kontrollen« insbesondere die Einrichtung eines wirksamen internen Kontrollsystems (IKS), mit dem Sie sicherstellen, dass Ihr Jahresabschluss auch richtig ist. Mit diesem Kontrollsystem soll schlichtweg verhindert werden, dass Sie Ihre Investoren durch falsche oder nicht ausreichende Informationen in die Irre führen. Nach Section 404 müssen Sie deshalb die Wirksamkeit Ihres internen Kontrollsystems durch eine umfassende Dokumentation nachweisen. Das bedeutet: Sie müssen nachweisen, dass Ihre Kontrollen auch geeignet sind,Sie tatsächlich auch Kontrolltests durchgeführt haben undSie eine Gesamtbewertung zu Ihrem Kontrollsystem vorgenommen haben.

Um diese strengen Anforderungen erfüllen zu können, müssen Sie ein komplexes System in Ihrem Unternehmen implementieren, um die verbindlichen Fristen für die Berichterstattung nach Section 404 SOX auch erfüllen zu können.

Section 404 des SOX verlangt Unternehmen einen erheblichen Aufwand ab, der mit hohen Kosten verbunden ist, wie zum Beispiel

internen Personalkosten, weil ein Unternehmen diesen Aufwand ohne Aufstockung des Personals unter Umständen nicht bewerkstelligt bekommt