Sie sind hier: Home » Fachartikel » Management

Benchmark-Studie zu Compliance-Management

Erfüllung der gesetzlichen Sorgfalts- und Überwachungspflichten durch ein wirksames Compliance-Überwachungssystem
Übergeordnetes Ziel eines wirksamen Compliance-Management-Systems ist die Vorbeugung möglicher Compliance-Risiken, auf die Unternehmen auf Grund nationaler und internationaler Gesetze reagieren müssen

Von Christoph Schenk und Antonia Steßl (*)

(22.07.13) - Zur Sicherstellung eines wirksamen Compliance-Managements ist es empfehlenswert, sich an den Grundsätzen einer ordnungsmäßigen Prüfung von Compliance-Management-Systemen zu orientieren (1). An Hand der aktuellen Compliance-Studie (2), wird insbesondere die Bedeutung des Ineinandergreifens von Compliance-Risikomanagement, einer entsprechenden Compliance-Programmentwicklung und einer daran anschließenden kontinuierlichen Überwachung der Wirksamkeit des Compliance-Systems aufgezeigt. Wenn Unternehmen diesen Regelprozess ihrem Compliance-Management-System zu Grunde legen, dann schaffen sie eine Basis für eine kontinuierliche Überwachung und Optimierung der Wirksamkeit ihrer Compliance-Vorhaben – und können damit einen wesentlichen Beitrag zur Erfüllung der rechtlichen Sorgfalts- und Überwachungspflichten leisten.

Die Befragung wurde mittels eines standardisierten, quantitativen Fragebogens mit 49 Fragen zu den einzelnen Elementen des Compliance Management-Systems durchgeführt. Compliance-Verantwortliche von über 70 Unternehmen nahmen an der Compliance-Studie teil. Wahlweise wurden die Antworten mittels eines onlinebasierten Tools, in Papierform oder in einem persönlichen Gespräch erfasst. Die Auswertung erfolgte mit Methoden der empirischen Sozialforschung.

1. Effiziente Vorgehensweise bei der Entwicklung eines Compliance-Management-Systems
Übergeordnetes Ziel eines wirksamen Compliance-Management-Systems ist die Vorbeugung möglicher Compliance-Risiken, auf die Unternehmen auf Grund nationaler und internationaler Gesetze reagieren müssen. Basis eines jeden Compliance-Managements ist folglich die Identifizierung relevanter Risikorechtsbereiche. Um diese abzuwenden oder zumindest zu reduzieren, werden entsprechende Maßnahmen abgeleitet und im Unternehmen implementiert. Zur Sicherstellung der Wirksamkeit dieser Maßnahmen gilt es dann in einem nächsten Schritt Überwachungsmaßnahmen zu entwickeln. Nachfolgend werden diese drei Kernelemente eines Compliance-Management-Systems in Hinblick auf ihre wesentlichen Bestandteile und vor allem unter Beachtung der Bedeutung eines Ineinandergreifens der Bereiche dargestellt. Diese strukturierte Vorgehensweise wird, wie nachfolgend gezeigt wird, empfohlen, um Compliance effektiv und effizient sicherzustellen.

Abbildung 1: Kernelemente eines Compliance-Management-Systems

1.1 Compliance-Risikomanagement als Grundlage eines Compliance-Management-Systems
Zu Beginn des Aufbaus eines Compliance-Management-Systems sollte die Überlegung stehen, welche Risikorechtsgebiete ein Unternehmen aufweist. Diese strategische Entscheidung muss von der Geschäftsführung, unter Hinzuziehung der jeweiligen (Rechts-)Experten getroffen werden.

Die aktuelle Compliance-Studie zeigt auf, dass die vorhandene Risikoexposition dabei oftmals unterschätzt bzw. nicht wahrgenommen wird (siehe Abbildung 3). Beispielsweise sind sich viele Unternehmen nicht bewusst, dass sie im Rahmen von Liefer- und Leistungsbeziehungen den Anforderungen des UK Bribery Acts unterliegen können, der internationale Gültigkeit beansprucht. Ähnlich findet der US-amerikanische Foreign Corrupt Practices Act (FCPA) Anwendung, sobald ein "American footprint", etwa durch ein US-amerikanisches Tochterunternehmen, gegeben ist. Befragte Unternehmen geben an, die nachfolgend genannten Rechtsgebiete im Fokus ihres Compliance-Managements zu haben. Üblicherweise werden diese im Rahmen eines unternehmensweiten Verhaltenskodizes und eines entsprechenden Handbuchs geregelt.

Abbildung 2: Darstellung der Einschätzung der relevanten Rechtsgebiete durch die befragten Unternehmen

Die aktuelle Compliance-Studie zeigt jedoch auch auf, dass den Angaben der Befragten gemäß derzeit gut 20 Prozent der börsennotierten und ca. 40 Prozent der mittelständischen Unternehmen über kein institutionalisiertes Compliance-Risikomanagement verfügen. Eine systematische Identifizierung, Klassifizierung und Bewertung bestehender Risiken ist notwendig, um das Bruttorisiko festzustellen. Nur wenn man einen Überblick über sämtliche Risikoszenarien, deren Eintrittswahrscheinlichkeit sowie deren potentiellen Schadensausmaß hat, ist es möglich auch entsprechende risikominimierende Maßnahmen abzuleiten. Dieser Prozess sollte als grundlegend für eine Erfüllung der gesetzlichen Sorgfalts- und Überwachungspflichten betrachtet werden.

Abbildung 3: Überblick über vorhandene institutionalisierte Compliance-Risikomanagement-Systeme

Zur vollständigen Erfassung der Compliance-Risiken in allen Geschäftsprozessen wird empfohlen, einen Risikoidentifizierungsprozess zu implementieren, der ausgehend von einer zentralen Definition der Hauptrisikogebiete auch durch so genannte "bottom-up" Prozesse ergänzt wird. Dabei tragen Verantwortliche aus den einzelnen Einheiten und Abteilungen mit ihrer Expertise über risikobehaftete Prozesse dazu bei, eine möglichst strukturierte und umfassende Risikoidentifizierung sicherzustellen. Laut Studie gehen derzeit 70 Prozent der börsennotierten und 60 Prozent der mittelständischen Unternehmen einen solchen hybriden Weg zur Erfassung ihrer Risiken.

Um Compliance-Risiken eines Unternehmens festzulegen, wird in der Regel eine Reihe von Indikatoren hinzugezogen, um möglichst differenziert die Risikoexposition eines Unternehmens zu erfassen. Dabei ist es empfehlenswert, auf unterschiedlichen Ebenen – von länderübergreifenden Indices wie etwa dem Compliance Perception Index (CPI), über quantitative Faktoren der einzelnen Organisationseinheiten, bis hin zur Betrachtung der konkreten Bedrohungsszenarien für einzelne Risikofelder und für einzelne Geschäftsprozesse und -bereiche sowie vergangener Vorkommnisse – eine Risikolandkarte aller möglichen Risiken der einzelnen Risikogebiete zu erstellen. Mit dieser Erfassung wird es schließlich möglich, einen Überblick über das Bruttorisiko zu erlangen und so eine systematische Dokumentation aller potentiellen Verstöße gegen einzuhaltende Regeln vorweisen zu können, aus der folglich geeignete Maßnahmen abgeleitet werden können.

An diesen, im Idealfall nach Risikogebiet und Einheitsebene differenzierten, Risikoidentifizierungs- und -bewertungsprozess schließt die systematische Identifizierung bzw. Entwicklung geeigneter Maßnahmen an, um ein effizientes und effektives Compliance-Programm sicherzustellen. Dieses Vorgehen mündet schließlich in eine Bestimmung eines residualen Netto-Restrisikos.

Abbildung 4: Systematische Vorgehensweise zur Compliance-Risikominimierung

1.2. Compliance-Programmentwicklung
Die Compliance-Studie zeigt, dass aktuell in über 90 Prozent der befragten börsennotierten Unternehmen und in fast 75 Prozent der mittelständischen Unternehmen ein solches systematisches Vorgehen zur Risikoidentifizierung und -bewertung praktiziert wird. Die Mehrheit gibt zudem an, sich in diesem Prozess mit anderen Corporate Governance Funktionen, wie dem Risikomanagement und dem Internen Kontrollsystem, abzustimmen, um maximale Synergien zu ermöglichen. Für eine nachhaltige Optimierung und auch Sicherstellung der Maßnahmen wird empfohlen, alle Maßnahmen entsprechend zu dokumentieren. Insbesondere auch in Hinblick auf mögliche notwendige korrektive oder überwachende Aktivitäten ist eine umfassende Dokumentation des Prozesses und der darin enthaltenen Vorgaben und Kontrollen notwendig. Eine fortlaufende Risiko-Analyse und ein entsprechender Abgleich mit den bereits implementierten Maßnahmen ermöglichen darüber hinaus eine stets aktuelle und damit effektive Risiko-Kontroll-Matrix.

Abbildung 5: Überblick über wesentliche Schritte in der Entwicklung eines geeigneten Compliance-Programms

Prinzipiell kann zwischen detektiven, präventiven und reaktiven Compliance-Maßnahmen unterschieden werden. Ziel ist es insbesondere durch eine gute Balance präventiver und detektiver Maßnahmen das Gesamtrisiko derart zu reduzieren, dass nur noch Einzelfälle zu Tage treten, auf die dann entsprechend reagiert werden muss. Die Verteilung lag hierbei bei börsennotierten und mittelständischen Unternehmen ähnlich: 50 Prozent aller befragten Unternehmen geben an, primär präventive Maßnahmen im Rahmen ihres Compliance-Management-Systems entwickelt zu haben. Rund 5 Prozent legen hingegen ihren Fokus auf detektive Maßnahmen. 45 Prozent geben an eine Balance zwischen beiden Strategien in ihrem Unternehmen etabliert zu haben.

Ein wesentlicher weiterer Aspekt bei der Gestaltung eines wirksamen Compliance-Programms ist die Vorgehensweise, wie dieses innerhalb des Unternehmens in alle Abteilungen und vor allem auch in alle Einheiten weltweit ausgerollt wird. Hierfür gibt es unterschiedliche Lösungsmöglichkeiten. Teilweise werden Compliance-Maßnahmen in der Zentrale entwickelt und dann als Arbeitspaket an die rechtlichen Einheiten ausgerollt – in der Regel mit der Maßgabe unter bestimmten Genehmigungsprozessen lokale Anpassungen vornehmen zu können. Alternativ besteht die Möglichkeit, dass die Einheiten dezentral ihr Compliance-Management betreiben. Beide Lösungen können wirksam sein. Zentral hierbei ist, dass auf Gruppen- bzw. Konzernebene die Hoheit über das Risiko- und somit auch Programmmanagement verortet bleibt. Wobei an dieser Stelle darauf hinzuweisen ist, dass es diesbezüglich in einem AG-Konzern rechtliche Problem geben auf Grund fehlender Konzernleitungsmacht gegenüber einem Tochterunternehmen geben kann, welches in der Rechtsform ebenfalls eine AG ist, dem hier nicht weiter nachgegangen wird.

Entscheidend hierbei ist, dass die Zentrale zu jederzeit aussagefähig über die Wirksamkeit des bestehenden Compliance-Systems ist.

1.3. Überwachung zur Sicherstellung der Wirksamkeit eines Compliance-Management-Systems
In der aktuellen Studie geben 74 Prozent der börsennotierten und 45 Prozent der mittelständischen Unternehmen an, Compliance-Überwachungsmaßnahmen durchzuführen.

Ziel solcher Maßnahmen ist dabei insbesondere eine prozessunabhängige Überwachung der Wirksamkeit implementierter Compliance-Maßnahmen. Dafür werden bestimmte Compliance-Prüfungen durchgeführt – in der Regel von der Internen Revision, teilweise auch aus der Compliance-Abteilung heraus –, bei denen durch Stichprobenprüfungen, Interviews und Prozessprüfungen bestimmte Aspekte und/ oder Teilbereiche des Compliance-Management-Systems auf Konzern- und oder Einheitsebene geprüft werden.

Während Compliance-Prüfungen eine Form des unabhängigen Prozesses zur Überwachung des Compliance-Management-Systems darstellen, gibt es eine Reihe an weiteren Bestandteilen des Compliance-Monitoring und insbesondere eines daraus resultierenden Prozesses zur kontinuierlichen Verbesserung des Compliance-Management-Systems. So dienen etwa Monitoring-Programme zur kontinuierlichen Überwachung der einzelnen Maßnahmen eines Compliance-Systems. Mittels Self-Assessments werden compliance-relevante Funktionen in die Verantwortung genommen, die Wirksamkeit ihrer Maßnahmen zu bewerten. Schließlich stellt eine systematische Analyse der identifizierten Schwachstellen, um daraus optimierte und weitere Maßnahmen abzuleiten, das zentrale Instrument dar, um das Compliance-System kontinuierlich zu verbessern.

Ein wesentlicher weiterer Bestandteil dieser zentralen Compliance-Management-Aufgabe ist die Überwachung der Wirksamkeit der in den Einheiten wirkenden Compliance-Maßnahmen. Dies kann etwa durch klare Vorgaben geregelt werden, welche Themen, an wen, in welchem Rhythmus kommuniziert werden sollen. Darüber hinaus besteht die Möglichkeit eine Datenbank einzuführen, so dass der Compliance-Verantwortliche in der Zentrale jederzeit den Stand und die Wirksamkeit der ausgerollten Maßnahmen in den Einheiten überwachen und tracken kann. Da nur 26,5 Prozent der befragten börsennotierten und 45,2 Prozent der befragten mittelständischen Unternehmen derzeit über entsprechende Prozesse verfügen, lässt sich hier noch ein deutliches Verbesserungspotential erkennen.

Abbildung 6: Überblick über wesentliche Elemente eines Compliance-Überwachungssystems

2. Sorgfalts- und Überwachungspflichten der Organe eines Unternehmens
Dieser Kreislauf von Risikoidentifizierung und -bewertung über eine entsprechende Programmentwicklung bis hin zur Überwachung und Verbesserung bestehender Maßnahmen ist als ein fortlaufender Prozess und nicht als einmalige Aktivität zu betrachten. Nur so kann sichergestellt werden, dass ein bestehendes Compliance-Management-System allen Anforderungen gerecht wird und das Unternehmen und seine Organe vor etwaigen Risiken schützt.

Vorstand und Geschäftsführer stehen sowohl gesellschaftsrechtlich (§ 93 AktG, 43 GmbHG) als auch strafrechtlich (§130 OWiG) in der Verantwortung Compliance innerhalb ihres Unternehmens sicherzustellen und zu überwachen. Die Pflicht zur Überwachung der Wirksamkeit eines Compliance-Management-Systems seitens der Aufsichtsorgane wird insbesondere über §107 AktG in Verbindung mit §52 GmbHG konkretisiert.

Bei Einhaltung des beschriebenen Regelkreislaufes, können sich Vorstand/ Geschäftsführung und das Aufsichtsorgan kontinuierlich über Entwicklungen und etwaige Optimierungsprozesse informieren lassen. Die Studie ergab, dass in fast 40 Prozent der befragten börsennotierten und in fast 50 Prozent der mittelständischen Unternehmen die Einbindung des Aufsichtsorgans aktuell eher gering erfolgt.

3. Fazit
Die Entwicklung eines systematischen Compliance-Managements kann als Grundlage für die Erfüllung der gesetzlichen Sorgfalts- und Überwachungspflichten und damit als Voraussetzung für ein Wirksames CMS dienen. In dem Beitrag wurde der Regelkreis der Kernprozesse – Compliance-Risikomanagement, Programmentwicklung sowie Überwachung und Verbesserung eines wirksamen Compliance-Management-Systems an Hand empirischer Daten der aktuellen Studie dargestellt und in Hinblick auf die wesentlichen Prozesse und Maßnahmen in ihrer Systematik erläutert.

(1) Compliance – Modeerscheinung oder Chefsache? Wie sich deutsche Großkonzerne der Herausforderung stellen. ©2011, KPMG AG WPG.
(2) Analyse des aktuellen Stands der Ausgestaltung von Compliance Management-Systemen in deutschen Unternehmen. 2013, KPMG AG WPG (im Erscheinen).
(KPMG: ra)

Die Autoren

Christoph Schenk (WP/StB) ist der verantwortliche Compliance-Assurance-Partner der KPMG AG Wirtschaftsprüfungsgesellschaft in der Region Süd.

Dr. Antonia Steßl ist im Bereich Assurance Services der KPMG AG Wirtschaftsprüfungsgesellschaft tätig und spezialisiert auf Compliance-Management-Systeme.

KPMG: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Management

Intelligente SIEM-Lösungen sind gute Hilfsmittel
Jedes Netzwerk benötigt Schutz. Schutz vor feindlichen Angriffen, Schutz vor versehentlichen Datenverlusten. Gewährleisten kann diesen Schutz nur ein durchdachtes und konsequent in der Praxis angewandtes Regelwerk, die sogenannte Compliance. Das richtige Management der Compliance ist eine komplizierte Angelegenheit. Um sicherzustellen, dass Regeln befolgt und Verstöße geahndet werden, ist ein Indikator erforderlich, mit dem das Regelwerk auf seine konsequente Einhaltung überprüft werden kann. Hier kommen Protokolldateien, die sogenannten Logfiles, ins Spiel.Logfiles entstehen, wenn in einer digitalen Umgebung eine Funktion ausgeführt wird. Sie beinhalten Informationen über die Aktivität, die ausgeführt wurde, und Zusatzinformationen, wie z.B. zum Ausführungszeitpunkt, dem Akteur, etc.Richtig eingesetzt können mit Hilfe dieser Logfiles problemlos Verstöße gegen die Compliance erkannt, nachträglich sogar, über digitale Forensik-Analysen, bis zu ihrem Ursprung zurückverfolgt werden. So ist es mit ihrer Hilfe möglich, Sicherheitslücken zu schließen.
Automatisierung der Trade-Compliance durch IT
Trade Compliance ist in den meisten international tätigen Großunternehmen heute als Topmanagementaufgabe voll anerkannt. Eine heiße Frage bleibt jedoch, wie das Thema inhaltlich und organisatorisch am besten umgesetzt werden kann. Immer mehr Unternehmen legen Wert darauf, als positiver Teil der Gesellschaft wahrgenommen zu werden. Dazu gehört, stets rechtskonform zu handeln. Das Trade-Compliance-Management stellt das Einhalten von Gesetzen und Vorschriften im Außenhandel sicher. Es weist zahlreiche Berührungspunkte mit anderen Managementsystemen und Regelwerken wie zum Beispiel Corporate Governance, Risiko-, Qualitäts-, Umwelt- und Nachhaltigkeits-Management auf. Unternehmen stehen daher vor der Frage, welchem Unternehmensbereich sie das Thema Trade Compliance zuordnen sollen, z. B. der Rechtsabteilung, Finanzen/Controlling, dem Politik- und Regulierungs-Management oder dem Supply-Chain-Management. Und sie müssen entscheiden, wie sie Import- und Exportkontrollen am besten organisieren können.
IT-gestützte Compliance ist kein Hexenwerk
Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt. Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.
Compliance-konforme Datensicherheit
Die Vertraulichkeit und Integrität von Daten ist unverzichtbar – nicht zuletzt auch aus Compliance-Gründen. Eine Grundlage dafür: Die konsequente Verschlüsselung von wichtigen Informationen. Ein besonders hohes Schutzniveau bieten Hardware-basierte Verschlüsselungssysteme, so genannte Hardware Security Module (HSM). Zur Sicherung von Daten und Transaktionen sind kryptographische Verfahren unverzichtbar. Sie umfassen zwei Bereiche: das Erzeugen, Speichern und Verwalten von Schlüsseln sowie die Anwendung für die Signaturerstellung und Verschlüsselung mit diesen kryptographischen Schlüsseln. Hier kommen Hardware Security-Module ins Spiel: Sie erzeugen hochwertige kryptographische Schlüssel und speichern sie so sicher, dass unautorisierte Personen keinen Zugriff darauf haben.
Schutz kritischer Infrastrukturen
Das IT-Sicherheitsgesetz - das erste seiner Art in Deutschland - ist vom Kabinett verabschiedet worden und liegt nun im Bundestag zur Beratung. Es ist ein Anfang und eine Chance für Unternehmen, um sich vor Angriffen zu schützen. Die Notwendigkeit dieser Gesetzgebung ist offenkundig: Das zivile Leben in Deutschland darf nicht durch Cyberattacken beeinträchtigt werden. Besonders das Thema Wirtschaftspionage soll mit dem Gesetz adressiert werden, denn beinahe jede Woche werden neue Angriffe auf Unternehmens- und Organisationsstrukturen gemeldet. Offensichtlich ist es für Wirtschaftskriminelle, politische Akteure und Cyberterroristen immer noch viel zu einfach, in die Infrastrukturen einzudringen, zu sabotieren und Daten zu entwenden. Vollständig verhindern wird das IT-Sicherheitsgesetz diese Attacken nicht, es soll aber zumindest die gröbsten Sicherheitslücken beseitigen. Es soll unter anderem sicherstellen, dass es ein dokumentiertes Sicherheitsmanagement gibt und dass alle sicherheitskritischen Elemente in der IT-Infrastruktur im Unternehmen identifiziert und ganzheitlich überwacht werden.

Wenn der Lizenzprüfer zweimal klingelt Lizenzierungsmodelle zukunftssicher gestalten