Markus Böttcher - Compliance

33

Zu den grundlegenden Aufgaben der Compliance-Organisation gehört schließlich die Beratung des Vorstands und der Fachbereiche.[12] Diese Dienstleistung der Compliance-Abteilung umfasst die Beratung bei der Beschaffung von Informationen, die Unterstützung bei der Entwicklung von neuen Produkten und Abwicklungsformen und insbesondere die individuelle Hilfe in Einzelfällen und bei Zweifelsfragen.[13] Die Beratung in Compliance-Fragen sollte von einer klar erkennbaren Service-Mentalität getragen werden, die als Basis jeder professionellen Arbeit und der notwendigen Haftungsbegrenzung ohnehin unabdingbar ist. Deshalb sollte sich die Compliance-Abteilung an den Arbeitsprinzipien professioneller Inhouse-Beratung orientieren.

34

Insbesondere muss sichergestellt sein, dass diejenigen Mitarbeiter der Compliance-Abteilung, die das Unternehmen nach außen vertreten, mit den entsprechenden Vertretungsbefugnissen(z.B. Prokura) ausgestattet sind. Ebenso wie die Rechtabteilung sollte die Compliance-Abteilung rechtsverbindliche Erklärungen abgeben können, um dadurch tatsächliche Entscheidungsgewalt nach innen und außen zu haben.[14] Der Leiter der Compliance-Abteilung sollte im Übrigen stets darum bemüht sein, seine Mitarbeiter so „sichtbar“ und bekannt wie möglich zu machen, so dass diese als Unternehmensvertreter nach innen und nach außen wahrgenommen werden und mit Unterstützung der Geschäftsleitung die notwendigen rechtlichen Vertretungsbefugnisse erhalten. Ist dies nicht der Fall, bleibt die Compliance-Abteilung nur eine unglaubwürdige und als unnötig empfundene Funktion im Unternehmen.

[1]

Wozu die Mitarbeiter durch eine bestehende Whistleblowing Policy i.d.R. auch aufgefordert werden.

[2]

Zum Risikomanagement Hauschka/Moosmayer/Lösler/ Glage/Grötzner § 14 Rn. 20 ff.

[3]

S. hierzu Roth S. 47.

[4]

Hauschka/Moosmayer/Lösler/ Bürkle § 36 Rn. 33.

[5]

Vgl. Schettgen/ Marimon Compliance Officer, 2013, S. 298

[6]

In vielen Unternehmen wird es sehr gerne gesehen, wenn der Compliance-Beauftragte einen beruflichen Hintergrund als Jurist hat. Oft wird der Compliance-Beauftragte aus der bestehenden Rechtsabteilung rekrutiert, da dies als der sicherste Weg betrachtet wird, die neu zu schaffende Compliance-Funktion zuverlässig auszufüllen. Alternativ werden für diese Position von einigen Großunternehmen auch gerne Rechtsanwälte eingestellt, die sowohl einen guten gesellschaftsrechtlichen Hintergrund als auch entsprechende Compliance-Vorbildung haben.

[7]

Je höher der Compliance Officer in der Hierarchie des Unternehmens angesiedelt ist, desto selbstverständlicher wird seine Einbeziehung in wesentliche Unternehmensvorgänge sein.

[8]

Gerne wird von der Unternehmensleitung Vertraulichkeit als Argument gegen eine frühzeitige Einbindung von Compliance in bedeutsame unternehmerische Prozesse angeführt. vielmehr sollte der Compliance-Verantwortliche, der ohnehin einer umfassenden Geheimhaltungsverpflichtung unterliegt, vollumfänglich in sämtliche entscheidenden Prozesse und Planungen der Unternehmensleitung einbezogen werden.

[9]

Hierzu auch Roth S. 65 ff.

[10]

Dies scheint selbstverständlich, ist aber in manchem Unternehmen aufgrund seit Jahrzehnten bestehender Silo-Mentalität alles andere als verbreitet.

[11]

Manche Unternehmen sind in den letzten Jahren ohnehin dazu übergegangen, den Kontrollcharakter von Compliance stärker in den Fokus zu rücken („Assurance“).

[12]

Dies ist nach wie vor die feste Überzeugung der Autorin, auch wenn in einigen Unternehmen die Compliance-Abteilung als reine „Assurance“-Funktion mit Überwachungs- und Kontrollfunktionen ausgestaltet ist und jegliche Compliance-Beratung von der Rechtsabteilung übernommen werden muss.

[13]

Vgl. hierzu auch Buff Rn. 614.

[14]

Allerdings sollte die Compliance-Abteilung ebenso wie die Rechtsabteilung die Abgabe von Erklärungen nach außen i.d.R. den operativen Einheiten bzw. der Geschäftsführung überlassen, wenn nicht die Umstände dafür sprechen, dass ein Jurist oder der Compliance Officer explizit nach außen auftreten oder im Auslandsverkehr Schriftstücke vom „legal counsel“ oder „company secretary“ zu unterzeichnen sind.

3. Kapitel Compliance-Organisation in der Praxis› A. Compliance-Programm und praktische Umsetzung› IV. Instrumente eines Compliance-Programmes

35

Die Feststellung, in welchen Bereichen des Unternehmens besondere Risiken bestehen oder zu erwarten sind, also die Definition der Risikobereiche, zum Teil auch Risk Assessmentgenannt, bildet die Grundlagen für ein maßgeschneidertes und damit effizientes Compliance-Programm des Unternehmens.

36

Diese zu identifizierenden Compliance-Risiken können sich je nach Standort und Fachbereich massiv voneinander unterscheiden, da sie von den rechtlichen Gegebenheiten in einzelnen Ländern ebenso abhängen wie von den relevanten Geschäftsschwerpunkten des Unternehmens. So kann z.B. die Einführung eines neuen Kartellrechtsgesetzes in Spanien dazu führen, dass der länderverantwortliche Compliance Officer das Kartellrecht aufgrund bestehender geschäftlicher Praktiken als künftigen Risikoschwerpunktidentifiziert, wogegen bspw. die Einführung eines neuen unternehmensinternen Datenverarbeitungssystems andere Compliance-Verantwortliche dazu veranlassen wird, den Bereich Datenschutz als Compliance-Risiko zu benennen. Auch die Entwicklung neuer Geschäftsmodelle oder innovativer Produkte kann zur Identifizierung eines neuen Compliance-Risikos führen.

37

Für die realistische Bewertung und Einschätzung eines Compliance-Risikos empfiehlt sich zudem die intensive Zusammenarbeit mit den jeweiligen Geschäftsbereichen und dem Risiko-Management. Besteht im Unternehmen noch keine (funktionierende) Compliance-Abteilung, kann die Aufgabe der Identifizierung der Risiken auch gut zum Anlass genommen werden, diese, der Bewertung der Risiken entsprechend, aufzubauen.

38

Die Identifizierung von Compliance-Risikenist kein Selbstzweck, sondern soll möglichst zügig dazu führen, dass bestehende Lücken im ggf. bereits bestehenden Compliance-Programm geschlossen werden bzw. ein für das Unternehmen sinnvolles Compliance-Programm überhaupt erst ins Leben gerufen wird.

39

Die Definition der lokalen und fachlichen Risikobereiche ist keine einmalige Angelegenheit, sondern sollte regelmäßig, z.B. zweimal jährlich, bei Bedarf auch häufiger, durchgeführt werden. Es empfiehlt sich, einen Fragebogen zu entwerfen, in dem konkret nach den Schlüsselrisiken, geordnet nach Dringlichkeit, den für das Risiko verantwortlichen Personen oder Abteilungen im Unternehmen und einer detaillierten Risikobewertung gefragt wird (Wie schätzen Sie die Schwere und die Häufigkeit des Risikos ein?). Darüber hinaus sollten auch mögliche Reputationsrisiken sowie bestehende oder zu schaffende Kontrollmöglichkeiten sowie konkrete Vorschläge zur Risikobekämpfung abgefragt werden.

40

Die identifizierten Risiken sind sodann einer Bestandsaufnahme und einer Auswertung nach Höhe und Bedeutung für das Unternehmen zu unterziehen. Auch für diesen Arbeitsschritt sollte die Compliance-Abteilung die Unterstützung des Risikomanagements bekommen: Risikobewertungsprozesse müssen in der Regel nicht neu erfunden werden; das entsprechende Know-how ist in den meisten Unternehmen bereits in der ein oder anderen Form vorhanden.

41

Sobald die für das Unternehmen „bedeutsamen“ Risiken herausgefiltert wurden, stellt sich die Frage, wie diese Risiken zu bekämpfen bzw. zu kontrollieren sind. Hierfür bedarf es eines Planungsprozesses, in dem für jedes identifizierte Risiko ein „Schlachtplan“ festgelegt wird, anhand dessen der Umgang mit diesem Risiko bestimmt wird. In diesem Planungsprozess ist insbesondere zu berücksichtigen, dass nicht jedes Risiko vollständig bekämpft werden kann, weshalb ggf. eine „Risikotoleranzebene“ definiert werden sollte.