Martin Walter - Hinweisgebersysteme

[1]

ISO 19600, 5.1 Leadership and commitment, S. 49 ff.

[2]

ISO 37001:2016 (E), 5.2 Anti-Bribery-Policy, S. 9; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 1. c. Code of Conduct, S. 6 ff.; vgl. auch in Art. 40 DSGVO sowie dazu ausführlich Reifert ZD 2019, 305.

[3]

ISO 19600, 5.2.2 Development, S. 58 f.; US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, 1. Design and Comprehensiveness, S. 4 f.

[4]

Vgl. Rotsch/ Moosmayer Criminal Compliance, § 34 Rn. 60.

[5]

Hauschka/Moosmayer/Lösler/ Schlaghecke Corporate Compliance, § 43 Rn. 69.

[6]

Rotsch/ Moosmayer Criminal Compliance, § 34 Rn. 60.

[7]

Moosmayer Compliance, Rn. 162.

[8]

Vgl. im Einzelnen dazu FERMA/ECIIA Monitoring of effectiveness of internal control, internal audit and risk management systems, 2010, Guidance Paper zur 8th European Company Law Directive on Statutory Audit (Directive 2006/43/EC – Art. 41-2b); IIA Position Paper: The Three Lines of Defense in effective Risk Management and Control, 2013.

[9]

Vgl. Hauschka/Moosmayer/Lösler/ Obermayr Corporate Compliance, § 44 Rn. 116 ff.

[10]

Vgl. dazu Soyer/ Ruhmannseder Handbuch Unternehmensstrafrecht, Rn. 13.35 f.

[11]

Moosmayer Compliance, Rn. 209.

[12]

ISO 19600, 3.2.4 Documented information, S. 84 ff.

2. Kapitel Grundprinzipien eines Compliance Management Systems› II. Der Weg zu einem effektiven Compliance Management System› 4. Schulungen und Kommunikation

89

Sind die Risiken analysiert und darauf aufbauende Prozesse in Richtlinien und Handlungsanweisungen niedergelegt, geht es im nächsten Schritt darum, die Risiken und Gegenmaßnahmen den betreffenden Mitarbeitern näher zu bringen.[1] Die Tätigkeit der einzelnen Mitarbeiter unterscheidet sich in ihrer Risiko-Geneigtheit.[2] Das bedeutet im Umkehrschluss, dass nicht jeder Mitarbeiter im gleichen Umfang und in der gleichen Art und Weise geschult werden muss. Welche Mitarbeitergruppen wie zu schulen sind, sollte die Compliance-Organisation in einer global anzuwendenden Schulungsmatrix festhalten.[3] Diese enthält die Mitarbeitergruppen, die Art der Schulungen sowie die einzelnen Schulungsinhalte. Üblich ist es, dass alle Mitarbeiter, die über einen Schreibtisch-Arbeitsplatz verfügen regelmäßig ein E-Learning zum Code of Conductdurchlaufen müssen. Darauf aufbauend sollten die jeweiligen Mitarbeitergruppen je nach Tätigkeitsbereich zusätzliche online Schulungen oder Präsenzschulungenzu den jeweiligen Risikobereichen erhalten. Geschäftsleitung und Vertrieb sollen regelmäßige Präsenzschulungen zu denjenigen Risikofeldern durchlaufen, die mit dem Verkauf der Waren und oder Dienstleistungen im Zusammenhang stehen, allen voran Antikorruption und Kartellrecht.[4] Während bei aktuellen E-Learning Programmen eine Dokumentationsfunktion in der Regel bereits integriert ist, fehlt es bei Präsenzschulungen häufig an der erforderlichen Dokumentation. Besonders wenn lokal organisierte Schulungen stattfinden, sollten die zuständigen Compliance Officer angehalten werden, diese sorgfältig zu dokumentieren. Unternehmen sollten auch nicht vergessen, dass die Compliance Officer, also diejenigen Personen, die vor Ort für das Thema Compliance verantwortlich sind und andere Mitarbeiter unter Umständen schulen werden, selbst in ausreichendem Umfang zu den relevanten Compliance-Themen geschult sein müssen.[5]

90

Neben den Schulungen ist eine regelmäßige Kommunikation zu Compliance-Themenwichtig. Die Kommunikation sollte dabei nicht nur von der Geschäftsführung des Konzerns, sondern auch von der lokalen Geschäftsführung beziehungsweise. dem zuständigen Mittelmanagement in der Organisation verteilt werden.[6] Auch hier gilt, dass die Verteilung sorgfältig zu dokumentierenist, damit das Unternehmen im Ernstfall zeigen kann, welche Anstrengungen es unternommen hat, um Fehlverhalten im Unternehmen zu unterbinden.

91

Zu der Kommunikation zu Compliance-Themen gehört auch eine Beratungsfunktion. Die Mitarbeiter sollten eine Anlaufstelle für Fragen rund um das Thema Compliance haben. Dem Unternehmen steht frei, hierfür eine zentrale Anlaufstelle einzurichten, oder den lokalen Compliance Officern ausreichend zeitlichen Spielraum einzuräumen, um diese Beratungsfunktion wahrzunehmen.

[1]

ICC, The ICC Antitrust Compliance Toolkit, April 2013, 4. b. Antitrust training, S. 45 ff.; FCPA Guide, Chapter 5, Training and Continuing Advise, S. 59.

[2]

Department of the Treasury, A Framework for OFAC Compliance Commitments, S. 7 f.

[3]

ISO 19600, 7.2.2 Training, S. 78.

[4]

Hauschka/Moosmayer/Lösler/ Klahold/Lochen Corporate Compliance, § 37 Rn. 60; Hastenrath CCZ 2014, 132; Meyer CCZ 2014, 113, 117 f.

[5]

Hastenrath CCZ 2014, 132; Pauthner/de Lamboy CCZ 2011, 106, 109.

[6]

ICC, The ICC Antitrust Compliance Toolkit, April 2013, 1. e. Ongoing and sustained senior management commitment, S. 8; Moosmayer Compliance, Rn. 144 ff.

2. Kapitel Grundprinzipien eines Compliance Management Systems› II. Der Weg zu einem effektiven Compliance Management System› 5. Überwachung und Revision

92

Das für Unternehmen häufig herausfordernde Element eines CMS ist die ausreichende Überwachung und Revision der Compliance-Themen.

93

Überwachung bedeutet hier, dass eine zuständige Stelle in der Zentralabteilung aber auch in der lokalen Compliance-Organisation dafür zuständig ist, regelmäßig zu prüfen, ob die Vorgaben, die in den Richtlinien und Handlungsanweisungen niedergelegt sind, eingehalten werden:[1] Diskutiert die Geschäftsleitung regelmäßig Compliance-Themen in ihren Besprechungen? Sind die aktuellen Versionen der anwendbaren Richtlinien in der lokalen Gesellschaft verteilt? Haben alle neu eingestellten Mitarbeiter die wesentlichen Compliance Schulungen absolviert? Wurden alle Geschäftspartner überprüft, bevor der Vertrieb mit ihnen eine Geschäftsbeziehung einging? Wurden die entsprechenden Vertragsmuster für die Handelsvertreterverträge verwendet?[2]

94

Auf Ebene der „zweiten Verteidigungslinie“ (2nd line of defense)finden die operativen Kontrollen statt. Dies ist vor allem das Betätigungsfeld der Unternehmensbereiche „Risikomanagement“, „Compliance“, „IT-Security“ etc. Die Überwachung, dass die vorhandenen Richtlinien und Handlungsanweisungen eingehalten werden, ist dabei Aufgabe der Compliance-Organisation. Die „dritte Verteidigungslinie“ (3rd line of defense)stellt als objektive und unabhängige Prüfungs- und Beratungsinstanz die Interne Revisiondar. Die Interne Revision unterstützt in dieser Funktion Unternehmensleitung, operatives Management und Überwachungsinstanzen. Sie soll der Unternehmensleitung die Gewähr dafür bieten, dass die Risiken wirksam erkannt, bewertet und gesteuert werden. Durch die Interne Revision werden insbesondere Effektivität und Effizienz der beiden vorgelagerten Verteidigungslinien bewertet. Sie bildet eine unabhängige Einheit, die nicht mit den vorgelagerten Stufen verwoben ist. Zum Aufgabenbereich der Internen Revision gehört auch die Überprüfung der Compliance-Funktion.[3] Zwischen der Internen Revision und der Compliance-Funktion sollte ein reger Austausch stattfinden, damit zum einen die vorhandenen Ressourcen möglichst effizient genutzt werden und damit zum anderen die Compliance-Organisation aus den Erkenntnissen der Internen Revision ggf. erforderliche Verbesserungsmaßnahmen entwickeln kann.