Pflichten zu kennen ist der erste Schritt, sie dauerhaft einzuhalten der zweite. Ein Compliance-Management-System sorgt dafür, dass neue Regeln erkannt, Verantwortliche bestimmt, Kontrollen durchgeführt und Verstösse bemerkt werden, auch wenn Personen wechseln.
Typische Elemente
Die gängigen Rahmenwerke beschreiben ähnliche Bausteine: eine Compliance-Kultur mit klarer Haltung der Leitung, Ziele, eine Analyse der Compliance-Risiken, ein Programm aus Regeln und Kontrollen, eine Organisation mit Rollen und Ressourcen, Kommunikation und Schulung sowie Überwachung und Verbesserung. Herzstück ist meist ein Pflichtenregister, das jede Pflicht mit Quelle, Verantwortlichen und Kontrolle verbindet.
ISO 37301 und IDW PS 980
ISO 37301 ist die internationale Norm für Compliance-Managementsysteme und zertifizierbar. In Deutschland beschreibt der Prüfungsstandard IDW PS 980 des Instituts der Wirtschaftsprüfer, wie ein CMS geprüft wird; er dient vielen Unternehmen als Gliederung. Eine Zertifizierung oder Prüfung ist für die meisten KMU nicht vorgeschrieben, kann aber gegenüber Kunden, Banken oder Investoren hilfreich sein.
Warum ein CMS schützt
Ein funktionierendes CMS reduziert nicht nur das Risiko von Verstössen. Es kann im Schadenfall auch zeigen, dass die Leitung ihre Organisations- und Aufsichtspflichten ernst genommen hat. Gleichzeitig verhindert es, dass dieselben Grundlagen für jedes Regelwerk neu gebaut werden, etwa ein Verzeichnis der Systeme oder ein Incident-Response-Plan.
Schlank im KMU
Für ein KMU reicht oft ein gepflegtes Register, wenige wirksame Kontrollen, kurze Schulungen und ein knapper Bericht an die Geschäftsleitung. Wichtiger als Umfang ist Regelmässigkeit. Ausgangspunkt ist eine Gap-Analyse der geltenden Pflichten; unser Angebot zum Aufbau eines CMS setzt darauf auf.