Source: https://www.dashoefer.de/dasfibuwissen/compliance-einf%C3%BChrung-und-definition.html
Timestamp: 2020-08-03 12:24:00+00:00

Document:
Compliance – Einführung und Definition | dasFiBuWissen - Fachwissen von Experten für Ihren Erfolg.
Compliance - Einführung und Definition
Umsatzsteuer [ Stand: 27.07.2020 ]
Einführung und Definition Der Begriff Compliance kommt von dem englischen Ausdruck „to comply with“, den man mit „sich an die Regeln halten“ bzw.
Der Begriff Compliance kommt von dem englischen Ausdruck „to comply with“, den man mit „sich an die Regeln halten“ bzw. „die Regeln befolgen“ übersetzen kann.
Für Unternehmen bedeutet das je nachdem, wie weit der Begriff „Regeln“ ausgelegt wird, externe (v. a. gesetzliche) Regelungen, vertragliche Verpflichtungen und interne Regelungen und Richtlinien (z. B. ethische Grundsätze, Satzung, Geschäftsordnung) zu befolgen bzw. der Verletzung dieser Regeln vorzubeugen.
Durch zahlreiche Finanz-, Betrugs- und Korruptionsskandale seitens global tätiger Gesellschaften in der jüngeren Vergangenheit ist das Thema Compliance in den letzten Jahren in den Vordergrund gerückt und gehört zum Standard-Repertoire großer Konzerne, die deren Bedeutung durch in der Konzernhierarchie hoch angesiedelte Chief Compliance Officer (teilweise als Vorstandsressort) unterstreichen.
Besonders betroffen vom Thema Compliance sind insbesondere auch das Rechnungswesen und Controlling, da hier zum einen Zahlungen angewiesen und überwacht werden, zum anderen aber auch Verstöße aufgedeckt werden können, da alle reellen Sachverhalte und Geschäftsvorfälle letztlich in der Buchführung abgebildet werden. Aber auch im Vertrieb und Einkauf liegen Schwerpunkte („bestechen und bestochen werden“), weniger stark betroffen sind wohl die Bereiche Produktion, IT und Personal.
Direkte, explizite gesetzliche Vorgaben für eine Compliance-Funktion gibt es nur für Wertpapierdienstleistungsunternehmen (im WpHG* und KWG* geregelt) und Versicherungsunternehmen, die für die Einhaltung von Gesetzen, Regelungen und aufsichtsbehördlichen Anforderungen im Unternehmen zu sorgen haben.
Darüber hinaus gibt es drei Quellen, auf die sich Bedeutung und Ausgestaltung der Compliance stützen:
national: Deutscher Corporate Governance Kodex (DCGK),
national: IDW PS 980 Grundsätze ordnungsmäßiger Prüfung von Compliance Management Systemen,
international: ISO 19600 Compliance Management Systems.
Eine direkte rechtliche Verpflichtung ergibt sich aus diesen Quellen aber nicht. Der DCGK muss nicht verpflichtend beachtet werden, börsennotierte Gesellschaften müssen lediglich nach § 161 Abs. 1 S. 1 AktG jährlich erklären, inwieweit den Empfehlungen entsprochen oder (mit Begründung) nicht entsprochen wurde (sogenannte Entsprechenserklärung). In der Unternehmenspraxis wird dem DCGK aber im Wesentlichen – bei geringfügigen Abweichungen – gefolgt.
Die aktuelle Fassung des Deutschen Corporate Governance Kodex (DCGK) vom 16. Dezember 2019 wurde am 20. März 2020 im Bundesanzeiger veröffentlicht. Dessen Grundsatz 5 besagt: „Der Vorstand hat für die Einhaltung der gesetzlichen Bestimmungen und der internen Richtlinien zu sorgen und wirkt auf deren Beachtung im Unternehmen hin (Compliance).“
Eine enge Auffassung würde sich nur auf externe rechtliche Regelungen beziehen. Die mittlerweile breit anerkannte weite Definition des Begriffs Compliance – wie sie auch vom DCGK laut dessen oben zitiertem Grundsatz 5 vertreten wird – umfasst auch die unternehmens- bzw. konzerninternen Regelungen.
In den letzten Jahren wurde der Compliance-Begriff darüber hinaus noch weiter ausgedehnt; er soll nunmehr auch ethische Grundsätze sowie eine Compliance-Kultur inklusive Verhaltenskodizes umfassen (vgl. das Stufenkonzept weiter unten).
Nimmt man dieses erweiterte Verständnis als Grundlage, sollen Vorgänge folgender Art unterbunden werden:
Bestechung bzw. Korruption,
Schwarzgeld und schwarze Kassen,
Betrug, Untreue und Unterschlagung,
Geldwäsche, Terrorismusfinanzierung,
Verstöße gegen Ausfuhrbeschränkungen und Zollvorschriften,
Verstöße gegen Arbeits- und Arbeitssicherheitsgesetze sowie Gesundheitsvorschriften,
Verstöße gegen Umweltgesetze und -auflagen,
Spiel- bzw. Wettmanipulation.
Die Ziele der Compliance bestehen darin, die schwerwiegenden Folgen von Non-Compliance zu vermeiden:
Klagen, langwierige und teure Prozesse, Strafen und Bußgelder, Gewinnabschöpfung sowie Schadensersatz oder der Ausschluss von öffentlichen Aufträgen bis hin zu – im Extremfall – Forderungen nach einer Zerschlagung des Unternehmens bzw. Konzerns;
eine langanhaltende Beschädigung der Reputation und der Marken des Unternehmens.
Bei Unternehmen, die in der Vergangenheit im Fokus von Wirtschaftsskandalen standen, konnte man beobachten, wie die Aufarbeitung jahrelang das Unternehmen gelähmt und Managementkapazitäten und finanzielle Mittel gebunden hat, die besser in die Zukunftssicherung der Unternehmen geflossen wären.
Umgekehrt kann eine wirksame Compliance – neben dem Ausschluss der negativen Effekte – direkte positive Folgen haben:
Wettbewerbsvorteil („sauberes Image“, „mit denen kann man gefahrlos Geschäfte machen“),
Anerkennung seitens der Investoren (vgl. Nachhaltigkeitsindizes der Börsen).
Compliance muss von anderen Begriffen wie Corporate Governance, Risikomanagement bzw. Risikomanagementsystemen (RMS), Internem Kontrollsystem (IKS) und Corporate Social Responsibility (CSR) abgegrenzt werden, wobei es Überschneidungen, Zusammenhänge und Gemeinsamkeiten gibt.
Corporate Governance umfasst sämtliche Gesetze, Regelungen und Standards der angemessenen, verantwortlichen, sorgfältigen (im Sinne von due diligence) und transparenten Unternehmensführung und -überwachung. Entsprechend umfasst der Deutsche Corporate Governance Kodex Grundsätze und Empfehlungen für den Vorstand und den Aufsichtsrat von börsennotierten Aktiengesellschaften, wodurch der direkte Anwenderkreis zunächst beschränkt ist.
Ziel ist es, dass das Unternehmen zum einen im nachhaltigen Unternehmensinteresse geführt wird, zum anderen aber auch im Einklang mit den Grundsätzen der sozialen Marktwirtschaft und unter Berücksichtigung der Interessen der unterschiedlichen Stakeholder der jeweiligen Gesellschaft: Aktionäre, Arbeitnehmer, Betriebsrat und Gewerkschaften, Lieferanten, Kunden, Staat, Gesellschaft. Dazu gehört laut DCGK neben der Gesetzestreue auch ein ethisches, eigenverantwortliches Verhalten auf Basis des „Leitbilds des ehrbaren Kaufmanns“. D.h.: nicht alles was rechtlich zulässig ist, ist auch ethisch und moralisch in Ordnung bzw. fair gegenüber Geschäftspartnern und Stakeholdern.
Corporate Governance soll also vor allem Dritte schützen (z. B. Investoren, Arbeitnehmer, Öffentlichkeit), Compliance wirkt eher nach innen: das Unternehmen soll vor finanziellen Risiken und Reputationsschäden und ihre Organe und Mitarbeiter sollen vor Strafverfolgung geschützt werden.
Corporate Governance baut aber durchaus auf den Säulen Compliance, Internes Kontrollsystem (IKS), Interne Revision und Risikomanagementsystem auf. Betrachtet man die Unternehmensüberwachung als übergeordnetes Ziel, könnte man Compliance auch als ein Bestandteil derselben – neben Internes Kontrollsystem (IKS), Interne Revision und Risikomanagement – betrachten.
Vom Risikomanagement grenzt sich Compliance dadurch ab, dass ersteres nicht auf Abweichungen von (externen oder internen) Normen basiert, sondern ganz allgemein auf Risiken, die als interne und externe Ereignisse und Entwicklungen definiert werden, die das Erreichen der Unternehmensziele gefährden können.
Das kann auch einfach ein Umsatzverlust sein, der zur (finanziellen) Zielverfehlung führt; dieses wäre jedoch kein Compliance-Thema. Auf der anderen Seite stellen die oben genannten Compliance-Themen aber natürlich auch (einen Teil der) Risiken dar, oft mit existenzbedrohendem Ausmaß.
Compliance schränkt indirekt den „Handlungsradius“ des Unternehmens ein (indem z. B. bestimmte Aufträge nicht akquiriert werden, mit bestimmten Kunden keine Geschäfte gemacht werden); Risikomanagement hingegen zielt darauf ab, die Risiken zwar zu identifizieren und zu bewerten, leitet daraus aber ggf. ab, die Risiken einzugehen oder abzusichern.
Ein Internes Kontrollsystem (IKS) dient dazu, effektiv und wirtschaftlich zu handeln und das Vermögen des Unternehmens bzw. Konzerns zu schützen: gegen absichtliche Vermögensschädigung (Untreue, Unterschlagung) oder fahrlässige Vermögensschädigung (z. B. Annahme verlustträchtiger Aufträge, leichtfertige Vergabe von Gutschriften etc.). Das IKS wirkt zum einen vorbeugend (durch Grundsätze, Prozessbeschreibungen, Vorgaben, Vier-Augen-Prinzip, Funktionstrennung, Unterschriftenregelung etc.), zum anderen auch aufdeckend (durch Kontrollmaßnahmen, z. B. auf Basis von Kennzahlen); es ist somit auch ein Bestandteil des Risikomanagements, der Corporate Governance und der Compliance, da dadurch Risiken bzgl. Untreue oder Unterschlagung oder auch unbeabsichtigtes Fehlverhalten (z. B. Verletzung von Ausfuhrbeschränkungen) vermindert werden. Das IKS sorgt zwar für ordnungsgemäße Prozessabläufe, hat aber – auf „Stand-Alone-Basis“ – keine ethische Komponente wie es die Compliance in der weiteren Definition hat.
Die Interne Revision wiederum prüft u. a. die Wirksamkeit und Effizienz des IKS in turnusmäßigen Abständen.
Corporate Social Responsibility (CSR) – frei übersetzt: die Übernahme sozialer bzw. gesellschaftlicher Verantwortung seitens des Unternehmens – soll dazu führen, dass Unternehmen soziale, Menschenrechts-, Umwelt-, Arbeitnehmer-, Fairness- und ähnliche Belange und damit die unterschiedlichen Stakeholder bei ihrer Tätigkeit berücksichtigen. Ethische Grundsätze stehen hier im Vordergrund.
Dies wurde auch explizit mittels der CSR-Richtlinie und dem CSR-Richtlinie-Umsetzungsgesetz für bestimmte Unternehmen im deutschen Handelsrecht verankert (vgl. §§ 289b bis 289e HGB, die die sogenannte nichtfinanzielle Erklärung regeln).
Mit dem starken Fokus auf ethische Standards geht CSR somit zum einen noch etwas auch über die weitere Definition der Compliance hinaus, zum anderen fehlt bei der CSR aber die Einhaltung gesetzlicher bzw. rechtlicher Vorgaben.
Compliance besteht nicht nur aus „hehren Grundsätzen“, die zu Papier gebracht werden, sondern auf einem System zur Umsetzung, das gewährleistet, dass alle im Unternehmen die Regeln einhalten. Ein Compliance-Management-System (CMS) soll die Compliance unternehmens- bzw. konzernweit gewährleisten. Es ist Bestandteil der Unternehmensüberwachung und -kontrolle.
Das Compliance-Management-System umfasst alle Grundsätze und Maßnahmen eines Unternehmens zur Sicherstellung des regelkonformen Verhaltens. Compliance-Management ist als zielgerichtete Planung, Steuerung und Kontrolle der Compliance-Aktivitäten eines Unternehmens zu verstehen.
Das Compliance Management System muss in die Aufbau- und Ablauforganisation integriert werden.
Eine Rechtspflicht zur Einführung eines Compliance-Management-Systems besteht wie bereits erwähnt in Deutschland lediglich für bestimmte Branchen (Finanz- und Versicherungsbranche). Allerdings sind die Empfehlungen des DCGK für Vorstand und Aufsichtsrat unmissverständlich:
Die Empfehlung A.2 des DCGK im Hinblick auf die Vorstandsverantwortung diesbezüglich lautet: „Der Vorstand soll für ein an der Risikolage des Unternehmens ausgerichtetes Compliance Management System sorgen und dessen Grundzüge offenlegen. Beschäftigten soll auf geeignete Weise die Möglichkeit eingeräumt werden, geschützt Hinweise auf Rechtsverstöße im Unternehmen zu geben; auch Dritten sollte diese Möglichkeit eingeräumt werden.“ Hier wird bereits ein Schwerpunkt von CMS genannt, die Bereitstellung einer Anlaufstelle für „Whistle Blower“ (Hinweisgeber), die ein Fehlverhalten beobachtet haben und dieses melden möchten.
Die Empfehlung D.3 des DCGK im Hinblick auf die Verantwortung des Aufsichtsrats diesbezüglich lautet: „Der Aufsichtsrat soll einen Prüfungsausschuss einrichten, der sich – soweit kein anderer Ausschuss oder das Plenum damit betraut ist – insbesondere mit der Prüfung der Rechnungslegung, der Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems sowie der Abschlussprüfung und der Compliance befasst. …“ Auch hier wird wie oben zwischen den Begriffen IKS, RMS, Interne Revision und Compliance unterschieden. In weiteren Grundsätzen und Empfehlungen wird ebenfalls auf die Compliance Bezug genommen.*
Compliance ist kein festgelegter Begriff und hat keinen für alle Unternehmen definierten Umfang. In welcher Bandbreite Compliance ausgeprägt sein kann, kann man sich mit einem Stufensystem vorstellen.
Auf der untersten Stufe gilt es, Gesetze uneingeschränkt zu befolgen.
Dazu verpflichten die Regelungen des § 43 Abs. 1 GmbHG für Geschäftsführer einer GmbH und § 93 Abs. 1 AktG für Vorstandsmitglieder einer Aktiengesellschaft, wonach diese die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden haben; dazu gehört auch, dafür zu sorgen, dass das Unternehmen bzw. seine Organe und Mitarbeiter sich auf dem Boden des Gesetzes und der Rechtsprechung bewegen.
In Folge einer Zuwiderhandlung gegen diesen Grundsatz ergibt sich ggf. eine unbeschränkte Haftung gegenüber der Gesellschaft nach § 43 Abs. 2 GmbHG bzw. § 93 Abs. 2 AktG.
Diese Sichtweise unterstreicht auch das Urteil des LG München I vom 10.12.2013. Danach hat ein Vorstandsmitglied im Rahmen seiner Legalitätspflicht „dafür Sorge zu tragen, dass das Unternehmen so organisiert und beaufsichtigt wird, dass keine Gesetzesverstöße wie Schmiergeldzahlungen an Amtsträger eines ausländischen Staates oder an ausländische Privatpersonen erfolgen. Seiner Organisationspflicht genügt ein Vorstandsmitglied bei entsprechender Gefährdungslage nur dann, wenn er eine auf Schadensprävention und Risikokontrolle angelegte Compliance-Organisation einrichtet. … Die Einhaltung des Legalitätsprinzips und demgemäß die Einrichtung eines funktionierenden Compliance-Systems gehört zur Gesamtverantwortung des Vorstands.“
Nach § 130 OWiG (Gesetz über Ordnungswidrigkeiten) handelt ordnungswidrig, wer als Inhaber eines Betriebes oder privaten oder öffentlichen Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, wenn die Zuwiderhandlung durch gehörige Aufsicht verhindert oder zumindest wesentlich erschwert worden wäre. Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen; das Strafmaß in Form einer Geldbuße beträgt bei einer Ordnungswidrigkeit, wenn die Pflichtverletzung mit Strafe bedroht ist, bis zu einer Million Euro.
Daneben gibt es die Regelungen des StGB. Darunter fallen z. B. Korruptionsvorschriften wie § 333 StGB (Vorteilsgewährung) und § 334 StGB (Bestechung), außerdem § 266 StGB (Untreue) und § 299 StGB (Bestechlichkeit und Bestechung).
Verstöße gegen Gesetze werden von Geschäftsleitungen und Mitarbeitern zum einen begangen, um – vor dem Hintergrund oftmals großen externen (Wettbewerb) und internen Drucks (Zielvereinbarung, Karriere) – Unternehmensziele zu erreichen oder um zu Gunsten des eigenen Profits bzw. der eigenen Karriere „voranzukommen“.
Auf der mittleren Stufe steht die freiwillige Einhaltung gesellschaftlicher, ethischer, moralischer Normen. Inwiefern deren Befolgung wirklich freiwillig ist oder von den Anspruchsgruppen (Anlegern, Arbeitnehmern, Gesellschaft) verstärkt vorausgesetzt wird, unterscheidet sich von Unternehmen zu Unternehmen.
Beispiel:Große Investoren bzw. Vermögensverwalter legen verstärkt Wert darauf, dass Unternehmen ökologische und soziale Themen in ihrem Agieren ausreichend berücksichtigen, auf Nachhaltigkeit und die Bekämpfung z. B. des Klimawandels.
Dadurch soll letztendlich auch wieder der finanzielle Erfolg – und zwar langfristig – gesichert werden.
Aufgrund deren großer finanzieller Bedeutung übt dies Druck aus auf die Beteiligungsunternehmen, damit soweit es ihnen möglich ist konform zu gehen, da diese sonst um ihre Finanzierung und Attraktivität für große Anleger fürchten müssen.
Auf diese Stufe 2 gehört z. B. der DCGK. Ob und inwieweit dieser von den Unternehmen befolgt wird, bleibt diesen überlassen; sie müssen allerdings wie bereits erwähnt über Abweichungen davon in der Unternehmenserklärung nach § 161 AktG berichten.
Auf der obersten Stufe steht die Übernahme sozialer Verantwortung durch Unternehmen. Die Gesetze sind eingehalten, den Empfehlungen der Stufe 2 wird (weitestgehend) gefolgt – nun geht es darum, darüber hinaus eigenen ethischen und moralischen Vorstellungen („moralischer Kompass“) zu folgen. Das kann und wird dazu führen, dass auf Geschäfte (z. B. im Zusammenhang mit fossilen Brennstoffen oder in politisch problematischen Ländern) verzichtet wird.

References: § 161
 § 43
 § 93
 § 43
 § 93
 § 130
 § 333
 § 334
 § 266
 § 299
 § 161