Compliance-Risiken unterscheiden sich in einem Punkt grundlegend von operationellen Risiken: Ihre Quelle liegt außerhalb der Organisation. Ein Serverausfall ist ein Ereignis, das man technisch verhindern kann. Ein Compliance-Risiko entsteht daraus, dass jemand eine Regel gesetzt hat, an die die Organisation gebunden ist, und dass diese Regel sich ändern kann, ohne dass im Unternehmen irgendetwas passiert ist.
Was genau das Risiko ist
Präzise formuliert besteht ein Compliance-Risiko aus drei Bestandteilen: einer verbindlichen Vorgabe, einem denkbaren Verstoß dagegen und den Folgen dieses Verstoßes. Wer nur den zweiten Teil benennt – „Datenschutzverstoß“ –, hat kein Risiko beschrieben, sondern ein Stichwort.
Die Folgen reichen weiter, als die Bußgeldtabelle vermuten lässt. Neben Geldbußen und Schadenersatz stehen der Ausschluss von öffentlichen Aufträgen, aufsichtsrechtliche Anordnungen bis hin zu Tätigkeitsuntersagungen, der Verlust von Zertifikaten und Kundenzulassungen, die persönliche Haftung der Geschäftsleitung sowie der Aufwand, den ein behördliches Verfahren allein durch seine Dauer bindet.
Der deutsche Haftungsrahmen
Zwei Vorschriften des Ordnungswidrigkeitenrechts erklären, warum Compliance in Deutschland Chefsache ist. § 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht: Wer als Inhaber eines Betriebs die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um betriebsbezogene Zuwiderhandlungen zu verhindern, handelt ordnungswidrig. § 30 OWiG erlaubt daran anknüpfend die Geldbuße gegen den Verband selbst; die Höchstbeträge liegen bei zehn Millionen Euro für vorsätzliche und fünf Millionen Euro für fahrlässige Straftaten, wobei zahlreiche Fachgesetze eigene, teils umsatzbezogene Rahmen vorsehen.
Hinzu kommt die gesellschaftsrechtliche Ebene: Die Sorgfaltspflichten der Geschäftsleitung nach § 43 GmbHG und § 93 AktG umfassen die Pflicht, für die Einhaltung der auf das Unternehmen anwendbaren Vorschriften zu sorgen. Ein Compliance-Risiko ist damit nie nur ein Unternehmensrisiko, sondern immer auch ein persönliches.
Wie ein Compliance-Risiko bewertet wird
Der Ausgangspunkt ist ein Verzeichnis der anwendbaren Pflichten, oft Rechtskataster oder Pflichtenregister genannt. Ohne diese Grundlage bewertet man Risiken, die man kennt, und übersieht die, die man nicht kennt. Genau das ist der häufigste Befund in Prüfungen.
Auf dieser Grundlage lässt sich je Pflicht bewerten:
| Dimension | Leitfrage |
|---|---|
| Eintrittswahrscheinlichkeit | Wie wahrscheinlich ist ein Verstoß angesichts der heutigen Prozesse und Kontrollen? |
| Schadensausmaß | Welche Sanktionen, Haftungsfolgen und Betriebsunterbrechungen wären zu erwarten? |
| Entdeckungswahrscheinlichkeit | Würde ein Verstoß intern auffallen, oder erst durch Aufsicht, Kunden oder Hinweisgeber? |
| Wirkung auf Dritte | Wer wäre betroffen: Beschäftigte, Kunden, betroffene Personen, die Allgemeinheit? |
| Reputationswirkung | Wie würde ein bekannt gewordener Verstoß auf Kunden, Aufsicht und Belegschaft wirken? |
Trennen Sie das Bruttorisiko, also das Risiko ohne Kontrollen, vom Nettorisiko nach Wirkung der vorhandenen Kontrollen. Erst diese Trennung zeigt, welche Kontrollen tatsächlich tragen und welche nur beschrieben sind. Jede Bewertung braucht zudem einen benannten Risikoeigentümer; anonyme Risiken werden nicht behandelt.
Besonderheiten gegenüber anderen Risikoarten
Drei Eigenheiten sollten in der Methodik abgebildet sein. Erstens ändern sich Compliance-Risiken durch Rechtsänderungen, nicht durch Betriebsereignisse; die Beobachtung des Rechtsrahmens gehört deshalb zum Prozess. Zweitens ist die Risikoakzeptanz begrenzt: Ein Verstoß gegen zwingendes Recht lässt sich nicht mit dem Argument akzeptieren, die Behandlung sei zu teuer. Drittens wirkt die Entdeckungswahrscheinlichkeit anders als bei technischen Risiken, weil Hinweisgebersysteme, Betriebsprüfungen und Kundenaudits eigenständige Auslöser sind.
Einbettung in ein Compliance-Management-System
Die Risikobewertung ist kein Selbstzweck, sondern das Bindeglied zwischen Pflichten und Maßnahmen. In ISO 37301, der internationalen Norm für Compliance-Managementsysteme, die ISO 19600 abgelöst hat, ist die Bewertung von Compliance-Risiken ein tragendes Element. Der deutsche Prüfungsstandard IDW PS 980 ordnet sie als eines von sieben Grundelementen ein, neben Compliance-Kultur, Compliance-Zielen, Compliance-Programm, Compliance-Organisation, Compliance-Kommunikation sowie Compliance-Überwachung und -Verbesserung. Das COSO-Rahmenwerk mit seinen fünf Komponenten liefert die entsprechende Sicht für das interne Kontrollsystem.
Praktisch heißt das: Aus jedem wesentlichen Compliance-Risiko sollte eine benannte Maßnahme, eine Kontrolle oder eine dokumentierte Akzeptanzentscheidung folgen, und aus jeder Kontrolle ein Nachweis, der eine Prüfung übersteht.