Was ist ein Compliance-Risiko?
Ein Compliance-Risiko besteht aus drei Teilen: einer verbindlichen Vorgabe, einem denkbaren Verstoß dagegen und den Folgen dieses Verstoßes. Wer nur den Verstoß notiert, etwa „Datenschutzverstoß“, hat ein Stichwort beschrieben, kein Risiko.
Rechtlich greifbar wird das Risiko über § 130 Abs. 1 OWiG, der die unterlassene Aufsicht über betriebsbezogene Pflichten als Ordnungswidrigkeit ahndet. Erhoben und behandelt werden Compliance-Risiken im Compliance-Management-System, dessen Aufbau der Prüfungsstandard IDW PS 980 und die Norm ISO 37301 beschreiben.
Wer haftet für Compliance-Risiken?
Für Compliance-Risiken haften in Deutschland das Unternehmen und seine Leitung. Neben Geldbußen stehen Schadenersatzpflichten der Leitung und der zwingende Ausschluss von öffentlichen Aufträgen:
| Vorschrift | Wen sie trifft | Folge |
|---|---|---|
| § 130 Abs. 3 OWiG | Inhaber eines Betriebes oder Unternehmens | Geldbuße bis 1 Mio. Euro, wenn die nicht verhinderte Pflichtverletzung mit Strafe bedroht ist |
| § 30 Abs. 2 OWiG | juristische Person oder Personenvereinigung | Geldbuße bis 10 Mio. Euro bei vorsätzlicher, bis 5 Mio. Euro bei fahrlässiger Straftat einer Leitungsperson |
| § 43 Abs. 2 GmbHG | Geschäftsführer | solidarische Haftung gegenüber der Gesellschaft für den entstandenen Schaden |
| § 93 Abs. 2 AktG | Vorstandsmitglieder | Schadenersatz als Gesamtschuldner; im Streit tragen sie die Beweislast für ihre Sorgfalt |
| § 123 Abs. 1 GWB | Unternehmen | zwingender Ausschluss von öffentlichen Vergabeverfahren nach einer rechtskräftigen Geldbuße nach § 30 OWiG wegen einer der dort genannten Straftaten |
Die Aufsichtspflichtverletzung trifft auch das Unternehmen. § 130 Abs. 3 Satz 2 OWiG erklärt § 30 Abs. 2 Satz 3 OWiG für anwendbar. Damit verzehnfacht sich das Höchstmaß der Unternehmensgeldbuße, hier auf bis zu 10 Mio. Euro.
Bei der Bemessung zählt das Compliance-Management: Der BGH hat ein „effizientes Compliance-Management“ als relevant für die Höhe einer Geldbuße nach § 30 OWiG angesehen (BGH, 9. Mai 2017, 1 StR 265/16). Wie sich diese Haftung auf die Informationssicherheit überträgt, beschreibt der Beitrag zur Geschäftsführer-Haftung bei IT-Sicherheit.
Wie läuft eine Compliance-Risikoanalyse ab?
Eine Compliance-Risikoanalyse lässt sich in acht wiederholbaren Schritten durchführen, deren Ergebnisse sich von Durchlauf zu Durchlauf vergleichen lassen. Grundlage ist das Rechtskataster, das Verzeichnis der anwendbaren Pflichten aus Branchenrecht, Aufsichtsrecht, Verträgen und selbst gewählten Normen.
| Schritt | Ergebnis | Woran der Schritt scheitert |
|---|---|---|
| 1. Umfang festlegen | benannte Gesellschaften, Standorte, Prozesse und Länder | Der Umfang bleibt offen, und unklar ist, worüber die Aussage getroffen wurde. |
| 2. Pflichten erheben | Rechtskataster aus den vier Quellen | Eine generische Themenliste ersetzt die eigenen Pflichten. |
| 3. Sachverhalt erheben | Interviews und Unterlagen aus den Fachbereichen | Die Compliance-Funktion bewertet, wie es sein sollte, statt zu erheben, wie es ist. |
| 4. Brutto bewerten | Risiko ohne Anrechnung vorhandener Kontrollen | Es wird direkt netto bewertet, und die Kontrollwirkung verschwindet aus dem Blick. |
| 5. Kontrollen zuordnen und prüfen | benannte, tatsächlich ausgeführte Kontrollen je Risiko | Beschriebene Kontrollen gelten als wirksam, ohne dass jemand ihre Ausführung gesehen hat. |
| 6. Netto bewerten und priorisieren | Rangfolge, die eine Entscheidung trägt | Eine Ampel ohne Maßstab, deren Farben niemand herleiten kann |
| 7. Behandeln oder begründet akzeptieren | Maßnahme mit Termin und Verantwortlichem oder dokumentierte Akzeptanz | Das Risiko bleibt „in Beobachtung“, also unentschieden. |
| 8. Berichten und wiedervorlegen | Bericht an die Leitung, Termin der nächsten Erhebung | Die Analyse bleibt ein einmaliges Projekt. |
Zwei Schritte tragen den Ablauf. In Schritt 3 misst die Analyse das Unternehmen und nicht die Vorstellung, die sich die Compliance-Funktion von ihm macht. Die Trennung von Brutto- und Nettorisiko in den Schritten 4 und 6 zeigt, welche Kontrollen wirken und welche nur beschrieben sind.
Nach welchen Kriterien wird ein Compliance-Risiko bewertet?
Je Pflicht im Kataster bewerten Sie fünf Dimensionen:
| Dimension | Leitfrage |
|---|---|
| Eintrittswahrscheinlichkeit | Wie wahrscheinlich ist ein Verstoß bei den heutigen Prozessen und Kontrollen? |
| Schadensausmaß | Welche Sanktionen, Haftungsfolgen und Betriebsunterbrechungen wären zu erwarten? |
| Entdeckungswahrscheinlichkeit | Fällt ein Verstoß intern auf oder erst durch Aufsicht, Kunden oder Hinweisgeber? |
| Wirkung auf Dritte | Wer wäre betroffen: Beschäftigte, Kunden, betroffene Personen, die Allgemeinheit? |
| Reputationswirkung | Wie wirkt ein bekannt gewordener Verstoß auf Kunden, Aufsicht und Belegschaft? |
Jede Bewertung braucht einen benannten Risikoeigentümer, denn ohne ihn fehlt der Adressat für die Behandlungsentscheidung.
Zehn Themenfelder als Gegenprobe
Compliance-Risiken sind unternehmensspezifisch, aber zehn Themenfelder eignen sich als Gegenprobe, ob ein Feld übersehen wurde:
- Korruption und Vorteilsgewährung
- Kartell- und Wettbewerbsrecht
- Geldwäscheprävention
- Sanktions- und Exportkontrolle
- Datenschutz
- Informationssicherheit und Meldepflichten
- Arbeits- und Arbeitsschutzrecht
- Steuern und Zoll
- Produkt- und Umweltrecht
- Sorgfaltspflichten in der Lieferkette
Die Liste ersetzt nicht die Erhebung der eigenen Pflichten im Rechtskataster; sie prüft nur, ob dort ein Themenfeld fehlt.
Die Quelle ist eine Regel, kein Betriebsereignis
Ein Compliance-Risiko unterscheidet sich von einem operationellen Risiko durch seine Quelle: eine verbindliche Regel, die ein Gesetzgeber, eine Aufsicht, ein Vertragspartner oder die Organisation selbst setzt.
| Merkmal | Compliance-Risiko | Operationelles Risiko |
|---|---|---|
| Quelle | verbindliche Vorgabe aus Gesetz, Aufsichtsrecht, Vertrag oder selbst gewählter Norm | Prozesse, Menschen, Systeme, externe Ereignisse |
| Was es verändert | eine Rechtsänderung, auch ohne Ereignis im Unternehmen | Betriebsereignisse, Änderungen an Prozessen und Systemen |
| Akzeptanz | begrenzt: ein Verstoß gegen zwingendes Recht ist keine zulässige Risikoentscheidung | möglich, wenn die Behandlung mehr kostet als der erwartete Schaden |
| Entdeckung | auch durch Hinweisgeber, Betriebsprüfungen, Kundenaudits und Aufsicht | durch eigene Überwachung und Störungsmeldungen |
Operationelle Risiken wie den Ausfall eines Systems behandelt ein Business Continuity Management System.
Die Bewertung eines Compliance-Risikos veraltet mit jeder Rechtsänderung, auch wenn im Unternehmen nichts geschehen ist. Prüfen Sie das Rechtskataster deshalb bei jeder Wiedervorlage (Schritt 8) auf Rechtsänderungen.
Wie Rizzqo Compliance-Risiken am Objekt führt
Rizzqo führt ein Compliance-Risiko an dem Objekt, an dem die zugrunde liegende Anforderung gilt. Regelwerke wie DORA und der CRA sind als Anforderungskatalog hinterlegt. Ihre Anforderungen erscheinen an Systemen, Diensten und Dienstleistern und werden dort beantwortet und mit Name und Zeitstempel finalisiert. Jede offene Anforderung ist damit ein adressierter Befund an einem benannten Objekt.
Die Risikobewertung eines Objekts zeigt dessen finalisierte, nicht erfüllte Anforderungen. Die Risikostufe ergibt sich aus einer konfigurierbaren Matrix, sodass die Geschäftsführung nachvollziehen kann, warum ein Befund über einem anderen steht.