Kapitel 3.1.1 Ablauf der Implementierung:
Ziel der Implementierung einer Corporate Compliance Organisation ist es, unbeabsichtigte Verstöße und die Verletzung von Vorschriften aufgrund von Unkenntnis möglichst auszuschließen. Die Implementierung einer Corporate Compliance Organisation erfolgt in drei Phasen: Analysephase (Compliance Audit), Umsetzungsphase (Compliance Fitness) und Beobachtungsphase (Compliance Monitoring). In der Analysephase wird ein sogenannter Compliance-Quick-Check im Unternehmen durchgeführt. Dies ist eine Bestandsaufnahme bzw. eine Beschreibung der IST-Situation. Die Ergebnisse der Analysephase werden anschließend mit dem Management besprochen, um anhand eines Soll-Ist-Vergleiches die Ziele der Compliance Organisation und konkrete Umsetzungsmaßnahmen festzulegen. Bei der Bestandsaufnahme ist es das Hauptanliegen, die potenziellen Haftungsrisiken des Unternehmens zu ermitteln. Die Analyse der Haftungsrisiken sollte in zwei Schritten erfolgen. Zuerst findet die Untersuchung der allgemeinen Haftungsrisiken, die nahezu für jedes Unternehmen gelten (z.B. Datenschutz, AGG), statt. Im zweiten Schritt sollten dann die unternehmens- bzw. branchenspezifischen Haftungsrisiken untersucht werden (z.B. Patentrecht, Vergabeordnungen und Produkthaftung). Allerdings reicht die rechtliche Unternehmensanalyse nicht aus. Auch nachfolgende organisatorische und personelle Unternehmensuntersuchungen sind vonnöten. Die organisatorische Unternehmensanalyse untersucht die Möglichkeiten für die organisatorische Umsetzung von Compliance Maßnahmen (Organisationsstruktur, Unternehmenskultur, Geschäftsprozesse, Arbeitsverträge usw.). Bei der personellen Analyse sollen mögliche spätere Compliance Officer und Compliance Beauftragte festgestellt werden. Hierbei geht es um die Anforderungen an einen Compliance Officer bzw. seine benötigten Kompetenzen; außerdem um seine organisatorische Einbettung. Nach der Analysephase folgt die Umsetzungsphase. Anhand der Untersuchungsergebnisse werden nun vom Management konkrete Compliance Maßnahmen festgelegt. Wichtiger Bestandteil dieser Phase ist die Definition eines zeitlichen und inhaltlichen Fahrplans für die Umsetzung der einzelnen Maßnahmen. Wie lautet die Reihenfolge für die Implementierung der Maßnahmen? Bauen einige Maßnahmen aufeinander auf oder müssen sie parallel eingeführt werden? Wie viel Zeit dürfen die einzelnen Umsetzungsschritte in Anspruch nehmen? Als generell wichtige Maßnahmen gelten: Verhaltenskodex mit Schulungen, das 4-Augen-Prinzip etc. Insgesamt betrachtet hat die Compliance Organisation einen integrativen Charakter und besitzt eine Verbindung zu vielen Unternehmensbereichen und Teilfunktionen. Dieser Aspekt hält auch ihren Einführungsaufwand geringer, da sie mit vielen Bereichen und Erfahrungen aus diesen Bereichen verknüpft werden kann. In der abschließenden Beobachtungsphase geht es darum, den Erfolg der Umsetzung zu ermitteln und um die Sicherstellung, dass die Grundlagen der Organisation stets auf dem neuesten Stand sind. Für den Punkt zwei ist hinsichtlich der rechtlichen Grundlagen ein Aktualitätenmanagement hilfreich (z.B. durch regelmäßige Newsletter, Schulungen). Ein übergeordnetes Ziel beim Aufbau einer Compliance Organisation sollte die Entwicklung einer Corporate Compliance Kultur sein. Diese überzeugt Mitarbeiter von den langfristigen Vorteilen eines gesetzeskonformen Verhaltens. Letztendlich sollte Compliance als Selbstverständlichkeit empfunden werden.
3.1.2 Organisatorische Einbettung:
Grundsätzlich sollte die Corporate Compliance Organisation so gestaltet werden, dass die anderen Unternehmensbereiche und -funktionen nicht beeinträchtigt werden. Für die Compliance Aufbauorganisation gilt der Grundsatz der Subsidiarität. Nur für diejenigen Aufgaben wird eine eigene Corporate Compliance Organisation geschaffen, die nicht durch andere, bereits bestehende Bereiche wahrgenommen werden können. Die Corporate Compliance Organisation kann auf unterschiedliche Art und Weise in die Aufbauorganisation der Unternehmung eingebettet werden. Je nach Erforderlichkeit und Zumutbarkeit sollte die Geschäftsleitung die für ihr Unternehmen passende Möglichkeit auswählen. Grundsätzlich gibt es drei Kern-Modelle: als Stabsstelle, als Teil der Rechtsabteilung und als Teil der Internen Revision. Darüber hinaus gibt es natürlich noch weitere Möglichkeiten - z.B. als eigene Abteilung -, auf die hier aufgrund der Ausrichtung des Buches auf den Mittelstand nicht weiter eingegangen wird.
Viele börsennotierte Unternehmen richten Compliance als Stabsstelle ein. So kann der Compliance Officer relativ eigenständig agieren und ist unbelastet von anderen Pflichten. Es erfolgt auf diese Weise auch eine klare Abgrenzung von anderen Unternehmensbereichen. Dies kann allerdings auch der Nachteil dieses Modells sein: inhaltliche Überschneidungen mit anderen Bereichen lassen sich nicht als Synergieeffekte nutzen. Vor allem in kleineren und mittleren Gesellschaften wird Compliance oft in die Rechtsabteilung integriert. Oft übernimmt der Leiter der Rechtsabteilung dann auch die Aufgaben des Compliance Officers. Aufgrund der Synergieeffekte bringt diese Lösung viele Vorteile. So sind die Compliance Regelungen auch juristisch immer leicht aktuell zu halten. Allerdings geht die Sonderstellung der Corporate Compliance so verloren. Eine Integration von Corporate Compliance in der Internen Revision hat ebenfalls große Synergieeffekte, da das benötigte Fachwissen hinsichtlich der Verhinderung und Aufklärung von Verstößen oft ähnlicher Natur ist. So kann allerdings das Compliance System aufgrund mangelnder Unabhängigkeit nicht von der Internen Revision überprüft werden. Dies kann aber extern ein Wirtschaftsprüfer übernehmen.
