Coma 02 2016 issue

I

ch

s e h e w was

a

s

Du

,

nicht

siehst

u

n

d

d

a

s

i

s

t

…

32 Im Interview: Clemens von Stockert verrät, wie Fraport die Wirksamkeit des wertebasierten Compliance misst. 40 Ausland: US-Justizministerium startet ein Pilotprojekt der FCPA-Selbstanzeige. 56 Der Alptraum: Erste strafrechtliche Ermittlung gegen einen ehemaligen Chief Compliance Officer sind im Gange.

Mit den Augen der anderen: Was denken die Wirtschaftsprüfer, wenn sie auf die Compliance-Landschaft Deutschlands blicken?

M agaz in für Co mplia nce Management Die o ffiz ie lle Ze its chrift des b ERU FS V ERBAN De s DER cO MPLIANC E MANAGER ( BC M) Aus ga b e 7 w w w.co mplia nce -manager.net

cellent finance solutions

Sind Sie sicher, dass Sie mit den richtigen Partnern zusammenarbeiten?

Lieferanten – Vertriebsmittler – Konsortialpartner – Kunden ...alle „compliant“?

Für die Industrie: THIRD PARTY COMPLIANCE

Internationale Referenzen in mehr als 50 Ländern vertrauen auf die Lösungen der SMARAGD Produkte!

Besuchen Sie uns in Berlin auf dem BUNDESKONGRESS COMPLIANCE MANAGEMENT am 16./17.11.2016

SMARAGD TPC hilft, Geschäftspartner bezüglich Compliance-Fragestellungen zu untersuchen und zu bewerten.

Ein Workflow-gestützer Genehmigungsprozess erzeugt eine revisionssichere Risikoklassifizierung. So steuern Sie selbst die ermittelten Risiken und behalten die Kontrolle.

Mehr erfahren? Wir freuen uns auf Sie: Wolfgang Kloiber Sales Manager Compliance Solutions +49 711 222 992 - 900

Mehr zum Thema: THIRD PARTY COMPLIANCE

Cellent Finance Solutions GmbH

Cellent Finance Solutions.

Ihr Partner für Compliance.

Stuttgart | Frankfurt | München

www.cellent-fs.de

Editorial

Liebe Leserinnen, liebe Leser!

Es ist soweit: Das hier ist die erste Ausgabe des Compliance Managers als E-Book. So wird es ab jetzt dreimal im Jahr aussehen. Nur die vierte Ausgabe wird gedruckt erscheinen und in der gewohnten Länge. Wir haben uns entschieden, dass diese gedruckte Ausgabe nach unserem Bundeskongress im November herauskommt. Die Änderungen wurden schon länger angekündigt und ich habe von vielen meiner Leser Rückmeldungen bekommen, dass sie davon nicht unbedingt begeistert sind. Um ehrlich zu sein, ich bin es auch nicht. Aber die freie Marktwirtschaft funktioniert nun einmal nach den bekannten ökonomischen Prinzipien. Insofern unterscheiden wir uns an dieser Stelle nicht von dem finanziellen Funktionieren einer Compliance-Abteilung.

In dieser Ausgabe ging es mir darum, Ihnen eine weitere Fremdsicht auf die Compliance Management Systeme der deutschen Unternehmen zu bieten.

Die Wirtschaftsprüfer prüfen seit 2011 nach dem Standard IDW PS 980 die Compliance Management Systeme. Fünf Jahre ist zwar nicht eine übermäßig große Zeitspanne, aber Zeit genug, um einen gewissen Überblick über die Corporate Compliance-Landschaft Deutschlands zu bekommen. In der Titelstory geht es also darum, welchen Blick die Wirtschaftsprüfer darauf haben, wo sie die häufigsten Schwachstellen sehen, wo es ihrer Meinung nach mit der Compliance hingehen soll. Und ganz nebenbei machen wir die Entdeckung, dass der IDW PS 980 immer noch von einigen Unternehmen missverstanden wird.

Und natürlich können wir derzeit an einem bestimmten Thema nicht vorbei - der Haftung der Compliance-Verantwortlichen. Was hier der Anlass war, weiß auch jeder: Dr. Thomas Kremer, ehemals General Counsel und Chief Compliance Officer bei ThyssenKrupp und heute Vorstand für Datenschutz, Recht und Compliance bei der Deutschen Telekom, wird von der Staatsanwaltschaft in Bremen als Beschuldigter in einem Korruptionsfall ins Visier genommen.

Der Fall hat wohl jeden in der Zunft „überrascht“, mich auch. Wer will schon dafür verantwortlich gemacht werden, dass es irgendjemandem unter den Hunderttausenden von Mitarbeitern in den Kopf kommt, mit Geldzahlungen dem Geschäft nachzuhelfen? Wenn jemand eine strafbare Handlung machen will, dann macht er es einfach. Da hilft weder StGB noch CMS. Warum soll dann ausgerechnet ein ehemaliger Chief Compliance Officer dafür garantieren? Es geht also um die Grenzen der Verantwortung eines Chief Compliance Officers.

Davon handelt unsere Bösenachtgeschichte.

Ich wünsche Ihnen eine anregende Lektüre und bin Ihnen für Ihr Feedback sehr dankbar!

Ihre Irina Jäkel Editor in Chief

Compliance Manager 2/16

3

In dieser Ausgabe

Titel

Ich sehe was, was Du nicht siehst und das ist …

Wie ist die Sicht Dritter auf die Compliance-Landschaft Deutschlands? Besonders interessant wird es, wenn diese Dritten vom Fach sind, einen guten Überblick haben und somit vergleichen können. Die Wirtschaftsprüfer prüfen die CMS der Unternehmen nach IDW PS 980 seit 2011. Hier die Fünf-Jahres-Bilanz.

8

Kartellbehörden & Big data

Vom Chaos zur Struktur

Blick ins Ausland

Wie stehen die Wettbewerbs­ behörden zu „Big Data“?

Wie geht eigentlich: Kartellverfahren in Russland?

DOJ startet ein Pilotprogramm

Das Bundeskartellamt und die Autorité de la Concurence legen eine Anlyse zur Digitalwirtschaft vor.

6

In unserer Reihe “Vom Chaos zur Struktur„ versuchen wir, komplexe Sachverhalte strukturiert und einfach darzustellen.

28

Erklärung zur Kurzdarstellung: Verfahrensablauf bei kartellrechtlichen Verstößen in Russland.

30 4

Compliance Manager 2/16

Unternehmen, die eine Selbstanzeige über FCPA-Vorfälle stellen, bekommen Strafnachlässe. Das Pilotprogramm läuft zunächst ein Jahr lang.

40

2|16

Kampf der Non-Compliance

Von Hippokrates zur Corporate Compliance Compliance ist in der Medizin länger ein Begriff als in der Wirtschaft. Auch die Medizin kämpft bis heute mit Non-Compliance.

Dennoch: Was können wir von den aktuellen medizinischen Forschungsergebnissen zur Patienten-Compliance lernen?

42

Im Interview

Eine Bösenachtgeschichte

„Wir müssen den Mut haben, kritische Fragen zu stellen“

für Compliance Officer Im Interview

„Es reicht nicht, nur gute kommunikative Fähigkeiten zu haben“

Viele meinen, die Wirksamkeit der Compliance-Arbeit sei nicht messbar, ähnlich der Unternehmenskultur. Dass es doch geht, beweist die Compliance-Abteilung der Fraport AG. Sie macht seit 2003 alle zwei Jahre Mitarbeiterumfragen zur wertebasierten Compliance. Die gewonnenen Erkenntnisse helfen ihnen dabei, zu lernen und sich weiterzuentwickeln. Ein Gespräch mit Clemens von Stockert, Leiter des Compliance und Wertemanagements der Fraport AG.

Antje Bock-Schwinum leitet seit mehr als einem Jahr die Fachgruppe Compliance Kommunikation des Berufsverbandes der Compliance Manager (BCM). Im Interview spricht sie über die Schlüsselfaktoren, die eine erfolgreiche Compliance-Kommunikation ausmachen.

32

50 R u b r i ke n

Der ComplianceAlptraum In unserem Bösenacht-Märchen werden wir diesmal die Urängste der Compliance-Officer psychologisch verarbeiten. Es geht um die Frage der Haftung der Compliance Officer.

56

Editorial 3 Impressum 6

Compliance Manager 2/16

5

Kartellbehörden & Big Data

Impressum

Die offizielle Zeitschrift des Berufsverbandes der Compliance Manager e.V. (BCM) Herausgeber Rudolf Hetzel Frederik Nyga Torben Werner Redaktion Irina Jäkel Editor in Chief Telefon: 030 / 84 85 93 20­ irina.jaekel@compliance-manager.net Mitarbeit an dieser Ausgabe Anna Klimova Beiten Burkhard, Moskau Falk Tischendorf Beiten Burkhard, Moskau Jeanette Wygoda Gestaltung und Illustration Marcel Franke Armen Vanetsyan Fotoredaktion Laurin Schmid Julia Nimke

Wie stehen die Wettbewerbsbehörden zu „Big Data“?

Das Bundeskartellamt und die Autorité de la Concurence legen eine Analyse zur Digitalwirtschaft vor.

Das Bundeskartellamt hat Mitte Mai 2016 zusammen mit der französischen Wettbewerbsbehörde Autorité de la concurrence das Papier „Competition Law and Data“ veröffentlicht.

Darin legen die beiden Behörden ihre Sicht auf „Big Data“ oder die zunehmende Sammlung, Verarbeitung und kommerzielle Nutzung von Daten auf digitalen Märkten dargelegt und analysieren, welche Konsequenzen und Herausforderungen sich für Wettbewerbsbehörden aus der Sammlung von Daten in der Digitalwirtschaft und anderen Industrien ergeben. Über diese 54-seitige Analyse heißt es in der Mitteilung des Bundeskartellamts: „Es ermöglicht Marktteilnehmern, 6

Interessengruppen und den Wettbewerbsbehörden, die wichtigsten Faktoren und Schlüsselfragen zu identifizieren, die im Hinblick auf die Relevanz von Daten im Rahmen der Kartellrechtsanwendung zu beachten sind. Insbesondere zwei Aspekte sind dabei von besonderer Relevanz: 1. Ob auch Wettbewerber die entsprechenden Daten einfach beschaffen können und 2. welche Bedeutung Menge und Breite der Daten und Datensätze zukommt. Das Papier zeigt auch die Notwendigkeit auf, bei der konkreten Fallarbeit einen differenzierten Ansatz zu verfolgen und eine einzelfallorientierte Analyse durchzuführen.“

Compliance Manager 2/16

Anzeigen Norman Wittig norman.wittig@helios-media.de

Druck PieReg Druckcenter Berlin GmbH Benzstraße 12 12277 Berlin Abonnementkonditionen Inland: 4 Ausgaben – 68 Euro Ausland: 4 Ausgaben – 78 Euro Alle Preise inkl. MwSt. und Versandkosten Im Internet www.compliance-manager.net

Verlags- / Redaktionsanschrift Quadriga Media Berlin GmbH Werderscher Markt 13 10117 Berlin Telefon: 030 / 84 85 90 ­ Fax: 030 / 84 85 92 00 info@quadriga-media.com

Bildnachweise: S.4: www.thinkstock.com; S.5: Privat; Julia Nimke; Munch „Der Schrei“; S.6: www.thinkstock.com; S.29: S.30: Betten Burkhardt; Vlad Aynet; S.32: Privat; S.45: Privat; S.46: Julia Nimke; S.52: Edvard Munch „Der Schrei“

Amber Road Seminar “Global Trade Compliance” 28. Juni 2016 • Düsseldorf • Maritim Hotel

Treffen Sie Amber Road und erfahren Sie erste praktische Erfahrungen in der Umsetzung des Unionszollkodex. In einer gemeinsamen Präsentation werden Amber Road und KPMG dieses Thema beleuchten. Auch freuen wir uns auf zwei Praxisberichte von der Evonik Industries AG und der Xylem Europe GmbH. Verpassen Sie nicht diese wertvollen Vorträge und nutzen Sie die Möglichkeit zum Networking mit Brancheninsidern.

Referenten:

Günther Dürndorfer KPMG AG

Arne Mielken Amber Road

Jens Nilson Xylem Europe GmbH

Jason Flake Amber Road

Joerg Kathenbach Evonik Industries AG

Registrieren Sie sich hier: http://bit.ly/AR-Seminar-Dus-2016

Compliance Management System

I

ch

s e h e w was

s

Du

,

nicht

siehst

u

n

d

d

a

s

i

8

a

s

t

Compliance Manager 2/16

‌

Te x t : Irina Jäkel

Wie ist die Sicht Dritter auf die Compliance-Landschaft Deutschlands? Besonders interessant wird es, wenn diese Dritten vom Fach sind, einen guten Überblick haben und somit vergleichen können. Die Wirtschaftsprüfer prüfen die CMS der Unternehmen nach IDW PS 980 seit 2011.

Hier die­Fünf-Jahres-Bilanz.

Compliance Manager 2/16

9

Compliance Management System

i Im Jahre 2014 führte der Berufsverband der Compliance Manager (BCM) die Studie „Wie sehen Führungskräfte in Deutschland den Compliance Manager? Eine Fremdbildstudie über den Beruf des Compliance Managers 2014“ durch. Auch wenn die Ergebnisse dieser Studie damals nicht durchweg positiv ausgefallen waren – man merkt es der Berufsgruppe der Compliance Officer insgesamt an, wie dankbar sie Feedback annehmen. Man muss sich dieses nur zu holen wissen.

Feedback von einer ganz anderen Qualität bekommt man, wenn man eine andere compliance-sachverständige Berufskaste fragt – die Wirtschaftsprüfer (WP), die die Compliance Management Systeme (CMS) der Unternehmen nach dem IDW PS 980 prüfen. Konkret hat die Verfasserin dieser Zeilen die Wirtschaftsprüfer zu mehreren Bereichen befragt: Wie gestaltet sich die Zusammenarbeit mit den Unternehmen bei der Prüfung nach IDW PS 980? Brauchen sie wirklich mehrere Jahre für eine Wirksamkeitsprüfung? Wie beurteilen sie die CMS deutscher Unternehmen? Wie beurteilen sie die persönliche Leistung der Compliance Manager? Was machen sie ihrer Ansicht nach falsch? Was haben die WPs selbst in den fünf Jahren gelernt und welche Weiterentwicklungen gibt es bei ihnen?

Neue Compliance-Zeitrechnung Wir werden chronologisch beginnen: Die Wirtschaftsprüfer sehen es als ihren Verdienst an, dass mit IDW PS 980 dem Thema Corporate Compliance in Deutschland überhaupt erst eine feste Ordnung gegeben wurde. Davor herrschten also Chaos und Zwietracht, es wurde nun sozusagen eine neue Compliance-Zeitrechnung geschaffen: Vor und nach der Erschaffung des IDW PS 980. „Die Wirtschaftsprüfer haben für ihre Prüfungen dem Thema eine Struktur gegeben. Die Grundelemente, die wir in IDW PS 980 definiert haben, haben sich dabei über die eigentliche Prüfung hinaus als Standard durchgesetzt“, sagt Andreas Wermelt, Partner und Leiter des Bereichs Internal Controls Assurance von Deloitte. „Das ganze Thema wird mittlerweile in den Unternehmen fokussierter angegangen. Der Standard hilft dabei durch die dort postulierten Grundprinzipien. Diese sind zusammengefasst, erstens Risiken identifizieren, zweitens Maßnahmen etablieren und drittens ihre Durchsetzung überwachen.“ Auch Kathrin Kersten, Partnerin im Bereich der Internen Revision von PwC unterstreicht die Leistung des IDW PS 980, erwähnt gleichzeitig aber, dass auch die WPs selbst einiges seitdem gelernt haben: „Der IDW PS 10

Compliance Manager 2/16

“

IDW PS 980 gab dem ComplianceThema eine Struktur.

„

Compliance Management System

980 ist kein typischer Standard, der zum Beispiel auf bereits vorhandene gesetzliche Anforderungen aufgesetzt hätte. Als er entstand, wusste niemand, was eigentlich die Anforderungen an ein CMS sein sollten. Mit dem Standard ist dann eine Pyramide mit sieben Elementen entstanden, die genau das definiert, was von einem angemessenen CMS erwartet wird. In der Anfangsphase hatten auch wir Wirtschaftsprüfer eine nur theoretische Vorstellung davon, wie die Prüfungen aussehen sollten. Heute sieht es natürlich anders aus, weil wir schon einiges gesehen haben und Vergleiche ziehen können, was gut funktioniert und was nicht.“ Veränderungen gibt es auch im Hinblick darauf, welche Compliance-Themen geprüft werden. „In der Anfangsphase haben wir vermehrt die Schwerpunkte Antikorruption und Kartellrecht geprüft. Aktuell kommen immer mehr solche Compliance-Bereiche wie Exportkontrolle und Sanktionen, Datenschutz, Datensicherheit und Cyber-Security – aber auch Ethik und Integrität“, sagt Andreas Pyrcek, Partner im Bereich Fraud Investigation & Dispute Services, Business Integrity & Corporate Compliance von EY (Ernst & Young). Wenn man sich das im Vergleich über fünf Jahre anschaut, dann beobachtet man noch etwas: „Der Verantwortungsbereich der Com-

pliance Officer ist in den letzten fünf Jahren immer größer geworden, indem immer weitere Themen dazukamen.

Heute haben wir die Herausforderung, dass der Compliance-Bereich häufig sehr breit aufgestellt ist“, meint Kathrin Kersten.

Ein missverstandener Standard Gleichzeitig ist der IDW PS 980 ein missverstandener Standard. Missverstanden wird er auf Seiten der Unternehmen aus unterschiedlichen Gründen. Auf Platz eins der beliebtesten Begründungen, warum „wir“ als Unternehmen eine Prüfung nach IDW PS 980 brauchen, steht doch tatsächlich das mögliche Enthaftungsargument. Ebenfalls oben ist die vermeintliche Vermutung, der Prüfer würde durch seine Prüfung mögliche Missstände, wie zum Beispiel Betrug und Korruption, aufzeigen. „Die Enthaftungsanfragen für die Geschäftsführung oder den Aufsichtsrat kommen am häufigsten. Das kann so eine Prüfung bisher nachweislich nicht leisten“, erklärt Andreas Pyrcek. „Auch ist es falsch, von uns zu erwarten, dass wir jegliches Fehlverhalten aufdecken. Das ist auch nicht der Sinn und Zweck einer Prüfung nach IDW PS 980, sondern dann eher eine forensische Prüfung. PS 980 Prü-

“

Der Prüfungsbericht gibt keine Enthaftung.

Auch ist die Prüfung selbst keine forensische Prüfung.

„

Compliance Manager 2/16

13

Compliance Management System

fungen sind Systemprüfungen hinsichtlich abgegrenzten Risiken und Gesellschaften. Was wir beurteilen, ist, ob das System von der Ausgestaltung her ausreichend ist und zum insbesondere zum Unternehmen passt, sind die Unternehmensprozesse so implementiert und funktionieren in der Weise, wie man sie sich im Zentralbereich Compliance bzw. in der Zentrale konzipiert hat.“ Was auch sehr oft missverstanden wird, ist der Begriff „Wirksamkeitsprüfung“ beim IDW PS 980-Standard.

Zugegeben, dieser Begriff ist tatsächlich etwas irreführend. „Ist mein CMS wirksam“ ist eine Frage, die sich jeder Compliance Verantwortliche stellt. Wie man diese Wirksamkeit misst, ist eine derzeit heiß diskutierte Frage. Leider müssen wir diese schöne Vorstellung, dass die Wirtschaftsprüfer die Wirksamkeit im von den Compliance Verantwortlichen verstandenen Sinne prüfen, nun zerstören: gerade das prüfen sie nicht. „Der Begriff ‚Wirksamkeitsprüfung‘ des Standards ist hier tatsächlich irreführend“, sagt Andreas Pyrcek. „Was die Wirtschaftsprüfer bei dieser dritten Stufe der Prüfung schwerpunktmäßig prüfen, ist insbesondere, ob Prozesse und Kontrollen in einem Unternehmen so funktionieren, wie sie konzipiert worden sind. Und das machen wir üblicherweise durch Stichproben.“ Das bestätigt auch Kathrin Kersten: „Bei der Wirksamkeitsprüfung prüfen wir, ob die Umsetzung dauerhaft so erfolgt, wie sie vorgesehen wurde. Diese Prüfung beinhalten auch eine Konzeptions- und Angemessenheitsprüfung.“ Es liegt also eindeutig auf der Hand, dass hier wohl das Verständnis darüber, was wirksam ist, etwas auseinanderläuft.

Verständnisunterschiede gibt es sogar bei grundsätzlicheren Dingen. Zum Beispiel ist der Unternehmensseite nicht ganz nachvollziehbar, warum Konzeptionsprüfung und die Prüfung der Angemessenheit eines CMS in zwei verschiedenen Stufen abläuft. Kann man ein Urteil über ein CMS-Konzept fällen, wenn man nicht gleichzeitig auch schaut, ob es zu einem konkreten Unternehmen passt?

Dazu „unterminieren“ die Unternehmen auch noch die Bemühung der WPs, ordentlich von der ersten bis zur dritten Stufe ein CMS durchzuprüfen. Wenn die Unternehmen sich für eine Prüfung nach IDW PS 980 entscheiden, dann ziehen sie am häufigsten die Stufen 1 und 3, also die Konzeptions- und Wirksamkeitsprüfung zusammen.

Ist auch vernünftig so, wozu zu viel Geld ausgeben?

Dauer der Prüfung Darüber, wie lange eigentlich die Wirtschaftsprüfer so in einem Unternehmen bleiben, gibt es unterschiedliche Erfahrungswerte. Wer will schon auf mehrere Jahre in Alarmzustand leben, weil die Wirtschaftsprüfer durchs Unternehmen tigern und endlos prüfen? Mathias Wendt, ehemals Senior Manager Audit Governance & Assurance 14

“

Der Begriff Wirksamkeitsprüfung nach IDW PS 980 ist missverständlich. Geprüft wird nicht, ob ein CMS tatsächlich wirksam ist.

Compliance Manager 2/16

„

Compliance Management System

“

Ein Prüfungsbericht nach IDW PS 980 bedeutet keine Qualitätsaussage über das gesamte CMS.

”

Services der KPMG, hilft uns mit Richtwerten: „Eine Konzeptionsprüfung, die eher auf die innere Konsistenz eines CMS-Konzepts schaut, kann innerhalb von zwei Wochen durchgeführt werden. Wenn man diese Konzeptionsprüfung als einen Dialog mit dem Prüfer versteht oder sogar eine Art Coaching-Hilfe von ihm erwartet, dann nimmt sie entsprechend mehr Zeit in Anspruch. Die zweite Stufe, die Angemessenheits- und Implementierungsprüfung, die zu einem bestimmten Stichtag durchgeführt wird, dauert ungefähr zwei Monate. Die Wirksamkeitsprüfung als dritte Stufe ist noch anspruchsvoller und zeitaufwändiger.

Im Rahmen einer solchen Prüfung wird die Wirksamkeit eines CMS über einen vom Auftraggeber vorzugebenden Zeitraum vom WP beurteilt. In der Praxis wird als Wirksamkeitszeitraum zumeist ein halbes Jahr oder ein Jahr zugrunde gelegt. Die Prüfungsaktivitäten des WP erstrecken sich sodann über den entsprechenden Zeitraum.“ Wenn es sich also bei Ihnen um ein Mittelstandsunternehmen mit einer Tochter handelt und Sie seit drei Jahren nach IDW-PS 980 geprüft werden, dann müssen Sie das hinterfragen.

Sinn und Unsinn Wenn man sich bei der Auswahl seiner Geschäftspartner daran orientiert, ob diese so eine Prüfung nach einer oder mehreren Stufen des IDW PS 980 durchlaufen haben,

dann muss man sich über Folgendes im Klaren sein: Was von CMS geprüft wird, zu welchem Stichtag und über welchen Zeitraum – das entscheidet ein Unternehmen selbst.

Das bedeutet: hängt sich ein Unternehmen stolz die Prüfungsergebnisse auf die Brust (oder auf die Homepage), dann ist das noch lange keine Aussage über den aktuellen Zustand seines CMS und schon gar nicht über die Zukunft desselbigen. Auch ist das keine Qualitätsaussage über das Gesamt-CMS, denn auch darüber, welche Themen durchgeprüft werden, entscheidet ebenfalls ein Unternehmen.

Es kann also schon passieren, dass ein Unternehmen sich lediglich im Bereich Anti-Korruption prüfen lässt – dann wissen wir immer noch nicht, wie gut das Unternehmen mit seinen Anti-Kartellmaßnahmen aufgestellt ist.

So manchem Compliance Officer mögen sich nun häretische Fragen nach dem Sinn und Unsinn einer IDW PS 980-Prüfung aufdrängen. „Eine externe Prüfung des CMS gibt einem Unternehmen eine gute Orientierung, wo es mit der Umsetzung seines CMS konkret steht“, sagt Mathias Wendt. „Gerade durch die im Rahmen von Wirksamkeitsprüfungen erforderlichen Prüfungshandlungen in den für ein Unternehmen besonders wichtigen Standorten, Ländern und Regionen können vielfältige Informationen zum Stand der Umsetzung des CMS sowie zu den für die Unternehmenspraxis relevanten Verbesserungsansätzen generiert werden.“ Vorausgesetzt natürlich, man will es so haben. Dazu muss ein Unternehmen es mit

Compliance Manager 2/16

17

Compliance Management System

seinem Prüfungswunsch ehrlich meinen und der Compliance Officer muss reflexionsbereit sein. Wenn also ein Unternehmen aus einem der vielen Gründe, warum man IDW PS 980 missverstehen könnte, so eine Prüfung im Auftrag gibt – zum Beispiel aus Gründen der Enthaftung – und die WPs kommen mit ihrem Bericht, der an der einen oder anderen Stelle Schwächen des CMS aufzeigt, dann kann so ein ehrlich meinender Wirtschaftsprüfer sein blaues Wunder erleben: es soll offensichtlich Fällen gegeben haben, wo ein Bericht mit Verbesserungsvorschlägen auf Seiten des Unternehmens für eine schlechten Stimmung gesorgt hat, das Verhältnis zum Prüfer war dann nachhaltig gestört… „Es gibt auch Unternehmen, die bestimmte Elemente eines Rahmenwerks oder Standard bei ihrem CMS nicht berücksichtigt haben. An dieser Stelle muss man sich natürlich auch bewusst werden, dass ein Prüfer bei seiner Prüfung nicht nur die positiven Seiten des Compliance-Programms hervorheben kann, sondern auch Feststellungen und Empfehlungen hat. An dieser Stelle muss ein Unternehmen die unangenehmen Tatsachen, die bei einer Prüfung herauskommen, auch aushalten können“, sagt Andreas Pyrcek. Die Prüfer erleben hier eine ganze Palette an Reaktionsmustern: „Wie reagiert wird, kommt oft auf den Compliance Verantwortlichen und der Intention der Prüfung an“, erzählt Andreas Pyrcek. „Einige Unternehmen wollen gerade, dass man ihnen konkrete Kritikpunkte und Empfehlungen an die Hand gibt. Ich habe gerade vor kurzem bei so einer Prüfung einen Compliance Officer erlebt, dem eine ehrliche Sicht auf sein CMS wichtig war und so nachhaltig sein System verbessern konnte.“

Das müssen wir besser machen Weil eben die WPs durch ihre Prüfungen bei verschiedenen Unternehmen einen guten Überblick haben, wäre es doch interessant, zu erfahren, was ihre Gedanken dazu sind. Der Meinung, dass alles klasse und in Butter ist, können höchstens nur ganz hartgesottene Compliance Officer mit Hang zum gewissen juristischen Formalismus sein. Ein CMS wird nie perfekt sein – weil wir den Unsicherheitsfaktor Mensch haben. Das ist leider die undankbare Seite des Compliance-Jobs.

Also, was ist der Blick der Wirtschaftsprüfer auf die Corporate Compliance Deutschlands? „Wenn wir ein CMS in großen Konzernen prüfen, dann sehen wir oft, dass das CMS-Design in der Regel schon sehr gut durchgedacht ist. Aber interessant wird es immer, wenn wir dann in Landesgesellschaften reisen und die tatsächliche Umsetzung im Detail prüfen“, erzählt Andreas Pyrcek. Das ist ein Zustand, der durchaus vielen Compliance Managern bewusst ist. Die Frage ist, wie bekommt man die Tochtergesellschaften in den Griff?

18

“

Die Wirtschaftsprüfer sehen noch Schwachstellen bei der Umsetzung des CMS in den Landesgesellschaften sowie an den Schnittstellen, aber auch beim Integritätsmanagement.

Compliance Manager 2/16

”

Interview: Irina Jäkel

„ Es reicht nicht, nur gute kommunikative Fähigkeiten zu haben“

F

Antje Bock-Schwinum leitet seit mehr als einem Jahr die Fachgruppe Compliance Kommunikation des Berufsverbandes der Compliance Manager (BCM). Im Interview spricht sie über die Schlüsselfaktoren, die eine erfolgreiche Kommunikation ausmachen.

Compliance Manager 2/16

Frau Bock-Schwinum, was beschäftigt die Mitglieder Ihrer Fachgruppe Compliance Kommunikation gerade?

Sie machen sich viele Gedanken darum, wie man „richtig“ in Compliance kommuniziert, welche Instrumente sich dazu besonders gut eignen und wie man den Erfolg seiner Compliance-Kommunikation misst. Sie sind an Erfahrungswerten interessiert. Daneben geht es bei unseren Fachgruppentreffen oft um prozessuale Dinge, wie zum Beispiel, mit wem muss man sich im Unternehmen abstimmen, wie stellt man sicher, dass alle bei einer Schulung dabei sind, die dabei sein müssen, oder genügen die Inhalte nach einer Übersetzung auch wirklich landesspezifischen Besonderheiten? Es geht also um die praktische Abwicklung eines bestimmten Instruments.

51

Interview

Leitfaden Compliance-Schulungen (online, Präsenz)

1. Planung/Erstellung

2. Testphase

3. Roll-out

4. Kontrolle/Analyse

1. Planung/Erstellung Compliance-Schulungen sollten, wie alle Kommunikationsmaßnahmen, an den tatsächlichen Compliance-Risiken (gem. Risikoanalyse) des jeweiligen Unternehmens orientiert sein und diese inhaltlich aufgreifen (kein „Gießkannenprinzip“). ☐ ☐ ☐ ☐ ☐ ☐ ☐ ☐ ☐ ☐

☐ ☐ ☐ ☐ ☐ ☐ ☐ ☐

☐

Besteht Handlungsbedarf (z. B. Fehlverhalten, Wissensdefizite)?

Was möchte ich, mit welchem Ziel, an wen kommunizieren?

Ist sichergestellt, dass eine Schulung das richtige Instrument ist?

Wie könnte die Wirksamkeit der Schulung überprüft werden?

Wie ist die Schulung in das Compliance-Kommunikationskonzept eingebunden?

Welche ergänzenden Kommunikationsinstrumente sollen ggf. zum Einsatz kommen?

Habe ich das notwendige Budget (gesichert)?

Habe ich ein ausreichendes Zeitfenster in der Planung berücksichtigt?

Habe ich meine internen Ressourcen geplant? Habe ich externe Ressourcen angefragt und budgetiert?

Habe ich die relevanten Schnittstellen eingebunden und die Verantwortlichkeiten geklärt? (vgl. hierzu auch Punkt 3.5 Schnittstellen) Ist die Zielgruppe eindeutig definiert (z. B. alte/neue Mitarbeiter, national/international, nur Führungskräfte)?

Habe ich Mitarbeiter der Empfänger-Zielgruppe in die Planung und Erstellung mit einbezogen?

Habe ich die Schulungslänge und den Schulungszeitraum festgelegt?

Ist der Roll-Out Zeitpunkt der Schulung richtig gewählt (Ferien, Projekte, andere Events)?

Ist die Schulung kompakt (keine unnötige Länge, kein Information-Overflow)?

Ist das Bildmaterial für den Empfängerkreis geeignet?

Sind die Urheberrechte (z. B. Bildmaterial) gewahrt und ist eine entsprechende Abstimmung erfolgt?

Ist die Schulung praxisnah und enthält sie z. B. unternehmensspezifische Beispiele zur Veranschaulichung („Storytelling“)?

Ist die Sprache zielgruppengerecht (Achtung bei Fremdsprachen)?

Zu welchen Ergebnissen sind Sie hinsichtlich der Frage gekommen, was eine erfolgreiche Compliance-Kommunikation ausmacht?

Bei der erfolgreichen Compliance-Kommunikation ist sehr viel von der Leistung des Kommunikators abhängig.

Wie überzeugend ist der Compliance Officer, wie prägt er das Thema oder wie 52

schafft er es, Begeisterung auszulösen?

Das sind persönlichkeitsabhängige Dinge, die aber eine entscheidende Rolle spielen.

Der Compliance Manager muss daneben Transparenz schaffen, klar und verständlich kommunizieren können und die Mitarbeiter dazu in die Lage versetzen, dass sie in bestimmten Compliance Manager 2/16

heiklen Situationen des Geschäftsalltags sozusagen ein inneres Störgefühl bekommen. Sie müssen sich also dann entweder daran erinnern, wie sie handeln müssen oder wissen, wo sie sich Hilfe holen.

Was ist das Ziel der Arbeit Ihrer Fachgruppe?

A n tj e B o c k - S c h w i n u m

2. Testphase Eine Testphase ist insbesondere bei großen Schulungsprojekten notwendig und sollte unbedingt eingeplant werden. ☐ ☐ ☐ ☐

☐ ☐

Was ist das Ziel des Testes?

I st die fertige Schulung von Mitarbeitern der Empfänger-Zielgruppe geprüft worden?

Bei Übersetzungen: Prüfung durch ausländische Mitarbeiter (Muttersprachler) Habe ich die Tester vorab informiert über das Ziel des Tests und auf was geachtet werden soll (Feedbackbogen beifügen)?

Habe ich in meinem Zeitplan die Einarbeitung der „Testergebnisse“ (und eine erneute Testphase) eingeplant?

Habe ich die Testphase zeitlich begrenzt?

3. Roll-out Der Roll-out der Schulungsmaßnahme sollte immer von intensiver Kommunikation begleitet sein. ☐

☐

☐ ☐ ☐

☐ ☐

Habe ich alle möglichen Kommunikationskanäle berücksichtigt und habe ich die richtigen gewählt (direkte Ansprache, Intranet, Aushänge)?

Habe ich die relevanten Multiplikatoren (Führungskräfte, Betriebsräte etc.) eingebunden und ggf. zusätzlich und/oder vorab informiert?

Habe ich ausreichend kommuniziert und jeden Mitarbeiter erreicht (lieber einmal zu viel als zu wenig)?

Ist meine Roll-out Kommunikation, wie meine Schulung, kompakt?

Macht meine Roll-out Kommunikation neugierig und ist sie geeignet das gewünschte Ziel „Hemmschwellen abbauen“ und „Spannung aufbauen“ zu unterstützen?

Habe ich bei einem internationalen Roll-out erst global dann lokal informiert?

Habe ich bei länger andauernden Schulungen ggf. mehrfach informiert?

Wir haben beim ersten Treffen unserer Fachgruppe 2015 drei wesentliche Ziele definiert. Erstens, wir möchten

und beschäftigen uns vor allem mit der internen Kommunikation und mit der Regelkommunikation. Wir haben bis-

„ Zu den Schlüsselfaktoren einer erfolgreichen Compliance-Kommunikation gehört es, die Zielgruppe zu kennen und praxisnah zu sein.“ Praxistipps teilen. Zweitens, wir wollen den Austausch von Erfahrungswerten fördern. Und drittens, wir wollen Ansprechpartner in Dingen Kommunikation in unserem Verband sein.

Dazu haben wir zunächst das weite Feld der Kommunikation eingegrenzt

her einen Leitfaden erarbeitet, der bestimmte Kommunikationsinstrumente aufgreift. Darin gibt es für jedes Instrument eine Checkliste, die wir in Stufen von der Planung bis zur Kontrolle der Schulung geordnet haben. Dieser Leitfaden ist für alle Mitglieder im Intranet Compliance Manager 2/16

unter der Fachgruppe Kommunikation abrufbar. Mit diesem Leitfaden erheben wir natürlich nicht den Anspruch auf Vollständigkeit, sondern es ist das, was wir bisher an Erfahrungsschatz und Best-Practice-Ansätzen zusammentragen konnten.

Gibt es aus Ihrer Sicht Schlüsselfaktoren, die die Wahrscheinlichkeit einer erfolgreichen Compliance-Kommunikation erhöhen?

Ja, natürlich. An erster Stelle steht die Praxisnähe jeder Kommunikationsmaßnahme. Das bedeutet, dass man in den Schulungen viel mit Beispielen arbeiten muss, die tatsächlich aus dem Geschäftsalltag der Mitarbeiter stammen, die man gerade schult. Dazu muss 53

Interview

4. Kontrolle/Analyse Die Kontrolle eines Schulungsprojektes umfasst drei Aspekte: ☐ ☐ ☐ ☐ ☐

☐ ☐ ☐ ☐

☐

1. Quantitative Kontrolle (Habe alle relevanten Mitarbeiter teilgenommen?)

2. Qualitative Kontrolle (Haben alle die Schulungsinhalte verstanden?)

3. Wirkung des Schulungsprojektes (Gab es Verhaltensänderung der Teilnehmer nach der Schulung?)

Habe ich bei der Kontrolle nicht nur „Zahlen gemessen“ (1.) sondern habe ich auch „Feedback abgefragt“ (2. + 3.)?

Habe ich ein aktives Verbesserungsmanagement, d.h. fließen die Ergebnisse meiner Analyse zurück und führen zu Verbesserungen?

Was sind die „lessons learned“ für meinen Compliance-Bereich?

Was werden wir zukünftig anders machen und wie stellen wir dies sicher?

Stelle ich auch unangenehme Fragen, wie „War die Maßnahme für Sie hilfreich?“ Zeigen sich die Erfolge meiner Kommunikationsmaßnahme in einer Verhaltensänderung (mehr Hinweise, mehr Helpline-Anfragen etc.)?

Habe ich überhaupt Kriterien bestimmen können, an denen sich der Effekt der Maßnahme ableiten lässt?

man wissen, in welchem Umfeld sich die Zielgruppe bewegt, welchen Wertbeitrag sie zum Unternehmenserfolg leistet und welchen täglichen Herausforderungen sie sich hierbei stellen muss.

Voraussetzung dazu ist natürlich, dass man mit den eigenen Kollegen spricht.

Das Ziel einer jeder Schulung sollte sein, dass man das Gelernte anwenden kann und dass man die Mitarbeiter zu einem bestimmten Verhalten überzeugt.

Dann ist es wichtig, Lösungen anzubieten und nicht grundsätzlich zu allem nein zu sagen. Ich habe gute Erfahrungen damit gemacht, aufzuzeigen, „was noch geht“ statt aufzulisten, „was alles nicht geht“. Als Compliance-Referentin muss ich also emphatisch sein, gut zuhören und mich auf verschiedene Berufsgruppen einstellen können.

Was ich auch für richtig halte, ist, dass man gegenüber den Mitarbeitern im 54

Unternehmen die Unschuldsvermutung praktiziert. Denn die meisten Mitarbeiter eines jeden Unternehmens sind völlig selbstverständlich jeden Tag compliant. Das bedeutet, dass man den

ebenso wichtig ist es, emphatisch und ein guter Networker zu sein. Denn dann kann man zum einen innerhalb des Unternehmens auf Viele zurückgreifen, wenn man Unterstützung für seine Ziele

„ Ich habe gute Erfahrungen damit gemacht, aufzuzeigen, was noch geht statt aufzulisten, was alles nicht geht.“ Fehler vermeiden sollte, dass man mit seinen Inhalten ohne Unterschied auf alle Mitarbeiter gleich zugeht. Knüpfen die Inhalte einer Schulung nicht an das Arbeitsumfeld einer Mitarbeitergruppe an, würde man sie damit eher abstrafen.

Für den Beruf eines Compliance Officers sind daher zwar die kommunikativen Fähigkeiten wichtig, aber Compliance Manager 2/16

braucht, und zum anderen erfährt man viel Nützliches über das Unternehmen und was in den Einheiten passiert.

Derzeit gibt es ja den Trend, dass eher Führungskräfte eine Compliance-Schulung bekommen und weniger normale Mitarbeiter. Denn die Compliance Officer argumentieren,

A n tj e B o c k - S c h w i n u m

5. Schnittstellen Schnittstellen bei der internen Regelkommunikation sind z. B. Unternehmenskommunikation, Datenschutz, Rechtsbereich, HR, IT, Marketing, Fachbereiche (z. B. Einkauf, Vertrieb), der Betriebsrat etc.

Unterscheidung in unterstützende (z. B. Personal, IT) und genehmigende (Vorstand, AR, Betriebsrat) Schnittstellen. ☐ ☐ ☐

☐ ☐ ☐

Sind mir alle relevanten Schnittstellen bekannt?

Habe ich die relevanten Schnittstellen für alle Projektphasen frühzeitig eingebunden?

Kann ich auf regelmäßig gepflegte Kontakte aufbauen z. B. durch Einbindung der relevanten Schnittstellen in die lang- und mittelfristige Kommunikationsplanung?

Wahre ich meine (Kommunikations-)Ziele und überwinde ich ggf. Widerstände?

Habe ich Genehmigungen schriftlich eingeholt?

Habe ich Abstimmungen geeignet dokumentiert?

sie wären personell dazu gar nicht in der Lage, beispielsweise 20.000 Mitarbeiter zu schulen. Man setzt also auf den Tone from the Middle.

Die Führungskräfte sollten dann als Multiplikatoren das Ganze in ihre Einheiten tragen. Aber können es die Führungskräfte auch? Das bedeutet, wenn man diese Strategie wählt, müsste man dann nicht gleichzeitig auch die Führungskräfte dazu erst befähigen, den Compliance-Gedanken weiterzutragen?

Ja, sicher. Die Führungskräfte tragen eine besondere Verantwortung – insbesondere in ihrer Vorbildfunktion.

Noch wichtiger als die Führungskräfte zu befähigen, gute Kommunikatoren zu sein, ist es, sie zu Compliance-Fans zu machen. Die Führungskräfte müssen den Compliance-Gedanken zunächst für sich verinnerlichen, um ihn dann

zu teilen. Manche Führungskräfte sind Naturtalente in Sachen Kommunikation und führen die Leute immer zusammen. Solche Führungskräfte muss man dann für sich gewinnen. Andere Führungskräfte brauchen etwas mehr Unterstützung. Diesen kann man zum Beispiel Schulungsunterlagen zur Verfügung stellen und verstärkt als Ansprechpartner zur Verfügung stehen.

Dennoch, es ist unsere Aufgabe als Compliance Officer, nach Wegen zu suchen, um möglichst alle Mitarbeiter mit Compliance-Themen zu erreichen.

Heute denke ich, dass man auch den Mut dazu haben muss, mit einem E-Learning die Massen von Mitarbeiter zu schulen. Gleichzeitig sollte man trotzdem, zumindest in Risikobereichen, tatsächlich zu den Einheiten vor Ort fahren und dort Präsenzschulungen durchführen.

Compliance Manager 2/16

Es reicht eindeutig nicht, wenn man an einen Ort die Führungskräfte zusammentrommelt, sie dort den ganzen Tag in Compliance schult und ihnen sagt, welche Lösungen zu welchen Problemen passen. Und dann sollen sie in ihre Einheiten fahren und das Gehörte ihren Mitarbeitern mitteilen. Da müssen wir schon selbst zu den Leuten hinfahren.

Das Gespräch führte Irina Jäkel.

Antje Bock-Schwinum ist Compliance Referentin bei der REWE Markt GmbH in Köln. Seit November 2014 leitet sie ehrenamtlich die neu gegründete Fachgruppe „Compliance-Kommunikation“ im Berufsverband der Compliance Manager (BCM).

55

Schwierigkeiten bei der Compliance Kommunikation?

Wachmacher und Tools fĂźr die Professionalisierung Ihrer Compliance finden Sie in unserem Seminarprogramm 2016

www.quadriga.eu/compliance