Die Inhalte dieses Beitrags sind nach bestem Wissen erstellt, ersetzen jedoch keine individuelle rechtliche Beratung. Für die Richtigkeit, Vollständigkeit und Aktualität der Angaben wird keine Gewähr übernommen. Für eine Bewertung Ihrer individuellen Situation wenden Sie sich bitte direkt an unsere Kanzlei.
Die Implementierung eines Compliance Management Systems beschäftigt viele Geschäftsführungen und Vorstände erst dann, wenn ein konkreter Vorfall aufgetreten ist. Dabei lässt sich ein Großteil der Haftungsrisiken durch ein strukturiert aufgebautes System von Anfang an vermeiden. Als Kanzlei für Compliance in Frankfurt begleiten wir kleine und mittelständische Unternehmen bei der Entwicklung und Umsetzung eines maßgeschneiderten Compliance Management Systems, das zu Größe, Branche und Risikoprofil des jeweiligen Betriebs passt. In diesem Beitrag zeigen wir, welche rechtlichen Grundlagen gelten, wie ein CMS Schritt für Schritt eingeführt wird und worauf Unternehmen bei der praktischen Umsetzung achten sollten.
Ein Compliance Management System ist die Gesamtheit der Grundsätze und Maßnahmen, mit denen ein Unternehmen die Einhaltung von Gesetzen, Regularien und internen Richtlinien sicherstellt. Ziel ist es, Regelverstöße zu verhindern, frühzeitig zu erkennen und angemessen darauf zu reagieren. Ein CMS ist damit mehr als eine Sammlung von Richtlinien-Dokumenten. Es umfasst die Organisation, die Kommunikation nach innen und außen sowie die laufende Überwachung der eingeführten Maßnahmen.
Ein anerkanntes Rahmenwerk für die Ausgestaltung in Deutschland liefert der Prüfungsstandard IDW PS 980 des Instituts der Wirtschaftsprüfer. Er beschreibt sieben Grundelemente, die ein wirksames CMS abdecken sollte, Compliance-Kultur, Compliance-Ziele, Compliance-Risiken, Compliance-Programm, Compliance-Organisation, Compliance-Kommunikation sowie Compliance-Überwachung und Verbesserung. International orientieren sich Unternehmen zunehmend am Standard ISO 37301, der einem Plan-Do-Check-Act-Zyklus folgt und sich durch externe akkreditierte Stellen zertifizieren lässt. Beide Ansätze verfolgen im Kern dieselbe Logik und lassen sich miteinander kombinieren.
Die Einführung eines Compliance Management Systems ist für die meisten Unternehmen keine gesetzliche Pflicht im engeren Sinne, wohl aber eine dringende Empfehlung, die sich aus mehreren gesetzlichen Anknüpfungspunkten ergibt. Nach § 130 des Gesetzes über Ordnungswidrigkeiten (OWiG) handelt ordnungswidrig, wer als Inhaber eines Betriebs die erforderlichen Aufsichtsmaßnahmen unterlässt, um Zuwiderhandlungen im Unternehmen zu verhindern. Ist die zugrunde liegende Pflichtverletzung mit Strafe bedroht, kann die Aufsichtspflichtverletzung mit einer Geldbuße bis zu einer Million Euro geahndet werden.
Für Aktiengesellschaften verpflichtet § 91 Abs. 2 AktG den Vorstand, geeignete Maßnahmen zu treffen, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Diese Organisationspflicht selbst begründet noch keine Haftung, verletzt der Vorstand sie jedoch, kann sich eine persönliche Haftung aus der allgemeinen Sorgfalts- und Ersatzpflicht des § 93 AktG ergeben. Eine dem § 91 Abs. 2 AktG entsprechende ausdrückliche Regelung existiert für die GmbH zwar nicht, nach überwiegender Auffassung strahlt der darin verankerte Gedanke der Risikofrüherkennung aber auf größere GmbHs aus. Geschäftsführer einer GmbH schulden nach § 43 Abs. 1 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes und haften nach § 43 Abs. 2 GmbHG persönlich, wenn sie diese Sorgfaltspflicht verletzen. Ein dokumentiertes CMS kann im Ernstfall belegen, dass die Geschäftsleitung ihrer Organisationspflicht nachgekommen ist.
Für die Implementierung eines Compliance Management Systems gibt es keine gesetzlich vorgeschriebene Reihenfolge. In der Praxis hat sich dennoch ein Ablauf bewährt, der sich an den Grundelementen des IDW PS 980 orientiert.
Am Anfang steht die Risikoanalyse. Das Unternehmen identifiziert, welche Compliance-Risiken für die eigene Branche und Größe relevant sind, etwa im Arbeitsrecht, im Datenschutz, im Kartellrecht oder im Bereich Geldwäsche. Darauf aufbauend werden konkrete Compliance-Ziele festgelegt, die zur Unternehmensstrategie passen. Anschließend entwickelt das Unternehmen ein Compliance-Programm mit Richtlinien, Prozessen und Kontrollen, die auf die zuvor identifizierten Risiken zugeschnitten sind.
Parallel dazu wird die Compliance-Organisation aufgebaut, häufig durch die Bestellung eines Compliance-Beauftragten und die Festlegung von Verantwortlichkeiten und Berichtswegen. Die Kommunikation der Regeln an Mitarbeitende, etwa durch Schulungen und einen Code of Conduct, sichert die Akzeptanz im Alltag. Den Abschluss bildet die laufende Überwachung, bei der das Unternehmen prüft, ob die Maßnahmen wirken, und sie bei Bedarf anpasst.
Die Verantwortung für die Implementierung eines Compliance Management Systems liegt zunächst bei der Geschäftsführung oder dem Vorstand. Die operative Steuerung wird häufig an einen Compliance-Beauftragten oder Compliance Officer delegiert, der die Umsetzung koordiniert, Risiken bewertet und als Ansprechperson für Mitarbeitende fungiert. Diese Delegation entbindet die Geschäftsleitung jedoch nicht von der Gesamtverantwortung. Die Rechtsprechung verlangt, dass die Unternehmensleitung die Umsetzung tatsächlich überwacht und nicht bloß formal delegiert.
Gerade in kleinen und mittelständischen Unternehmen wird die Compliance-Funktion oft von einer bestehenden Führungskraft zusätzlich übernommen, etwa aus dem Bereich Recht, Personal oder Finanzen. Wichtig ist, dass diese Person über ausreichend Zeit, Zugang zu relevanten Informationen und ein direktes Berichtsrecht an die Geschäftsleitung verfügt. Ohne diese organisatorische Verankerung bleibt ein CMS in der Praxis häufig wirkungslos, selbst wenn die Richtlinien auf dem Papier vollständig sind. Externe Unterstützung, etwa durch eine Rechtsanwaltskanzlei mit Compliance-Erfahrung, kann bei der Konzeption, der rechtlichen Prüfung einzelner Bausteine und bei der Schulung von Führungskräften sinnvoll sein, ohne die interne Verantwortung zu ersetzen.
Seit Inkrafttreten des Hinweisgeberschutzgesetzes am 2. Juli 2023 gehört eine funktionierende Meldestelle zu den zentralen Bausteinen eines Compliance Management Systems. Nach § 12 HinSchG müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten und betreiben, an die sich Mitarbeitende mit Hinweisen auf Rechtsverstöße wenden können. Unabhängig von dieser Schwelle gilt die Pflicht nach § 12 Abs. 3 HinSchG stets für bestimmte Unternehmen der Finanzbranche, etwa Wertpapierdienstleistungsunternehmen und Kreditinstitute. Für Unternehmen mit 50 bis 249 Beschäftigten galt eine verlängerte Umsetzungsfrist bis zum 17. Dezember 2023.
Die interne Meldestelle kann durch eigenes Personal betrieben werden oder durch einen externen Dritten, etwa eine Rechtsanwaltskanzlei, die mit den entsprechenden Aufgaben betraut wird. Die Pflicht, festgestellte Verstöße tatsächlich abzustellen, verbleibt dabei stets beim Unternehmen selbst. Wird keine Meldestelle eingerichtet oder betrieben, drohen Bußgelder von bis zu 20.000 Euro, dieser Bußgeldtatbestand ist allerdings erst seit dem 1. Dezember 2023 anwendbar. Wichtiger als die reine Existenz eines Meldekanals ist jedoch, dass Hinweise tatsächlich vertraulich geprüft und mit nachvollziehbaren Folgemaßnahmen bearbeitet werden. Fehlt dieser Prozess, bleibt die Meldestelle ein Papiertiger und das damit verbundene Vertrauen der Belegschaft in das gesamte Compliance Management System leidet.
Die Dauer der Implementierung hängt stark von der Unternehmensgröße, der Branche und dem bereits vorhandenen Reifegrad ab. Verfügt ein Unternehmen bereits über einzelne Bausteine, etwa Arbeitsverträge mit Verhaltensregeln oder eine Datenschutzdokumentation, lässt sich ein Grundgerüst innerhalb weniger Monate aufbauen. Fehlen dagegen sämtliche Strukturen, ist mit einem Zeitraum von sechs bis zwölf Monaten für ein tragfähiges Basissystem zu rechnen.
Ein Compliance Management System ist zudem kein einmaliges Projekt, sondern ein fortlaufender Prozess. Gesetzliche Änderungen, neue Geschäftsfelder oder ein verändertes Risikoumfeld erfordern regelmäßige Anpassungen. In der Praxis empfiehlt sich eine jährliche Überprüfung aller Kernelemente, ergänzt um anlassbezogene Aktualisierungen bei relevanten Gesetzesänderungen. Unternehmen, die diesen Review-Zyklus fest im Kalender verankern, vermeiden, dass das CMS nach der Einführung veraltet und in der Praxis an Wirkung verliert.
Konkrete Pauschalpreise lassen sich für die Implementierung eines Compliance Management Systems nicht seriös nennen, da der Aufwand stark vom individuellen Risikoprofil abhängt. Kosten entstehen typischerweise durch die anwaltliche oder beraterische Begleitung bei Risikoanalyse und Richtlinienerstellung, durch Schulungsmaßnahmen für Führungskräfte und Mitarbeitende sowie gegebenenfalls durch eine technische Lösung für die interne Meldestelle.
Für kleine und mittelständische Unternehmen lohnt sich häufig ein gestufter Ansatz. Zunächst werden die wichtigsten Risikofelder abgedeckt und die gesetzlich erforderliche Meldestelle eingerichtet. In einem zweiten Schritt wird das System um weitere Bausteine ergänzt, etwa spezifische Richtlinien für einzelne Abteilungen oder eine ausführlichere Dokumentation für Zertifizierungszwecke. Dieser pragmatische Aufbau verteilt die Kosten über einen längeren Zeitraum und stellt sicher, dass die dringendsten Haftungsrisiken frühzeitig adressiert werden, ohne das Budget in der Anfangsphase zu überfordern.
Ein häufiger Fehler ist, ein Compliance Management System rein auf dem Papier zu erstellen, ohne die gelebte Praxis im Unternehmen zu berücksichtigen. Richtlinien, die niemand kennt oder anwendet, schützen im Ernstfall weder das Unternehmen noch die Geschäftsleitung. Ebenso problematisch ist es, die Verantwortung ausschließlich auf eine einzelne Person zu übertragen, ohne diese mit ausreichenden Ressourcen und einem direkten Berichtsweg an die Geschäftsleitung auszustatten.
Ein weiterer Schwachpunkt zeigt sich, wenn das CMS nach der Einführung nicht mehr angepasst wird. Gesetzesänderungen wie das Hinweisgeberschutzgesetz oder neue branchenspezifische Vorgaben erfordern eine laufende Aktualisierung. Unternehmen sollten außerdem vermeiden, die Meldestelle als reine Pflichterfüllung zu behandeln. Wird Hinweisen nicht konsequent nachgegangen, verliert das gesamte System an Glaubwürdigkeit bei der Belegschaft. Eine realistische Selbsteinschätzung des Reifegrads zu Beginn hilft, den Implementierungsprozess auf die tatsächlichen Bedürfnisse des Unternehmens zuzuschneiden.
Bei der Implementierung eines Compliance Management Systems begleiten wir Unternehmen von der ersten Risikoeinschätzung bis zur laufenden Betreuung. Dazu gehört die rechtliche Prüfung bestehender Strukturen, die Erstellung maßgeschneiderter Richtlinien und die Übernahme der internen Meldestelle nach dem Hinweisgeberschutzgesetz, sofern dies gewünscht ist. Als Kanzlei mit zertifizierter Compliance-Expertise verbinden wir juristische Sorgfalt mit einem praxisnahen Blick auf kleine und mittelständische Unternehmen, für die ein vollständiger interner Compliance-Apparat oft nicht wirtschaftlich ist.
Gerade für Geschäftsführer und Vorstände, die persönlich für die Organisationspflichten ihres Unternehmens einstehen, lohnt sich eine frühzeitige rechtliche Einordnung des eigenen Risikoprofils. Wir prüfen gemeinsam mit Ihnen, welche Bausteine für Ihr Unternehmen tatsächlich notwendig sind, und begleiten die Umsetzung Schritt für Schritt, ohne unnötigen bürokratischen Aufwand zu erzeugen.
Die Implementierung eines Compliance Management Systems ist kein einmaliges Projekt, sondern ein fortlaufender Prozess, der Risikoanalyse, klare Zuständigkeiten und eine funktionierende Meldestelle miteinander verbindet. Wer frühzeitig handelt, reduziert nicht nur das Haftungsrisiko der Geschäftsleitung, sondern schafft auch Vertrauen bei Mitarbeitenden und Geschäftspartnern. Wenn Sie die Einführung oder Überarbeitung Ihres Compliance Management Systems rechtlich begleiten lassen möchten, vereinbaren Sie ein Erstgespräch mit unserer Kanzlei.
Teilen
