Erfolgreich mit Compliance

2Umsetzung der ISO 37301 im Kontext

2 Umsetzung der ISO 37301 im Kontext

Durch Gestaltung von Strukturen, Regeln und Abläufen und der kontinuierlichen Steuerung und Verbesserung aller Aktivitäten bilden Management-Systeme einen Rahmen für die einheitliche, zielorientierte Organisationsausrichtung, und zwar unabhängig von Größe, Branche, Organisationsform oder Aufgabenstellung. Mit zunehmender Größe und umfangreicher Aufgabenstellung ist zu beobachten, dass unterschiedliche – meist organisch entstandene und nicht harmonisierte – Führungssysteme innerhalb einer Organisation entstanden sind. Eine derartige Aufsplitterung in Teilbereiche (z.B. Qualitätssicherung, Beschaffung, Marketing, Umwelt, Sicherheit etc.) kann die Steuerung von Organisationen unübersichtlich machen, wodurch die Effizienz sinkt. Gegenstand eines CMS sind grundsätzlich alle für eine Organisation relevanten rechtlichen, ethischen oder sozialen Normen, zu deren Einhaltung die Organisation aufgrund von Gesetzen, Regulierungen etc. verpflichtet ist oder zu deren Einhaltung sie sich freiwillig verpflichtet hat. Nichteinhaltungen von Compliance-Verpflichtungen bergen ein hohes Schadenspotenzial. Sie können erheblich negativen Einfluss auf die finanzielle Ausstattung und die erfolgreiche Entwicklung einer Organisation haben.[61] Ein CMS deckt alle von der Organisation bestimmten Bereiche ab und kann als ein übergeordnetes Rahmenwerk dienen, das die Effizienz der gesamten Organisation steigert und somit die Ressourcenzuteilung oder den Ressourceneinsatz verbessert. Die Problematik liegt oft darin, dass ein CMS ausschließlich von der rechtlichen Seite her betrachtet wird und weniger aus der Sicht des Managements. Ein CMS ist – als Management-System – in erster Linie ein Führungsinstrument. Für die Umsetzung bedarf es einerseits rechtlichen Fachwissens. Abhängig von der individuellen Situation der Organisation kann dieses durch die interne Rechtsabteilung abgedeckt werden oder wird über externe Experten eingebracht. Anderseits sind Kenntnisse über die Geschäftsaktivitäten und deren Abläufe erforderlich, um durch die Integration von Compliance-Maßnahmen in Richtlinien Verfahren und Prozesse sicherzustellen. Über dieses Wissen verfügen die Mitarbeiter der Organisation. Deren Einbeziehung in die Errichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung des CMS ist unabdingbar zur Sicherstellung von dessen Wirksamkeit.

Die ISO 37301 erhebt den Anspruch, ein Best-Practice-Ansatz für die Errichtung, Umsetzung, Aufrechterhaltung und die laufende Verbesserung eines effektiven Compliance-Management-Systems für alle Arten von Organisationen zu sein. Zur Überprüfung dieses Anspruchs wurden in Kapitel 1.5 Anforderungen aus internationalen Richtlinien bzw. Rechtskommentaren herangezogen und den Elementen der ISO 37301 gegenübergestellt. In diesem zweiten Teil des Praxiskommentars wird auf einen effizienten Zugang zur Errichtung und Umsetzung der ISO 37301 eingegangen. Kapitel 2.1 legt die Positionierung der ISO 37301 im Kontext der ISO Management-System-Standard-Struktur (MSS) dar. Im Kapitel 2.2 werden die Kernelemente des Standards in komprimierter Form anhand des Prinzips „Plan-Do-Check-Act“ (PDCA; Planen-Ausführen-Überprüfen-Verbessern) dargestellt.

2.1 Standardisierung von Management-Systemen nach ISO

Im Bereich der Standardisierung kann der Begriff des „Management-Systems“ bis zum Jahre 1959 zurückverfolgt werden, als das US-Verteidigungsministerium die Qualitätsnorm

MIL-Q-9858 veröffentlichte. Diese Vorschrift wurde 1969 in die NATO AQAP-Normenreihe aufgenommen und diente in der weiteren Folge 1979 als Grundlage für die BS 5750 Reihe von Qualitätssicherungsstandards der British Standards Institution (BSI). Auf Basis des BS 5750 Standards wurde im Jahr 1987 von der Internationalen Organisation für Standardisierung (ISO) der erstmalige ISO 9000 Standard für Grundlagen und Begriffe zu Qualitätsmanagement-Systemen publiziert.[62]

2.1.1 Management-System-Standards nach ISO High-Level Structure

Die Internationale Organisation für Standardisierung (ISO) mit Sitz in Genf, Schweiz, ist wahrscheinlich der weltweit bekannteste und größte Bereitsteller von freiwilligen internationalen Standards.[63] 1946 in London von Bauingenieuren aus 25 Ländern gegründet, ist ISO eine unabhängige, nichtstaatliche Organisation, die von nationalen Organisationen für Standardisierung aus 165 Mitgliedsländern aus der ganzen Welt gebildet wird. Mit mehr als 23.500 veröffentlichten internationalen Standards werden nahezu alle Branchen abgedeckt. Zu Erreichung einer nachhaltigen Zukunft unterstützen ISO-Standards den Welthandel, ein integratives und gerechtes Wirtschaftswachstum, Innovationen sowie die Förderungen von Gesundheit und Sicherheit.[64] Die Art der Entwicklung in überregionalen Komitees, besetzt mit internationalen, im Konsensverfahren agierenden Fachleuten, stellt sicher, dass die Spezifikationen für Produkte, Dienstleistungen und Systeme dem neuesten Stand der Technik entsprechen – zur Gewährleistung von Qualität, Sicherheit und Effizienz.

Um diesem Anspruch der Vereinheitlichung selbst gerecht zu werden, wurde im Jahr 2012 eine Vorlage für die Entwicklung von ISO-Standards für Management-Systeme in Kraft gesetzt. Divergierende Anforderungen in Standards zu unterschiedlichen Management-Systemen werden dadurch ausgeschlossen und die Umsetzung eines sogenannten „integrierten“ Management-Systems ermöglicht. In einem integrierten Management-System werden Anforderungen zweier oder mehrerer Standards zu Management-Systemen verbunden umgesetzt (z.B. ISO 9001 Qualitätsmanagement mit ISO 14001 Umweltmanagement). Eine zeitaufwendige, kostspielige und ineffiziente Parallelführung von mehreren Management-Systemen kann dadurch vermieden werden.

Die Einführung der Vorlage erfolgte 2012 durch Ergänzung der ISO internen Verfahrensvorschrift ISO/IEC Directives, Part 1 (Consolidated ISO Supplement – Procedures specific to ISO), die die Entwicklung internationaler Standards und anderer Publikationen im Rahmen von ISO regelt.[65] Der neu hinzugekommene Annex SL regelt die Vorbereitung, Entwicklung und Umsetzungen von Standards zu Management-Systemen. Der Appendix 2 zum Annex SL enthält den Text der Vorlage, der in der ISO Terminologie als „High Level Structure“ (HLS) bezeichnet und in der Standardisierungsarbeit auf internationaler Ebene gängig verwendet wird. Die HLS-Vorlage enthält Vorgaben für eine einheitliche (identical) Reihenfolge und Bezeichnungen der Hauptkapitel, von Texten sowie von Begriffen und Definitionen. Eine Abänderung der Vorgaben ist nur in ausreichend begründeten Fällen möglich und bedarf einer Genehmigung des ISO Technical Management Board (TMB). Die Anforderungen, die sich aus den zu standardisierenden Fachgebieten ergeben (z.B. Qualität, Umwelt, Compliance), werden durch Ergänzungen der HLS-Vorgabe abgebildet.

Neben der Vereinheitlichung verfolgt diese strenge Vorgabe noch einen weiteren Zweck, der als „systemischer Ansatz“ bezeichnet werden kann. Die Hauptkapitel 4 bis 10 (siehe unter Kapitel 3) bestimmen sieben Elemente, und nur wenn alle diese sieben Elemente von einer Organisation angesprochen werden, dann liegt ein Management-System nach ISO vor. Wichtig hervorzuheben ist, dass die HLS-Vorlage bestimmt, WAS erzielt werden muss, aber nicht festlegt, WIE diese Vorgaben realisiert werden sollen oder müssen. Nach dem Grundsatz der Angemessenheit ist die Art der Umsetzung einer Organisation freigestellt. Der Umfang der Umsetzung hängt von den Besonderheiten der Organisation ab – wie z.B. Größe, Aktivität, Risikobewertung etc.

Es gibt auch keine Vorschrift betreffend die Reihenfolge der Umsetzung der einzelnen Kapitel. Keine Bestimmung legt fest, dass die Anforderungen oder Empfehlungen eines Kapitels zuerst abgeschlossen sein müssen, bevor mit der Umsetzung des nächsten Kapitels begonnen werden kann. Aus dem systemischen oder ganzheitlichen Ansatz ergibt sich, dass bestimmte Elemente bei der Entwicklung, Umsetzung und Aufrechterhaltung laufend oder wiederkehrend berücksichtigt werden müssen (wie z.B. Leadership, Kompetenz, Kommunikation oder Dokumentation).

2.1.2 Integriertes Management-System

Ein integriertes Managementsystem (IMS) kombiniert Systeme, Prozesse und Standards einer Organisation in einem intelligenten System. Diese Zusammenführung ermöglicht es einer Organisation, die Geschäftsaktivitäten zu rationalisieren, Ressourcen zu sparen und die Effizienz zu steigern.

Ein IMS in Bezug auf mehrere ISO Standards umfasst Methoden und Instrumente zur Einhaltung von Anforderungen aus verschiedenen Bereichen (z. B. Qualität, Umwelt- und Arbeitsschutz, Sicherheit und Energie etc.). Eine einheitliche Struktur nützt Synergien und bündelt Ressourcen. Im Vergleich zu einzelnen, isolierten Management-Systemen ermöglicht diese ganzheitliche Betrachtung aller Elemente ein schlankeres und effizienteres Management-System.

In allen Standards muss der Kontext der Organisation im Zusammenhang mit den Anordnungen der relevanten Standards festgelegt werden. Es kann einzelne Politiken zu Qualität, Umwelt oder Compliance und Anti-Korruption geben. Es ist aber sehr wohl eine Geschäftspolitik vorstellbar, in der Qualität, Umweltbewusstsein, Informationssicherheit und regelkonformes Verhalten als Grundwerte der Organisation für die Abwicklung ihrer Geschäftsaktivitäten festgelegt sind. Es spart Ressourcen und kann zu einer zielgerichteten Berücksichtigung von Anforderungen von interessierten Parteien beitragen, wenn deren Erwartungen nicht getrennt nach einzelnen Themengebieten verifiziert, sondern in einer Gesamtanalyse erhoben und bewertet werden. Die Struktur und Gliederung von Kompetenzen, Verantwortungen und Aufgaben werden meist für alle Funktionen einheitlich bestimmt. Die individuelle Ausgestaltung der Aufgaben in Bezug auf die Themen unterschiedlicher Standards erfolgt dann auf Mitarbeiterebene durch personalisierte Stellenschreibungen. Verfahren und Kriterien zur Überwachung von Maßnahmen, zur Bewertung der Ergebnisse und deren Berichterstattung können vereinheitlichet werden. Programme und Verfahren zu internen Audits sind meist ohnehin abgestimmt. Reaktionen auf Nichteinhaltungen der Maßnahmen sowie Verbesserungen des Management-Systems auf Basis von Ursachenanalyse sind identisch für alle ISO MSS.

Der systemische HLS-Ansatz von ISO Management-System-Standards (MSS) wird in Tabelle 4 dargestellt. Die sieben Elemente eines MSS werden von allen Standards angesprochen.

Die HLS-Vorlage sieht vor, dass Anforderungen aus den zu standardisierenden Fachgebieten (z.B. Qualität, Umwelt, Compliance) durch Ergänzungen der HLS-Vorgabe abgebildet werden. Die Abbildung individueller Anforderungen ist hauptsächlich in den operativen Maßnahmen eines MS erforderlich. Wie in der nachfolgenden Tabelle 5 dargestellt, zeigt sich somit im Kapitel 8 (Betrieb) der größte und meist auch einzige markante Unterschied. Dies gilt nicht nur für die angeführten Beispiele, sondern grundsätzlich für die Umsetzung von ISO MSS.

Tabelle 4

Vergleich HLS-Struktur in verschiedenen ISO MSS – Übersicht[66]

Tabelle 5

Vergleich HLS-Struktur in ISO MSS – Kapitel 8 „Betrieb“

Die Integration von Compliance-Maßnahmen in Richtlinien, Verfahren und Prozessen zur Abwicklung der Geschäftsaktivitäten ist ein wichtiger Faktor für die Wirksamkeit eines CSM. Dieser Grundsatz gilt auch für andere ISO MSS. Die Einbindung der Fachabteilungen in die Errichtung und die Umsetzung von operativen Maßnahmen eines MSS ist unabdingbar. Die Einbindung sollte jedoch nicht auf die operativen Maßnahmen beschränkt sein. Insbesondere bei Risikoanalysen und der Errichtung von Maßnahmen zur Behandlung der Risiken, ist dieses Fachwissen erforderlich, um Situationen von potenziellen Nichteinhaltungen in Bezug auf die Themengebiete eines ISO MSS zu verifizieren und zu bewerten.

2.1.3 ISO 37001 Anti-bribery management systems

Die ISO 37301 ist auf alle Arten von Compliance-Verpflichtungen anwendbar. Die ISO 37001 enthält Anforderungen für ein Management-System in Bezug auf die spezielle Compliance-Verpflichtung Anti-Korruption. Eine integrierte Anwendung beider Standards ist daher evident. Auf die Kohärenz dieser beider Standards sowie auf deren Unterschiede wird in diesem Kapitel eingegangen.

2.1.3.1ISO 37001 als Best-Practice-Ansatz zur Korruptionsbekämpfung

Der US Foreign Corrupt Practices Act (FCPA)[67] von 1977 war das weltweit erste Anti-Korruptionsgesetz, das eine Unternehmenshaftung, eine Haftung für Dritte sowie eine exterritoriale Zuständigkeit für Korruptionsdelikte einführte. Der FCPA wird mit nahezu globaler Gerichtsbarkeit durchgesetzt und hat daher eine hohe Relevanz für alle Organisationen, deren Tätigkeit in Zusammenhang mit den USA gesehen werden kann. Das US-Justizministerium (DOJ; Department of Justice)[68] und die US-Börsenaufsichtsbehörde (SEC; Securities and Exchange Commission)[69] sind mit den Durchsetzungsmaßnahmen beauftragt. Die Angemessenheit und Effektivität des Compliance-Programms wird bei der Strafbemessung berücksichtigt.[70]

Das Prinzip der Unternehmenshaftung für korrupte Handlungen von Mitgliedern der Unternehmensleitung, Mitarbeitern, Agenten oder Tochtergesellschaften, die im Namen eines Unternehmens handeln, wurde in Großbritannien durch den UK Bribery Act 2010 eingeführt.

Tabelle 6

Richtlinie zum UK Bribery Act 2010 vs. ISO 37001[71]

Dem UK Bribery Act kommt eine ähnlich globale Gerichtsbarkeit wie dem FCPA zu. Im Gegensatz zum FCPA bietet der UK Bribery Act Organisationen die Möglichkeit, sich gegen eine Strafverfolgung zu schützen, wenn sie nachweisen können, angemessene Maßnahmen in ihrer Organisation zur Verhinderung von Korruption gesetzt zu haben. Sechs Prinzipen eines wirksamen CMS, die die Umsetzung von angemessenen Maßnahmen unterstützen, sind im Leitfaden des britischen Justizministeriums zum UK Bribery Act festgelegt. Die Gegenüberstellung in Tabelle 6 zeigt, dass alle Prinzipien des Leitfadens durch Anforderungen der ISO 37001 abgedeckt werden.

Zahlreiche anerkannte internationale Institutionen haben Grundsätze für Anti-Korruptions-Compliance-Programme bzw. für einzelne Elemente publiziert. Eine gute Zusammenfassung findet sich in dem von der UNODC gemeinsam mit der OECD und der Weltbank Gruppe 2013 herausgegeben „Anti-Korruption und Compliance-Handbuch“. Die in diesem Zusammenhang wahrscheinlich ältesten Regeln zur Bekämpfung von Korruption sind jene der Internationalen Handelskammer (ICC) aus dem Jahr 1977 (derzeit in der 5. Auflage 2011 veröffentlicht). Da die ICC eine der angesehensten internationalen Schiedsgerichte unterhält, kommt diesen Regeln für im internationalen Handel tätige Unternehmen Bedeutung zu. In Teil III, Artikel 10 der ICC Rules on Combating Corruption (Richtlinien zur Bekämpfung von Korruption) werden eine Reihe von Elementen eines Corporate-Compliance-Programms angeführt. Tabelle 7 zeigt, dass allen Anforderungen der Richtlinien Elemente der ISO 37001 zugeordnet werden können.

Tabelle 7

ICC Anti-Korruptionsrichtlinien vs. ISO 37001[72]

Nach diesen Vorreitern haben sich in einigen Ländern Regelungen etabliert, die Anforderungen an Anti-Korruptionsmaßnahmen festlegen. Die Beurteilung der Effektivität dieser Maßnahmen kann die Strafbemessung beeinflussen oder eine Organisation vor einer Strafverfolgung schützen. In Tabelle 8 sind die Elemente der ISO 37001 den Anforderungen an eine wirksame Anti-Korruption-Compliance-Organisation aus drei Ländern gegenübergestellt.

Tabelle 8

Anforderungen an ein effektives Managementsystem zur Korruptionsbekämpfung vs. ISO 37001[73]

Der Brasilianische Clean Company Act (Gesetz Nr. 12.846, 2015) macht Unternehmen für korrupte Handlungen von Mitarbeitern verantwortlich und führt eine verschuldensunabhängige Haftung ein (Unternehmen können ohne Feststellung eines Verschuldens haftbar gemacht werden). In Frankreich hat das Gesetz über Transparenz, Korruptionsbekämpfung und Modernisierung des Wirtschaftslebens (Sapin II, 2016) zu einer markanten Änderung in der Strafverfolgung von Korruptionsdelikten geführt. Gefordert wird ein aktives Management des Korruptionsrisikos für Unternehmen mit mindestens 500 Mitarbeitern und einem konsolidierten Umsatz von über 100 Mio. EUR. Die Beispiele bestätigen den Anspruch der Positionierung von ISO Standards als unparteiische Best-Practice-Instrumente.