Czytaj książkę: «Einrichtung von Compliance Management Systemen (CMS) im Krankenhaus»

Vorwort

Der Deutsche Corporate Governance Kodex (DCGK) definiert Compliance als eine auf der Geschäftsleitungsebene liegende Verantwortung für die Einhaltung gesetzlicher Bestimmungen und unternehmensinterner Richtlinien. Die unternehmensinterne Struktur zur Gewährleistung dieser Regelkonformität wird Compliance Management System, abgekürzt CMS, genannt.

Das Bewusstsein für die Notwendigkeit eines funktionierenden CMS ist mittlerweile auch in den Geschäftsführungen und Vorständen der Krankenhausunternehmen angekommen. Deren gesetzliche Vertreter sind für geeignete Maßnahmen zur Gewährleitung rechtskonformen Verhaltens der Organisation verantwortlich. Im Versagensfalle kommen sonst nämlich der Verdacht eines sogenannten Organisationsverschuldens und das Folgerisiko persönlicher Haftung auf. Der aktuell vorliegende Entwurf eines Verbandssanktionengesetzes und damit eines »Strafrechts für Unternehmen« zeigt, dass die Politik den Druck auf Unternehmen und Organisationen, rechtskonformes Verhalten gewährleisten zu können, weiter erhöht.

Wie lässt sich aber in Krankenhäusern, unabhängig von individueller Größe, ein praxisgerechtes und geeignetes CMS aufbauen? Worauf ist zu achten? Wie gelingt die Balance zwischen Wirtschaftlichkeit und Wirksamkeit? In der insgesamt umfangreichen Fachliteratur zum Thema Compliance sind gerade diese Fragen bislang nur lückenhaft beantwortet. Die Autoren möchten deshalb mit dem vorliegenden Buch einen Beitrag zur Schließung dieser Lücken liefern.

Als Standard für die Prüfung von Compliance Management Systemen hat sich in Deutschland der Prüfungsstandard 980 des Instituts der Wirtschaftsprüfer (IDW) etabliert. Dieser ermöglicht u. a. den Transfer von der abstrakten Wirkungsanforderung an ein CMS hin zu den daraus abgeleiteten, notwendigen Grundelementen eines CMS. Da ein Prüfbericht nach PS 980 wertvolle Anhaltspunkte für rechtskonformes Verhalten Verantwortlicher bietet, streben inzwischen viele Krankenhäuser eine solche Prüfung an.

Daher lag es nahe, dieses Praxishandbuch entlang der im PS 980 definierten CMS-Grundelemente aufzubauen. Diese sind:

1. Die Compliance-Kultur

2. Die Compliance Ziele

3. Die Compliance-Risiken

4. Die Compliance-Organisation

5. Das Compliance-Programm

6. Die Compliance-Kommunikation

7. Die Compliance-Überwachung und Verbesserung

Die Autoren bedanken sich bei zahlreichen Kolleginnen und Kollegen für ihre wertvolle Mitwirkung und Unterstützung. Christoph Naucke dankt insbesondere Herrn Bernd Vogel, Herrn Roland Schneider und Herrn Tino Schwabe aus dem Bereich Gesundheitswirtschaft bei Rödl & Partner, Christian Corell möchte dem Geschäftsführer des Klinikums der Stadt Ludwigshafen am Rhein, Herrn Hans-Friedrich Günther, und seinem früheren Chef und Mentor, dem langjährigen Chief Compliance Officer der Allianz Deutschland AG, Herrn Bernd Hoffmann, ganz besonders danken. Ohne die Genannten wäre dieses Werk nicht entstanden.

Dr. Christian Corell

Christoph Naucke

Ludwigshafen am Rhein, im August 2020

Hersbruck, im August 2020

Inhalt

1  Vorwort

2  1 Einleitung

3  2 Wirksames Compliance Management als Instrument zur Haftungsvermeidung

4  2.1 Haftungsrisiken

5  2.1.1 Strafrechtliche Risiken

6  2.1.2 Zivilrechtliche Haftungsrisiken

7  2.2 Reduzierung von Haftungsrisiken durch ein wirksames CMS

8  3 Teilschritte zur CMS-Einführung

9  4 Compliance-Kultur

10  4.1 Tone at the top und tone from the top

11  4.1.1 Vorbildfunktion des Managements

12  4.1.2 Compliance-Bekenntnis der Klinikleitung

13  4.2 Tone at the middle und tone from the middle

14  4.3 Klinikweiter Verhaltenskodex

15  4.3.1 Formale Gesichtspunkte

16  4.3.2 Inhalt

17  4.4 Messung des Compliance-Kultur-Index

18  5 Compliance-Ziele

19  5.1 Inhalt und Bedeutung der Compliance-Ziele

20  5.1.1 Compliance-Ziele als Grundlage für Transparenz und Monitoring

21  5.1.2 Compliance-Ziele als Grundlage für Ermittlung von Compliance-Risiken

22  5.2 Relevante Rechtsgebiete für das CMS eines Krankenhauses

23  5.2.1 Allgemeines Wirtschafts- und Unternehmensrecht

24  5.2.2 Leistungserbringungsrecht des Krankenhauses

25  5.2.3 Steuerrecht

26  5.2.4 Arbeits- und Sozialrecht

27  5.2.5 Fraud & Corruption

28  5.2.6 Recht der juristischen Personen des öffentlichen Rechts

29  5.2.7 Assurance & IT

30  5.3 Besondere Compliance-Ziele mit Bezug zum Krankenhausträger

31  6 Compliance-Risiken

32  6.1 Begrifflichkeiten des Compliance-Risikomanagements

33  6.1.1 Risikodefinition

34  6.1.2 Abgrenzung von Compliance-Risiken

35  6.1.3 Compliance-Risiken als Teil des Risikoportfolios im Krankenhaus

36  6.1.4 Abgrenzung zu Beratungsanfragen und zu Compliance-Verstößen

37  6.1.5 Brutto- und Netto-Risiko

38  6.2 Rollenverteilung im Compliance-Risikomanagement

39  6.3 Risikozyklus

40  6.4 Risikoinventur

41  6.4.1 Risikoidentifikation

42  6.4.2 Merkmale eines Risikoeintrags

43  6.4.3 Risikoermittlung im Risikoworkshop

44  6.4.4 Weitere Methoden der Risikoinventur

45  6.4.5 Analytische Ergänzung der assoziativen Risikoermittlung

46  6.4.6 Aufstellung des Risikoportfolios

47  6.5 Risikobewertung

48  6.5.1 Risikowert aus Eintrittswahrscheinlichkeit und Schadenspotenzial

49  6.5.2 Eintrittswahrscheinlichkeit

50  6.5.3 Schadenspotenzial

51  6.6 Risikobewältigung

52  6.7 Risikodokumentation

53  7 Compliance-Programm

54  7.1 Prävention

55  7.1.1 Compliance-Kultur

56  7.1.2 Schulungen

57  7.1.3 Risikomaßnahmen

58  7.1.4 Richtlinien und Regeln

59  7.1.5 Organisatorische Präventionsmaßnahmen

60  7.1.6 Anreizsysteme

61  7.1.7 Anfrage-/Beratungsverfahren

62  7.1.8 Kontrollen

63  7.2 Detektion

64  7.2.1 Hinweise auf mögliche Verstöße

65  7.2.2 Aufklärung von Sachverhalten

66  7.3 Reaktion

67  7.3.1 Sanktionierung

68  7.3.2 Compliance-Überwachung und -Verbesserung

69  8 Compliance-Organisation

70  8.1 Compliance als Teil jeder Führungsverantwortung

71  8.2 Aufbau- und Ablauforganisation des CMS

72  8.2.1 Aufbauorganisation: Organisationseinheit Compliance Management

73  8.2.2 Organisationselemente des CMS außerhalb der Organisationseinheit Compliance

74  8.2.3 Ablauforganisation

75  8.3 Notwendige Ressourcen

76  8.3.1 Größenordnung des Krankenhauses als Basiskriterium

77  8.3.2 Besondere Einflussfaktoren

78  9 Compliance-Kommunikation

79  9.1 Fortlaufende interne Kommunikation über Compliance

80  9.1.1 Zielsetzung

81  9.1.2 Orientierung an der Zielgruppe

82  9.1.3 Kommunikationskonzept

83  9.1.4 Erreichbarkeit und Transparenz der Compliance-Abteilung

84  9.2 Compliance-Schulungen

85  9.3 Externe Compliance-Kommunikation

86  9.4 Compliance-Berichterstattung

87  9.4.1 Anlassbezogene Berichterstattung

88  9.4.2 Berichterstattung zu vordefinierten Terminen

89  10 Compliance-Überwachung und -Verbesserung

90  10.1 Dokumentation – CMS-Beschreibung

91  10.2 Selbstoptimierung des CMS

92  10.3 Überwachung des CMS

93  10.4 Durchsetzung des CMS und Mängelbeseitigung

94  11 Fazit

95  Anhang

96  Stichwortverzeichnis

97  Abbildungs- und Tabellenverzeichnis

1 Einleitung

Die Verwendung des Begriffs »Compliance« ist in der Medizin im Sinne der Therapietreue seit Langem etabliert. Da die Herausforderung, sich tatsächlich regelkonform zu verhalten, mit der Größe, Komplexität und Entwicklungsgeschwindigkeit der Unternehmen stark angestiegen ist, hat sich analog dazu in der Unternehmensführung die Disziplin und mit ihr auch der Begriff der Compliance entwickelt.

Die Einrichtung einer Compliance-Organisation in mittleren und größeren Unternehmen der Privatwirtschaft, wie beispielsweise in Pharmaunternehmen, ist inzwischen nahezu selbstverständlich geworden. Dazu hat auch der Deutsche Corporate Governance Kodex beigetragen. Er fordert u. a. die Einrichtung eines Compliance Management Systems (CMS) durch den Vorstand sowie die Befassung des Aufsichtsrats mit der Compliance-Struktur des Unternehmens. Er entfaltet eine Abstrahlwirkung auch auf nicht börsennotierte Unternehmen, und wichtige Themen – wie beispielsweise die Forderung nach einem CMS – sind in diversen Public Corporate Governance Kodizes Teil der Anforderungen geworden, welche die öffentliche Hand an Organisationen mit staatlicher Beteiligung stellt.

Dennoch stehen viele Krankenhäuser bei der Frage nach der Ausgestaltung eines risikoadäquaten CMS weitgehend am Anfang. Viele setzen sich intensiv damit auseinander, welche Strukturen für regelkonformes Verhalten in der Organisation geschaffen werden sollten, um das Risiko für Compliance-Verstöße zu reduzieren und die Wahrscheinlichkeit zu erhöhen, dass ein dennoch stattfindender Compliance-Verstoß tatsächlich entdeckt wird.

Die finanziellen und strukturellen Möglichkeiten von Kliniken zur Einführung eines CMS unterliegen allerdings engen Grenzen. Die Compliance-Organisation muss nicht selten mit knappen Mitteln einer Stabsstelle miterledigt werden, die ihrerseits noch weitere Aufgaben erfüllt. Die mit Compliance-Aufgaben betrauten Mitarbeiter betreten zudem häufig inhaltliches Neuland.

Das Institut der Wirtschaftsprüfer (IDW) als berufsständische Organisation der deutschen Wirtschaftsprüfer hat schon im Jahr 2011 mit dem Prüfungsstandard 980 ein Rahmenwerk geschaffen, um die Berufsauffassung der Wirtschaftsprüfer zur Prüfung von Compliance Management Systemen festzulegen und zu dokumentieren. Es hat damit zugleich ein gewisses Vakuum in der Frage der konkreten Ausgestaltung eines CMS gefüllt. Durch die Konkretisierung der Anforderungen an ein risikoadäquates CMS in Form von sieben Grundelement ist neben einer konkreten Grundlage für CMS-Prüfungen auch ein nützliches Gerüst zur Strukturierung und Priorisierung der Ausgestaltung eines CMS entstanden.

Es zählt zu den unvermeidlichen Schwierigkeiten bei seiner Gestaltung, dass Angemessenheit und praxisorientierte Umsetzbarkeit sehr stark von der Branche, vom Geschäftsmodell und vor allem von der Größe eines Unternehmens abhängig sind. Daher wird mit diesem Buch der Versuch unternommen, die grundsätzlich formulierten Anforderungen zu den sieben Grundelementen eines CMS im Sinne des IDW PS 980 auf die rechtlichen, organisatorischen und finanziellen Rahmenbedingungen eines Krankenhauses zu projizieren. Auf diese Weise möchte dieses Buch eine Praxisunterstützung für Geschäftsführer¹ und Mitarbeiter von Krankenhäusern bei der Einrichtung eines CMS bieten. Die Erfahrungen der Autoren in diesem Prozess – einerseits aus der Innensicht des Krankenhauses, andererseits aus der prüferischen Außenperspektive – sollen so für Krankenhäuser nutzbar gemacht werden.

1 Zugunsten einer lesefreundlichen Darstellung wird in der Regel die neutrale bzw. männliche Form verwendet. Diese gilt für alle Geschlechtsformen (weiblich, männlich, divers).

2 Wirksames Compliance Management als Instrument zur Haftungsvermeidung

Trotz sorgfältiger Risikomaßnahmen kann es im Klinikum zu gravierenden Rechtsverstößen kommen. Zu den Auswirkungen solcher Compliance-Verstöße gehören neben Reputationsgefahren und den damit verbunden wirtschaftlichen Folgen v. a. zivil- und strafrechtliche Haftungsrisiken. Zahlreiche Beispiele für typische Verstoßrisiken aus der Praxis sind in Anhang 3: Hauptbeispiele für Risiko-Konstellationen zusammengestellt. Daher zählt das Ziel der Begrenzung der mit solchen Verstößen verbundenen persönlichen Risiken der Geschäftsleiter zu den naheliegenden Motiven bei der Einführung eines CMS. Diese grundsätzlich vorhandenen Risiken sind sowohl straf- als auch zivilrechtlicher Natur.

2.1 Haftungsrisiken

Compliance Management Systeme dienen der Enthaftung bei Regelverstößen, genau deshalb werden sie eingeführt. Folglich profitieren insbesondere diejenigen von dem CMS, die für solche Verstöße haften, also Unternehmen und deren Leitungsorgane.

Dieser große Themenkreis sprengt allerdings den Zuschnitt des Buches und bietet Raum für weitere Werke, weshalb hier nur ein thematischer Anriss erfolgt.

2.1.1 Strafrechtliche Risiken

Bei Compliance-Verstößen in einem Klinikum handelt es sich in zahlreichen Fällen um strafbewehrte Rechtsverstöße. Auch wenn die betreffende Tat aus der Klinik heraus begangen wird, kommt nach derzeit geltendem Recht ausschließlich eine natürliche Person, jedoch keine juristische Person als Straftäter in Betracht.

Bei Redaktionsschluss dieses Buches lag der Referentenentwurf eines Verbandssanktionengesetzes vor, mit dem das im Volksmund sogenannte »Unternehmensstrafrecht« in Deutschland eingeführt werden soll. Damit würde dieser Grundsatz weiter aufgeweicht, der Begriff »Strafe« jedoch vermieden. Der Verbandsbegriff im derzeitigen Gesetzentwurf umfasst alle Arten von juristischen Personen, also auch Vereine, Verbände im engeren Sinne sowie juristische Personen des öffentlichen Rechts. Dazu würden also auch Krankenhäuser, unabhängig von Rechtsform und Trägerschaft, gehören. Auf der Ebene der Sanktionen sind in dem Entwurf die Option der »Verbandsauflösung« enthalten sowie ein öffentliches Verbandssanktionenregister. Bei der Höhe der Verbandssanktion wirken sich Vorkehrungen zur Vermeidung von Verbandstaten, die das Unternehmen im Vorhinein getroffen hat, also insbesondere die nachweisbare Einführung eines wirksamen CMS, zu Gunsten des Unternehmens auf die Bemessung der Geldsanktion aus.

Kernstrafrechtliche Haftungsrisiken bestehen hingegen für die unmittelbar Straftatbegehenden, also denjenigen Mitarbeiter, der persönlich regelwidrig gehandelt hat (z. B. durch Bestechlichkeit und Bestechung) und die nach den Grundsätzen der Beteiligungslehre Mitwirkenden (§§ 25 ff. StGB). Insbesondere durch die strafrechtlichen Zurechnungsmodelle der Mittäterschaft, mittelbaren Täterschaft, Anstiftung und Teilnahme sowie durch das weite Feld der Unterlassungsdelikte mit entsprechender Garantenstellung kraft vertraglich, gesetzlich oder aufgrund von pflichtwidrigem Vorverhalten übernommener Verpflichtung, erfasst der Kreis der Verantwortlichen leicht auch gesetzliche Vertreter, also Vorstand bzw. Geschäftsführer, und weitere Leitungsebenen.

Gerade die Möglichkeit einer Tatbegehung durch Unterlassen aufgrund einer sogenannten Überwachungsgarantenpflicht zur Verhinderung von Straftaten aus dem Unternehmen heraus hat die Rechtsprechung sogar für Compliance-Verantwortliche vereinzelt angenommen. Je nach arbeitsvertraglicher Ausgestaltung, Stellenbeschreibung und vor allem tatsächlicher Übernahme überträgt das Unternehmen nämlich eigene Leitungs- und Kontrollaufgaben als Delegation funktionaler Kompetenz und Herrschaft auf Compliance-Verantwortliche. Zur Last fallen einerseits intern unentdeckte Pflichtverletzungen mit externen Konsequenzen infolge Überwachungsversagens sowie andererseits fortgesetzte Rechtsverstöße des Unternehmens aufgrund unterbliebener Berichte an die Geschäftsleitung.

Daneben bestehen sanktionenrechtliche Risiken aus dem Recht der Ordnungswidrigkeiten für Verantwortungsträger. Im Gegensatz zu der oben beschriebenen strafrechtlichen Handelndenhaftung geht die Individualhaftung aus § 130 OWiG tatbestandlich deutlich weiter. Danach handelt ordnungswidrig, wer als Inhaber eines Unternehmens vorwerfbar Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, wenn eine solche Zuwiderhandlung begangen wird, die eine gehörige Aufsicht verhindert oder wesentlich erschwert hätte.

Zu den nötigen Aufsichtsmaßnahmen gehören die sorgfältige Auswahl, Instruktion, Organisation, Überwachung und Sanktionierung von Mitarbeitern. Unabhängig von Vorsatz oder Fahrlässigkeit begründet bereits der durch einen Mitarbeiter begangene Rechtsverstoß gegen Pflichten des Unternehmensinhabers die Ahndbarkeit eines Vergehens gem. § 130 OWiG. Dabei muss diese Anknüpfungstat nicht einmal unmittelbar mit der Aufsichtspflichtverletzung verknüpft sein, eine nur mittelbare Verbindung über Aufsichtspflichtenketten genügt bereits.

Bei einer juristischen Person ist die Gesellschaft selbst Unternehmensinhaber und damit Pflichtenträger des § 130 OWiG. Da sie als solche aber nicht handlungsfähig ist, trifft die Aufsichtspflicht nach der Zurechnungsnorm des § 9 Abs. 1 Nr. 1 OWiG grundsätzlich das inhaltlich ressortzuständige Leitungsorgan. Auch für die anderen Organe bestehen abgestufte Aufsichtspflichten in Form von Kontroll- oder Überwachungspflichten, ob jedes Leitungsorgan die ihm zugewiesenen Aufgaben tatsächlich erfüllt. Falls und solange allerdings keine eindeutige Aufgabenverteilung innerhalb des Gesamtorgans stattfindet, verbleibt die strafrechtliche Haftung bei allen Organmitgliedern gemeinsam (Grundsatz der Allzuständigkeit jedes einzelnen Organmitglieds). Jeder einzelne ist dann folglich umfassend aufsichtspflichtig.

Je nach konkreter Betriebsorganisation besteht darüber hinaus ein nicht unerhebliches Haftungsrisiko für leitende Angestellte nach § 9 Abs. 2 OWiG, sofern sie mit der eigenverantwortlichen und selbständigen Wahrnehmung von Aufgaben des Betriebsinhabers betraut sind. Ungeklärte Zuständigkeiten führen dabei nicht zu Enthaftungseffekten, sondern – ganz im Gegenteil – zu Haftungsvervielfachungen, wie sie aus dem Modell der Allzuständigkeit in der Krise bekannt sind.

Zwar ist die Geschäftsleitung nicht verpflichtet und auch gar nicht imstande, höchstpersönlich die unmittelbar notwendigen Maßnahmen zu ergreifen, mittelbar muss sie aber ein hierarchisches System etablieren, durch welches rechtmäßiges Handeln sichergestellt wird. Konkreter bedeutet es die Erfüllung der Grundsätze sorgfältiger Personalauswahl, Organisation und Überwachung. Sie hat darauf zu achten, dass die ihr direkt unterstellte Leitungsebene entweder selbst die beschriebenen Anforderungen erfüllt oder ihrerseits durch nachgeordnete Hierarchieebenen erfüllen lässt. Das System muss also jedenfalls in seiner Wirkweise Straftaten und Ordnungswidrigkeiten vermeiden, wobei Kenntnisdefizite nicht entlasten. Falls notwendige Aufsichtsmaßnahmen nicht oder lediglich unzureichend erfolgen, entsteht eine hierarchisch gestaffelte Verletzungskette von Aufsichtspflichten, die letztlich zu einem Pflichtenverstoß und damit zur Geschäftsleitungshaftung nach §§ 130 Abs. 1, 9 Abs. 1 Nr. 1 OWiG führt.

Alle Straftaten und Ordnungswidrigkeiten können Bezugstaten i. S. d. § 130 OWiG bilden. Als Folge drohen hier nach § 130 Abs. 3 S. 1 OWiG Individualgeldbußen für Täter und Teilnehmer von bis zu einer Million Euro, wobei nach § 130 Abs. 3 S. 2, 3 OWiG rechnerisch sogar noch höhere Summen möglich sind.

Zugleich ist auch die Gesellschaft als juristische Person möglicher Adressat von Bußgeldbescheiden nach § 30 OWiG. Als tatbestandlich vorausgesetzte, betriebsbezogene Bezugstaten kommen wiederum die genannten sanktionsbewehrten Verstöße, nun einschließlich § 130 OWiG, in Betracht. Nach § 30 Abs. 2 Nr. 1 OWiG drohen bereits bis zu 10 Millionen Euro Bußgeld, welches wiederum nach § 30 Abs. 2 S. 2, 3 OWiG rechnerisch höher liegen kann. Obendrein ist durch die Verweisung von § 30 Abs. 3 OWiG auf § 17 Abs. 4 OWiG die um ein Vielfaches höhere und insbesondere von süddeutschen Staatsanwaltschaften gerade in der jüngeren Vergangenheit mehrfach in Anspruch genommene Abschöpfungsmöglichkeit zu beachten.

2.1.2 Zivilrechtliche Haftungsrisiken

Haftung im Innenverhältnis gegenüber der Gesellschaft

Zivilrechtliche Haftungsrisiken bestehen auf Leitungsebene beispielsweise nach § 93 Abs. 2 S. 1 AktG oder § 43 Abs. 2 GmbHG, wenn ein Vorstand oder Geschäftsführer seine Sorgfalts- oder Treuepflichten verletzt und der Gesellschaft daraus Schäden erwachsen. Insbesondere trifft die Unternehmensleitung die Pflicht, ausschließlich im Interesse der Gesellschaft zu handeln und sie vor Schäden zu bewahren.

Bei der Wahrnehmung der Pflichten kommt ihr nach den Maßstäben der »Business Judgement Rule« aus § 93 Abs. 1 S. 2 AktG (ggf. analog) ein unternehmerischer Ermessensspielraum zu. Hiernach sind auf der Basis einer ex-ante Betrachtung vernünftige unternehmerische Entscheidungen auf der Grundlage angemessener Informationen zum Wohle der Gesellschaft zu treffen. Dies findet seine Grenze im Legalitätsprinzip als der Kardinalpflicht zu rechtmäßigem Handeln, denn für illegales Verhalten darf es auch im Unternehmen keinen »sicheren Hafen« geben.

Ein eindrucksvolles Beispiel aus jüngerer Vergangenheit für die Bedeutung gesetzestreuen Vorstandsverhaltens bildet das Siemens/Neubürger-Urteil des Landgerichts (LG) München I mit der Verurteilung des ehemaligen Finanzvorstands zu 15 Millionen Euro Schadenersatz wegen Verletzung von Aufsichtspflichten. Laut LG München I muss ein Vorstandsmitglied in der Weise für eine Organisation und Beaufsichtigung im Unternehmen sorgen, dass Gesetzesverletzungen unterbleiben. Erforderlich sind daher Prävention und Ahndung inklusive Abstellung von Verstößen, mithin ein komplett funktionsfähiges CMS. Insbesondere folgt hieraus die Verpflichtung jedes einzelnen Vorstandsmitglieds zu ausreichenden Maßnahmen zur Aufklärung, Untersuchung und Unterbindung von zur Kenntnis gebrachten Gesetzesverletzungen. Die aus gesellschaftsrechtlichen Pflichtverletzungen entstehenden Schäden muss der Vorstand der Gesellschaft erstatten; D&O-Versicherungen greifen aufgrund Vorsatzausschlusses nicht.

Neben die sanktionenrechtliche tritt daher die persönliche zivilrechtliche Haftung von Leitungsorganen. Insbesondere haften sie gegenüber ihrer Gesellschaft für Schäden aus schuldhaften Sorgfaltspflichtverstößen in unbegrenzter Höhe. Die Pflichtverletzungen können aus Verstößen gegen das Legalitätsprinzip und gegen weitere Compliance-Pflichten, insbesondere Aufklärung und Untersuchung, Abstellung und Ahndung von Verstößen, resultieren. Die Schadensbemessung und damit auch die Ersatzpflicht des Geschäftsleitungsmitglieds richtet sich nach den allgemeinen zivilrechtlichen Grundsätzen aus §§ 249 ff. BGB. Für den Schadensumfang werden zwei Vermögenslagen verglichen: die tatsächliche Situation und die fiktive Lage ohne das als schädigend identifizierte Ereignis. Hierbei ergeben sich leicht Millionensummen, weil auch sämtliche Schadensermittlungs- und Feststellungskosten (auch Berater- und Rechtsanwaltskosten) zum ersatzfähigen Schaden gehören.

Da es parallel zum Strafrecht zur Gefahrenabwehr verpflichtende zivilrechtliche Garantenstellungen kraft Verantwortungsübernahme gibt, können auch Compliance-Verantwortliche haftbar sein. Unabhängig von Personen und Verantwortungsebenen kann nämlich jeder Regel- und damit Compliance-Verstoß zur Haftung des Unternehmens führen. Also droht jedem Compliance-Verantwortlichen aufgrund Überwachungs- oder Meldeversagens der freilich arbeitsrechtlich beschränkte Innenregress.

Haftung gegenüber Dritten

Zivilrechtlich haften Unternehmen, Gesellschafter und Leitungsorgane je nach Rechtsform im Außenverhältnis vertraglich und deliktisch beschränkt oder unbeschränkt. Bei Compliance-Verantwortlichen entsprechen sich die Grundlagen strafrechtlicher Verantwortlichkeit und deliktischer Außenhaftung aufgrund wiederum paralleler Garantenpflichten. Dabei können externe Geschädigte Compliance-Verantwortliche in Abhängigkeit von deren Verantwortungsbereich und -spielraum im Wege deliktischer Durchgriffshaftung insbesondere auf Schadensersatz in Anspruch nehmen. Ein vertragliche Außenhaftung scheidet hingegen regelmäßig aus, weil Arbeitsverträge üblicherweise keinen Drittschutzcharakter besitzen.

2.2 Reduzierung von Haftungsrisiken durch ein wirksames CMS

In einer großen Organisation hat ein Vorstand, Geschäftsführer oder auch Compliance Manager nicht die Chance, jeden denkbaren Rechtsverstoß persönlich zu verhindern. Was er jedoch tun kann und sollte, ist ein wirksames CMS einzurichten und zu betreiben. Aus Rechtsprechung und Verwaltung ergeben sich Hinweise zur haftungsreduzierenden Wirkung eines funktionsfähigen CMS.

Die Formulierungen in den Leitsätzen des o. g. Siemens/Neubürger-Urteils aus dem Jahr 2013 lassen den Rückschluss zu, dass das Urteil anders ausgefallen wäre, wenn der Beklagte eigene belastbare Überprüfungen der Funktionsfähigkeit des CMS hätte nachweisen können.

Im Mai 2016 hat das Bundesministerium der Finanzen mit Rundschreiben den Anwendungserlass zu § 153 AO geändert. Hintergrund ist die Unterscheidung zwischen der Berichtigung der Steuererklärung nach § 153 AO und der strafbefreienden Selbstanzeige nach § 371 AO. In dem Rundschreiben heißt es:

»Hat der Steuerpflichtige ein innerbetriebliches Kontrollsystem eingerichtet, das der Erfüllung der steuerlichen Pflichten dient, kann dies ggf. ein Indiz darstellen, das gegen das Vorliegen eines Vorsatzes oder der Leichtfertigkeit sprechen kann, jedoch befreit dies nicht von einer Prüfung des jeweiligen Einzelfalls.«

Damit umreißt auch die Finanzverwaltung ihre Erwartungen an Einrichtung und Wirksamkeit eines CMS in dem Fall eines Tax CMS, und lässt erkennen, dass sich der Nachweis eines funktionierenden Tax CMS bei einem (dennoch auftretenden) steuerlichen Rechtsverstoß strafmindernd auf die gesetzlichen Vertreter auswirkt.

Im Mai 2017 hat der BGH in einem steuerstrafrechtlichen Revisionsverfahren ausdrücklich hervorgehoben, dass bei der Strafzumessung nach § 30 OWiG zu berücksichtigen ist, inwieweit der gesetzliche Vertreter »ein effizientes Compliance-Management installiert hat, das auf die Vermeidung von Rechtsverstößen ausgelegt sein muss«.

Dies sind drei besonders prominente Beispiele einer klar erkennbaren Tendenz in Verwaltung und Rechtsprechung, die ernsthaften Bemühungen der gesetzlichen Vertreter um die Einrichtung eines funktionsfähigen CMS im Fall eines Verstoßes straf- bzw. bußgeldmindernd zu berücksichtigen.

3 Teilschritte zur CMS-Einführung

Auch wenn mit Hilfe der im IDW PS 980 definierten CMS-Grundelemente alle wichtigen Bereiche und Fragestellungen berücksichtigt sind, so empfiehlt sich aus unternehmenspraktischer Perspektive u. a. die frühzeitige Einrichtung der erforderlichen Compliance-Organisation. Auf diese Weise besteht die Möglichkeit, dass ein Systemverantwortlicher, der außerhalb der Geschäftleitung angesiedelt ist, den Prozess der CMS-Einrichtung kontinuierlich vorantreibt und zugleich entscheidende Gestaltungsimpulse gibt.

Neben den Teilschritten, die sich bereits aus den Bezeichnungen der sieben Grundelemente abzeichnen, sollte beispielsweise eine verbindliche Beschreibung des CMS erstellt werden. Außerdem gibt es für einzelne Arbeitsschritte wichtige Kooperationspartner in der internen Organisation.

Die folgende Grafik ( Abb. 3.1) zeigt eine beispielhafte interne Rollenverteilung und Vorgehensreihenfolge bei der CMS-Einführung. Am Anfang jedes Schrittes steht die Bestandsaufnahme bereits vorhandener Elemente, sodass darauf aufgesetzt werden kann.

Wie stets bei Projekten ist es auch hier sinnvoll, das Ziel jedes Meilensteines vorab möglichst konkret zu definieren, damit Folgeschritte erst beginnen, wenn die Grundlagen zuvor tatsächlich gelegt sind. Die Bestellung eines Compliance-Verantwortlichen ermöglicht der Geschäftsleitung, in die Überwachungsfunktion zu wechseln.

Abb. 3.1: Bei der Einrichtung des CMS hilft, im Anschluss an die Bestimmung der Compliance-Kultur zunächst die Compliance-Funktion (Compliance Manager, Compliance Officer o. ä.) zu besetzen. Für die weiteren Schritte ist die dargestellte Reihenfolge empfehlenswert. Die Kommunikation sollte frühzeitig geplant und kontinuierlich umgesetzt werden (grau unterlegter Pfeil).

4 Compliance-Kultur

Der Prüfungsstandard IDW PS 980 stellt die Compliance-Kultur bewusst an den Anfang des Compliance-Verständnisses. Dadurch kommt zum Ausdruck, dass das für die Mitarbeiter wahrnehmbare Reden ebenso wie das sichtbare Handeln des Top Managements unerlässliche Schlüsselfaktoren für die Compliance einer Organisation sind. Im Text des Prüfungsstandards heißt es dazu:

»Die Compliance-Kultur stellt die Grundlage für die Angemessenheit und Wirksamkeit des CMS dar. Sie wird vor allem durch die Grundeinstellungen und Verhaltensweisen des Managements sowie durch die Rolle des Aufsichtsorgans im Sinne des ›tone at and from the top‹ geprägt. Die Compliance-Kultur beeinflusst maßgeblich die Bedeutung, welche die Klinik-Mitarbeiter der Beachtung von Regeln beimessen und damit die Bereitschaft zu regelkonformem Verhalten.«²

4.1 Tone at the top und tone from the top
4.1.1 Vorbildfunktion des Managements

Eine der zentralen Herausforderungen eines CMS der im mittleren Management mit dem Thema »Compliance« in Verbindung stehenden Personen ist die Glaubwürdigkeit des CMS an sich. Der Begriff »Compliance« als solcher ist leider nicht selten missbraucht und dadurch im öffentlichen Bewusstsein diskreditiert worden. Kaum einer der großen Compliance-Skandale ist in einer Organisation aufgekommen, in der nicht zuvor vom Management ein CMS eingerichtet und meist stolz präsentiert worden ist. Das hat zu einem unvermeidlichen Argwohn gegenüber dem Begriff »Compliance« und in der Folge auch gegenüber dem Anliegen der Compliance geführt.

Je ehrlicher und früher dieses Handicap in einem Compliance-Projekt akzeptiert und berücksichtigt wird, desto besser. Wenn der Prüfungsstandard des IDW von »tone at the top« spricht, so ist damit nicht in erster Linie das Reden gemeint (wie der Begriff »tone« vielleicht suggeriert), sondern das Handeln: »Die Compliance-Kultur […] wird vor allem durch […] die Verhaltensweisen des Managements geprägt«, heißt es dort nicht von ungefähr. Dieses Verhalten, also das Handeln des Top-Managements und des Aufsichtsorgans, stellt den »natürlichen Rahmen« dar, in dem sich die Kommunikation, also das Reden, bewegen sollte. Zu Beginn eines Compliance-Projekts unterscheidet sich die Grunddisposition der Belegschaft zu dem Begriff der Compliance vermutlich kaum von der insgesamt kritischen Haltung der Öffentlichkeit. Gleichzeitig jedoch kennt niemand das Handeln des Managements so konkret wie die Belegschaft. Kaum jemals also beginnt ein Compliance-Projekt bei einem imaginären »Nullpunkt« – vielmehr bringen alle Beteiligten, d. h. Mitarbeiter, Compliance-Schaffende und Management, sowohl Erfahrungen als auch persönliche Dispositionen ein.

Deshalb bildet das für die Mitarbeiter wahrnehmbare Verhalten der Klinikleitung in Vergangenheit und Gegenwart die Messlatte des Compliance-Verständnisses. Je klarer das Management über Compliance kommuniziert, umso kritischer vergleichen Mitarbeiter dieses Reden mit den bekannten Handlungen des Managements. Im Falle einer – vielleicht gefühlten – Divergenz von Reden und Handeln entsteht eine Negativ-Dynamik, »Compliance« wird buchstäblich in Gänsefüßchen gesetzt und ist schnell diskreditiert.

Am Beginn eines CMS steht also der tone from the top – und am Beginn des tone from the top steht Ehrlichkeit, insbesondere zu sich selbst.

4.1.2 Compliance-Bekenntnis der Klinikleitung

Parallel zur Bereitschaft, das sichtbare Verhalten des Managements zur Messlatte für Compliance werden zu lassen, ist für die Wahrnehmung der Compliance-Kultur auch ein grundlegendes Bekenntnis der Klinikleitung zu eigenem gesetzes- und regelkonformem Verhalten erforderlich. Zugleich nimmt die Leitungsebene diese Selbstverpflichtung als Grundlage, auch von jedem Mitarbeiter ein kompromissloses Eintreten für Regeltreue einzufordern. Die Erklärung sollte als Kernaussage also eine eindeutige Selbst- und Mitarbeiterverpflichtung zu rechtskonformem, ethischem Verhalten enthalten. Häufig werden hierfür Bezeichnungen wie Grundwerteerklärung, (Compliance-)Leitbild, Compliance-Bekenntnis o. ä. verwendet.

Für diesen ebenfalls unverzichtbaren Compliance-Baustein empfiehlt es sich, frühzeitig Kollegen oder externe Experten mit besonderer Methodenkompetenz in der Kommunikation einzubinden. Denn für diesen wie für zahlreiche weitere Schritte in Sachen Compliance gilt: Es handelt sich ganz wesentlich um Kommunikation. Sie muss von Tonalität und konkreter Umsetzung her zum Haus passen und für die Empfänger plausibel und glaubwürdig sein. Gleichzeitig sind das richtige Timing (Startschuss-/Rollout) und v. a. angemessene Wiederholungsformen erfolgskritisch. Alle internen Kommunikationskanäle, die sich für eine solch bedeutende Kommunikation eignen, sollten genutzt werden; in Frage kommen Intranet und Mails, aber auch Rundschreiben, Aushänge und die Mitarbeiterzeitung. Wiederum spielt das persönliche Auftreten des Klinikmanagements die Schlüsselrolle. Erst wenn die Klinikleitung in unternehmensweit angesetzten Veranstaltungen (Betriebsversammlung, Mitarbeiterversammlung, große Institutsbesprechungen o. ä.) das Thema Compliance persönlich, nachdrücklich, authentisch und damit überzeugend, also möglichst ohne »Manuskript«, besprochen hat, wird glaubhaft, dass Compliance ein persönliches Anliegen des Managements ist.

Wenn sich der Kern einer solchen Erklärung auch nicht verändern sollte, so unterliegen dennoch Tonalität, Kontext und damit auch Wording unternehmensinterner Dokumente stets einem Veränderungs- und Reifeprozess. Deshalb ist zu empfehlen, die Erklärung in größeren Abständen (von 2 bis 3 Jahren) in einer aktualisierten Version herauszugeben.

Um authentisch zu wirken, sollte die Compliance-Erklärung tatsächlich individuell für das Haus und durch das Haus erstellt werden.

Die Glaubwürdigkeit von Compliance hat mit den Menschen zu tun, die in der Wahrnehmung der Mitarbeiter »für Compliance stehen«. Deshalb ist es sinnvoll, auch die hausinternen Verantwortungsträger für das CMS im Rahmen des Compliance-Bekenntnisses vorzustellen und ihre Funktion zu beschreiben.

4.2 Tone at the middle und tone from the middle

Mit welcher Häufigkeit begegnet ein Krankenpfleger, eine MTRA oder ein Koch im Krankenhaus dem Geschäftsführer oder Vorstand direkt? Wie intensiv sind solche Kontakte? Auch ein Geschäftsführer, dem direkter Mitarbeiterkontakt wichtig ist, kann nicht die Führungskraft sein, welche die Mitarbeiter im gewöhnlichen Arbeitsalltag als »Chef« erleben. Es ist das mittlere Management, dem Mitarbeiter tatsächlich kontinuierlich begegnen, das Weisungen gibt und von dem die tatsächliche »Modellfunktion« auch hinsichtlich Einstellungen und Werten ausgeht. Für die große Mehrheit der Beschäftigten eines Krankenhauses wird diese Funktion durch Ärzte und Pflegedienstleitungen ausgefüllt.

Deshalb spielen diese Führungskräfte die Schlüsselrolle für den Transfer des Compliance-Bekenntnisses von der Krankenhausleitung zu jedem einzelnen Mitarbeiter. Auch hier muss das Reden unbedingt mit dem für die Mitarbeiter sichtbaren Handeln der Führungskraft übereinstimmen.

Das bedeutet für die Geschäftsleitung, beides vom mittleren Management einzufordern: Sowohl das persönliche, vorbehaltlose Bekenntnis zu Compliance als auch das aktive Bemühen um Compliance im persönlichen Verantwortungsbereich. Denn Compliance-Verantwortung ist untrennbarer Teil jeder Führungsverantwortung, egal ob diese wie bei der Geschäftsleitung umfassend gilt oder sich wie im mittleren Management nur auf Ausschnitte bezieht.

4.3 Klinikweiter Verhaltenskodex
4.3.1 Formale Gesichtspunkte

Die Selbstverpflichtung des Managements, die sich in einem Compliance-Bekenntnis ausdrückt, sollte in einem zentralen Verhaltenskodex (oder vergleichbarer Name) mit Aufforderungscharakter niedergelegt sein. Dieser Kodex richtet sich direkt an alle Mitarbeiter. Darin wird der Compliance-Anspruch auf wesentlichen Handlungsfeldern eines Krankenhauses konkretisiert.

Unter arbeitsrechtlichen Gesichtspunkten ist eine formale Verpflichtung der Mitarbeiter auf den Verhaltenskodex sinnvoll. Sie verleiht dem Compliance-Anspruch in einer Art und Weise Nachdruck, wie dies bei Beamten durch den Amtseid erfolgt. Falls möglich, bietet sich alternativ der Abschluss einer Betriebsvereinbarung an. Auf diese Weise können auch mitbestimmungspflichtige Sachverhalte (z. B. Wertgrenzen) im Verhaltenskodex behandelt werden.

Der Verhaltenskodex sollte zusammen mit dem Compliance-Bekenntnis der Krankenhausleitung ( Kap. 4.1.2) zentraler Gegenstand der Compliance-Kommunikation sein. Dementsprechend sollten sämtliche dafür geeigneten Kommunikationskanäle zum Startzeitpunkt des CMS auch für den Verhaltenskodex genutzt werden.

Aus den Risikomaßnahmen im Compliance-Risikomanagement ( Kap. 6.6) und im Compliance-Programm ( Kap. 7) leiten sich konkrete Handlungsanforderungen (»To-dos«) für die Führungskräfte ab.

4.3.2 Inhalt

Da der Verhaltenskodex die Grundanforderung der Compliance in der alltäglichen Arbeitswelt der Mitarbeiter anspricht, besteht die Herausforderung, die Balance herzustellen zwischen einer als realistisch und vollständig wahrgenommenen Themenabdeckung einerseits und einem noch lesefreundlichen Gesamtumfang andererseits. Ein Lösungsansatz liegt darin, allgemeinverständliche, übersichtliche und prägnante Regelungen zu formulieren. Dabei empfiehlt es sich, eher Prinzipien und Werte zu benennen, da der Verhaltenskodex nicht den Detaillierungsgrad einer Dienstanweisung haben muss und diesen auch nicht anstreben sollte. Folgende Themen haben sich bewährt:

• Qualität und Sicherheit medizinischer und sonstiger Leistungen

• Persönlichkeitsrechte/Umgang mit Mitarbeitern, Patienten und Dritten, insbesondere Diskriminierungsverbot

• Verbot von Zwangs- und Kinderarbeit

• Arbeitssicherheit

• IT-Sicherheit

• Datenschutz-Grundsätze

• Umgang mit Betriebsgeheimnissen/Vertraulichkeit

• Umgang mit Interessenskonflikten

• Umgang mit Klinikeigentum

• Techniknutzung

• Wettbewerbsteilnahme-Grundsätze/Vergabeverfahren

• Korruption

• Redlichkeitsgrundsätze bei Dokumentation und Buchführung

• Abrechnungsverhalten

• Umweltschutzgrundsätze zur Ressourcenschonung

• Kommunikationsgrundsätze/Umgang mit sozialen Netzwerken

• Ökonomisch sparsamer Umgang mit Ressourcen

• Meldung von Verstößen/Hinweisgebersystem

• Ombudsmann

• CIRS (Critical Incident Reporting System)

• Umgang mit Verstößen

• Ansprechpartner bei Compliance

Dem ersten Punkt »Qualität und Sicherheit medizinischer und sonstiger Leistungen« kommt in dem Gesamtzusammenhang der Themen die überragende Bedeutung zu, denn es handelt sich um die für die Patienten lebenswichtige Kernleistung eines Krankenhauses. Aus einem solchen Compliance-Verstoß können existenzbedrohende Situationen für das Krankenhaus entstehen.

4.4 Messung des Compliance-Kultur-Index

Der Lackmustest der Compliance-Kultur liegt in der Frage, inwieweit Mitarbeiter auf Grund des Compliance-Bekenntnisses des Managements Ziel, Anliegen und Auswirkung von Compliance für sich persönlich akzeptieren und ernst nehmen. Im PS 980 heißt es nicht ohne Grund »Die Compliance-Kultur beeinflusst die Bedeutung, welche die Mitarbeiter des Unternehmens der Beachtung von Regeln beimessen und damit die Bereitschaft zu regelkonformem Verhalten.«³

Deswegen ist es empfehlenswert, den Mitarbeitern Gelegenheit zu geben, in einer Befragung ihre Sicht zum Stand der Compliance zu äußern. Für die Belastbarkeit der Ergebnisse spielt das Vertrauen der Mitarbeiter in die Anonymität der Befragung die Schlüsselrolle. Daher sollte die Befragung außerhalb der technischen Infrastruktur des Krankenhauses erfolgen. Ansonsten rechnet der Mitarbeiter damit, bereits auf Grund seines Logins identifizierbar zu sein. Es kann aus diesem Grund auch sinnvoll sein, die Befragung durch ein externes Institut durchführen zu lassen.

Da die Mitarbeiter Inhalte und Formulierung der gestellten Fragen kennen, besteht kaum Möglichkeit, die Ergebnisse der Befragung anschließend nicht oder nur selektiv intern zu kommunizieren, ohne die Glaubwürdigkeit zu beschädigen. Also ist die Bereitschaft zum offenen Umgang mit den Ergebnissen eine weitere Voraussetzung eines aussagefähigen Compliance-Barometers. Andererseits bietet das Instrument die Chance, besonders konkrete und ehrliche Hinweise für den weiteren Entwicklungsbedarf des CMS zu erhalten.

2 IDW PS 980, Abschnitt 4, Tz 23.

3 IDW PS 980, Abschnitt 4, Tz 23.