Reef Rechtsanwälte Düsseldorf | Compliance-Management-System

In einer zunehmend regulierten Wirtschaftswelt ist Compliance für Unternehmen jeder Größe unverzichtbar geworden. Der Begriff bezeichnet die systematische Einhaltung aller geltenden Gesetze, Verordnungen, behördlichen Vorgaben und unternehmensinternen Richtlinien. Doch Compliance geht weit über bloße Rechtskonformität hinaus: Es geht um die Schaffung einer Kultur der Integrität, um Risikominimierung, Reputationsschutz und die langfristige Sicherung des Unternehmenswertes.

Unternehmen ohne funktionierende Compliance-Management-Systeme (CMS) riskieren:

Millionenschwere Bußgelder (DSGVO bis 20 Mio. €, LkSG bis 8 Mio. €)
Strafrechtliche Konsequenzen für die Geschäftsführung
Persönliche Haftung der Geschäftsleitung
Reputationsschäden und Verlust wichtiger Geschäftsbeziehungen
Ausschluss von öffentlichen Aufträgen für bis zu drei Jahre

Compliance als Geschäftsvoraussetzung: Supplier Codes of Conduct

Ein funktionierendes Compliance-System ist zunehmend eine zwingende Voraussetzung für Aufträge von Großkonzernen und Behörden. Unternehmen wie Telekom, Siemens, EnBW und viele andere fordern von ihren Lieferanten die Einhaltung stringenter Supplier Codes of Conduct. Verstöße können zum sofortigen Auftragsverlust führen.

Persönliche Haftung der Geschäftsführung verschärft

Die persönliche Haftung der Geschäftsführung hat sich in den letzten Jahren dramatisch verschärft:
OLG Nürnberg, Urteil vom 30.03.2022 (Az. 12 U 1520/19): Das Gericht hat erstmals ausdrücklich bestätigt, dass Geschäftsführer verpflichtet sind, ein Compliance-Management-System einzurichten – und bei Verletzung dieser Pflicht persönlich schadensersatzpflichtig werden können. Im entschiedenen Fall wurde der Geschäftsführer zu über 700.000 Euro Schadensersatz verurteilt.
BGH, Urteil vom 23.07.2024 (Az. II ZR 206/22 und II ZR 222/22): Der Bundesgerichtshof hat die Geschäftsführerhaftung weiter verschärft: Die Haftung eines Geschäftsführers endet nicht automatisch mit dem Ausscheiden aus der Geschäftsführung. Wenn die durch die Pflichtverletzung geschaffene Gefahrenlage im Zeitpunkt der Schadensentstehung noch fortbesteht, haftet der ehemalige Geschäftsführer auch für Neugläubigerschäden.
Bei Reef Rechtsanwälte in Düsseldorf unterstützen wir Unternehmen aller Größen und Branchen beim Aufbau, der Implementierung, Schulung und Überprüfung von Compliance-Management-Systemen. Wir verstehen Compliance nicht als bürokratisches Hindernis, sondern als strategischen Geschäftsfaktor, der Wettbewerbsvorteile schafft, Risiken minimiert und die Geschäftsführung von persönlicher Haftung enthaftet.

Rechtliche Definition und Scope

Compliance bezeichnet die regelkonforme und ethische Erfüllung aller rechtlichen, regulatorischen und unternehmensinternen Standards durch ein Unternehmen, seine Organe und Mitarbeiter. Der Begriff umfasst:

Gesetzliche Vorschriften auf nationaler, europäischer und internationaler Ebene
Behördliche Regulierungen und Verwaltungsvorschriften
Interne Richtlinien und Policies des Unternehmens
Ethische Standards und Integritätsvorgaben
Branchenspezifische Standards und Zertifizierungsanforderungen

Die rechtliche Grundlage: Legalitätspflicht nach § 43 GmbHG

Die Geschäftsführung einer GmbH ist nach § 43 Abs. 1 GmbHG (bzw. § 93 AktG für Aktiengesellschaften) verpflichtet, sich rechtstreu zu verhalten und die erforderlichen Organisationsstrukturen zu schaffen, um Gesetzesverstöße zu verhindern. Diese Legalitätspflicht ist die zentrale rechtliche Grundlage für Compliance.

Das OLG Nürnberg führte in seinem wegweisenden Urteil vom 30.03.2022 (Az. 12 U 1520/19) dazu aus:
„Aus der Legalitätspflicht folgt die Verpflichtung des Geschäftsführers zur Einrichtung eines Compliance Management Systems, also zu organisatorischen Vorkehrungen, die die Begehung von Rechtsverstößen durch die Gesellschaft oder deren Mitarbeiter verhindern.“
Das Gericht machte klar: Der Geschäftsführer muss eine interne Organisationsstruktur schaffen, die die Rechtmäßigkeit und Effizienz des Handelns der Gesellschaft gewährleistet. Eine Verletzung dieser Pflicht liegt vor, wenn den Mitarbeitern durch unzureichende Organisation, Anleitung oder Kontrolle Fehlhandlungen ermöglicht oder erleichtert werden.

1. Risikominimierung und Schadensabwehr – Bußgelder in Millionenhöhe

Die gravierendste Motivation für Compliance ist die Vermeidung existenzbedrohender Schäden. Die Zahlen sprechen für sich:
Datenschutz (DSGVO):

Bußgelder bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes (Art. 83 DSGVO)
Im Jahr 2024 verhängten deutsche Aufsichtsbehörden 266 Bußgeldbescheide mit einem Gesamtvolumen von 89,1 Millionen Euro
Höchstes deutsches DSGVO-Bußgeld 2025: 45 Millionen Euro gegen Vodafone wegen unzureichender Kontrollmaßnahmen bei Auftragsverarbeitern und Sicherheitslücken
Europaweit wurden 2024 DSGVO-Bußgelder im Gesamtumfang von 1,2 Milliarden Euro verhängt

Lieferkettensorgfaltspflichtengesetz (LkSG):

Bußgelder bis zu 8 Millionen Euro oder 2% des weltweiten Jahresumsatzes
Ausschluss von öffentlichen Aufträgen für bis zu drei Jahre bei Bußgeldern über 175.000 Euro

Geldwäschegesetz (GwG):

Bußgelder bis zu 100.000 Euro bei leichtfertigen Verstößen
Bis zu 5 Millionen Euro oder 10% des Jahresumsatzes bei vorsätzlichen Verstößen
Verpflichtung zur unverzüglichen Meldung an die Financial Intelligence Unit (FIU)

Aufsichtspflichtverletzung (§ 130 OWiG):

Geldbuße bis zu 1 Million Euro für Unternehmensinhaber bei unterlassener Aufsicht
Erfasst auch Geschäftsführer, die durch unzureichende Überwachung Straftaten oder Ordnungswidrigkeiten von Mitarbeitern ermöglichen

2. Enthaftung der Geschäftsführung – Schutz vor persönlicher Haftung

Ein zentraler Aspekt ist die persönliche Haftung der Geschäftsleitung. Die Rechtsprechung hat hier in den letzten Jahren erheblich verschärft:
OLG Nürnberg, Urteil vom 30.03.2022 (Az. 12 U 1520/19):

Das Gericht verurteilte einen Geschäftsführer zu Schadensersatz in Höhe von über 700.000 Euro, weil er es versäumt hatte, ein funktionierendes Compliance-System einzurichten.
Der Geschäftsführer haftet persönlich gegenüber der Gesellschaft bei unterlassener Einrichtung eines angemessenen CMS.
Die Geschäftsführung muss nicht alle Aufgaben selbst erfüllen, kann diese aber durch geeignete Organisationsstrukturen und Delegation auf Mitarbeiter übertragen.
Durch ein funktionierendes Compliance-Management-System kann sich die Geschäftsführung von persönlicher Haftung enthaften.
Eine bloße Überwachung „unter normalen Umständen“ ist nicht ausreichend – die Geschäftsführung muss sofort eingreifen, wenn sich Anhaltspunkte für Fehlverhalten zeigen.
Die Beweislast liegt beim Geschäftsführer: Er muss darlegen und beweisen, dass er seinen Sorgfaltspflichten nachgekommen ist.

BGH, Urteil vom 23.07.2024 (Az. II ZR 206/22 und II ZR 222/22):

Die Haftung eines Geschäftsführers endet nicht automatisch mit dem Ausscheiden aus der Geschäftsführung.
Wenn die durch die Antragspflichtverletzung geschaffene Gefahrenlage im Zeitpunkt der Schadensentstehung noch fortbesteht, haftet der ehemalige Geschäftsführer auch für Neugläubigerschäden.
Auch der neue Geschäftsführer, der erst zu einem Zeitpunkt sein Amt übernimmt, in dem bereits eine Insolvenzantragspflicht besteht, haftet für hieraus resultierende Schäden.

§ 130 OWiG – Aufsichtspflichtverletzung:

Nach § 130 Abs. 1 OWiG haftet der Inhaber eines Betriebs oder Unternehmens (typischerweise die Geschäftsführung) für Aufsichtspflichtverletzungen, wenn Mitarbeiter Straftaten oder Ordnungswidrigkeiten begehen, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wären.
Geldbuße bis zu 1 Million Euro.
Zu den erforderlichen Aufsichtsmaßnahmen gehören: Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.
Ein funktionierendes Compliance-System kann eine Aufsichtspflichtverletzung entfallen lassen.

3. Voraussetzung für Aufträge von Großkonzernen und Behörden

Ein oft unterschätzter, aber enormer praktischer Druck auf Compliance-Implementierung kommt von Großkonzernen und öffentlichen Auftraggebern. Diese prüfen ihre Lieferanten systematisch auf Compliance-Konformität.
Supplier Code of Conduct:

Großkonzerne fordern von ihren Lieferanten die Unterzeichnung und Einhaltung von Verhaltenskodizes für Lieferanten (Supplier Codes of Conduct):
Telekom: Verhaltenskodex für Lieferanten mit strengen Anforderungen an Antikorruption, Menschenrechte, Umweltschutz, einschließlich LkSG-Anforderungen
EnBW: Supplier Code of Conduct für alle Geschäftspartner mit verbindlichen Nachhaltigkeitsstandards
HGK AG: Detaillierter Supplier Code mit Anforderungen an Compliance, Nachhaltigkeit und Ethik

Konsequenzen bei Verstößen:

Verstöße gegen den Supplier Code werden als „wesentliche Beeinträchtigung des Vertragsverhältnisses“ bewertet und können zu sofortigem Auftragsverlust führen.
Unternehmen ohne funktionierendes Compliance-System können von großen Ausschreibungen ausgeschlossen werden, unabhängig von ihrer fachlichen Kompetenz.
Bei öffentlichen Aufträgen werden Compliance-Anforderungen zunehmend zwingend berücksichtigt.

4. Vertrauen, Reputation und Wettbewerbsvorteile

Compliance ist ein Vertrauensfaktor und schafft messbare Wettbewerbsvorteile:

Kunden und Investoren erwarten ethisches Verhalten und transparente Geschäftsabwicklung.
Talente möchten für Unternehmen arbeiten, die Integrität leben.
Geschäftspartner bevorzugen Unternehmen mit funktionierenden Compliance-Systemen.
Kosteneinsparungen durch Vermeidung von Bußgeldern, Strafverfahren und Reputationsschäden.
Betriebliche Effizienz durch bessere Prozesse und weniger Fehler.

Ein funktionierendes Compliance-System muss die spezifischen Risiken des Unternehmens abdecken. Je nach Branche, Größe und Geschäftstätigkeit sind unterschiedliche Bereiche relevant.

1. Datenschutz und Informationssicherheit (DSGVO, BDSG)

Rechtliche Grundlagen: EU-Datenschutz-Grundverordnung (DSGVO), Bundesdatenschutzgesetz (BDSG)
Kernpflichten:

Datenschutzerklärung und Transparenzpflichten
Verzeichnis von Verarbeitungstätigkeiten (VVT) – Dokumentation aller Datenverarbeitungsprozesse
Datenschutz-Folgenabschätzungen bei riskanten Verarbeitungen
Beschäftigtendatenschutz – sorgfältige Behandlung von Mitarbeiterdaten
Betroffenenrechte (Auskunft, Löschung, Berichtigung)
Technische und organisatorische Maßnahmen (TOM)
Auftragsverarbeiterverträge nach Art. 28 DSGVO

Sanktionen: Bußgelder bis zu 20 Millionen Euro oder 4% des Jahresumsatzes

2. Antikorruptions- und Integritäts-Compliance

Rechtliche Grundlagen: § 299 StGB (Bestechlichkeit und Bestechung im geschäftlichen Verkehr), § 331 ff. StGB (Vorteilsgewährung und Bestechung), UN-Konvention gegen Korruption
Kernpflichten:

Code of Conduct mit klaren Antikorruptionsvorgaben
Geschenke- und Bewirtungsrichtlinien
Interessenskonflikt-Management
Reputational Due Diligence – Screening von Geschäftspartnern
Dokumentation von Beraterverträgen und Vermittlungsverhältnissen

3. Geldwäscheprävention (GwG)

Rechtliche Grundlage: Geldwäschegesetz (GwG)
Kernpflichten:

Risikoanalyse und Risikomanagement
Kundenidentifizierung (KYC – Know Your Customer)
Kontinuierliche Transaktionsüberwachung
Verdachtsmeldungen an die Financial Intelligence Unit (FIU)
Bestellung eines Geldwäschebeauftragten
Mitarbeiterschulungen

Sanktionen: Bußgelder bis zu 5 Millionen Euro oder 10% des Jahresumsatzes

4. Lieferkettensorgfaltspflichtengesetz (LkSG)

Rechtliche Grundlage: Lieferkettensorgfaltspflichtengesetz (LkSG), ab 2023 für Unternehmen ab 3.000 Mitarbeiter, ab 2024 für Unternehmen ab 1.000 Mitarbeiter
Kernpflichten:

Risikoanalyse in der Lieferkette (Menschenrechte, Umweltrisiken)
Präventionsmaßnahmen zur Risikominderung
Abhilfemaßnahmen bei bekannten Verstößen
Beschwerdeverfahren für betroffene Personen
Supplier Code of Conduct – vertragliche Verpflichtung von Lieferanten

Sanktionen: Bußgelder bis zu 8 Millionen Euro oder 2% des Jahresumsatzes

5. Kartellrechtliche Compliance

Rechtliche Grundlagen: § 1 GWB (Kartellverbot), Art. 101 AEUV (EU-Kartellrecht)
Kernpflichten:

Kartellrechtliches Compliance-Programm
Schulung von Mitarbeitern (insbesondere Vertrieb, Einkauf)
Vermeidung von Preisabsprachen, Gebotskartellen, Marktaufteilungen
Kontrolle von Verträgen auf kartellrechtliche Zulässigkeit

Sanktionen: Bußgelder bis zu 10% des weltweiten Umsatzes

6. Arbeitsrecht und Arbeitsschutz

Rechtliche Grundlagen: Arbeitsschutzgesetz (ArbSchG), Arbeitszeitgesetz (ArbZG), Allgemeines Gleichbehandlungsgesetz (AGG), Betriebsverfassungsgesetz (BetrVG)
Kernpflichten:

Einhaltung von Arbeitszeitgesetzen und Mindestlohn
Arbeitssicherheit und Gesundheitsschutz
Diskriminierungsschutz (AGG)
Betriebsvereinbarungen mit Betriebsräten
Mobbing- und Belästigungsprävention

7. ESG-Compliance und Nachhaltigkeit

Rechtliche Grundlagen: Corporate Sustainability Reporting Directive (CSRD), EU-Taxonomie-Verordnung, Deutscher Corporate Governance Code (DCGK)
Kernbereiche:

Environmental (Umwelt): CO₂-Emissionen, Ressourceneffizienz, Biodiversität
Social (Soziales): Arbeitsbedingungen, Diversität, Menschenrechte
Governance (Unternehmensführung): Compliance, Transparenz, Vergütungssysteme
CSRD-Berichtspflicht: Detaillierte Nachhaltigkeitsberichterstattung nach European Sustainability Reporting Standards (ESRS)

8. IT-Sicherheit und Informationssicherheit

Rechtliche Grundlagen: IT-Sicherheitsgesetz (IT-SiG), NIS-2-Richtlinie
Kernpflichten:

ISO 27001 – Information Security Management System
Cybersicherheit (Schutz vor Hacking, Malware, Ransomware)
Cloud-Sicherheit
Identity & Access Management
OT-Security – Sicherheit von Produktionsanlagen in Industrie 4.0

Ein Compliance-Management-System (CMS) ist die strukturierte Gesamtheit aller Maßnahmen, Prozesse und Strukturen, die ein Unternehmen ergreift, um Compliance sicherzustellen.

Die maßgeblichen Standards

IDW PS 980 (neu gefasst 2022):
Der IDW Prüfungsstandard 980 ist der in Deutschland führende Standard für die Prüfung von Compliance-Management-Systemen. Er wurde vom Institut der Wirtschaftsprüfer (IDW) entwickelt und 2022 umfassend überarbeitet:

Beschreibt sieben Grundelemente eines CMS
Bietet Rahmenwerk für die Prüfung durch Wirtschaftsprüfer
Drei Auftragstypen: Angemessenheitsprüfung und Wirksamkeitsprüfung (Konzeptionsprüfung entfiel 2022)
Berücksichtigt internationale Standards (ISAE 3000 Revised)

ISO 37301 (veröffentlicht 2021):
Die ISO 37301 ist eine internationale Norm, die Anforderungen an Compliance-Management-Systeme festlegt:

Ersetzt die ISO 19600
International zertifizierbar
Umfasst 10 Kapitel nach der Harmonized Structure (High Level Structure)
Fokus auf Compliance-Kultur, Top-Management-Commitment und kontinuierliche Verbesserung (PDCA-Zyklus)
Besondere Anforderungen an Hinweisgebersysteme und Untersuchungsprozesse

Die 8 Elemente eines funktionierenden CMS

Nach IDW PS 980 und ISO 37301 besteht ein effektives CMS aus folgenden Elementen:

1. Compliance-Kultur und Tone from the Top

Das Fundament jedes CMS ist eine Kultur der Integrität, die von der Unternehmensleitung vorgelebt wird:

Klare Unternehmenswerte: Definition von Integrität, Vertrauenswürdigkeit und ethischen Standards
Vorgelebung durch die Geschäftsführung: Was das Management predigt, muss es auch praktizieren („Tone from the Top“)
Offene Kommunikation: Mitarbeiter müssen Compliance-Bedenken äußern können, ohne Angst vor Repressalien
Regelmäßige Kommunikation der Wichtigkeit von Compliance durch die Geschäftsleitung

ISO 37301 betont besonders: Die Compliance-Kultur muss vom obersten Organ (Vorstand, Geschäftsführung) etabliert und gefördert werden.

2. Risikoanalyse und Risikoidentifikation

Ein CMS muss auf den spezifischen Risiken des Unternehmens basieren:

Compliance-Verpflichtungen identifizieren: Welche Gesetze und Vorschriften sind anwendbar?
Compliance-Risiken bewerten: Welche Geschäftsbereiche und Prozesse sind besonders risikobehaftet?
Risikolevel bestimmen: Kritisch, hoch, mittel, niedrig
Regelmäßige Aktualisierung: Mindestens jährlich

ISO 37301 verweist auf ISO 31000 (Risikomanagement) und IEC 31010 (Risikobeurteilungstechniken) für detaillierte Empfehlungen.

3. Compliance-Ziele und Scope

Das Unternehmen muss klar definieren, was unter „Compliance“ zu verstehen ist:

Zieldefinition: „Unser Unternehmen wird sich rechtstreu verhalten in den Bereichen X, Y, Z“
Unternehmensbereiche: Welche Bereiche werden einbezogen?
SMART-Ziele: Specific, Measurable, Achievable, Relevant, Time-bound
Dokumentation: In einer Geschäftsführungsentschließung oder einem Vorstandsbeschluss

4. Organisation und Verantwortlichkeiten

Ein funktionierendes CMS benötigt klare Organisationsstrukturen:
Compliance Officer / Head of Compliance:

Zentrale Ansprechperson für alle Compliance-Angelegenheiten
Direkte Berichtslinie zur Geschäftsführung oder zum Aufsichtsrat
Unabhängigkeit von operativen Zielen
Ausreichende Ressourcen (Budget, Personal)

Verantwortung der Geschäftsführung:

Die Geschäftsführung trägt die Gesamtverantwortung
Sie kann Aufgaben delegieren, aber nicht die Verantwortung
Wandlung in Auswahl- und Überwachungspflichten bei Delegation

ISO 37301 fordert eine klare Compliance-Funktion mit definierten Befugnissen und Unabhängigkeit.

5. Policies und Procedures (Regeln und Verfahren)

Regeln müssen schriftlich festgelegt und für alle Mitarbeiter zugänglich und verständlich sein:
Zentrale Policies:

Code of Conduct – Grundlegende ethische und Verhaltensregeln
Antikorruptionsrichtlinie
Datenschutz-Richtlinie
Kartellrechtliche Compliance-Richtlinie
Lieferanten-Compliance-Richtlinie
Geldwäschepräventions-Richtlinie
Sanktionen und Disziplinarmaßnahmen

Verfahrensanweisungen sollten festlegen:

Wer darf was genehmigen? (Vieraugenprinzip, Limits)
Wie werden Entscheidungen dokumentiert?
Welche Eskalationswege gibt es?

6. Kommunikation und Schulung

Schulungen sind essentiell, damit Mitarbeiter Compliance-Anforderungen verstehen:
Schulungskonzept:

Alle-Mitarbeiter-Schulungen: Code of Conduct, Antikorruption, Datenschutz
Spezialschulungen: Für Risikogruppen (Einkauf, Vertrieb, Finance)
Neue Mitarbeiter: Onboarding-Schulungen
Auffrischungsschulungen: Mindestens jährlich
E-Learning-Plattformen: Flexible Durchführung und Dokumentation

Effektivität überprüfen:

Tests und Quizze nach Schulungen
Überprüfung der Schulungsergebnisse
Verhaltensbeobachtung

ISO 37301 fordert in Abschnitt 7.2 detaillierte Anforderungen an Kompetenz und Schulung.

7. Überwachung und Kontrolle (Monitoring)

Regelmäßige Kontrollmechanismen müssen etabliert werden:
Arten von Kontrollen:

Operative Kontrollen: Im laufenden Betrieb (Vieraugenprinzip, Freigabeprozesse)
Detektive Kontrollen: Stichprobenüberprüfungen, automatisierte Alerts
Interne Audits: Systematische Überprüfung von Bereichen
Compliance-Tests: Validierung einzelner Prozesse
Key-Performance-Indikatoren (KPIs)

IDW PS 980 unterscheidet zwischen Angemessenheitsprüfung (ist das System richtig konzipiert?) und Wirksamkeitsprüfung (funktioniert das System tatsächlich?).

8. Hinweisgebersysteme (Whistleblowing)

Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab 50 Mitarbeitern zur Einrichtung eines internen Meldesystems:
Anforderungen:

Interne Meldestelle: Compliance Officer oder Ombudsmann
Anonyme Meldung: Mitarbeiter müssen anonym melden können
Schutz vor Repressalien: Klare Zusicherung
Rückmeldungsfrist: Innerhalb von 7 Tagen Eingangsbestätigung
Abschlussmitteilung: Innerhalb von 3 Monaten

ISO 37301 widmet dem Hinweisgebersystem einen eigenen Abschnitt (Abschnitt 8.3 „Äußern von Bedenken“) und fordert zusätzlich Untersuchungsprozesse (Abschnitt 8.4).

Kleine und mittelständische Unternehmen (KMU) können oft nicht die Ressourcen eines Großkonzerns aufbringen. Die DIN SPEC 91524 bietet einen pragmatischen Leitfaden speziell für KMU.

Kernmerkmale:

Vereinfachte Ansätze: Nicht alle Komplexität, die für DAX-Konzerne nötig ist
Selbst-Check: Ein Tool mit 30 Fragen zur Risikoidentifikation
Pragmatische Maßnahmen: Fokus auf die größten Risiken
Kosteneffiziente Lösungen: Keine teuren IT-Systeme, wenn einfache Excel-Tabellen ausreichen

Die Kernidee: Auch mit begrenzten Ressourcen können KMUs funktionierende CMS aufbauen – es muss nur risikoadaptiert und proportional sein.

Die DIN SPEC 91524 wurde im Mai 2025 veröffentlicht und entstand aus dem Projekt „MiCo“ (Empirische Entwicklung und Prüfung eines Compliance-Standards für den Mittelstand).

Mitarbeiter | Reef Rechtsanwälte Düsseldorf

Ein wesentlicher Bestandteil der Compliance-Überwachung sind regelmäßige Compliance-Audits.

Was ist ein Compliance-Audit?

Ein Compliance-Audit ist eine unabhängige, systematische Überprüfung, ob ein Unternehmen alle geltenden Gesetze, Verordnungen und internen Richtlinien einhält:

Unabhängig: Durchgeführt von Personen ohne operative Verantwortung
Systematisch: Nach Checklisten und definierten Verfahren
Umfassend: Abdeckung aller relevanten Bereiche
Dokumentiert: Mit schriftlichen Findings und Empfehlungen

Der Ablauf eines Compliance-Audits

Schritt 1: Planung und Vorbereitung

Festlegung des Audit-Umfangs
Ressourcenplanung
Information der beteiligten Mitarbeiter

Schritt 2: Dokumentenprüfung

Sichtung von Policies, Prozeduren und Richtlinien
Review von Verträgen und Genehmigungen
Prüfung von Schulungsunterlagen

Schritt 3: Vor-Ort-Prüfung und Interviews

Besichtigung der Betriebsstätten
Interviews mit Mitarbeitern
Beobachtung von Prozessen
Kontrolle der Kontrollen: Funktionieren die Kontrollen tatsächlich?

Schritt 4: Bewertung und Feststellungsbericht

Dokumentation von Findings
Risikobewertung (kritisch, hoch, mittel, niedrig)
Ursachenanalyse
Konkrete Empfehlungen

Schritt 5: Follow-Up

Nachverfolgung der Umsetzung
Validierung der Wirksamkeit

Wirksamkeitsprüfung nach IDW PS 980

Die Wirksamkeitsprüfung ist die höchste Stufe der Compliance-Prüfung:

Belegt, dass ein CMS nicht nur existiert, sondern tatsächlich wirksam umgesetzt und gelebt wird
Entscheidender Faktor bei Betriebsprüfungserleichterungen und Haftungsfragen
Bußgeldreduzierungsfaktor: Ein funktionierendes CMS kann Bußgelder um bis zu 50% senken

Die Implementierung und Optimierung eines Compliance-Management-Systems erfordert rechtliche Expertise, Prozess-Know-how und praktische Erfahrung. Bei Reef Rechtsanwälte in Düsseldorf unterstützen wir Unternehmen in allen Aspekten.

Unsere Services

Aufbau von Compliance-Management-Systemen:

Compliance-Risikoanalyse nach IDW PS 980 und ISO 37301
Aufbau von CMS von Grund auf oder Optimierung bestehender Systeme
Anpassung an DIN SPEC 91524 für KMUs
Policy-Entwicklung und Harmonisierung
Implementierung nach branchenspezifischen Standards

Schulung und Training:

Entwicklung maßgeschneiderter Schulungskonzepte
Durchführung von Compliance-Schulungen (Präsenz und E-Learning)
Spezialschulungen für Risikogruppen
Management-Schulungen zur Enthaftung

Audit und Compliance-Überprüfung:

Interne Compliance-Audits
Vorbereitung auf externe Audits nach IDW PS 980
Gap-Analysen und Schwachstellenidentifikation
Wirksamkeitsprüfung bestehender CMS
Regelmäßiges Compliance-Monitoring

Spezial-Compliance-Bereiche:

Datenschutz-Compliance (DSGVO, BDSG): Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen
Antikorruptions-Compliance: Code of Conduct, Reputational Due Diligence
Geldwäscheprävention (GwG): Risikoanalysen, KYC-Prozesse
Lieferketten-Compliance (LkSG): Supplier Codes of Conduct, Lieferanten-Audits
Kartellrechtliche Compliance: Schulungen, kartellrechtliche Kontrollen
ESG-Compliance: Integration von Nachhaltigkeit und ESG-Kriterien, CSRD-Berichterstattung
Zollrecht und Exportkontrolle: Sanktionsprüfung, Compliance-Systeme
IT-Sicherheit und ISO 27001

Hinweisgebersysteme:

Implementierung anonymer Meldekanäle nach HinSchG
Ombudsmann-Dienstleistungen
Untersuchung von Compliance-Vorfällen

Geschäftsführer-Enthaftung:

Beratung zur Minimierung persönlicher Haftungsrisiken
Dokumentation von Compliance-Maßnahmen zur Enthaftung
Verteidigung bei Schadensersatzforderungen

Unser Ansatz

Bei Reef Rechtsanwälte verbinden wir hohe fachliche Expertise mit pragmatischem Business-Verständnis:

Nicht dogmatisch: Wir sehen Compliance als gelebte Praxis, nicht als akademisches Konzept
Risikoadaptiert: Wir konzentrieren uns auf die echten Risiken Ihres Unternehmens
Ressourcenrealistisch: Wir schaffen CMS, die mit Ihren verfügbaren Ressourcen funktionieren
Langfristige Partnerschaft: Wir begleiten Sie nicht nur bei der Implementierung, sondern auch bei der laufenden Optimierung
Menschlich, kreativ, effektiv: Mit New-Work-Mentalität und echtem Unternehmer-Geist

Compliance

Warum ein funktionierendes Compliance-Management-System heute unverzichtbar ist.