Die vergangenen Skandale deutscher Großunternehmen haben die Debatte um die zuverlässige Einhaltung vorgeschriebener Compliance-Richtlinien wieder voll in Gang gebracht. Nachdem bereits in den USA Betrugsskandale zu scharfen Reglementierungen – Sarbanes-Oxley Act und Basel II – geführt haben, wird nun auch in Europa wieder verstärkt über die Einhaltung rechtlicher Vorschriften und die Selbstverpflichtung der Unternehmen diskutiert.
Im Unternehmensbereich bedeutet Compliance die Sicherstellung und Überwachung der Einhaltung von gesetzlichen Vorgaben ebenso wie die Selbstverpflichtung der Unternehmen, eigene Regeln einzuhalten. Diese sind in vielen Fällen an die ethischen Leitfäden des Unternehmens gebunden und können auch von Anteilseignern oder dem Aufsichtsrat der Firma aufgestellt werden. Diese Regeln sollen den Missbrauch von vertraulichen Daten und daraus folgenden möglichen Schadensersatzklagen ebenso wie ein Imageschaden des Unternehmens abwehren.
Die meisten Großunternehmen haben heute eigene Abteilungen und Compliance-Manager, die die Einhaltung aller Vorgaben überwachen. So viel zu den theoretischen Grundlagen der Compliance. Dass Konzerne solche Selbstverpflichtungen zwar eingegangen sind, sie aber zum Teil nicht eingehalten haben, zeigten vor allem die Bilanzskandale der amerikanischen Großunternehmen Enron und Worldcom vor einigen Jahren.
Hier reagierte die US-Justiz 2002 mit dem Sarbanes-Oxley Act, der die verlässliche und wahrheitsgetreue Berichterstattung der Unternehmen garantieren sollte und die Strafvorschriften für Vergehen wesentlich verschärfte. CEOs und CFOs haften seit Inkrafttreten persönlich für fehlerhafte oder geschönte Bilanzen. Ziel dieser Verordnungen ist es, das Vertrauen der Anleger und der Öffentlichkeit in die Richtigkeit der veröffentlichten Finanzdaten zu stärken.
Anforderungen
Auch in Europa wurden Finanzunternehmen in den letzten Jahren mit juristischen Mitteln verstärkt unter Druck gesetzt. Das Mammut-Regelwerk Basel II gilt seit 2007 für alle Kreditinstitute und Finanzdienstleister. Basel II setzt neben einer Mindestanforderung an Eigenkapital auf den bankenaufsichtlichen Überwachungsprozess und eine Erweiterung der Offenlegung. Bei der Erfassung von Risiken muss dabei auch das operative Risiko der Banken durch interne Verfahren, Mitarbeiter, Systeme oder bankinterne Ereignisse einbezogen werden.
Weltweit gibt es immerhin mehr als 10.000 Compliance-Vorschriften, von denen viele von weltweit operierenden Unternehmen beachtet werden müssen. Trotz der verschärften Bestimmungen haben erneute Datenskandale und Schmiergeldaffären bei renommierten deutschen Unternehmen das Image und die Glaubwürdigkeit dieser stark geschädigt. So ist es nicht verwunderlich, dass damit einhergehend auch die Diskussion um zuverlässige Compliance-Lösungen neu entflammt ist.
Die Frage der richtigen Umsetzung stellt sich großen wie mittelständischen Unternehmen gleichermaßen. Während Großunternehmen über ganze Compliance-Abteilungen verfügen, ist bei Mittelständlern oft der Geschäftsführer selbst für die Einhaltung bestimmter Verhaltenskodizes verantwortlich. Doch gleich, wie viele Mitarbeiter und Abteilungen das Unternehmen umfasst – Prozesse und Informationen müssen für alle Beteiligten transparent sein. Ebenso muss eine zuverlässige Archivierung der Daten garantiert werden und dies alles unter Berücksichtigung der aktuellsten, höchstmöglichen Sicherheitsstandards. Um diese Vorgaben zu erfüllen, gilt es einige grundsätzliche Aspekte zu beachten: Zunächst muss in allen Bereichen des Unternehmens eine gezielte Analyse der möglichen Risiken durchgeführt werden. Durch ein solches systematisches Risikomanagement können eventuelle Gefahrenpotenziale von vorneherein entdeckt und gegebenenfalls eliminiert werden.
Verantwortlichkeiten
Es ist darauf zu achten, dass interne Richtlinien in einer Weise formuliert und vorgegeben werden, die es realistisch möglich machen, diese auch zu befolgen. Ein weiterer wichtiger Aspekt bei der Initiierung eines Compliance-Programms ist die Frage der Verantwortlichkeiten. Um spätere Missverständnisse und unnötige Diskussionen zu vermeiden, sollte daher zu Beginn entschieden werden, welche Bereiche genau welchem Mitarbeiter unterstehen.
Dazu gehört es natürlich auch, den Mitarbeitern einen geeigneten Ansprechpartner im Falle einer Beschwerde zur Verfügung zu stellen. Beim sogenannten „whistleblowing“ nutzen viele große Unternehmen mittlerweile externe Dienstleister, die über spezielle Internetseiten oder Hotlines, Informationen und Hinweise der Mitarbeiter über Verstöße sammeln und beurteilen.
Die Seiten informieren die Mitarbeiter ebenfalls darüber, in welchen Fällen eine offizielle Beschwerde angemessen ist, wie sie sich verhalten sollen und welche Risiken damit einhergehen können. Wobei man den englischen Rechtsbegriff des „whistleblowing“ nicht mit dem umgangssprachlich abwertenden „jemanden verpfeifen“ übersetzen darf. Hier geht es vielmehr um eine Person, die aus Gewissensgründen und meist selbstlos Informationen weitergibt. Oft setzt sie damit die eigene soziale und berufliche Stellung aufs Spiel.
In Großbritannien und den USA gibt es bereits Gesetzgebungen die „Whistleblower“ schützen. Eine weitere organisatorische Maßnahme ist die Errichtung von „Chinese Walls“. Sie zielt auf die räumliche Trennung von kritischen Geschäftsbereichen und deren Mitarbeitern von anderen Abteilungen ab, sodass sensible Daten nicht Bestandteil des allgemeinen Büroklatsches werden.
Lückenlose Dokumentation
Neben dem Erkennen organisatorischer Risiken ist die oberste und wichtigste Vorgabe, um Compliance-Verstöße zu verhindern, eine lückenlose Dokumentation aller Prozesse und Vorgänge. Sie ist nicht nur bei der Aufdeckung von Unregelmäßigkeiten extrem wichtig – die aktuellen Bestimmungen fordern Transparenz in allen Bereichen. Vor allem die IT-Abteilungen von Banken und Finanzdienstleistern stehen hier vor einer besonderen Herausforderung. Für sie bedeutet die Flut von Vorschriften eine zunehmende restriktive Belastung.
IT-Verantwortliche in deutschen Unternehmen unterliegen einem wachsenden Arbeitsaufwand durch die Einhaltung von Gesetzen, Vorgaben und freiwilligen Kodizes. Die im Juni 2008 in Kraft getretene EuroSOX-Regelung, die sich an die US-amerikanischen Gesetze anlehnt, wird diese Entwicklung noch weiter verschärfen. Geregelt wird durch das Gesetz der Europäischen Kommission vor allem die Verwaltung von Dokumenten, insbesondere interne und externe Verträge ebenso wie eine revisionssichere Archivierung.
IT-gestützte Compliance-Systeme sollten im Idealfall im Hintergrund agieren, also automatisierte Prozesse darstellen, die von den Mitarbeitern nicht zusätzlich beachtet oder bearbeitet werden müssen. Im Falle der Archivierung hieße dies beispielsweise, dass Protokolle oder Dokumente automatisch vom System archiviert und entsprechend abgelegt werden, ohne eines weiteren Handlungsschritts der Bearbeiter zu bedürfen.
Bei der Implementierung heißt es jedoch, Vorsicht walten lassen. Es sollte seitens der IT-Abteilung darauf geachtet werden, dass nicht wahllos archiviert wird. Speicherplatz ist zwar ein billiges Gut, doch das Prinzip „store everything, manage nothing“ kann im Bedarfsfall die Suche nach den richtigen Dokumenten fast unmöglich machen. Müssen Dokumente gar im Zuge eines Gerichtsverfahrens vorgelegt werden, können die Konsequenzen gravierend sein. Eine klare Strukturierung und Priorisierung der Daten sollte daher die Basis jedes IT-gestützten Compliance-Programms sein.
Fazit
Für viele Finanzdienstleister stehen die Compliance-Vorgaben in direktem Widerspruch zum wirtschaftlichen Erfolg und der Notwendigkeit, offensiv neue Geschäftsbereiche zu erschließen. Hinzu kommt, dass viele der Kernbankensysteme im Vergleich zur heutigen Entwicklung der IT veraltet und schwerfällig sind. Eine komplett neue IT-gestützte Struktur wäre für einen Großteil der Finanzdienstleister enorm kostenaufwendig und ein zu hohes Risiko. So wird in den meisten Fällen die notwendige Compliance-Struktur um das bestehende System herumgebaut. Oft bringt dies zusätzliche technische Probleme mit sich, da eine reibungslose Zusammenführung unterschiedlicher IT-Strukturen eine enorme technische Herausforderung darstellt.
Eine wirkliche Lösung für dieses heikle Dilemma scheint es nur bedingt zu geben. Sie ist eine Frage der Einstellung. Immer mehr Unternehmen beginnen die Compliance-Frage und den IT-Rattenschwanz, den das Ganze nach sich zieht, als Chance zur Umstrukturierung zu betrachten und in diesem Zusammenhang veraltete Systeme abzubauen und das Potenzial neuer Synergien und Geschäftsbereiche zu erforschen. IT-gestützte Prozesse haben in den letzten Jahren bereits zu einer massiven Steigerung der Effizienz geführt. Warum also diese Möglichkeiten nicht im Zuge eines neu implementierten Compliance-Programms nutzen?
Eine Herausforderung ist dies ohne Zweifel, und sie erfordert Entscheider mit Visionen und Mut zum Risiko. Doch ob Vorstand oder Geschäftsführung diesen Schritt wagt oder nicht, die Compliance-Thematik wird in jedem Falle nicht ignoriert werden können. Sinnvoll ist es hier, den Medien-Hype um Regelberge und bestehende Unternehmensskandale zu relativieren und eine individuelle Lösung zu finden, die sich an die Struktur und Mitarbeiter des eigenen Unternehmens anpassen kann. (mje)