Management

Compliance-Systeme: Vor Schaden bewahren

Wirecard, Schmiergelder, Rückrufe – regelmäßig wird die Öffentlichkeit von Skandalen und Pannen aus der Wirtschaft aufgeschreckt. Unabhängig davon, ob Profitgier oder Nachlässigkeit die Ursachen sind, in allen Fällen liegt eine Serie teurer Verstöße gegen Recht und Normen vor. Genau hier beginnt die Arbeit von Karsten Büll, Leiter der Abteilung Compliance & Fraud (wörtlich: „Regeltreue und Betrug“) bei der Bank für Sozialwirtschaft (BFS). Im Trendinfo-Interview erläutert der Experte, was hinter dieser sperrigen Bezeichnung steht und wie Compliance-Maßnahmen zur erfolgreichen Unternehmensführung beitragen.

Trendinfo: Herr Büll, Compliance meint im Alltag die Therapietreue von Patienten. Was bedeutet der Begriff in der Unternehmenspraxis?

Karsten Büll: In beiden Bereichen geht es um regelkonformes Verhalten. Mal zum Wohl des Patienten, mal zum Vorteil des Unternehmens. Doch wir alle wissen, wie schwer es manchmal ist, sich genau daran zu halten.

Das Unternehmen benötigt daher ein Compliance-Management-System (CMS). Es spürt fehlerhafte Strukturen, fehlende Verantwortlichkeiten und Einzelkontrollen auf. Das geschieht nur dort, wo erhebliche Schäden drohen, und sollte kein Selbstzweck sein.

Welches sind häufige Compliance-Verstöße in der betrieblichen Praxis?

In meinem Berufsfeld mit seiner hohen Regulatorik im Finanzwesen spielen Verstöße gegen Verordnungen, Richtlinien, Gesetze und Verlautbarungen der EU, Deutschlands und der Aufsichtsbehörden eine große Rolle. Solche Verstöße sind nur selten medienwirksam. Sie schleichen sich eher unbewusst oder fahrlässig in das Unternehmen ein und werden in den seltensten Fällen vorsätzlich begangen. Da hört man dann oft Sätze wie: „Das ist uns irgendwie durchgegangen“ oder „Wie konnte uns das passieren?“

Wie oft ist im Betrug im Spiel?

Manchmal gilt es vorsätzlichem Betrug auf die Schliche zu kommen. Dabei rücken auch die eigenen Mitarbeiter in den Fokus. Die Delikte reichen von Arbeitszeitbetrug über frisierte Reisekosten bis zum Missbrauch von Budgetkompetenz und zu Scheinrechnungen zu Lasten des Unternehmens.

Inwieweit unterliegen auch Fragen von Glaubwürdigkeit und Unternehmensimage der Compliance-Regelung? 

Harte Gesetze werden zunehmend durch freiwillige Selbstverpflichtungen ergänzt. Denn nicht alles, was legal ist, ist auch legitim. So kann ein Verhalten, das nach gängiger Wertvorstellung gegen das Allgemeinwohl verstößt, dem Unternehmen beträchtlichen Schaden zufügen. Man denke nur an die Diskussionen um Steuersitz und Lieferketten. Beschwerdesysteme und eigene Social-Media-Kanäle geben gute Hinweise auf Verstöße.

Vor allem in inhabergeführten Unternehmen gibt es Vorbehalte gegenüber Compliance-Systemen. Frei nach der Devise mancher Chefs: „Niemand kennt mein Unternehmen so gut wie ich.“ Ist denn diese Sichtweise so falsch?

Solche Meinungen mag es noch geben; zumal Compliance eine noch sehr junge Disziplin ist. Neben dem „alten“ Chef gibt es auch die Revision, die ja ebenfalls prüfen soll. Ab einer gewissen Unternehmensgröße ist diese Sichtweise jedoch falsch. Um internes Beharrungsvermögen aufzubrechen, kann es sich lohnen, eine kleine und unabhängige Instanz aufzubauen, die als kritischer Gegenspieler auch mal Fragen stellt, die wehtun.

Corporate Compliance wird häufig als Thema für Großunternehmen verstanden. Warum sollten sich kleine und mittlere Unternehmen aus der Sozialwirtschaft damit beschäftigten?

Spektakuläre Skandale großer Unternehmen sind natürlich immer medienwirksam, da es oft um Milliardensummen und zahlreiche Betroffene geht. Diese Unternehmen halten so etwas tatsächlich irgendwie aus, man denke nur an Volkswagen, ADAC und FIFA. Kleineren und mittleren Unternehmen hingegen kann ein relevanter Schaden die Existenz kosten. Es geht ja weniger um große Compliance-Apparate, sondern um ein System im Unternehmen und eine verantwortliche Person, die sich um diese Themenstellungen kümmert.

Was bedeutet das konkret?

Auch für kleinere und mittlere Unternehmen kann es lohnend sein, sich bewusst zu machen, welche Regularien und Normen überhaupt für sie anwendbar sind und wie kritisch ein Verstoß werden könnte, sei es monetär oder reputativ. Man nehme nur einmal die IT- und Cyber-Risiken, die wegen der zunehmenden Digitalisierung große Bedeutung gewinnen. Auch hier ist ein zweiter Blick auf die wichtigsten Risiken sinnvoll. Compliance ist im Kern nichts anderes.

Die nächste spannende Frage ist: Wer im Haus kümmert sich primär um die High-Risk-Anforderungen, ist für die operative Ausgestaltung und für einen sicheren Ablauf zuständig? Allein hierdurch gewinnt man sehr interessante Erkenntnisse über interne Unternehmensprozesse.

Was sind die besonderen Compliance-Anforderungen für Non-Profit-Organisationen (NPO)?

Neben denn „harten“ Anforderungen etwa des Arbeits-, Steuer- und Zivilrechts leben viele NPO vom Vertrauen in der Gesellschaft. Eine solche Organisation darf sich keinen wesentlichen Compliance-Vorfall zuschulden kommen lassen, der schlimmstenfalls auch noch in Zusammenhang mit Betrug oder Untreue steht. Und wer sich etwa für fairen Handel in der Welt einsetzt, sollte darauf achten, selbst nicht billig in Niedriglohnländern einzukaufen.

Kleinere Unternehmen können sich keine aufwändige Compliance-Abteilung leisten. Wie können sie dennoch eine effiziente Organisation der Regeltreue aufbauen?

Hier stolpere ich schon über das Wort „Abteilung“ – so etwas muss nicht sein. Man sollte die Compliance-Kultur und das CMS langsam und schrittweise aufzubauen, zum Beispiel mit einem Werkstudierenden oder jungen Absolvent*innen einer Hochschule vor Ort. Alternativ kann man auch einen Mitarbeitenden neben seinem eigentlichen Job zum „Compliance-Officer“ ernennen. Eine weitere Möglichkeit besteht darin, eine Arbeitsgruppe aus verschiedenen Unternehmensbereichen einzurichten, die sich strukturiert mit Compliance-Themen beschäftigt. Auch hier gilt es, einen Hauptverantwortlichen zu benennen.

Welche Unterstützung kann die BFS leisten?

Aufgrund der schon angesprochenen Regulatorik sind Banken seit Jahren verpflichtet, verschiedene Compliance-Systeme vorzuhalten. Aktuell werden sie zunehmend verzahnt. Neben der klassischen rechtlichen Compliance-Funktion zählen hierzu Geldwäsche- und Betrugsprävention, Informationssicherheit, Notfall-Management und Dienstleister-Compliance. Wir als BFS stehen hier gerne als Ansprechpartner für unsere Kunden zu Verfügung.

Regeltreue und Ehrlichkeit lassen sich nicht mal eben verordnen. Wie sehr müssen diese Maximen zur gelebten Haltung werden?

Ein ganz wichtiger Punkt jedes wirksamen CMS ist der so genannte „Tone-from-the-top“: Wie erst meint es Unternehmensleitung damit, wie sehr liegt ihr an wirklicher Transparenz? Wenn es vorher noch keine Fehlerkultur gab, wird sich das mit ehrlicher Compliance ändern müssen. Eine solche Haltung muss jedoch von allen relevanten Instanzen gefördert und gelebt werden. So etwas lässt sich nicht durch das Umlegen eines Schalters anstoßen. Das braucht seine Zeit.

Herr Büll, vielen Dank für das Gespräch!

Karsten Büll (47) ist Dipl. Wirtschaftsjurist und leitet seit 2012 die Abteilung „Compliance & Fraud bei der Bank für Sozialwirtschaft. Er ist Mitorganisator im Frankfurter Arbeitskreis „Governance & Compliance“ und hat mehrere Fachbücher zum Thema veröffentlicht.

zurück zur Übersicht