Compliance-Risikomanagement

Transkript

1 Compliance für die Praxis Compliance-Risikomanagement Früherkennung, Prävention und operative Umsetzung von Dr. Andreas Kark 1. Auflage Compliance-Risikomanagement Kark schnell und portofrei erhältlich bei beck-shop.de DIE FACHBUCHHANDLUNG Thematische Gliederung: Unternehmensrecht Verlag C.H. Beck München 2013 Verlag C.H. Beck im Internet: ISBN

2 Kark Compliance-Risikomanagement

3

4 Compliance-Risikomanagement Früherkennung, Prävention und operative Umsetzung von Dr. Andreas Kark, LL.M. (Miami) Rechtsanwalt in Horb am Neckar Verlag C.H. Beck München 2013 III

5 ISBN Verlag C.H. Beck ohg Wilhelmstraße 9, München Druck: Nomos Verlagsgesellschaft, In den Lissen 12, Sinzheim Satz: Textservice Zink, Schwarzach Gedruckt auf säurefreiem, alterungsbeständigem Papier (hergestellt aus chlorfrei gebleichtem Zellstoff) IV

6 Für Myriam, Anne, Jessica und Dominique

7

8 Vorwort Compliance wurde in deutschen Unternehmen lange Zeit als eine Aufgabenstellung betrachtet, die primär von Juristen zu lösen sei. Erst Strafverfahren amerikanischer und deutscher Ermittlungsbehörden gegen große deutsche Unternehmen verdeutlichten auf weithin publizierte Weise, dass Compliance auch ein sehr persönliches Thema werden kann, wenn ein Vorstand oder die Geschäftsführung einer GmbH es versäumt haben, Maßnahmen zu ergreifen, die einem Rechtsbruch aus dem eigenen Unternehmen vorbeugen sollten. Auch wenn sich mittlerweile die Erkenntnis durchsetzt, dass Compliance zunehmend an Bedeutung gewinnen wird, so besteht noch immer eine nicht geringe Unsicherheit in den Unternehmen, wie man sich diesem doch recht abstraktem Thema nähern soll. Wo setze ich am besten an, wenn ich mein Unternehmen compliant machen möchte? Voraussetzung jeglicher präventiver Compliance-Maßnahmen ist die Kenntnis der bestehenden Compliance-Risiken. Erst wenn man diese identifiziert hat, kann man wirksame und möglichst ressourcenschonende Präventivmaßnahmen einleiten. Dieses Buch beschreibt die Vorgehensweise bei diesem kritischen ersten Schritt. Anhand von fiktiven Beispielen und durch die Einbindung verschiedener Abbildungen wird anschaulich dargestellt, wie der Prozess des Compliance-Risikomanagements abläuft. Darüber hinaus werden immer wieder Bezüge zu amerikanischen Vorschriften hergestellt, da diese für international tätige Unternehmen ebenfalls immer wichtiger werden. Dieses praxisorientierte Buch wendet sich an die Mitglieder der Geschäftsleitung von Unternehmen und an die mit Compliance-Themen betrauten Mitarbeiter, die die Compliance-Risiken ihres Unternehmens erfassen und vorhandene Präventivmaßnahmen systematisieren und weiterentwickeln wollen. Darüber hinaus richtet sich dieses Werk auch an Juristen, die ihre Kenntnisse der betriebswirtschaftlichen Aspekte von Compliance erweitern möchten. Eingang in dieses Buch haben die praktischen Erfahrungen des Autors als Berater von Unternehmen in Compliance-Fragen gefunden sowie seine langjährige Befassung als Mitglied der Geschäftsführung von mehreren ausländischen Tochtergesellschaften eines deutschen Konzerns, für die er für die Umsetzung von Compliance-Anforderungen verantwortlich zeichnete. Horb am Neckar, April 2013 Andreas Kark VII

9

10 Inhaltsverzeichnis Vorwort Abbildungsverzeichnis Abkürzungsverzeichnis Literaturverzeichnis VII XIII XV XVII 1. Ausgangssituation Rechtliche Bedeutung der Risikofrüherkennung im Unternehmen A. Risikofrüherkennung als Leitungsfunktion I. Der Risikobegriff Klassische Unternehmensrisiken a) Finanzwirtschaftliche Unternehmensrisiken aa) Marktrisiken bb) Kreditrisiko cc) Liquiditätsrisiko dd) Rechtsrisiko ee) Betriebsrisiko b) Leistungswirtschaftliche Risiken aa) Risiken bei Forschung und Entwicklung bb) Risiken im Einkauf cc) Risiken in der Produktion dd) Risiken im Vertrieb ee) Risiken in der Logistik c) Bewertung der gängigen Risikoklassifizierungen Risikosegmentierung des Deutschen Rechnungslegungs Standards Committee Compliance-Risiken II. Bestandsgefährdung III. Frühzeitiges Erkennen bestandsgefährdender Risiken IV. Sorgfaltspflicht und Sorgfaltsmaßstab V. Organisations- und Überwachungspflicht VI. Pflichtverletzung VII. Business Judgment Rule Unternehmerische Entscheidung Handeln zum Wohle der Gesellschaft Handeln ohne Sonderinteressen und sachfremde Einflüsse Handeln auf der Grundlage angemessener Informationen Gutgläubigkeit VIII. Haftung IX. Geltungsbereich Geltungsbereich des 91 Abs. 2 AktG a) Risikoüberwachung in der GmbH b) Risikoüberwachung im Konzern Geltungsbereich des 93 AktG B. Risikofrüherkennung im Deutschen Corporate Governance Kodex I. Inhaltliche Regelung II. Entsprechenserklärung gemäß 161 AktG C. Fazit IX

11 Inhaltsverzeichnis 3. Das Management von Risiken A. Historischer Überblick I. Risiken verteilen II. Risiken managen III. Fazit B. Risikomanagement im Unternehmen I. Das klassische Risikomanagement Bilanzierungs- und steuerrechtliche Vorgaben Vorgaben durch Basel II, Basel III und Solvency II a) Basel II b) Basel III c) Basel III und Solvency II d) Unternehmensrating und Compliance-Risiken Betriebswirtschaftliche Zielsetzung des Risikomanagements Beispiele spezialisierter Risikomanagement-Funktionen a) Treasury-Risikomanagement b) Projekt-Risikomanagement c) Supply-Chain-Risikomanagement d) Umweltrisikomanagement II. Abgrenzung zum Krisenmanagement III. Abgrenzung zum Compliance-Risikomanagement IV. Risikowahrnehmung, Unternehmens- und Risikokultur Menschliche Verhaltensmuster bei der Befassung mit Risiken Leistungsorientierte Vergütungssysteme Heuristische Entscheidungsmethode Risikokultur Risiken der Risikoberichterstattung a) Fachsprache b) Gestörte Arbeitsbeziehungen c) Risikoexpertise des Managements d) Risikowahrnehmung und Compliance V. Schlussfolgerungen für ein Compliance-Risikomanagement Das Management klassischer Unternehmensrisiken A. Prozessschritte des klassischen Risikomanagements I. Definition der Unternehmensrisiken II. Identifizierung der Unternehmensrisiken Operative Prozessschritte bei der Identifikation der Unternehmensrisiken a) Abfrage der Unternehmensrisiken in einer Matrixorganisation b) Abfrage der Unternehmensrisiken in einer funktionalen bzw. divisionalen Unternehmensorganisation Informationsquellen bei der Risikoidentifikation III. Analyse und Bewertung der Unternehmensrisiken IV. Berichterstattung über Unternehmensrisiken Interne Risikoberichterstattung a) Der Vorstand b) Der Aufsichtsrat c) Weitere Adressaten Externe Berichterstattung a) Konzernlagebericht gemäß Deutschen Rechnungslegungs Standard Nr aa) Der Prognosebericht bb) Der Risikobericht cc) Der Chancenbericht dd) Internes Kontrollsystem und Risikomanagementsystem im Konzernrechnungslegungsprozess X

12 Inhaltsverzeichnis ee) Weitere Konzernlageberichtsinhalte b) Zwischenberichterstattung gemäß Deutschen Rechnungslegungs Standard Nr aa) Prognose-, Chancen- und Risikobericht bb) Quartalsfinanzberichterstattung cc) Zwischenmitteilungen der Geschäftsführung c) Managementberichterstattung nach IFRS V. Steuerung der Unternehmensrisiken Risikostrategie Risikokapazität Risikotoleranz Ertragschancen Risikogrenzen Maßnahmen der Risikosteuerung a) Risikovermeidung b) Risikoverminderung c) Risikobegrenzung d) Risikoweitergabe e) Durch das Unternehmen zu tragende Risiken VI. Risikomonitoring B. Integration in bestehende Unternehmensprozesse I. Die Operative Planung Operative Planung der CRM AG Organisatorische Einbindung II. Das Risikomanagement in der Operativen Planung C. Organisatorische Einbettung des Risikomanagements D. Fazit Das Management von Compliance-Risiken A. Der Prozess des Compliance-Risikomanagements B. Einbettung in bestehende operative Planungsprozesse C. Idealtypischer Compliance-Risikomanagementprozess I. Definition der Compliance-Risiken II. Identifikation der Compliance-Risiken Informationsquellen zur Identifizierung von Compliance-Risiken a) Mitarbeiter des Unternehmens b) Führungskräfte und Mitglieder der Geschäftsführung c) Interne Revision d) Rechtsabteilung/Unternehmensanwälte e) Wirtschaftsprüfer f) Internes Kontrollsystem (IKS), Umsetzung des Sarbanes-Oxley Act g) Whistle-Blower h) Wettbewerbsanalyse i) Fazit Informationsrücklauf und Dokumentation der Compliance-Risiken III. Analyse und Bewertung der Compliance-Risiken Analyse der Compliance-Risiken Bewertung identifizierter Compliance-Risiken a) Bemessung der erwarteten Schadenshöhe b) Eintrittswahrscheinlichkeit c) Reputationsschaden IV. Berichterstattung über die Unternehmensrisiken V. Steuerung der Compliance-Risiken Compliance-Strategie XI

13 Inhaltsverzeichnis 2. Compliance-Risikokapazität, Compliance-Risikotoleranz, Ertragschancen, Compliance-Risikogrenzen Maßnahmen der Compliance-Risikosteuerung a) Compliance-Risikovermeidung b) Compliance-Risikoverminderung c) Compliance-Risikobegrenzung d) Compliance-Risikoweitergabe e) Durch das Unternehmen zu tragende Compliance-Risiken VI. Compliance-Risikomonitoring VII. Organisatorische Einbettung VIII. Integration in die Operative Planung D. Compliance-Risikomanagement als integraler Bestandteil der Operativen Planung I. Die Planungsaufforderung zu Compliance-Risiken Top down Ansatz II. Die Operationalisierung der zentralen Compliance-Vorgaben III. Die dezentrale Bewertung der zentralen Compliance-Vorgaben bottom up Ansatz Das Gegenstromverfahren im Compliance-Risikomanagement Der Informationsrücklauf IV. Compliance in der Planungssitzung des Vorstandes V. Compliance in der Planungssitzung des Aufsichtsrates VI. Abschluss von Compliance-Zielvereinbarungen Funktionsweise und Bedeutung von Zielvereinbarungen Die Compliance-Ziele des Vorstandes Compliance-Ziele ins Unternehmen kaskadieren Compliance-Zielerreichung E. Fazit und Bewertung des Prozessmodells Compliance-Risikomanagement in kleinen und mittelständischen Unternehmen. 157 A. Ausgangssituation B. Management klassischer Unternehmensrisiken I. Risikoidentifikation II. Risikosteuerung III. Dokumentation C. Compliance-Risikomanagement I. Compliance-Risikoidentifikation II. Compliance-Risikosteuerung und -dokumentation D. Fazit Anglo-amerikanische Anforderungen an das Compliance-Risikomanagement A. US-amerikanische Anforderungen I. US Department of Justice II. US Securities and Exchange Commission III. Gemeinsame Initiative des US Department of Justice und der US Securities and Exchange Commission IV. Fazit B. Der britische Bribery Act I. Guidance zum Bribery Act Risk Assessment Due Diligence II. Fazit Nachwort Stichwortverzeichnis XII