Compliance, Corporate Governance, IKS, Managementsystem, Risikomanagement

Transkript

1 covalgo consulting GmbH Operngasse Wien, Austria Compliance Autor: Dr. Gerd Nanz Datum: 22. Februar 2014 Schlagworte: Compliance, Corporate Governance, IKS, Managementsystem, Risikomanagement 1 Einleitung Das Thema Compliance hat in der letzten Zeit zunehmend an Bedeutung gewonnen, sei es aufgrund von gesetzlichen Regelungen, sei es aus Sicht der Wettbewerbsfähigkeit, um sich vom Mitbewerb abheben zu können. Die Fragen nach Bürokratie und Overhead einerseits, nach Geschäftsnutzen und Integration der Aktivitäten in die Unternehmenssteuerung fließen maßgeblich in Compliance-Überlegungen ein. Compliance ist mehr als das Installieren einer Stabsstelle, die formal Checklisten abhakt und regelmäßig Berichte an die Geschäftsführung liefert. Compliance geht alle etwas an, und eine konstruktive Compliance-Organisation, welche das Unternehmen unterstützt und akzeptiert wird, ist oft ein wesentlicher Faktor für Stabilität, Verbesserungen und eine ausgeglichene Firmenkultur. 2 Grundlagen 2.1 Begriffe Compliance Einhaltung von Regeln Corporate Governance 2.2 Normen (ONR :2013) Corporate Governance bezeichnet den rechtlichen und faktischen Ordnungsrahmen für die Leitung und Überwachung eines Unternehmens. Im Unterschied zur Unternehmensverfassung, die primär die Binnenordnung des Unternehmens betrifft, werden unter dem Stichwort Corporate Governance auch Fragen der (rechtlichen und faktischen) Einbindung des Unternehmens in sein Umfeld (wie namentlich den Kapitalmarkt) adressiert. ( 23. Mai 2013, 17:08) ONR Die ONR Compliance Management Systeme (CMS) Anforderungen und Anleitung zur Anwendung wurde im Februar 2013 veröffentlicht. Sie dient der Festlegung, was adäquat bedeutet im Sinne z.b. des Verbandverantwortlichkeitsgesetzes ( 3, Abs. 3), das für Strafverfahren gegen Organisationen Straffreiheit vorsieht, wenn zumindest adäquate Compliance-Systeme installiert wurden. Die Norm behandelt für Compliance Management Systeme die Themen Rolle der Leitung der Organisation Compliance Officer Compliance-Risiko-Bewertung und Maßnahmen Handlungsanweisungen Training Wirksamkeit des Compliance Management Systems Kommunikation Konzept_Compliance.docx 1 / 5 Druckdatum

2 2.2.2 Corporate Governance Codex Grundsätze für die verantwortungsvolle Unternehmensführung und kontrolle in einem Unternehmen. Corporate Governance Codices werden von Arbeitskreisen oder von öffentlichen (Aufsichts-) Behörden veröffentlicht. Die Verbindlichkeit der Umsetzung kann durch den Gesetzgeber, durch branchenspezifische Vereinbarung oder durch das Unternehmen selbst erklärt werden Gesetzliche, branchen- und themenspezifische Compliance-Vorgaben Es gibt viele unterschiedliche Regelwerke, zu denen Compliance gefordert werden kann. Eine Auswahl typischer Themen sind in der folgenden Graphik angeführt. 2.3 Governance Risk Compliance Governance Risk Compliance beschreibt die drei wichtigsten Handlungsebenen eines Unternehmens für dessen erfolgreiche Führung. Quelle: Wikimedia Commons, , 17:45 Governance bedeutet dabei Vorgaben und Steuerung der generellen (strategischen) Ausrichtung, das Risikomanagement dient der objektiven Durchführung der Steuerungsmaßnahmen basierend auf den Geschäftsrisiken, und die Compliance stellt den Grad der Einhaltung der Vorgaben und Regeln dar. Ziele sind die Optimierung des Nutzens für das Unternehmen in Bezug auf Effizienz und Effektivität einerseits, andererseits aber auch aus Sicht der gesellschaftlichen Verantwortung und somit dem Image des Unternehmens. 3 Aufbau von Compliance(-Organisationen) in Unternehmen 3.1 Managementvorgaben Managementvorgaben für Organisationen sind die Grundlage für Compliance-Überprüfungen. Sie fallen unter das Thema Corporate Governance. Sind diese Managementvorgaben nicht vorhanden, lückenhaft oder sehr unpräzise formuliert, sind sinnvolle Compliance-Überprüfungen nicht möglich, da die Basis für die Prüfung fehlt. Konzept_Compliance.docx 2 / 5 Druckdatum

3 Die Regeln, zu denen Compliance gefordert wird, befinden sich in allen Ebenen der Pyramide, wobei die Regeln der jeweils nächst niedrigeren Ebene aus denen der höheren Ebene ableitbar sein müssen. Umgekehrt müssen die Regeln auf einer tieferen Ebene einen Wert und Beitrag zu Regeln auf einer höheren Ebene liefern. Da diese Managementvorgaben sinnvollerweise Top- Down gemacht werden müssen, benötigt das Management einen roten Faden, anhand dessen es die Roadmap zur Einführung und Umsetzung erstellen kann. Es ist üblich, zwei Aspekte in den Mittelpunkt zu stellen: Geschäftsprozesse Welcher Geschäftsprozess hat den größten Einfluss auf die Ziele? Welcher Geschäftsprozess birgt das größte Compliance-Risiko (intern und vor allem extern)? Compliance-Vorgaben zu einzelnen Themen Wo stehen regulatorische Änderungen an? Wo sind wesentliche Defizite in der Compliance bekannt? Wo kann man kurzfristig den größten Nutzen erzielen? Wichtig ist, dass seitens des Managements der Überblick über die Gesamtorganisation gewahrt wird, um Insellösungen und lokale Optimierungen zu Lasten anderer Bereiche zu vermeiden. Dies bedeutet, dass die Vision und die angestrebte Zielsituation bekannt sind und in konkrete und zwischen den einzelnen Bereichen koordinierte und konsistente Vorgaben gegossen werden können. 3.2 Managementsystem Nahezu jedes Unternehmen hat heute definierte Prozesse und dokumentierte Regeln. Damit ist ein wesentlicher Schritt in Richtung eines Managementsystems getan. Ein Managementsystem, dass die Vorgaben (Gesetze, Normen, Unternehmensvorgaben) in einer Darstellung (der Geschäftsprozesse) integriert, unterstützt die MitarbeiterInnen eines Unternehmens, ganzheitlich den Sinn der Aktivitäten zu verstehen und Compliance allein mit der Einhaltung der Regeln zu erzielen. Hierzu gehört natürlich auch, dass bei der Definition der Prozesse die entsprechenden Prüfpunkte für die Compliance-Anforderungen sorgfältig und sinnvoll definiert werden, um mit den Auswertungen tatsächlich etwas über Compliance aussagen zu können. Je besser diese Integration gelingt (und die Akzeptanz im Unternehmen erreicht wird), umso einfacher und selbstverständlicher wird die Erreichung der Compliance-Ziele. 3.3 Internes Steuerungssystem Ein internes Steuerungssystem dient idealerweise dazu, auf Basis der Prozesse und deren Messung erkennen zu können, an welchen Stellen die Abläufe gut und entsprechend den Vorgaben funktionieren, und wo Verbesserungspotential vorhanden ist. Anders als bei internen Kontrollsystemen (häufig mit nahezu denselben Kontrollpunkten) wird hier nicht nur die Compliance überprüft, sondern die erhaltenen Informationen werden konstruktiv zur Verbesserung verwendet. Dieses Bewusstsein der Steuerung ist essentiell, um Formalismen zu vermeiden, die sich auf das Ausfüllen von Checklisten beschränken und keinen weiteren Nutzen als einen formalen Nachweis der (manchmal vermeintlichen) Einhaltung von Regeln zu liefern. Mit diesem Bewusstsein wird auch gleichzeitig das Verantwortungsgefühl insbesondere der Führungskräfte für Management erhöht und trägt wenn die Ziele von allen nahezu gleich verstanden werden zu einem signifikant gesteigerten Geschäftsnutzen bei. 3.4 Compliance-Organisation Als Compliance-Organisation wird häufig die Gesamtheit der Vorgaben und Regeln inkl. deren Überwachung bezeichnet. Es ist korrekt, dass Compliance in der Verantwortung aller liegt. Die Organisation zur Überwachung der Einhaltung von Regeln (operativ geleitet vom Compliance Office) wird ebenfalls häufig als Compliance-Organisation bezeichnet. covalgo Konzept_Compliance.docx 3 / 5 Druckdatum

4 verwendet diesen engeren Begriff. Die Compliance-Organisation ist eine Querschnittsfunktion in einem Unternehmen, das ähnlich wie das Qualitätsmanagement oder das Prozessmanagement die Einhaltung der Regeln überwacht. Eine enge Zusammenarbeit mit anderen Funktionen im Unternehmen ist daher unbedingt notwendig. Eine Compliance-Organisation kann aber nicht für die Einhaltung der Regeln verantwortlich sein, sondern nur Abweichungen aufzeigen und Maßnahmen initiieren, um Abweichungen zu korrigieren oder ihnen vorzubeugen. Somit hängt die Positionierung der Compliance-Organisation stark von Unternehmenskultur und Führungsverhalten ab. 3.5 Projekt zur Einführung Derartige Einführungsprojekte sind Organisationsprojekte. Da es hier um Verhaltensänderungen und Verantwortungsverschiebungen innerhalb der Organisation geht, beinhalten diese Projekte einen großen Anteil von Change. Daher ist es erforderlich, diesem Aspekt auch die notwendige Wichtigkeit einzuräumen, und nicht nur den formalen Definitionsakt für die Compliance-Organisation umzusetzen. Eine rein formale Einführung birgt die Gefahr, dass die Mechanismen und Ziele nicht oder falsch verstanden werden und damit in bürokratische Formalismen abgleiten. Ein guter Ansatz für die Einführung ist in John Kotters 8-Stufen- Modell (nebenstehende Graphik) zu finden. Die Schritte können aber teilweise in der Reihenfolge verändert werden und unterschiedliche Ausprägungen annehmen. Essentiell ist, dass eine konkrete Zielvorstellung (inkl. Vision der danach herrschenden Zustände) existiert und Top-Down im Unternehmen vertreten, einheitlich umgesetzt und kommuniziert wird. Eine Diskussion über Verbesserungen und insbesondere auch reduzierende Änderungen, d.h. Änderungen, welche alte, nicht mehr benötigte oder redundante Vorgaben und Compliance-Überprüfungen entfernen, müssen ermöglicht werden und so die Teilnahme und Akzeptanz aller Betroffenen für das Compliance-System unterstützen. Idealerweise werden derartige Änderungen nicht als Einführung einer Compliance-Organisation initiiert, sondern im Rahmen der normalen Entwicklung der Unternehmensarchitektur (z.b. unter Verwendung des Prozesses von TOGAF) mitgenommen, um den ganzheitlichen Steuerungscharakter von Compliance zu unterstützen und die Angst vor Überwachung und Kontrolle zu reduzieren. Konzept_Compliance.docx 4 / 5 Druckdatum

5 4 covalgo consulting GmbH covalgo consulting GmbH in Wien wurde im September 2010 gegründet. Wir beraten im Kerngeschäft die Themen Strategie, Business Analyse, Prozessmanagement, Organisationsentwicklung, Projektmanagement und Qualitätsmanagement und berücksichtigen dabei die sozialen Aspekte für den Menschen und die Organisation (Changemanagement). Die auf die individuellen Anforderungen des Kunden ausgerichtete partnerschaftliche Zusammenarbeit soll den Kundennutzen optimieren und so zu langfristiger Kundenbindung führen als Vorteil für beide. Die Themen Governance und Compliance in Managementsystemen sind die Basis unserer Beratungsleistung: Aufbauend auf den einschlägigen Normen und Standards wie z. B. ISO 9001, ISO 14001, ISO 20000, ISO 27001, CMMi, SPICE, ITIL und fachspezifischen Standards wie IRIS oder ausgewählten Themen im Gesundheitsbereich (GDP) sind unsere Lösungsvorschläge fundiert und anerkannt. Wir beraten gesamtheitlich (Einführung und Verbesserung von Managementsystemen) und auf Detailebene (Prozesse, Themen, Vorbereitung auf Zertifizierung). Auf Kundenwunsch übernehmen wir auch operative Verantwortung in den Bereichen Projektmanagement, Business Analyse, Requirements Engineering und Qualitätsmanagement sowie in Krisensituationen. Know-how-Transfer begleitet unsere Beratungstätigkeit, sei es durch interne Schulungen, öffentliche Seminare oder Vortragsveranstaltungen und Lehraufträge an Fachhochschulen (FH Joanneum, FH Burgenland, FH des bfi). Die covalgo consulting GmbH ist Partner der Polarion Software GmbH in Stuttgart (Software für Application Life Cycle Management und Requirements Engineering) und der PROTECHT.ERM GmbH in Wien (Software für Risikomanagement und Compliance). Weitere Informationen und Referenzen bei covalgo consulting GmbH Operngasse Wien, Austria Konzept_Compliance.docx 5 / 5 Druckdatum