Praktische Aufgaben im Verantwortungsbereich eines Compliance-Officer

Transkript

1 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 220 Praktische Aufgaben im Verantwortungsbereich eines Compliance-Officer Stefan Stichel A. Vorwort Die Diskussion über die Einhaltung von Richtlinien und Gesetzen ist in den vergangenen Jahren immer mehr in den Fokus der Öffentlichkeit gerückt. Grund dafür sind vor allem die bekanntgewordenen Unregelmäßigkeiten in führenden Unternehmen (zum Beispiel Bilanzfälschungen, Kartellabsprachen, Insiderhandel). Die Folge davon war ein Wertewandel in vielfältiger Weise, der die Thematik einer ethisch einwandfreien Unternehmensführung und die Einhaltung von Regeln und Gesetzen zu wesentlichen Aufgaben von Unternehmensvorständen und Geschäftsführern gemacht hat. In diesem Zusammenhang sind eine Vielzahl von neuen Initiativen und Vorschriften entstanden (zum Beispiel Sarbanes-Oxley Act (SOA), Foreign Corrupt Practices Act (FCPA) oder Bilanzrechtsmodernisierungsgesetz (BilMoG)), die Unternehmen im Rahmen ihrer Geschäftstätigkeit beachten müssen. Darüber hinaus bilden Begriffe wie Corporate Governance (Führung und Überwachung von Unternehmen) oder die Ausgestaltung des internen Kontrollsystems (IKS) die Basis und das Wertefundament für die Entwicklung von internen Richtlinien und Regelungen in den Unternehmen. Um alle diese Vorschriften, Gesetze und internen Regeln einzuhalten, richten viele Unternehmen eine eigene Funktion ein, die die Aufgabe der Überwachung und Unterstützung der Regelkonformität übernimmt. Im deutschen Sprachraum hat sich für alle diesbezüglichen Maßnahmen, einschließlich der Organisationseinheiten, die mit der konkreten Ausgestaltung betraut sind, der englische Begriff Compliance durchgesetzt. B. Was ist Compliance? Unter dem Begriff Compliance wird allgemein die Einhaltung von Regeln verstanden (beispielsweise Gesetze, vertragliche Verpflichtungen, interne Regeln und Richtlinien). Die Unternehmensleitung steht also vor der Aufgabe, eine geeignete Organisationsform zu implementieren, mit deren Hilfe die Regelkonformität sichergestellt werden soll. In der Regel wird diese Aufgabe einem Compliance-Officer übertragen 220

2 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 221 Compliance Kapitel I mit einer direkten Berichtslinie an die Geschäftsführung oder an den CEO. Unabhängige Berichtswege sind hierbei unabdinglich, damit die Steuerungsgremien wie Unternehmensleitung und Aufsichtsrat unbeeinflusst informiert werden können. Für die gesamte Compliance- Organisation in einem Unternehmen hat sich der Begriff Compliance- Management-System (CMS) durchgesetzt. Dieses umfasst alle Grundsätze und Maßnahmen, die ein regelkonformes Verhalten aller Beteiligten sicherstellen und Verstöße gegen festgelegte Regeln verhindern soll, sowie auch Maßnahmen, um wesentliche Regelverstöße aufzudecken. In der Praxis ist das eine Mischung aus präventiven Maßnahmen (etwa Regelverzeichnis, Schulungen) und investigativen Maßnahmen (zum Beispiel Systemprüfungen, Ad-hoc-Recherchen). C. Orientierung zum Aufbau eines Compliance- Management-Systems (CMS) Eine allgemeingültige Standardlösung für ein CMS in allen Branchen und Unternehmensgrößen gibt es nicht. Die Frage nach dem geeigneten CMS orientiert sich an den unternehmensspezifischen Risiken der jeweiligen Branche, der Unternehmensgröße und den bestehenden Organisationsstrukturen. Ein funktionsfähiges CMS folgt dem Grundsatz der Angemessenheit und kann je nach Unternehmen sehr unterschiedlich ausgeprägt sein. So haben Banken mit spezifischen Risiken wie Insiderhandel und Geldwäsche andere Compliance-Schwerpunkte als zum Beispiel die Bekleidungsindustrie mit Themen wie Lieferantenauswahl im Zusammenhang mit Kinderarbeit. Eine gute Ausgangsbasis um die CMS-Grundelemente zu beschreiben, ist der Entwurf des Instituts der Wirtschaftsprüfer (IDW) zur Prüfung von Compliance- Management-Systemen. Dieses Prüfprogramm (IDW Prüfungsstandard 980) beschreibt die allgemeingültigen Elemente eines CMS, welche für alle Unternehmen Anwendung finden: Compliance-Kultur: Das Management gibt die Grundeinstellungen und Verhaltensweisen vor, die in der Regel im unternehmensinternen Verhaltenskodex oder Ethikkodex verbindlich festgelegt sind. Zusammenfassend kann man auch vom tone at the top sprechen. Compliance-Ziele: Ausgehend von allen relevanten externen Gesetzen, Vorschriften und internen Regelwerken sowie den allgemeinen Unternehmenszielen werden die Ziele definiert, die mit dem CMS erreicht werden sollen. 221

3 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 222 Compliance-Organisation: Es ist die für die Erreichung der Compliance-Ziele notwendige Organisationsform, einschließlich der dafür notwendigen Ressourcen, zu definieren. Compliance-Risiken: Diese resultieren aus einer möglichen Verfehlung der festgelegten Compliance-Ziele und sind nicht mit den allgemeinen Unternehmensrisiken zu verwechseln. Compliance-Programm: Basierend auf den Risiken werden Grundsätze festgelegt und Maßnahmen beschlossen, die auf die Vermeidung von Compliance-Verstößen ausgerichtet sind. Dies schließt auch die zu ergreifenden Maßnahmen bei festgestellten Verstößen mit ein. Compliance-Kommunikation: Die Mitarbeiter werden systematisch über das Compliance-Programm sowie über die definierten Rollen, Berichtswege und Verantwortlichkeiten in der Compliance-Organisation informiert. Compliance-Überwachung und Verbesserung: Das CMS ist fortwährend im Hinblick auf Angemessenheit und Wirksamkeit zu überprüfen und bei Bedarf anzupassen. In Summe bilden diese sieben Grundelemente die Basis für die Compliance-Organisation und für die praktische Tagesarbeit des Compli - ance-officer. Die einzelnen Elemente stellen einen guten Leitfaden dar, um die Aufbau- und Ablauforganisation eines CMS zu bestimmen. Bereits bei der Überlegung zur richtigen Organisationsform sind die sich ständig ändernden Rahmenbedingungen (neue Gesetze und Vorschriften) zu berücksichtigen, wobei Wandel und Anpassung zum Tagesgeschäft von Compliance gehören. D. Compliance in der Praxis Das bekannte Goethe-Zitat: Man sieht nur, was man weiß, ist in vielen Bereichen des Lebens anwendbar. Es beschreibt die Tatsache, dass uns nur Dinge auffallen können, über die wir Informationen und Hintergrundwissen besitzen. Nur das Wissen über das richtige, regelkonforme Verhalten versetzt die Mitarbeiter in die Lage, sich trittsicher fortzubewegen. Oberstes Gebot: Information und Kommunikation sind der zentrale Dreh- und Angelpunkt einer Compliance-Organisation und somit auch Vorgabe für die praktische Arbeit. 222

4 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 223 Compliance Kapitel I Ausgangspunkt für eine Compliance-Organisation ist die Selbstverpflichtung zu einem Ethikkodex, der bereits große Bereiche von Compliance abdecken kann. Für unsere Unternehmensgruppe sind hierin bereits wesentliche Bereiche geregelt, wie beispielsweise unerlaubte Zahlungen im Zusammenhang mit Korruption, Schutz sensibler Informationen oder Interessenkonflikte. Dieser Kodex und die vorhandenen Konzernrichtlinien werden dann durch lokale Vorgaben der Landesgesellschaften ergänzt. Um die Regelkonformität zu unterstützen und sicherzustellen, bedient sich unsere Landesgesellschaft einer Matrixorganisation mit Compliance-Beauftragten in den einzelnen Funktionsbereichen und einem gesamtverantwortlichen Compliance-Officer. Diese Organisationsform bietet den Vorteil, Compliance-Themen in dem jeweiligen Bereich direkt und zielgerichtet zu kommunizieren und Themen aus den Bereichen auf die Übertragbarkeit auf andere Bereiche zu überprüfen. Wird zum Beispiel im Rahmen einer internen Prüfung eine Schwachstelle identifiziert, so ist es die Aufgabe des Compliance-Netzwerkes, analoge Sachverhalte in anderen Bereichen zu identifizieren und entsprechend zu korrigieren. Dies beinhaltet sowohl das Element top-down zur Weitergabe von Information an die Mitarbeiter als auch bottom-up, um über Probleme an der Basis schneller informiert zu sein. Zusätzlich zu einem strukturierten Informationsfluss innerhalb des Compliance-Netzwerkes sollten alle wichtigen Informationen über die gültigen Regelwerke an einer zentralen Stelle für die Mitarbeiter verfügbar sein. In unserer Landesgesellschaft werden alle gültigen Richtlinien (Konzern, Landesgesellschaft, Funktion) zusammengefasst dargestellt und stehen für alle unsere Mitarbeiter auf einer Intranetplattform zur Verfügung. E. Sind wir compliant? Compliance ist nicht statisch, Compliance ist ein Prozess und lebt von aktuellen Informationen und beständiger Weiterentwicklung. Erst wenn den Mitarbeitern bewusst ist, dass Compliance kein definiertes Ende hat (zum Beispiel wie ein Projekt), sondern von der kontinuierlichen Weiterentwicklung und Verbesserung geprägt ist, sind sie für dieses Thema ausreichend sensibilisiert. Ein Vergleich der aktuell gültigen Richtlinien und Regelungen mit dem Stand von vor zwei Jahren macht dies mehr als deutlich. Es gibt unzählige Anpassungen und Neuerungen, die immer wieder ins Bewusstsein der Mitarbeiter gebracht werden müssen. Es geht also um das Maß der Zielerreichung und ob in Relation zum bestehenden Risiko ausreichende Maßnahmen ergriffen wurden. 223

5 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 224 Knappe Budgets und allgegenwärtiger Kostendruck betreffen auch die Compliance-Organisation in Unternehmen. Ethik ist nicht verhandelbar, in wirtschaftlich schwereren Zeiten kann man die Maßstäbe nicht einfach verschieben. Das Ziel muss es vielmehr sein, intelligente Lösungen zu entwickeln, die den unternehmensinternen Vorgaben der Compliance-Kultur Rechnung tragen und zugleich den Aufwand in vertretbaren Grenzen halten. Compliance mit Augenmaß ist die Forderung, um durch gezielte Fragestellungen den Handlungsbedarf genauer bestimmen zu können. Wenn es um die Thematik Freiwillige Selbstkontrolle für die Arzneimittelindustrie e.v. (FSA) geht, ist vorab eine Überprüfung, welche Personen im Unternehmen mit Ärzten, Apothekern und Angehörigen von medizinischen Fachkreisen in Verbindung stehen, ein erster Indikator für Schulungsmaßnahmen. Das Vertriebsteam steht in diesem Zusammenhang an erster Stelle und ist dementsprechend flächendeckend zu schulen. In anderen Bereichen sind es oft nur einzelne Personen, die eine umfassende Schulung durchlaufen müssen. Neben der Zielgruppe ist auch Art, Umfang und Dokumentation der Schulung zu bestimmen. Die Bandbreite der Maßnahmen reicht vom individuellen, zielgerichteten Training mit schriftlicher Teilnahmebestätigung bis hin zum Videotraining mit einem Fragenkatalog zur Lernkontrolle. Die genaue Definition der Zielgruppe, der Schulungsinhalte sowie der Schulungsdokumentation schafft die Grundlage für passgenaue und wirtschaftlich vertretbare Lösungen. F. Geschenke Ein Beispiel aus der Praxis Wenn es um das Thema Geschenke im Arbeitsalltag geht, dann werden immer wieder die gleichen Fragen gestellt: Darf ich das Geschenk annehmen? oder Kann ich bei der Veranstaltung ein Gastgeschenk machen?. Insbesondere in der Weihnachtszeit ist das angemessene Verhalten hinsichtlich der Entgegennahme von Geschenken ein wichtiges Compliance-Thema. Der Meinungsaustausch zu diesen Fragen mit anderen Firmen zeigt eine große Bandbreite an Vorgaben und internen Regelungen. Von zero tolerance also keinerlei Annahme von Geschenken bis das ist bei uns nicht festgeschrieben ist alles anzutreffen. Es hat sich als hilfreich erwiesen, für die Annahme von Vorteilen und Geschenken einen Best Practice -Kriterienkatalog zu erstellen. Zunächst ist der Begriff Vorteil genauer zu definieren: Vorteil ist jede Leistung materieller oder immaterieller Art, die eine Person oder Organisation mittelbar oder unmittelbar besserstellen und auf die 224

6 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 225 Compliance Kapitel I diese keinen rechtlich begründeten Anspruch haben. Hierunter fallen Einladungen zu Kongressen und Reisen, Geschenke und Zuwendungen, Nebentätigkeiten, Beraterverträge, Förderung des beruflichen Fortkommens, Verleihung von Ehrenämtern, unentgeltliche Überlassung des Gebrauchs von Sachen oder die Einräumung von Rabatten. Ist die Definition erstellt, müssen die Eckpunkte bestimmt werden, die die Mitarbeiter zu beachten haben. Dabei sind insbesondere die folgenden Kriterien wesentlich: der Wert, der Zweck, die Häufigkeit und die Transparenz. Bezüglich des Wertes gibt die deutsche Steuergesetzgebung mit einem Jahreslimit von 35 Euro als Steuerfreigrenze hilfreiche Orientierung (Ausnahme: Der Schenkende versteuert vorab pauschal). Diese Wertgrenze ist auch deshalb sinnvoll, weil sie mögliche Steuerprobleme für den Mitarbeiter ausklammert. Der Zweck der Zuwendung darf keinesfalls dazu führen, dass eine Erwartungshaltung entsteht. Aufmerksamkeiten zu besonderen Anlässen, wie beispielsweise einem Projektabschluss, sind in diesem Kontext zu nennen. Zuwendungen sollten nicht regelmäßig oder wiederholt erfolgen. Die Gewährleistung der Transparenz ist ein weiteres, wesentliches Kriterium, verbunden mit der Frage, wer außer dem Leistungsgeber und Leistungsnehmer noch über die Zuwendung informiert ist. Mitarbeiter, die ihren Vorgesetzten über ein Geschenk informieren, laufen weit weniger Gefahr, sich dem Vorwurf der Beeinflussung auszusetzen. In der Praxis kommt es immer wieder zu Situationen, in denen einzelfallbezogen entschieden werden sollte. Die Summe aller aufgeführten Kriterien sollte aber den Mitarbeiter in die Lage versetzen, eine regelkonforme Entscheidung treffen zu können. Sollten dennoch Zweifel bestehen, können jederzeit die Compliance-Ansprechpartner hinzugezogen werden. Wie sieht es mit dem Unternehmen beziehungsweise seinem Mitarbeiter als dem Schenkenden aus? Als Unternehmen der Pharmaindustrie sind wir Mitglied im Verband Forschender Arzneimittelhersteller (VfA). Die Mitglieder des VfA haben die Freiwillige Selbstkontrolle für die Arzneimittelindustrie e.v. (FSA) gegründet. Dieser Verein mit Sitz in Berlin überwacht die konkrete Zusammenarbeit von pharmazeutischen Unternehmen mit Ärzten, Apothekern und weiteren Angehörigen der medizinischen Fachkreise des Verbands Forschender Arzneimittelhersteller. Der FSA hat mehrere Verhaltenskodizes verabschiedet, wobei speziell für den Außendienst der FSA-Kodex Fachkreise maßgeblich ist. Bezüglich des Themas Geschenke gilt, dass im Rahmen einer produktbezogenen Werbung nur geringwertige Werbegaben abgege- 225

7 Buch_145x230_WG_Soziale_Marktwirtschaft :45 Seite 226 ben werden dürfen. Für die tägliche Praxis hat sich eine Obergrenze von fünf Euro als relevant erwiesen, an die sich die Mitgliedsunternehmen gebunden halten und die sie in den Mitarbeiterschulungen entsprechend kommunizieren. Neben einer lückenlosen Dokumentation zur Schulung von Außendienstmitarbeitern ist immer wieder die Überprüfung der Anwendbarkeit in anderen Unternehmensbereichen notwendig. Zusätzlich ist zu prüfen, ob in anderen Fällen von Geschenken (neben der reinen Vertriebstätigkeit) die Regelungen des FSA-Kodex Fachkreise zur Anwendung kommen. Falls Ärzte, Apotheker oder Angehörige der medizinischen Fachkreise involviert sind, muss der Sachverhalt im Hinblick auf die Einhaltung des Kodex überprüft werden. Da fortlaufend neue Veranstaltungen und Schulungen stattfinden, hat die Compliance-Funktion die Aufgabe, diese Entwicklungen zu bewerten und die Schulungsprogramme entsprechend anzupassen. An diesem Beispiel werden auch die branchenspezifischen Aufgaben der Compliance-Funktion deutlich, da jeweils für die pharmazeutischen Unternehmen spezifische Kodexregeln einzuhalten sind. G. Die interne Revision Der Compliance-Temperaturfühler Die interne Revision misst die Regelkonformität in einem Unternehmen und vergleicht das gesamte Regelwerk (Sollwert) mit dem vorhandenen Istzustand (wird das Regelwerk eingehalten?). Bei Abweichungen vom Sollwert sind entsprechende Maßnahmen zu ergreifen, um die Regelkonformität wieder herzustellen. Im Vergleich zu einem Regelkreis wird deutlich, dass es sich auch hierbei um einen fortlaufenden Prozess handelt und dass ein CMS permanent überwacht und verbessert werden muss. Neben der Überwachung durch eine unabhängige interne Revision sollte die Compliance-Funktion durch die Geschäftsführung autorisiert werden, eigenständige Überprüfungen vornehmen zu können. Diese Überprüfungen dienen nicht nur der routinemäßigen Überwachung, sondern sind auch ein Instrument bei Ad-hoc-Fragestellungen. Meldungen aus Whistleblowing -Systemen (anonymisiertes Meldeverfahren bei Regelverstößen) können ebenso den Anstoß geben wie Medienberichte, bei denen zum Beispiel ein Lieferant unter Korruptionsverdacht bei einem anderen Abnehmer steht. Diese Informationen sind hinsichtlich Art und Umfang zu analysieren, um ähnliche Vorfälle im eigenen Unternehmen zu identifizieren und gegebenenfalls zukünftig zu verhindern. Somit bildet die interne Revision ergänzt um eigene Überprüfungen durch das Compliance-Netzwerk einen Regelkreis, der die Funktionsfähigkeit des bestehenden CMS im Unternehmen sicherstellen soll. 226