Compliance-Management-System

Definition

Ein Compliance-Management-System (CMS) ist die Gesamtheit der Regeln, Abläufe und Kontrollen, mit denen ein Unternehmen Rechtsverstöße verhindert, aufdeckt und ahndet. Ein wirksames CMS kann Bußgelder gegen das Unternehmen mindern und die Geschäftsleitung entlasten.

Erklärung / Hintergrund

Compliance bedeutet Regeltreue. Die Compliance-Pflicht folgt aus der Legalitätspflicht der Geschäftsleitung: Sie muss selbst rechtstreu handeln und dafür sorgen, dass sich das Unternehmen an Gesetze hält. Das CMS ist das Werkzeug, mit dem sie diese Pflicht organisatorisch umsetzt. Ein Gesetz, das jedem Unternehmen ein bestimmtes CMS vorschreibt, gibt es nicht. Umfang und Form richten sich nach Größe, Branche und Risiken. Ausdrückliche Pflichten zu einer solchen Organisation gibt es nur in einzelnen Bereichen, etwa für Banken und Versicherer, für Verpflichtete nach dem Geldwäschegesetz oder für Unternehmen im Anwendungsbereich von NIS2. Der Vorstand einer börsennotierten AG muss zudem ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem einrichten (§ 91 Abs. 3 AktG).

Ein CMS hat drei Aufgaben:

• Vorbeugen: Risiken bewerten, klare Zuständigkeiten festlegen, verständliche Regeln aufstellen und die Mitarbeiter schulen.
• Erkennen: Kontrollen durchführen und Hinweise ermöglichen, zum Beispiel über eine interne Meldestelle.
• Reagieren: Werden Verstöße bekannt, gilt der Dreiklang Aufklären, Abstellen, Ahnden. Der Sachverhalt wird ermittelt, der Verstoß beendet und es werden Konsequenzen gezogen.

Fehlt ein angemessenes CMS, drohen mehrere Folgen. Gegenüber der Gesellschaft haftet die Geschäftsleitung für Schäden aus mangelhafter Organisation. Daneben kann eine Aufsichtspflichtverletzung nach § 130 OWiG vorliegen, wenn ein Verstoß durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Begeht eine Leitungsperson eine Straftat oder Ordnungswidrigkeit, durch die Pflichten des Unternehmens verletzt werden oder das Unternehmen bereichert werden soll, kann gegen das Unternehmen selbst eine Verbandsgeldbuße verhängt werden, bei vorsätzlichen Straftaten bis zu zehn Millionen Euro (§ 30 OWiG). Ob die Gesellschaft eine solche Geldbuße anschließend beim verantwortlichen Organ zurückholen kann, ist umstritten (Bußgeldregress).

Ein wirksames CMS zahlt sich bei der Bemessung von Geldbußen aus. Nach einem Urteil des BGH vom 09.05.2017 (Az. 1 StR 265/16) ist bei der Verbandsgeldbuße zu berücksichtigen, ob das Unternehmen ein effizientes CMS eingerichtet hat. Mindernd wirken kann auch, wenn es seine Regeln nach dem Verstoß so verbessert, dass vergleichbare Verstöße deutlich erschwert werden.

Ein fester Baustein ist seit dem Hinweisgeberschutzgesetz die interne Meldestelle. Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine solche Stelle einrichten und betreiben (§ 12 HinSchG). Wer einen Verstoß meldet, darf deswegen keine Nachteile erleiden (Repressalienverbot). HinSchG-Bußgelder drohen unter anderem, wenn keine Meldestelle eingerichtet ist, Meldungen behindert oder Repressalien ergriffen werden (§ 40 HinSchG).

Je nach Branche kommen besondere Pflichten hinzu, etwa nach dem Geldwäschegesetz oder aus Nachhaltigkeits- und Lieferkettenpflichten (ESG- und Lieferkettenhaftung der Geschäftsleitung).

Abgrenzung:

• CMS vs. Legalitätspflicht: Die Legalitätspflicht ist die Pflicht, das CMS das Instrument, mit dem sie erfüllt wird.
• CMS vs. internes Kontroll- und Risikomanagementsystem: Kontroll- und Risikomanagementsysteme steuern finanzielle und betriebliche Risiken insgesamt. Das CMS konzentriert sich auf Rechtsverstöße. In der Praxis greifen beide ineinander.
• CMS vs. Aufsichtspflichtverletzung: § 130 OWiG ist die Sanktion, wenn die Aufsicht fehlt. Ein funktionierendes CMS ist der Weg, sie zu vermeiden.

Synonyme: CMS, Compliance-Organisation.

Praxisrelevanz

Ein CMS muss nicht groß sein, um zu wirken. Für ein Planungsbüro reicht oft eine jährliche Bewertung der wichtigsten Rechtsrisiken, etwa Vergaberecht, Datenschutz, Arbeitszeit und Korruptionsprävention. Dazu kommen klare Zuständigkeiten, kurze schriftliche Regeln, regelmäßige Schulungen und dokumentierte Stichprobenkontrollen. Ab 50 Beschäftigten brauchen Sie eine interne Meldestelle. Halten Sie fest, was Sie veranlasst haben, denn im Streitfall zählt, was Sie belegen können. Wie Ihre D&O-Versicherung mit Bußgeldern und ihren Folgekosten umgeht, regelt das Bedingungswerk.

Praxisbeispiel

In einem Ingenieurbüro mit 60 Beschäftigten spricht ein Projektleiter vor einer öffentlichen Ausschreibung die Angebotspreise mit einem Wettbewerber ab. Regeln zu Vergaben, Schulungen oder Kontrollen gibt es im Büro nicht. Die Kartellbehörde verhängt eine Geldbuße gegen die GmbH, und die GmbH verlangt auf Beschluss der Gesellschafter den Betrag vom Geschäftsführer ersetzt.

Haftungsseite: Dem Geschäftsführer wird eine fehlende Organisation vorgeworfen, also eine Pflichtverletzung nach § 43 GmbHG. Ob die Geldbuße selbst als Schaden beim Geschäftsführer zurückgeholt werden kann, ist rechtlich nicht abschließend geklärt. Andere Schäden, etwa ein Ausschluss von künftigen Vergaben, kann die GmbH dagegen geltend machen.

Deckungsseite: Die Geldbuße selbst übernimmt die D&O nicht, und nach überwiegender Ansicht ist sie auch nicht versicherbar. Ob die D&O einen Regress der GmbH deckt, regeln die Bedingungswerke unterschiedlich, und die GDV-Musterbedingungen schließen ihn aus. Sie nehmen zudem Ansprüche wegen Wettbewerbsbeschränkungen insgesamt vom Schutz aus. Ob die übrigen Schäden und die Abwehrkosten versichert sind, hängt deshalb davon ab, ob Ihr Vertrag diesen Ausschluss streicht.

FAQ

Ist ein Compliance-Management-System Pflicht?

Eine ausdrückliche gesetzliche Pflicht gibt es nur in Einzelfällen, etwa für Banken, Versicherer oder Verpflichtete nach dem Geldwäschegesetz. Die Geschäftsleitung muss aber Rechtsverstöße im Unternehmen verhindern. Wie viel Organisation dafür nötig ist, hängt von Größe und Risiken ab.

Was gehört zu einem Compliance-Management-System?

Eine Bewertung der Rechtsrisiken, klare Zuständigkeiten, verständliche Regeln, Schulungen, Kontrollen und ein Weg für Hinweise. Hinzu kommt ein Verfahren für den Ernstfall, das Verstöße aufklärt, beendet und Konsequenzen zieht.

Ab wann braucht ein Unternehmen eine interne Meldestelle?

Nach dem Hinweisgeberschutzgesetz ab in der Regel 50 Beschäftigten. Für einige Branchen, etwa Finanzdienstleister, gilt die Pflicht unabhängig von der Größe.

Schützt ein CMS die Geschäftsführung vor Haftung?

Es schützt nicht vor jedem Vorwurf, verbessert aber Ihre Position erheblich. Wer nachweisen kann, dass er angemessen organisiert und kontrolliert hat, entkräftet den Vorwurf des Organisationsverschuldens.

Übernimmt die D&O-Versicherung Bußgelder?

Geldbußen selbst übernimmt die D&O nicht, und nach überwiegender Ansicht sind sie auch nicht versicherbar. Die Kosten der Verteidigung im Bußgeldverfahren können je nach Bedingungswerk gedeckt sein. Ob ein Regress der Gesellschaft wegen einer Geldbuße versichert ist, regelt der einzelne Vertrag.

Verwandte Begriffe

• Legalitätspflicht – die Pflicht, die ein CMS organisatorisch umsetzt.
• Organisationsverschulden – die Haftung, wenn die Organisation Verstöße nicht verhindert.
• Überwachungspflicht – warum delegierte Compliance kontrolliert werden muss.
• NIS2-Managerhaftung – ein neues Pflichtenfeld, das ins CMS gehört.
• EU-KI-Verordnung – Pflichten beim Einsatz künstlicher Intelligenz.