ISO 37001 — Korruption vorbeugen

ISO 37001 beschreibt ein Managementsystem gegen Bestechung. Erfasst ist beides: Bestechung, die vom Unternehmen ausgeht, und Bestechung, die sich gegen das Unternehmen richtet — im öffentlichen wie im privaten Sektor, durch eigene Beschäftigte ebenso wie durch Vermittler, Berater und Vertriebspartner. Nicht erfasst sind Betrug, Kartellabsprachen, Geldwäsche und Steuerdelikte. Die Norm ist bewusst eng geschnitten, weil Bestechung eigene Mechanismen hat und eigene Kontrollen braucht.

Der Anlass ist selten Eigenantrieb. Meist steht ein Konzernkunde dahinter, der Lieferanten auf ein Antikorruptionssystem verpflichtet, ein Auslandsmarkt mit Vermittlervertrieb, ein öffentlicher Auftraggeber oder ein Vorfall, der aufgearbeitet werden muss. Die Norm folgt der gemeinsamen Grundstruktur der Managementsystemnormen und lässt sich deshalb in ein bestehendes System nach ISO 9001 einbauen, statt daneben zu stehen.

Was das Zertifikat leistet — und was nicht

Diese Abgrenzung gehört an den Anfang, weil sie am häufigsten missverstanden wird. Ein Zertifikat bescheinigt, dass ein System eingerichtet ist und den Anforderungen entspricht. Es bescheinigt nicht, dass im Unternehmen nicht bestochen wurde. Ein Auditor arbeitet mit Stichproben, nicht mit Ermittlungsbefugnissen. Die Norm sagt das selbst deutlich.

Was ein funktionierendes System bewirken kann, liegt an anderer Stelle. Wenn gegen ein Unternehmen ermittelt wird, spielt eine Rolle, welche Vorkehrungen getroffen und wie ernsthaft sie betrieben wurden. Ein System, das nachweisbar arbeitet — mit Risikobeurteilungen, geprüften Geschäftspartnern, verfolgten Meldungen —, steht dabei anders da als eine Richtlinie im Intranet. Diese Wirkung entsteht durch die Substanz, nicht durch die Urkunde. Wer die Zertifizierung als Versicherung kauft, hat den teuersten und wirkungslosesten Weg gewählt.

Ebenso wichtig ist die zeitliche Grenze. Ein Audit betrachtet einen Zeitraum und eine Stichprobe. Es kann nicht ausschließen, dass ein einzelner Vorgang außerhalb dieser Stichprobe anders gelaufen ist. Seriöse Zertifizierungsstellen formulieren das im Zertifikat entsprechend zurückhaltend. Wer im Vertrieb mehr verspricht, als dort steht, schafft ein neues Problem statt Vertrauen.

Die zentralen Anforderungen

Der Aufbau folgt der bekannten Gliederung von Kontext bis Verbesserung. Spezifisch für ISO 37001 sind die Inhalte, die diese Kapitel füllen.

Zwei Punkte tragen das System. Der erste ist die Risikobeurteilung. Sie ist keine Länderampel, sondern die Frage, an welchen Stellen im eigenen Geschäft überhaupt ein Vorteil gewährt oder angenommen werden könnte: bei der Vergabe von Nachträgen, bei Abnahmen, bei Zollabfertigung, bei Genehmigungen, bei der Auswahl von Lieferanten. Methodisch hilft der Rahmen aus ISO 31000, inhaltlich ersetzt er die Detailarbeit nicht.

Der zweite ist die Sorgfaltsprüfung von Geschäftspartnern. Sie ist abgestuft: Ein Standardlieferant mit Katalogware durchläuft eine andere Prüfung als ein Handelsvertreter mit Erfolgsprovision in einem Markt mit hohem Risiko. Genau diese Abstufung muss begründet und dokumentiert sein. Die Prüfung greift dabei in die Lieferantenbewertung ein, die in vielen Häusern bereits existiert — und sollte dort eingebaut werden, statt als zweiter Prozess zu laufen.

Für wen sich das System lohnt

Sinnvoll ist ISO 37001 dort, wo Bestechungsrisiken strukturell im Geschäftsmodell liegen. Das betrifft Anlagen- und Maschinenbau mit Vertrieb über Agenten, Bau- und Ingenieurleistungen für die öffentliche Hand, Handel mit Beschaffung in Hochrisikomärkten, Logistik mit Zoll- und Genehmigungsberührung sowie Unternehmen in Konzernlieferketten, die einen Nachweis fordern.

Wenig sinnvoll ist die Zertifizierung, wenn das Geschäft rein national, ohne Vermittler und ohne öffentliche Auftraggeber läuft. Dann fehlt der Adressat des Zertifikats, und die inhaltliche Arbeit lässt sich mit weniger Aufwand in bestehende Verfahren einbauen. Ebenfalls fragwürdig ist der Weg, wenn ein konkreter Verdachtsfall im Raum steht: Erst wird aufgeklärt, dann wird ein System gebaut. Eine Zertifizierung während laufender Aufarbeitung erzeugt Erwartungen, die das Audit nicht einlösen kann.

Wer Compliance breiter aufstellen will — Kartellrecht, Datenschutz, Exportkontrolle, Sanktionen —, sollte ISO 37301 als Rahmen prüfen und ISO 37001 darin als Fachthema führen. Zwei getrennte Systeme nebeneinander erzeugen doppelte Dokumentation ohne zusätzlichen Schutz.

Eine Zwischenlösung wird häufig übersehen: Die Norm lässt sich als Arbeitsgrundlage nutzen, ohne dass zertifiziert wird. Risikobeurteilung, abgestufte Partnerprüfung, Freigabegrenzen und Meldeweg lassen sich in bestehende Verfahren einbauen und über das interne Auditprogramm überwachen. Der Nachweis nach außen fehlt dann, die Schutzwirkung nicht. Für Betriebe, bei denen kein Kunde nach dem Zertifikat fragt, ist das oft der wirtschaftlichere Weg.

Der Weg zum Zertifikat

Der Ablauf der Zertifizierung folgt dem üblichen Muster: Stufe-1-Audit zur Prüfung von Dokumentation und Auditreife, Stufe-2-Audit vor Ort, jährliche Überwachungsaudits, Rezertifizierung im dritten Jahr.

Zwei Besonderheiten prägen den Ablauf. Erstens ist der Geltungsbereich heikler als bei anderen Normen. Ein Zertifikat, das nur die deutsche Zentrale abdeckt, während das Risiko in einer Auslandstochter liegt, ist für Kunden wertlos und weckt den Verdacht, die Grenze sei absichtlich so gezogen worden. Auditoren fragen an dieser Stelle regelmäßig nach.

Zweitens prüft der Auditor stärker an Vorgängen als an Verfahren. Er verlangt die Provisionsvereinbarung mit dem Vermittler, die zugehörige Sorgfaltsprüfung, die Freigabe und die Zahlungsbelege — und verfolgt die Spur durch. Interne Audits, die nur Verfahrensbeschreibungen abgleichen, bereiten darauf nicht vor. Sinnvoll ist ein risikobasiertes Auditprogramm, das Vorgänge zieht und rückwärts prüft.

Woran Projekte im Audit scheitern

Die Risikobeurteilung bleibt auf Länderebene. Eine Tabelle mit Ländern und Ampelfarben ersetzt keine Analyse der eigenen Geschäftsvorgänge. Der Auditor fragt nach dem Vorgang, nicht nach dem Land.

Die Compliance-Funktion hängt am Vertrieb. Der Vertriebsleiter ist zugleich Compliance-Beauftragter. Damit ist die geforderte Unabhängigkeit nicht gegeben — eine typische Hauptabweichung.

Sorgfaltsprüfung ohne Abstufung. Alle Partner durchlaufen dieselbe Prüfung, meist eine oberflächliche. Risikobasiert heißt: unterschiedlich tief, mit dokumentierter Begründung.

Vermittlerverträge ohne Leistungsnachweis. Erfolgsprovisionen laufen gegen Rechnungen ohne Beschreibung der erbrachten Leistung. Das ist der klassische Prüfpunkt, weil sich hinter solchen Zahlungen Vorteilsgewährung verbergen kann.

Der Meldeweg wird nicht genutzt. Seit Einführung ist keine einzige Meldung eingegangen. Das gilt nicht als Erfolg, sondern als Hinweis auf fehlendes Vertrauen — vergleichbar mit internen Audits ohne Feststellungen.

Schulung als einmalige Pflichtübung. Alle haben eine Online-Unterweisung abgeschlossen, niemand kann sagen, wie er sich bei einer konkreten Forderung verhalten soll. Wirksam werden Schulungen erst mit Fällen aus dem eigenen Geschäft.

Geschenke- und Bewirtungsregister existieren nicht. Es gibt Schwellenwerte, aber keine Aufzeichnung. Damit lässt sich weder die Einhaltung noch eine Häufung erkennen.

Die Leitung erscheint nur zur Eröffnung. Antikorruption ist ein Führungsthema, weil die Grenzen dort gezogen werden, wo Umsatz auf dem Spiel steht. Ein Auditor merkt schnell, ob die Geschäftsführung den Fall kennt, in dem ein Auftrag abgelehnt wurde.

Ein Vorfall wurde nie zu Ende bearbeitet. Der Verdacht wurde geprüft, ein Ergebnis liegt vor, aber keine Bewertung, ob das System angepasst werden muss. Genau diesen Schritt verlangt der Umgang mit Nichtkonformitäten.

Abgrenzung zu verwandten Normen und Regelwerken

Die praktische Reihenfolge ist meist eindeutig. Zuerst wird geklärt, wo im eigenen Geschäft Bestechung überhaupt möglich wäre. Erst danach entscheidet sich, ob ein zertifiziertes System nötig ist oder ob die Kontrollen in bestehende Prozesse gehören — und wer sie verantwortet.