ISO 37301 — Compliance als System

ISO 37301 beschreibt die Anforderungen an ein Compliance-Managementsystem. Sie regelt, wie eine Organisation ihre verbindlichen Pflichten und ihre freiwilligen Selbstverpflichtungen erfasst, die daraus entstehenden Risiken bewertet, Maßnahmen ergreift und deren Wirkung überprüft.

Der Anspruch ist breiter, als der Begriff Compliance im Alltag nahelegt. Gemeint sind nicht nur Korruption und Kartellrecht, sondern alle Anforderungen, die für die Organisation gelten: Arbeitsschutz, Datenschutz, Produktsicherheit, Exportkontrolle, Sanktionslisten, Umweltrecht, Steuerpflichten, branchenspezifische Aufsichtsregeln — dazu Verpflichtungen aus Verträgen, Verhaltenskodizes und Konzernvorgaben.

Der Unterschied zur Vorgängerin ist formal und folgenreich. ISO 19600 war ein Leitfaden mit Empfehlungen und konnte deshalb nicht zertifiziert werden. ISO 37301 formuliert Anforderungen und ist prüfbar. Damit wandert Compliance aus dem Bereich der Selbstauskunft in den Bereich der belegbaren Systeme — mit allem, was das an Nachweisarbeit bedeutet.

Was die Norm verlangt

Der Aufbau folgt der gemeinsamen Struktur der Managementsystemnormen. Die Substanz steckt in den Kapiteln 4, 6 und 8.

Fünf Elemente prägen die Arbeit stärker als alle anderen.

Das Verzeichnis der Compliance-Verpflichtungen. Es ist der Ausgangspunkt. Die Norm unterscheidet dabei zwischen Anforderungen, die verbindlich gelten, und Selbstverpflichtungen, die die Organisation freiwillig eingegangen ist — etwa aus einem Verhaltenskodex oder einer Kundenvereinbarung. Beide gehören erfasst, mit Zuständigkeit und mit der Ableitung, was daraus konkret zu tun ist.

Die Beurteilung der Compliance-Risiken. Bewertet wird nicht die Vorschrift, sondern die Wahrscheinlichkeit und die Folge eines Verstoßes im eigenen Geschäft. Ein Unternehmen, das über Handelsvertreter in Märkten mit schwacher Verwaltung verkauft, hat ein anderes Risikobild als eines mit Direktvertrieb im Inland — auch wenn dieselben Vorschriften gelten. Die Risikobewertung muss diesen Unterschied abbilden.

Die Compliance-Funktion. Sie braucht Befugnisse, Ressourcen und einen direkten Weg zum obersten Leitungsorgan. Die Norm schreibt keine eigene Abteilung vor — in mittelständischen Unternehmen ist die Aufgabe oft an eine vorhandene Rolle angebunden. Sie schreibt aber vor, dass diese Rolle nicht in einem Interessenkonflikt steht.

Meldewege und Untersuchung. Beschäftigte und Dritte müssen Hinweise geben können, ohne Nachteile zu befürchten. Dazu gehören ein definiertes Untersuchungsverfahren, Fristen für Eingangsbestätigung und Rückmeldung und der Schutz der hinweisgebenden Person. In Deutschland überschneidet sich das mit den gesetzlichen Vorgaben zum Hinweisgeberschutz.

Konsequenzen. Der Punkt, an dem sich entscheidet, ob das System ernst gemeint ist. Ein festgestellter Verstoß muss Folgen haben, und diese Folgen müssen über Standorte und Hierarchieebenen hinweg gleich gehandhabt werden. Ein System, das im Lager arbeitsrechtliche Maßnahmen auslöst und im Vertrieb ein Gespräch, ist kein System.

Für wen sich die Norm lohnt und wann nicht

Der stärkste Anlass ist ein äußerer Druck, der ohnehin besteht. Unternehmen mit erheblichem Vergabegeschäft brauchen Nachweise über ihre Organisation, insbesondere nachdem es einmal Anlass zur Beanstandung gab. Konzerne kaskadieren Compliance-Anforderungen auf ihre Lieferanten. Regulierte Branchen berichten ohnehin. Und wer über Handelsvertreter, Distributoren oder Joint Ventures im Ausland verkauft, trägt ein Risiko, das sich ohne System nicht steuern lässt.

Hinzu kommt eine Entwicklung, die viele Unternehmen ohnehin bindet: Gesetzliche Vorgaben zu internen Meldestellen und zu Sorgfaltspflichten in der Lieferkette verlangen Elemente, die ISO 37301 ebenfalls fordert — Risikoanalyse, Beschwerdeverfahren, Zuständigkeit, Berichtswesen. Wer diese Bausteine ohnehin bauen muss, sollte prüfen, ob er sie einzeln nebeneinanderstellt oder in einem System zusammenführt. Der Unterschied im Aufwand liegt weniger im Aufbau als in der Pflege über die Jahre.

Der zweite Anlass ist der Vorfall. Nach einem Verstoß ist die Frage nicht mehr, ob ein System nötig ist, sondern wie schnell es steht und wie überzeugend es dokumentiert ist. Für diese Situation ist ISO 37301 gut geeignet, weil sie einen vollständigen, von außen prüfbaren Rahmen liefert, statt einer Sammlung von Einzelmaßnahmen.

Gegen ein Projekt sprechen zwei Konstellationen. In einem inhabergeführten Unternehmen mit überschaubarem Risikobild — Inlandsgeschäft, keine öffentlichen Auftraggeber, keine Vermittler — ist ein zertifiziertes System selten verhältnismäßig. Dokumentierte Einzelmaßnahmen mit klarer Zuständigkeit leisten dort dasselbe zu einem Bruchteil des Aufwands. Und wenn die Erwartung darin besteht, mit dem Zertifikat Haftung abzuwenden, ist sie falsch: Das Zertifikat belegt die Existenz eines Systems zum Prüfzeitpunkt, nicht seine Wirksamkeit im Einzelfall.

Der Weg zum Zertifikat

Der Ablauf einer Zertifizierung folgt dem bekannten Muster. Vier Punkte weichen ab.

Der Geltungsbereich lässt sich nicht um das Risiko herumlegen. Ein Zertifikat, das die Tochtergesellschaft im Auslandsvertrieb ausklammert, beantwortet genau die Frage nicht, die Kunden und Auftraggeber stellen. Zertifizierungsstellen weisen solche Zuschnitte zunehmend zurück.

Der Auditor spricht mit der Spitze. Die Verpflichtung des obersten Leitungsorgans ist eine Anforderung, keine Formel. Befragt wird die oberste Leitung selbst — nach dem Risikobild, nach den letzten Fällen, nach Konsequenzen, nach dem Zusammenspiel von Zielvorgaben und Regeltreue. Ein Vertriebsvorstand, dessen Zielvereinbarung ausschließlich Umsatz kennt, ist eine Feststellung wert.

Vertrauliche Unterlagen brauchen eine Vereinbarung vorab. Der Auditor muss Untersuchungsvorgänge einsehen können, ohne dass Persönlichkeitsrechte verletzt werden. Üblich sind anonymisierte Auszüge oder Einsicht ausschließlich vor Ort ohne Kopien. Wer das erst am Audittag klärt, verliert Zeit und riskiert eine Feststellung wegen fehlender Nachweise.

Nachweise entstehen über den Zyklus. Fallbearbeitungen, Schulungsnachweise mit Wirksamkeitsprüfung, wiederholte Prüfungen von Geschäftspartnern, Berichte an die Leitung: Diese Belege lassen sich nicht nachträglich erzeugen. Die Managementbewertung muss Compliance eigenständig behandeln, nicht als Punkt unter Sonstiges.

Woran Projekte scheitern

Das Pflichtenverzeichnis ist ein Gesetzesauszug. Vierzig Rechtsnormen, aus einer Datenbank übernommen, ohne Zuständigkeit und ohne Ableitung, was im eigenen Betrieb daraus folgt. Der Auditor fragt bei drei Einträgen nach, wer sie verantwortet und welche Maßnahme daraus entstanden ist — und erhält keine Antwort.

Die Risikobeurteilung ist generisch. Sie listet Themengebiete statt Situationen. Konkret wären: Barzahlungen an einem bestimmten Standort, Vermittlerprovisionen in einem bestimmten Markt, Kontakte zu Amtsträgern in Genehmigungsverfahren, Preisabsprachen in einem engen Anbietermarkt.

Schulung wird gemessen, nicht geprüft. Die Abschlussquote der Pflichtschulung liegt bei nahezu hundert Prozent, ein Wirksamkeitsnachweis fehlt. Zugleich hat die Gruppe mit dem höchsten Risiko dieselbe allgemeine Schulung bekommen wie die Verwaltung. Eine Kompetenzmatrix, die Risikogruppen unterscheidet, fehlt.

Der Meldeweg ist für Dritte verschlossen. Lieferanten, Vertreter und Kunden können keine Hinweise geben, obwohl von dort die relevanten Informationen kämen. Häufig fehlt auch die Möglichkeit, anonym zu melden und trotzdem eine Rückfrage zu beantworten.

Konsequenzen werden nicht dokumentiert. Es gab Fälle, es gab Gespräche, es gab keine Aufzeichnung. Damit ist weder Gleichbehandlung noch Wirksamkeit belegbar — und beides ist ausdrücklich gefordert.

Die Compliance-Funktion hängt im falschen Berichtsweg. Sie ist der kaufmännischen Leitung unterstellt und soll deren Bereich mitprüfen. Das ist die häufigste strukturelle Feststellung und lässt sich nur durch eine Organisationsänderung beheben, nicht durch ein Dokument.

Geschäftspartner werden einmal geprüft. Die Sorgfaltsprüfung greift bei Neuaufnahme, danach nie wieder. Bestandspartner, die seit zehn Jahren vermitteln, sind nie erneut bewertet worden.

Interne Audits klammern Compliance aus. Das Auditprogramm deckt Qualität und Arbeitsschutz ab, die Compliance-Prozesse selbst werden nie auditiert — oder von der Compliance-Funktion, die damit ihre eigene Arbeit prüft. Die Anforderung an die Objektivität im Audit gilt hier genauso wie in jedem anderen Managementsystem.

Compliance taucht in der Managementbewertung als Folie auf. Ohne Kennzahlen, ohne Fallübersicht, ohne Entscheidungen. Die Norm verlangt Berichte an das oberste Leitungsorgan mit Substanz — die Bewertung ist der Ort, an dem das sichtbar wird.

Abgrenzung zu verwandten Normen und Prüfungen

Für die Entscheidung zwischen ISO 37301 und einer Prüfung nach IDW PS 980 ist meist der Adressat ausschlaggebend. Aufsichtsräte, Wirtschaftsprüfer und deutsche Konzernmütter sind an den Prüfungsstandard gewöhnt und lesen dessen abgestufte Aussage — Konzeption, Angemessenheit, Wirksamkeit — als differenzierte Information. Internationale Kunden und Ausschreibungsstellen erkennen dagegen das ISO-Zertifikat. Beides parallel zu betreiben ist möglich, lohnt sich aber nur, wenn beide Adressatenkreise tatsächlich fordern. Wer das System ohnehin nach ISO 37301 aufbaut, kann es später ohne Bruch nach dem Prüfungsstandard beurteilen lassen — die umgekehrte Richtung ist aufwendiger, weil die Managementsystemkapitel dann nachzubauen sind. Wer die Verantwortung für ein solches System im Unternehmen ansiedeln will, findet die Argumente dazu im Beitrag zur Verantwortung für das Managementsystem.