Der vom Institut der Wirtschaftsprüfer (IDW) im März 2010 vorgestellte Entwurf eines Standards zur Prüfung von Compliance Management Systemen (CMS) wurde in der Öffentlichkeit nicht nur mit Zustimmung aufgenommen. Auch hier auf dem Kompetenzportal RiskNET zweifelten Peter Hager und Frank Romeike in ihrem Beitrag "IDW EPS 980: Risiken und Nebenwirkungen ausufernder Kontrollsysteme" vom 12. Mai 2010, ob der Standard das Thema Compliance nicht nur zum Erzeugen von neuem Beratungs- und Prüfungsaufwand instrumentalisieren würde. Der Standard würde inhaltlich wenig neue Erkenntnisse, aber im Gegenzug viel Papier mit sich bringen. Die Online-Zeitschrift "Compliance" der Finance-Redaktion stellt in Ihrer April Ausgabe die Frage, ob der Standard ein "Bürokratiemonster" sei.

Vor diesem Hintergrund erscheint es sinnvoll näher zu betrachten, warum das IDW die Notwendigkeit für einen solchen Standard sah, was das IDW mit dem Standardentwurf beabsichtigte und was der Standard  erreicht. Das Thema "Compliance" hat in den letzten Jahren (nicht nur in Deutschland) eine immer höhere Bedeutung für Unternehmen erlangt. Dies liegt nicht nur an einer merklich gestiegenen Verfolgung von Verstößen bspw. gegen Anti-Korruptionsvorschriften durch die US-amerikanischen und auch die deutschen Strafverfolgungsbehörden sowie der Öffentlichkeitswirksamkeit  insbesondere von Verfahren gegen große deutsche Unternehmen. Auch in anderen Bereichen, beispielsweise den Datenschutzvorschriften, müssen Unternehmen erkennen, dass sie nicht zur zunehmend schnell Bekanntschaft mit der Staatsanwaltschaft machen, sondern ihr öffentliches Image ebenso schnell Schaden nehmen kann. Verschiedene Urteile  über unterschiedliche Instanzen bis hin zum BGH zeigen zudem die gestiegene Gefahr persönlicher Haftung von Vorständen und anderen Compliance-Verantwortlichen. Folgerichtig beschäftigen sich Geschäftsführungs- und Aufsichtsorgane immer intensiver mit der Frage, wie die Einhaltung von Gesetzen und Vorschriften im Unternehmen und durch das Unternehmen sicher gestellt werden kann.

Nur gesetzeskonforme Geschäfte

Die Kernaussage "Unser Unternehmen macht nur Geschäfte, die im Einklang mit dem Gesetz und anderen Vorschriften stehen" ist dabei schnell getroffen. Wirksam kann eine solche Aussage aber nur werden, wenn sich das Unternehmen insgesamt bei jedem Geschäft hieran hält. Konkret bedeutet dies, dass jeder, der im, für oder durch das Unternehmen tätig wird, sein tägliches Verhalten an dieser Kernaussage messen lassen muss. Es dürfte allgemein akzeptiert sein, dass es unrealistisch wäre alleine auf die Kraft einer solchen Aussage zu vertrauen. Hierbei soll nicht auf die immer vorhandene Gefahr von krimineller Energie eingegangen werden, die sich auch durch Kontrollen und andere Maßnahmen nur  begrenzt beseitigen lässt. Vielmehr ist der Anspruch alle Gesetze und Vorschriften bei allen Geschäften einhalten zu wollen immer öfter schwierig umzusetzen. Umso umfangreicher und komplexer die Geschäftstätigkeit eines Unternehmens wird, umso umfangreicher und komplexer werden die einzuhaltenden Vorschriften und umso mehr wächst die Gefahr  auch unbewusst gegen Gesetze zu verstoßen. Gerade mittelständische Unternehmen laufen Gefahr, sich in - oftmals nicht gerechtfertigter – Sicherheit zu wiegen, ohne tatsächlich den vollen Umfang der möglichen Gesetzesverstöße zu kennen. Die Sicherstellung der tatsächlichen Einhaltung von Vorschriften und Gesetzen sollte daher systematisiert werden. Es darf nicht übersehen werden, dass sowohl die US-Amerikanischen Vorschriften (US Sentencing Guidelines) implizit wie auch die britischen Gesetze (UK Anti-Bribery Act) explizit die Einrichtung eines Systems zur Verhinderung von Bestechungshandlungen fordern. Diese Vorschriften sind auch von deutschen Unternehmen einzuhalten, wenn sie in den jeweiligen Ländern geschäftlich tätig werden. Wird ein (Compliance-Management-System) CMS eingerichtet, muss es auch die Sicherstellung der Compliance bei den Handlungen der Geschäftsführung gewährleisten. Da die Geschäftsführung aber selber für die Einrichtung eines CMS verantwortlich zeichnet, stellt sich die Frage, wie sie unabhängig die Eignung des CMS beurteilen kann. Die Frage nach der objektiv beurteilten Eignung des CMS wird sich spätestens dann stellen, wenn es trotz der vorhandenen Maßnahmen zu Verstößen gekommen ist und die Geschäftsleitung –  ggfs. auch gerichtlich  – nachweisen muss, dass sie ihren Geschäftsleitungspflichten nachgekommen ist.

Gemeinsames Verständnis über Anforderungen an Compliance-Management-System

Hier war das Institut der Wirtschaftsprüfer gefordert. Zunehmend traten Unternehmen an die Mitglieder des Berufsstandes heran, um eine  Bescheinigung einer unabhängigen Institution über die Eignung des CMS zu erhalten. Die sich hieraus ergebende Frage war, welche Anforderungen an das Unternehmen sowie an die Wirtschaftsprüfer und ihre Tätigkeit zu stellen sind, damit eine solche Bescheinigung erstellt werden kann. Selbstverständlich besteht hier die Möglichkeit für den Berufsstand, zusätzliche Aufträge zu generieren. Der Standard weckt aber nicht den Bedarf für entsprechende Aufträge, vielmehr stellt er die Reaktion des Berufsstandes auf den vorhandenen und steigenden Bedarf dar. Der Berufsstand der Wirtschaftsprüfer muss bei seiner Tätigkeit schon von Gesetzeswegen unter anderem die Grundsätze der Unabhängigkeit und Gewissenhaftigkeit einhalten und insbesondere Prüfungsberichte unparteiisch erstellen. Daher ist es notwendig, dass gerade bei neuen Tätigkeitsbereichen ein gemeinsames Verständnis darüber gefunden wird, welche Anforderungen an diese Tätigkeiten zu stellen sind. Ebenso gehört es zum Selbstverständnis des Berufsstandes, die Anforderungen, Möglichkeiten aber auch die Grenzen der eigenen beruflichen Tätigkeit öffentlich darzustellen. Nur so können Erwartungslücken vermieden werden.  Es war sehr schnell zu erkennen, dass die Anforderungen an die Prüfung eines CMS zunächst klarer Definitionen bedürfen. Anders als bei der Prüfung eines Jahresabschlusses - eine der Kernaufgaben von Wirtschaftsprüfern – ist die Prüfung eines CMS hinsichtlich des Prüfobjektes nicht klar definiert gewesen.

Klare Definition des Begriffes "Compliance"

Weder bestand in der Literatur eine klare Definition des Begriffes "Compliance" noch eine einheitliche Auffassung, wie die Eignung eines CMS zu beurteilen ist. Zwar beschäftigt sich der Standard vornehmlich mit den Anforderungen an den Prüfer in Bezug auf die Durchführung der Prüfung eines CMS. Es war aber auch notwendig, diese grundlegenden Fragen, was "Compliance" ist und wie die Eignung eines CMS beurteilt werden kann, zu beantworten. Dazu musste sich der Berufsstand auch mit der Frage der Anforderungen an ein CMS beschäftigen. Hierin liegt dann auch der hauptsächliche Nutzen des Standards für die Unternehmen. Gleichzeitig  ist  die berufsständische Verlautbarung hier auch den meisten Angriffen ausgesetzt. Dabei sind diese Angriffe teilweise durchaus widersprüchlich. Zum einen wird bemängelt, dass der Standard wenig Neues oder Konkretes zum Thema Compliance bzw. CMS bieten würde. Zum anderen wird auch  angemerkt, dass es falsch sei, das Thema "Compliance" übermäßig zu regulieren und zu wenig auf die Gegebenheiten des jeweiligen Unternehmens einzugehen. Die Vorwürfe sind widersprüchlich,  man kann sie sowohl als zutreffend als auch unzutreffend bezeichnen. Nachfolgend sollen diese Aussagen hinsichtlich ihrer Richtigkeit beurteilt werden.  

Compliance = Einhaltung von Regeln

Der Standard legt fest, dass unter Compliance ganz allgemein die Einhaltung von Regeln verstanden wird. Wer diese Regeln festgelegt hat oder welchen Verpflichtungsgrad sie haben, ist dabei für die Definition des Begriffes zunächst unerheblich (sehr wohl aber für die Angemessenheit von Maßnahmen). Natürlich kann diese Definition als "Allgemeinplatz" kritisiert werden. Da in der Praxis Unternehmen den Begriff "Compliance" bzw. ihre "Compliance-Abteilung" oftmals aber nur eingeschränkt beispielsweise für die Einhaltung von Anti-Korruptionsvorschriften verwenden, war es notwendig, zunächst  die allgemeine Definition des Begriffs klarzustellen . Gleichzeitig stellt der Standard dann aber klar, dass es die Aufgabe eines jeden Unternehmens ist, zu definieren, für welche Compliance-Teilbereiche das jeweilige CMS die Einhaltung der Regeln sicherstellen soll. Diese Eingrenzung ist eine notwendige Voraussetzung dafür, dass die Eignung der Maßnahmen durch den Prüfer beurteilt werden kann. Der Prüfer kann hierdurch gezielt eine Beurteilung für die Bereiche vornehmen, deren Bedeutung für das Unternehmen oder die Geschäftsführung am Höchsten ist.  Eine solche risikoorientierte Betrachtung dient auch der Begrenzung des Arbeitsumfanges und damit der Kosten. Die vom IDW in den Anwendungshinweisen zum Standard aufgelisteten möglichen CMS-Teilbereiche stellen dabei keineswegs eine Liste dar, die von allen Unternehmen "abzuarbeiten" ist. In welchen Gebieten Compliance-Risiken für ein Unternehmen tatsächlich bestehen und konkrete Maßnahmen erfordern, obliegt der Beurteilung durch die geschäftsführenden Organe. Auftrag und Berichterstattung über die Prüfung müssen aber klar erkennen lassen, auf welche Teilbereiche des CMS sich die Prüfung bezieht.

Grundelemente eines Compliance-Management-Systems

Zudem definiert der Standard, welche Grundelemente ein CMS umfasst. Hierbei werden bewusst keine konkreten Grundsätze oder Maßnahmen festgelegt, die ein CMS enthalten muss. Dies wäre wenig sinnvoll. So umfangreich die Menge der vom jeweiligen Unternehmen einzuhaltenden Regeln sein kann, so umfangreich und unterschiedlich sind die zur Sicherstellung der Compliance möglichen oder notwendigen Grundsätze und Maßnahmen. Genau dies erkennt der Standard an und vermeidet es bewusst, ein starres Regelwerk vorzugeben. Dessen Einhaltung würde für ein konkret betroffenes Unternehmen in der Praxis oft nicht den Notwendigkeiten entsprechen und wäre folglich ineffizient. Die Wirksamkeit eines CMS kann durch eine Überregulierung und damit einhergehende fehlende Akzeptanz sogar gefährdet sein.  Ein vom IDW vorgenommener Vergleich verschiedener (im Anhang zum Standard aufgeführter Rahmenwerke zu CMS) lässt aber erkennen, dass Systeme zur Einhaltung der Compliance ebenso wie alle Risikomanagement-Systeme sich regelmäßig mit bestimmten Grundelementen beschäftigen. Diese Grundelemente (Compliance-Kultur, Compliance-Ziele, Compliance-Organisation, Compliance-Risiken, Compliance-Programm, Compliance-Kommunikation und Complinace-Überwachung) stellen quasi das Gerüst eines CMS dar und sind die einzelnen vom Prüfer zu beurteilenden Bausteine. Hinweise zur Ausgestaltung dieser Grundelemente finden sich in den verschiedenen vom Standard angeführten Rahmenwerken. Insbesondere das weltweit anerkannte Rahmenwerk für Risikomanagementsysteme COSO Enterprise Risk Management – Integrated Framework bildet eine wesentliche Grundlage auch des IDW Standards. Konkret müssen aber immer die Gegebenheiten des jeweiligen Unternehmens und die Notwendigkeiten der einzuhaltenden Regeln den Maßstab bilden. So wird sich das CMS eines weltweiten Großkonzerns insbesondere in den zu implementierenden Maßnahmen deutlich vom System eines mittelständischen, vom Inhaber geführten Unternehmens unterscheiden, ohne dass das eine System mehr oder weniger wirksam wie das andere sein muss. Auch das COSO Rahmenwerk anerkennt diese notwendige Anpassung bei der Ausgestaltung eines Risikomanagementsystems und vermeidet bewusst zwingende Vorgaben für die Ausgestaltung eines Systems zu machen. Vielmehr werden Faktoren aufgeführt und diskutiert, die es bei der Einrichtung von Systemen zu beachten gilt. Genau diese notwendige Flexibilität verhindert, dass überzogene Anforderungen oder unnötige Prüfungshandlungen durchgeführt werden und darf nicht als eine vermeintliche Inhaltsleere des IDW-Standards missverstanden werden.

Prüfung des Systems – nicht der Einhaltung der Regeln

Kritisiert wird auch die Feststellung des Standards, dass ein CMS - auch ein geprüftes – nicht zwangsläufig in der Lage ist, alle möglichen Verstöße gegen die entsprechenden Regeln zu verhindern. Diese Feststellung ist – auch wenn es so klingen mag – keine "Freizeichnungsklausel" für den Prüfer. Vielmehr ist es die Wiedergabe der schlichten Wahrheit. Nicht nur die nicht zu unterschätzende kriminelle Energie von Menschen, sondern auch der einfache menschliche Fehler oder Irrtum sowie die sich schnell ändernden Rahmenbedingungen stellen inhärente Beschränkungen aller entsprechenden Systeme dar. Dies ist aber kein Grund dafür von vorneherein auf ein CMS zu verzichten, vielmehr müssen die Einschränkungen bei der Einrichtung des CMS entsprechend berücksichtigt werden. Ein funktionierendes CMS verbessert die Chancen, dass die Compliance sichergestellt ist, einen hundertprozentigen Schutz kann es nicht geben – zumindest nicht ohne die Angemessenheit von Zielsetzung und Maßnahmen nicht aus dem Blick zu verlieren. Das IDW stellt diese (allgemein anerkannte) Beschränkung explizit dar, um eine Erwartungslücke zu vermeiden. Des Weiteren weist der Standard zutreffend darauf hin, dass es sich um die Prüfung des Systems handelt, nicht um die Prüfung ob die Regeln tatsächlich eingehalten wurden. Die Systemprüfung soll eine wenn auch eingeschränkte Aussage für die Zukunft geben, nur hierdurch wird ein Unternehmen seiner Verantwortung gerecht. Zunächst abzuwarten und hinterher zu beurteilen, ob etwas passiert ist, ist die schlechtere Alternative. Eine gezielte externe Untersuchung auf aufgetretene Verstöße ist meist nur bei konkreten Verdachtsfällen sinnvoll und kann durchaus auch von einem Wirtschaftsprüfer durchgeführt werden, gerade die größeren Kanzleien haben hierfür spezielle Forensic-Abteilungen. Diese Tätigkeit ist nicht Gegenstand des Entwurfes eines Prüfungsstandards. Gerade größere Unternehmen führen solche auch anlassunabhängigen Untersuchungen auf aufgetretene Compliance-Verstöße auch oftmals durch die eigenen Internen Revisionsabteilungen durch.

Anforderungen an Fach- und Branchenkenntnisse

Die Beurteilung, ob die eingerichteten Grundsätze und Maßnahmen im konkreten Einzelfall notwendig und angemessen sind, um die Sicherstellung der Compliance zu gewähren, steht dabei im fachlichen Ermessen des Prüfers. Die ohnehin bestehende berufsständische  Anforderung, dass nur solche Aufträge angenommen werden können, für die der Wirtschaftsprüfer über die notwendigen Fach- und Branchenkenntnisse verfügt oder sich diese durch das Hinzuziehen von Spezialisten verschaffen kann, wird im Standard nochmals explizit hervorgehoben. Keinesfalls bedeutet dies, dass immer nur große Prüfungsgesellschaften solche Aufträge annehmen können. Sicherlich wird die Prüfung des CMS eines Weltkonzerns einen Wirtschaftsprüfer in Einzelpraxis schnell überfordern. Ein System zur Sicherstellung der Einhaltung von Exportvorschriften bei einem mittelständischen Maschinenbauunternehmen wird eine kleine Prüfungspraxis aber ebenso durchführen können, wie die Jahresabschlussprüfung bei einem solchen Unternehmen. Die Anforderungen an Fach- und Branchenkenntnisse dienen zur Sicherstellung, dass an die Ausgestaltung des CMS keine praxisfernen und überflüssigen Anforderungen gestellt werden.

Risikoorientierte Ausrichtung der Einrichtung und Prüfung des CMS

Sowohl die Einrichtung des CMS durch das Unternehmen als auch die Prüfung muss sich an Risikogesichtspunkten orientieren. Diese unternehmensbezogene Ausrichtung der Prüfung ist ohne entsprechende Kenntnisse nicht möglich. Hierzu gehören auch Kenntnisse in Bezug auf die rechtlichen Anforderungen, dies im Zweifelsfall nicht nur bezogen auf das Inland, sondern auch auf die Länder, in denen das Unternehmen tätig ist. Zurecht weist der Standard darauf hin, dass der Abschlussprüfer des Unternehmens oftmals schon über viele Kenntnisse des Unternehmens verfügt, je nach Nähe oder Ferne des jeweiligen Compliance-Gebietes zur Rechnungslegung wird sich aber auch der Abschlussprüfer noch zusätzliche Kenntnisse vom Unternehmen und seinem Umfeld beschaffen müssen. Die Unterstellung (wie von Hager/Romeike angedeutet), dass der Standard dies verlangt, um dem Prüfer zusätzlichen bezahlten Aufwand zu verschaffen, ist unzutreffend. Tatsächlich dienen die Anforderungen der Sicherstellung einer angemessenen und zuverlässigen Durchführung der Prüfung. Eine oberflächlich durchgeführte Prüfung dient weder dem Unternehmen, das sich auf das Ergebnis der Prüfung verlassen möchte, noch dem Prüfer, der für seinen Bestätigungsvermerk ein erhebliches Haftungsrisiko eingeht.

Unterschiedliche Prüfungstiefen

Die vom  Standardentwurf vorgesehenen unterschiedlichen Prüfungstiefen sollen sicherstellen, dass Aufwand und Nutzen einer Prüfung immer im angemessenen Verhältnis stehen und den Bedürfnissen des Unternehmens angepasst sind. Der Grad der Einrichtung von entsprechenden Systemen in den Unternehmen ist in der Praxis sehr unterschiedlich. Viele Unternehmen fangen erst gerade an, ein CMS einzurichten.  Eine solche Einrichtung durchläuft verschiedene Stadien. Zunächst muss das CMS konzipiert werden. Dass heißt es muss entschieden werden, welche Compliance Teilbereiche die Einrichtung expliziter Systeme erfordern, wie diese aufgebaut und eingerichtet werden sollen. Steht das Konzept, müssen konkrete Grundsätze und Maßnahmen entwickelt und im Unternehmen eingerichtet werden. Schließlich muss in der Praxis überprüft werden, ob die Maßnahmen so greifen wie beabsichtigt, dass heißt in der Durchführung auch wirksam sind. Ist dieses Stadium erreicht, muss das Unternehmen für die laufende Überwachung der Wirksamkeit und dem Erkennen von Änderungsbedarf sowie der angemessenen Reaktion hierauf Sorge tragen.

Der Standard sieht für alle Stadien eine Unterstützung durch den Wirtschaftsprüfer vor. So kann sich die Geschäftsleitung zunächst bescheinigen lassen, dass  die Beschreibung der konzeptionellen Ausgestaltung des CMS umfassend auf alle notwendigen Grundelemente eingeht und inhaltlich zutreffend ist, dass heißt mit den bereits ergriffenen Maßnahmen zur Einrichtung von Strukturen übereinstimmt. Dies ist beispielsweise für eine notwendige Berichterstattung gegenüber Aufsichtsorganen aber auch in einem Geschäftsbericht sinnvoll. Sind Grundsätze und Maßnahmen entwickelt und eingerichtet, kann eine Prüfung der Angemessenheit und der tatsächlichen Einrichtung erfolgen. Hierdurch verschafft sich das Unternehmen eine erhöhte Sicherheit, dass das CMS richtig implementiert wurde und grundsätzlich Wirksamkeit entfalten kann. Die Prüfung der wirksamen Durchführung kann sich anschließen, wenn das CMS eine entsprechende Zeit gearbeitet hat. Dies dient sowohl der nachträglichen Beurteilung, ob das CMS wirklich richtig konzipiert und eingerichtet wurde, als auch – gerade bei einer wiederholten Beauftragung – der Unterstützung bei der laufenden Überwachung der Wirksamkeit und des Erkennens von Änderungsbedarf.

Ob, in welchen zeitlichen Abständen  und mit welchem Prüfungsgegenstand Unternehmen eine solche gestaffelte Beauftragung vornehmen, steht  ausschließlich in der Entscheidung des Unternehmens. Die Möglichkeit, Bestätigungsvermerke mit unterschiedlichen Inhalten zu erteilen, stellt aber sicher, dass ein Unternehmen den Auftrag so erteilen kann, wie er ihren Bedürfnissen entspricht und somit auch die Kosten eines Prüfungsauftrags  durch das Unternehmen steuerbar sind.

Compliance-Management-System ist kein Allheilmittel

Der vom IDW zur Diskussion gestellt Entwurf eines Prüfungsstandards zur Prüfung von Compliance Management Systemen reagiert auf den gestiegenen Bedarf von Unternehmen, eine objektive Einschätzung ihrer Compliance Bemühungen zu erhalten. Er richtet sich an die Wirtschaftsprüfer und legt Grundsätze und Anforderungen fest, die von diesen bei der Annahme und Durchführung solcher Aufträge zu beachten sind.  Unklare Definitionen und Grundsätze für Compliance-Management-Systeme erforderten, dass das IDW als Ausgangsbasis für eine solche Prüfung zunächst grundlegende Definitionen festlegte. Auch wenn diese zunächst nur den Rahmen für den Prüfungsstandard bilden, steht doch zu erwarten, dass das IDW hiermit auch insgesamt zu einer Vereinheitlichung der Diskussion zum Thema Compliance entscheidend beiträgt. Dies ist insbesondere zu begrüßen, da das IDW zum einen zwar Begriffe und Anforderungen definiert, hierbei aber die für Unternehmen notwendige Flexibilität bei der Einrichtung der Systeme nicht außer Betracht lässt. Ein Compliance-Management-System stellt - auch wenn es nach den Grundsätzen des IDW Standards geprüft wurde - kein Allheilmittel gegen Compliance Verstöße dar. Es unterstützt aber die Geschäftsleitung bei der Erreichung des Zieles der Compliance. Die Komplexität der einzuhaltenden Gesetze und sonstigen Vorschriften macht eine solche Unterstützung vielfach notwendig. Eine nach den Grundsätzen des Entwurfs eines neuen IDW Standards durchgeführte Prüfung kann dabei der Geschäftsleitung helfen eine objektive Einschätzung der Eignung des Compliance Management Systems vorzunehmen und damit ihren Obliegenheiten zur ordnungsmäßigen Geschäftsführung nachzukommen und eigene Haftungsrisiken zu begrenzen. Risikoorientierung und auch wirtschaftliche Angemessenheit müssen dabei sowohl bei der Einrichtung eines CMS wie auch bei dessen Prüfung stets beachtet werden. Der IDW Prüfungsstandardentwurf gibt Unternehmen und Prüfern hierzu einen notwendigen und geeigneten Rahmen.


Autor:

Karl-Heinz Withus, WP/StB/ CPA (US-Delaware) beschäftigt sich bei der KPMG WPG AG in Berlin vornehmlich mit Thematiken im Zusammenhang mit Risikomanagementsystemen. Er hat im Arbeitskreis des Instituts der Wirtschaftsprüfer an der Entwicklung des IDW EPS 980 Entwurf IDW Prüfungsstandard: Grundsätze ordnungsmäßiger Prüfung von Compliance Management Systemen mitgearbeitet.









[Bildquelle oben: iStockPhoto]