Hand aufs Herz: Wer kannte den Begriff "Compliance" schon vor 10 oder 20 Jahren? Durch die von der Gesellschaft gefärderte Vollkaskomentalität in allen Lebensbereichen, dem Ruf nach immer mehr Transparenz und der zunehmenden Regulierungsflut wurde dem Begriff "Compliance" zur Hochblüte verholfen.

Compliance leitet sich aus dem Wort "to comply with" (erfüllen, einhalten, befolgen) ab und gilt als Sammelbegriff für Strategien und Systeme zur präventiven Verhinderung von Normverstössen bzw. zur proaktiven Förderung der Einhaltung der "Spielregeln". Dabei geht es nicht nur um die Einhaltung der gesetzlichen Vorgaben oder Reglemente (sog. "hard law"), sondern ebenso um die Übereinstimmung unternehmerischen Handelns mit Wertvorstellungen, Moral und Ethik.

Der Begriff "Compliance" geht weit über die blosse Einhaltung der Gesetze hinaus. Das Management einer Unternehmung muss sich auch über gesellschaftliche Wertvorstellungen Gedanken machen, um daraus die ethischen Normen für das Unternehmen und deren Unternehmenskultur zu definieren. Obwohl der Begriff gesetzlich nirgends definiert ist, lassen sich entsprechende "Compliance- Pflichten" für Organe von Gesellschaften aus geltendem Recht ableiten: Gemäss Art. 716a Ziff. 5 des Obligationenrechts (OR) ist der Verwaltungsrat einer AG für die Oberleitung und die Erteilung der nötigen Weisungen (Ziff. 1), die Festlegung der Organisation (Ziff. 2) sowie für die Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze, Statuten, Reglemente und Weisungen (Ziff. 5), zuständig. Er hat als oberstes Leitungsorgan dafür zu sorgen, dass sich das Unternehmen "compliant" verhält (beispielsweise im Hinblick auf das Kartell- und Wettbewerbsrecht oder Öffentlich-rechtliche Arbeitnehmerschutzbestimmungen). Dies gilt sinngemäss auch für das oberste Leitungsorgan anderer Gesellschaftstypen.

Will der Verwaltungsrat seiner Verantwortung nachkommen, hat er dafür zu sorgen, dass ein wirksames Compliance-Konzept existiert. Ein solches hängt vom Unternehmen, seiner Grösse und Struktur, seinen Produkten und Kunden, seinen Zielsetzungen und von den möglichen Folgen und Sanktionen von Normverstössen ab. Es beinhaltet die fortlaufende Analyse und Bewertung des Compliance-Risikos, gefolgt von der Formulierung und Implementierung von Lösungen zur Eliminierung oder Reduktion des Risikos. Schliesslich muss die Umsetzung der Lösungen kontrolliert und überwacht werden. Dafür ist ein wirksames internes Reporting sicherzustellen. Ein wirklich wirksames Compliance-Konzept schliesst auch die "Überwachung der Überwachung" mit ein (d.h. die Unternehmen müssen dokumentieren, wie sie überwachen, welche Ergebnisse daraus resultieren und wie mit den Ergebnissen umgegangen wurde). Schliesslich sollte ein griffiges Compliance-Konzept auch ein Whistleblowing-System umfassen ("Der Integre soll nicht der Dumme sein"). All dies wird heute von Unternehmen verlangt. Die Kunst besteht wohl darin, den Fokus nur auf jene Risiken zu legen, deren Eintreten für ein Unternehmen auch tatsächlich geschäftskritisch sein kann. Kein Unternehmen ist in der Lage, fortlaufend alle denkbaren Risiken im Griff zu haben.

Daher sollte sich jedes Unternehmen

Unabhängig von Branche und Grösse – zunächst fragen:

• welche Geschäftsaktivitäten und -verbindungen das Risiko von Compliance-Verstössen bergen, wie hoch die Eintretenswahrscheinlichkeit ist und welche Folgen sich beim Eintreten des Risikos ergeben würden

• welche Risiken und Betriebsgefahren nach einem speziellen Risikomanagement verlangen

• welche organisatorischen Massnahmen nötig sind, um den Eintritt des Risikos zu verhindern bzw. zu minimieren

Mit dem Begriff Compliance hat auch ein neuer Berufszweig Einzug gehalten: Der Compliance-Officer. In grösseren Unternehmen gehört es heute zum guten Ton, einen Compliance-Officer zu beschäftigen, ein Rechtsdienst genügt nicht mehr. Gerne delegiert das Top-Management wenn immer möglich die Compliance-Funktion an einen (gut bezahlten) Angestellten, der die Aufgabe hat, Compliance-Konzepte zu erstellen, das Unternehmen vor Compliance- Verstössen zu schützen und ihm bekannte Gefährdungen aktiv zu verhindern.

Er beobachtet zudem das regulatorische Umfeld (Recht, Politik, Gesellschaft) und rapportiert der GL bzw. dem VR darüber. So lässt sich die Verantwortung des Top-Managements nach unten delegieren, da bereits mit der korrekten Auswahl, Instruktion und Überwachung eines Compliance-Officers ein Teil der eigenen Verantwortung aus Art. 716a OR (Organisation der Compliance-Funktion) erfüllt und damit auch die Gefahr einer allfälligen Verantwortlichkeitsklage nach Art. 754 OR zumindest reduziert wird.

Compliance-Officer tendieren zu bervorsichtigkeit, was nachvollziehbar ist, da sie im Falle eines pflichtwidrigen Untätigbleibens selbst Gefahr laufen, sich strafbar zu machen oder entlassen zu werden. Entsprechend werden sie gerne auch als Geschäfteverhinderer wahrgenommen.

Ob diese Entwicklung im Sinne des Erfinders war, ist zumindest fraglich. Niemand will ernsthaft die Einhaltung der Gesetze in Frage stellen. Dennoch sei die Frage erlaubt, ob Unternehmen die knappen Ressourcen nicht lieber in die Entwicklung einer Unternehmenskultur investieren, welche gesetzeskonformes Verhalten fördert und keine falsche Anreize schafft, als in den Aufbau eines Compliance-Überwachungsapparates, welcher (Verantwortlichkeits-)klagen verhindern soll. Diese Fragen mus jedes Unternehmen selbst beantworten.

Auch das beste Compliance System kann Regelverstösse nicht verhindern, da immer der Mensch handelt. Fraglich ist zudem, ob ethisch korrektes Verhalten von oben diktiert werden kann bzw. lernbar ist. Der bekannte Management-Professor Fredmund Malik verneint dies in seinem Bestseller "Führen Leisten Leben". Er habe auch nach über 20 Jahren Lehrtätigkeit keinen Weg gefunden, wie man ethisch korrektes Verhalten lernen könne. Dies sei eine persönliche Entscheidung, die jeder Mensch für sich selber treffen müsse.