Unternehmen, die noch kein Compliance-Management-System (CMS) haben, können sich anhand dieser Checkliste einen Überblick über die Maßnahmen zum Aufbau eines CMS verschaffen. Dabei werden die einzelnen Schritte von der Entscheidung, ein CMS einzuführen, über die Analyse der Risikobereiche bis hin zur tatsächlichen Implementierung des CMS im Unternehmen stichpunktartig beschrieben.
Einen Schwerpunkt bildet die Aufzählung möglicher Risikobereiche, die je nach Bedarf in den Fokus des CMS aufgenommen werden können. Diese Liste nennt wesentliche Gefahrenbereiche, in denen es zu Rechtsverstößen kommen kann. Da diese abhängig von Branche, Absatzmarkt, Organisationsstruktur und Größe des Unternehmens stark variieren, erhebt die Liste der Risikobereiche weder Anspruch auf Vollständigkeit, noch müssen alle genannten Risikobereiche für jedes Unternehmen relevant sein. Auf Ihre Anregung hin nehmen wir gerne weitere Punkte in die Liste der möglichen Risikobereiche auf. Auch handelt es sich nicht bei allen hier genannten Vorschriften um zwingendes Recht; wir haben teilweise Soll-Vorschriften und Empfehlungen in die Liste aufgenommen.
| Spalte 1 | Spalte 2 |
|---|---|
| 1. | Klares Bekenntnis der Geschäftsführung zur ComplianceUnverzichtbar für den Aufbau eines CMS ist die klare und unumwundene Entscheidung der Geschäftsführung, sich sowohl im Innenverhältnis gegenüber den Mitarbeitern als auch im Außenverhältnis gegenüber Dritten zur Einhaltung der anwendbaren Gesetze, Richtlinien und Regeln zu bekennen und für deren flächendeckende Einhaltung durch das Unternehmen zu sorgen. Diese unmissverständliche und bindende Entscheidung sollte gegenüber allen Beteiligten kommuniziert werden, auch um die Geschäftsführung selbst an die einmal getroffene Entscheidung zu binden. |
| 2. | Unternehmensbezogene Definition von „Compliance“Um spätere Diskussionen darüber, wozu man sich nun eigentlich bekannt hat, auszuschließen, sollte von Anfang an schriftlich niedergelegt werden, auf was genau sich die Geschäftsführung im Namen des Unternehmens verpflichtet. Dieses Bekenntnis sollte bei Bedarf ergänzt oder geändert und ständig weiterentwickelt werden. |
| 2.1. | Compliance umfasst alle Vorkehrungen, die getroffen werden, um zu gewährleisten, dass Mitarbeiter und Organmitglieder eines Unternehmens alle Gesetze, Richtlinien und Verordnungen einhalten, solange sie für das Unternehmen handeln. Compliance dient damit der Sicherstellung normgerechten Verhaltens eines Unternehmens. |
| 2.2. | Diese Auffassung von „Compliance“ kann bei Bedarf durch eine unternehmensbezogene Umschreibung ersetzt werden; dabei ist auf Klarheit und Verständlichkeit zu achten, da dadurch die Positionierung des Unternehmens zum Thema Compliance im Innen- und Außenverhältnis festgelegt und kommuniziert wird. |
| 2.3. | Ziele eines CMS:
|
| 2.4. | Nutzen eines CMS für das Unternehmen, Organe und Mitarbeiter:
|
| 2.5. | Um als Arbeitgeber oder Anbieter von Waren oder Dienstleistungen attraktiv zu sein, kann es sich empfehlen, über gesetzliche Vorschriften hinaus auch ethische, moralische, religiöse oder sonstige Leitlinien für das Unternehmen zu postulieren, die rechtlich nicht bindend sind. |
| 3. | Aufbau eines Compliance-Teams zur Errichtung eines CMSWenn die Geschäftsleitung es ernst meint mit dem Aufbau eines CMS, drückt sich dies durch Schaffung ausreichender personeller Kapazitäten aus, sei es durch zeitliches Aufstocken bestehender Arbeitsverträge oder durch Einstellung zusätzlichen Personals oder Einschaltung externer Dienstleister. Für die Errichtung des CMS sollte ein Compliance-Team eingesetzt werden. |
| 3.1. | Bestellung eines Teamleiters durch die Geschäftsführung |
| 3.2. | Gewinnung weiterer Mitarbeiter zur Unterstützung (ggf. Mitbestimmungsrecht des Betriebsrats bei Einstellung, Eingruppierung, Umgruppierung oder Versetzung einzelner Mitarbeiter in das Compliance-Team nach § 99 Abs. 1 BetrVG) |
| 3.3. | Einbindung externer Berater wie Rechtsanwälte, Steuerberater, Unternehmensberater |
| 3.4. | Unternehmensinterne und –externe Bekanntgabe des Compliance-Teams mit allen erforderlichen Kontaktdaten (z.B. E-Mailadresse compliance@ |
| 3.5. | Verpflichtung aller Teammitglieder zur unverzüglichen Meldung konkreter Verdachtsmomente von Compliance-Verstößen |
| 3.6. | Festlegung der Aufgaben bei der Errichtung des CMS und Verteilung dieser Aufgaben innerhalb des Compliance-Teams, etwa:
|
| 3.7. | Gewährung der Beteiligungsrechte des Betriebsrats, z.B. rechtzeitige Unterrichtung des Betriebsrats über die Planung neuer Arbeitsverfahren und -abläufe, falls erforderlich, § 90 Abs. 1 Nr.4 BetrVG u.a.m. |
| 4. | Ermittlung von Compliance-RisikobereichenDas Compliance-Team ermittelt compliance-relevante Risikofelder für alle Bereiche des Unternehmens. Diese sind u.a. abhängig von Faktoren wie Branche, Absatzmarkt, Organisationsstruktur und Größe des Unternehmens. In den folgenden Bereichen können sich Compliance-Verstöße ergeben, wobei die Liste keinen Anspruch auf Vollständigkeit erhebt. |
| 4.1. | Arbeitsrecht |
| 4.1.1. | Arbeitszeitgesetz (ArbZG), z.B.
|
| 4.1.2. | Arbeitnehmerdatenschutz
|
| 4.1.3. | Diskriminierungsverbote (AGG)
|
| 4.1.4. | Wahrung der Mitbestimmungsrechte und sonstiger Beteiligungsrechte des Betriebsrates (z.B. in sozialen Angelegenheiten, § 87 BetrVG, oder Anhörung vor ordentlicher Kündigung, § 102 BetrVG; Zustimmung zur Einstellung, § 99 BetrVG) |
| 4.1.5. | Gewährleistung einer behinderungsfreien Gründung und Tätigkeit von Betriebsrat-, Jugend- und Auszubildendenvertretung (§ 74 BetrVG) bzw. des Personalrats (§ 99 BPersVG) |
| 4.1.6. | Kündigungsschutz (KSchG) |
| 4.1.7. | gesetzlicher Mindestlohn (§ 1 MiLoG) einschließlich Dokumentationspflichten (§ 17 MiLoG) |
| 4.1.8. | wirksame Befristung von Arbeitsverhältnissen (§ 14 TzBfG) |
| 4.1.9. | Elternzeit (§ 15 BEEG) |
| 4.1.10. | Pflegezeit wegen Pflege naher Angehöriger (PflegeZG, FamilienpflegeZG) |
| 4.1.11. | Erholungsurlaub (BUrlG); Besonderheiten für minderjährige Arbeitnehmer (§ 9 JArbSchG) und schwerbehinderte Menschen (§ 125 SGB IX) |
| 4.1.12. | Entgeltfortzahlung an Feiertagen (§ 2 EntgFzG) |
| 4.1.13. | Entgeltfortzahlung im Krankheitsfall (§ 3 EntgFzG) |
| 4.1.14. | besonderer Schutz von Auszubildenden (z.B. Kündigung nach der Probezeit für den Arbeitgeber nur aus wichtigem Grund möglich, § 22 Abs. 2 BBiG) |
| 4.1.15. | Arbeitnehmerüberlassung (AÜG) |
| 4.1.16. | Arbeitnehmerentsendung (AEntG) |
| 4.1.17. | Information des Arbeitnehmers vor Beendigung des Arbeitsverhältnisses über die Notwendigkeit eigener Aktivitäten bei der Suche nach anderer Beschäftigung sowie Verpflichtung zur Meldung bei der Agentur für Arbeit (§ 38 Abs. 1 SGB II, § 2 Abs. 2 Nr. 3 SGB III) |
| 4.1.18. | Einhaltung von Tarifverträgen, soweit anwendbar |
| 4.1.19. | Einhaltung von Betriebsvereinbarungen, soweit Betriebsrat und Betriebsvereinbarung bestehen |
| 4.1.20. | Vertragsmanagement
|
| 4.2. | Sozialversicherungsrecht |
| 4.2.1. | Vermeidung von Scheinselbständigkeit freier Mitarbeiter u.a. |
| 4.2.2. | Meldepflicht gegenüber der Einzugsstelle für jeden in der Kranken-, Pflege-, Rentenversicherung oder nach dem Recht der Arbeitsförderung kraft Gesetzes versicherten Arbeitnehmer (§ 28 a SGB IV) |
| 4.2.3. | geringfügig Beschäftigte
|
| 4.3. | Strafrecht |
| 4.3.1. | Sexueller Missbrauch von Schutzbefohlenen, z.B. gegenüber geistig behinderten Mitarbeitern in Werkstatt für Behinderte oder gegenüber minderjährigen Auszubildenden (§ 174 StGB) |
| 4.3.2. | Sexueller Missbrauch unter Ausnutzung eines Beratungs-, Behandlungs- oder Betreuungsverhältnisses (§ 174 c StGB) |
| 4.3.3. | Sexueller Missbrauch von Kindern (§ 176 StGB) |
| 4.3.4. | Sexuelle Nötigung/Vergewaltigung (§ 177 StGB) |
| 4.3.5. | Beleidigung (§ 185 StGB), üble Nachrede (§ 187 StGB), Verleumdung (§ 188 StGB) |
| 4.3.6. | Körperverletzung, auch bei psychischer Einwirkung (§ 223 StGB) |
| 4.3.7. | Nötigung (§ 240 StGB) |
| 4.3.8. | Bedrohung (§ 241 StGB) |
| 4.3.9. | Diebstahl (§ 242 StGB) |
| 4.3.10. | Unterschlagung (§ 246 StGB) |
| 4.3.11. | Erpressung (§ 253 StGB) |
| 4.3.12. | Betrug (§ 263 StGB) |
| 4.3.13. | Untreue (§ 266 StGB) |
| 4.3.14. | Vorenthalten und Veruntreuen von Arbeitsentgelt, etwa bei Nichtabführung von Sozialabgaben im Fall von Schwarzarbeit, Scheinselbstständigkeit oder unrechtmäßig verkürztem Lohn (§ 266 a StGB) |
| 4.3.15. | Urkundenfälschung (§ 267 ff. StGB) |
| 4.3.16. | Straftaten gegen den Wettbewerb (§ 298 ff. StGB), insbesondere Bestechlichkeit und Bestechung im geschäftlichen Verkehr (§ 299 StGB) |
| 4.3.17. | Sachbeschädigung (§ 303 StGB) |
| 4.3.18. | Straftaten gegen die Umwelt (§§ 324 ff. StGB) |
| 4.4. | Sonstiges Strafrecht |
| 4.4.1. | Steuerhinterziehung z.B. durch Scheinselbstständigkeit oder Schwarzarbeit wegen Verletzung der Lohnsteuerabzugspflicht (§ 370 AO) |
| 4.4.2. | Verrat von Geschäfts- und Betriebsgeheimnissen (§ 17 UWG) |
| 4.4.3. | Gravierender Verstoß gegen die Vorschriften über Arbeitszeiten, Ruhepausen, Beschäftigung an Sonn- und Feiertagen (§ 23 ArbZG) |
| 4.4.4. | Schwarzarbeit, illegale Beschäftigung (§ 9 ff. SchwarzArbG) |
| 4.4.5. | Verstoß gegen JArbSchG (z.B. Beschäftigung über die zulässige Dauer der Arbeitszeit, § 58 JArbSchG) |
| 4.4.6. | Behinderung der Wahl oder Ausübung der Arbeit des Betriebsrates, der Jugend- und Auszubildendenvertretung (§ 119 BetrVG) |
| 4.4.7. | vorsätzliches Erheben und Verarbeiten personenbezogener Daten, die nicht allgemein zugänglich sind, gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern (§§ 44, 43 Abs. 2 Nr. 1 BSDG) |
| 4.4.8. | Verstoß gegen MuSchG, z.B. Nichteinhaltung der Beschäftigungsverbote vor und nach der Geburt eines Kindes (§ 21 MuSchG) |
| 4.5. | Steuerrecht |
| 4.5.1. | zeitgerechte Abgabe wahrheitsgemäßer Steuererklärung, zeitgerechte Abführung aller Steuern, z.B. Körperschaftsteuern, aber auch Umsatzsteuer. Lohnsteuer etc. |
| 4.5.2. | Steuerliche Vergünstigungen bei Anerkennung des gemeinnützigen Zwecks der Tätigkeit des Unternehmens i.S.v. § 52 AO |
| 4.5.3. | Spenden
|
| 4.6. | Datenschutz |
| 4.6.1. | Einhaltung der Vorschriften des Bundesdatenschutzgesetzes (BDSG), insbesondere Schutz der personenbezogenen Daten von Lieferanten/Kunden/Patienten/Mandanten |
| 4.6.2. | Bestellung eines Datenschutzbeauftragten, wenn mit automatisierter Verarbeitung personenbezogener Daten mehr als neun Personen bzw. mit nicht automatisierter Datenverarbeitung min. 20 Personen beschäftigt sind (§ 4 f BDSG) |
| 4.7. | Arbeitssicherheit |
| 4.7.1. | Arbeitsschutzgesetz (ArbSG) |
| 4.7.2. | Arbeitssicherheitsgesetz (ArbSiG) |
| 4.7.3. | Arbeitsstättenverordnung (z.B. § 3 ArbStättV) |
| 4.7.4. | BetriebssicherheitsVO |
| 4.7.5. | Kinder-/Jugendarbeitsschutz (JArbSchG) |
| 4.7.6. | Mutterschutzgesetz, z.B. Ausgestaltung des Arbeitsplatzes zum Schutze von Leben und Gesundheit der werdenden oder stillenden Mutter (§ 2 MuSchG) |
| 4.7.7. | Verordnung zum Schutze der Mütter am Arbeitsplatz (MutterschutzVO) |
| 4.7.8. | Allgemeine Verkehrssicherungspflichten (grundsätzliche Pflicht, Gefahrenquellen zu beseitigen) |
| 4.7.9. | Besondere Verkehrssicherungspflichten
|
| 4.7.10. | Mitbestimmung des Betriebsrats insbesondere bei Regelungen über die Verhütung von Arbeitsunfällen und Berufskrankheiten im Rahmen der gesetzlichen Vorschriften oder der Unfallverhütungsvorschriften (§ 87 Abs. 1 Nr. 7, 1. Alt. BetrVG) 4.8. Gesundheitsschutz |
| 4.8. | Gesundheitsschutz |
| 4.8.1. | Infektionsschutzgesetz (z.B. Meldepflicht bei ansteckenden Krankheiten in Kitas, § 34 IfSG; Hygienepläne zur innerbetrieblichen Einhaltung der Infektionshygiene, § 36 InfSG) |
| 4.8.2. | Arbeitsstättenverordnung (z.B. § 5 ArbStättV) |
| 4.8.3. | Lebensmittelhygieneverordnung beim Herstellen, Behandeln und Inverkehrbringen von Lebensmitteln, EU-Verordnungen zur Lebensmittelhygiene |
| 4.8.4. | Unfallverhütungsvorschriften der Berufsgenossenschaften (§ 15 SGB VII) |
| 4.8.5. | Verordnung zur arbeitsmedizinischen Vorsorge (ArbMedVV) |
| 4.8.6. | Mitbestimmung des Betriebsrats bei Regelungen über den Gesundheitsschutz im Rahmen der gesetzlichen Vorschriften oder der Unfallverhütungsvorschriften (§ 87 Abs. 1 Nr. 7, 2. Alt. BetrVG) |
| 4.8.7. | Einstellung einer Fachkraft für Arbeitssicherheit |
| 4.8.8. | Prävention arbeitsbedingter Gesundheitsstörungen (arbeitsmedizinische Vorsorge durch Fachärzte für Arbeitsmedizin):
|
| 4.8.9. | ständige Fortentwicklung des betrieblichen Gesundheitsschutzes:
|
| 4.9. | Umweltschutz |
| 4.9.1. | Umweltschutzgesetz (USG) |
| 4.9.2. | Einhaltung gesetzlicher Grenzwerte bzw. behördlicher Auflagen |
| 4.9.3. | Bestellung eines Umweltschutzbeauftragten |
| 4.9.4. | Evtl. Unterwerfung unter Umweltmanagementnormen z.B. DIN EN ISO 14001 (Umweltmanagementsystem: Ökobilanz, Umweltkennzahlen oder Umweltleistungsbewertung) |
| 4.9.5. | nachhaltige Umweltverträglichkeit der betrieblichen Produkte und Prozesse |
| 4.9.6. | Maßnahmen zur Verringerung der Umwelteinwirkungen |
| 4.9.7. | Selbstbeschränkung auf Lieferanten, die sich auch dem Umweltschutz verpflichtet haben |
| 4.10. | Einhaltung der Satzung bzw. des Gesellschaftsvertrages |
| 4.10.1. | Einhaltung des satzungsgemäßen Zwecks |
| 4.10.2. | Aktualität aller Registereintragungen: Firmierung, amtierende Organe, Vertretungsbefugnis, Sitz der Gesellschaft, Befreiung von § 181 BGB, Kapital etc. |
| 4.11. | Öffentliches Recht |
| 4.11.1. | Betriebsgenehmigungen |
| 4.11.2. | Genehmigungen für öffentliche Veranstaltungen |
| 4.11.3. | Sonderregelungen etwa für besondere Straßennutzungen etc. |
| 4.12. | Organisationsprozesse |
| 4.12.1. | Zuordnung von Verantwortlichkeiten (Organigramme, Stellenbeschreibungen) |
| 4.12.2. | Organisationshandbuch |
| 4.12.3. | Bestellung eines Qualitätsmanagementbeauftragten |
| 4.12.4. | Einführung standardisierter Prozesse |
| 4.12.5. | Notfallpläne, z.B. Evakuierung der Mitarbeiter und ggf. Kunden, Klienten, Patienten o.ä. |
| 4.13. | Allgemeine Betriebsführung |
| 4.13.1. | Außenkommunikation
|
| 4.13.2. | allgemeine Verhaltensrichtlinien des Unternehmens (Leitlinien, Code of Conduct, Corporate Governance) |
| 4.13.3. | vertraglich vorgeschriebene Wartung von geleasten Betriebsmitteln (Dienstwagen, PC, Kopierer etc.) |
| 5. | Überführung des CMS in den Regelbetrieb |
| 5.1. | Überführung des CMS in den Regelbetrieb muss allen Abteilungen mitgeteilt werden |
| 5.2. | intensive Kommunikation des Themas gegenüber den Mitarbeitern
|
| 5.3. | arbeitsvertragliche Verpflichtung der Mitarbeiter auf Compliance (Einfügung entsprechender Klauseln in neue Arbeitsverträge, Nachträge zu bestehenden Arbeitsverträgen oder schriftliche Weisungen) |
| 5.4. | Mitbestimmungsrecht des Betriebsrats bei Aufnahme einzelner Regelungen in das CMS, die das Ordnungsverhalten und nicht lediglich das Arbeitsverhalten der Mitarbeiter betreffen, § 87 Abs. 1 Nr. 1 BetrVG (z.B. Rauchverbot in bestimmten Räumen wegen Brandschutz oder zum Schutz der Nichtraucher) |
| 5.5. | Mitbestimmungsrecht des Betriebsrats, wenn Regelung Gestaltungsspielraum gibt (Verbot der Annahme von Geschenken – ab welchem Wert? Auch Kleinigkeiten wie Kugelschreiber, Gebäck, Einladungen oder Gefälligkeiten?) |
| 5.6. | kein Mitbestimmungsrecht des Betriebsrats bei Aufnahme ethischer Standards (Verbot von Kinderarbeit in Ländern, in denen dies gesetzlich nicht verboten ist) oder Wiedergabe gesetzlicher Vorgaben |
| 6. | Regelmäßige Anpassung und Überwachung der CMS-Prozesse durch einen Compliance-Manager |
| 6.1. | Die Geschäftsführung überträgt ihre originäre Verantwortung für Überwachung und Einhaltung des CMS nach Errichtung des CMS auf einen Compliance-Manager. |
| 6.2. | Der Compliance-Manager kann an unterschiedliche Bereiche des Unternehmens angegliedert werden. In Betracht kommen sowohl die Buchhaltung (Compliance ähnelt dem Berichtswesen durch Vergleich von Soll- und Ist-Zuständen), der Rechtsabteilung (juristische Auswirkungen von Compliance-Verstößen) als auch das Risiko- oder Qualitätsmanagement, falls es eine solche Abteilung gibt. Eine Stabsfunktion mit direkter Berichtspflicht an die Geschäftsführung ist ebenso denkbar. |
| 6.3. | Aufgaben des Compliance-Managers:
|
| 7. | Sanktionen bei Verstößen gegen das CMS |
| 7.1. | mögliche Sanktionen wie Ermahnungen, Abmahnungen, Kündigungen, Versetzung, Gehaltsreduzierung, Schadensersatz sind durch die Rechtsprechung im Detail geregelt; eine spezielle Festlegung für das Unternehmen wäre sehr aufwendig und müsste einer Überprüfung im Einzelfall (Interessenabwägung) jeweils standhalten, ist deshalb nicht zu empfehlen. |
| 7.2. | polizeiliche Anzeige bei strafrechtlich relevanten Verstößen |
| 7.3. | kein Absehen von Sanktionsmaßnahmen, da dies als Indiz für die Billigung des Rechtsverstoßes gewertet werden könnte |
Falls Sie Unterstützung beim Aufbau oder der Führung eines Compliance-Management-Systems benötigen, wenden Sie sich gerne an:
Sabine Feindura
Fachanwältin für Arbeitsrecht, Partnerin, Leiterin der Practice Group Arbeitsrecht
Telefon +49 30 327942-11, feindura@buse.de
Frau Feindura und ihr Team beraten Unternehmen aller Größen und Branchen. Wir beraten Sie bei Konzeption, Einführung oder Anpassung eines Compliance-Management-Systems, Implementierung effektiver Kontrollsysteme, Einführung der dazu erforderlichen Maßnahmen und Umsetzung von Sanktionen. Frau Feindura bietet fachkundige und praxisnahe Compliance-Schulungen an. Bei Verdachtsfällen bieten wir Ihnen Unterstützung bei der Sachverhaltsaufklärung in vertraulicher Zusammenarbeit mit Ihren Mitarbeitern und gewährleisten die zutreffende Auswahl und eine effektive Durchsetzung von Sanktionen wie Ermahnungen, Abmahnungen, Versetzungen, Kündigungen, Haftungs- und Schadenersatzansprüchen. Selbstverständlich umfasst unsere Tätigkeit auch die Vertretung in behördlichen Verfahren und die Prozessführung vor den Gerichten.
