Erfolgreich mit Compliance. Barbara Neiger

Dazu gehören alle Vorgänge, die bestimmen, wie in einer Organisation wichtige Entscheidungen getroffen werden, wie Leistung erbracht und Kontrolle ausgeübt wird.[37] Nachfolgend werden drei Institutionen vorgestellt, die als Instrumente effizienter und effektiver Governance-Struktur angesehen werden: internes Kontrollsystem (IKS), Risikomanagement-System (RMS) und Compliance-Management-System (CMS).

      1.4.1 Corporate Governance

Der Begriff Corporate Governance geht auf die Notwendigkeit zurück, die Interessen von Kapitalgebern gegenüber eigennützigen Handlungen des Managements zu schützen. Bereits Adam Smith behandelte im 18.Jhdt. ausgiebig die Problematik, wie bei wachsender Größe der Unternehmen eine arbeitsteilige Organisation anzuleiten und zu kontrollieren sei. Manager können Aktionären finanziellen Schaden zufügen durch z.B. unzureichende Anstrengungen auf der Suche nach Geschäftsmöglichkeiten oder das Ausbleiben notwendiger Modernisierungen, durch Abschluss von risikoreichen Transaktionen oder unzureichend ausgearbeiteten Investitionen oder durch mangelnde Kontrolle von Aktivitäten innerhalb des Unternehmens. Mit der Trennung von Eigentum am und der Kontrolle über das Unternehmen wurde es notwendig, Regeln zu bestimmen, die sicherstellten, dass die mit der Führung des Unternehmens betrauten Manager (Agenten) im Interesse der Eigentümer (Prinzipale) handelten.[38] Dieses Prinzipal-Agent-Problem[39] ist die Grundlage für die anfangs enge Definition von Corporate Governance als Art und Weise, wie Zuständigkeiten und Rollen zwischen den einzelnen Organen einer Gesellschaft verteilt werden, um den Kapitalgebern (= Eigentümern) die erwartete Rendite zu sichern.[40]

Eine erweiterte Perspektive von Corporate Governance entwickelte sich aus dem Verständnis, dass ein Unternehmen als ein Netzwerk von Verträgen verstanden werden kann, das im Innenverhältnis das Unternehmen selbst darstellt und im Außenverhältnis die Beziehung zu den Stakeholdern regelt.[41] Die Erweiterung des Begriffes erfolgt in Bezug auf mehrere Faktoren: Erstens in Bezug auf die Akteure, weil nicht nur Eigentümer und Manager einbezogen werden, sondern die Interessen eines weiteren Personenkreises (= Stakeholder) berücksichtigt werden, wie z.B. Kunden, Mitarbeiter, Lieferanten oder externe Kapitalgeber. Zweitens steht nicht mehr die Anwendung von finanziellem Schaden der Eigentümer im Vordergrund, sondern die Wahrung der Rechte und legitimen Interessen aller Stakeholder. Corporate Governance kann somit als übergeordneter Steuerungsrahmen verstanden werden, der die Austauschbeziehungen innerhalb einer Organisation einerseits und mit ihrem Umfeld andererseits regelt.[42] Aufgrund der Unterschiedlichkeit von Organisationen gibt es grundsätzlich keine einheitlichen Bestimmungen über Elemente der Aufbau- oder der Ablauforganisation. Die Governance-Strukturen sind auf die individuelle Situation der Organisation anzupassen in dem Sinne, dass die Erreichung der Organisationsziele unterstützt wird. Verschiedene Institutionen haben sich in der Praxis und in weiterer Folge in der Gesetzgebung herausgebildet, die als Instrumente effizienter und effektiver Governance-Struktur angesehen werden, wie ein internes Kontrollsystem (IKS), ein Risikomanagement-System (RMS) und ein Compliance-Management-System (CMS).

      1.4.2 Internes Kontrollsystem (IKS)

Unter einem IKS werden alle in einer Organisation eingeführten, aufeinander abgestimmten Grundsätze, Methoden und Maßnahmen verstanden, die zur Sicherung des Vermögens, der Ordnungsmäßigkeit, Genauigkeit und Zuverlässigkeit der internen und externen Rechnungslegung sowie der Einhaltung der vorgeschriebenen Geschäftspolitik dienen.[43] Zur Sicherstellung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit sollte ein IKS alle wesentlichen Geschäftsprozesse umfassen.

Der Begriff IKS geht auf eine Studie aus dem Jahre 1992 zurück, welche vom Committee of Sponsoring Organizations of the Treadway Commission (COSO)[44] veröffentlicht wurde. Durch das darin vorgestellte „Internal Control System“ wurden Begriffe aus dem Corporate Governance Bereich präzisiert und mit konkreten Maßnahmen unterlegt. Zur richtigen Einordnung dieses Ansatzes ist zu berücksichtigen, dass im Englischen mit dem Wort „control“ nicht nur Kontrollen im Sinne von Überprüfungen gemeint sind, sondern auch die Maßnahmen, die gesetzt wurden, um bestimmte Ergebnisse zu erreichen. Es empfiehlt sich daher, ein IKS als Gesamtheit seiner beiden Teilbereiche zu betrachten: ein internes Steuerungssystem und ein internes Überwachungssystem.[45]

COSO definiert drei Geschäftsziele eines IKS: (i) Effektivität und Effizienz der Geschäftsprozesse, (ii) Verlässlichkeit der finanziellen Berichterstattung und (iii) Einhaltung von gültigen Gesetzen und Vorschriften. Mit „Internal Control“ wird die Summe aller Instrumente verstanden, die erforderlich sind, um die Erreichung dieser drei Zielkategorien sicherzustellen. Die Instrumente sind in fünf Komponenten eingeteilt: Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten (im Sinne von Steuerung), Information und Kommunikation sowie Überwachung. Die drei Zielkategorien sowie alle fünf Komponenten werden sowohl auf Konzernebene wie auch auf alle Bereiche und/oder Aktivitäten einer Organisation (Einheiten) angewandt. Die drei Dimensionen sind in Abbildung 1 grafisch dargestellt, die Komponenten der 2. Dimension (Prozesse) werden nachfolgend näher erläutert.[46]

      Abbildung 1

COSO Internal Control – Integrated Framework[47]

      Kontrollumfeld – Mit dem Kontrollumfeld wird die Basis der Organisation umfasst. Diese wird ausgedrückt durch (i) Einflüsse und Werte, die die Verhaltensweisen lenken, durch (ii) Strukturen, die die Verantwortungen zuteilen und abbilden, und durch (iii) Abläufe, die die Koordination von Aufgaben regeln. All diese Parameter sind so zu gestalten, dass sie die Erreichung der Geschäftsziele unterstützen. Die Risikobereitschaft als Element des internen Umfeldes wird sowohl durch quantitative als auch durch qualitative Ziele und Beschränkungen ausgedrückt und fließt in der weiteren Folge als Messgröße für akzeptables Risiko in die Risikobeurteilung ein.

      Risikobeurteilung – Die Bewertung identifizierter Risiken erfolgt durch Festlegung ihrer Eintrittswahrscheinlichkeit und des potenziellen Schadensausmaßes. Für die nach Risikotransfermaßnahmen (z.B. Versicherung) verbleibenden Restrisiken werden Steuerungsmaßnahmen zu ihrer Bewältigung gesetzt.

      Steuerungsmaßnahmen – Vorschriften, Richtlinien und Verfahren (wie z.B. Aufgabentrennung, Stichproben etc.) werden implementiert, um den operativen Betrieb, die ordnungsgemäße Rechnungslegung sowie die Einhaltung der für die Organisation relevanten Regeln (Compliance) sicherzustellen.

      Information und Kommunikation – Kenntnis über alle wesentlichen Prozessschritte ermöglicht es Mitarbeitern, ihre Verantwortlichkeit wahrzunehmen und ihren Beitrag zu einer effizienten Abwicklung der operativen Tätigkeiten, einer ordnungsgemäßen Rechnungslegung und der Einhaltung aller gesetzlichen Bestimmungen zu leisten.

      Überwachung – Alle gesetzten Maßnahmen müssen regelmäßig überwacht und, falls erforderlich, verbessert werden. Die Funktionstätigkeit und Angemessenheit des IKS ist von einer unabhängigen Stelle zu prüfen.

1.4.3 Risikomanagement-System (RMS)[48]

      Das Risikomanagement als Teil des IKS und zweites Instrument einer effizienten und effektiven Governance-Struktur ist darauf ausgerichtet, Chancen und Gefahren frühzeitig zu erkennen und dahingehend zu bewerten, wie sie die Erreichung der Unternehmensziele (in strategischer, operativer, Rechnungslegung und Compliance Sicht) beeinflussen können. Die Erkenntnisse unterstützen die Entscheidungsfindung einer zukunftsorientierten Planung und fließen in die Risikosteuerung ein.

      Ereignisidentifikation – Es gilt, alle internen und externen Ereignisse zu identifizieren, die das Erreichen der Ziele einer Organisation beeinflussen. Diese Einflüsse können sowohl von positiver (Chance) als auch von negativer Natur (Risiko) sein.

      Risikobeurteilung – Die identifizierten potenziellen Risiken werden in einem Risikokatalog zusammengefasst und nach ihrer Eintrittswahrscheinlichkeit und ihrer Auswirkung