Compliance Management

Grundlagen

Ausgangslage in Unternehmen

Compliance-Anforderungen kommen selten aus einem einzigen Regelwerk: Datenschutz, Geldwäscheprävention (AML), Kartellrecht, Antikorruption oder branchenspezifische Vorgaben stellen jeweils eigene Anforderungen mit eigenen Sanktionsrahmen.

Ohne eine strukturierte Prüfung dieser Themen bleibt häufig unklar, wo das größte finanzielle Risiko tatsächlich liegt und wie wirksam bereits vorhandene Maßnahmen dieses Risiko schon reduzieren. Das ACONO TopEase Compliance Management verbindet die strukturierte Prüfung von Compliance-Themen mit einer nachvollziehbaren Risikobewertung, die zwischen dem theoretischen Maximalrisiko und dem tatsächlich verbleibenden Risiko unterscheidet.

Für wen ist dieser Use Case relevant?

Dieser Use Case ist insbesondere relevant für:

• Compliance-Verantwortliche, die mehrere regulatorische Themen strukturiert und wiederholbar prüfen möchten
• Unternehmen, in denen Compliance-Prüfungen bislang unstrukturiert und ohne einheitliche Bewertungslogik über verschiedene Fachbereiche laufen

Konsequenzen bei Nichthandeln

Ohne eine quantifizierte Risikosicht lässt sich kaum priorisieren, welche Compliance-Lücke zuerst geschlossen werden sollte – mit der Folge, dass Ressourcen möglicherweise nicht dort eingesetzt werden, wo das größte Risiko besteht. Allein im Datenschutz sieht Art. 83 DSGVO einen Bußgeldrahmen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Wir sind keine Rechtsanwaltskanzlei und können und wollen an dieser Stelle keine rechtsverbindliche Einschätzung Ihrer individuellen Situation oder einer konkreten Bußgeldhöhe abgeben; für eine belastbare rechtliche Bewertung empfehlen wir die Hinzuziehung einer entsprechenden Rechtsberatung.

Regulatorische und methodische Grundlagen

Der Bußgeldrahmen der DSGVO nach Art. 83 ist der bekannteste, aber nicht der einzige Anknüpfungspunkt für eine Risikoquantifizierung: In Deutschland orientieren sich die Datenschutzaufsichtsbehörden zusätzlich am sogenannten Bußgeldkonzept der Datenschutzkonferenz (DSK), das ausgehend vom Jahresumsatz eines Unternehmens einen Tagessatz ermittelt und diesen abhängig von der Schwere des Verstoßes mit einem Faktor multipliziert; auf europäischer Ebene arbeitet der Europäische Datenschutzausschuss (EDSA) an einer einheitlichen Methodik, die das DSK-Konzept perspektivisch ablösen soll. Andere Regelwerke – etwa das Geldwäschegesetz oder das Kartellrecht – sehen eigene, teils ebenfalls umsatzbezogene Sanktionsrahmen vor.

Methodisch orientiert sich die Unterscheidung zwischen einem Brutto- und einem Netto-Risiko an der aus dem Risikomanagement nach ISO 31000 bekannten Logik von inhärentem Risiko (Risiko ohne Berücksichtigung von Kontrollen) und Restrisiko (Risiko nach Berücksichtigung wirksamer Maßnahmen).

Da sich regulatorische Vorgaben, Bußgeldkonzepte und deren Auslegung durch Aufsichtsbehörden und Gerichte weiterentwickeln, sollte dieser Überblick nicht als abschließende oder rechtsverbindliche Auslegung verstanden werden – siehe hierzu auch unseren allgemeinen Hinweis zu Wiki-Inhalten. Wir sind keine Rechtsanwaltskanzlei und biete hierzu keinerlei Beratung.

Aufbau der ACONO TopEase Compliance Management Konfiguration

Das Compliance Management in TopEase besteht aus zwei aufeinander aufbauenden Solutions.

1.) Compliance Audit Assessment Solution

Für einzelne Compliance-Themen werden Fragebögen auf Basis hinterlegter Kontrollen erstellt und wahlweise auf fachliche Themen oder auf Organisationseinheiten gelegt. So lässt sich beispielsweise dasselbe Datenschutz-Fragebogenset über mehrere Organisationseinheiten hinweg konsistent anwenden, oder unterschiedliche Compliance-Themen lassen sich für dieselbe Organisationseinheit gebündelt prüfen.

Die Fragebögen in den Compliance Audits durchlaufen einen konfigurierbaren Workflow, der sich an der Kritikalität des jeweiligen Themas orientiert: Für weniger kritische Themen kann ein Self-Assessment ausreichen, bei dem eine Person den Fragebogen eigenständig beantwortet und abschließt. Für kritischere Themen lässt sich stattdessen ein Vier-Augen-Prinzip hinterlegen, bei dem eine erfassende und eine freigebende Rolle beteiligt sind.

2,) Compliance Risiko Management Solution

Auf Basis der Ergebnisse aus den Compliance Audits wird zunächst ein Brutto-Schadenswert ermittelt, der sich am jeweiligen regulatorischen Rahmen orientiert – etwa an einem Anteil des weltweiten Jahresumsatzes, wie ihn die DSGVO als Obergrenze vorsieht. Auf dieser Basis wird anschließend ein Netto-Schadenswert ausgewiesen, der die Wirksamkeit bereits vorhandener, im Compliance Audit erfasster Maßnahmen berücksichtigt und damit dem tatsächlich verbleibenden Risiko näherkommt als eine reine Betrachtung des regulatorischen Maximalrahmens.

Das aus dem Assessment abgeleitete Risiko unterliegt einem eigenen Vier-Augen-Prinzip: Eine Rolle legt das Risiko auf Basis der Assessment-Ergebnisse an, eine zweite, risikoverantwortliche Rolle prüft und gibt das Risiko frei. Die Trennung zwischen der operativen Themenprüfung und der Freigabe des daraus resultierenden Risikos sorgt für eine zusätzliche Kontrollinstanz.

Hinweise zur Konfiguration

Individuelle Berechnungslogiken

Die konkrete Berechnungslogik – welche Faktoren, Schwellenwerte oder Prozentsätze im Einzelfall herangezogen werden – wird für jeden Kunden individuell konfiguriert. Es gibt keine feste, universell gültige Formel, da sich sowohl die regulatorischen Rahmenbedingungen einzelner Compliance-Themen als auch der Risikoappetit und die Methodik einzelner Unternehmen unterscheiden. Im TopEase Standard wird die Brutto-Netto-Berechnung jeweils pro einzelnen Risiko durchgeführt, und kann auch in der Risikomatrix angezeigt werden. Multi-Gesellschafts-Strukturen oder andere individuelle Strukturen sind i.d.R. technisch abbildbar, erfordern jedoch einen erhöhten Aufwand an Individualkonfiguration.

Risikoaggregation

Einzelne Compliance-Risiken lassen sich clustern, etwa nach Thema, Organisationseinheit oder Rechtsgebiet, um eine aggregierte Sicht auf das Compliance-Risikoprofil zu erhalten. Geclusterte oder auch einzelne Compliance-Risiken lassen sich anschließend an ein zentrales, unternehmensweites Risikomanagement zuspielen, etwa an ein zentrales OpRisk. So fließen Compliance-Risiken in dasselbe konsolidierte Risikobild ein wie andere operationelle Risiken, statt in einer isolierten Compliance-Sicht zu verbleiben. Die Logik ist jeweils kundenindividuell konfigurierbar.

Integrierbarkeit und Erweiterbarkeit

Sie starten nicht bei null

ACONO verfügt über praxiserprobte Fragebogenvorlagen zu gängigen Compliance-Themen sowie über Erfahrung mit typischen Berechnungslogiken für Brutto- und Netto-Schadenswerte, auf die beim Aufbau Ihres Compliance Managements zurückgegriffen werden kann. Die konkrete Ausgestaltung wie z.B. Themenauswahl, Fragenkataloge, Berechnungsfaktoren wird gemeinsam mit Ihnen auf Ihre individuelle Risikolandschaft zugeschnitten.

Benötigte Rollen und Aufwand in Ihrem Haus

Für die Durchführung der Compliance Audits werden typischerweise die jeweils fachlich zuständigen Personen in den geprüften Organisationseinheiten benötigt, ergänzt um eine freigebende Rolle bei Themen mit Vier-Augen-Prinzip. Für das Compliance Risiko Management wird zusätzlich eine risikoverantwortliche Rolle benötigt, die die aus den Audits abgeleiteten Risiken prüft und freigibt.

Abgrenzung zu Alternativen

Compliance-Prüfungen über Excel-Fragebögen lassen sich zwar für einzelne Themen durchführen, die Ableitung eines nachvollziehbaren, konsistenten Brutto- und Netto-Risikos aus den Antworten bleibt dabei jedoch meist manuelle Arbeit, die bei jeder Aktualisierung erneut anfällt. Ein toolgestützter Ansatz mit TopEase verknüpft Assessment-Ergebnis und Risikoberechnung direkt miteinander, sodass sich Änderungen im Umsetzungsstand von Maßnahmen unmittelbar auf den ausgewiesenen Netto-Schadenswert auswirken.

Nutzen für Ihr Unternehmen

Ein durchgängig in TopEase abgebildetes Compliance Management macht sichtbar, wo das größte finanzielle Risiko aus Compliance-Themen tatsächlich liegt, und unterscheidet dabei zwischen einem theoretischen Maximalrisiko und dem durch vorhandene Maßnahmen bereits reduzierten Restrisiko. Durch die Clusterung und Anbindung an ein zentrales Risikomanagement wird Compliance-Risiko zudem Teil eines einheitlichen, unternehmensweiten Risikobilds statt einer isolierten Einzelbetrachtung.

Der besondere Mehrwert von ACONO liegt dabei in der durchgängigen Betreuung aus einer Hand: Als Management- und Technologieberatungsunternehmen begleitet ACONO Sie nicht nur bei der fachlichen Konzeption und technischen Umsetzung Ihres Compliance Managements in TopEase, sondern auch bei der individuellen Ausgestaltung der Risikoberechnungslogik und deren Verzahnung mit Ihrem zentralen Risikomanagement.

Gerne teilen wir auf Anfrage weitere Erfahrungswerte und Referenzen aus vergleichbaren TopEase-Compliance-Management-Projekten mit Ihnen.

Weiterführend / Integration des Compliance-Managements in Ihr Unternehmen

Mehr zu den angrenzenden Themen finden Sie auf den jeweiligen Lösungsseiten zu Risikomanagement, Statement of Applicability (Soll-Ist-Vergleich) und IKS.

Wie sich Ihre Compliance-Themen strukturiert prüfen und in ein nachvollziehbares Brutto-/Netto-Risikobild überführen lassen, besprechen wir gerne in einem unverbindlichen Gespräch mit Ihnen.