Hierbei muss vor allem berücksichtigt werden, dass sich das Umfeld verändert hat, in dem Unternehmen heute agieren: Der Gesetzgeber hat neue Straftatbestände eingeführt, die Haftung erweitert und die Strafverfolgungsbehörden im Bereich der Wirtschaftskriminalität deutlich aufgerüstet. Aktuelle Entwicklungen in der Rechtsprechung zeigen dies recht deutlich. So hat beispielsweise das Landgericht München I den in der Zwischenzeit verstorbenen Ex-Siemens-Vorstand Heinz-Joachim Neubürger verurteilt, 15 Mio. Euro an seinen früheren Arbeitgeber als Schadensersatz dafür zu bezahlen, dass er nicht dafür gesorgte hatte, dass ein funktionierendes Compliance-Management-System eingerichtet wurde (LG München I, Urteil v. 10.12.2013 - 5 HKO 1387/10).

Der Siemens-Fall hat vor allem deutlich vor Augen geführt, dass sich international  agierende Konzerne in unterschiedlichen Kulturen, Rechtsräumen und gesellschaftlichen Traditionen bewegen und hohe Compliance-Risiken eingehen, die im Risikomanagement erfasst und gesteuert werden müssen. Damit stellt sich die Frage, wie Unternehmen ein Compliance-Management-System aufbauen, damit es wirksam und erfolgreich ist. Bei der konkreten Umsetzung eines entsprechenden Systems gab es für Unternehmen bis vor wenigen Monaten keinen international akzeptierten Standard.

Dies soll sich mit dem im Dezember vergangenen Jahres veröffentlichten ISO Standards 19600:2014 ändern. Basierend auf dieser internationalen Guideline zum Thema Compliance-Management-System ("Compliance management systems — Guidelines") soll Unternehmen ein Orientierungsrahmen an die Hand gegeben werden, um entsprechende Systeme umzusetzen.

Das dem ISO-Standard zugrunde liegende Modell enthält im Wesentlichen zwei Phasen: Die erste Phase, welche in der Einführung des Compliance-Management-Systems besteht, und die zweite Phase, die im Betrieb des Systems besteht. In der ersten Phase müssen die Ziele und Anwendungsbereiche des Compliance-Management-Systems definiert werden. Auf dieser Basis wird die Compliance-Strategie bzw. -Politik definiert. Die Schnittstelle zur zweiten Phase wird durch einen risikobasierten Ansatz hergestellt. In dieser Phase werden die Compliance-Risiken und Anforderungen identifiziert und analysiert. In einem weiteren Schritt wird die Aufbauorganisation mit entsprechenden Verantwortlichkeiten definiert. Diese Elemente werden durch prozessuale Schritte begleitet: Entwicklung (development), Umsetzung (implementation), Evaluierung (evaluation) und Aufrechterhaltung (maintenance).

Hier geht es zu einem Interview von Risknet mit Prof. Dr. Josef Scherer über die aktuelle Enwicklungen im Bereich der Zertifizierungen von Compliance-Managementsystemen.