Compliance-Verantwortlichkeiten im Unternehmen festlegen bedeutet, für jede regulatorische Anforderung eine konkrete Person zu benennen, die für Umsetzung und Überwachung zuständig ist, statt Verantwortung diffus in der Organisation zu belassen. In der Praxis vieler mittelständischer Unternehmen existieren zwar Richtlinien und Prozessbeschreibungen, doch bei einer Nachfrage, wer im Zweifel für die Einhaltung einer bestimmten Vorgabe geradesteht, herrscht Unklarheit. Diese Lücke wird spätestens dann kritisch, wenn ein Verstoß auftritt und im Rahmen einer Aufsichtsbeschwerde oder Betriebsprüfung nachgewiesen werden muss, dass die Geschäftsführung ihrer Organisationspflicht nachgekommen ist. Dieser Beitrag zeigt, welche Rollen ein tragfähiges Compliance-Verantwortungsmodell benötigt, wie sich Zuständigkeiten dokumentieren lassen, welche Besonderheiten bei ausgelagerten Prozessen und mehreren Standorten zu beachten sind und welche Fehler bei der praktischen Umsetzung im Mittelstand am häufigsten auftreten.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionelle Ansicht der Redaktion wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zur Ausgestaltung Ihrer Compliance-Organisation wenden Sie sich bitte an eine entsprechend spezialisierte Fachperson.
Titelbild: Foto von Campaign Creators auf Unsplash.
Warum klare Verantwortlichkeiten das Fundament jedes Compliance-Management-Systems sind
Ein Compliance-Management-System, das Richtlinien und Kontrollen definiert, aber keine eindeutige Rollenverteilung vorsieht, bleibt in der Praxis wirkungslos. Wenn im Ernstfall mehrere Personen glauben, eine bestimmte Aufgabe liege bei jemand anderem, entstehen genau die Lücken, die ein Compliance-System eigentlich schließen soll. Die Organisationsverantwortung der Geschäftsführung verlangt deshalb nicht nur die Einrichtung von Prozessen, sondern auch deren nachvollziehbare Zuordnung zu konkreten Personen mit ausreichenden Kompetenzen und Ressourcen.
Eine klare Verantwortungszuordnung erfüllt zugleich zwei Funktionen: Sie stellt im Alltag sicher, dass Aufgaben tatsächlich erledigt werden, und sie liefert im Bedarfsfall den Nachweis, dass das Unternehmen seiner Aufsichtspflicht angemessen nachgekommen ist. Beide Funktionen lassen sich nur erreichen, wenn Verantwortlichkeiten schriftlich dokumentiert, regelmäßig aktualisiert und den Beteiligten aktiv kommuniziert werden.
Rollen im Überblick
Ein funktionierendes Compliance-Verantwortungsmodell besteht typischerweise aus mehreren ineinandergreifenden Rollen, deren Aufgaben sich klar voneinander abgrenzen lassen.
| Rolle | Kernaufgabe | Typische Ansiedlung |
|---|---|---|
| Geschäftsführung | Organisationsverantwortung, Ressourcenbereitstellung, letzte Eskalationsstufe | Unternehmensleitung |
| Compliance-Beauftragter | Aufbau und Pflege des Compliance-Management-Systems, Beratung, Überwachung | Stabsstelle mit Berichtslinie zur Geschäftsführung |
| Fachbereichsleitung | Umsetzung der Vorgaben im operativen Tagesgeschäft der Abteilung | Linienfunktion |
| Interne Revision | Unabhängige Prüfung der Wirksamkeit des Compliance-Systems | Von der Linie unabhängige Stabsstelle |
Kleinere Unternehmen ohne eigene Compliance-Abteilung übertragen die Aufgaben des Compliance-Beauftragten häufig zusätzlich an eine bestehende Funktion, etwa die Leitung Recht oder Personal. Entscheidend ist in diesem Fall, dass die Doppelrolle nicht zu Interessenkonflikten führt und ausreichend Zeitressourcen für die Compliance-Aufgaben eingeplant werden. Übernimmt beispielsweise die Personalleitung zusätzlich die Compliance-Funktion, muss sichergestellt sein, dass ein Verdachtsfall gegen eine Führungskraft aus dem eigenen Verantwortungsbereich nicht unter Interessenkonflikten leidet, etwa durch eine klar definierte Ausweichzuständigkeit für solche Konstellationen.
Die Organisationsverantwortung der Geschäftsführung
Die Pflicht der Geschäftsführung, im Unternehmen angemessene Aufsichtsmaßnahmen zur Vermeidung von Pflichtverletzungen zu treffen, ist unter anderem in § 130 OWiG verankert. Diese Vorschrift begründet zwar keine Pflicht zur lückenlosen Kontrolle jedes Einzelvorgangs, verlangt aber eine Organisation, die Verstöße mit angemessenem Aufwand verhindert und aufdeckt. Wird diese Organisationspflicht verletzt, kann dies bei einem konkreten Regelverstoß im Unternehmen zu einer eigenständigen Haftung der Geschäftsführung führen.
Für die praktische Umsetzung bedeutet das, dass die Geschäftsführung Verantwortlichkeiten zwar delegieren, die Gesamtverantwortung für ein funktionierendes System jedoch nicht vollständig abgeben kann. Eine regelmäßige Berichterstattung des Compliance-Beauftragten an die Geschäftsführung sowie eine dokumentierte Befassung mit wesentlichen Compliance-Risiken gehören deshalb zu den Mindestanforderungen eines nachweisbaren Verantwortungsmodells.
Aufgaben und Befugnisse eines Compliance-Beauftragten
Der oder die Compliance-Beauftragte übernimmt die operative Steuerung des Compliance-Management-Systems, ohne die Organisationsverantwortung der Geschäftsführung zu ersetzen. Zu den Kernaufgaben zählen die Identifikation relevanter Rechtsgebiete und regulatorischer Anforderungen, die Ausarbeitung interner Richtlinien, die Durchführung von Schulungen sowie die Überwachung der Einhaltung getroffener Maßnahmen.
Damit diese Rolle wirksam ausgeübt werden kann, benötigt sie ein direktes Berichtsrecht an die Geschäftsführung, ausreichende zeitliche und finanzielle Ressourcen sowie Zugriff auf die für die Aufgabenerfüllung notwendigen Informationen aus den Fachbereichen. Fehlen diese Voraussetzungen, bleibt die Funktion formal besetzt, kann ihre Aufgaben in der Praxis jedoch nicht wirksam wahrnehmen, was im Ernstfall die Nachweisführung erschwert.
Verantwortlichkeiten in den Fachbereichen verankern
Compliance darf nicht ausschließlich als Aufgabe einer zentralen Stelle verstanden werden. Die eigentliche Umsetzung findet in den Fachbereichen statt, etwa im Einkauf bei der Prüfung von Lieferanten, im Vertrieb bei der Einhaltung von Vergaberegeln oder in der IT bei der Umsetzung technischer Sicherheitsanforderungen. Jede Fachbereichsleitung sollte deshalb konkret benennen können, welche Compliance-Anforderungen für den eigenen Verantwortungsbereich gelten und wie deren Einhaltung im Tagesgeschäft sichergestellt wird.
Eine bewährte Methode ist die Benennung von Ansprechpersonen für Compliance-Themen innerhalb jedes Fachbereichs, die als Bindeglied zwischen der zentralen Compliance-Funktion und dem operativen Geschäft fungieren. Diese Personen müssen keine juristische Ausbildung haben, sollten aber regelmäßig geschult werden und über einen klar definierten Eskalationsweg für Zweifelsfragen verfügen.
Verantwortlichkeiten bei ausgelagerten Prozessen und Dienstleistern
Werden Aufgaben an externe Dienstleister ausgelagert, etwa die Lohnbuchhaltung, der IT-Betrieb oder Teile der Produktion, bleibt die Verantwortung für die Einhaltung regulatorischer Anforderungen grundsätzlich beim auslagernden Unternehmen. Die Organisationspflicht der Geschäftsführung erstreckt sich damit auch auf die Auswahl, Steuerung und Überwachung externer Dienstleister. In der Praxis bedeutet das, dass für jede ausgelagerte Aufgabe intern eine Person benannt sein muss, die für die Steuerung des Dienstleisters und die Kontrolle der vereinbarten Leistungen zuständig ist.
Vertragliche Regelungen zu Berichtspflichten, Prüfungsrechten und Eskalationswegen sollten deshalb nicht nur mit dem Dienstleister vereinbart, sondern auch intern einer konkreten Verantwortlichkeit zugeordnet werden. Fehlt diese interne Zuordnung, entsteht häufig die Situation, dass zwar ein Vertrag mit Compliance-Klauseln existiert, dessen tatsächliche Einhaltung aber von niemandem aktiv überwacht wird.
Meldewege und Whistleblowing als Bestandteil des Verantwortungsmodells
Ein vollständiges Verantwortungsmodell umfasst auch die Frage, wer eingehende Hinweise auf mögliche Regelverstöße entgegennimmt, bearbeitet und dokumentiert. Diese Aufgabe wird häufig der internen Meldestelle oder dem Compliance-Beauftragten zugeordnet, sollte aber unabhängig von den jeweils betroffenen Fachbereichen organisiert sein, um Interessenkonflikte zu vermeiden. Die für die Bearbeitung zuständige Person benötigt klare Vorgaben zu Fristen, Vertraulichkeit und dem weiteren Vorgehen nach Eingang eines Hinweises.
Wichtig ist außerdem, dass die Verantwortlichkeit für die Rückmeldung an die hinweisgebende Person eindeutig geregelt ist. Bleibt unklar, wer für die Rückmeldung zuständig ist, sinkt die Bereitschaft der Belegschaft, Hinweise überhaupt zu melden, weil der Eindruck entsteht, Meldungen würden folgenlos versanden. Eine dokumentierte Zuständigkeit für jeden Schritt des Meldeprozesses, von der Entgegennahme über die Prüfung bis zur Rückmeldung, stärkt sowohl die Wirksamkeit des Verfahrens als auch dessen Nachweisbarkeit gegenüber Aufsichtsbehörden. Ergänzend sollte festgelegt sein, wer über den Fortgang eines Falls informiert wird, ohne dabei den Kreis der eingeweihten Personen unnötig zu vergrößern, da eine zu breite interne Kommunikation über laufende Untersuchungen selbst ein Compliance-Risiko darstellen kann.
Dokumentation und Nachweisführung
Eine in der Praxis bewährte Methode zur Dokumentation von Verantwortlichkeiten ist die RACI-Matrix, die für jede Aufgabe festhält, wer sie durchführt (Responsible), wer die Ergebnisverantwortung trägt (Accountable), wer konsultiert wird (Consulted) und wer informiert werden muss (Informed).
| Aufgabe | Responsible | Accountable | Consulted | Informed |
|---|---|---|---|---|
| Erstellung Compliance-Richtlinie | Compliance-Beauftragter | Geschäftsführung | Fachbereichsleitungen | Alle Mitarbeitenden |
| Schulung neuer Mitarbeitender | Personalabteilung | Compliance-Beauftragter | Fachbereichsleitung | Geschäftsführung |
| Meldung eines Verdachtsfalls | Meldende Person | Compliance-Beauftragter | Rechtsabteilung | Geschäftsführung |
Eine solche Matrix macht Verantwortlichkeiten nicht nur intern nachvollziehbar, sondern dient auch als Beleg gegenüber Behörden oder im Rahmen einer internen Untersuchung, dass Zuständigkeiten vor einem Vorfall klar definiert waren und nicht nachträglich konstruiert wurden.
Besonderheiten bei mehreren Standorten oder Tochtergesellschaften
Unternehmen mit mehreren Standorten oder Tochtergesellschaften stehen vor der zusätzlichen Herausforderung, Compliance-Verantwortlichkeiten sowohl zentral als auch lokal sinnvoll zu verteilen. Eine rein zentrale Steuerung ohne lokale Ansprechpersonen führt häufig dazu, dass standortspezifische Besonderheiten, etwa abweichende regionale Vorschriften, nicht ausreichend berücksichtigt werden. Eine rein dezentrale Organisation ohne zentrale Koordination birgt umgekehrt das Risiko uneinheitlicher Standards und widersprüchlicher Vorgaben zwischen den Einheiten.
Ein bewährtes Modell kombiniert eine zentrale Compliance-Funktion, die konzernweite Mindeststandards definiert, mit lokalen Compliance-Verantwortlichen an den einzelnen Standorten, die für die Umsetzung vor Ort und die Einhaltung zusätzlicher lokaler Anforderungen zuständig sind. Die Berichtslinie sollte dabei so gestaltet sein, dass lokale Verantwortliche sowohl an die Standortleitung als auch fachlich an die zentrale Compliance-Funktion berichten, um eine einheitliche Eskalation kritischer Sachverhalte sicherzustellen.
Verantwortlichkeiten schrittweise einführen
- Bestehende Compliance-relevante Aufgaben und Prozesse im Unternehmen erfassen, unabhängig davon, ob bereits eine formale Zuständigkeit existiert.
- Für jede Aufgabe eine verantwortliche Person nach dem RACI-Prinzip benennen und Doppelzuständigkeiten auflösen.
- Rollenbeschreibungen schriftlich fixieren, inklusive Eskalationswegen bei Unklarheiten oder Verdachtsfällen.
- Verantwortlichkeiten aktiv kommunizieren, etwa im Rahmen von Schulungen oder Teammeetings, statt sie nur in einem Dokument abzulegen.
- Die Zuordnung mindestens jährlich oder bei organisatorischen Veränderungen überprüfen und aktualisieren.
Eine einmalige Festlegung reicht nicht aus. Personalwechsel, neue gesetzliche Anforderungen und veränderte Unternehmensstrukturen erfordern eine regelmäßige Überprüfung, ob die dokumentierten Verantwortlichkeiten noch der tatsächlichen Organisation entsprechen.
Ein in der Compliance-Praxis häufig zitierter Grundsatz lautet, dass eine Verantwortlichkeit, die niemand kennt, faktisch nicht existiert, unabhängig davon, wie detailliert sie in einem internen Dokument beschrieben ist.
Schulung als Voraussetzung für gelebte Verantwortlichkeiten
Eine dokumentierte Verantwortlichkeit entfaltet nur dann Wirkung, wenn die benannte Person auch tatsächlich weiß, was von ihr erwartet wird und über das notwendige Fachwissen verfügt. Schulungsmaßnahmen sollten deshalb nicht als allgemeine Compliance-Sensibilisierung für die gesamte Belegschaft verstanden werden, sondern rollenspezifisch differenziert werden. Ein Compliance-Beauftragter benötigt andere Kenntnisse als eine Fachbereichsleitung, die im Tagesgeschäft punktuelle Compliance-Fragen zu beurteilen hat.
Sinnvoll ist es, Schulungsinhalte direkt an die in der RACI-Matrix dokumentierten Aufgaben zu koppeln, sodass jede Rolle gezielt auf die ihr zugeordneten Verantwortlichkeiten vorbereitet wird. Ergänzend empfiehlt sich eine regelmäßige Auffrischung, insbesondere wenn sich gesetzliche Anforderungen ändern oder neue Risikofelder hinzukommen, sowie eine kurze Dokumentation der Teilnahme, die im Bedarfsfall als Nachweis der Sorgfaltspflicht dienen kann.
Typische Fehler bei der Zuordnung von Verantwortlichkeiten
- Verantwortlichkeiten werden nur auf dem Papier definiert, ohne dass die benannten Personen über die notwendigen Befugnisse und Ressourcen verfügen.
- Der Compliance-Beauftragte wird organisatorisch unterhalb der Fachbereiche angesiedelt, wodurch das notwendige Durchgriffsrecht fehlt.
- Rollenbeschreibungen werden nach der Einführung nicht mehr aktualisiert, obwohl sich Zuständigkeiten durch Umstrukturierungen verschoben haben.
- Verantwortlichkeiten werden nur zentral dokumentiert, aber den betroffenen Personen nie aktiv kommuniziert.
- Eskalationswege existieren nur in der Theorie, wurden aber nie in einer Übung oder einem Testfall überprüft.
Wer diese Fehler kennt, kann sie bereits bei der Konzeption des Verantwortungsmodells vermeiden. Ein realistischer Testlauf, etwa anhand eines fiktiven Compliance-Vorfalls, zeigt zuverlässig, ob die dokumentierten Zuständigkeiten im Ernstfall tatsächlich funktionieren oder ob Lücken bestehen, die im Alltag nicht sichtbar werden. Ein solcher Testlauf sollte fester Bestandteil der jährlichen Überprüfung sein, statt sich allein auf die schriftliche Dokumentation zu verlassen. Nur wenn Verantwortlichkeiten sowohl auf dem Papier klar geregelt als auch im Ernstfall tatsächlich handlungsfähig sind, erfüllt das Compliance-Management-System seinen Zweck und liefert der Geschäftsführung den notwendigen Nachweis angemessener Organisation.
FAQ
Kann die Geschäftsführung ihre Compliance-Verantwortung vollständig delegieren?
Nein. Aufgaben können delegiert werden, die grundsätzliche Organisationsverantwortung für ein funktionierendes Compliance-System verbleibt jedoch bei der Geschäftsführung.
Braucht jedes mittelständische Unternehmen einen eigenen Compliance-Beauftragten?
Eine eigene Vollzeitstelle ist nicht immer erforderlich. Wichtig ist, dass die Aufgabe klar einer Person mit ausreichenden Ressourcen und Befugnissen zugeordnet ist, auch wenn diese die Funktion neben anderen Aufgaben ausübt und regelmäßig an die Geschäftsführung berichtet.
Wie oft sollten Compliance-Verantwortlichkeiten überprüft werden?
Eine jährliche Überprüfung gilt als Mindeststandard, zusätzlich sollte jede wesentliche organisatorische Veränderung, etwa eine Umstrukturierung oder ein Personalwechsel in einer Schlüsselrolle, Anlass für eine sofortige Aktualisierung der Dokumentation sein.
Was passiert, wenn Verantwortlichkeiten nicht dokumentiert sind?
Ohne Dokumentation lässt sich im Ernstfall kaum nachweisen, dass die Geschäftsführung ihrer Organisationspflicht nachgekommen ist, was die eigene Haftungsposition deutlich verschlechtert.
Eignet sich die RACI-Matrix auch für kleinere Unternehmen?
Ja, die Methode lässt sich unabhängig von der Unternehmensgröße anwenden und in ihrem Detailgrad an den tatsächlichen Bedarf anpassen.
Wer trägt die Verantwortung, wenn ein Fachbereich eine Vorgabe ignoriert?
Grundsätzlich die jeweilige Fachbereichsleitung für die operative Umsetzung, die Geschäftsführung bleibt jedoch für die Angemessenheit der übergeordneten Organisation verantwortlich.
Wie geht man mit Verantwortlichkeiten bei ausgelagerten Prozessen um?
Die Gesamtverantwortung verbleibt beim auslagernden Unternehmen. Intern sollte deshalb immer eine Person benannt sein, die den Dienstleister steuert und dessen Leistung überwacht.
Reicht eine einmalige Schulung zu Verantwortlichkeiten aus?
Nein. Rollenspezifische Schulungen sollten regelmäßig aufgefrischt werden, insbesondere wenn sich gesetzliche Anforderungen ändern, neue Risikofelder entstehen oder Personen neu in eine Verantwortungsrolle wechseln.
