Compliance Management

• DSGVO: Jedes Unternehmen, das personenbezogene Daten in der EU verarbeitet, muss diese EU-Verordnung einhalten. Von der kleinsten Agentur bis zum globalen Konzern ist Datenschutz nach der DSGVO ein zentrales Compliance-Element.
• NIS2: Diese EU-Richtlinie wird zum Oktober 2024 in deutsches Recht umgesetzt. Sie betrifft vor allem eine Reihe von Anbietern wesentlicher Dienste wie Energieversorger und Transportunternehmen. Die NIS2 setzt neue Standards für die Sicherheit ihrer Netz- und Informationssysteme.
• IT-Sicherheitsgesetz 2.0: Im Fokus dieses Gesetzes stehen Betreiber kritischer Infrastrukturen. Dazu gehören zum Beispiel Gesundheitsdienstleister, Banken und Versorgungsunternehmen. Sie sind verpflichtet, ihre IT-Systeme noch widerstandsfähiger gegen Cyber-Angriffe zu machen.
• ESG-Regeln: Diese betreffen nicht nur Finanzinstitute, die in nachhaltige Projekte investieren, sondern alle Unternehmen, die sich auf die Fahnen schreiben, ethisch, sozial verantwortlich und umweltbewusst zu handeln („Environmental Social Governance“, ESG).
• HIPAA (Health Insurance Portability and Accountability Act): In den USA ist dieses Gesetz für den Schutz von Patientendaten im Gesundheitssektor maßgeblich.
• PCI DSS (Payment Card Industry Data Security Standard): Das ist ein weltweit gültiger Standard für alle Organisationen, die Kreditkartentransaktionen verarbeiten, speichern oder übertragen.

Verantwortung der Unternehmensleitung
Die Unternehmensleitung ist für die strikte Einhaltung aller gesetzlichen Vorschriften verantwortlich. Sie kann diese Verantwortung aber auch an jemanden delegieren, der die branchenspezifischen Vorschriften kennt und weiß, welche technischen Maßnahmen notwendig und angemessen sind. Falls vorhanden, wird daher oft die IT-Abteilung bzw. ein IT-Administrator oder eine IT-Administratorin mit diesen Aufgaben betraut. Die benannte Person entwickelt dann in Abstimmung mit der Unternehmensleitung die IT-Compliance Policies.

Einhaltung nationaler und internationaler Vorschriften
International tätige Konzerne müssen in allen Ländern, in denen sie agieren, compliant sein. Denn Rechtsverstöße im Ausland – etwa von Tochtergesellschaften – können konzernweite Konsequenzen nach sich ziehen.

Konsequenzen von Non-Compliance
Non-Compliance ist riskant und kostspielig. Die Nichteinhaltung der relevanten Vorschriften kann schwerwiegende Folgen nach sich ziehen. Dazu zählen:

• Finanzielle Belastungen: Hohe Bußgelder und Schadenersatzzahlungen
• Reputationsverlust: Negatives Bild in der Öffentlichkeit, Verlust des Kundenvertrauens
• Operationale Störungen: Mögliche Beeinträchtigung von Betriebsabläufen durch Non-Compliance

Notwendigkeit eines CMS
Ein CMS ist unter anderem erforderlich, um den Anforderungen des Deutschen Corporate Governance Kodex (DCGK) und spezifischen Bedürfnissen des Unternehmens gerecht zu werden.

Anpassungsfähigkeit und Effizienz
Ein Compliance Management System muss flexibel an technische und rechtliche Veränderungen anpassbar sein, um operative Exzellenz zu gewährleisten und nicht zuletzt den finanziellen Aufwand zu rechtfertigen. Um bei Compliance-Verstößen umgehend zu reagieren und den aktuellen Stand des CMS sicherzustellen, ist ein Compliance Officer unverzichtbar.

Um Compliance-Verstöße und Bußgelder zu vermeiden, sollte eine Compliance-Strategie Prioritäten setzen und grundlegende Gesetze und Vorschriften von Anfang an berücksichtigen. Zudem müssen alle Mitarbeitenden in die Compliance-Prozesse einbezogen werden: Für die Einhaltung der Vorschriften ist nicht allein der Compliance-Beauftragte zuständig.

Compliance umsetzen – die wichtigsten Schritte:

• Risikoidentifizierung: Ermitteln aller für das Unternehmen geltenden Vorschriften und Gesetze, einschließlich der Arten von Risiken, denen es ausgesetzt sein könnte
• Interne Audits: Durchführung interner Audits zur Bewertung der Wirksamkeit der Sicherheits- und Compliance-Strategie
• Compliance-Plan: Erstellen eines Plans, in dem festgelegt ist, welche Compliance-Vorschriften einzuhalten sind
• Mitarbeiterschulungen: Sicherstellen, dass die Mitarbeitenden über die neuesten Regeln und Vorschriften informiert sind und sie anwenden können