Compliance Management im Mittelstand: Was mehr als Regelkonformität bedeutet
Kurz gesagt
Compliance im Mittelstand gelingt mit einem systematischen Compliance-Management-System, das über reine Regelkonformität hinausgeht — mit Risikoanalyse, gelebter Compliance-Kultur, funktionierendem Hinweisgebersystem und pragmatischer Umsetzung statt reiner Bürokratie.
Persönliche Haftung der Geschäftsführung
Nach deutschem Gesellschaftsrecht haften Geschäftsführer mit ihrem Privatvermögen, wenn sie ihre Organisations- und Aufsichtspflichten verletzen. Ein Compliance-Verstoß, der durch ein funktionierendes Compliance-Management-System hätte verhindert werden können, kann zur persönlichen Haftung führen — auch ohne Kenntnis des konkreten Verstoßes. Unwissenheit schützt nicht, organisatorische Sorgfalt schon. Ein funktionierendes System wirkt zugleich als Haftungsschutzschild: Gerichte und Behörden berücksichtigen bei der Sanktionsbemessung, ob angemessene Präventionsmaßnahmen ergriffen wurden.
Compliance-Bereiche, die KMU kennen sollten
- DSGVO: Verarbeitungsverzeichnis, Datenschutzerklärungen, Auftragsverarbeitungsverträge, technisch-organisatorische Maßnahmen.
- Geldwäschegesetz: relevant für Immobilien, Finanzdienstleistungen, Rechtsberatung und Güterhandel ab bestimmten Bargeldschwellen.
- Kartellrecht: Preisabsprachen, Marktaufteilung und Informationsaustausch mit Wettbewerbern sind verboten und werden empfindlich geahndet.
- Arbeitsrecht: Arbeitszeitgesetz, Entgelttransparenz, Gleichbehandlung, Betriebsverfassungsgesetz.
- Exportkontrolle: Dual-Use-Güter, Embargobestimmungen, Sanktionslisten.
- Umweltrecht: Chemikalienrecht, Verpackungsgesetz, Elektrogesetz.
- Branchenspezifika: ISO-Normen, Branchenzertifizierungen, branchenspezifische Aufsichtsbehörden.
Das Compliance-Management-System aufbauen
- Risikoanalyse: relevante Gesetze identifizieren, frühere Problembereiche und strukturelle Fehlanreize erkennen — sie liefert die Priorisierungsgrundlage.
- Richtlinien und Verhaltenskodex: schriftliche Regeln, die konkrete Verhaltenserwartungen formulieren, zusammengefasst in einem übergreifenden Verhaltenskodex.
- Schulung und Kommunikation: initial für alle Mitarbeitenden, danach mindestens jährlich sowie anlassbezogen; Risikogruppen brauchen intensivere Schulungen.
- Monitoring und interne Kontrollen: interne Audits, Vier-Augen-Prinzip bei kritischen Transaktionen, dokumentierte Lieferanten- und Partner-Checks.
- Hinweisgebersystem: seit Juli 2023 für Unternehmen ab 50 Mitarbeitenden Pflicht — anonyme Meldung ohne Repressalien.
- Sanktionen und kontinuierliche Verbesserung: Verstöße konsequent ahnden, unabhängig von der Hierarchiestufe, und jeden Vorfall als Anlass zur Systemverbesserung nutzen.
Kultur schlägt Bürokratie
Viele Compliance-Programme scheitern nicht am Regelwerk, sondern an der fehlenden Kultur. Werden Compliance-Bedenken ernst genommen oder als Bremsklotz abgetan? Wird ein mit fragwürdigen Mitteln gewonnener Auftrag gelobt oder konsequent hinterfragt? Solche Signale prägen die Compliance-Kultur stärker als jede Schulung. Unternehmen mit gelebter Compliance-Kultur gewinnen zudem das Vertrauen anspruchsvoller Kunden, oft bessere Kreditkonditionen und ziehen Mitarbeitende an, die in einem sauberen Umfeld arbeiten wollen.
ISO 37301 als Orientierung
Die ISO 37301 ist die internationale Norm für Compliance-Management-Systeme und seit 2021 zertifizierbar. Für KMU ist eine Zertifizierung selten verpflichtend, kann aber gegenüber Kunden, Investoren und Behörden ein starkes Signal sein — insbesondere bei öffentlichen Ausschreibungen oder als Lieferant größerer Unternehmen. Auch ohne Zertifizierung gibt die Norm eine gute Orientierung für den Aufbau eines wirksamen Systems.