Compliance Management im Mittelstand: Mehr als nur Regelkonformität

Compliance bedeutet im engeren Sinne, dass ein Unternehmen alle relevanten Gesetze, Vorschriften und internen Regeln einhält. Im weiteren Sinne — und das ist die moderne, strategische Interpretation — umfasst Compliance das gesamte System aus Strukturen, Prozessen und Kulturelementen, das regelkonformes Verhalten im Unternehmen sicherstellt, Verstöße frühzeitig erkennt und konsequent ahndet.

Der entscheidende Unterschied: Gesetze kennen ist notwendig, aber nicht hinreichend. Ein Unternehmen, das die DSGVO kennt, aber keine Prozesse zur Umsetzung etabliert hat, haftet genauso wie eines, das die Vorschrift nicht kannte — oder sogar stärker, weil vorsätzliches Handeln angenommen werden kann. Compliance Management überbrückt die Lücke zwischen rechtlichem Wissen und gelebter Praxis. Es macht aus abstrakten Regeln konkrete Verhaltenserwartungen, Checklisten, Schulungen und Kontrollen.

Für Geschäftsführer kommt ein weiterer Aspekt hinzu: die persönliche Haftung. Nach deutschem Gesellschaftsrecht (GmbHG, AktG) haften Geschäftsführer mit ihrem Privatvermögen, wenn sie ihre Organisations- und Aufsichtspflichten verletzen. Ein Compliance-Verstoß, der durch ein funktionierendes CMS hätte verhindert werden können, kann zur persönlichen Haftung des Geschäftsführers führen — auch wenn er von dem Verstoß nichts gewusst hat. Unwissenheit schützt nicht; organisatorische Sorgfalt schon.

Die persönliche Haftung von Geschäftsführern und Vorständen bei Compliance-Verstößen ist in Deutschland deutlich weiter gefasst, als viele glauben. Grundlage ist die sogenannte Organisations- und Aufsichtspflicht: Wer ein Unternehmen leitet, muss sicherstellen, dass alle relevanten gesetzlichen Anforderungen eingehalten werden. Verletzt er diese Pflicht — etwa indem er kein angemessenes Compliance-System einrichtet — haftet er persönlich für daraus entstandene Schäden.

Das Bußgeldordnungswidrigkeitsgesetz (OWiG § 30) ermöglicht zudem Geldbußen gegen Unternehmen, wenn Leitungspersonen Straftaten oder Ordnungswidrigkeiten begehen oder ermöglichen. Diese Unternehmensgeldbußen können bei Kartellverstößen bis zu 10 Prozent des weltweiten Konzernjahresumsatzes betragen — für einen Mittelständler mit 50 Millionen Euro Umsatz bedeutet das ein Bußgeldpotenzial von fünf Millionen Euro. D&O-Versicherungen (Directors and Officers) können das Haftungsrisiko für Führungskräfte abmildern, ersetzen aber kein funktionierendes CMS.

Ein funktionierendes Compliance-Management-System wirkt als Haftungsschutzschild: Gerichte und Behörden berücksichtigen bei der Strafzumessung, ob das Unternehmen angemessene Präventionsmaßnahmen ergriffen hatte. Ein dokumentiertes, gelebtes CMS kann Bußgelder erheblich reduzieren — oder bei leichteren Verstößen sogar zur Einstellung des Verfahrens beitragen.

Viele Compliance-Programme scheitern nicht am fehlenden Regelwerk, sondern an der fehlenden Kultur. Wenn Mitarbeiter Compliance als lästige Bürokratie erleben, die der Kontrolle dient, werden Regeln umgangen, Meldesysteme nicht genutzt und Schulungen formal absolviert aber nicht verinnerlicht. Eine echte Compliance-Kultur entsteht nur, wenn Führungskräfte Compliance vorleben — nicht nur predigen.

Der Unterschied zeigt sich in Details: Wird der Vertriebschef für einen gewonnenen Auftrag gelobt, der mit fragwürdigen Mitteln gewonnen wurde — oder konsequent zur Rechenschaft gezogen? Werden Mitarbeiter, die Compliance-Bedenken äußern, ernst genommen oder als Bremsklötze abgetan? Gibt der Geschäftsführer im Kundenrestaurant die teuerste Flasche Wein zurück, weil sie die interne Geschenkrichtlinie überschreitet — oder macht er eine Ausnahme? Jedes dieser Signale prägt die Compliance-Kultur stärker als zehn Schulungen.

Compliance als Wettbewerbsvorteil zu verstehen bedeutet: Unternehmen mit starker Compliance-Kultur gewinnen das Vertrauen von Kunden, die selbst hohe Compliance-Standards haben (insbesondere Konzerne und öffentliche Auftraggeber), erhalten bessere Kreditkonditionen von Banken, die Compliance-Risiken in ihre Kreditvergabe einpreisen, und ziehen Mitarbeiter an, die in einem ethisch sauberen Umfeld arbeiten möchten.

Die ISO 37301 (Compliance-Management-Systeme) ist seit 2021 die internationale Norm für den Aufbau, die Implementierung und kontinuierliche Verbesserung von Compliance-Management-Systemen. Sie löste die ältere ISO 19600 ab und ist zertifizierbar — das heißt, Unternehmen können sich von akkreditierten Stellen bestätigen lassen, dass ihr CMS die Normanforderungen erfüllt.

Eine ISO-37301-Zertifizierung ist für KMU selten verpflichtend, kann aber ein starkes Signal gegenüber Kunden, Investoren und Behörden sein. Insbesondere bei öffentlichen Ausschreibungen, in regulierten Branchen oder als Lieferant großer Konzerne wird ein strukturiertes CMS zunehmend vorausgesetzt. Die Norm gibt auch ohne Zertifizierung eine hervorragende Orientierung für den Aufbau eines wirksamen CMS: Sie deckt alle relevanten Bausteine ab — von der Kontextanalyse über Risikobewertung bis zum Monitoring.

Externe Compliance-Beratung ist sinnvoll, wenn das interne Know-how fehlt, ein Verstoß aufgearbeitet werden muss oder ein bestehendes CMS auf Lücken überprüft werden soll. Erfahrene Compliance-Berater erkennen blinde Flecken, die intern nicht sichtbar sind, und bringen Best-Practice-Erfahrungen aus anderen Branchen mit. Gerade beim Aufbau eines CMS von Grund auf lohnt sich externe Begleitung — auch um nicht Fehler zu machen, die später teuer korrigiert werden müssen.