Compliance – mit systemischen Ansatz zum Erfolg

Herzlich willkommen zu einer neuen Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Wir starten heute in die zweite Staffel von Code of C, und wir begeben uns heute auf eine Reise zur Planung, zur Umsetzung und zum erfolgreichen Betrieb eines Compliance-Management-Systems. Und den Anfang, den machen wir mit einer Interviewfolge zum Thema „Compliance – mit systemischem Ansatz zum Erfolg“. Dazu habe ich natürlich eine absolute Expertin aus der Praxis und nunmehr aus der Beratung zu mir ins Studio eingeladen.

Sie war bis vor kurzem Senior Expert Compliance bei der ÖBB Holding. Sie ist Vortragende, sie ist Autorin, Aufsichtsrätin bei der Casinos Austria AG, wo sie Mitglied des Compliance-Ausschusses ist, und sie ist nunmehr Partnerin und Rechtsanwältin in einer der renommiertesten Wirtschaftskanzleien in Österreich, E+H Rechtsanwälte in Wien. Sie hat einen Schwerpunkt auf Compliance und Kartellrecht. Herzlich willkommen, Erika Stark-Rittenauer, es ist wunderschön, es ist wunderbar, dass du da bist. Herzlich willkommen. Vielen Dank für die Einladung, lieber Martin. Und vor allem vielen Dank, dass ich Gast zum ersten Teil der zweiten Staffel sein kann. Das ehrt mich sehr. Sehr gern. Ehre, wem Ehre gebührt.

Liebe Erika, wir haben ja so eine kleine Tradition bei uns bei Code of C, die ist insbesondere wichtig, weil es so ein wiederkehrendes Element ist: unser kleiner Mutmacher. Und jetzt hast du mir im Vorfeld gesagt, dass es für dich die erste Podcast-Folge ist, die du aufnimmst. Also ich kann da nur sagen, bei meinem ersten Podcast war mein eigener Mutmacher ein Gin Tonic, und das war für mich quasi eine kleine Rettung. Ich habe dich im Vorfeld gefragt, ob du auch einen Mutmacher haben möchtest und welchen Mutmacher du gerne hättest. Wir haben uns jetzt auf einen … Grünen Veltliner aus dem Kamptal entschieden, das ist nie ein Fehler. Das ist nie ein Fehler, das ist nie ein Fehler. Das machen wir, um unseren Gaumen ein bisschen anzufeuchten und um die Stimme ein bisschen zu lockern.

Also in der Zwischenzeit, wenn Sie irgendwas hören, dann ist es, weil wir an unserem Weißwein trinken und an dem Glas nippen. So, liebe Erika, quasi mit einem Prost: erste Folge, zweite Staffel, ja? So, liebe Erika, wir beginnen ja heute in dieser Folge mit einem weißen Blatt Papier. Wir zeichnen heute quasi die Grundpfeiler und die Strukturen eines effektiven und effizienten Compliance-Management-Systems. Bevor wir das tun, begleitet durch oder mit unserem Mutmacher, darf ich dich vorher noch einladen zu unserem Code-of-C-Check-in. Sehr gerne. Ich darf dich zum Aufwärmen ersuchen, mir folgenden Satz zu vervollständigen. Und es hat sich natürlich nicht geändert: Die Erika weiß zwar, dass es den Check-in gibt, sie kennt aber die Sätze nicht, die sie vervollständigen soll, bzw.

auch den Entweder-oder-Satz kennt sie nicht. Liebe Erika, ein Mythos im Zusammenhang mit Compliance ist … reine Bürokratie, mühsam, aufwendig, Verwaltung, „Business Destructor“. Voll! Nehm ich, nehm ich, nehm ich! Und dann habe ich noch einen

Entweder-oder-Satz für dich. Compliance: entweder rein unternehmerische oder sogar gesellschaftspolitische Verantwortung? Beides. In jedem Fall beides, ja. Beides. Das ist super, weil das ist eine perfekte Überleitung, in Wahrheit, zu diesem Thema. Weil man merkt gerade jetzt aufgrund der auch steigenden Verpflichtungen im Zusammenhang mit ESG, also mit, das heißt, die Lieferkettensorgfalt, das Whistleblowing, sei es auch die Nachhaltigkeitsberichterstattung, dann merkt man, dass die Fragen und somit auch die Herausforderungen rund um Governance und somit auch rund um Compliance auch zunehmen. Also wenn wir nämlich ESG, wenn wir uns da das G anschauen, dann ist das das Thema Governance.

Viele Unternehmen müssen sich … Was heißt, sie müssen? Sie hätten es eigentlich schon die ganze Zeit tun sollen, sich mit dem Thema Governance auseinandersetzen und beschäftigen. Und wenn wir von Governance sprechen, dann würde ich sagen, Governance hat die Aufgabe, einen Rahmen zu schaffen für eine ordnungsgemäße Unternehmensführung und natürlich auch für die Überwachung. Und da gehört die Compliance dazu. Und das ist schon die erste Frage an dich. Liebe Erika, du jetzt als Expertin, auch als Person, die schon Teil eines etablierten Compliance-Management-Systems war. Du hast eine gewisse Verantwortung auch als Aufsichtsrätin, und du berätst natürlich auch Unternehmen, als Anwältin, bei der Planung, bei der Umsetzung eines Compliance-Management-Systems.

Wie erklärst du deinen Mandantinnen und deinen Mandanten Compliance? Also ich fange immer ganz einfach an, mit den Basics, das finde ich grundsätzlich überhaupt immer das Beste. Das Compliance kommt einmal grundsätzlich vom Wort „to comply with“ aus dem Englischen, also etwas einhalten. Was müssen wir einhalten? Interne und externe Regeln und Forderungen, Richtlinien auf EU-Ebene, auf nationaler Ebene. Aber nicht nur das, es geht eben nicht nur um die reine Regeltreue, sondern auch um die intrinsische Motivation, das zu tun, also um die gelebte Compliance, um eine Compliance-Kultur in einem Unternehmen zu schaffen. Und das, und dann versuche ich zu erklären, was ist denn der Mehrwert daraus? Der Mehrwert ist, dass das ein Business-Enabler ist, dass das Sicherheit bringt, dass das gesunde Geschäftsbeziehungen bringt mit Geschäftspartnern, dass das am Markt positiv ankommt, und im negativen Sinne, aber auch nachhaltig positiven Sinne, dass es eben vermeidet: Risiken wie Strafverfolgungen von Organen, von einzelnen Mitarbeitern, Geldbußen, hohe Kosten für Berater, sprich ich, gegen mein Geschäftsmodell, aber dennoch, hohe Kosten an irrsinnigem Ressourcenaufwand.

Ja, keine Zuverlässigkeit mehr bei Ausschreibungen, hohe Geldbußen, wenn wir z. B. vom Kartellrecht sprechen, und so weiter und so fort. Und ja, und an erster Stelle einmal der Imageverlust, immer stehen in allen Zeitungen. Schau, das ist der Grund, warum wir die zweite Staffel mit dir anfangen. Das ist an sich schon ein Appell, nämlich Compliance-Maßnahmen im Unternehmen umzusetzen. Und wenn man es jetzt ein bisschen runterbricht, für mich ist Compliance immer: sich ordentlich verhalten. Das beinhaltet ja, sich selbst an Regeln zu halten, sich auch um andere zu kümmern. Das ist ja das, was du gesagt hast und was für mich ganz wichtig ist: auch bei festgestellten Risiken etwas zu tun. Also auch dieses angemessene Risikomanagement gehört natürlich bei der Compliance dazu.

Ja, Sanktionsmanagement, Risikomanagement und auch Kontrollen. Also dass das nicht eine reine Feigenblatt-Compliance ist, sondern dass man wirklich

auch das angeht. Richtig. Und jetzt hast du gesagt, du hast intrinsische Motivation kurz angesprochen. Warum kommt man auf die Idee, ein Compliance-Management-System im Unternehmen zu implementieren? Bei mir sind es so genau drei Punkte. Die intrinsische Motivation, das ist natürlich der Superfall. Also wenn das passiert, dass man ein Compliance-Management-System implementiert, weil das irgendjemand aus einer intrinsischen Motivation heraus möchte, ist das natürlich das Beste, was passieren kann. Das Zweite ist, weil vielleicht die Motivation nicht da ist, aber jemand sagt: An Regeln müssen wir uns halten. Und das Dritte ist, und das siehst du wahrscheinlich in deiner Praxis öfter: Lernen aus Schmerz.

Also dann, wenn nämlich tatsächlich etwas passiert, dass man dann darauf reagiert, indem man sagt, wir müssen jetzt vielleicht auch ein Compliance-Management-System im Unternehmen implementieren. Die heutige Folge, über das, was wir reden, setzt jetzt einmal grundsätzlich voraus, dass eine Entscheidung für Compliance schon getroffen wurde. Also auf unserem weißen Blatt Papier steht zumindest damit die Entscheidung fest, dass es ein Compliance-Management-System geben soll. Da reden wir von keiner Auswahl. Größere Unternehmen oder Kapitalmarktunternehmen haben ja auch die Verpflichtungen daraus, den Corporate Governance Kodex. Richtig, genau, genau. Da ist es jetzt so, dass wir natürlich dieses weiße Blatt Papier, von dem ich vorher schon gesprochen habe, vom Check-in, das ist wirklich etwas, das uns jetzt diese ganze Staffel auch begleiten wird.

Wir werden auf diesem weißen Blatt Papier, das machen wir auch zugänglich, das ist jetzt nicht nur was, was wir jetzt fiktiv zeichnen, sondern das zeichnen wir tatsächlich: Wir zeichnen jetzt auf dieses weiße Blatt Papier ein Compliance-Management-System. Und ein Compliance-Management-System, das muss die Werte, die Ziele und die Strategie des Unternehmens auch … Wenn wir jetzt dieses weiße Blatt Papier nehmen, Erika, wo fange ich an bei der Planung, und woran orientiere ich mich, wenn ich nämlich keine Ahnung habe, wie ich starte, wo ich beginne und was ich tun soll? Ja, also ich muss dem Ganzen einmal ein Fundament geben, deswegen eine Struktur, deswegen auch ein Compliance-Management-System, das ist gerade für die Governance wichtig, damit das in die DNA eines Unternehmens hineinkommt, dafür braucht das Prozesse, dafür braucht es einen Kreislauf, dafür braucht es Zugänglichkeit für alle Mitarbeiterinnen und Mitarbeiter, dafür braucht es Kenntnis, dafür braucht es Kommunikation.

Und deswegen ist es wichtig, dieses System in Form einer Software oder wie auch immer das dann im Unternehmen gestaltet wird, zu haben. Also in erster Linie würde ich mich mit dem Geschäftsführungsorgan in Verbindung setzen, also mit dem jeweiligen Vorstand oder Geschäftsführer oder Rechtsabteilungsleiter oder Compliance-Beauftragten, Compliance Officer dieses Unternehmens, das ein Compliance-Management-System installieren möchte oder generell fragt: Wie soll ich Compliance jetzt überhaupt aufsetzen, wo fange ich an, oder auch auf. Da würde ich einmal schauen: Ja, was gibt es denn schon im Unternehmen, um herauszufinden, gibt es einen Tone from the top, weil das ist die Basis für jedes Compliance-Management-System, dass der Wille auf oberster Ebene da ist, weil, wenn sozusagen der Chef das nicht lebt und weiß, was Compliance ist, wird es auch kein Mitarbeiter darunter und keine Mitarbeiterin, egal auf welcher Hierarchiestufe, leben und ernst nehmen.

Und

daher ist einmal in erster Linie wichtig, dieses Erstgespräch zu führen, um auch herauszufinden: Ah, ist das jetzt, weil gerade etwas passiert ist, weil eine Hausdurchsuchung war und sonst interessiert es eigentlich niemanden, möchte man damit vielleicht nur gerade eine konkrete Geldbuße reduzieren, oder gibt es wirklich … Was auch gut ist und besser spät als nie. Also keine Frage, das ist auch bestens. Aber um auch herauszufinden, wie generell der Umgang mit den Themen ist, die Compliance sind, und das ist Antikorruption, das ist Kartellrecht, das ist Datenschutz, das ist Cybersecurity, ja, das ist Whistleblowing, Lieferkette und so weiter und so fort, die Rechtsgebiete sind ja nicht enden wollend im Compliance-Bereich und gehen immer weiter.

Und um herauszufinden, wie ist eben der Status bisher, womit setzt sich das Unternehmen auseinander, und was will es hier eigentlich erreichen. Wenn ich das herausgefunden habe, dass es hier tatsächlich diesen Tone from the top gibt oder dass es zumindest das Commitment für die Zukunft gibt, dass man den Tone setzt für eine Compliance, und dann würde ich mir anschauen, gemeinsam mit dem Geschäftsführer: Wie schaffen wir dann, aus diesem Tone from the top eine Compliance-Kultur zu erreichen im gesamten Unternehmen? Und das macht man am besten mit dem sogenannten Compliance-House, oder man kann auch sagen, die drei Säulen der Compliance, kann man auch alles nachlesen in den ganzen ISO-Normen, zum Beispiel ISO-Norm 37301 zu Compliance-Management-Systemen, gibt es auch eine eigene ISO-Norm zu Korruptionssystemen, zum Whistleblowing, und die 37002. 37301 ist Compliance-Management-System, 37002 ist Whistleblowing-Management-System, und Antikorruption ist 37001. Genau, 37301 und 001, sehr genau, so ist es. Und dort kann man gut nachlesen, was sind so die Punkte, worauf kommt es an, wie ich das aufsetzen kann.

Allerdings würde ich trotzdem einmal mit den Basics anfangen, und das sind eben die drei Säulen in der Compliance, das ist die Prävention, die Früherkennung und die Reaktion, und unter diese drei Säulen sind dann Themen zu subsumieren, wo man dann schaut, wie man die am besten unterbringt, wie das am besten für das Unternehmen passt. Ich muss dich jetzt doch ganz kurz einmal unterbrechen. Du bist mir zu schnell, du bist ja wie ein Rennpferd. Die Frage war ja und ist ja auch immer: Warum ist denn das System so wichtig? Das System ist so wichtig, weil es ein Gesamtbild berücksichtigt. Der systemische Ansatz sagt, wenn ich das Compliance-Management-System, gerade die ISO 37301, von der du sprichst, ist ein integriertes Managementsystem.

Das heißt, der Vorteil eines systemischen Ansatzes ist es, dass es ein Gesamtbild betrachtet und nicht isoliert betrachtet. Das heißt, gerade in der Compliance müssen wir darauf setzen und darauf bauen, dass wir Netzwerke haben im Unternehmen, dass wir auch die Strukturen und Prozesse aus anderen Bereichen berücksichtigen. Da mache ich jetzt quasi die Brücke zu dem, was du gesagt hast mit: Wir müssen uns anschauen, was es schon gibt. Völlig richtig, ich kann nicht ein Compliance-Management-System implementieren in einem Unternehmen und ignorieren, was es schon für Prozesse im Unternehmen gibt und was es auch an Maßnahmen schon im Unternehmen gibt. Das heißt, der systemische Ansatz ist erfolgreich, weil er eine Gesamtbetrachtung ermöglicht.

Und jetzt bist du mir schon in die Elemente des Compliance-Management-Systems eingestiegen. Und du hast insbesondere auch die ISO-Normen

erwähnt, die 37301, wir haben kurz gesprochen oder kurz erwähnt die 37002, das Whistleblowing-Management-System, auch die ISO-Norm zur Antikorruption. Jetzt liest sich natürlich niemand ISO-Normen, oder sehr wenige lesen sich ISO-Normen. Wenn ich jetzt anfange, dieses Blatt Papier zu zeichnen, und habe keine Ahnung, dann kann ich mir die ISO-Normen zur Hand nehmen. Du hast von Gesetzen gesprochen, du hast Lieferkettengesetze, du hast Whistleblowing gesagt. Ich glaube nämlich, dass das HSchG, also das HinweisgeberInnenschutzgesetz, auch eine gute Anleitung sein kann. Da kommen wir nur dazu, weil wir jetzt dann über die Elemente sprechen eines Compliance-Management-Systems, und du hast jetzt aber gesagt, wir starten einmal grundsätzlich bei der Frage „Tone from and at the top“.

Stellt sich die Frage: Was tu ich, wenn ich zwar beauftragt werde, ein Compliance-Management-System zu zeichnen und zu planen, und dann aber draufkomme, dass genau dieser Tone from and at the top gar nicht vorhanden ist? Nämlich das, was du gesagt hast, mit der Feigenblatt-Compliance. Was tu ich als die Person? Ich kann natürlich trotzdem ein Compliance-Management-System implementieren und kann das alles haben, aber es wird dann halt in weiterer Folge nicht gelebt sein. Die Risiken sind dann eventuell nachhaltig nicht minimiert, weil es dann eben nicht bei den Mitarbeiterinnen und Mitarbeitern ankommen wird und dann diese Compliance-Kultur, die echte, nicht geschaffen wird, dann wird das auf jeden Fall, eine vertrauensbasierte Compliance wird dann sowieso schwierig, dann wird das Ganze sehr kontrollbasiert ablaufen müssen, kann man auch machen, wenn viele externe Anwälte vielleicht kommen müssen, um hier regelmäßig Kontrollen zu schaffen, Audits zu machen.

Und es wird vielleicht mehr eine angstgetriebene Compliance auch im Unternehmen: Ich mach das, weil mir sonst was passiert, weil da steht das da. Aber es ist dann wahrscheinlich nicht sehr positiv konnotiert. Und ob es tatsächlich dann zu einem ethisch richtigen, nachhaltigen Unternehmenserfolg beiträgt, auf 10, 20 Jahre gesehen, ist fraglich. Aber machen kann man es natürlich schon, und trotzdem würde ich es machen, weil es ist trotzdem besser so als gar nicht. Weil es kann sich ja dann auch ändern, weil es sich auch ändert, es kann auch ein Change-Management-Prozess in einem Unternehmen notwendig sein, oder es dauert oft ein paar Jahre, bis sich auch ein Unternehmen verändert und auch ein Geschäftsführer oder eine Geschäftsführerin darauf kommt, dass es vielleicht nicht so gut ist, wie man etwas immer gemacht hat, oder dass man auch realisiert: Ja gut, die Vorgaben, die rechtlichen, sind einfach mittlerweile anders, und deswegen muss man sich verändern und muss sich weiterentwickeln und muss halt gewisse Punkte auch aus einzelnen Gesetzen weiterentwickeln, und dass das durchaus auch zum Vorteil fürs Unternehmen und fürs Geschäft sein kann und nicht nur ein organisatorischer Aufwand, der Geld kostet.

Das ist natürlich der Idealfall, dass dann ein Change-Prozess startet und dass man tatsächlich, wenn ich nämlich jetzt sage, ich mache es trotzdem, dass dann tatsächlich das auch etwas bewirkt, und das ist auch sehr wünschenswert. Ich frage mich nur selbst: Was ist, wenn das mir passieren würde? Jetzt bin ich nicht in der Situation, weil ich Gott sei Dank in dem Unternehmen, in dem ich tätig bin, einen sehr guten Tone from and at the top habe. Ich frage mich nur selbst, was würde ich tun, würde ich jetzt von null anfangen müssen, und ich würde merken, dass es diesen Tone from and at the top gar nicht gibt. Ich bin ein bisschen hin- und hergerissen, ob ich denn tatsächlich die Rolle der Compliance übernehmen möchte, weil ich mich selbst unglaubwürdig mache, weil ich nie glaubwürdig agieren könnte, und weil du hast da sehr … Weil es keine Rückendeckung gibt.

… völlig richtig. Das heißt, ich bin eigentlich ständig in einem Widerstand. Ich bin ständig

in einer Zwickmühle, weil ich mich nach oben hin verteidigen muss, und nach unten hin muss ich mich verteidigen, weil ja die nicht das umsetzen, was die Oberste schon gar nicht macht, die oberste Leitung. Das ist, vielleicht bin ich da einfach zu pessimistisch. Also vielleicht bin ich zu pessimistisch, aber das müssen wir jetzt da nicht erörtern. Vielleicht ist das eine Frage, die jeder Compliance-Verantwortliche oder jede Person, die die Verantwortung hat, für sich selbst beantworten wird müssen. Jetzt sagen wir … Ja, als Person im Unternehmen, als Compliance-Verantwortliche im Unternehmen würde ich es auch nicht machen wollen. Braucht man wirklich eine dicke Haut dafür. Absolut. Aber es gibt sicher völlig einige Typen, die das schaffen und die das können oder diese dicke Haut haben.

Als Beraterin ist das natürlich anders. Da ist das ein Auftrag, und da würde ich das einfach machen und alles dafür versuchen und einfach viele Gespräche mit der Geschäftsführung führen, weil ich ja nicht direkt dann in einem Dienstverhältnis stehe. Also als Mitarbeiter würde ich es tatsächlich hinterfragen, ob diese Aufgabe tatsächlich sinnvoll angedacht ist. Ich würde jetzt tatsächlich bezweifeln, dass das eine sinnerfüllende Arbeit ist, wenn ich gar nicht die Rückendeckung von oben habe. Aber jetzt ist das in Wahrheit schon das erste Element. Aber eine Challenge, die vielleicht auch ein positives Ende haben kann. Absolut, je nachdem, wie breit die Schultern dann sind. Wir haben jetzt das erste Element mit der Compliance-Kultur, weil ich würde sagen, also was sie alle, du redest ja von der ISO und auch das Gesetz, und was sie alle in irgendeiner Form gleich haben, also der kleinste gemeinsame Nenner, ist ja die Kultur und der Tone from and at the top, also das braucht es, damit es erfolgreich implementiert werden kann und damit man auch erfolgreich Risiken erkennen und minimieren kann.

Das heißt, wir werden auf dieses weiße Blatt Papier als ersten Baustein jetzt einmal die Kultur draufzeichnen. Okay, das nehme ich. Welche weiteren Bausteine nehmen wir denn noch mit? Du hast jetzt auch von der Person gesprochen, die dann diese Rolle übernimmt, das heißt auch die Organisation: die Organisation, Festlegung der Organisation und der Zuständigkeiten, Rollenverantwortlichkeiten. Da fällt mir, weil du das jetzt sagst, da fällt mir nämlich tatsächlich noch was ein im Zusammenhang mit dem HinweisgeberInnenschutzgesetz, weil man kann sich auch an den bestehenden Gesetzen orientieren, weil auch die genau diese Bausteine vorgeben. Weil wenn du nämlich jetzt von der Organisation und von den Verantwortlichen sprichst, es sagt auch das HSchG:

Die Geschäftsführung muss eine Person benennen, muss Verantwortliche finden, die genau diese Prozesse implementieren, die auch die Meldungen entgegennehmen und bearbeiten. Das heißt, auch die Gesetze geben uns genau diese Prozesse auch vor, und ich würde sogar sagen, das HSchG ist vielleicht sogar das erste richtige Gesetz, das ein Compliance-Management-System beinhaltet. Ja, und vor allem auch relativ aktuell, ja. Richtig, und relativ aktuell. Das heißt, die Organisation ist nicht etwas, was sich nur die ISO einfallen lässt, sondern das ist tatsächlich was, was auch in den Gesetzen drinsteht. Es braucht Personen, die verantwortlich sind. So, das ist in Wahrheit jetzt unser zweites Kastl. Und sobald ich die Verantwortlichkeit habe und da weiß wer, wer diese Aufgaben übernehmen wird, ist der erste Punkt, der wichtigste aus meiner Sicht, ein Risk Assessment durchzuführen.

Eine Risikoanalyse, um festzustellen: Was sind überhaupt die Compliance-Themen im Unternehmen, die ja durchaus unterschiedlich sein können? Es gibt zwar gewisse Basics, die jedes Unternehmen thematisieren sollte, allerdings kommt es natürlich darauf an, ob ich eine Bank bin, ob ich im Kapitalmarkt tätig bin, ob ich international tätig bin, ob Sanktionenrecht für mich ein Thema ist, ob es sonstige

regulatorische Bestimmungen gibt, bin ich in einer öffentlichen Institution, also sind meine Mitarbeiterinnen Amtsträger, die noch mehr auf die Korruptionsbestimmungen achten müssen, bin ich tätig am Markt, wie bin ich tätig am Markt, welche Kontakte mit Wettbewerbern bestanden, bestehen die, in welcher Form bestehen die, bin ich bei Verbänden tätig, in welchen Verbandssitzungen sitze ich, wie oft habe ich Subunternehmer, habe ich Ausschreibungen, welche Vergabevorschriften sind relevant, ist das EU-Ebene, ist das national, sind das private Ausschreibungen, öffentliche Ausschreibungen und so weiter und so fort, das geht vom Hundertsten ins Tausendste. Und dafür ist es ganz wichtig, diese Risikoanalyse zu machen, weil sonst ist das ein Fass ohne Boden, so ein Compliance-Management-System, und wir brauchen eine Struktur, dass wir uns festlegen auf ein paar Punkte letztlich, oder die wirklich die notwendigsten Punkte für den Start, das kann man dann immer erweitern, und dafür eine Risikoanalyse mit allen Abteilungen, also Bereichsleiterebenen in dem jeweiligen Unternehmen. Und dort festzustellen: Gut, welche Risiken gibt's in dem Compliance-Bereich, wie läuft das ab mit Prozessen, mit Freigaben, gibt's ein Vier-Augen-Prinzip?

Haben Sie, gibt's Kontakte zu Amtsträgern, gibt's dort Geschenke, gibt's Einladungen, werden Sie zu Veranstaltungen eingeladen, laden Sie ein, wie gehen Sie um im Vergaberecht mit Ausschreibungen, wer ist wofür zuständig, gibt's das Thema von Interessenkonflikten, gibt's Nebenbeschäftigungen, wie werden die gemeldet? Wie erlangen Sie Kenntnis von Interessenkonflikten? Und da gibt es dann einen Fragebogen, der im Vorfeld erstellt wird von der zuständigen Compliance-Person oder auch extern von einer Beraterin wie mir. Und das, dass dieser Fragebogen wird dann durchgeackert, um im Ergebnis bewerten zu können: Gut, da gibt es ein theoretisches Risiko, aber vielleicht auch ein praktisches, das sicher eher gegeben ist im Vertrieb, der am Markt wirkt, als vielleicht in einer IT-Abteilung.

In einer IT-Abteilung gibt es natürlich ganz andere Risiken. Das ist dann mehr Cybersecurity. Und so komme ich dann zu den Themen, die besonders relevant sind, nach einem Bewertungsschema, wie man das auch immer aufsetzt in dieser Risikoanalyse. Und sobald ich das habe, weiß ich, was meine wichtigsten Themenfelder im Bereich Compliance sind. Und dann kann ich starten als dritten Punkt mit einem Compliance-Programm, also mit Leitfäden, Richtlinien, Checklisten, Handbüchern, wie auch immer ich das dann nenne. Spätestens jetzt muss ja jeder Unternehmer, jede Unternehmerin in Wahrheit intrinsische Motivation entwickeln, ein Compliance-Management-System zu implementieren, weil Risiken haben sie alle.

Ja. Und jetzt hast du ganz viele Risiken aufgezählt, die große, große Unternehmen haben, im Vergabeverfahren z. B. Interessenkonflikte ist ein Risiko, das hat gefühlt jedes Unternehmen. Warum? Weil da geht es um zwischenmenschliche Beziehungen, und die Compliance kümmert sich um Risiken aus zwischenmenschlichen Beziehungen, was ja auch bei der Antikorruption ist. Datenschutz ist ein Thema, Datenschutz ist ganz oft als, ich würde jetzt mal sagen, als kleiner Bruder in der Compliance mitgedacht, obwohl in meiner Welt ist das ein integrierter Bestandteil, ein Risiko in der Compliance. Und das ist auch ein Thema, das in Wahrheit jedes Unternehmen hat, weil es um personenbezogene Daten geht. Und ich muss wissen, welches Risiko ich damit verwirkliche, wenn ich mit personenbezogenen Daten arbeite.

Und das kann man keinem Unternehmen erzählen, dass es keine Risiken hat. Und wenn ich jetzt Compliance verstehe als etwas, wo Risiken identifiziert und minimiert werden, wenn ich das tatsächlich im Rahmen, oder wenn ich tatsächlich sage, mit diesem Rahmen, den du durch die Governance nennst, und durch die Aufgaben, die Compliance hat, nämlich

die Unternehmensstrategie, die Unternehmensziele, die Vorgaben, also Tone from and at the top, auch zu übersetzen für die Belegschaft, dass die verstehen, was die Unternehmensführung von mir will, um dann Risiken erkennen zu können, damit genau die Dinge, die du aufgezählt hast, nicht passieren. Da muss in der Welt jeder Unternehmer, jede Unternehmerin jetzt sagen: Ja, Compliance ist super, weil da lerne ich über Risiken im Unternehmen, zu denen ich möglicherweise gar keinen Bezug habe oder die ich möglicherweise gar nicht erkenne. Also Compliance hat immer was mit einem angemessenen Risikomanagement zu tun. Und aus dem Grund finde ich den Punkt ganz wichtig: Wir haben die Kultur, wir haben die Organisation, und jetzt haben wir die Risiken.

Das ist quasi, glaube ich, auch immer so der kleinste gemeinsame Nenner bei all diesen ISO-Normen und bei all den anderen Normen, die es so gibt. Und jetzt hast du schon das Programm genannt, das heißt, wir haben in Wahrheit einen vierten Punkt, den wir da jetzt noch wieder aufzeichnen, das sind die Richtlinien und die Prozesse. Vielleicht würde ich vorher sogar noch Strategie und Ziele dazunehmen, weil, wenn ich die Risiken kenne, weiß ich auch, wo ich hingehen will und was ich tun will, weil, wenn ich meine Risiken kenne, kann ich auch sagen, was sind eigentlich dann die Ziele bei mir in der Compliance. Das mache ich vielleicht noch, nachdem ich das Risikomanagement habe, und vielleicht mache ich einen eigenen Punkt draus, das ist auch eine Compliance-Strategie, mit dem Tone from the top verbunden, dass ich mit dem Tone from the top, mit dem Erstgespräch sozusagen, auch die Ziele des Systems herausfinde, aber natürlich nach einem Risiko-, einer Risikoerhebung macht das noch mehr Sinn, weil dann kenne ich die Risiken.

Schau, und das ist das, und das ist der Vorteil auch von diesem systemischen Ansatz, weil ich ja immer auf diesen, diesen Kontrollpunkt, dieses „Ich schau mir's jetzt tatsächlich an, wo ich stehe, und überdenke, was ich gerade getan habe, und muss ich darauf reagieren“. Das heißt, man hat da immer so eine gewisse Kontrollfunktion auch in diesem systemischen Ansatz drinnen, und jetzt sind wir bei den Richtlinien und bei den Prozessen, du hast das genannt, quasi Compliance-Programm, da gehört dann auch wohl die Kommunikation dazu, also Kommunikation und der Kompetenzaufbau. Ja, das setze ich dann eigentlich sogar als nächsten großen Punkt: Also welche Compliance-Kommunikationsmaßnahmen gibt es, wie ist die Awareness im Unternehmen, wie ist die Festlegung von Berichtswegen, was ist der Prozess für diese Risiken?

Dann zeichnen wir das jetzt auch noch auf, und dann haben wir als nächsten Punkt, was werden wir als nächsten Punkt nehmen? Weil wir ja gerade übers HinweisgeberInnenschutzgesetz geredet haben. Ja, Whistleblowing ist auch mein nächster Punkt. Verpflichtend ab 50 Mitarbeiterinnen und Mitarbeitern. Die Verpflichtung, Whistleblower zu schützen, diese Verpflichtung gibt es für jedes Unternehmen, aber die Pflicht zur Einführung eines Systems, die gibt es ab 50 Mitarbeiterinnen und Mitarbeitern. Ja, also Whistleblowing ist auch etwas, was wir der ISO entnehmen können. Ist auch etwas, wo man gesagt hat, dann gibt es eine eigene ISO-Norm dazu. Das ist quasi die Kür zur Verpflichtung. Also das Whistleblowing-Management-System in der ISO geht ein bisschen weiter und beschreibt es ein bisschen genauer und ein bisschen feiner, als das HSchG das tut, weil das HSchG ja, weiß ich, nur das abschreibt, was die Whistleblower-Richtlinie sagt.

Und die Whistleblower-Management-ISO, die spricht auch ganz klar von den anonymen Meldungen, was das HSchG jetzt nicht in dieser Deutlichkeit tut. Also man muss zwar anonyme Meldungen auch schützen, aber es gibt keine Verpflichtung, anonyme Meldungen zuzulassen. Und da sind auch die ISO-Normen tatsächlich ein bisschen weiter, nämlich was das betrifft, diese Möglichkeit auch einzuräumen. Gut, also Whistleblowing

ist der nächste Schritt? Ist auch, glaube ich, wirklich ein ganz, ganz wichtiges Tool, auch als vertrauensbildende Maßnahme im Unternehmen, weil es nach wie vor viele herumkursiert: Na ja, es fördert das nur das Denunziantentum, und dann werden noch alle Mitarbeiter vernadert, und das stimmt ja dann alles nicht. Kann ich gleich aufklären, dass das ein ganz, ganz geringer Prozentsatz ist, also von etlichen Meldungen ist dann vielleicht eine ohne Substanz. Aber es ist insgesamt ein wirklich wichtiges Tool, unabhängig nämlich auch von der Größe eines Unternehmens. Aus meiner Sicht, weil auch im HinweisgeberInnenschutzgesetz, was ist denn die Sanktion, wenn ich keines habe? Die Sanktion ist dort nur genannt eine Verwaltungsübertretung, wenn ich die Vertraulichkeit nicht wahre vom Whistleblower, für 20.

000 Euro und im Wiederholungsfall 40.000 Euro. Die echte Sanktion ist allerdings, wenn es kein System gibt oder kein auffindbares für einen potenziellen Whistleblower, dann geht er zu einer externen Stelle, und dann hat das Unternehmen ein Problem, weil dann ist das gleich vielleicht in einer Zeitung, hat einen enormen Reputationsschaden, und dann ist eine interne Aufarbeitung in der Form nicht mehr möglich, wie das davor möglich gewesen wäre, wenn man das … Da darf ich dich ganz kurz unterbrechen, weil du hast nämlich jetzt ganz was Wichtiges gesagt, und zwar gerade im Zusammenhang auch mit vertrauensbildenden Maßnahmen, zusammen mit Whistleblowing, da komme ich zurück zu dem Thema Kultur, und das ist etwas, was ganz wichtig ist und was man sich vielleicht auch einbrennen soll und was Unternehmerinnen und Unternehmer auch wissen sollten.

Compliance ist kulturstiftend und kulturfördernd, und da hilft natürlich ein Whistleblowing. Ja, weil die Mitarbeiter werden dadurch gehört und fühlen sich gehört und werden auch gehört, und Missstände werden behoben, und es wird ernst genommen. Und was nämlich da der Vorteil auch ist, wenn man es denn auch so verstehen möchte: Die Mitarbeiterinnen und Mitarbeiter wären Risikomanager, in Wahrheit. Sie gehen mit auf, nämlich auch wieder abhängig davon, wie das Thema … Bekommen selbst ein Gefühl dafür. Richtig, und die wären Risikomanager. Das ist ja das, was ich will als Unternehmer und Unternehmerin. Ich will, dass meine Mitarbeiterinnen und Mitarbeiter mit offenen Augen und offenen Ohren durch das Unternehmen gehen, zuhören, lernen, aufzeigen, Risiken identifizieren können und dann gemeinsam mit mir oder mit den Fachabteilungen oder mit wem auch immer die Risiken auch wieder minimieren für die Zukunft.

Also das ist ja genau das, was auch, wozu auch ein Hinweisgebersystem unterstützt. Das ist ja auch diese Erkenntnisquelle, diese Erkenntnisquelle für Risiken. Und drum ist auch das Risikomanagement so wichtig, und da schließt sich der Kreis mit dem Hinweisgebersystem, weil das natürlich eine Erkenntnisquelle ist für die Risiken. Das wollte ich nur kurz sagen, weil das ist wahrscheinlich ein wesentlicher Punkt. Nichts hinzuzufügen. Nach dem Whistleblowing: Was zeichnen wir als Nächstes auf unseren Kreis oder auf unser weißes Blatt Papier? Nach dem Whistleblowing hätte ich mir gedacht, wenn wir jetzt noch nicht in den Inhalt, in die drei Säulen gehen, sondern wirklich jetzt die Eckpfeiler vom System, dann würde ich kommen zu den Sanktionen, oder wie werden dann Verstöße, falls es zu Verstößen kommt, wie werden die geahndet, und gibt es eine Zero-Tolerance-Policy, was nicht heißt, dass jetzt alle, alle Mitarbeiter, wo etwas passiert, sofort entlassen werden oder sonst was, aber das heißt, dass man adäquat, verhältnismäßig mit Verstößen umgeht und sich pro Einzelfall überlegt, nach einer Untersuchung, wie damit umzugehen ist und welche Maßnahmen auf arbeitsrechtlicher Ebene oder Worst Case strafrechtlicher Ebene oder sonstiger, zivilrechtlicher Ebene umzusetzen sind, oder ob es einfach reicht, eine Ermahnung auszusprechen oder einfach nur irgendwelche Prozesse zu ändern und Gespräche zu führen.

Und dann bleibt ja nur noch übrig die Kontrolle. Die Kontrolle muss auch auf dem Zettel stehen. Genau. Monitoring und Review. Überwachung, Überprüfung, Weiterentwicklung. So, jetzt haben wir über die Elemente gesprochen, du hast die ganze Zeit, sprichst du von drei Säulen. Und diejenigen, die diesen Podcast kennen, die kennen natürlich auch diese drei Säulen, weil es ist ja bei mir immer gebetsmühlenartig, kommen bei mir auch immer die drei Säulen. Und ich denke die Compliance ja immer sehr gerne in einer Triade. Also die Triade begleitet mich ja durch die Compliance ständig durch, weil auch immer der Vorwurf ist, die Compliance, du hast ja selbst gesagt, das größte Vorurteil in der Compliance ist, sie ist sehr bürokratisch und sehr viel Aufwand und sehr viele Richtlinien, sehr viele Regeln, sehr viel …

Das darfst du nicht. Die erste Triade, die ich da immer habe: Ich brauche gar nicht, weil ich brauche jetzt recht viele Regelungen und recht viele Richtlinien, weil ich brauche einen Hausverstand, das Bauchgefühl und einen richtig eingenordeten moralischen Kompass. Die nächste Triade ist: Auf was gründet Compliance? Auf Vertrauen, Verantwortung übernehmen und einem angemessenen Risikomanagement. Und dann kommt die Triade, von der du die ganze Zeit sprichst, das Erkennen, oder sagen wir: die Prävention, das Erkennen und das Reagieren. Genau, Prävention, Früherkennung, Reaktion. Es ist so die klassische Triade eines Compliance-Hauses, was ja auch beim IDW PS 980, beim Institut der Wirtschaftsprüfer, der deutschen Wirtschaftsprüfer, schon 2011 oder so, dieses Compliance-Haus kreiert hat.

Auch wenn sich viel in der Compliance-Welt verändert hat, inhaltlich ist es meines Erachtens noch immer die Basis, und, und, und bietet einen super Überblick, wie so ein Compliance-Haus aussehen kann. Und da ist eben davon die Rede, dass es diese drei Säulen gibt. Das ist erstens die Prävention, zweitens die Früherkennung und drittens die Reaktion, und unter diese Säulen subsumiere ich dann die einzelnen Themen, die ich in meiner Compliance-Organisation dann wahrnehme. In der Prävention ist das ganz wichtig: Schulungen, weil ich kann die besten Leitlinien in meinem Compliance-Programm haben, den besten Code of Conduct geschrieben. Ich kann alles, Checklisten ohne Ende haben. Wenn sie niemand kennt und auch nicht versteht, … das muss einfach erstens einmal geschrieben sein, aber es muss auch einfach kommuniziert werden, mit Beispielen, die auf das Unternehmen bezogen sind.

Da hat nicht jeder Zeit, ständig alle Leitlinien zu lesen, und wird das vielleicht auch nicht wollen, wenn man den Bezug für sich selbst nicht nachvollziehen kann. An einer Schulung funktioniert das. Da kann ich mir die Zeit nehmen, wirklich auf Fragen einzugehen. Muss mir auch die Zeit nehmen, und das ist für mich die Basis in der Prävention: Schulungen vorzunehmen, ganz viele Schulungen auf allen Ebenen. Das ist People's Business, das ist People's Business, das ist das, was unsere Haupttätigkeit ist. Also wenn man nämlich jetzt glaubt, wir in der Compliance, da geht es hauptsächlich um die Sanktion: Nein, es geht nicht um die Sanktion, auch, ja, aber das ist eigentlich das, was uns am meisten beschäftigt in der Compliance, die Prävention. Ich würde sogar sagen, das sind fast 80 %, unserer Tätigkeiten liegen in der Prävention.

Also das ist eigentlich der wichtigste Punkt. Gott sei Dank ist es nicht nur Reaktion. Absolut. Also das ist mit Sicherheit eine der wichtigsten, wenn nicht die wichtigste Säule, weil sie natürlich die Brücke schlägt zu dem Verständnis von Compliance, das mich die ganze Zeit umtreibt, nämlich das Beziehungsmanagement. Wir stellen die Menschen ins Zentrum unserer Tätigkeiten, weil der Mensch ist wirklich das Risiko, der Mensch ist die Lösung, und da muss ich in der Prävention auf Menschen eingehen. Wir haben vorhin von der Governance gesprochen und

vom Rahmen. Die Compliance übersetzt genau das, was das gewünschte Verhalten ist. Die Compliance setzt mit den Richtlinien im Programm den Rahmen, setzt die Leitplanken, innerhalb derer sich … Dann beratend zur Verfügung zu stehen, ist ganz wichtig, hier auch in den Abteilungen zu sein, vielleicht teilzunehmen an ein paar Jour fixes, eine Open-Door-Policy zu haben und wirklich beratend zur Seite zu stehen. Absolut. Weil klar sein muss, dass die Compliance da die Freiräume schafft. Compliance ist nicht nur die Organisationseinheit im Unternehmen, die sagt, das darf ich nicht, man muss es vielleicht auch von meiner Seite umdrehen und muss sagen: Die Compliance schafft die Freiräume, weil, wenn ich weiß, was das Verhalten ist, das erwartet wird, richtig, genau, was ich tun darf und was ich tun soll, dann ist Compliance auch gleich einmal ganz anders konnotiert.

Genau. So, und dann haben wir das frühzeitige Erkennen. Genau. Da darunter fällt die Risikoanalyse, von der wir schon gesprochen haben. Auch Compliance-Audits kann ich durchführen im Unternehmen. Vielleicht, wenn es Verdachtsfälle gibt, dass irgendetwas nicht rund läuft, oder wenn ich den Auftrag hab, vielleicht von einer Geschäftsführung, mir gewisse Bereiche näher anzuschauen. Kann auch selbst die Compliance-Organisation sagen, diese und jene Bereiche möchte ich mir anlassunabhängig anschauen. Dann fällt darunter aus meiner Sicht, Geschäftspartner sich anzuschauen, also die Business Partner Compliance wird jetzt natürlich auch immer wichtiger mit der Lieferkettensorgfalt, ESG, und Whistleblowing aus meiner Sicht, weil damit erkenne ich vorzeitig, was die Themen sind, was Marktteilnehmer, Mitarbeiterinnen beschäftigt.

Absolut. Und dann haben wir das Reagieren. Und dann haben wir das Reagieren, dass es dann, es ist etwas passiert oder es geht eine Meldung ein: Wie gehe ich dann damit um? Ich mache eine interne Untersuchung, eine Fallverfolgung, oder im kleinen Rahmen arbeite ich das auf. Ich spreche mit den zuständigen Personen, und ja, und wie reagiere ich dann in weiterer Folge? Ich setze Maßnahmen fest, im Worst Case empfehle ich Sanktionen, die zu tätigen sind, die auch nicht von Compliance getätigt werden, aber die werden empfohlen, was die Geschäftsführung machen kann oder sollte, oder ich beschließe, dass das ausgelagert wird an einen externen Berater. Ich kann mich selber darum kümmern, kann ja auch eine forensische Untersuchung sein, sind auch noch Wirtschaftsprüfer, das uns die Ernt-Unternehmen involviert, je nach Größe.

Also, es muss ja nicht immer alles ein Riesenfall sein, das kann natürlich oft der Fall sein. Das ist ein ganz guter Hinweis, weil Compliance ist dann schon immer auch das, was ich selbst daraus mache und was für die Größe meines Unternehmens notwendig ist. Es kann auch in einem kleinen Unternehmen das Größere passieren. Natürlich, so ist es nicht, selbstverständlich, aber wenn das jetzt jemand anhört, eine kleine Schweißerei z. B. oder ein kleines metallverarbeitendes Unternehmen, die sind natürlich mit diesen Dingen jetzt möglicherweise überfordert, aber wenn man das runterbricht und sich einfach nur diese Punkte anschaut, die wir aufgezeichnet haben, dann kommt man schon drauf: Ganz vieles von dem wird wahrscheinlich im Unternehmen schon passieren.

Ja, aber wenn ich beispielsweise eine Hausdurchsuchung durch eine Bundeswettbewerbsbehörde habe, also durch die Bundeswettbewerbsbehörde oder durch eine andere Wettbewerbsbehörde habe, dann brauche ich nicht mehr, dann kann ich später damit anfangen, dann mit einer Prävention und einer Früherkennung, aber im Moment muss ich dann einfach einmal reagieren und das aufarbeiten, ganz klar, ja, egal, wie groß ich bin. Absolut, so. Ja. Jetzt haben wir gezeichnet, du hast jetzt von einem

Compliance-Haus gesprochen, gezeichnet haben wir aber eigentlich einen Kreislauf mit einem Zentrum. Wie zeichnen, wie zeichnen wir das jetzt eigentlich? Wenn man es hört, ein bisschen, schaut aus wie ein Dach, schaut aus wie ein Kreislauf, schaut aus wie ein Kreislauf. Ja, ist ja mal was anderes. Wir müssen uns ja nicht an irgendwelche ISO-Normen, an einen Wirtschaftsprüfer halten, sondern wir fusionieren den Kreislauf mit dem Zentrum der Compliance-Kultur und dem Compliance-House in unser Dreieck und machen rundherum einen Kreislauf. Richtig. So machen wir das. So machen wir das. Und in die Mitte geben wir das Beziehungsmanagement und sagen, das ist die Legitimation, weil wir die Menschen ins Zentrum der Compliance stellen.

Definitiv, ja. Definitiv, wunderbar. So, dann zum Abschluss noch: Jetzt haben wir ganz viel über ISO gesprochen, macht deiner Meinung nach eine Zertifizierung Sinn? Ja, aus meiner Sicht macht das Sinn, nicht unbedingt für, nicht immer und für alle Unternehmen notwendig, vor allem, beispielsweise auch, also es sind größere Unternehmen in der Regel zertifiziert, aber es kommt doch darauf an, ob ich beispielsweise eine Revision im Unternehmen habe, die mich ohnehin regelmäßig prüft, ob ich zum Beispiel der Rechnungshofkontrolle unterworfen bin und da auch regelmäßig Kontrollen habe, dann sieht das anders aus. Bei einem normalen privaten Konzern ist die Zertifizierung, glaube ich, gut, allein als Awareness-Maßnahme, um sich mit dem Thema einfach auch näher auseinanderzusetzen und um sein eigenes Compliance-Management-System regelmäßig zu reviewen und das auch durch externe Personen machen zu können, weil auch das, wenn etwas passiert, kann im Übrigen so ein zertifiziertes CMS, kann nämlich dann sehr wohl geldbußenmindernd oder strafmindernd berücksichtigt werden.

Das gibt es im Verbandsverantwortlichkeitsgesetz für das Unternehmen an sich, und es kann aber genauso bei Kartellrechtsverstößen geldbußenmindernd berücksichtigt werden. Und insofern ist das schon sehr wichtig. Und auch im Übrigen bei der Selbstreinigung im Vergabeverfahren, selbstverständlich auch. Und es schafft natürlich Vertrauen nach außen, weil es etwas ist, was jemand anders, eine Institution, mir natürlich bestätigt, dass ich zumindest Strukturen habe im Unternehmen, um die Integrität hochzuhalten. Ja, und dass ich mich damit auseinandersetze, dass ich das ernst nehme. Macht Vertrauen, absolut. Liebe Erika, vielen Dank. So, das war in Wahrheit ein wilder Ritt durch ISO-Normen, durch Gesetze, durch alles.

Du galoppierst mal davon, bei jeder Frage, die ich dir stelle, weil da merkt man, dass du brennst für dieses Thema. Man merkt, dass du eine Expertin bist. Das war ganz wichtig. Da kommt ganz viel von dir. Also ich habe jetzt tatsächlich mich manchmal ein bisschen selbst beobachtet und festgestellt, dass ich gar nicht einhaken habe können, sondern einfach nur gelauscht habe, was du einfach alles Gescheites gesagt hast. Zum Abschluss möchte ich dennoch wissen von dir: Was bedeutet Compliance für dich in einem Wort, das Code-of-C-Wort, das C-Wort? Wenn es ein C-Wort sein soll, dann müssten es zwei Worte sein, sowieso, keine Ahnung. Ich wollte gerade sagen, das haben wir schon ein paar Mal gehabt, und es kommt immer veranstalten.

Also „competitive advantage“, aber wenn es kein C-Wort sein muss, dann sage ich einfach Wettbewerbsvorteil. Voll gut. Wettbewerbsvorteil ist voll super, das nehme ich. Danke. Danke. Super. Liebe Erika, dankeschön vielmals. Zusammenfassend kann man sehr vieles sagen von dem, was wir heute gesprochen haben. Von diesem wilden Ritt nehmen wir uns mit, dass ein erfolgreiches Compliance-Management-System niemals isoliert betrachtet werden darf. Das ist auch der Erfolg des systemischen

Ansatzes, dass man sagt, das ist eine Gesamtbetrachtung. Wir haben gelernt, und wir können zusammenfassen: Compliance gründet auf Vertrauen, auf Verantwortung übernehmen und auf einem angemessenen Risikomanagement. Es ist wichtig, bei der Compliance zu wissen, dass es das ist, was wir selbst daraus machen. Darum ist es egal, welche ISO-Norm nehmen wir, welches Gesetz nehmen wir. Es ist nur wichtig, dass man es tut. Es ist wichtig, dass man es in einem System und in einem Kreislauf denkt. Wir haben über die Elemente gesprochen: die Compliance-Kultur, mit der Organisation, mit dem Risk Assessment, mit der Strategie, Ziele, die man entweder dorthin packt, oder man packt sie zur Kultur. Wir haben gesprochen über Richtlinien und Prozesse, übers Whistleblowing, übers Reagieren, über die Kontrolle, setzen in die Mitte die drei Säulen der Compliance, die Prävention, das Erkennen und das Reagieren, setzen die Menschen ins Zentrum, und dann haben wir unser Compliance-Management-System auf ein weißes Blatt Papier gezeichnet.

Liebe Erika, vielen Dank, dass du da warst. Wenn jetzt jemand mit dir in Kontakt treten möchte und sagt, ich habe gemerkt, die brennt für dieses Thema: Wie kann man mit dir Kontakt aufnehmen? Wo finden wir dich? Mich findet man auf vielen Kanälen, und ich freue mich auch sehr über Kontaktaufnahme. Also selbstverständlich auf der Website von der Kanzlei, in der ich tätig bin, E+H Rechtsanwälte in Wien. Ist in den Shownotes verlinkt? Ja, www.eh.at. Mein Name, Erika Stark-Rittenauer. Und dann findet man mich auf LinkedIn. Dort bin ich auch sehr aktiv, also sehr gerne mit mir vernetzen und Nachrichten austauschen, und auch über die Vereinigung der österreichischen Unternehmensjuristinnen und Juristen, also die VOJ.

Dort bin ich Beirätin, habe bis vor kurzem den Fachkreis Kartellrecht geleitet und auch damals gegründet und setze mich dort jetzt auch für Compliance-Themen ein, also auch darüber findet man mich, auch auf der Webseite dort. Und ich kann bestätigen, man trifft die Erika auf allen wichtigen Compliance-Veranstaltungen in Österreich, und einfach anreden, einfach in Kontakt treten. Sie ist ja ganz umgänglich, sie ist ja ganz umgänglich. So wie du. Ich freue mich auch sehr. Ja, vielen Dank. Liebe Erika, danke, dass du bei mir warst. Danke, dass du heute bei uns im Studio warst, dass du extra von Wien nach Linz gekommen bist. Es war mir eine große Freude. Mir auch, vielen Dank an dich, lieber Martin.

Und für Sie, liebe Zuhörerinnen und Zuhörer, ich hoffe, ein spannender Start in die zweite Staffel. Wir hören uns in 14 Tagen mit der ersten Bootcamp-Folge, dem Compliance Bootcamp. Bis dahin: Bleiben Sie compliant, bleiben Sie ein guter Mensch. Ihr Martin Reichetseder.