Compliance-Bootcamp: Code of Conduct als Verfassung für Integrität

Herzlich willkommen zu einem neuen Compliance-Bootcamp von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Dieses Bootcamp ist ja die erste Folge nach der SIGNA-Folge mit Sebastian Reinhart, und das Feedback zu dieser Folge deckt sich mit meiner Wahrnehmung: nämlich, die Folge war an sich schon ein sehr schwerer Tobak. Sie zeigt uns jedoch ganz klar – und das muss man an der Stelle schon sagen dürfen –, dass ohne Wille Compliance nicht funktionieren kann. Und das Ergebnis ist, und das war zumindest das Ergebnis der Diskussionen und auch das Ergebnis im Fall SIGNA, nämlich die Insolvenz bzw.

an der einen oder anderen Stelle auch die strafrechtliche Aufarbeitung. Der Wille zeigt sich in der Kultur, und wenn ich jetzt von Compliance spreche – die Zuhörerinnen und Zuhörer wissen das –, dann spreche ich immer auch von der Kulturarbeit. Kommen wir auch heute wieder ins Tun, so wie sich [00:01:00] das für ein Compliance-Bootcamp bei Code of C gehört. Wir diskutieren heute, oder ich diskutiere heute, oder versuche die Frage zu beantworten: Welchen Einfluss haben wir als Compliance Officer auf den Tone from the Top bzw. welchen Einfluss sollten wir haben? Und das beantworten wir mit dem dafür vorgesehenen Dokument. Das heißt, in der heutigen Folge geht es um den Code of Conduct bzw. um den Code of Ethics.

Ich habe drei Fragen mitgenommen. Das eine ist: Was ist der Code of Conduct? Was benötigt ein guter Code of Conduct? Welche Elemente hat er? Und wie erstellt man den Code of Conduct in der Praxis bzw. was war denn meine eigene Reise hin zu einem für mich funktionierenden oder für uns funktionierenden Code of Conduct?

Bevor wir aber in das heutige Bootcamp-Motto, nämlich „Der Code of Conduct – die Verfassung für Integrität“, einsteigen, gibt es noch unsere Code-of-C-Empfehlungsrunde.[00:02:00] In den Bootcamp-Folgen gibt es ja von mir immer statt dem Check-in eine persönliche Empfehlung, und meine heutige Empfehlung, die bezieht sich auf die Compliance Praxis von LexisNexis. Die Compliance Praxis, das ist zwar das führende Compliance-Magazin für Compliance Officer und von Compliance Officern in Österreich, es ist aber auch tatsächlich mehr eine Plattform für Compliance Officer. Ich kann sagen, das Magazin, das … Es erscheint quartalsmäßig und hat wirklich interessante Artikel, die für die Praxis von Compliance Officern relevant sind.

Also das ist nicht nur ein Magazin, wo die Netzwerkpartner – und .LOUPE ist auch ein Netzwerkpartner – ihre Produkte oder ihre Dienstleistungen anpreisen, sondern die Compliance Praxis verspricht das, oder hält das, was sie verspricht, nämlich tatsächlich praxisrelevante Inhalte. Und das darf man an der Stelle auch immer sagen: Sie endet mit einer wunderbaren Kolumne von meinen Freunden, von der Andrea Pilecky und vom Roman Sartor. Und [00:03:00] ich habe einen Preis auch noch mitgenommen. Das ist auf der Homepage, kann man das eh selbst auch nachlesen, aber tatsächlich ist es vielleicht nicht unrelevant: Die Premium-Mitgliedschaft kostet 52 Euro im Monat, und ich würde einmal behaupten, für Compliance-Organisationen oder für Unternehmen, die gerade dabei sind, Compliance-Organisationen aufzubauen oder Strukturen zu implementieren, ist das eine wirklich gute Investition.

So, wir haben ja mit den bisherigen Folgen gelernt – und ich erinnere da bitte an die Folgen mit der Gerti Schatzdorfer, die Folge mit der Elli Köstinger, aber insbesondere auch tatsächlich an die Folge mit dem Sebastian Reinhart –, wie wichtig Kultur, wie wichtig Werte, wie besonders wichtig eine Vorbildwirkung und der richtige Tone from the Top und natürlich im Sinne der Vorbildwirkung auch at the Top sind, um ein erfolgreiches Compliance-Management-System auch wirklich betreiben zu können.

Und die Verschriftlichung von so einem Tone [00:04:00] from the Top, also das, was sich die Geschäftsführung wünscht, und somit auch die Antwort auf die Frage: Wer sind wir denn eigentlich als Unternehmen? – das schauen wir uns heute an. Und zwar, es geht um den Code of Conduct. Und ich habe es eingangs schon erwähnt, wir werden heute versuchen, oder ich werde versuchen, wieder aus der Praxis, aus meiner eigenen Praxis, konkret drei Fragen zu beantworten. Was ist der Code of Conduct? Was benötigt meiner Meinung nach ein guter Code of Conduct, quasi welche Elemente hat er? Und was ist … Das ist meine eigene Praxis: Welche Schritte braucht man? Wie erstellt man denn einen Code of Conduct? So, erste Frage: Was ist der Code of Conduct?

Für mich ist der Code of Conduct die Verfassung für Integrität. Die Verfassung für Integrität im Unternehmen. Sie gibt uns Aufschluss darüber, welche Werte, welche Prinzipien und welche Verhaltensgrundsätze für das Unternehmen gelten. Sie sagt also quasi, oder das Dokument sagt uns quasi: Wer sind wir, und was wird von uns erwartet? [00:05:00] Nach innen gibt uns der Code of Conduct quasi, also für die Mitarbeiterinnen und Mitarbeiter gibt uns der Code of Conduct eine Orientierung, und nach außen ist es die Visitenkarte. Nach außen zeigt der Code of Conduct als zentrales Dokument für die Compliance, für ein Compliance-Management-System, zeigt das Dokument nach außen, wer wir sind und wofür das Unternehmen auch steht.

Der Code of Conduct ist die Betriebsanleitung, quasi tatsächlich die Verfassung für den Aufbau, für die Implementierung und auch für den erfolgreichen Betrieb des Compliance-Management-Systems, der Code of Conduct. Der gibt uns den Grund, und der gibt uns das Warum, und der gibt uns auch die Orientierung und den Weg, wohin wir uns als Organisation auch entwickeln und entwickeln sollen. Insofern muss man sagen, ist der Code of Conduct entscheidend für die Unternehmenskultur, und er trägt so auch zur Risikoprävention bei. Also das ist quasi unser Beitrag aus der Compliance, als Compliance Officer, oder die [00:06:00] Mitgestaltung bei diesem Dokument ist unser Beitrag für den Tone from the Top. Und obwohl der Code of Conduct für die Unternehmenskultur und für die Risikoprävention so

wichtig ist, nehmen sich Unternehmen bei der Implementierung oder sogar schon bei der Planung eines Compliance-Management-Systems oft sehr wenig Zeit für das wichtigste Dokument für ein Compliance-Management-System und eigentlich für das wichtigste Dokument in der Compliance. Als ich selbst die Compliance-Agenden übernommen habe von meinem Vormann, habe ich einen Code of Conduct vorgefunden, der eher ein Sammelsurium aus Inhalten anderer Codes of Conduct gewesen ist. Ich kann mich erinnern, dass man damals gesagt hat, die Erstellung von diesem Code of Conduct war so wichtig, weil man etwas herzeigen wollte, weil man schnell ein Dokument brauchte. Das heißt, zu dem Zeitpunkt, wo dieser Code of Conduct erstellt wurde, war das die richtige Vorgehensweise, und man hat sich gedacht, wenn …

das für andere passt, dann ist es für uns gut genug. [00:07:00] Und ich glaube, das spiegelt die Realität von sehr vielen Unternehmen. Das spiegelt die Realität wirklich auch beim Aufbauen, bei der Planung von Compliance-Management-Systemen sehr oft wider. Nämlich dass man schaut: Was haben denn andere Unternehmen, wie machen denn das andere Unternehmen? Und man lässt sich vielleicht an der einen oder anderen Stelle, überlegen, zu sehr inspirieren von den Dokumenten, die andere Unternehmen haben, oder auch von den Inhalten, die andere Unternehmen haben, und vergisst aber dann in weiterer Folge, dieses Dokument, wenn es dann einmal erstellt ist, auch an die eigenen Anforderungen, an die eigene Realität anzupassen.

Ist es falsch, sich inspirieren zu lassen? Nein, es ist nicht falsch, sich inspirieren zu lassen. Warum? Weil sich die Inhalte dieser Dokumente ja tatsächlich in der Praxis kaum eklatant unterscheiden. Die Zielsetzung ist ja zumeist die gleiche: sich an die Regeln zu halten, Gesetze einzuhalten, die Menschenrechte zu wahren, die Umwelt zu schützen, die Geschäfts- und Betriebsgeheimnisse zu schützen. Es steht drinnen, wer für Compliance [00:08:00] verantwortlich ist. Es steht drinnen, dass man Schulungen macht. Es steht an der einen oder anderen Stelle auch drinnen, wohin man sein festgestelltes Fehlverhalten meldet. Also an sich ist die Zielsetzung, oder ist der Inhalt dieser Dokumente ja immer sehr ähnlich.

Aus dem Grund ist es nicht schlecht, sich einmal inspirieren zu lassen.

Soll man es dabei belassen, einen Code of Conduct zu haben, der eine Kopie anderer Codes of Conduct ist? Nein. Also es geht tatsächlich ein bisschen besser. Und meine erste Aufgabe in dem Zusammenhang war tatsächlich … den vorhandenen Code of Conduct, der seine Berechtigung hatte und der für den Moment damals auch richtig erstellt wurde, zu überarbeiten. Und das mit dem Überarbeiten, das sage ich an dieser Stelle wirklich sehr eindringlich: Man sollte sich den Code of Conduct regelmäßig nehmen und einmal schauen, ob dieser Code of Conduct die Realität des Unternehmens immer noch widerspiegelt. Warum? Es kann sich die Strategie ändern, es kann sich das Business [00:09:00] ändern, es können sich die rechtlichen Gegebenheiten ändern, es kann sich zum Beispiel das politische, geopolitische Umfeld ändern.

Das heißt, es macht immer wieder Sinn, den Code of Conduct in die Hand zu nehmen, zu prüfen, ob der noch passt, sich anzuschauen, ob die Realität des Unternehmens mit dem, was man da damals niedergeschrieben hat oder … kopiert hat, ob das tatsächlich noch passt. Wenn wir jetzt über den Inhalt eines Code of Conduct sprechen – und da sind wir schon bei der zweiten Frage: Was benötigt denn ein guter Code of Conduct? Was glaube denn ich, welche Elemente ein guter Code of Conduct hat? –, dann werfe ich jetzt einmal sieben Elemente in den Ring. Ein Code of Conduct – viele sagen, das ist ein Verhaltenskodex, man nennt ihn auch Code of Ethics – fängt immer an mit einer Einleitung, und ich würde auch noch dazugeben: einer Erklärung zum Werteverständnis.

Also im Sinne des Tone from the Top empfehle ich, dass der [00:10:00] Code of Conduct mit dem Vorwort oder mit einem Vorwort beziehungsweise mit dem Statement der Geschäftsleitung beginnt. Nicht nur ist das ein starkes Signal für die jeweilige Zielgruppe, sondern die … Er macht auch tatsächlich, oder dieses Vorwort, dieses Statement macht ganz klar sichtbar: Compliance ist uns wichtig, und Integrität ist Teil unserer Kultur. Und weil wir ja mittendrin sind auch in den Lieferkettengesetzen oder in den Diskussionen zu den Lieferkettengesetzen, sei es jetzt durch das deutsche Lieferkettensorgfaltspflichtengesetz oder auch durch das – ich nenne es jetzt unter Anführungszeichen – EU-Lieferkettengesetz,

empfehle ich, dass wir dieses Statement oder diese Einleitung Grundsatzerklärung nennen. Also Grundsatzerklärung ist ein Terminus, der kommt aus dem deutschen Lieferkettensorgfaltspflichtengesetz, etwas, was dort verpflichtend ist. Und die Grundsatzerklärung ist als Wort, oder als Verständnis der Einleitung, gar nicht falsch. Die Grundsatzerklärung, die sagt uns nämlich: Wer sind wir, und was erwarten wir auch [00:11:00] von anderen? Also die Einleitung im Sinne einer Grundsatzerklärung mit der Erklärung zum Werteverständnis. Das zweite Element ist für mich der Geltungsbereich. Also für wen gilt denn dieser Verhaltenskodex? Gilt der nur für die Mitarbeiterinnen und Mitarbeiter, oder gilt der auch für die Businesspartner?

Also grundsätzlich würde ich immer empfehlen, einen Code of Conduct für intern zu machen, für eine interne Zielgruppe, und für eine externe Zielgruppe. Intern natürlich Mitarbeiterinnen und Mitarbeiter, das Management und Business, die Führungskräfte, die dazwischen sind. Also der Code of Conduct kennt in der Regel keine Hierarchie. Warum? Weil für Compliance alle verantwortlich sind. Der Code of Conduct zielt auf jeden Menschen ab, der … im Unternehmen tätig ist, beziehungsweise der im Unternehmen Verantwortung übernimmt. Und diese Verantwortung ist etwas, was so wunderbar ist, weil sie tatsächlich auch die Natur der Compliance widerspiegelt. [00:12:00] Warum bin ich der Meinung, dass wir auch einen Code of Conduct für Businesspartner brauchen?

Weil die Zielsetzung da eine ganz andere ist. Die Zielsetzung in der Lieferkette oder bei den Kunden ist eine andere als über die Mitarbeiterinnen und Mitarbeiter. Man wird aber feststellen, so eklatant unterscheiden sich auch die beiden Dokumente nicht, aber ich kann viel detaillierter, viel klarer, viel transparenter auch meine Erwartungshaltung an die jeweilige Zielgruppe formulieren. Also warum? Man hat ja unterschiedliche Zielgruppen, unterschiedliche Erwartungen, so simpel ist es. Das dritte Element … also wir haben jetzt die Einleitung im Sinne der Grundsatzerklärung mit der Erklärung zum Werteverständnis.

Wir haben den Geltungsbereich: Für wen gilt denn dieser Code of Conduct? Das dritte Element sind die Themenfelder. Bei den Themenfeldern, da orientiert man sich an den Risiken bzw. am Unternehmenszweck. Führt man bei den Themenfeldern Risiken an oder Themen an, die das Unternehmen gar nicht betreffen, dann tut man sich mit dem gesamten Dokument wirklich kümmern … oder sagen wir, dann tut man sich für die [00:13:00] Glaubwürdigkeit des Dokuments keinen Gefallen. Was sind so übliche Formulierungen oder Punkte, die bei dem Element Themenfelder vorkommen? Das ist zum einen immer oder sehr oft das Versprechen zur Einhaltung von Gesetzen und Vorschriften. Was kommt noch vor? Die Vermeidung von Interessenkonflikten. Wir regeln da auch den Umgang mit Geschenken und Einladungen.

Da kommt dann oft auch ein Verweis auf interne Richtlinien, zum Beispiel die Anti-Bribery- oder Antikorruptionsrichtlinie. Bei den Themenfeldern geht es auch immer um vertrauliche Informationen. Es geht jetzt vermehrt auch um das Thema IT-Sicherheit, künstliche Intelligenz und natürlich den Datenschutz, Datenschutz als Compliance-Thema. Es geht um den fairen Wettbewerb und natürlich das Thema Kartellrecht, Antigeldwäsche und Bewertung. Gar nicht zu vergessen oder zu vernachlässigen: das Thema Nachhaltigkeit, also Verantwortung für Umwelt, Soziales und natürlich die Menschenrechte. In diesem Zusammenhang macht es auch Sinn, die wirklichen Risiken der [00:14:00] Compliance, also das, was uns tagtäglich auch passiert, was uns auf den Tisch kommt, Dinge, die wir erleben in der Compliance, Dinge, die wir auch in den Hinweisgebersystemen wiederfinden, abzubilden, und das ist das Verhalten, das ist das Thema Diskriminierung, das ist das Thema Diversität, das ist das Thema: Wie gehen wir denn untereinander um, wie gehen wir denn um mit Dritten?

Und was würde ich noch mit aufnehmen als weiteres Element: den Schutz vom Unternehmensvermögen, sei es jetzt physisch oder intellektuell. Also das sind jetzt ein paar Themenfelder, die wir so in unserem Code of Conduct drinnen haben, das sind Themenfelder, die man sehr oft auch in anderen Codes of Conduct findet, aber nur mal bitte bei der Erstellung des eigenen Code of Conduct darauf achtgeben,

dass der Code of Conduct bei den Themenfeldern wirklich das eigene Business, die eigene Realität spiegelt. Dann kommen wir ja schon zum vierten Element, und das vierte Element ist vielleicht eher ein Nice-to-have. Ich bin aber der Meinung, dass es sich bewährt hat, [00:15:00] dieses Element und diese Themen auch aufzunehmen und in einem eigenen Element oder diesem Themenkomplex ein eigenes Feld zu geben. Und es ist das Thema Verantwortung und Vorbildfunktion. Das kann man natürlich mit der jeweiligen Zielgruppe begleiten oder auch beim Thema „Für wen ist denn der Code of Conduct?“ mitverarbeiten. Aber ich glaube, dass es wichtig ist, festzuhalten, dass für Compliance alle verantwortlich sind.

Und hier auch einen Hinweis zu geben, dass alle Verantwortung für ihr Verhalten tragen und Führungskräfte oder überhaupt Menschen im Unternehmen unabhängig von ihrer Hierarchiestufe ihrer Vorbildfunktion nachkommen müssen. Also gerade beim Thema Verantwortung und Vorbildfunktion ist es so, dass der Hinweis auf den Tone at the Top und die jeweilige Verantwortung des jeweiligen Menschen im Unternehmen, dass man das vielleicht nochmal gesondert anführt, und darum würde ich sagen, ist das für mich persönlich das vierte Element. Als fünftes Element sehe ich das … das Hinweisgebersystem und die [00:16:00] Reaktionsmechanismen. Das Hinweisgebersystem – warum findet das statt im Code of Conduct? Es findet statt, weil es kulturbegründend und -fördernd ist.

Das Hinweisgebersystem und auch die Reaktionsmechanismen, die geben uns den Hinweis auf, ich würde es jetzt einmal nennen, die Feedback-Kultur im Unternehmen. Also wie geht das Unternehmen um mit Reaktionen, mit Fehlverhalten, das gemeldet wurde, mit Kritik? Wie geht das Unternehmen damit um? Wie und wo können denn vermutete Verstöße gemeldet werden, also können sie überhaupt gemeldet werden, wo und wie können sie gemeldet werden? Bei diesem Punkt ist es relevant zu sagen, dass Hinweisgeberinnen natürlich auch von Gesetzes wegen, und weil es im besten Fall auch Teil der Unternehmenskultur ist, dass die Hinweisgeberinnen und Hinweisgeber auch einen entsprechenden Schutz genießen.

Bei dem Punkt mit dem Hinweisgebersystem, weil es ja kulturfördernd und -begründend ist, macht es auch Sinn, darauf hinzuweisen, wie man mit den Verstößen auch umgeht und dass man eine Null- [00:17:00] Null-Toleranz-Politik im Unternehmen auch hat. Also gerade bei diesem Thema, wenn es um die Verstöße und um das Aufzeigen der Verstöße geht, sollte man den Hinweis im Code of Conduct auch hinterlassen, dass man ein Fehlverhalten nicht toleriert und jedes Fehlverhalten, jeder Verstoß auch zu einer angemessenen Reaktion, zu einer angemessenen Konsequenz führt. Also das Thema: Wie untersucht man denn? Wird untersucht, wird nicht untersucht, und welche Sanktionen drohen denn beim Fehlverhalten? Das ist für mich das fünfte Element.

Der sechste Punkt oder das sechste Element ist für mich schon die … Da geht es um die Verankerung von Compliance im Alltag. Ich würde sagen, wir sprechen im sechsten Element von der Verpflichtung zum Beispiel zu Schulungen, zu Sensibilisierungs- und Kommunikationsmaßnahmen. Und an dieser Stelle macht es auch Sinn, einen Hinweis auf die Ansprechpersonen zu geben, wie zum Beispiel, dass man eine Compliance-Organisation hat, dass man eine Ombudsstelle möglicherweise [00:18:00] implementiert hat. Also etwas, wo man sagt: Wie soll denn Compliance auch zum Leben erweckt werden? Und das ist tatsächlich mit Schulungen, das ist mit der Sensibilisierung, das ist auch mit Personen. Und zum Schluss, das ist eher etwas Theoretisches:

Das siebte Element ist für mich die Bestätigung, also quasi die Unterschrift der Geschäftsleitung, und das Inkrafttreten, also das Datum des Inkrafttretens, und wie oft man sich das anschaut, quasi eine Aktualisierungspflicht. Wir haben jetzt also von sieben Elementen gesprochen, wo ich denke, dass es sich um die wesentlichen Elemente oder Inhaltselemente eines Code of Conduct handelt. Nur mal, ich darf es nochmal wiederholen: Das ist zum einen die Einleitung als Grundsatzerklärung und die Erklärung zum Werteverständnis. Der Geltungsbereich, also für wen gilt der Code of Conduct. Die Themenfelder, also welche Risiken haben wir, wo brauchen wir die Orientierung, für was stehen wir, also auch der Unternehmenszweck.

Das vierte [00:19:00] Element ist dann die Verantwortung und die Vorbildfunktion. Also für mich persönlich ist das ein wichtiger Punkt, um mal aufzuzeigen, dass für Compliance alle verantwortlich sind, dass es in der Compliance und im Code of Conduct, geht, keine Hierarchie gibt und dass alle ihrer Vorbildfunktion auch nachkommen müssen. Fünftes Element war das Hinweisgebersystem und auch die Reaktion, also Reaktionsmechanismus im Sinne von der Sanktion bei Fehlverhalten. Wir haben dann als sechstes Element die Verankerung im Alltag mit Schulungen und Sensibilisierung und auch den Kontaktinformationen zu den Compliance Officern oder der Ombudsstelle, und dann noch die Bestätigung und das Inkrafttreten.

Somit haben wir den Code of Conduct inhaltlich. Wir wissen jetzt, was ein Code of Conduct ist. Wir wissen … was sind die Elemente eines Code of Conduct, und jetzt beschäftigen wir uns noch ganz kurz mit der Frage: Wie erstellt man denn einen Code of Conduct, also welche … was ist denn da so ein sinnvoller Ablauf? Und diesmal werfe ich nicht sieben Elemente in den Ring, sondern jetzt sind es sechs Prozessschritte. Der erste Schritt ist die Zieldefinition, oder ich würde mit der Zieldefinition [00:20:00] anfangen. Wer ist denn da meine Zielgruppe, und an wen richtet sich denn das Dokument? Also auf was muss ich denn aufpassen, sowohl beim Inhalt als auch bei den Stakeholdern? Das heißt … An wen richtet sich das?

Ist es ein rein internes Dokument, ist es ein rein externes Dokument, oder ist es ein gemischtes Dokument? Der nächste Prozessschritt, da geht es schon um den Inhalt. Der Code of Conduct ist ja, und ich habe es vorhin gesagt, die Verfassung für Integrität. Es geht um die Werte, es geht um die Grundsätze, um die Prinzipien, und es geht um das gewünschte und erwartete Verhalten. Das heißt, schauen wir uns einmal im Unternehmen doch an: Wie ist da der Status quo? Welche Werte tragen denn das Unternehmen? Da gibt es möglicherweise schon Kommunikation dazu, möglicherweise gibt es ein Leitbild. Irgendetwas wird … zu den Werten vielleicht schon vorhanden sein. Man muss das Rad nicht neu erfinden.

Bei der Erstellung eines Code of Conduct muss man Bezug darauf nehmen, und man muss dieses Werteverständnis und dieses Leitbild mit einbeziehen. Warum?

Der Code of Conduct kann für sich alleine nicht isoliert betrachtet werden. Das kann Compliance für sich alleine [00:21:00] auch nicht. Also schauen wir uns an: Was ist denn schon da? Der nächste Schritt … also jetzt sind die Themen Werte. Der nächste Schritt beim zweiten Prozessschritt ist: Ich schaue mir meine Risiken an und die typischen Konfliktthemen im Unternehmen. Also basierend auf dem Unternehmenszweck schaue ich mir an: Wo habe ich Konflikte, wo habe ich Risiken? Da kann ich schon, und da werde ich vermutlich auch schon Stakeholder mit einbeziehen, weil die Risiken oder die Risikoidentifikation, die werde ich alleine aus Compliance auch nicht vollbringen können. Das heißt, ich schaue mir da oder analysiere meine Risiken.

Compliance ohne Berücksichtigung von Business oder von den Risiken wird nämlich nicht erfolgreich sein, und darum ist es beim Inhalt unfassbar schwierig. Also Analyse von Risiken, von typischen Konfliktthemen. Schauen wir uns einmal an: Worum geht es denn eigentlich? Um was soll sich denn der Code of Conduct eigentlich kümmern? Neben den Werten. Da sind wir wieder bei dem, was ich vorhin gesagt habe: das dritte Element, die Themenfelder. Der dritte Schritt im zweiten [00:22:00] Prozessschritt – wir sind immer noch im zweiten Prozessschritt – ist dann der Abgleich mit den gesetzlichen Anforderungen und den bestehenden Richtlinien. Das heißt, wenn wir als ersten Prozessschritt die Zielsetzung, wenn wir im zweiten Prozessschritt Inhalte sammeln – das unterteilen wir nochmal: Status quo, was haben wir denn eigentlich schon an Werten, wer sind wir, haben wir schon irgendwo was stehen, wer wir sind oder wer wir sein wollen, die Analyse von Risiken und den Konfliktthemen und den Abgleich mit den gesetzlichen Anforderungen.

Und ich habe es jetzt beim zweiten Prozessschritt eh schon gesagt, ich mache daraus aber den dritten Prozessschritt nochmal gesondert, und das ist die Einbeziehung der Stakeholder. Es ist … Es ist unfassbar wichtig, die Geschäftsführung frühzeitig einzubinden und sich mit der Geschäftsleitung, Geschäftsführung, Vorstand, wie auch immer, rechtzeitig und frühzeitig auch abzustimmen, ob die Richtung die richtige ist.

Die Compliance-Organisation oder der Mensch, der diesen Code of Conduct schreibt, kann nicht am Willen der Geschäftsleitung vorbei ein Dokument schreiben, das das wichtigste Dokument für die Compliance ist. Das wird nicht funktionieren. Aus dem Grund ist die … also frühzeitige, [00:23:00] regelmäßige Einbindung und Abstimmung mit der Geschäftsführung wirklich relevant. Wen nehmen wir denn nun mit? Sei es jetzt auch bei der Frage nach den Risiken, aber insbesondere ja auch, ob die Inhalte richtig sind, ob die Zielsetzung richtig ist, ob die Formulierungen passen. Wir nehmen mit die HR-Abteilung, wir nehmen mit Betreiber, die Strategieabteilung, wir nehmen mit die Arbeitnehmervertretungen, wir nehmen mit die Kommunikation, also das Marketing, und im besten Fall gibt es auch noch Feedbackrunden mit Führungskräften. Und was vielleicht auch gar nicht so schlecht wäre, das wären Pilotgruppen, dass man vielleicht eine Gruppe an Personen zusammenfindet, wo eine gute Mischung ist, also eine gute Diversität aus Frauen, Männern, aus Jung, Alt, aus schon lange im Unternehmen, frisch im Unternehmen, Personen, die man mitnimmt und die man mit diesen Ideen, die man hat, Code of Conduct, auch einmal konfrontiert und sagt: Fühlt ihr euch damit abgeholt?

Ist das etwas, wo ihr glaubt, dass das tatsächlich das Unternehmen widerspiegelt, das uns widerspiegelt und das auch bestens beschreibt, wer wir sind und was wir [00:24:00] von einer anderen, beziehungsweise auch von anderen erwarten? Beim Anschauen und beim Inhalt bin ich dann schon beim nächsten Prozessschritt. Das ist für mich jetzt der vierte Prozessschritt. Da kommen wir schon in die Ausgestaltung und in die Visualisierung. Also wir haben jetzt die Themenfelder, die haben wir abgestimmt mit den Stakeholdern. Wir haben einen ersten Entwurf gemacht, und diesen ersten Entwurf sind wir mit der Pilotgruppe im besten Fall einmal durchgegangen. Jetzt geht es darum, wirklich den Code of Conduct auszugestalten.

Wir müssen die Werte und die Prinzipien klar formulieren. Jetzt bin ich selbst Jurist, und sehr viele Compliance Officer sind Juristen und Juristinnen. Wir sind es gewohnt, juristisch zu formulieren. Wir haben das auf der Uni gelernt, Papier zu produzieren. Wir haben gelernt, viel zu schreiben, in Prosa und in juristischer Hinsicht. Wir schreiben einfach gern, weil wir glauben, das macht Sinn, und es

spiegelt, dass wir was können. Den Code of Conduct, den schreiben wir aber nicht nur für uns als Juristinnen und Juristen, sondern den schreiben wir insbesondere für die Zielgruppe. Darum ist die Definition, die Zieldefinition, [00:25:00] für wen ist denn der Code of Conduct, so wichtig. Und darum bitte immer mitnehmen: Werte und Prinzipien klar formulieren. Wir verwenden eine verständliche, zugängliche Sprache, also bitte kein Juristinnen- oder Juristendeutsch. Das heißt, wir schauen uns kurze Kapitel an, wir machen eine klare Struktur, und diejenigen, die mich kennen, die wissen, ich bin ein ganz großer Fan von dem Thema Legal Design. Legal Design ist ein Mindset, das ist etwas, wo man sagt, man vereinfacht juristische Sprache, ohne zu banalisieren, verknüpft es mit grafischen Elementen, und darum macht es auch einen Sinn, in Zusammenarbeit mit der Marketingabteilung

Grafiken einsetzen, Piktogramme einsetzen, Infoboxen einsetzen, Rahmen rund um das Dokument machen. Also ein auch grafisch ansprechendes Dokument zu machen. Wie ist das bei uns in dem Unternehmen, in dem ich Compliance Officer bin? Wir haben den Code of Conduct in zweifacher Ausfertigung. Wir haben ihn eingeführt einmal im Sinne unserer internen [00:26:00] Policies, das schaut aus wie jede andere Policy auch. Warum? Weil so wird quasi der Code of Conduct ausgerollt, der wird über unser Dokumentenmanagement ausgerollt, da muss jedes Dokument gleich ausschauen. Da steht drauf, von wann er ist, da steht drauf, wer hat ihn erstellt, was ist die zuständige Organisationseinheit, für welche Unternehmen im Unternehmen oder im Verbund ist dieser Code of Conduct gültig. Da steht drinnen, welche Änderungen man vorgenommen hat, also auch die Versionierungen.

Das heißt, das ist ein, ich würde jetzt einmal sagen, ein gelenktes Dokument, das gewissen Qualitätsstandards und Vorgaben entspricht. Das ist das Standarddokument. Das Dokument haben wir nochmal genommen und haben das grafisch mit der Marketingabteilung aufgepäppelt und schön gemacht. Warum? Weil ich möchte, dass meine Kolleginnen und Kollegen ein Dokument in der Hand haben,

das ihnen gefällt, das sie gerne in die Hand nehmen, ein Dokument, das auch in Erinnerung bleibt. Die Sprache ist dieselbe, aber in Verbindung mit den grafischen Elementen, also unter dem Einsatz von Legal-Design-Prinzipien, schaffen wir ein [00:27:00] Dokument, das wir auch am Ende des Tages nach außen geben können. Etwas, was auch nach außen hin sagt: Hey, Compliance ist uns wichtig. Integrität ist uns wichtig. Das ist uns so viel wert, dass wir da schöne Dokumente daraus machen. Das ist jetzt vielleicht ein bisschen überspitzt formuliert, und vielleicht an der einen oder anderen Stelle denkt man sich: Okay, also nur weil man es schön macht, heißt es nicht automatisch, dass es mir wichtig ist. Aber es ist dennoch ein Signal an die Kolleginnen und Kollegen, wenn man sich bemüht, ein schönes Dokument zu erstellen.

Der nächste Prozessschritt ist für mich dann … Wenn man das gemacht hat und da auch nochmal möglicherweise eine kleine Korrekturschleife gemacht hat am Ende dieses Prozessschrittes und auch die Stakeholder gefragt hat, ob sie sich abgeholt fühlen, dann bin ich beim fünften Prozessschritt schon tatsächlich. Der fünfte Prozessschritt, das ist dann schon die Freigabe und die Implementierung. Also offiziell freigegeben muss dieses Dokument durch die Geschäftsleitung, also durch den Vorstand, durch die Geschäftsführung werden. Warum? Weil auch die Grundsatzerklärung bzw. das Dokument unterschrieben gehört. Also das ist etwas, was sehr viele Unternehmen [00:28:00] als Kunden von einem Unternehmen oder von ihrem Lieferanten erwarten, dass es nach außen hin sichtbar ist, dass das ein signiertes Dokument ist.

Und ich sage es ganz ehrlich: Es fühlt sich ja ganz anders an, wenn die Geschäftsleitung dieses Dokument auch wirklich unterzeichnet, weil das Versprechen, das man abgibt mit einem Code of Conduct, dadurch eine gewisse Verbindlichkeit erlangt. Verbunden mit der Freigabe durch das Management oder in Verbindung mit der Freigabe ist dann immer der Rollout. Das heißt, ein Code of Conduct, insbesondere wenn ich ihn überhaupt das erste Mal erstelle, erfordert … erfordert Schulungen, erfordert vielleicht E-Learnings, erfordert einen Beitrag im Intranet. Möglicherweise gibt es eine Mitarbeiterinnen- oder Mitarbeiterzeitung.

Auch da nochmal hinweisen. Das heißt, das ruhig ein bisschen feiern, dass man jetzt ein wunderbares Dokument hat. Und verbunden mit der Implementierung und mit dem Rollout auch die Verpflichtung zur Kenntnisnahme. Es macht Sinn, den Code of Conduct als integriertes Dokument auch beim Dienstvertrag mitzunehmen und dort zu sagen: Also der Code of Conduct ist ein integriertes Dokument, und den auch unterschreiben lassen und [00:29:00] bei der Ausrollung auch darauf achten, dass das Dokument zur Kenntnis genommen wird. Der sechste Prozessschritt, das ist dann schon etwas, was vielleicht mit der Erstellung gar nicht mehr so viel zu tun hat, aber ich wollte den noch mitnehmen, weil da geht es um die Pflege und um die … die laufende Aktualisierung des Dokuments.

Ich habe es ja vorhin auch schon gesagt, der Code of Conduct braucht immer einen Realitätscheck. Also passt dieses Dokument noch zur Realität des Unternehmens? Gibt es neue Gesetze? Gibt es neue Entwicklungen? Wie auch immer. Das ist der sechste Prozessschritt, obwohl er eigentlich gar nicht mehr zur Erstellung des Dokuments gehört. Ich nehme ihn nur noch mit, weil die Pflege und Aktualisierung etwas ist, was man sehr gern, sehr oft vergisst. Weil hat man einmal ein Dokument, ist man glücklich, dass man es hat. Aber nicht vergessen: Compliance ist ein Kreislauf, das Compliance-Management-System ist ein Kreislauf. Das heißt, irgendwann kommt man da im besten Fall wieder vorbei, weil man sich die Frage stellen muss: Habe ich mit dem Dokument auch wirklich alle Risiken, habe ich damit alle Themenfelder abgebildet, die funktionieren, jetzt im Moment und auch für die nähere Zukunft meine Realität [00:30:00] abbilden? Darum bitte Pflege und Aktualisierung.

So, wir haben in diesem Bootcamp – ich bin nämlich jetzt schon am Ende –, wir haben uns kurz angeschaut: Was ist ein Code of Conduct? Nur mal: die Verfassung für Integrität im Unternehmen. Das ist für mich etwas ganz Starkes, etwas Wichtiges. Welche Werte, Prinzipien und Verhaltensstandards gibt es? Wir haben uns auch angeschaut, welche Elemente braucht oder hat ein Code of Conduct. Sieben haben wir festgestellt. Und wir haben uns jetzt sechs Prozessschritte angeschaut, die notwendig sind. Aus meiner Sicht – das

ist bitte meine Wahrheit –, also hier ein sinnvoller Ablauf für die Erstellung von einem Code of Conduct. Das ist die Zieldefinition, Inhalte sammeln, Stakeholder einbeziehen, und das ist … die Zieldefinition, gestalten, also auch bitte Zeit aufwenden, ordentlich visualisieren, richtige Sprache verwenden, dann freigeben lassen, implementieren, nicht nur veröffentlichen, sondern das ein bisschen feiern, dass man jetzt einen Code of Conduct hat, verbunden mit Schulungen, E-Learnings, pflegen und aktualisieren nicht vergessen. Und somit hätten wir eine wunderbare Reise, die das wunderbarste Dokument [00:31:00] in der Compliance eigentlich zum Ziel hat, nämlich den Code of Conduct. Und zum Abschluss gibt es noch unser Code-of-C-C-Wort, also mein Code-of-C-Wort für heute, und im Sinne eines ordentlichen Code of Conduct ist mein Compliance-Wort für heute: Klarheit.

Dann vielen Dank fürs Zuhören. Wenn Ihnen die Folge gefallen hat, wenn Ihnen Code of C generell gefällt, dann freue ich mich über eine positive Bewertung auf der von Ihnen genutzten Podcast-Plattform. Aktivieren Sie die Glocke, folgen Sie dem Podcast und mir gerne auf LinkedIn und Instagram. Ich freue mich über Nachrichten, ich freue mich über Kontaktaufnahme, ich freue mich über Statements und Feedback. Und übrigens, die Checklisten, von denen ich heute gesprochen habe, die findet man auch unter www.loupe.at zum Download. Und wenn es darüber hinaus noch Fragen zur Software von .LOUPE gibt, dann einfach unter www.loupe.at Kontakt mit uns aufnehmen. Schon mal gesagt, und ich sage es immer wieder gerne in den Bootcamp-Folgen: Unser Versprechen ist immer aus der Praxis für die [00:32:00] Praxis.

Infos gibt es dazu auch in den Shownotes. Dann holen wir für die nächste Folge unser nicht mehr ganz so weißes Blatt Papier und somit die Skizze unseres Compliance-Management-Systems wieder hervor. In 14 Tagen, da bleiben wir nur ein bisschen beim Scheitern, wir bleiben nur ein bisschen beim Element der Kultur, wir fokussieren uns aber … beim nächsten Mal auf das Verantwortung-Übernehmen als, aus meiner Sicht, Kernaufgabe von Compliance. Und bis dahin: Bleiben Sie bitte compliant, bleiben Sie vor allem ein guter Mensch. Ihr Martin Reichetseder.