Compliance-Bootcamp: „Fuck-up-Stories als Nährboden für Wachstum“

Herzlich willkommen zu einer neuen Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Dieses Format bzw. dieser Podcast dient dem Austausch mit anderen Expertinnen und Experten aus der Praxis, es geht um echte Praxiserfahrungen, und es geht mir insbesondere um Inspiration, es geht um Motivation, und so ein wenig geht es auch um das An-die-Hand-Nehmen. Das klingt an sehr vielen Stellen und in den Folgen, die wir bisher schon aufgenommen haben, und auch in den Gesprächen, die wir geführt haben mit den Expertinnen und Experten, klingt das so ein bisschen wie ein Winterwunderland.

Also es klingt alles oft sehr perfekt. Insbesondere dann, wenn diese Expertinnen und diese Experten über ihre Erfahrungen sprechen, über ihre Erfolge sprechen bzw. über ihre konkreten Maßnahmen, dann fühlen sich so manche – mich übrigens manchmal eingeschlossen –, dann fühlen sich manche wie Anfänger und Anfängerinnen. Das ist auch ganz normal, weil das ist unser aller Realität. Weder strebt die Compliance nach Perfektion, weil eine 100-prozentige Compliance oder Risikofreiheit, die gibt es schlichtweg nicht, außer man stellt das unternehmerische Handeln ein, noch sind wir als Menschen perfekt. Und weil das tatsächlich so ist, so ... und weil es gut ist, sich daran zu erinnern, dass wir nicht alle perfekt sind, aber gemeinsam doch sehr vieles erreichen können, widmen wir uns in diesem Bootcamp ein wenig den persönlichen oder meinen persönlichen Anti-Success-Storys, also Fuck-up-Storys, und da lege ich gerne das eine oder andere auf den Tisch, also quasi meine blanke Wahrheit.

Bevor wir in unser heutiges Bootcamp-Motto, also „Fuck-up-Storys als Nährboden für Wachstum“, einsteigen, gibt's noch unsere Code-of-C-Empfehlungsrunde. In den Bootcamp-Folgen gibt's ja statt dem Check-in immer eine persönliche Empfehlung von mir, und nachdem ich immer sage und da fest davon überzeugt bin, dass niemand alleine erfolgreich ist, gibt's heute einen kleinen Shoutout für den ÖCOV. Der ÖCOV, das ist der Österreichische Compliance Officer Verband und ein Verein, der sich als Plattform zur Förderung und zur Unterstützung von uns Compliance Officern versteht. Besonders möchte ich dabei die unterschiedlichen Arbeitsgruppen in den Fokus rücken, da diese, also jetzt je nach Themenschwerpunkt, einen echten

Mehrwert und wirklich einen echten Austausch unter Expertinnen und Experten bieten. Die Mitglieder des ÖCOV, die kommen aus unterschiedlichen Branchen, aus unterschiedlich großen Unternehmen und aus unterschiedlich großen Compliance-Strukturen. Aus meiner Sicht ist der ÖCOV eine wunderbare Gelegenheit, um in der Compliance auch außerhalb des eigenen Unternehmens stattzufinden. Und wer gerne mehr Informationen zum ÖCOV hätte, mehr Informationen gibt es unter www.oecov.at. ÖCOV schreibt man Otto Emil Caesar Otto Victor .at. In der heutigen Folge, ich habe es ja vorhin schon gesagt, mit dem Motto „Fuck-up-Storys als Nährboden für Wachstum“, sprechen wir oder spreche ich heute über Momente, die sich für mich als tatsächliche Herausforderungen dargestellt haben, also Momente, wo ich vielleicht als Compliance Officer nicht unbedingt geglänzt habe, beziehungsweise Momente, die ich mit dem Wissen von heute anders machen würde.

Es geht heute um drei weniger erfolgreiche Momente in meiner Tätigkeit als Compliance Officer, und wir befinden uns ja mitten in der zweiten Staffel, mitten in der Reise durch unser Compliance-Management-System. In den Interviewfolgen stehen wir gerade bei der Rolle des Compliance Officers. Ich spring jetzt aber ein bisschen nach vorne und möchte drei Themen besprechen, die ich, wie ich vorhin schon gesagt habe, anders machen würde bzw. die mir bislang nicht ausreichend gelungen sind, im Sinne meines eigenen Anspruchs an mich selbst. Und ich habe drei Dinge mitgenommen, und ich beginne mit dem ersten Thema, und das erste Thema, wo ich vielleicht nicht ganz so erfolgreich gewesen bin oder etwas, das ich anders machen würde, das ist das Thema Risk-Assessment.

Wie ich begonnen habe, das Compliance-Management-System in dem Unternehmen, in dem ich als Compliance Officer tätig bin, aufzubauen, habe ich begonnen mit Papier. Ich habe Richtlinien geschrieben, ich habe Policies geschrieben, einen Code of Conduct geschrieben, ich habe mich um Risiken gekümmert, die das Unternehmen tatsächlich gar nicht hatte. Warum? Weil es mir darum ging, ganz schnell im Bereich Compliance auch etwas vorweisen zu können. Habe ich mich zu diesem Zeitpunkt bereits ausreichend mit den Risiken beschäftigt? Nein, habe ich nicht. Das würde ich heute anders machen. Ich würde heute tatsächlich, bevor ich anfange, Policies zu schreiben, bevor ich anfange, den Code of Conduct zu schreiben, bevor ich mich mit Risiken beschäftige, die ich gar nicht habe, mit einem Risk-Assessment starten.

Das ist immer die erste Erkenntnis. Also nicht Tod durch Papier, sondern Risiken, Policies und dann in die Umsetzung im Unternehmen gehen. Das ist das Erste. Das Zweite, was mir bei den Risk-Assessments nicht gelungen ist – und diejenigen, die den Podcast schon eine Weile hören, die kennen diese Story schon, aber ich erzähle sie dennoch: Ich war der Meinung, dass ich ein

Risk-Assessment machen kann mit den 20 wichtigsten Bereichsleiterinnen und Bereichsleitern des Unternehmens. Also ich habe mir für das Risk-Assessment ... habe einen Workshop organisiert mit den exponiertesten Personen der Gruppe, weil ich dachte, je höher in der Hierarchie, desto schlagkräftiger wird auch das Ergebnis sein. Jetzt ist der erste Fehler, dass ich dachte, dass 20 Personen das Risiko abdecken können oder identifizieren können für ein Unternehmen mit mehr als 4.000 Mitarbeiterinnen und Mitarbeitern, erster Fehler. Zweiter Fehler: Ich habe nicht an die Menschen gedacht, die tatsächlich Tag für Tag an der Basis arbeiten und die tatsächlich die Risiken im Unternehmen feststellen bzw. sie identifizieren.

Mein Irrglaube war, dass, je höher ich in der Hierarchie meine Teilnehmerinnen und Teilnehmer für den Workshop organisiere, desto mehr Gewicht bekommt das Thema Compliance, desto mehr Gewicht bekommt auch das Risk-Assessment in der Organisation. Ich habe ein wunderbares Ergebnis bekommen, also zumindest in der Optik, also das Layout des Risk-Assessments war wunderbar, der Inhalt des Risk-Assessments war weniger erfreulich, weil es hat sich dann über die Zeit erwiesen, dass die von uns festgestellten und identifizierten Risiken tatsächlich nicht die Risiken sind, die uns tagtäglich treffen. Das heißt, die erste Erkenntnis ist: Risk-Assessment vor Policy. Zweite Erkenntnis: bitte Risk-Assessments machen mit Personen, die auch tatsächlich die Risiken identifizieren können.

Und wenn man das hat, wenn man diese Ergebnisse hat, dann kann man ordentlich in die Umsetzung gehen. Tatsächlich mussten wir nämlich am Weg lernen, was unsere echten Risiken sind, und die Gefahr besteht da immer darin, dass eben so ein derartiges Risk-Assessment, also genau so, wie ich das jetzt zu Beginn auch gemacht habe, weil ich es tatsächlich auch nicht besser wusste, dass das eher ein Feigenblatt ist bzw. dass es zu einem solchen wird, wenn man sich in weiterer Folge nicht mit den Risiken beschäftigt. So, die zweite Story oder das zweite Thema, das mir nicht sehr gut gelungen ist und wo ich meinen eigenen Anspruch nicht erfülle, das ist das Thema Schulung. Ich wollte nie eine Schulung, ein E-Learning von der Stange.

Ich bin immer der Meinung, und also ich war auch immer der Meinung, dass Compliance oder eine Compliance-Schulung, um erfolgreich sein zu können, maßgeschneidert sein muss. Wir haben in diesem Zusammenhang wirklich Geld in die Hand genommen und haben uns ein E-Learning machen lassen, das unterschiedliche Lernmethoden beinhaltet. Das heißt, Lesen, wir haben blogartige Beiträge in dem E-Learning, wir haben Videosequenzen drinnen. Wir haben interaktive Elemente drinnen. Gerade bei den Videosequenzen haben wir sogar auf Schauspielerinnen und Schauspieler gesetzt. Wir haben echte Situationen aus dem Unternehmen in unserem E-Learning dargestellt. Wir haben unsere Kolleginnen und Kollegen, völlig unterschiedliche Kolleginnen

und Kollegen eingeladen, am E-Learning teilzunehmen, nämlich bei den Videoaufnahmen. Das heißt, wenn man bei uns das E-Learning startet, dann beginnt man seine Reise durch das E-Learning mit Interviews mit Kolleginnen und Kollegen, die Fragen gestellt bekommen: Was ist Compliance für dich, oder wie bist du mit Compliance bislang in Berührung gekommen? Und da kam dann schon sehr ehrlich oft: noch gar nicht, oder: Compliance, das erkenne ich als Tool im Intranet, oder: Compliance, das höre ich immer nur, hat sehr viel mit Regeln zu tun. Damit beginnt unser E-Learning. Dann ist die Reise durch das E-Learning ein wunderbares E-Learning. Das hat übrigens 45 Minuten. Und am Ende des E-Learnings haben wir wieder die Kolleginnen und Kollegen, und die beenden dann quasi das E-Learning mit der Frage: „Und was ist Compliance für dich jetzt?“

Und dann kommt Compliance in einem Wort. Compliance in einem Wort, das kennen wir ja auch bei Code of C. Warum? Weil gerade Compliance in einem Wort für mich immer ganz viel Aussagekraft hat, weil in einem Wort so viel Kraft stecken kann. Und darum war für mich auch bei dem E-Learning, das wir produziert haben, ganz klar, dass wir am Ende des E-Learnings das E-Learning beenden mit einem Wort unserer Kolleginnen und Kollegen. Nicht aus der Compliance-Organisation, sondern aus der Basis. Und der Irrglaube war, dass dieses E-Learning, weil es ja so wunderbar ist und weil wir auch tatsächlich sehr viel Herzblut und sehr viel auch Schweiß in die Produktion des E-Learnings gesteckt haben, dass dieses E-Learning über die Jahre hinweg begeistert gefeiert wird.

Die initiale Schulung ist hervorragend. Macht man das E-Learning zum ersten Mal, feiert man, dass das Unternehmen, in dem ich als Compliance Officer tätig bin, dass dieses Unternehmen tatsächlich Compliance so lebt, Compliance auch so darstellen will und Compliance auch so schult. Der Fehler ist, dass wir nach 1,5 Jahren, also nach 18 Monaten ... wird dasselbe Training wieder ausgespielt. Also wir sind dem Irrglauben unterlegen, dass, weil das Training ja so super ist und weil das E-Learning ja so super ist, wir das auch ein zweites und ein drittes Mal spielen können. Das funktioniert nicht. Also mein Learning daraus ist: Die Initialschulung funktioniert super. Beim zweiten Mal sind 45 Minuten, die ich schon einmal absolviert habe, schlichtweg zu lang.

Und meine Kolleginnen und Kollegen, die Mitarbeiterinnen und Mitarbeiter, die wünschen sich eine Compliance-Schulung, aber sie wünschen sich eine neue Compliance-Schulung. Und mein Learning ist, dass wir das, was wir in 45 Minuten darstellen, das, was wir initial in 45 Minuten auch schulen, sollten und werden wir auch in kleinen ... nicht vergessen, dass die Reise immer weitergeht und man auch nach 18 Monaten ein adäquates Training zur Verfügung stellen soll, und das ist halt

nicht das 45-Minuten-Training, das initial zur Verfügung gestellt wurde, also zweites Learning. Und dann der dritte Punkt, mein dritter Pinpoint ist die Kommunikation. Also wer mich kennt, weiß, dass ich sehr gerne rede, und wer mich kennt, weiß, dass ich mich auch sehr gerne vernetze und sehr gerne mit Menschen arbeite. Und wenn ich von Compliance spreche, dann spreche ich mit vollem Herzblut und mit voller Überzeugung über Compliance. Das mache ich nicht nur hier im Podcast, das mache ich nicht nur, wenn ich mich mit Kolleginnen und Kollegen unterhalte, sondern das mache ich auch, wenn ich im Unternehmen Schulungen halte, wenn ich im Unternehmen in Workshops bin oder wenn es gerade zufällig auf das Thema Compliance kommt.

Das heißt, ich als Person kommuniziere schon sehr gerne, schon sehr oft, aber nicht strukturiert. Die Compliance-Organisation schafft es im Moment nicht, sichtbar und effizient und effektiv zu kommunizieren. Ich würde sagen, derzeit sind wir bei sehr wenig Kommunikation. Die Herausforderung, die da besteht, die beginnt ja schon tatsächlich mit der Frage: Worüber soll ich denn überhaupt kommunizieren? Also ich würde gerne kommunizieren, ich kommunizier auch sehr gerne, aber die Frage ist: Worüber soll ich denn kommunizieren? Soll ich über Vorfälle kommunizieren? Ja, aber in welchem Ausmaß soll ich denn über Vorfälle kommunizieren? Beziehungsweise in welchem Detailgrad kommuniziere ich denn über Vorfälle?

Soll ich über Richtlinien kommunizieren? Natürlich soll ich über Richtlinien kommunizieren, aber will man wirklich jede Richtlinie auch in Form von einem Intranetartikel immer mal verbreiten? Ich will ja nicht, dass die Belegschaft, die Kolleginnen und die Kollegen annehmen, dass die Compliance sich nur um Regeln und Richtlinien kümmert und dabei völlig auf unsere Tätigkeit in der Kulturarbeit vergessen. Also besteht da nicht die Gefahr, dass man nur als regelfokussiert wahrgenommen wird, wenn man tatsächlich in der Kommunikation auch nur über Richtlinien kommuniziert? Soll man über Schwerpunktthemen kommunizieren? Ja, aber an welchen Adressatenkreis? Also ist jedes Schwerpunktthema immer auch gleich relevant für jeden Mitarbeiter, jede Mitarbeiterin?

Das heißt, in der Kommunikation gibt es so viele Fragen, die man sich stellen muss. Fragen, auf die man nicht immer sofort auch eine Antwort hat. Jetzt hat man oft das Glück, dass Menschen, die in der Compliance arbeiten, eine intrinsische Motivation haben, offen mit dem Thema Compliance umzugehen und auch zu kommunizieren, aber das Thema Kommunikation im Rahmen eines Compliance-Management-Systems sollte auch systemisch erfolgen und sollte auch mit Plan erfolgen. In Wahrheit braucht es einen Contentplan, in Wahrheit braucht es einen themenspezifischen, zeitspezifischen, zielgruppenspezifischen

Kommunikationsplan. Und das Problem ist, dass das ganz selten vorhanden ist. Das ist etwas, das habe ich bislang nicht geschafft. Insbesondere weil wir bei uns im Intranet einen eigenen Bereich haben zum Thema Compliance und wir unseren eigenen Bereich schon mit Compliance-Informationen befüllen können. Aber mir fehlt an diesem Punkt die Brücke in die Belegschaft bzw. die Brücke zu den generellen Corporate-Infos. Also wenn sich nicht zufällig jemand in den Bereich Compliance verirrt, dann bekommt man an der einen oder anderen Stelle diese Informationen halt einfach nicht mit. Und das Thema Kommunikation ist aus dem Grund für mich eigentlich der schwierigste Punkt und eigentlich das, wo ich sage, da bin ich eigentlich am unerfolgreichsten.

Die Risk-Assessments, die haben wir mittlerweile im Griff. Also würde ich anders machen, würde ich jetzt ein Compliance-Management-System neu aufbauen. Jetzt schicken wir unsere Risk-Assessments digital in die Organisation, bekommen die sofort wieder zurück, können die Auswertungen machen, können die identifizierten Risiken auch bewerten und minimieren, können das zielgruppengerecht machen. Also das Thema Risk-Assessment ist ein Learning. Da haben wir eine Verbesserung festgestellt, und da sind wir schon auf einem relativ guten Weg. Das Thema Schulung: am Anfang super gemacht, die Kolleginnen und Kollegen am Weg verloren, das Learning daraus jetzt, das Schulungskonzept umzustellen. Das Thema Kommunikation, das ist für mich noch ein kleiner blinder Fleck.

Wir probieren jetzt einfach zu kommunizieren, was uns in der Compliance beschäftigt. Das ist jetzt das Thema Antidiskriminierung, nicht weil jetzt gerade der Pride-Monat war, sondern weil wir ein Risk-Assessment gemacht haben zum Thema Antidiskriminierung, weil das auch Teil der Nachhaltigkeitsberichterstattung ist, beziehungsweise der Wesentlichkeitsanalyse. Das ist das Thema, ist ein Schwerpunktthema, das wir da im Rahmen einer Kampagne kommunizieren werden. Ich möchte aber auch da nicht, dass die Belegschaft, die Organisation denkt, die Compliance-Organisation kümmert sich nur um das Thema Antidiskriminierung. Wir haben die Themen Interessenkonflikte, wir haben die Themen Antikorruption, wir haben das Thema Kartellrecht, wir haben das Thema Geheimnisschutz, also Geschäfts- und Betriebsgeheimnisse.

Wir haben so viele Themen, die in der Compliance relevant sind. Und wenn es nur das Management zum Beispiel im Zusammenhang mit dem AI Act ist. Wir müssen hier am Kompetenzaufbau nicht nur über Schulungen, sondern insbesondere auch über die Kommunikation arbeiten, und das richtige Rezept dafür habe ich bis jetzt nicht gefunden. Und es wäre mir nur recht, und da mache ich jetzt vielleicht ein bisschen einen Kanal auf in Richtung Zuhörerinnen und Zuhörer: Es würde mich interessieren, wie wird bei Ihnen, bei euch im Unternehmen kommuniziert? Kommuniziert ihr über Vorfälle?

Wenn ja, in welcher Form kommuniziert man über Vorfälle? In welchem Detailgrad? Wie oft kommuniziert man über Vorfälle? Was wird da kommuniziert, werden da auch die Gegenmaßnahmen kommuniziert? Aus welchem Grund kommuniziert man überhaupt Vorfälle? Oder warum kommuniziert ihr Vorfälle nicht? Wie kommuniziert ihr Schwerpunktthemen, oder kommuniziert ihr Schwerpunktthemen? Kommuniziert ihr ausschließlich über das Intranet, oder kommuniziert ihr über E-Mail, kommuniziert ihr über Handouts, kommuniziert ihr über was auch immer? Mir fällt in Wahrheit gar nichts ein. Also was mir noch einfallen würde bei uns, ist jetzt, weil das haben wir mit Antidiskriminierung gemacht, das ist, einen QR-Code in der Kantine aufzulegen, wo Kolleginnen und Kollegen zu Informationen, die wir vorbereitet haben, kommen.

Aber will ich Compliance immer am Esstisch haben? Also ich als Compliance Officer ja, aber überfordere ich da die Organisation nicht? Oder, Gegenfrage, muss ich die Organisation sogar im Rahmen der Kommunikation ein bisschen überfordern, weil man gewisse Dinge schlichtweg fünfmal hören und lesen muss, um sie zu begreifen? Und muss ich Compliance durch Kommunikation vielleicht so sichtbar machen, weil wenn es nicht sichtbar ist, ist es nicht real? Ich setze jetzt im Moment ganz stark auf die intrinsische Motivation meiner Kolleginnen und meiner Kollegen. Ich setze im Moment darauf, dass ich mich reinreklamiere ins Onboarding und dort einen Termin, einen Termin für die Vorstellung des Compliance-Management-Systems haben will.

Ich fokussiere mich jetzt im Moment auf Führungskräfteschulungen im Bereich Compliance, um da über die Themen zu sprechen und auch entsprechend zu kommunizieren, im Sinne eines Train-the-Trainer-Konzepts. Aber echte Kommunikation im Sinne von Informationen gezielt zur Verfügung stellen, da hapert es noch ein bisschen. Und da würde ich mich sehr über Input freuen, da würde ich mich sehr über Feedback freuen, da würde ich mich sehr über eure Fuck-up-Storys freuen, da würde ich mich sehr auch über Best-Practice-Fälle freuen. Wir werden das Thema Kommunikation natürlich bei der Reise durch das Compliance-Management-System mitnehmen. Es wird einen eigenen Interview-Podcast zu dem Thema geben, aber ich möchte in der Zwischenzeit auf dieser ganzen Reise auch mit diesem Bootcamp auch diese ganze Perfektion ein bisschen entzaubern, weil wir als Compliance Officer und auch als Menschen schlichtweg nicht perfekt sind.

Und das muss man und darf man auch einfach einmal akzeptieren. Compliance hat immer etwas mit Wachstum zu tun, das hat immer etwas mit einer Fehlerkultur zu tun, das hat etwas mit einer Lernkurve zu tun, das hat etwas mit auch Lernen-Wollen zu tun. Und wenn ich lernen will, wenn ich lernen kann, wenn ich mich weiterentwickeln kann, heißt das, dass ich auch Fehler machen kann und Fehler machen soll an der einen oder anderen Stelle.

Und aus diesem Grund habe ich mich dazu entschieden, in dieser Bootcamp-Folge einfach einmal über drei Themen zu sprechen, die mir vielleicht in der Praxis nicht sehr gut gelungen sind. In diesem Zusammenhang bin ich auch schon am Ende der Bootcamp-Folge angelangt. Also bitte aufpassen: Perfekt ist kein Anspruch, den die Compliance-Organisation haben sollte. Und zum Schluss gibt's ja von mir immer noch bei den Bootcamp-Folgen das Code-of-C-Wort, also mein C-Wort, mein Wort für Compliance, und das ist heute: Fehlerkultur. So, vielen lieben Dank fürs Zuhören, das war heute wieder eine etwas kürzere Folge, eine Folge, in der wir ein bisschen hin und her gesprungen sind zwischen unterschiedlichen Themen, aber eine Folge, in der wir Perfektion entzaubern.

Und wenn Ihnen die Folge gefallen hat, wenn Ihnen Code of C gefällt, dann freue ich mich über eine positive Bewertung auf der von Ihnen genutzten Podcast-Plattform. Aktivieren Sie auf Spotify gern die Glocke, folgen Sie dem Podcast und mir gerne auf LinkedIn und auf Instagram. Wenn Sie mir Feedback geben wollen oder auch Ihre eigenen Erfahrungen, die Best-Practice-Fälle, Ihre eigenen Fuck-up-Storys schicken wollen, dann bitte gerne an podcast@loupe.at. Wenn Sie darüber hinaus Fragen zur Software von .LOUPE haben, dann einfach unter www.loupe.at. … Lernkurve hat, ein Mensch, der gerne lernen möchte, ein Mensch, der auch Fehler machen darf. Ihr Martin Reichetseder.