Risk Assessments: Risiken als Grundlage für Ziele und Strategie - mit Prof. DDr. Alexander Petsche

01:01 Ohne Compliance Risk Assessment, ohne Risikoanalyse ist es eigentlich ein Blindflug. Dann können wir zwei gemeinsam diskutieren, welche Risiken könnte haben das Unternehmen X, und das ist in Wirklichkeit nichts Besseres als Gass. Meiner Meinung nach eines der größten Risiken in der Compliance ist tatsächlich auch die Betriebsblindheit. Das heißt, um auch die neuen Mitarbeiterinnen und Mitarbeiter an Bord zu holen, würde ich jetzt nicht jedes Jahr, aber zumindest alle zwei, drei Jahre ein großes Risk Assessment machen, aber bei den Themen spezifisch bleiben, um die Organisation laufend mit dem Thema Compliance zu beschäftigen. Zumindest, was das Risiko betrifft.

01:36 Herzlich willkommen zu einer neuen Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Wir sind heute in der neunten Interviewfolge der zweiten Staffel auf unserer Reise von der Planung zur Implementierung und dem Betrieb eines Compliance-Management-Systems angekommen. Und wir haben ja das Element der Kultur mit dem Tone from and at the top, und die Organisation haben wir ja mit dem Christoph Klahold letztes Mal schon beendet. Und wir wechseln heute in die nächsten Elemente unseres CMS, und das ist das Thema Risk Assessment, und wir nehmen noch mit Strategie und Ziele. Und das machen wir mit einem der bekanntesten Gesichter und einem der besten Köpfe zum Thema Compliance in Österreich. Das machen wir mit meinem Freund und mit meinem Mentor, Prof.

02:29 DDr. Alexander Petsche. Lieber Alexander, herzlich willkommen. Schön, dass du wieder bei mir bist. Danke für die Einladung. Ich freue mich sehr. Du bist ja ein Wiederholungstäter. Du bist ja schon das zweite Mal bei mir. Du warst ja auch Gast in der dritten Folge. Da haben wir ja schon eine kleine Reise durch das CMS gemacht. Das heißt, für diejenigen, die einen kleinen Wrap-up brauchen, bitte gerne in die dritte Folge noch einmal reinhören. Wir starten jetzt aber in das Thema Risk Assessment. Und zwar ist das Thema heute „Risk Assessments: Risiken als Grundlage für Ziele und Strategie“. Und bevor wir das tun, gibt es ja immer das eine oder andere wiederkehrende Element. Und das erste wiederkehrende Element bei Code of C ist ja immer unser Mutmacher. So, beim ersten Mal, wo du bei mir zu Gast warst, hast du auf den Mutmacher verzichtet, weil du nicht, du brauchst nichts, um mutig zu sein. Heute, heute gönnen wir uns Kaffee und Wasser.

03:18 Das tun wir, weil wir später noch Sport machen gemeinsam. Das tun wir aber auch insbesondere deswegen, weil wir den Gaumen ein bisschen anfeuchten und unsere Stimme ein bisschen lockern. Das heißt: Prost beim Wasser. Unser zweites wiederkehrendes Element ist ja unser Code-of-C-Check-in. Und da kommst du mal nicht herum. Also das ist was, das musst du machen. Das kennst du auch, das Prozedere. Ich hab wieder Sätze vorbereitet, die du mir beantworten musst oder die du vervollständigen wirst. Also, lieber Alexander, herzlich willkommen zum Code-of-C-Check-in.

03:56 So, zum Aufwärmen, lieber Alexander, darf ich dich ersuchen, mir folgende Sätze zu vervollständigen. Dein erster Satz ist: Erfolgreiche Compliance erfordert … Mut. Der zweite Satz: Compliance scheitert meiner Ansicht nach, wenn … der Vorstand es nicht mitträgt. Dann sind wir wieder beim ersten Element. So, und dann habe ich noch einen Entweder-oder-Satz für dich, Alexander: Compliance, entweder Hemmschuh oder Wettbewerbsvorteil? Das ist leicht: Wettbewerbsvorteil. Vielen Dank für den Wettbewerbsvorteil. Wettbewerbsvorteil, das ist eigentlich schon die perfekte Überleitung in das heutige Thema. Und zwar, wir reden über Risiken. Und wenn ich von Compliance rede, dann habe ich immer eine eigene Definition von Compliance, mein eigenes Verständnis. Und dieses ist immer: Compliance ist Vertrauen, das ist Verantwortung übernehmen und Verantwortung übertragen und … ein angemessenes Risikomanagement. Das heißt, wir kommen an den Risiken nicht umher.

04:54 Jetzt ist meine erste Frage schon an dich: Warum ist, warum erfordert Compliance einen Blick auf Risiken? Oder warum sind Compliance und Risiken eigentlich so eng miteinander verknüpft? Na ja, das ist eine ganz wichtige Frage, weil die meisten Compliance-Management-Systeme, die ich kenne und auch gesehen habe in der Praxis, vermissen eigentlich das Compliance Risk Assessment. Das heißt, die Unternehmen implementieren dann Compliance-Management-Systeme, ohne die Risiken zu kennen. Ich würde das so vergleichen, wie wenn man zum Arzt geht und der Arzt macht keine Untersuchung, sondern verschreibt gleich einmal Pillen, macht vielleicht drei Operationen, weil er denkt, das könnte schon das sein, und das ist ja eigentlich grob fahrlässig. Das heißt, und was passiert dann nämlich? Es passiert dann nämlich Folgendes im Unternehmen, dass es keine Objektivierung der Risiken gibt und keine objektive Untersuchung und Einordnung.

05:43 Und das führt dazu, dass jeder in der Organisation dann eine subjektive Wahrnehmung hat, welches Risiko eigentlich wie, in welcher Ausprägung besteht und was man dagegen tun soll. Da gibt es dann so Reaktionen in Industriekonzernen, die dann sagen, warum haben wir jetzt große Datenschutz-Compliance gemacht? Rauf und runter, hat uns ein Vermögen gekostet. Eigentlich haben wir gar kein Datenschutzrisiko, sagt der Nachbar A. Der Nachbar B sagt natürlich, wir haben doch ein datenschutzrechtliches Risiko, wir haben zumindest die Mitarbeiter. Und so bleibt es dann sehr subjektiv, es wird nicht objektiviert, die Maßnahmen sind dann subjektiv, und eigentlich stößt das dann auf sozusagen Widerstand in der Organisation, weil es ja keine objektive Grundlage gibt. Wenn man etwas behandeln möchte, muss man es zuerst analysieren. Und das Risiko, das Risk Assessment und das Verständnis für die Risiken ist die Grundlage eines jeden Compliance-Management-Systems, und nicht nur für das System selber, also die Abläufe und die Risikobekämpfung,

06:34 und Einordnung sind auch die Grundlage für die Compliance-Organisation. Das heißt, die Compliance-Organisation muss auch dem Risiko entsprechend ausgerichtet sein. So, das sind die zwei Parameter. Ohne Compliance Risk Assessment – und ich sage es noch einmal, das sehe ich en masse, dass Unternehmen alles Mögliche haben, nur kein Risk Assessment, und dann eigentlich … Jahre später das erste Mal das Risiko analysieren –, und ohne Risikoanalysen ist es eigentlich ein Blindflug. Dann können wir zwei gemeinsam diskutieren, welches Risiko könnte haben das Unternehmen X, und das ist in Wirklichkeit nichts, nichts Besseres als Gäßes.

07:10 Wir haben ja jetzt begonnen bei der Reise durch das CMS mit der Kultur, das heißt mit dem Tone from and at the top. Du hast ja jetzt vorhin auch gesagt, und bei dem Satz, den du vervollständigen solltest, dass es ohne den Willen des Vorstands in Wahrheit nicht geht. Das ist eigentlich der größte Hemmschuh, wenn die Konzern- oder die Unternehmensleitung das nicht möchte. Das heißt, das ist damit die Startbasis. Jetzt sind wir bei den Risiken, und du sagst, wenn man sich mit den Risiken beschäftigt, weiß man auch, woran es krankt. Und basierend auf dem muss ich auch meine Organisation aufbauen. Aus der Praxis weiß ich, dass das mit den Risiken immer ein bisschen schwierig ist, weil man muss ja ein bisschen was vorweisen können, dass das denn … In Wahrheit fängt man mit einer Organisation an, man fängt ein bisschen mit Papier an, aber man darf sich da nicht verlieren in dem. Und jetzt ist genau dieser Punkt, um genau diesen Fehler nicht zu machen und um Menschen, die jetzt in der Compliance beginnen, auch eine kleine Anleitung zu geben, ist es so wichtig, auch diesem Element diese Folge zu widmen, nämlich dem Risiko.

08:05 Jetzt sagst du, Risk Assessments sind die Basis für eine erfolgreiche Compliance. Wann und wie mache ich denn ein Risk Assessment? Also wenn man sagt, du hast jetzt dieses Datenschutzbeispiel genannt, also es kommt eine neue Regulatorik, ein neues Gesetz, die Unternehmen sagen, muss ich umsetzen, sonst muss ich Strafen zahlen, und dann zahlt man Unmengen an Beratungshonorar, um das Risiko zu minimieren, das man dann am Ende möglicherweise gar nicht hat. Aber wann und wie? Schau ich mir dann an, ob ich ein Risiko habe, und wie mache ich denn dieses Risk Assessment? Ja, also einen Punkt, den ich, glaube ich, richtigerweise erwähne: Natürlich braucht es eine gewisse Compliance-Organisation, um überhaupt das zu tun, wovon ich jetzt sprechen werde. Es muss jemand verantwortlich sein, sich als Manager drum zu kümmern. Das Risk Assessment sollte eigentlich dann so rasch wie möglich gemacht werden.

08:51 Und das Risk Assessment ist keine Aufgabe von Stabsstellen. Das habe ich auch immer wieder gesehen, dass sich jetzt kluge Köpfe zusammensetzen und dann theoretisch darüber nachdenken, was könnte für uns ein Compliance-Risiko sein? Das ist der falsche Zugang, weil tatsächlich muss man sich mit den Personen beschäftigen, die dem Risiko ausgesetzt sind. Wir sagen dazu Risikoeigner. Das heißt, die, die an der Front stehen – das Risiko kennt nicht der Vorstand oder der Aufsichtsrat oder die Rechtsabteilung oder Quality Management, sondern eigentlich die, die an der Front stehen. Das heißt, man muss in einer sozusagen workshopartigen Herangehensweise mit den Kolleginnen und Kollegen in den Austausch gehen. Und dieser Austausch ist spannend, weil der Austausch muss einerseits vertrauensbasiert sein, das heißt, die Rolle des Compliance Officers ist am Beginn der Implementierung eine sehr vertrauensbasierte Herangehensweise, weil Leute müssen sich öffnen und erzählen, was täglich passiert.

09:49 Wenn die schon Angst haben vor dem Compliance Officer, wird das nicht funktionieren. Das heißt auch, dass die Rolle des Compliance Officers und seine Aufgaben als Compliance Officer sich über die Zeit ändern werden. Am Anfang, wenn der Reifegrad der Compliance noch nicht fortgeschritten ist, ist der Compliance Officer ein Sparringpartner, ein Zuhörer, ein wohndruckter Schuh, damit er dann die Mannschaft entsprechend auch leiten kann in weiterer Folge. Und in der Phase ist dieser Austausch mit den Risikoeignern so wichtig, weil die nämlich einem dann genau vorführen werden oder erklären werden, wie das Risiko ausgeprägt ist. Und warum sage ich jetzt „ausgeprägt“? Das war jetzt ein ganz wichtiges Stichwort, weil, wenn wir das Risiko jetzt mal richtig und gut machen, dann reden wir nicht theoretisch über ein Kartellrechtsrisiko, wir reden nicht theoretisch über ein Korruptionsrisiko, sondern wir wissen genau, in welchem Geschäftsprozess sich das Risiko befindet.

10:40 Also habe ich zum Beispiel Vermittlerverträge, die in schwierigen Ländern Projekte für mich akquirieren, habe ich schwierige Märkte, wo man Marktabsprachen macht, dann weiß ich das ganz konkret, wo es passiert und wie es passiert. Weil das Risk Assessment, wenn es gut gemacht ist, steigt tief in die Prozesse hinein, und ich kann dann aus dem Risk Assessment herauskommend diesen Prozess unterbrechen, oder ich kann in diesen Prozess eingreifen oder in diesen Prozess Compliance-Elemente einbauen. Lass mich das Beispiel bringen: In meinem Vermittlervertrag, da kann ich zum Beispiel Audit-Klauseln einbauen, ich kann das Screening einbauen von Vermittlern, ich kann Audit-Rechte einbauen, das heißt, ich kann schon im Prozess … Bis hin zu – ich kann mich erinnern, bei Siemens, da war die Vorgabe von Erlangen, dass, da gab es einen Standardvertrag, und vom Standardvertrag durfte nur abgegangen werden, wenn der Zentralvorstand dem zugestimmt hat.

11:26 Da kann man sich schon vorstellen, wie oft das passiert ist, nämlich nie. Hat jemand gefragt, ob man abweichen darf? Bevor man den Zentralvorstand fragt, dann macht man es lieber nicht. Und das heißt, nur wenn ich es richtig mache, bin ich im Prozess, ich sehe das Risiko ganz konkret vor mir, vor Augen. Ich sage ja nicht, ich habe irgendwo im Körper den Krebs, aber ich weiß nicht, wo ich ihn habe, sondern ich weiß ganz genau, wo der ist, wie viel Millimeter und wie ich den rausschneiden kann. Das sagt mir das Risk Assessment. Und wenn ich das nicht habe, dann fehlt mir eigentlich die Grundlage für jedes Handeln. Und das ist das Aber: Das Risk Assessment ist ein … ist ein mühsamer Prozess, weil es ist sehr interaktiv. Das Gute ist, es ist gleichzeitig auch eine Schulung, weil ich muss ja dann die Mitarbeiterinnen und Mitarbeiter mit dem Soll konfrontieren. Also im Sinne von: Was macht ihr eigentlich,

12:11 und was eigentlich die Vorgabe rechtlich wäre. Das heißt, das ist schon einmal die erste Schulungsmaßnahme, und wenn man es noch viel klüger macht, dann nimmt man eigentlich diese Risikoeigner – und das sind vielleicht 50 oder 100 Personen, je nachdem, wie groß unser Unternehmen ist – auf die Compliance-Implementierungsreise mit. Das sind dann schon meine Verbündeten, weil denen sage ich, okay, was braucht ihr jetzt eigentlich, um das Risiko in den Griff zu bekommen? An Tools. Wie können wir euch unterstützen? Was hilft euch da? Ist es ein Standardvertrag? Ist es eine Policy? Braucht ihr ein Webinar? Was auch immer. Wie bringen wir das sozusagen in die Mannschaft hinein? Und dann nehme ich eigentlich die Risikoeigner, um die es eigentlich geht – das sind ja meine Klienten –, nehme ich meine Klienten mit auf die Reise, auch schon in der Implementierung. Und sie bekommen dann als Produkt genau das, was sie schon wissen.

12:55 Also im Sinne von, da kommt dann nicht die Meldung aus der Organisation, wir beginnen jetzt mit Compliance, und ein halbes Jahr später gibt es eine Policy, und alle denken sich, oh Gott, die passt ja gar nicht zu uns, out of the blue, warum ist das so? Das heißt, da gibt es auch diese Überraschungsmomente nicht, und ich habe eine starke Rückendeckung. Und ich werde auch in den Risk Assessments erkennen, welche Gruppen sind eher gefahrengeneigt und welche Gruppen weniger. Also welche sind eher mehr regelaffin, wo gibt es Schwierigkeiten, wo gibt es Hardliner, wo gibt es Opposition. Das spüre ich auch schon im Risk Assessment. Ich kann mich erinnern an so Kick-off-Veranstaltungen auch mit Top-Führungskräften, wo dann die eine oder andere Führungskraft gemeint hat, wozu braucht man überhaupt Compliance, das ist ja völliger Schwachsinn. Und diese Art von Diskussion hat sich dann im Risk Assessment gegeben.

13:39 Und das ist auch wieder gut aufzulösen. Weil das ist so ein Startpunkt eigentlich für die Compliance-Implementierung. Jetzt hast du ganz wesentliche Punkte gesagt. Und es freut mich, weil du auch Themen angesprochen hast, die ich gerade im letzten Bootcamp nämlich auch angesprochen habe, und Themen, die … die auch mich die ganze Zeit umtreiben und beschäftigen. Du hast von der Rolle des Compliance Officers gesprochen, du hast von Prozessen gesprochen, und in Wahrheit bestätigt das genau das, was ich gesagt habe: Wann ist man in der Compliance erfolgreich, und wann wird man als Compliance Officer vom Verhinderer zum Enabler? Wenn man seine eigene Rolle definiert, wenn man weiß, was ist der eigene Wirkungskreis, wenn man nahe am Business stattfindet. Das Business ist die Legitimation für Compliance, und darum muss ich auch nahe am Business sein, um auch die Risiken verstehen zu können. So, jetzt sprichst du von einem Workshop-Charakter, das heißt auch von der Nähe der Compliance zu den Risikoeignern, also den Risk Ownern.

14:32 Nimmst du bei den Risk Assessments diese Risikoeigner – also wenn ich jetzt sage zum Beispiel der Einkauf, nimmst du dann nur den Einkauf, um über Risiken im Einkauf zu sprechen, oder nimmst du Einkauf mit Vertrieb, mit Entwicklung, mit Finanz, packst du alle in ein Risk Assessment, oder machst du ein Risk Assessment pro Risikoeigner?

14:54 Also ich mische es tatsächlich. Ich mache es meistens so, dass ich eine sehr breite Gruppe zum Anfang habe, nämlich es ist für jeden wichtig, ein Grundverständnis für Compliance zu entwickeln, und da kann jede Führungskraft sich ruhig auch anhören, was es an Risikogebieten gibt, weil man mitdenken muss. Es ist ja auch so, dass man in der Organisation auch seine Position verändert. Das heißt, ich glaube, eine Führungskraft sollte durchaus auch mit Risiken zumindest bekannt sein, und das sollte kein Fremdwort sein, die ihn jetzt nicht im täglichen Leben angehen. Das heißt, ich starte meistens mit einer sehr breiten Gruppe.

15:31 Und in dieser breiten Gruppe werden Risiken grundsätzlich identifiziert, und dann, für die Risikoanalyse gehe ich tatsächlich, dann werden die Gruppen kleiner, und dann werden die Risiken bei den richtigen Risikoeignern deponiert und positioniert und dort in der Tiefe betrachtet. Aber es kann durchaus Sinn machen, für den Finanzchef zu hören, dass es ein Kartellrechtsrisiko gibt. Weil am Ende des Tages, wenn es eine Geldbuße gibt, muss er das Geld lockermachen. Es kann für den Quality Manager auch interessant sein, zu hören, dass es ein Korruptionsrisiko gibt. Weil vielleicht sind wir in der Qualitätsentwicklung deswegen so schlecht in manchen Bereichen, weil wir unsere Geschäfte immer durch Korruption gemacht haben. Also ein bisschen vernetzter denken, glaube ich, das schadet niemandem. Für die Analyse dann selbst, nämlich wo im Geschäftsprozess kann es passieren, da werden die Gruppen natürlich kleiner.

16:19 Grundsätzlich würde ich jetzt behaupten, dass so ein Risk Assessment dann nicht nur eine Stunde dauert, sondern so ein Workshop darf dann auch mehrere Tage dauern. Das würde ich jetzt einmal behaupten. Das Problem in der Praxis ist oft, dass man sich die Zeit nicht nimmt oder dass die Zeit auch nicht da ist, sondern das ist in Wahrheit ein dicker Brocken, zu sagen, ich mache jetzt ein Risk Assessment. Aber es ist schön zu hören, dass man sich diese Zeit auch nehmen sollte und muss. Also dem stimme ich natürlich zu.

16:46 Bin ich Compliance Officer in einem großen internationalen Unternehmen. Wenn ich jetzt sagen würde, ich mache jetzt ein Risk Assessment – also angenommen, ich würde jetzt beginnen mit einem Risk Assessment. Wir sind ja schon einen Schritt weiter. Aber hypothetisch, ich fange jetzt an. Und ich habe auch tatsächlich die Risikoeigner zusammen. Das heißt, ich habe meine Unternehmensleitung dazu, also nicht überreden können, sondern meine Unternehmensleitung sagt, großartig, wir machen Compliance, großartig, ein Risk Assessment. Ich bekomme meine Risikoeigner an einen Tisch. Wo fange ich denn an? Du hast jetzt vorhin gesagt, natürlich auch verbunden mit einer Schulung, mit einem Training, Soll-Ist-Vergleich. Aber mit welchen Risiken fange ich denn an? Also, wann ist es denn ein Compliance-Risiko? Was ist kein Compliance-Risiko mehr? Also, das ist ja, wie viel Regulatorik muss ich denn mitnehmen, um die Risiken erkennen zu können? Ist Regulatory Watch eine neue Aufgabe der Compliance?

17:41 Also, wo fange ich denn an? Nämlich zu sagen, ich mache jetzt einen Soll-Ist-Vergleich, und ich hol mir dann daraus, ziehe ich mir dann die Risiken, die sich aus diesen Workshops auch ergeben. Ich scheitere ja in der Praxis oft schon daran, dass ich gar nicht weiß, wo fange ich denn an, weil ich erschlage ja meine Kolleginnen und Kollegen mit einer Fülle an Themen. Wie strukturiere ich die Themen, die ich da erheben muss, oder die Risiken, die ich erheben muss? Ich glaube, das ist eine der schwierigsten Sachen, wie man die Einflugschneise richtig hinbekommt.

18:13 Und das ist natürlich richtig. Die Ressourcen und Zeiten sind begrenzt, aber ich muss ja auch nicht zum Arzt gehen alle Jahre und mich untersuchen lassen. Ich kann auch warten, bis der Herzinfarkt kommt. Das ist auch okay, und das ist auch legitim, also insofern … Aber dumm! Aber dumm, aber natürlich, man zahlt ungern in die Prophylaxe ein, weil sie so wenig spürbar ist, und deswegen findet man sie eigentlich unnötig. Aber mir ist es sehr recht, wenn das nicht passiert, weil die Anwälte leben ja davon, dass die Krise entsteht, und nicht, dass alles gut funktioniert – das ist ja sozusagen nicht unser Geschäftsmodell. Deswegen fair enough. Aber ich glaube, deswegen bin ich für dieses breite und große Kick-off-Meeting, Kick-off-Risk-Assessment, weil in diesen Workshops man sehr frei und ohne Bewertung einzelne Risiken ansprechen kann. Und da kommen oft Anmerkungen von Technikern oder von anderen, die man nicht am Radar hätte, die auch Risiken präsentieren

19:11 und die man eigentlich sonst vergessen hätte. Und das ist ja das Schlimme: Wenn wir es im Risk Assessment selbst nicht hinbekommen, alle Risiken zu erfassen, dann bleiben uns Risiken über, um die sich dann keiner kümmert. Wer dann das Risiko übernimmt, wem welche Verantwortung zukommt, das ist dann eine andere Frage. Es muss nicht die Compliance-Organisation sein, aber irgendwo muss es gepackt sein. Wir wissen ja von VW, dass dann der Chief Compliance Officer gesagt hat, das war nicht im Scope of Compliance. Aber was hilft ihm dieser Satz, wenn man Milliardenstrafen bekommt und Klagen am Hals hat? Das heißt, das hilft niemandem. Es muss eine Möglichkeit geben, in einer ersten Phase so breit wie möglich die Risiken zu diskutieren. Oft haben ja Unternehmen schon Risikoanalysen. Also Risk Management kann sein, oder es gibt ein Internal Audit, oder es gibt schon artverwandte Fächer, die auch schon Risiken erhoben haben.

19:56 Da kann man sich anhängen, da kann man sozusagen schon mal hineinschauen und sich da mitnehmen, wenn man so will. Aber es braucht diesen einen Startpunkt, wo möglichst breit alle Risiken diskutiert werden. Und dann werden sie nach der Reihe abgeschichtet, und dann werden sie nach der Reihe betrachtet, analysiert und dann am Ende des Tages Funktionen zugeordnet. Also wer kümmert sich um welches Risiko? Und es soll nicht ein Risiko überbleiben. Mir ist das einmal passiert, da muss ich ganz offen sagen, also nicht mir, sondern einem Klienten von mir, wo wir wirklich ein halbes Jahr Risk Assessment gemacht haben. Das war ein langer Prozess. Das war eines der ersten österreichischen Unternehmen, die zertifiziert sind, weil es ein Pionier im Bereich Compliance war. Und hat das sehr, sehr ernst genommen. Und wir haben deswegen auch in größeren Runden und in kleineren Runden Risk Assessments gemacht, über ein halbes Jahr.

20:42 Wir haben ein super Ergebnis gehabt. Wir haben genau daraus ein Handbuch geschnitzt. Wir haben ungefähr 100 Personen involviert. Alle haben das mitgetragen. Alle waren heilfroh, dass wir es haben. Und wir haben aber ein Risiko übersehen, weil es irgendwo nicht erwähnt wurde. Und das Risiko hat sich dann materialisiert, und dann hat der Vorstand gefragt, wie konnte uns das passieren? Jetzt haben wir so viel Geld in die Hand genommen, aber ein Risiko haben wir nicht. Und das war deswegen, weil eine Gruppe von Mitarbeitern das Risiko verschwiegen hat, weil das so eine alte Leiche war, die unangenehm war, und da hat man das einfach nicht adressiert. Und was man nicht sieht – am Ultraschall, wenn man keinen macht, sieht man es nicht –, dann kann man es nicht behandeln. Und das kann dann sehr unangenehm sein. Nicht, dass es sehr wahrscheinlich ist, aber es ist etwas, wo es nicht wünschenswert ist, in die Situation zu gelangen.

21:30 Das heißt, man muss hier schon einen Aufwand treiben, es nützt nichts. Wenn ein Unternehmen schon fortgeschritten ist, so sagst du jetzt zum Beispiel, ihr seid international, ihr habt schon viel in der Compliance, das ist klar. Dann ist es vielleicht eine Spur leichter. Man kann, was ich dann mache in solchen Situationen: Ich mache Einzelinterviews oder mit kleineren Personengruppen, wo wir schon wissen, aus dem internen Audit herauskommend oder sonstigen Erkenntnisquellen, das sind unsere Risiken, da hat man schon Erfahrungen, und dann spricht man ganz gezielt mit Risikoeignern, aber auch in Gruppen. Weil Gruppe ist gut, weil die Gruppe sich dann wechselseitig irgendwie befruchtet. In der Gruppe kommt da Dynamik, und dann challengt man sich selber. Sonst habe ich nur einen Ansprechpartner, der kann mir alles Mögliche erzählen. Aber der andere sagt, na, so ist es doch gar nicht, bei mir ist es anders.

22:12 Und da gibt es eine gute Dynamik, die sozusagen auch viele Informationen hervorbringt. Dann ist es so wie eine Art, ich will nicht sagen, wie in der Schule, aber so eine Art: Wer erzählt mehr? Das ist so die Competition dann. Wer trägt am meisten bei? Das ist so eine … eine Gruppendynamik, die da entsteht und die eigentlich sehr förderlich ist. Ich gehe nur mal ganz kurz zurück zu dem, was du gesagt hast, nämlich mit dem Techniker, der ja auch technische Risiken aufzeigt, und dein Hinweis auf den Compliance Officer von VW, den nehme ich da jetzt als kleinen Aufhänger, wenn ich nämlich das, was du sagst, übertrage in meine eigene Praxis und ich mir jetzt überlege, wie würde ich beginnen, basierend nämlich auf dem, was du gesagt hast, dass auch kein Risiko verloren gehen darf, und wir sollten vielleicht auch zuhören. Du hast vorhin auch von Sparring gesprochen als die Aufgabe von Compliance, und ich würde das zusätzlich noch sagen: aktives Zuhören.

23:01 Ist eine Kunst, die zwar nicht jeder beherrscht, aber das ist etwas, was ich in der Compliance tun muss. Insbesondere beim Risk Assessment, dann würde ich ja jetzt in der Praxis nicht anfangen mit einem Soll-Ist-Vergleich, sondern ich würde im Workshop mir tatsächlich eine bunte Mannschaft an Kolleginnen und Kollegen suchen und würde dann einfach wahrscheinlich gewisse Themen clustern, weil der Trigger war jetzt dieses technische Risiko. Ich würde das technische Risiko, hätte ich jetzt gar nicht als Compliance-Thema gesehen. Also wohl als Produkt-Compliance, aber das ist ja nicht Teil meiner Compliance-Organisation oder meiner Compliance-Verantwortung in dem Unternehmen, in dem ich tätig bin. Und daher kommt wahrscheinlich auch der Satz von dem Compliance Officer von VW. Der hat gesagt, die Produkt-Compliance, das ist in der Technik, das ist nicht bei mir, und kenne ich nicht, höre ich nicht, nicht mein Thema.

23:47 Beim Risk Assessment triggert mich das aber, weil vielleicht sollte man gewisse Themen auch clustern, sagen: Finanzrisiko, Vertriebsrisiko, Einkaufsrisiko, Arbeitssicherheit, technisches Risiko, Diskriminierung, Datenschutz. Vielleicht clustert man zu Beginn einfach gewisse Themen, macht ein simples Post-it, das man auf eine Wand hängt, und lädt die Kolleginnen und Kollegen ein, ihre Risiken oder Ideen von Risiken einfach an die Wand zu hängen. So, das ist die erste Aufgabe. Was ich jetzt den Kolleginnen und Kollegen geben würde, wäre: Seid kreativ, und welche Risiken erkennt ihr in eurem eigenen Umfeld? Clustert das nach den Themen, und dann würde ich das sammeln und auch wieder abbrechen. Also dann würde ich sagen, das sammle ich jetzt, cluster ich, und dann in einem nächsten Schritt, in einem weiteren Termin mit denselben Kolleginnen und Kollegen, den Soll-Ist-Vergleich zu machen. Und so sagen, ihr habt dort diese Risiken erkannt.

24:40 So soll das sein, das ist quasi das, was das Gesetz sagt, das ist das, was wir in den internen Regelungen auch bisher schon haben. So müssen die Prozesse sein. Um dann zu sagen, haben wir tatsächlich Abweichungen, oder wie sind die Abweichungen zu diesem Soll, um das Ist festzustellen, aber auch um zu sagen, das ist ein Thema, das nehmen wir in der Compliance nicht, aber es ist dennoch ein Risiko, um es dann in die richtige Abteilung zu geben. Das heißt, im ersten Schritt würde ich noch gar keinen Soll-Ist-Vergleich machen, würde auch selbst noch gar kein Risiko einmelden als Compliance, sondern ich würde sagen: Seid kreativ. In einem zweiten Termin den Soll-Ist-Vergleich mit dem Aussondern der Risiken, die ich mir gar nicht nehme, weil ich mir in der Compliance auch nicht jedes Risiko nehmen kann, und würde dann in einem dritten Schritt – und darum gefällt mir das mit der Interaktion und mit den Risikoeignern so –, weil dann würde ich in einem dritten Schritt mit den jeweiligen Verantwortlichen oder den Risikoeignern genau an diesen Cluster-Themen arbeiten.

25:31 Und es ist ja nicht so, dass das eine Risiko nur für den Einkauf ist, das andere Risiko nur für den Vertrieb, sondern ich würde Themen zusammenpacken und dort auch gemeinsam abarbeiten, um diese Competition, die du sagst, auch ein bisschen zu fördern und um auch diese Dynamik zu fördern. Das heißt, für mich wäre das jetzt eigentlich, wären das jetzt drei Schritte, nur zur Identifikation. Und auch – ich weiß nicht, ob ich die Bewertung der Risiken schon mitnehmen würde, aber zur Identifikation der Risiken wären das für mich drei Schritte. Würdest du das in der Praxis, würdest du da jetzt mitgehen? Ich mache das in der Praxis ganz, ganz ähnlich. Ich mache es sogar noch ein bisschen, soll ich sagen, brutaler im Sinne von: In meinen ersten Gesprächen, die ich führe, da sage ich überhaupt selber gar keine Risiken. So, nicht vorgefragt, halt, ich gebe schon ein Framework. Das Framework ist Legal Risk.

26:18 Also, wo streife ich an eine Rechtsordnung an? Das Framework gebe ich. Und dann sage ich, wo sehen Sie die fünf größten Risiken? Oder zehn größten Risiken? Mache ich oft mit Fragebogen. Oft in Vorbereitung des Risk Assessments versenden wir an eine große Mitarbeiteranzahl Fragebögen. Ganz einfache Fragebögen, die aber offene Fragen sind. Die sind natürlich dann mühsam zu lesen und zu clustern und zu verstehen. Aber es muss ein Manager oder eine verantwortliche Person doch selber sich die Gedanken machen müssen, wo könnte es sein, dass ich einen Rechtsrahmen anstreife? Das möchte ich den Leuten gar nicht abnehmen, weil die fangen dann oft an: Da geben Sie mal ein Beispiel. Da gibt es ja kein Beispiel, ich frage ja Sie: In Ihrem täglichen Doing, wo glauben Sie, streifen Sie an? Wo sehen Sie die größten Risiken? Und das ist sehr spannend, weil da kommen oft Dinge, an die man gar nicht gedacht hat. Oder man sieht den Bildungsstand, also im Sinne von, wie weit sind die Leute eigentlich?

27:15 Haben die überhaupt eine Awareness? Und worum es da in Wirklichkeit geht? Also man erfährt eigentlich sehr, sehr viel durch so offene Fragen. Und dann kommt das, was du sagst, dann kommt eher ein Educational Part. Also dann kommt sozusagen hineingespielt der Rechtsrahmen ein wenig. Und dann geht man in die dritte Stufe, schaut man sich diese Risiken dann an mit den Risikoeignern, wobei der wirklich ausschlaggebende Punkt ist, dass man extrem businessnah bleibt. Ich mache dir, darf ich dir ein Beispiel machen? Ich habe mal ein Kartellrechtsrisiko analysiert, und dann sagt einer der Vorstandsmitglieder: Nein, Herr Dr. Petsche, wir haben kein Kartellrechtsrisiko, wir haben nichts unterschrieben.

27:49 Ja, also da merkt man schon, er kommt von einem … das existiert nur da in Realität, wenn es eine schriftliche Vereinbarung gibt. Also nicht daran gedacht: abgestimmte Verhaltensweisen oder so andere Dinge oder mündliche Verträge. Und deshalb sieht man ja schon, woher jemand kommt. Und jetzt ist es aber so: Ich muss aus dem Business kommen. Z. B. im Kartellrecht würde ich fragen: Warum kann es sein, dass Sie so hohe Marktanteile haben in dem Gebiet und kein neuer Wettbewerber reinkommt? Warum ist unsere Kundenstruktur so gänzlich unverändert? Wir haben eigentlich drei große Wettbewerber, aber immer dieselben Kunden. Wie kann das sein?

28:20 Das fragt man natürlich weniger provokativ. Aber damit kommen dann Realitäten zutage, die man eigentlich immer so … Haben wir ein Kartell gebildet? Da sagen die: Nein, sicher nicht. Also kommt eine negative Reaktion. Aber wenn man es als Business betrachtet, nur neutral formuliert, und dann kommen dann so Meldungen, na ja, wir werden nie attackiert in unserem Bereich, weil das ist einfach angenehmer, und das ist für die anderen auch angenehmer – dann erfährt man sehr viel. Und die Wirklichkeit ist, ein Hardcore-Kartell hat sich herausgestellt, aber wir haben das mit normalen menschlichen Worten sozusagen identifiziert. Und da war das Ergebnis: Kartellrechtsrisiko 100 Prozent, jeden Tag verwirklicht. Das gefällt mir total gut, weil man – du weißt das ja, wir hatten ja gemeinsam einen Workshop zum Thema Legal Design, also juristische Sprache zu entrechtlichen, um auch quasi die Sprache der Zielgruppe zu sprechen.

29:09 Das gefällt mir total. Es ist nur, wenn du mir jetzt sagst, du gibst das Framework und sagst … quasi die Rechtsrisiken. Wie soll ich sagen? Also wenn ich jetzt zum Beispiel in meiner Organisation sagen würde, wir kümmern uns aber nur um die Rechtsrisiken, würde ich wahrscheinlich 70 Prozent des Publikums verlieren. Weil die sagen, na ja, für die Rechtsrisiken habe ich die Rechtsabteilung, dann nehme ich mich gleich zurück. Also vielleicht würde ich den Rahmen gar nicht setzen. Also vielleicht würde ich einfach sagen: Erzählt mal eure Risiken. Und da gebe ich mit: die fünf bis zehn kritischen Risiken. Ja, sonst habe ich ja … jedes mögliche Risiko, und ich muss mich nicht um die kritischen Risiken kümmern. Also vielleicht würde ich das sagen mit fünf bis zehn Risiken, aber ich würde vielleicht das mit dem Rechtsrahmen nicht sagen, weil sonst … Da hast du recht, du hast recht. Weil sonst hat der Schränk gesucht.

29:53 Ja, da hast du recht. Und du versteckst sie. Ich bin übergegangen, du hast recht, ich bin übergegangen, habe gefragt: Wo sehen Sie Ihre größten Compliance-Risiken? Da kann sich dann jeder selber überlegen, was das bedeutet. Man kann auch fragen, wo sehen Sie die größten Risiken, aber da kommt halt natürlich: Ich verliere den Kunden, ich hab eine Feuersbrunst, ich hab keine Ahnung. Aber da muss man seine Mannschaft kennen. Ich glaub, das hängt sehr stark von der Mannschaft ab, wie die ausgerichtet ist, aber man soll so weit wie möglich fragen und keine Angst haben davor, dass möglicherweise viel Information kommt. Wenn man eng fragt, kommt sowieso nichts. Das heißt, man muss … Und da kommen oft sehr ausgefallene Dinge, an die man selber gar nicht gedacht hätte, und dafür soll man ja sehr dankbar sein. Und dann geht man in den zweiten und dritten Schritt, so wie du gesagt hast. Was mir sehr gut gefällt, ist, dass du keine Anleitung gibst und dass du auch keine Antwort lieferst, sondern dass du die Kolleginnen und Kollegen auch nachdenken lässt, weil es auch ihre Verantwortung ist.

30:42 Und das ist ja genau das, von dem wir die ganze Zeit immer sprechen. Compliance ist ja eine Verantwortung, die alle haben, die hat ja nicht der Compliance Officer, sondern die haben ja alle. Und für den Bereich, für den ich mich auch verantwortlich zeige, muss ich ja in Wahrheit die Risiken kennen, und muss ich ja in Wahrheit wissen, was ist der Rahmen, in dem ich mich bewege. Das auch da bitte als kleine Info: Die Rechtsabteilung kennt nicht jedes Gesetz, nur wo Gesetz draufsteht, und auch die Compliance kennt nicht jedes Risiko, nur wo vielleicht da irgendeine Regelung oder eine Richtlinie dahinter ist. Also das müssen die Bereiche und die Verantwortlichen schon selbst wissen. Und aus dem Grund ist es auch so wichtig, dass sie da frei antworten können und nicht angeleitet werden an der einen oder anderen Stelle. Wir haben jetzt einen ersten Schritt für das Thema Risk Assessment, haben wir jetzt gesetzt.

31:26 Wir haben einen Workshop, wir lassen die Leute reden, wir framen das in einem nächsten Schritt und geben quasi Soll-Ist-Vergleich, und dann erarbeiten wir mit den Zielgruppen, erarbeiten wir dann die konkreten Risiken, die wir haben, nämlich, du hast das eher gesagt, die fünf. Nehmen wir die fünf kritischen Risiken. Das heißt, wir haben am Ende dieses Workshops – und der kann auch mehrere Tage dauern, also bitte unbedingt Zeit nehmen für dieses Thema – haben wir Risiken. Ich würde jetzt nur ganz kurz sagen, jetzt bin ich in einer internationalen Organisation, dass jetzt diese Risk Assessments mache ich auch an den Standorten. Ist das – ich nehme zum einen, das ist auch eine Empfehlung von dir, das nicht nur zentral zu steuern und zu sagen, wenn wir die Risiken hier haben, werden wir die woanders auch haben, sondern diese, diese Risk Assessments auch vor Ort zu machen. Ja, das ist ganz wichtig.

32:11 Es wird dann komplex, wenn du international tätig bist und in mehreren Geschäftsfeldern. In Wirklichkeit muss man es für jedes Geschäftsfeld machen und für jede Region, weil das Korruptionsrisiko ist vielleicht in China anders als in Österreich oder in Brasilien. Und deswegen muss man auch Geschäftsfeld und Region betrachten. Das macht es natürlich … aufwendiger, muss man ganz offen sagen. Aber vielleicht geht man auch hier stufenweise vor. Man könnte ja sagen, unsere Hauptmärkte, also wo wir hauptsächlich aktiv sind, dort betrachten wir am meisten, und dann in den kleinen Ländern vielleicht weniger oder später. Das ist natürlich auch gefährlich, weil in manchen Rechtsordnungen ist es ja so: Ich habe einen Kartellrechtsverstoß bei der kleinsten Tochtergesellschaft irgendwo, wo ich kaum Operations habe, und dann ist das Bußgeld 10 Prozent vom Konzernumsatz. Also da hilft mir dann diese Betrachtung nicht wirklich weiter, weil ich das Risiko … In Wirklichkeit ist es sehr oft so in großen Konzernen, dass ich das Risiko miteinkaufe mit ganz kleinen Entitäten, die ich kaum überwache und wo ich auch kaum Geschäft mache, aber das Risiko unverhältnismäßig hoch ist und in den Konzern hineinschwappt.

33:08 Und das, glaube ich, ist … Also das muss man dann auch abwägen, wo betrachtet man. Man kann auch sagen, die Risikoländer betrachte ich nach bestimmten Kriterien als Erstes, wo ich sage, da nehme ich nämlich an, dass das Risiko höher ist. Und geht tatsächlich so vor. Ich glaube, das ist ein aggregiertes Konzern-Compliance-Risiko – habe ich noch nie wirklich selber hinbekommen, weil das unheimlich schwierig ist. Ich kann nicht ein Risiko aggregieren. Ich kann nicht sagen, in einem ist das Risiko 10, in anderen 5, deswegen sind wir bei 7,5 als Konzern. Das hat keine Aussagekraft. So, ich glaube, man muss die Einzelländer betrachten. Du hast noch angesprochen

33:43 die Frage der Regelmäßigkeit, ja, die Benchmarks. Es gibt ja also Normen im Bereich der Compliance und sonstige, wie United States Sentencing Guidelines oder UK Bribery Act Guidelines, die sagen, dass das Risk Assessment regelmäßig gemacht gehört, zumindest einmal im Jahr. Das klingt jetzt bedrohlich, und um Gottes willen, ein Riesenburden kommt auf mich zu. Das ist nicht der Fall. Wenn man es einmal gut gemacht hat, ist das Draufsetzen sehr, sehr leicht, weil das Risiko kann sich nur auf zwei Arten verändern. Es kann entweder die Rechtslage sich ändern, es verschärft sich zum Beispiel ein Gesetz, oder ich beginne mit einem neuen Geschäftsfeld oder neuen Produkt oder einer neuen Region, und dann betrachte ich es. Oder ich kaufe was zu, dann kann ich mir anschauen, was habe ich mir aus Compliance-Sicht dazugekauft. Aber es verändert sich die Compliance, die Compliance-Risiken ja nicht ohne diese Faktoren.

34:30 Und deswegen, glaube ich, ist das Draufsetzen, das Wiederholen, das noch mal Hinschauen, glaube ich, etwas ziemlich Leichtes, wenn man es einmal gut gemacht hat. Ich möchte nur ganz kurz einhaken bei den kleinen Einheiten und mit den Risiken, die man sich durch kleine Einheiten auch einkauft. Wir machen mit kleinen Einheiten, die wir zukaufen, machen wir einen Compliance Health Check. Das heißt, wir schicken Fragebögen und Assessments an die Belegschaft der jeweiligen kleinen Einheit, um einmal das Potenzial zu erheben, was für Risiken haben wir denn dort, verbunden mit auch einer kleinen Awareness-Kampagne, auch sofort mit Schulungen. Und da kann ich sagen, das macht tatsächlich Sinn. Also man darf diese kleinen Einheiten und das Risiko, das in den kleinen Einheiten besteht, nicht unterschätzen. Das ist aber auch das Ergebnis eines Learnings, das wir haben, das macht sich aber definitiv bezahlt.

35:18 Und das Zweite, was ich nur sagen wollte, ist, weil du gesagt hast, jährlich ein Risk Assessment: Also wir machen, wir hatten ein großes Risk Assessment – ich habe es in dem Podcast schon ein paarmal gesagt – mit den 20 exponiertesten Personen. Ich würde es heute anders machen, ich würde es genauso machen, wie wir das jetzt gerade besprechen, und das werden wir auch noch einmal wiederholen. Aber seitdem wir dieses initiale Risk Assessment gemacht haben, haben wir gewechselt zu themenspezifischen Risk Assessments, die wir tatsächlich jährlich machen und wo wir zumindest einmal den Versuch haben, einmal im Quartal ein gewisses Thema auch abzuhandeln. Und das machen wir nicht im Workshop, sondern das machen wir digitalisiert, indem wir konkrete Fragebögen an die jeweilige Zielgruppe, nämlich die Risikoeigner, auch schicken. Das ist für den Moment gut, da bekommen wir gute Auswertungen, wir bekommen die Ergebnisse sofort und leiten aus den Ergebnissen auch sofort etwas ab.

36:12 Aber es zeigt mir jetzt das Gespräch, dass wir da jetzt fällig sind, schon wieder ein großes Assessment, nämlich mit einer gewissen Themenvielfalt, wieder zu machen. Ich würde es jetzt nicht jedes Jahr machen, weil ich das Verständnis aus der Organisation auch nicht habe und ich selbst auch nicht der Meinung bin, dass ich jetzt jedes Jahr mir im Rahmen eines großen Workshops dieses Thema nehmen muss, sondern ich würde tatsächlich bei den themenspezifischen Risk Assessments bleiben. Aber so alle zwei bis drei Jahre ein großes, weil sich auch die Menschen im Unternehmen ändern. Also es ändern sich ja nicht nur die Themen, und es ändert sich ja nicht nur die Regulatorik oder auch das Business. Insbesondere ändern sich die Menschen und die Verantwortungen.

36:53 Und das ändert sich vielleicht nicht jedes Jahr, aber in einem Zweijahresrhythmus oder in einem Dreijahresrhythmus habe ich plötzlich eine neue Führungskraft, oder habe ich neue Manager oder neue Mitarbeiterinnen und Mitarbeiter. Die – und ich bin der Meinung, eines der größten Risiken in der Compliance ist tatsächlich auch die Betriebsblindheit. Das heißt, um auch die neuen Mitarbeiterinnen und Mitarbeiter an Bord zu holen,

37:16 würde ich jetzt nicht jedes Jahr, aber zumindest alle zwei, drei Jahre ein großes Risk Assessment machen, aber bei den themenspezifischen bleiben, um die Organisation laufend mit dem Thema Compliance zu beschäftigen, zumindest mit dem, was das Risiko betrifft, aber dann alle zwei bis drei Jahre ein großes, wo ich sage, da hole ich mir tatsächlich mit der Themenvielfalt auch den Status quo wieder in die Organisation. Das wäre jetzt was, was ich machen würde. Ja, absolut korrekt. Und es gibt jetzt kein … Genau, es gibt das nicht. Ich glaube, das ist jede Organisation. Es wird ja immer angepasst an die Organisationsform. Und wenn man sich auf bestimmte Risiken konzentriert in einem Jahr und nach einem bestimmten Kriterium das so kaskadenartig abarbeitet, ist, glaube ich, auch okay. Du hast natürlich recht, wenn man das Risiko … Das heißt, es hat einen großen Charme, wenn man die Kollegen immer wieder sozusagen mit Risiken … konfrontiert – das klingt jetzt viel zu martialisch –, aber dass sie auch darüber nachdenken, und es bleibt Compliance präsent.

38:11 Und das Risk Assessment dient eigentlich dazu, weil das Risk Assessment ist ja von der Formulierung so … Das geht ja den Risikoeigner an. Das heißt, diese Awareness ist dann bei ihm geparkt und wird immer wieder sozusagen wach gehalten. Und das ist, glaube ich, das Wichtige, dass die Kolleginnen und Kollegen verstehen, das ist eigentlich ihr Risiko, nicht das Risiko … Also, ich habe keinen Compliance Officer gesehen oder eine Rechtsabteilung, die non-compliant agiert hat. Das sind ja nicht die, sondern die, die operativ an der Front stehen, die dem Risiko ausgesetzt sind. Und deswegen ist das diese Awareness, glaube ich, immer, immer wichtig, dass sie immer wieder präsent ist. Etwas anderes kann man auch machen, das ist natürlich ein bisschen subtiler, und da würde man nicht offiziell sagen, das ist ein Risk Assessment, aber ich plädiere sehr stark dafür, dass sich die Compliance-verantwortlichen Manager in Business-Meetings hineinsetzen, dort, wo Business gesprochen wird, weil dann bekommen sie eigentlich unheimlich viel mit, ohne dass sie überhaupt fragen müssen.

39:06 Also wenn es um neue Produktentwicklungen geht, wenn es um den Markteintritt in einen neuen Markt geht, wenn es Business-Meetings, Vertriebsmeetings – ich kann mich erinnern, wir haben immer so gesagt: Compliance meets Business. Dass ich mich reinreklamiere in Business-Meetings, ist einfach Präsenz. Ich habe nun gar keine aktive Rolle, vielleicht kann ich einfach zuhören und beobachten und mir Gedanken machen, proaktiv. Und dann nicht sozusagen später daherkommen: Produkt wurde eingeführt, da haben wir ein Problem. Oder neues Land wurde erobert, haben wir ein Problem.

39:36 Und das, was du gesagt hast, ist, glaube ich, ganz, ganz wichtig. Du hast gesagt, wenn wir was zukaufen, dann gehen wir mit der Compliance hinein. Das ist gut, weil, zwei Dinge. Das eine ist, oft hat ja das Unternehmen, das man zukauft, gerade wenn es ein Mittelständler ist, so ein sehr kleines Unternehmen, überhaupt keinen Reifegrad in der Compliance. Die kennen das gar nicht. Das heißt, ich muss es hier mal in meine Compliance-Organisation integrieren. Da braucht es auch eine bestimmte Verantwortung dafür und auch eine bestimmte … Awareness, und die dann aufbauen. Und gleichzeitig muss ich, wenn ich das akquiriere, gleich mein Compliance-Risiko verstehen, das ich mir damit eingekauft habe, und gegebenenfalls dagegen wirken. Nach den United States Sentencing Guidelines ist es so, dass, wenn ich ein Korruptionsrisiko erkenne nach einem Zukauf, muss ich das sofort melden der Behörde und offenlegen,

40:23 um allfälligen Strafen zu entgehen. Also es gibt sozusagen auch Regulative, die mich eigentlich verpflichten, dorthin zu schauen, wenn ich etwas kaufe. Und das wäre ja wirklich blöd. Ich habe oft erlebt, wirklich oft erlebt – ich sage das jetzt ganz brutal –, dass man sich durch einen Fliegenschiss, den man irgendwo eingekauft hat, dann ein irres Risiko eingetreten hat. Und ohne es zu wissen, und das ist eigentlich völlig absurd. Das ist es tatsächlich, und ich kann aus der eigenen Praxis sagen, also es ist gut, sich auch mit diesen Themen zu beschäftigen. Und du hast jetzt einen wesentlichen Punkt, nämlich auch für mich, gesagt: Es hat immer was auch mit Awareness zu tun. Es hat immer was auch mit einer Sensibilisierung zu tun. Also die Risk Assessments nehme ich jetzt nicht ausschließlich dafür, um Risiken zu identifizieren, sondern insbesondere auch, um im Gespräch zu bleiben. Ja, und um zu sensibilisieren.

41:11 Was tu ich denn mit den Risiken, die ich dann tatsächlich identifiziere? Ich beschäftige die Organisation mit den Maßnahmen, und du hast gesagt, bitte mit Einbinden der Kolleginnen und Kollegen auch bei der Minimierung der Risiken und bei den Maßnahmen, die gesetzt werden. Das heißt, ich muss ja die Organisation mit dem Thema Risiko beschäftigen, sowohl in der Minimierung als auch bei der Erhebung, Identifikation. Und darum beschäftige ich in Wahrheit die Organisation sehr gerne immer mit den Risiken, war immer auch verbunden mit einer Sensibilisierung, dass es da – immer auch ein Schulungscharakter schwingt da immer mit. Und was du auch noch gesagt hast, was wir vorher schon besprochen haben, was aber immer wieder durchkommt, man kann es eigentlich gar nicht oft genug sagen: Nehmt teil an den Business-Gesprächen, nehmt teil an den wesentlichen Business-Entscheidungen. Das heißt noch einmal bitte: Das Business ist die Legitimation für die Compliance.

42:04 So, jetzt haben wir die Risiken identifiziert. Wir haben sie erhoben, wir haben sie bewertet. Wir machen jetzt auch etwas mit den Risiken, das ist der nächste Schritt. Da wechseln wir dann quasi in das Compliance-Programm, wo wir dann Richtlinien schreiben, Schulungen entwickeln und und und. Die Kategorien im Hinweisgebersystem auch anpassen, weil das Hinweisgebersystem für mich auch eine … eine wirklich wesentliche Erkenntnisquelle für Risiken ist. Das heißt, für mich ist ja das Hinweisgebersystem auch Teil eines, ich würd's jetzt sagen, Risk Assessments, weil es ja nicht … Aber Erkenntnisquelle. Richtig, es ist zwar jetzt nicht systematisch und nicht so, dass ich das systemisch mach mit dem Hinweisgebersystem, aber es ist eine Erkenntnisquelle. Das heißt, ich passe das Hinweisgebersystem bei den Kategorien auch immer an an die Risiken, die ich aus der Organisation dann auch bekomme. So, ganz kurz noch, Alexander.

42:56 Wir haben jetzt über die Erhebung gesprochen, über die Bewertung, über die Minimierung. Welche Risiken sollte man jetzt als Compliance einmal grundsätzlich am Schirm haben? Wenn man jetzt nämlich aus diesem Podcast rausgeht – ich möchte die Zuhörerinnen und Zuhörer nicht mit der unbeantworteten Frage zurücklassen. Aber auf welche Risiken sollte man sich jetzt konzentrieren? Das ist natürlich immer businessabhängig. Sagen wir mal drei bis fünf Compliance-Risiken, die man sich jedenfalls anschauen sollte und wo es sich vielleicht auch empfiehlt, eine Podcast-Folge dazu zu machen. Welche Risiken würdest du sagen, mit denen müssen wir uns beschäftigen, und das sind so entweder neue Themen, die man noch gar nicht am Schirm hat, aber auch so Klassiker?

43:40 Also, ich mein, vielleicht fangen wir mit den neueren Themen an, und das ist ja spannend, weil die Compliance muss ja auch dazulernen, selber, und auch beobachten, was sich im rechtlichen Rahmen tut. Und eigentlich, nein, nein, nein, und auch ständig fit bleiben. Also, wir haben das eigentlich mit Covid brutal gelernt, wo bei uns der Tagesrhythmus, das Rausgehen aus dem Haus, unterschiedlich geregelt war, das Treffen mit Menschen und der Abstand zu Menschen, und wie großer Elefant, kleiner Elefant.

44:06 Wir haben ja ständig lernen müssen und uns anpassen nach Hygienevorschriften etc. Da ist eigentlich die Compliance sehr fit geworden. Das Spannende ist ja, wir haben damals geglaubt, Compliance wird in Krisenzeiten an Bedeutung verlieren, und es gibt Studien dazu, insbesondere in Großbritannien, wo es ganz klar ist: In Krisenzeiten steigt die Bedeutung von Compliance, weil das Regulativ schärfer wird und die Lage angespannt ist. Und jetzt, wenn man sich die neuesten Sachen anschaut, ist es natürlich Artificial Intelligence, alles um künstliche Intelligenz. Es hat mit Haftungsfragen, aber auch mit Benutzerfragen etc., etc.

44:38 zu tun. Und dann gibt es auch eben dazu Direktiven, was man mit Artificial Intelligence machen darf und was nicht. So. Dann haben wir das Ganze, alles, was rund um Grün ist. Das ist schon ein bisschen älter, aber ist auch noch modern. Vor allem deswegen modern, weil es ein bisschen Rückschritt gegeben hat auf europäischer Kommissionsebene, was man jetzt Unternehmen auflasten soll oder nicht. Das heißt, der Bereich Grün, was fällt da so an? Na ja, ESG, also Environmental, Social, Governance, wobei Governance wird ganz, ganz wenig betrachtet. In die Governance fällt natürlich hinein die ganze Korruptionsthematik, zumindest nach der Definition, und Kartellrechtsverstöße, also wie organisiere ich mich rechtssicher. Da kommt das … Das G hat eine große Implikation für die Compliance. Also viele, die eigentlich mit Compliance nichts am Hut haben, aber dann plötzlich ESG-Ratings machen wollen, kommen darauf, dass sie Compliance brauchen, weil das G die Compliance beinhaltet.

45:24 Das ist eine Frage der Governance natürlich. Das sind schon die modernen Themen. Und dann gibt es das Sexual Harassment und Mental Health und Workplace und so weiter. Das sind sozusagen neue Themen, mit denen wir uns beschäftigen. Und dann gibt es am Ende des Tages diese, ich würde sagen, All-Time-Highs, wie in der Musik, also die Beatles. Beatles and Rolling Stones. Beatles and Rolling Stones, das All-Time-High, ist die Korruption. Ist das Kartellrecht, ist das Datenschutzrecht – wobei das ist eigentlich ein Newcomer gewesen damals, war New Kid on the Block vor zehn Jahren, aber ist mittlerweile schon ein All-Time-High, ist schon arriviert, gehört schon zum Club der älteren Boys. Und dann haben wir – das hatten wir nicht immer, aber wir sind in Europa mehr durchgeschüttelt worden – das Sanktionsrecht, das heißt Außenhandelsrecht: Wen darf ich beliefern, wen darf ich als Geschäftspartner haben? Wir kennen das durch den Ukrainekrieg.

46:19 Es hat sich das dramatisch verschärft, und da sind gerade österreichische Unternehmen oft in einer schwierigen Situation, weil Russland für uns ein wichtiger Markt war. Libyen übrigens auch, und da gibt es immer wieder Themen, nach wie vor. Und dann haben wir, sagen wir, vom Außenhandelsrecht kommend, haben wir die Geldwäscherei, weil auch das ist eine Geschäftspartnergeschichte. Wir haben dann Umweltrecht für die produzierenden Unternehmen. Und wir haben das gesamte öffentliche Recht, wie Anlagenrecht, Anlagengenehmigungen etc., Betriebsanlagengenehmigungen. All das spielt in die Compliance tatsächlich hinein. Und dann kommt das Arbeitsrecht. Das ist eigentlich auch ein Klassiker, aber es ändert das Gesicht mit Mobbing und Sexual Harassment. Das Arbeitsrecht mit Arbeitssicherheit. Und beim Data Protection, habe ich vergessen, da gibt es eine Data Security. Das ist ein Schlenker in einen anderen Bereich hinein, aber kommt eigentlich aus dem heraus.

47:14 Und so gibt es halt laufend Gebiete, die zu betrachten sind. Also ich würde sagen, es sind meistens so um die zehn herum. Aber ich gebe es ungern vor, weil es bei manchen eben nicht so ausgeprägt ist. Das, was du vorhin gesagt hast, gehört noch mal betont, glaube ich. Das Risk Assessment ist in drei Phasen eingeteilt. Die Phase eins ist die Risikoidentifikation. Das bedeutet, ich identifiziere mal die Risiken. Das bedeutet: Gegen welche Rechtsvorschrift könnte ich potenziell bei meinem Tun verstoßen? Und das ist eine ohne Bewertung. Das ist jetzt nun mal eine reine Betrachtung meines Handelns und meines Prozesses. Und mit welchen Rechtsordnungen und Rechtsvorschriften komme ich da in Berührung? Die zweite Phase ist die Risikoanalyse. Das heißt, ich betrachte das Risiko, in welchem Geschäftsprozess. Ich gehe da tiefer hinein: Wie ist es ausgeprägt? Und dann kommt die Bewertung. Und die Bewertung ist eine Sache der Priorisierung, nämlich welche Risiken sind eigentlich für mich hoch und welche haben einen hohen Impact.

48:16 Und auf diese werde ich mich konzentrieren, weil Compliance-Management-System – Management heißt managen. Managen bedeutet, Entscheidungen zu treffen, und ich werde sozusagen kleine Risiken, die auch einen geringen Impact haben, wahrscheinlich weniger behandeln – das ist ein Ressourcenthema – als Risiken, die sehr hoch sind und mit einem sehr hohen Impact. Und das kann von Unternehmen zu Unternehmen einen Unterschied machen. In manchen Unternehmen wird das Korruptionsrisiko hoch, in den meisten wird es gering sein. Und jetzt kommt eines dazu: Man bewertet die Risiken auch in Anbetracht der Maßnahmen, die man getroffen hat. Das heißt, wenn ich das Risk Assessment wiederhole, ein paar Jahre später, wird sich auch das Risiko vielleicht deswegen verändert haben, weil meine Compliance-Maßnahmen gegriffen haben. Ich habe das mehrmals schon gesehen, wo das Compliance-Risiko der Korruption, wo wir gesagt haben, das hat sich eigentlich nach unten verändert.

49:03 Wir können sagen, das ist ein mittelgroßes Risiko, es ist nicht mehr groß, weil wir folgende Maßnahmen ergriffen haben. Also da bewertet man auch die Maßnahmen. Und das ist ja auch gut, da kann man den Menschen ja auch zeigen: Das, was wir gemacht haben, hat ja was gebracht. Vielen Dank für die Ausführungen zu den Risiken und noch mal für das Zusammenfassen der drei Schritte: Identifikation, Analyse und Bewerten. Bei den Risiken habe ich mir jetzt mitgenommen, was wir uns in den folgenden Episoden vielleicht noch näher anschauen sollten: das Thema Artificial Intelligence, also insbesondere mit dem AI Act, das Thema Korruption, Kartellrecht, Menschenrechte im Sinne auch des ESG. Ich habe mir noch mitgenommen: Datenschutz und IT-Security, Geldwäsche und Trade Compliance, also im Sinne des Außenhandelsrechts. Ja, man könnte auch noch das Steuerrecht mitnehmen, also die Tax Compliance, aber das ist natürlich sehr speziell.

49:49 Aber da gibt es noch zwei Gebiete in Wirklichkeit, das ist die Umsatzsteuer- und die Verrechnungspreisproblematik, aber sonst, ja. Da kann man ja vielleicht ein kurzes Bootcamp dazu machen. So, die Diskriminierung haben wir im Juni schon einmal gehabt. Also die Diskriminierung würde ich jetzt an dieser Stelle mal abhaken. Aber ist für mich natürlich ein wesentliches Thema, ein wesentlicher Verantwortungsbereich für die Compliance. So, ich würde jetzt das Thema Risikoassessment oder Risk Assessment würde ich jetzt an dieser Stelle abschließen. Ich glaube, wir haben einen guten Überblick gegeben über: Wie wichtig ist ein Risk Assessment?

50:23 Wie geht man an das Risk Assessment auch heran? Wie führt man das Risk Assessment auch durch? Welche Personen sollten an dem Risk Assessment teilnehmen? Welche Risiken sollte man sich ansehen? Das ist eine wunderbare Liste, die du uns da jetzt geliefert hast. Und vielleicht noch ein Satz zum Thema, wenn ich dich ergänzen darf. Bitte. Risk Assessment macht doch mörderisch viel Spaß, weil man lernt sehr viel. Wenn man mit den Leuten spricht, man lernt sehr viel. Man holt sie ab, man lernt, man lernt, man lernt. Auch als Compliance Officer. Und manche Compliance Officer bitten mich, ich soll das Risk Assessment machen, und ich soll dann melden, was dann rausgekommen ist. Nein, nein, bitte, das machen wir schon gemeinsam, weil sie lernen wahnsinnig viel, einfach zuhören und die Präsenz. Also das macht wirklich Spaß. Man lernt das Unternehmen von der Pike auf kennen, man versteht es, und man beginnt dann mal, man beginnt das Unternehmen zu … durchdringen mit der Compliance, und das ist wirklich ein sehr, extrem wertvolles Element und macht doch wirklich Spaß.

51:17 Ich liebe das. Compliance macht Spaß, macht es nämlich tatsächlich. Also Compliance macht definitiv Spaß. Ob die Zuhörer merken, dass wir schmunzeln? Ja, absolut. Das machen wir die ganze Zeit. Also Compliance ist wirklich, das ist ein ganz besonderes Thema, das ist ein sehr wertvolles Thema, wie ich gesagt habe, und das macht die Arbeit in der Compliance Spaß, weil man mit Menschen arbeitet, und wenn man Bock hat, mit Menschen zu arbeiten, dann ist man in der Compliance absolut richtig. So, ich habe gesagt, wir schließen das Thema, das Thema Risiko schließen wir jetzt einmal kurz ab, im Sinne des Risk Assessments. Jetzt habe ich ja zu Beginn gesagt, die Folge bedeutet ja, oder lautet ja: Risk Assessments, die Grundlage für Strategie und Ziele. Und Strategie und Ziele sind ja nach meinem Verständnis ein eigenes Element, weil es doch sehr wichtig ist, weil es Orientierung gibt für die Compliance-Organisation und quasi auch einen Anker setzt.

52:06 Wer bin ich? Für was bin ich zuständig? Wo will ich denn auch hin? Es ist nur kein Element, das jetzt für mich eine ganze Folge oder eine ganze Episode geben würde. Darum nehmen wir das Thema nur kurz mit. Wie wichtig ist eine Compliance-Strategie für eine Compliance-Organisation? Also, dass, wenn man sich die ISO-Standards durchliest, da wird immer von Compliance-Zielen und von Compliance-Strategie gesprochen. Ich glaube, in der Praxis wird das nicht so dezidiert diskutiert oder überhaupt nicht betrachtet. Mit Compliance-Strategie meine ich, meint man: Wie will ich meine Compliance generell ausrichten in strategischer Form?

52:45 Was ist sozusagen mein strategischer Zugang zu Compliance? Was bedeutet für mich die Compliance langfristig im Unternehmen? Und mit Zielen, das ist dann runtergebrochen, viel konkreter, was ich erreichen möchte. Also das kann man auch an Zielen, man kann auch Ziele definieren in der Compliance, die man erreichen möchte. Es ist nicht immer leicht zu greifen, aber möglich. Und ich mache nur ein Beispiel: Compliance-Strategie – ist unsere Strategie, immer am Graubereich zu schrammen? Oder ist unsere Strategie eigentlich, stets auf die Art compliant zu sein? Oder ist unsere Strategie: Wir wollen 100-prozentig rechtskonform sein in allem, was wir tun? Das sind strategische Fragestellungen, und die muss man eigentlich – das ist nicht eine Frage des Compliance Officers, sondern Unternehmensstrategie ist Sache des Vorstands. Bis hin zum Aufsichtsrat vielleicht: Wie man sich in der Compliance ausrichtet, was ist eigentlich mein Zugang, strategischer Zugang zu Compliance?

53:39 Was soll das im Unternehmen schaffen? Und wie weit gehe ich da? Und da gibt es eben mehrere Ausprägungsvarianten in dieser Compliance-Strategie. Wenn man die Strategie richtig formuliert hat oder vor Augen hat, dann tut man sich in der Umsetzung leichter, weil – ich mache ein Beispiel: Wenn ich sage, nein, eigentlich möchte ich es immer ausreizen, wo es geht, dann mache ich in der Korruption eine Matrix und sage, okay, die Einladungswerte sind pro Land unterschiedlich, weil ich gehe immer ans Limit. Ja? Oder wenn ich sage, nein, nein, nein, so an die Grenze möchte ich nicht immer gehen. Das ist nicht gut. Ich möchte als Konzern eine weltweite Vorgabe haben, die ist immer gleich. Und ob das dann an der Grenze schrammt oder nicht, ist mir egal. Aber ich stehe für etwas. Ich habe eine Compliance-Kultur. Dann will ich nicht über 100 Euro einladen oder 50 oder was auch immer die Wertgrenze ist.

54:25 Und das geht halt ganz konzernweit. Dann gehe ich eigentlich weg von der Ausrichtung „Ich möchte immer an die Kante gehen“, sondern ich gehe … mit einem eigenen Wert hinein. Und das ist sozusagen die Diskussion, die man grundsätzlich führen muss, weil es auch wertvoll ist. Wenn ich zum Vorstand als Erstes komme mit der Antikorruptions-Policy, und da gibt es Detailregelungen, die werden vielleicht nicht mit den Werten zusammenpassen, die der Vorstand eigentlich mitträgt. Der würde sagen: Warum eigentlich? Warum gehen wir da nicht locker rein, China? Warum machen wir es nicht in Brasilien anders? Wie kommen Sie nur auf die Idee? Das heißt, die Strategie wäre natürlich gut, wenn man sie vorher definieren würde, und die Ziele. Ich würde die Ziele und die Strategie aus den Risiken ableiten und natürlich auch – und das ist so wunderbar, dass du das auch wieder gesagt hast – auch an der Unternehmensstrategie, weil eine Compliance-Strategie kann nach meinem Verständnis nicht losgelöst von der Unternehmensstrategie sein, wo man wieder zu dem Punkt kommt: Das Business ist die Legitimation für die Compliance. Und somit kann ich auch einen wesentlichen Beitrag als Compliance-Organisation auch leisten zum Erfolg des Unternehmens, wenn ich meine eigenen Ziele, meine eigene Strategie, nämlich wie definiere ich Compliance, wie verstehe ich meinen eigenen Wirkungskreis, wenn ich das entsprechend auch definiere und verschriftliche, weil es Klarheit schafft, Orientierung gibt, und weil es auch für das Business relevant ist, zu wissen: Wie agiert denn meine Compliance-Organisation?

55:48 Weil, ich habe es im letzten Bootcamp schon gesagt, Compliance schafft Freiräume, und diese Freiräume schaffen Entscheidungsräume. Und ich muss ja als Compliance nicht immer die letzte Instanz sein, die die Entscheidungen trifft. Ich muss ja meine Kolleginnen und Kollegen befähigen, gute Entscheidungen zu treffen. Und das spielt immer mit dem Business mit. Wer bin ich als Organisation? Wo will ich in fünf Jahren sein? Also auch so Zwischenschritte oder so Langzeitziele.

56:16 Möchte ich als Strategie oder möchte ich als Ziel eine Zertifizierung? Weil ich an der einen oder anderen Stelle das auch als Wettbewerbsvorteil erkenne, weil Integrität nach meinem Verständnis ein Wettbewerbsvorteil ist und ich das auch noch nach außen trage. Das heißt, diese Ziele, diese Schritte auch … Der Weg dorthin, das sollte verschriftlicht sein. Und darum ist für mich eine Strategie ganz essenziell. Für mich sind die Ziele essenziell. Wenn ich einmal die definiert habe, kann ich im nächsten Schritt mir nämlich auch KPIs definieren, kann meine eigene Organisation, meinen eigenen Fortschritt, mein eigenes Wachstum an dem Erreichen oder auch Nichterreichen der KPIs auch messen. Für mich muss Compliance auch messbar sein.

56:54 Was nicht im Widerspruch steht zur Arbeit mit Menschen – also die Messbarkeit und die Arbeit mit Menschen, das steht nicht im Widerspruch, aber es zeigt mir, wie weit oder wie … Du sprichst immer so schön von dem Reifegrad der Compliance-Organisation. Es zeigt mir aber sehr viel über den Reifegrad meiner Organisation nach meinen Maßnahmen. Weil jetzt bin ich in einer Organisation oder in einem Unternehmen, wo wir noch kein internes Audit haben. Das heißt, ich muss in Wahrheit mich selbst auch in Wahrheit analysieren. Richtig. Und das mache ich mit meiner Strategie, mit meinen Zielen und meinen KPIs. Weil ich am Ende des Jahres auch einen Compliance-Bericht abgebe, wo ich auch die Entwicklung der Compliance-Organisation und der Organisation mit Unterstützung der Compliance auch offenlegen muss und auch offenlegen will. Das heißt, die Strategie und die Ziele geben mir eine Orientierung. Sie geben mir den Weg.

57:41 Sie basieren natürlich auf den Risiken, weil ich nicht eine Strategie und Ziele festlegen kann, die völlig an den Risiken vorbeigehen, weil sonst würde ich auch nicht im Business stattfinden. Aber ich kann nur empfehlen, sich hierüber Gedanken zu machen und die Risiken auch als Basis zu nehmen. Das Ganze macht natürlich keinen Sinn, wenn ich keinen Tone from and at the top habe. Also das ist immer noch die Grundlage. Aber wir haben jetzt heute eine wunderbare Reise durchgeführt durch die Risiken, durch Strategie und Ziele, die wir noch ein bisschen gestreift haben. Lieber Alexander, herzlichen Dank für diese wunderbare Reise, für diese tolle Episode. Danke noch mal für die Einladung, und den Zuhörerinnen und Zuhörern wünsche ich viel … viel Erfolg. Super. So ganz schnell lass ich dich noch nicht gehen. Lass ich dich noch nicht gehen. Wir haben zum Abschluss immer noch ein drittes wiederkehrendes Element.

58:30 Und das ist unser Code-of-C-Wort, also unser C-Wort. Was bedeutet für dich, nachdem wir jetzt diese Reise gemacht haben … Was bedeutet Compliance für dich in einem Wort? Ich glaube, das hast du mich letztes Mal auch schon gefragt. Natürlich habe ich dich das gefragt. Das kann sich auch ändern. Ich glaube, Risiko verstehen und Risiko beherrschen. Also Risiko beherrschen – es gibt eine wunderbare Werbung von einem Luxusuhrenhersteller am Flughafen in Zürich, und der Satz lautet: „If you want to break the rules, you have to master them first.“ Das heißt, die Regeln verstehen ist wichtig. Die, die brechen wollen, die muss man im Zaum halten. Das ist das Compliance Management. Und zur Strategie darf ich noch einen Satz dazu sagen: Natürlich muss die Compliance-Strategie im Einklang stehen mit der Unternehmensstrategie. Es gibt viele Geschäftsmodelle, die sehr innovativ sind, wo man bewusst in Graubereiche hineingeht, weil das die Unternehmensstrategie ist.

59:25 Ein Bitcoin-Unternehmen oder ein digitales Unternehmen, das neue Produkte entwickelt und anstreift. Ich kann mich erinnern, eine neue Taxi-App, wie viele Klagen es gegeben hat nach UWG, aber das ist ein neues Geschäftsmodell. Und wenn ich das ausprobieren möchte, muss ich auch ein Risiko gehen, aber das kalkuliere ich. Und dann gibt es eine Unternehmensstrategie und Compliance-Strategie, die heißt: nur die größten Risiken verhindern. Alles andere nehmen wir in Kauf, weil das unser Geschäftsmodell ist. Und je nachdem, ich muss ja auch die Compliance-Strategie anpassen. Vielen Dank. Ich habe jetzt mit der Frage nach dem C-Wort die Schleusen geöffnet.

59:56 Magst du mir vielleicht doch noch ein Wort sagen? Ein Wort zu? Compliance in einem Wort. Compliance in einem Wort ist „ordentlich sein“. Jetzt sind's zwei Wörter, aber ich nehme es trotzdem, „ordentlich sein“. Ich würde tatsächlich heute sagen: Spaß. Spaß, ja. So, wunderbar, lieber Alexander, danke. Darf noch ganz kurz zusammenfassen: Das war eine wunderbare Reise durch die Risiken, durch das Risk Assessment – ganz essenziell die eigene Rolle verstehen, die Prozesse verstehen und in den Prozessen stattfinden, nahe am Business sein, Workshops machen, Risiken identifizieren, analysieren und bewerten, mit den Risiken etwas machen, darauf eine Strategie und Ziele festlegen. Und dann haben wir die Elemente des Risk Assessments, der Strategie und der Ziele wunderbar erledigt. Lieber Alexander, noch einmal: Danke fürs Wiederkommen. Das war sicher nicht das letzte Mal. Liebe Zuhörerinnen und Zuhörer, es war mir ein Volksfest.

1:00:52 Ich hoffe, Ihnen auch. Ich freue mich auf das nächste Mal. Wir werden beim nächsten Mal schon in die Risiken einsteigen. Bis dahin: Bleiben Sie compliant und bleiben Sie vor allem ein guter Mensch. Ihr Martin Reichetseder.