Abenteuer Compliance: Compliance Management System im Unternehmensalltag – mit Prof. DDr. Alexander Petsche

Herzlich willkommen zur dritten Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. In der heutigen Folge beschäftigen wir uns mit Compliance an sich, mit Fragen zur Planung, zur Implementierung und zum Betrieb eines Compliance-Management-Systems. Das machen wir am besten mit einem der Experten, und manche meinen, mit dem Entdecker von Compliance in Österreich, mit meinem Freund und mit meinem Mentor, Prof. DDr. Alexander Petsche, Rechtsanwalt und Partner von Baker McKenzie in Wien. Lieber Alexander, herzlich willkommen, schön, dass du da bist.

Sehr gerne. Ganz im Sinne der Tradition von Code of C hätte ich auch heute wieder einen kleinen Mutmacher vorbereitet. Der Alexander hat offensichtlich Mut genug, weil der begnügt sich mit einem Glas Wasser. Ich werde mir trotzdem ein Glas Prosecco gönnen, wie in der ersten Folge. Das machen wir, um unseren trockenen Gaumen ein bisschen zu befeuchten und auch um die Stimme ein bisschen zu lockern. Also wenn zwischendurch einmal jemand an seinem Getränk nippt, dann machen wir das genau aus diesen Gründen. So, lieber Alexander, bevor wir in die Welt von Compliance einsteigen und bevor wir quasi diese Reise beginnen, von der Planung bis hin zum Betrieb eines Compliance-Management-Systems, lade ich dich noch ein zum Code-of-C-Check-in.

Ich darf dich zum Aufwärmen ersuchen, mir bitte folgende Sätze zu vervollständigen, und bitte für die Zuhörerinnen und Zuhörer: Auch dieses Mal ist es nicht vorbereitet. Alexander weiß nur, dass es diese Sätze geben wird, aber den Inhalt der Sätze kennt er nicht. So, lieber Alexander, dein erster Satz: Wenn ich an Compliance denke, dann denke ich an … Vertrauen. Das größte Vorurteil von Compliance ist für mich … Administration, Verwaltung, unnötig. Super, vielen lieben Dank dafür. Und weil es so schön

ist, habe ich noch zwei Entweder-oder-Sätze für dich vorbereitet. Compliance: entweder Fokus auf Regeln oder Mensch im Mittelpunkt? Mensch im Mittelpunkt. Und erfolgreiche Compliance: entweder vertrauensbasiert oder kontrollbasiert? Beides. Großartig, vielen Dank. Dann steigen wir ja mit dem richtigen Mindset in die dritte Folge von Code of C ein. Und das ist auch die beste Überleitung. Lieber Alexander, aus den ersten beiden Folgen wissen wir ja, dass Compliance jetzt nicht etwas ist, das wir einfach auf der Universität lernen. Also wer die ersten beiden Folgen gehört hat, weiß, dass wir mit den Juristinnen und Juristen und den Compliance Officern, die bei uns zu Gast waren, schon besprochen haben, dass sie Compliance auf der Universität nicht festgestellt haben.

Wie lernt man Compliance? Also auch aus eigener Erfahrung, durch das tägliche Tun, durch den Austausch mit den Praktikerinnen und Praktikern und natürlich auch durch das Vernetzen mit Expertinnen und Experten, aber auch, und das haben wir in den ersten beiden Folgen noch nicht erwähnt, es gibt natürlich Lehrgänge, so zum Beispiel den Lehrgang zum zertifizierten Compliance Officer bei der AHS, aber auch den Lehrgang zum zertifizierten Compliance Officer beim Business Circle, den ja du, lieber Alexander, ganz maßgeblich auch mitgestaltest und wo ich, kleiner Spoiler, auch eine kleine Rolle habe. So, jetzt ist es so, dass viele Unternehmen … noch keine Compliance-Organisation haben. Das heißt, die wissen das nicht, und viele Organisationen sind aber aufgrund von Whistleblowing, aufgrund von Nachhaltigkeitsberichterstattung, also der Pflicht dazu, aufgrund von Lieferkettensorgfaltsverpflichtungen plötzlich an diesem Punkt, wo sie Compliance im Unternehmen einführen müssen und nicht wissen,

wie Compliance funktioniert. Und das ist jetzt die Überleitung, und das ist jetzt der Start in diese gemeinsame Reise. Denn heute werden wir einen kleinen Bildungsauftrag erfüllen, den Code of C sonst nicht hat. Wir werden uns beschäftigen mit der Frage: Was ist Compliance? Was ist ein Compliance-Management-System, und was muss ich tun? Und das ist auch schon meine Überleitung zu dir, lieber Alexander. Erklär mal: Was ist Compliance, und warum Compliance? Compliance bedeutet tatsächlich Regelkonformität, Regeln einhalten. Tatsächlich kommt aber Compliance von ganz woanders her, nämlich aus der Medizin. Die ersten,

die sich mit Compliance beschäftigt haben, waren die Ärzte und Gesundheitseinrichtungen. Und Compliance hat bedeutet: Hält sich der Patient an die Medikation oder nicht? Das waren immer Haftungsfragen: Ist der Patient compliant? Und später hat sich dieser Begriff dann durchgesetzt in Organisationen anderer Natur. Und da geht es um die Frage der Regelkonformität. Und man denkt sich immer, ist doch komisch, warum müssen wir uns eigentlich mit Regelkonformität beschäftigen als Organisationen? Regeln gelten ja, und Regeln müssen von jedem eingehalten werden. Das ist die typische Reaktion eines Gesprächspartners. Auf der anderen Seite gibt es, wenn man verantwortlich ist für Organisationen, man hat sozusagen einen Geschäftsführungsauftrag oder ein Vorstandsmandat, ist es die Aufgabe der Geschäftsführung oder der Vorstände, dass sie die Wahrscheinlichkeit von Regelverstößen so gering wie möglich halten.

Warum ist das so? Weil ich habe eine Diligenzpflicht, ich habe eine Führungsverantwortung, ich muss ja meine Organisation ordentlich führen. Und zum ordentlichen Führen gehört auch, es so zu organisieren, dass die Mitglieder der Organisation, sprich Arbeitnehmerinnen und Arbeitnehmer, die Regeln, die gelten, auch einhalten. Jetzt fragt man sich aber noch einmal: Warum muss ich mich darum kümmern? Die Regeln gelten doch für jedermann. Das ist auch richtig, nur wir wissen das aus eigener Anschauung: Regeln werden oft nicht richtig verstanden. Regeln sind oft extrem kompliziert. Sogar Juristen verstehen die Regeln nicht. Du kennst ja den Spruch: zwei Anwälte, drei Meinungen. Das heißt, es ist nicht wohl herkommt.

Es ist nicht so einfach, und ich glaube, die Verantwortung von Organisationsleitung ist, diese Regelkonformität bestmöglich sicherzustellen. Das ist jetzt einerseits eine Haftungsfrage für die Organisationsleitung selbst, aber natürlich auch eine Frage des Vertrauens der Marktteilnehmer in die Organisation. Also würde ich Aktien kaufen von einem Unternehmen, das kein Compliance-Management-System hat? Nein, das ist mir einfach zu gefährlich. Das ist eine tickende Bombe. Das kann irgendwann gegen die Wand fahren, und dann braucht sich dann keiner wundern. Wir brauchen ja nur ein bisschen, in Österreich gibt es genügend Anschauungsbeispiele, immer wieder, auch derzeit, wo man das Gefühl hat, da hat man auf Regeln nicht so geachtet.

Und daher Regelkonformität, und das klingt jetzt sehr spröde. Und einer meiner ersten Auftritte war bei der Industriellenvereinigung, da hat der Präsident des Rechtsausschusses zu mir gesagt: Ich weiß gar nicht, was Sie mit dem Wort Compliance wollen, mit diesem komischen Unfugswort, wir sagen dazu „ordentlich sein“. Und wir vergessen immer, was ordentlich bedeutet. Driften wir ab, und das ist auch die Gefahr in der Compliance, wir driften dann ab in detaillierte Regelwerke und glauben, umso mehr Probleme wir haben, umso dickere Bücher müssen wir schreiben. Aber wir verlieren dann in Wirklichkeit die Prinzipien aus den Augen, nämlich Moral und Anstand. Und ich wette, dass alle Menschen in unseren Kulturkreisen vom Bauchgefühl her eigentlich wissen, was sich gehört und was nicht.

Und sie werden dann nicht immer wieder in einem Gesetzesbuch nachschauen müssen, sondern … Das macht der moralische Kompass schon mit uns, dass wir ein Gefühl dafür haben, was sich gehört oder nicht. Aber wie gesagt, manche Regelwerke sind so kompliziert, dass wir unsere Organisationsmitglieder schulen müssen, trainieren müssen, ihnen die Leitplanken aufzeigen müssen, in denen sie sich bewegen. Und das ist, glaube ich, eine Verantwortung der Organisation wie auch der Gesellschaft insgesamt. Wenn die Eltern uns erzogen haben, dann haben sie uns auch die Leitplanken mitgegeben: Das macht man einfach nicht. Oder: So benimmt man sich nicht. Und diese Leitplanken, die muss man auch im Berufsleben mitbekommen.

Und das ist eine Führungsaufgabe. Vielen Dank dafür. Also diejenigen, die mich kennen, würden jetzt wahrscheinlich sagen, ich habe meinen Meister in dir gefunden. Ja, also du bist ja wie ich: Wenn man einmal anfängt zu reden, bist du kaum zu stoppen. Nein, das ist großartig. Das ist großartig, weil immerhin bist du auch einer der Experten. Man hört dir auch wahnsinnig gerne zu. Jetzt, wenn ich das kurz aufgreifen darf, Compliance und warum Compliance, hast du zwei Punkte gesagt. Du hast zum einen gesagt: Haftung. Das heißt, das sollte eigentlich eine intrinsische Motivation der Führungskräfte oder der Geschäftsführungen sein, Compliance-Maßnahmen im Unternehmen umzusetzen und das Thema ernst zu nehmen.

Nona, wer will gern in der Haftung stehen? Und das Zweite, was Compliance dann vielleicht in ein eher positiveres Licht bringt,

ist das Thema: Es ist eine Kundenanforderung. Und wenn es eine Kundenanforderung ist, dann ist es ein Wettbewerbsvorteil. Also Compliance auch als Wettbewerbsvorteil zu verstehen, ist sicher in der heutigen Zeit ein Schlüssel. Nämlich wenn man sich die … die Herausforderungen ansieht, denen wir uns stellen müssen, sei es ESG oder sei es auch das Thema Diversity und Sonstiges, dann ist das eine Anforderung, die der Markt den Unternehmen gibt. Also Haftung, nona, Kundenanforderungen und Wettbewerbsvorteil. Ganz wichtig, weil es damit auch klar ist, dass Compliance ganz nahe am Business sein muss, weil sonst würde das auch nicht funktionieren. Und ein Punkt hat mir noch gefallen, nämlich dieses Thema „ordentlich sein“. Ich würde sagen, es ist schlichtweg die Aufgabe, ein guter Mensch zu sein.

Und das ist auch der Wertekompass, der uns eigentlich umtreiben sollte. Und das Thema Bauchgefühl hat sicher auch etwas mit dem Thema Hausverstand zu tun. Und da ist vielleicht die Überleitung: Wie fange ich denn an, in einem Unternehmen überhaupt Compliance zu implementieren? Und das Erste, es ist auch mir so gegangen, war immer: Wir brauchen einen Code of Conduct. Ich kann mich erinnern, also wie ich Compliance begonnen habe in dem Unternehmen, in dem ich tätig bin, das war 2019, wurde ich Compliance Officer, und da habe ich vorgefunden einen Code of Conduct. Das war alles, was es zu diesem Thema gab, und das war ein, ich sage es jetzt einmal, ein Sammelsurium an Kopien anderer Code of Conducts. Und dann war aber der erste Punkt: Wir brauchen Regeln, wir brauchen Richtlinien.

Wir müssen gewisse Dinge einfach in die Norm bringen, und wir müssen Prozesse schaffen und Sonstiges. Wenn du jetzt sagst Bauchgefühl, und aus der letzten Folge wissen wir auch, dass Hausverstand eigentlich ein Freund der Compliance ist: Wie viele Regeln brauche ich denn in der Compliance, und ist es wirklich das Erste, mit dem ich beginnen muss, wenn ich ein Compliance-Management-System aufbaue? Und da vielleicht die Frage nur zuvor: Was ist überhaupt ein Compliance-Management-System? Was ein Compliance-Management-System ist, möchte ich am Ende beantworten, weil das wird sich aus meinen Ausführungen sowieso direkt ergeben. Du hast ein paar Punkte angesprochen, und ich glaube, der erste Punkt ist, wenn man ein

Compliance-Management-System implementieren möchte oder man möchte eine Organisation haben, die sich verhält, dann muss zunächst einmal der Wille da sein, das zu tun. Das, was wir oft sehen in der Praxis, ist, wir nennen das Feigenblatt-Compliance. Da ist gar kein Wille vorhanden. Das ist am Papier alles sehr schön, aber in Wirklichkeit will das keiner. Und da muss sich die oberste Führungsebene dazu wirklich committen, und sie muss dieses Begehren nach Compliance und nach Regelkonformität ausdrücken, klar und deutlich, unmissverständlich, ohne Augenzwinkern. Das ist, wenn man so will, die Lokomotive für den Zug, der dann losfährt. Ohne Lokomotive fährt nichts. Und das heißt, es muss jemand das Thema ziehen.

Das kann auch nicht der Compliance Officer machen oder die Compliance-Beauftragten oder Compliance-Ambassadors, wie man sie nennt, weil die dann etwas sozusagen aufzustellen haben, das von dieser Lokomotive getragen wird oder gezogen wird. Das heißt, dieser Wille muss da sein, der muss ganz klar da sein. Das, was der Vorstand und die Geschäftsführung wollen, das geschieht. Der Jahresabschluss wird pünktlich fertig, weil es der Vorstand so will. Nicht überall. Nicht überall. Aber was ich damit sagen möchte: Was die Unternehmensleitung möchte, wird erledigt. Und was sie nicht möchte, wird nicht gemacht oder halbherzig gemacht. Und das ist natürlich in vielen Organisationen leider der Fall. Das heißt, ich brauche ein Commitment des Herzens.

Ich will es haben. Und das Zweite ist, bevor man sich hineinstürzt in Regelwerke, das machen Juristen wahnsinnig gerne, man schreibt dann gern Papier und Code of Conduct und Richtlinien und Policies. Warum? Weil man das kann. Man soll aber nicht immer das machen, was man kann. Man soll das machen, was notwendig ist und was intelligent ist. Und das ist nicht immer das, was man kann. Aber wenn man Juristen an die Arbeit lässt, dann lieben sie nichts anderes wie Autisten, dass sie acht Stunden, bitte verzeihen Sie diesen Zwischenruf, bitte keine Klagen und keine Ehrenbeleidigungsklagen, aber ich meine das ernst, bestimmte Berufsgattungen sind zu bestimmten Verhaltensweisen trainiert, und der Jurist ist dafür trainiert, dass er acht oder zehn Stunden vor seinem Laptop sitzt und irgendwas schreibt.

Und damit ist er dann zufrieden. Aber wenn das so ist, dann ist ja offensichtlich an der Ausbildung irgendwas falsch, wenn der Jurist so getrimmt ist. Der Jurist ist nicht der perfekte Compliance Officer, weil er so sehr an dem Juristischen hängt. Ich komme gleich dazu, weil das, Compliance hat mit Recht schon auch zu tun, aber es ist nicht das Wichtigste. Das heißt, ich brauche dieses Commitment. Und jetzt ist das Zweite das Wichtigste: Ich muss mein Risiko verstehen, ich muss meine Exposure verstehen. Wenn jemand zum Arzt geht, dann bekommt er ein Blutbild, dann bekommt er ein MRT, dann bekommt er ein Röntgen etc. etc., und dann wird behandelt. Was wir in der Compliance sehen, ist genau das Gegenteil.

Wir behandeln und haben aber kein Blutbild, kein EKG, kein MRT, gar nichts. Und werken drauflos am Patienten und wundern uns, dass es dann nicht klappt. Warum? Weil wir verabschieden dann Regeln, die nicht zum Risiko passen. Das führt zu Widerstand in der Mannschaft, die sagen: Warum haben wir so eine Policy? Wir haben das Risiko nicht einmal, das Fallbeispiel passt überhaupt nicht, und wir stülpen etwas drüber, einen Anzug, der nicht passt. Der Elefant muss dann einen 46er-Anzug tragen, oder umgekehrt, die Maus kriegt den Anzug vom Riesen. Und dann kommt es zu Widerstand in der Organisation, und dann wird das Thema abgelehnt. Das ist das Problem: Plötzlich wird ein gutes Thema abgelehnt, weil der Anzug nicht passt.

Risikoanalyse, Risikoverstehen ist das Wichtigste. Und aus dieser Risikoanalyse … Da ergeben sich dann alle weiteren Schritte. Nämlich: Welche Ressourcen brauche ich? Welche Policies brauche ich? Wie schaffe ich es, wenn ich das Risiko erkannt habe, dass ich das Verhalten meiner Mannschaft entweder stabil halte oder das Verhalten meiner Mannschaft verändere? Wenn ich Fehlverhalten entdecke, geht es um Change-Management. Wie schaffe ich es, dass meine Truppe oder meine Mitarbeiterinnen, Mitarbeiter sich jetzt anders verhalten? Wie komme ich zu einer Verhaltensänderung? Dauert oft Jahre. Man muss auch sehr geduldig sein in der Compliance. Unter drei bis fünf Jahren tut sich gar nichts, dass ich zu einer Verhaltensänderung komme.

Und es dauert sogar noch länger, wenn dieses Verhalten gekoppelt ist mit Wertvorstellungen oder mit Traditionen oder bis hin zur Identität: Wir

verhalten uns immer so, weil wir sind so. Also es ist in der Psychologie unheimlich schwierig. Da muss man auch geduldig sein. Aber wenn du mich fragst: Schritt eins. Das heißt, wenn du sprichst von diesem Willen, also der erste Schritt, der Wille, dann ist das das, was wir immer hören, auch in dem Kurs zum zertifizierten Compliance Officer, oder das, was auch in den Büchern drinsteht, dieser Tone from the top. Die Erfahrung zeigt, dass nicht nur der Tone from, sondern insbesondere auch der Tone at the top, weil das ist was aus eigener Erfahrung und auch aus dem Austausch mit den anderen Kolleginnen und Kollegen. Es ist ein Kulturthema, und es ist zumindest in der Erfahrung so, dass, wenn ich sage, ich möchte das haben, ich habe den Willen, setz mir das um,

wenig erfolgreich ist, wenn das nicht an der Spitze selbst auch so gelebt wird. Also nicht nur so, also meine Erfahrung, dass ich sage, also der Tone from the top ist wichtig, weil ich zumindest das Mandat habe, etwas umzusetzen als Compliance Officer. Aber was nützt mir dieses Mandat, wenn es ganz oben nicht gelebt wird? Also dieses, es ist nicht ein Entweder „from“ oder „at“, sondern es ist ein Und. Dieser Wille muss nicht nur ein Wille sein, in meiner Welt, sondern in meiner Welt muss der Wille auch tatsächlich gelebt werden. Also der erste Schritt, und das ist wichtig. Und das unterschreibe ich auch. Das war bei mir auch so. Ich hatte das Glück, dass der Wille da war und dass das auch tatsächlich gelebt wurde.

Also der Wille erster Schritt. Der zweite Schritt ist die Risikoanalyse, hast du gesagt. Ich kann mich noch erinnern, das war bei uns, wie ich das Compliance-Management-System versucht habe aufzubauen, einer der Schritte, die einfach zwischendurch einmal gekommen sind. Und tatsächlich muss ich sagen, das war nicht gescheit. Also das war jetzt tatsächlich keine Entscheidung, die ich heute wieder so treffen würde. Und das Schreiben von Policies, ich würde jetzt nicht sagen, das ist jetzt, weil ich ein Jurist bin, sondern das war etwas, wo ich sagen kann, da habe ich sofort ein Ergebnis. Für mich war es nämlich etwas, wo ich sage, ich übernehme jetzt eine Rolle, und ich kann sofort zeigen, dass ich im Thema drinnen bin, und es ist sofort ein Thema, wo ich etwas vorweisen kann.

Das heißt, wenn jemand sagt,

haben wir Compliance, konnte ich innerhalb von zwei Wochen sagen: Na selbstverständlich, ich habe den Code of Conduct umgeschrieben, und ich habe die Policy neu geschrieben. Ist es gescheit? Heute würde ich sagen, nein. Also ich würde auch anfangen mit einem Risk Assessment, um eben die Risiken zu erheben und nämlich auch festzustellen, und das ist vielleicht auch ein Punkt, wenn ich sage, ja, okay, gut, Compliance kümmert sich um die Risiken: Wenn ich die Risiken identifiziert habe, kann ich aus meiner Sicht nämlich auch sagen, für welche Risiken bin ich denn nicht verantwortlich. Also ich bin als Compliance in meiner Welt nicht für alle Risiken verantwortlich. Das kann ich aber tatsächlich erst feststellen, wenn ich die Risiken erhoben habe.

Und dann kann ich sagen, okay, für das zeichne ich mich verantwortlich und für das nicht. Also da gehe ich vollinhaltlich mit, und ich glaube, dass das für viele Zuhörerinnen und Zuhörer total interessant ist, weil die leben vermutlich in derselben Welt, in der sie sagen, okay, jetzt übernehme ich Compliance, beziehungsweise jetzt muss ich mit Compliance starten, und dann fangen wir mal an mit Papier. Ja, und das ist der Code of Conduct, und das ist eine Richtlinie, weil man das vorzeigen kann. Einem Aufsichtsrat. Wenn der Aufsichtsrat dir jetzt den Auftrag gibt, Compliance zu machen, was zeige ich denn her? Ich zeige die Policy her und sage, ich habe jetzt Compliance. Also Risikoanalyse und Risiko ist wichtig, weil das aus der Praxis … Wir sind Risikomanagerinnen und Risikomanager, nämlich nicht nur wir als Compliance-Organisation, sondern eigentlich alle Mitarbeiterinnen und Mitarbeiter.

Und das zeigt auch so schön, in meiner Welt, dieses Thema Risikoanalyse und Risiken, dass für Compliance schlichtweg jeder verantwortlich ist. Also alle Mitarbeiterinnen und Mitarbeiter sind Risikomanagerinnen und Risikomanager. Darum sollte das Risk Assessment zu Beginn sein und sollte aber so, so … Vielleicht ist „umfassend“ jetzt das falsche Wort, aber mit dem Versuch, eine möglichst hohe Beteiligung der Mannschaft, durchzuführen. Also das sollte das Ziel sein. Und das muss ich auch sagen, das ist uns auch beim ersten Entwurf nicht wirklich gelungen. Also kurze Story aus unserem Risk Assessment: Wir sind ein Unternehmen mit 4.500 Mitarbeitern ungefähr, und wir haben ein Risk Assessment gemacht mit 20 Personen. Und haben gedacht, dass wir mit 20 Personen das Risiko der gesamten Gruppe abdecken können.

Das Risiko ist aber vermutlich nicht das, was 20 Personen sagen. Aber wir haben ja das Risk Assessment gemacht. Das heißt, der Wille und dann das Risk Assessment, aber das Risk Assessment ordentlich durchgeführt. Stimmst du dem zu? Ja, nein, ich habe jetzt sehr aufmerksam gelauscht, das ist absolut richtig. Ich glaube, du beschreibst die Praxis noch praxiskonformer, als ich sie sehe, weil du natürlich da drinnen stehst. Ich sehe es auch bei den Unternehmungen, wo ich mitarbeiten darf, dass natürlich dieses Doing gleich einmal im Vordergrund steht. Weil man auch etwas tun soll. Diese theoretische Herangehensweise, zuerst Risk Assessment und dann Regeln, habe ich in der Praxis ganz, ganz selten gesehen.

Nur bei Unternehmungen, die vor 10, 15 Jahren begonnen haben, ganz systematisch das aufzubauen. Sonst stolpert man in die Compliance ja irgendwie hinein, weil der Vorstand will das, ein Marktteilnehmer will das, ein Kunde will das, und dann muss man irgendwas herzeigen, man produziert irgendwas, und dann kommt das Risk Assessment später oder zwischendurch. Das ist auch okay, das ist auch okay. Man kann nicht so viel falsch machen, wenn man es auf einer relativ hohen Flugebene macht. Ein Code of Conduct ist nie ein Fehler, das ist auf einer Metaebene: Grundprinzipien des Verhaltens. Schwieriger wird es dann schon, wenn ich detaillierte Regeln habe zu einzelnen Risikobereichen, die vielleicht dann nicht passen, die Fallbeispiele passen nicht, man hat das Risiko gar nicht.

Ich kenne manche Unternehmungen, die machen Riesen-Policies zu Kartellrecht oder Korruptionsrecht, haben das Risiko gar nicht oder nur ganz minimal. Oder Datenschutzrecht, als Datenschutz … Boom, da haben Unternehmungen, die überhaupt keine Konsumenten gehabt haben, also im B2B-Bereich, riesige Datenschutz-Policies aufgebaut, und die Mitarbeiter haben dann gesagt: Wozu? Irgendwann ist man draufgekommen, das hätte man gar nicht gebraucht, weil wir haben diese Exposure nicht. Deswegen muss man bei den Detailregeln ein bisschen aufpassen. Du hast recht, Compliance geht uns alle an, das ist eine Grundbotschaft. Ich habe fantastische Code of Conducts gelesen, wo drinnen steht: Für Compliance ist der Compliance Officer zuständig.

Nein, bitte nicht, bitte nicht, der Compliance Officer ist nicht für Compliance zuständig. Der Compliance Officer, der unterstützt, der hilft, der ist ein Mentor, der ist ein Coach, aber er ist nicht dafür zuständig. Zuständig ist jeder Einzelne. Und wir haben ja in den Verteidigungsmodellen, das kommt von den Wirtschaftsprüfern, wir haben dieses Three-Lines-of-Defense-Modell, und die Defense Nummer 1, also wie schütze ich mich gegen Regelbruch: Die First Line sind die Manager selbst. Die müssen selbst schauen, dass sie selber und ihre Mitarbeiterinnen und Kolleginnen regelkonform sind. Sie haben ja diese Führungsverantwortung. Das ist die First Line of Defense. Und dann sagt man, Second Line of Defense ist die Rechtsabteilung.

Die kann man auch rechtlich unterstützen. Oder die Compliance-Abteilung, kann man auch so sagen. Und die Third Line of Defense, die kommt natürlich ganz, ganz spät, ist das Internal Audit. Das kann noch einmal auffangen und noch einmal schauen, ob Regelkonformität stattgefunden hat oder nicht. Und das zurückspielen in die Mannschaft. Aber das sieht man sehr schön in diesem Modell. Wenn das Versagen, ich sehe immer das Versagen dann gegeben, wenn keine dieser Lines hält. Also wenn die Führungsmannschaft oder das Management nicht so, das Management nicht regelkonform ist, schwierig. Zweitens, es ist dann sozusagen, die zweite ist schon schwach, das heißt, die Line of Defense Compliance-Abteilung sieht ja nicht immer alles.

Und die dritte kommt sowieso ein Jahr zu spät oder drei Jahre zu spät, fünf Jahre zu spät, weil im Audit. Das heißt, es ist ganz, ganz wichtig, dass jeder versteht, dass er auch eine Verantwortung für Compliance hat, und dass man diese Compliance-Verantwortung in die Mannschaft hineinspielt und nicht den Elfenbeinturm: Im 28. Stock, rechts hinten am Gang, sitzt die Compliance-Officerin, und die macht das dann schon alles für uns. So läuft das nicht. Und ich glaube, das Grundverständnis muss man entwickeln. Das ist ganz, ganz wichtig, und es kann auch Spaß machen. Das, was du gesagt hast, lass mich noch einen Satz dazu sagen, zu Marktvertrauen und Wettbewerb. Als ich vor 20 oder 25 Jahren mit Compliance begonnen habe, habe ich den Vorständen immer gesagt, es ist eine Frage der persönlichen Haftung, und es

hat sie mehr oder weniger motiviert. Aber eine Angst … Etwas zu verhindern, eine Strafe zu verhindern, ist nicht positiv besetzt. Das ist kein Reißer. Da sagt keiner Bravo. Sondern man muss eine positive Konnotation auch suchen und finden. Und es gibt sie tatsächlich. Das ist das Marktvertrauen. Das Vertrauen deiner Partner, dass ich mich auf das Unternehmen verlassen kann. Und das mache ich dann, wenn ich meine … Systeme in place habe. Und das wird mit ESG jetzt ganz brutal so werden, auch mit Lieferkette ganz brutal so werden. Ich sehe es in der Industrie. Da wird von deutschen Konzernen gefragt: Bitte weisen Sie mir nach, Lieferkette und so weiter. Sonst werden Sie delistet. Punkt. Wir nehmen Sie nicht mehr.

Also es wird beinahe zu einem Geschäftselement, elementar fürs Geschäft, dass man ein Compliance-Management-System hat und auch nachweisen kann. Also das mit dem Lines of Defense, das ist verständlich. Jetzt bin ich in einem Unternehmen, das international tätig ist, das groß ist. Wir haben das Glück, eine Rechtsabteilung zu haben. Wir haben kein Internal Audit. Wir haben halt die Compliance-Organisation, und wir haben eine gute Zusammenarbeit mit Quality, und wir haben eine gute Zusammenarbeit mit der Finanz. Aber viele Unternehmen werden ja jetzt mit dem Thema Compliance konfrontiert, die weder eine Rechtsabteilung haben oder nur eine ganz kleine Rechtsabteilung haben, geschweige denn Internal Audit haben, wo möglicherweise Finanz oder HR oder wer auch immer plötzlich den Hut bekommt, Compliance machen zu müssen.

Jetzt haben wir, gut, okay, also Sie kriegen offensichtlich den Auftrag, weil der Wille der Geschäftsführung ist da, sei das jetzt aus Angst, weil die Motivation Angst ist, sei das jetzt: Okay, wir müssen es umsetzen, weil es ist wieder eine Regel, oder im besten Fall: Hey, wir müssen es umsetzen, weil wir wollen einen Unterschied machen auf dem Markt, wir wollen in der Branche diejenigen sein oder das Unternehmen sein, das wirklich den Unterschied zu anderen macht. Und darum ist es uns wichtig, also aus welchem Grund auch immer der Wille kommt, der Wille ist da. Risk Assessment ist gescheit, macht vielleicht nicht jeder, weil woher sollen sie es denn nehmen, die Strukturen? Woher sollen sie denn wissen, wie sie das machen?

Aber jetzt hat niemand diese oder

sehr viele Unternehmen nicht die Möglichkeit, eine Rechtsabteilung zu involvieren oder Internal Audit zu informieren oder einzubinden, weil es schlichtweg nicht vorhanden ist. Was macht jetzt ein Unternehmen, das das nicht hat? Das hat einfach nur die Leute, die da drinnen arbeiten. Gibt es eine Anleitung? Also wenn ich sage, ich habe jetzt diese zwei Punkte, ein Compliance-Management-System aufzubauen, aber nach was leite ich mich denn an, wenn ich nämlich diese Dinge nicht habe oder wenn ich nicht sage, ich will Geld investieren für einen Berater oder eine Beraterin, weil das das Gescheite ist, kann man auch mit Ja beantworten, aber was ist, wenn schlichtweg der Wille der Geschäftsführung beim Geldbörserl aufhört?

Also wie baue ich dann Compliance weiter aus? Was muss ich dann machen? Wenn ich nämlich dieses Defense-Modell gar nicht habe, weil ich die Leute und die Organisation nicht habe und auch die Abteilungen nicht habe. Das ist ein Dilemma, das, was man, ich möchte es vielleicht ketzerisch sagen: Wenn ich als Geschäftsführung sage, ich möchte Compliance, aber ich bin nicht bereit, die Ressourcen bereitzustellen in die Organisation, dann will ich es nicht. Dann bin ich in der Situation, wo ich sage, das ist Feigenblatt-Compliance, wenn ich am Markt herzeigen kann, ich habe einen Code of Conduct. Alle Benchmarks, ISO-Normen, wir haben im Bereich der Compliance ISO-Normen, mehrere, und alle diese Benchmarks sagen, es ist Aufgabe der Geschäftsführung, der Compliance die ausreichenden Ressourcen zur Verfügung zu stellen.

Wenn ich das nicht mache, dann will ich es ja in Wirklichkeit nicht. Ich kann nicht Marathon laufen, wenn ich nicht trainiere, dreimal die Woche, und drei verschiedene Sportgewänder habe. Das funktioniert nicht. Da braucht man sich nicht wundern, dass man keinen Marathon laufen kann, wenn man das nicht dreimal die Woche übt. Ich brauche die Ressourcen, ich muss mich auch entsprechend ernähren etc. etc. Und das gilt für die Compliance-Organisation genauso. Also ich kann … nicht eine Anforderung an die Organisation stellen, ohne die entsprechenden Ressourcen bereitzuhalten. Das ist schwierig. Wie erklärt man dann einem Staatsanwalt bei einer Hausdurchsuchung auf die Frage: Weshalb haben Sie das Risiko nicht im Griff, und weshalb haben Sie das Risiko nicht mitigiert?

Ich habe kein

Personal dafür gehabt. Ich habe dafür keine Ressourcen gehabt. Das ist keine gute Verteidigungsposition. Also ich muss, und wir haben ja im Strafrecht ein Konzept, das nennt sich Full Defense. Das kommt aus dem US-amerikanischen Strafrecht. Wir haben es in der Verbandsverantwortung mittlerweile ja auch so. Und das ist eigentlich ein gängiges Prinzip: Ich werde nicht bestraft als Organisation, wenn ich nachweisen kann, dass ich ein wirksames Compliance-Management-System habe. Kann ich das nicht nachweisen, dann werde ich bestraft. Punkt. Das ist das Organisationsverschulden, das ich erwähnt habe, und das kommt aus den United States Sentencing Guidelines. Das war sozusagen aus den 60er-Jahren und hat sich weltweit eigentlich so entwickelt, und das ist ein Standard.

Jetzt kann man auch sagen, gut, aber ich muss immer auf die Kosten schauen, das ist auch richtig, warum soll Compliance jetzt so überbordend bezahlt werden, warum macht man es nicht beim Fuhrpark und anderen Themen, die auch wichtig sind? Das ist klar, man muss es mit Augenmaß machen, aber das Augenmaß beginnt dort, wo ich mein Risiko verstehe. Wenn ich mein Risiko nicht verstehe, dann kann ich kein Augenmaß haben, dann mache ich eine Herzoperation, und in Wirklichkeit habe ich eine Blinddarmentzündung gehabt, und dann gibt es diesen Mismatch. Das bedeutet, deswegen bin ich persönlich so ein großer Fan von der Risikoanalyse, und das dauert oft. Ich habe selber Risikoanalysen gemacht in großen Konzernen.

Es hat eineinhalb Jahre gedauert. Wir sind halt wirklich in die Tiefe gegangen. Man kann auch in der höheren Flughöhe beginnen, so wie du es beschrieben hast. Ist auch kein Problem. Ist man ein bisschen höher unterwegs und macht vielleicht im nächsten Jahr ein bisschen eine Vertiefung, oder man nimmt sich dann bestimmte Konzerngesellschaften heraus. Das ist alles in Ordnung. Man muss auch Geduld mitbringen. Aber ohne dieses Risiko zu verstehen, dann anfangen, am offenen Herzen zu operieren, ist, glaube ich, nicht gut. Ich könnte mir schon in kleineren Organisationen ein perfektes Compliance-Management-System vorstellen, ohne einen einzigen Compliance Officer. Also stellen wir uns vor, ein Mittelbetrieb oder ein Kleinbetrieb mit sieben Mitarbeitern.

Der Lackierermeisterbetrieb, der

Eigentümer kommt in der Früh rein und sagt: Passt auf, drei Prinzipien. Den Lack tut man nie in den Gully schütten. B, das Auto gehört so abgedeckt. Und ich hätte gern, dass ihr die Arbeitszeiten genau erfasst, und wenn ihr den Lack verwendet, nehmt ihr Masken, weil das ist eine hochgiftige Geschichte. So, dann schaut er am Abend in den Gully rein: Hat jemand was reingeschüttet? Dann schaut er sich die Stechuhren an, und dann schaut er sich die Fahrzeuge an. Und kontrolliert, ob das Verhalten eingehalten wird. Und dann sagt er noch: Und im Übrigen, wenn ich einen von euch erwische, dann setzt es was. Das ist ein perfektes Compliance-Management-System. Ich brauche nicht mehr. Ich habe den Tone from the top, er kennt die Risiken selbst, die operativen Risiken, kommuniziert sie, sagt, wie man sich zu verhalten hat, und er kontrolliert es. Und wenn er was sieht, spricht er es an und sanktioniert es.

Das sind eigentlich die wesentlichen Bausteine. Er braucht auch kein Audit, weil er schaut sich das jeden Tag an. Das heißt, ich habe alle meine Bestandteile, Whistleblowing fehlt noch, aber braucht er vielleicht nicht, weil er so klein ist. Aber ich kann das mit Hausverstand, das hat mir sehr gut gefallen, mit Hausverstand auch machen, wenn ich eine kleine Organisationsform bin. Umso größer ich werde, umso schwieriger wird das. Weil ich habe dann plötzlich 100 Führungskräfte, und da ist natürlich der Punkt, die richtigen Leute auszusuchen, weil du hast es schon gesagt: Tone from the top. Tone at the top. Tone at the top heißt Vorbildwirkung. Wenn ich von meinen 100 Leuten in der Führungsebene 50 habe, die diese Vorbildwirkung nicht haben, habe ich keine Compliance.

Es funktioniert einfach nicht, weil die Regeln selbst von denen nicht eingehalten werden. Wenn unser Finanzminister keine Steuern zahlt, dann denkt sich jeder Bürger: Warum soll ich Steuern zahlen? Richtig. Und wenn der CEO sagt oder einer der Vorstände, es ist absolutes Rauchverbot, aber das gilt nicht im 5-Meter-Umkreis von ihm selber, weil er ständig im Zimmer raucht, dann gibt es diese Regel nicht. Das heißt … Es ist extrem wichtig, die Top-Führungskräfte nach ethischen und moralischen Gesichtspunkten auszuwählen, auch eine Diversity-Situation herbeizuführen. Wir haben ganz klare Indikationen, dass, wenn wir Frauen in Vorständen haben oder ein diverses Board, ist es auch für die

Compliance extrem wichtig, weil Compliance setzt auch voraus: den Mut, sich zu äußern, den Mut, Fehler zuzugestehen, setzt einen Diskurs voraus. Compliance verträgt eines nicht: Despotismus, Führung als Gutsherr. Wo wir diese starken autokratischen Strukturen haben, da tut sich die Compliance schwer. Und umso multikultureller, umso diverser meine Führungsebenen sind, umso mehr brechen diese Gefahren einer Autokratie, eines Despotismus: Alle sind gleich, alle tragen denselben Anzug, alle kommen aus derselben Schule, alle haben in Harvard studiert. Das muss man aufbrechen. Jetzt kommt ein wesentlicher Punkt nämlich dazu, der mich in der Praxis immer wieder umtreibt. Wir haben den Willen, wir haben die Risk Assessments, und jetzt kommt plötzlich …

Unternehmenskultur dazu. Also jetzt kommen Werte, jetzt kommt Kultur dazu. Leadership, also Compliance als Teil von Leadership, erachte ich als unfassbar wichtig. Und ich glaube, dass das noch besser den Tone from und Tone at the top beschreibt, wenn Compliance auch Teil des Leadership ist. Es kommt aber darauf an. Und darum auch sind deine Ausführungen so interessant: wie man Leadership versteht. Weil wenn ich sage, Leadership verstehe ich, also ich motiviere, ich inspiriere, ich nehme an die Hand, fördere, dann sind das eigentlich Maßnahmen, und dann sind das Aktivitäten, die ja dazu führen, dass ich meine Mitarbeiterinnen und Mitarbeiter mitreiße, dass sich eine Loyalität entwickelt. Diese Loyalität führt ja dazu, dass viel weniger Fehler gemacht werden, weil, wenn ich mich dann so verhalte wie meine Führungskraft, dann will ich ja auch gefallen, und dann will ich ja Teil dieser Kultur sein.

Das heißt, ich schaffe es ja zusätzlich, dadurch auch die Risiken zu vermindern. Und das ist so schön, wenn man sagt, Compliance ist nicht nur Regeltreue und ist nicht nur dieses „Regeln, und wir müssen Gesetze, Richtlinien und Sonstiges“, sondern das ist eigentlich beinharte Kulturarbeit. Und der oder diejenigen, die nicht verstehen, dass die Compliance-Organisation Kulturarbeit betreiben muss, um Risiken im Unternehmen … und vermindern zu können, die haben nie verstanden, und die haben nicht verstanden, was echtes Leadership bedeutet, und die haben auch nicht verstanden, was Compliance ist. Wenn zu mir jetzt jemand sagen müsste oder wenn zu mir jemand sagen würde: Kümmere dich um eine Richtlinie, kümmere dich um die Regeln und um Sonstiges, und was kommst du jetzt

mit dem Thema Diversity, und warum kommst du jetzt mit dem Thema Diskriminierung und Sonstiges, dann würde ich sagen: Sorry, du hast nicht verstanden, was mein Job ist. Compliance ist Kulturarbeit. Und Kulturarbeit, das klingt so nett, aber das ist beinharte Arbeit. Das ist ein Einwirken, das ist ein Ändern von Mindset. Das ist aber auch ein Risiko. Warum ist es ein Risiko? Weil das nicht jedem gefällt. Ich tue mir als schwuler Mann ein bisschen leicht, über Diversity zu reden, weil man mir die Geschichte schlichtweg abkauft und weil ich eine intrinsische Motivation habe und weil es Teil meines Lebens ist. Aber das ist nicht überall so. Manche sagen: Was interessiert mich jetzt Diversity? Ich fühle mich ja nicht diskriminiert.

Naja, in Unternehmen, wo 80 % Männer sind, die … Heteros sind, glaube ich gleich, dass da das Risiko einer Diskriminierung von Männern, die hetero sind, relativ gering ist. Aber die Risiken sind Themen der Compliance, weil es Kulturthemen sind. Also jetzt haben wir den Willen, jetzt haben wir das Risiko, und jetzt haben wir die Kultur. Und ich glaube, dass man aus Compliance verpflichtet ist, wesentlich auf die Kultur einzuwirken. Also ich glaube, dass das unsere Grundaufgabe eigentlich ist. Du weißt es ja selber, dass … ein wertebasiertes Management natürlich viel stärker ist. Also wenn ich doch mit Werten führen kann anstatt mit Regeln, ist das viel effizienter und viel wirksamer. Wie erkenne ich das eigentlich, ob ich mit Werten führe?

Ich glaube, man müsste Mitarbeiterinnen und Mitarbeiter fragen: Wenn sie die Schwelle des Unternehmens betreten, spüren sie da was? Für was steht das Unternehmen? Für welche Art des Verhaltens steht das Unternehmen? Wie machen wir unser Geschäft, und wie machen wir unser Geschäft nicht? Und wenn ich es schaffe, wertebasiert zu führen, brauche ich immer weniger Regeln. In einer perfekten Welt gibt es kein Compliance-Manual mehr, es gibt keine Policies und Richtlinien, weil die Ethik-Nordung und die Nordung, der Kompass, so stark im Unternehmen ist, dass das eh klar ist, nach welchen Prinzipien man sich verhält, und dann brauche ich nicht so sehr ins Detail gehen und so detaillierte Regeln haben. Und die Frage ist natürlich immer: Wie entsteht Kultur?

Das ist natürlich eine ganz schwierige Frage. Und Kultur wird meistens geprägt durch die Eigentümer des Unternehmens. Kultur wird dann auch geprägt durch die

Top-Führungsebene. Und da komme ich wieder zurück zu dem Tone from the top und Tone at the top. Die geben ja vor, durch ihr tägliches Verhalten, wie sie sich eigentlich das Leben in dem Unternehmen vorstellen. Und das ist natürlich kulturprägend. Die Kultur oder das Wertemanagement könnte auch von unten kommen. Es gibt Konzerne, die arbeiten zwei, drei Jahre lang mit der gesamten Mannschaft weltweit, um ihre Wertemodelle zu erarbeiten. Für was stehen wir eigentlich? Und dann nimmt man die ganze Mannschaft mit. Wenn man das gut macht, dann könnte man auch sagen, Frauenschaft. Wenn man das gut macht, dann … hat man natürlich ein viel, viel stabileres und akzeptierteres System, weil es auf Werten basiert und nicht nur auf Verhalten.

In der Psychologie sehen wir das ja: Verhalten kann ich relativ leicht verändern. Ich brauche nur entweder ganz streng seine Sanktionen aussprechen, und jeder wird sagen, na gut, dann machen wir es halt so. Wenn ich es schaffe, das auf Werte zu gründen, aber Werte zu verändern ist viel schwieriger, oder Glaubenssätze, das ist viel schwieriger in der Veränderung, aber viel stabiler, weil dann ergibt sich mein Verhalten aus einem Wert. Und ganz am Ende ist die Identität, aber das ist sozusagen, wenn man jetzt deiner Katze sagen würde: Du bist ab morgen keine Katze, sondern ein Hund, und deswegen bellst du ab morgen. Das ist natürlich extrem schwer, aber es gibt sehr starke Unternehmenskulturen, wo ein Change-Management deswegen so schwer ist in Richtung Regelkonformität, weil es so stark verankert ist, über viele Generationen, wie man sich verhält.

Und da kann es eigentlich nur eine Veränderung geben, wenn die Führungsspitze sagt: Wir wollen bestimmte Dinge nicht mehr haben, ab jetzt gilt das und das und dann … Dreht man die Kultur um. Aber ich glaube, das hast du gesagt, dass Kultur, wenn man das schafft, hat man viel, viel weniger Aufwand im täglichen Doing, wenn man diese kulturellen oder Werteaspekte hineinbekommt. In der Compliance ist es auch wichtig, du hast es angesprochen, 80 Prozent Männer oder 90 Prozent: Natürlich haben wir kein Diversity-Problem oder wie auch immer, weil keiner sagt es. Compliance hat eine große Aufgabe: Man muss die zum Sprechen bringen, die nicht gehört werden. Absolut. Weil es

ist nicht so: Wir haben kein Problem, weil keiner was sagt, sondern wir haben ein Problem, weil bestimmte Gruppen nie etwas sagen. Richtig. Das ist das große Problem. Oder wenn man zum Beispiel behaupten würde oder sagen würde: Sagen wir Ihnen nicht, dass Sie diskriminiert werden, weil dann haben wir ja mehr Fälle. Vielleicht kommen Sie drauf. Vielleicht kommen Sie drauf. Vielleicht kommen Sie drauf. Also ja, Kulturarbeit. Und da würde ich jetzt behaupten, aufgrund deiner Ausführungen, dass, wenn du sagst, das ist eigentlich die Idealwelt, dann ist ja Compliance, richtig erfolgreiche Compliance, vertrauensbasiert und eben nicht kontrollbasiert. Weil ja, wenn ich vertrauen kann, dann vertraue ich ja in die Werte, und dann vertraue ich ja eigentlich in die Integrität meiner Mitarbeiterinnen und Mitarbeiter.

Das Ziel sollte eben sein: weniger Regeln, so würde ich das jetzt interpretieren. Ja, weniger Regeln, und du hast völlig recht. Ich selber bin ja auch Geschäftsführer einer Einheit, und ich habe manche Kontrollprozesse auch bei mir, wenn es um Transaktionen geht oder Geld rein, Geld raus. Und ich sage diesen Personen, die dafür zuständig sind: Ich vertraue euch. Ihr werdet das Richtige machen. Das bestärkt sie gleichzeitig, gibt ihnen noch mehr Verantwortung, und das sind die richtigen Leute. Das weiß ich. Die habe ich nach bestimmten Kriterien ausgesucht. Und ab und zu, ganz, ganz selten, kontrolliere ich. Aber ich kontrolliere nicht ungut. Ich frage nach: Wer ist dieser Lieferant? Warum überweisen wir an diesen Lieferanten 37,30?

Ich kenne den Lieferanten nicht, und ich kenne das Produkt nicht. Und das zeigt ihnen, dass ich mich kümmere. Ich schaue mir gar nicht die großen Rechnungen an, weil die Compliance-Probleme sind immer in the dark oder under the surface. Die großen Sachen sind nicht so oft, es beginnt ganz im Kleinen. Und das sind so kleine Hygienefaktoren, die man auch … Vertrauen setzt auch ein bisschen voraus, Rechenschaft abzulegen, wechselseitig, und auch zu hinterfragen, warum bestimmte Dinge sind. Das ist kein Misstrauen, sondern einfach ein Verständnis, und das hält eigentlich die Organisation tatsächlich fit. Immer wieder Geschäftsmodelle hinterfragt, oder warum man etwas tut und ob das sinnvoll ist etc. Aber ich glaube, das ist ganz, ganz wichtig.

Ich möchte noch ein anderes Beispiel geben. Mir sagen immer die Manager: Ich

verstehe die Welt nicht mehr. Ich habe 120 Mitarbeiter, ich habe ein Budget von 150 Millionen, ich habe große Projekte, und jetzt sagt mir Compliance, ich darf niemanden zum Essen einladen über 50 Euro. Das ist ein Blödsinn. Naja, und die sagen: Ihr habt kein Vertrauen zu mir. Ihr vertraut mir so viel Geld an, ihr gebt mir so viel Führungsverantwortung, und dann wollt ihr mich kontrollieren wegen 50 Euro? Welches Menschenbild habt ihr von mir? Was macht das mit mir? Was sagt sie mir damit? Sagt sie mir damit: Wir haben Angst, du bist korrupt, wir haben Angst, du bist unethisch? Das heißt, ich muss ja auch aufpassen, was ich mit diesen Regeln bewirke. Vertrauen in die Menschen hineinzusetzen ist, glaube ich, ganz, ganz wichtig.

Vertrauensbasiert zu führen, mit Vorbildwirkung zu führen. Aber da ist es auch ganz wichtig: Wenn man Fehlverhalten entdeckt, muss es entsprechend auch adressiert und sanktioniert werden. Also das ist ganz, ganz wichtig, weil das Fehlverhalten darf nicht toleriert werden. Ich darf da nicht mit Augenzwinkern drüber hinwegsehen und dann sozusagen: Wir sind alle Freunde. Das ist nicht so. Es gibt Prinzipien und Regeln, und wenn diese Prinzipien gebrochen werden, bist du nicht mehr Part unserer Organisation. Ganz einfach. Du gehörst hier nicht her. Und jetzt hast du zu Beginn gesagt, dass die Regeltreue, Compliance ist quasi richtig übersetzt Regeltreue. Wenn das, was du jetzt sagst, würde mich eher dazu verleiten, Compliance als „Verantwortung übernehmen“

zu übersetzen, weil, wenn ich sage, jeder im Unternehmen und alle sind verantwortlich für Compliance im Unternehmen, dann würde ich jetzt sagen, okay, Compliance ist jetzt nicht Regeltreue, sondern Compliance ist schlichtweg übersetzt: Verantwortung übernehmen. Mein lieber Freund Martin. Du hast mir auch einiges beigebracht. Und du hast mir, und ich lerne von allen, und ich lerne sehr viel von dir, weil du so ein Champion bist in dem Bereich und das so eine Herzensangelegenheit ist. Du hast mir selber mal gesagt, und das ist für mich jetzt, das gebe ich dir jetzt zurück, du hast mir gesagt: Compliance ist Beziehungsmanagement. Und das ist, glaube ich, genau das Richtige zu sagen. Wie verhalte ich mich wem gegenüber?

Es geht nicht um Regeln, Regeln, Regeln, sondern: Welche Art von Verhalten habe ich meinen Mitarbeitern gegenüber? Welche Art von Verhalten habe ich Kollegen gegenüber? Welches Verhalten habe ich zu Lieferanten gegenüber, zu Kunden gegenüber, zum Markt etc.

und zur Umwelt? Wie gestalte ich meine Beziehung um mich herum? Und das ist … Eigentlich ist das Compliance. Wie Beziehungsmanagement. Und ich finde das eigentlich viel, viel attraktiver als Regelkonformität zu sagen: Verhalten wird ausgerichtet an bestimmten Leitplanken, und so wie man auch höflich ist, besticht man auch niemanden. Das ist ein Teil vom Verhalten, vom Beziehungsmanagement. Das ehrt mich tatsächlich sehr. Dankeschön dafür. Also wenn das von dir kommt, das ehrt mich wirklich. Und es lässt sich auch tatsächlich ganz einfach beschreiben, weil: Das Risiko ist der Mensch. Die Lösung ist der Mensch. Und dazwischen das Bindeglied ist die Compliance. So ist es. Wie schaffen wir es, dass die Kolleginnen und Kollegen verstehen, was sie tun dürfen und was sie nicht tun dürfen?

Also bei mir im Unternehmen würde ich sagen, durch Schulungen. Also Richtlinien, Regeln, Schulungen. Also dass man denen das auch beibringt, was sie tun dürfen, was sie nicht tun dürfen. Jetzt hast du vorhin gesagt, Whistleblowing. Auch beim Whistleblowing ist es ja so, dass das Unternehmen verpflichtet ist oder die Geschäftsführung verpflichtet ist, eine Infrastruktur zur Verfügung zu stellen und finanzielle Ressourcen bereitzustellen und auch personelle Ressourcen bereitzustellen. Warum ist Whistleblowing so wichtig für Compliance? Ich gehe nochmal zum Kulturthema zurück, das du angesprochen hast. Oder Lehrbüchern. Übrigens unterrichte ich, ich habe eine Professur für Compliance an der Central European University.

Das ist die erste Universität, die Compliance als Unterrichtsfach hat. Ist interdisziplinär, weil das lernt man nicht natürlich so. Das hat mit Juristen nichts zu tun. Da sind viele Disziplinen drin. Worauf ich noch aufmerksam machen wollte, bei der Kultur: Als wir Whistleblowing jetzt bekommen haben als Vorgabe von der EU, haben sich alle: Ich brauche ein technisches Tool, ich muss jetzt irgendwelche Prozesse einrichten. Das ist alles, alles, alles richtig. In der Compliance-Kultur ist Whistleblowing ein ganz anderes Element. Whistleblowing ist in Wirklichkeit die Aufforderung an die Mitarbeiterinnen und Mitarbeiter, dass sie nicht wegschauen, dass man sagt, die Botschaft ist: Compliance geht uns alle an. Und wenn ihr einen Missstand entdeckt, dann bitte zeigt es auf.

Zeigt es auf. Und dann beginnt das, eine Kultur zu werden, weil es eine Verantwortung von jedem ist. Und ich rede nicht von Vernadern. Vernadern kommt so ganz, ganz selten vor. Tatsächlich, nämlich. Ja, tatsächlich, nämlich. Sondern ich rede davon, einfach, dass wir uns alle gemeinsam schützen. In der Compliance geht es auch nicht darum, jemanden rauszuschmeißen. In der Compliance geht es darum, dass wir die Organisation stabil halten und dass wir uns wechselseitig helfen, uns richtig zu verhalten. Und eins muss ich auch dazu sagen, wenn man sich mit Menschen beschäftigt, so wie du und ich: Menschen sind nicht perfekt. Menschen sind Versuchungen ausgesetzt, und das ist ganz normal, und die kommen unter Druck.

Und was man oft vergisst: Die Mitarbeiterinnen und Mitarbeiter, die Compliance-Verstöße begehen, machen das oft im Interesse des Unternehmens. Die machen das gar nicht, um sich zu bereichern. Die wollen das Gute für das Unternehmen und gehen da in ein Risiko hinein, in ein persönliches, wo sie eigentlich gar nichts haben, weil sie eben so loyal zum Unternehmen sind. Und ich glaube, da ist die Verantwortung der Mitarbeiter, uns zu sagen: Ihr könnt euch entspannen. Wir wollen von euch kein illegales Verhalten. Ihr könnt euch entspannen. Das sind die Leitplanken. Und solange ihr euch darin bewegt, seid ihr bei uns super aufgehoben. Das Whistleblowing ist dann quasi auch Teil oder die Möglichkeit, an Compliance auch aktiv zu partizipieren.

Ja, weil, wenn ich sage, ich gebe da die Möglichkeit, Fehlverhalten zu melden, und ich habe die Leitplanken, und ich sage, ich will gar nicht, dass du dich … nicht integer verhältst, aber wenn du es feststellst und erkennst, dass sich jemand nicht daran hält, oder wenn du ein Risiko identifizierst, also wenn man nämlich versteht, Whistleblowing jetzt nicht nur als „Bitte melde mir, wenn jemand ein Fehlverhalten setzt“, sondern „Melde mir auch, wenn du Risiken im Unternehmen identifizierst“, dann würde ich behaupten, ist eigentlich dieser Schritt des Whistleblowings auch die Möglichkeit, den Kolleginnen und Kollegen, Mitarbeiterinnen und Mitarbeitern die Möglichkeit einzuräumen, tatsächlich aktiv zu partizipieren an dem Thema Compliance, weil vorher kriegen sie nur die Infos, und sie kriegen quasi den Rahmen, aber da ist wirklich dieses, da ist gefragt, aktiv teilzunehmen und auch sich selbst als Risikomanagerin oder Risikomanager oder möglicherweise Compliance Officer zu verstehen und auch so zu identifizieren.

Genau. Also natürlich, und da spreche ich jetzt nicht nur, weil ich selbst ein Unternehmen habe, das Compliance-Prozesse digitalisiert, oder weil ich selbst in dem Unternehmen, in dem ich Compliance Officer bin, mit einer Software arbeite, nämlich mit derselben. Aber Compliance ist mittlerweile ja so komplex, und diese ganzen Dinge, die da passieren, sei es Whistleblowing, sei es das Risk Assessment, sei es Sonstiges, das schaffe ich ja nicht mehr ohne eine Software. Also auch das Thema Digitalisierung und Software umtreibt ja eigentlich die Compliance. Also … Und merkst du da irgendwelche Veränderungen? Ist da irgendwas, wo du sagst, darauf müssen wir auch Acht geben, auch im Zusammenhang mit KI zum Beispiel?

Ich glaube, es gibt, wenn man aus dem Risk Assessment, aus der Risikoanalyse herauskommt und dann die Geschäftsprozesse versteht, wo sich das Risiko ereignen kann, also nicht auf einer Metaebene, wir könnten ein Korruptionsrisiko haben, weil, sondern wie schaut das Korruptionsrisiko im Geschäftsprozess genau aus, und wenn man das Risiko so versteht, dann kann man mit Technologie sehr viel erreichen, indem ich die Maschine in diesen Prozess hineinlasse, und diese Maschine erkennt für mich Auffälligkeiten, die eigentlich in dem Prozess nicht stattfinden sollten. Sei es, dass sich jemand eingemischt hat in den Prozess, der eigentlich gar nicht der Prozess-Owner ist, sei es, dass die Wertverhältnisse in diesem Ablauf zu dem Projekt nicht passen.

Also es gibt dann Red Flags, die die Maschine mir sehr, sehr wohl bringen kann, nämlich weltweit, ohne dass ich arbeiten muss. Also die Maschine kann viel, viel für mich, für uns erledigen. Wenn ich meine, umso besser ich mein Risiko verstehe, umso besser. Umso leichter geht das. Das sehe ich auch so. Also ich kann sagen, unser Compliance-Management-System im Unternehmen orientiert sich ganz stark an der Software, und die nimmt uns tatsächlich sehr viel ab. Sei es beim Risk Assessment, beim Whistleblowing, sei es bei der Lieferkette oder Sonstiges. So, wir müssen ein bisschen auf die Zeit schauen. Wie gesagt, ich habe ja meinen Meister in dir gefunden. Ich habe auf LinkedIn, da bin ich, manche würden sagen, ich bin sehr aktiv auf LinkedIn, und das macht mir auch eine Freude.

Das ist das einzige Social Media, wo ich wirklich aktiv bin. Und da habe ich gelesen von jemandem, der sagt, er beschäftigt sich mit Compliance, dass

eigentlich dieser Grundsatz Null-Toleranz-Politik tot ist. Da habe ich ein bisschen geschluckt. Würdest du sagen, Null-Toleranz-Politik als quasi die Reaktion auf alles, was dann passiert, nämlich als Konsequenz, die Null-Toleranz-Politik ist längst überholt? Würdest du das unterschreiben, oder würdest du sagen, nein, das sehe ich ganz anders? Ich glaube, es gibt ja oft ein Missverständnis im Diskurs, was Null-Toleranz oder Zero Tolerance bedeutet. Zero Tolerance bedeutet, und das ist, glaube ich, das Richtige: Wenn ein Fehlverhalten zutage tritt, dann wird das Fehlverhalten sehr adäquat adressiert. Zero Tolerance bedeutet nicht, ich schmeiße jeden raus, der ein Fehlverhalten getätigt hat, sondern ich muss, mein Verhalten und auch die Sanktionen müssen adäquat zum Fehlverhalten sein.

Zero Tolerance, ja. Es gibt kein Fehlverhalten, das ich nicht adressiere, wenn ich es gesehen habe. Es gibt das nicht. Aber das heißt nicht, ich schieße mit Kanonen auf Spatzen. Also bei kleinen Fehlverstößen wird es ein Gespräch geben. Vielleicht ist es eine Aufklärung: Hat jemand die Regeln nicht verstanden? Es war ein Graubereich, den er nicht ausgelotet hat. Das kann passieren. Das kommt sehr, sehr oft vor. Und ich darf meine Mannschaft nicht verschrecken und meine Frauenschaft nicht verschrecken, indem ich mit Kanonen auf Spatzen schieße. Aber ich darf auch nicht wegschauen und das lassen, weil wir haben in der Compliance folgende Situation: Fehlverhalten wächst in der Dimension, wenn man es nicht beim Kleinen schon adressiert.

Weil, wenn ich ein Fehlverhalten zulasse, dann ist mein Feedback aus der Organisationsleitung: Das ist für mich okay. Und der Appetit der Mitarbeiterinnen, Mitarbeiter, das Fehlverhalten zu steigern, ist damit größer. Weil die Frauenschaft und Mannschaft … Jeder testet immer aus: Was ist noch okay? Denk an die Kindererziehung. Was geht noch? Darf ich noch meine Füße auf den Tisch legen? Darf ich sie nicht auf den Tisch legen? Darf ich sie mit Schuhen auf den Tisch legen oder barfuß? Und jeder, der sich mit Erziehung beschäftigt, weiß eigentlich, was das bedeutet. Und deswegen, glaube ich, ist es ganz wichtig, dass man Zero Tolerance, ja. Aber mit Augenmaß bei der Sanktion. Vielen Dank. Also ich habe ja gewusst, dass das kommt.

Also ganz ehrlich, ich sehe das genauso. Null-Toleranz ist tatsächlich …

Ist nichts Böses. Ist nichts Böses. Und das ist auch tatsächlich, was es sein sollte. Weil sonst komme ich in die Diskussion mit: Was ist nur erlaubt und was ist nicht erlaubt? Und du stehst mir mehr zum Gesicht, und darum ist es jetzt nicht so schlimm. Und gestern war 80 Grad heiß, und morgen ist 100 Grad kalt. Völlig richtig, völlig richtig. Also kann man an diesem Punkt sagen: Null-Toleranz-Politik ist tatsächlich auch das, was in den Richtlinien drinstehen sollte. So, jetzt hast du vorhin gesagt, du wirst am Ende deiner Ausführungen … Wirst du sagen, was ein Compliance-Management-System ist? Oh, um Gottes willen. Ich muss es ganz kurz machen, weil wir wollen ja nicht die ganze Welt stundenlang mit Compliance, wobei es ganz wichtig ist und immer wichtiger wird in unseren Gesellschaften, leider.

Ein System, sagt das Wort schon für sich aus, ist ein System. Das heißt, ich implementiere etwas, was einen Regelbetrieb ermöglicht, und das System besteht aus Tone from the top und at the top, Risk Assessment in regelmäßigen Abständen, Compliance-Schulungen, das nennen wir dann Tools, also Schulungen, Policies, Guidelines, alles, was zur Verhaltensänderung führt. Dann gehören dazu Compliance-Audits, ich muss das Verhalten meiner Mitarbeiterinnen und Mitarbeiter ja auch kontrollieren und checken, ob das eingehalten wird, und dann kommt noch Whistleblowing dazu, und das ist ein System, das sozusagen ständig im Kreis wandert und sich verbessert und verbessert und verbessert. Ich habe überall Lessons learned, dann verbessere ich etwas, ich erkenne etwas aus dem Audit, ich erkenne etwas aus dem Whistleblowing heraus und habe einen Regelbetrieb, der hier stattfindet.

Also ich manage mein Risiko. Ich nehme es bewusst in die Hand und führe strategisch mein Unternehmen an diese Leitplanken heran. Und das ist oberste Führungsverantwortung, das zu tun. Vielen Dank. Du hast mir jetzt in Wahrheit die Zusammenfassung schon vorab genommen. Das ist total super. Da haben es die Zuhörerinnen und Zuhörer von dir schon gehört. Lieber Alexander, zum Abschluss gibt es für dich auch noch eine kleine Frage. Quiz? Ein Quiz. Nein, es ist nicht wirklich ein Quiz. Es ist das Code-of-C-Wort, das C-Wort: Compliance in einem Wort. Wenn du jetzt, nach dem, was wir alles besprochen haben: Was ist Compliance für dich in einem Wort? Ordentlich verhalten.

Auch das hatten wir schon in der ersten Folge: Sagt man zu einem Juristen oder zu einem Anwalt, in dem Fall auch zu einem Compliance-Experten, bitte ein Wort, kommen zwei. Damit können wir leben, weil es war wunderbar. Lieber Alexander, deinen Ausführungen und deiner Zusammenfassung habe ich in Wahrheit nur ganz wenig hinzuzufügen. Und zwar: Vergessen Sie nicht, bei der Compliance steht der Mensch im Mittelpunkt. Und vergessen Sie auch bitte nicht, dass Compliance auch immer bedeutet: Compliance ist Veränderung. Also Compliance ist nicht ein statisches System, sondern Compliance verändert sich ständig und laufend. Und bleiben Sie am Puls der Zeit. Und vor allem sehen Sie die Zeichen der Zeit. In diesem Zusammenhang, lieber Alexander, ich bedanke mich recht herzlich. Vielen Dank für die Einladung. Es war mir eine große, große Freude. Vielen Dank. Komm gut nach Hause. Und für Sie: Bleiben Sie compliant. Bleiben Sie ein guter Mensch. Ihr Martin Reichetseder.