Compliance by Design - warum die Qualität der Feuerwehr nicht den Brandschutz bestimmt

00:48 Für mich ist in der Compliance insbesondere wichtig, dass wir uns vom Risiko zur Wirkung bewegen. Niemand bewertet den Brandschutz anhand der Qualität der Feuerwehr. In sehr vielen Unternehmen ist es immer noch so, dass die Compliance und auch natürlich die Juristinnen und Juristen im Unternehmen sehr oft die Rolle der Feuerwehr übernehmen. Wir sind ja schon sehr mächtig, wenn wir Entscheidungen revidieren können! Und es ist natürlich eine unangenehme Wahrheit, wenn ich sage, Compliance by Design ist ein Machtverlust. Das ist aber nur dann ein Machtverlust, wenn wir uns über Freigaben definieren. Wenn wir uns aber über Entscheidungsprozesse zum Beispiel definieren und wenn wir unsere Wirkung in den Prozessen definieren, werden wir nämlich wirklich vom Gatekeeper zum Architekten!

01:33 Herzlich willkommen zu einem neuen Compliance-Bootcamp von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer. Ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber!

01:50 Seit der letzten Interviewfolge sind wir mit der Reise durch die Planung, die Implementierung und den Betrieb eines Compliance-Management-Systems fertig. Also die letzte Folge von vor zwei Wochen war mit Christine Catasta eine Folge, die mich immer noch beschäftigt, auch aufgrund der vielen Rückmeldungen und aufgrund des guten Feedbacks zu dieser Folge. Also noch einmal vielen herzlichen Dank an dieser Stelle. Ich möchte das heutige Bootcamp, und es ist wieder eine Solo-Folge, also völlig außerhalb meiner Komfortzone, dazu nutzen, den Kern der Reise, die wir jetzt über die letzten Monate gemeinsam gemacht haben, ein bisschen zusammenzufassen. Es wird eine kurze Folge und vielleicht auch ein kleiner, kurzer Impuls zur Frage, wie wir uns selbst in Zukunft positionieren als Compliance Officer, denn nach meinem Verständnis liegt ja die Zukunft von Compliance eher, ich würde sagen, in der Prozessarchitektur und nicht mehr ausschließlich im Richtlinienschreiben.

02:46 Doch bevor wir in unser heutiges Bootcamp-Motto „Compliance by Design – warum die Qualität der Feuerwehr nicht den Brandschutz bestimmt“ einsteigen, gibt es noch unsere Code-of-C-Empfehlungsrunde! In den Bootcamp-Folgen gibt’s ja statt dem Check-in immer eine persönliche Empfehlung von mir. Meine heutige Empfehlung bezieht sich auf das Buch „Digitalisierung der Rechtsabteilung“, das von Sophie Martinetz herausgegeben wurde und im Springer-Verlag erschienen ist. In diesem Buch habe ich selbst zwei Kapitel beigesteuert, und zwar zum einen Compliance: Was ist Compliance? Was versteht man unter Compliance? Und dann ganz konkret die Digitalisierung von Compliance! Also 50 Seiten von mir beigesteuert zum Buch „Die Digitalisierung“.

03:30 Das Buch selbst ist eine Impulssammlung für die Rechtsabteilung und schafft, ich würde jetzt einmal sagen, mit meinem Kapitel oder meinen beiden Kapiteln auch eine wunderbare Brücke zur Compliance. Und das ist in Wahrheit eine Spiegelung der Realität von sehr vielen Kolleginnen und Kollegen, die sowohl Legal als auch Compliance machen. Ich verlose übrigens ein Exemplar am Ende dieser Folge. Infos zum Buch gibt es natürlich in den Shownotes!

04:02 So, dann sprechen wir ganz kurz über Compliance by Design. Sprechen wir darüber, warum die Zukunft von Compliance nicht ausschließlich, in Klammer, in Richtlinien liegt, sondern in Prozessen. Und wenn wir uns da vielleicht noch ein bisschen unsere Reise in Erinnerung rufen, das, was wir in den letzten Monaten gemeinsam erlebt haben: Wir haben uns einen Compliance-Kreislauf gezeichnet, einen Compliance-Kreislauf, ein Compliance-Management-System, das vor allem wirksam sein soll. Und ich erinnere, wir haben begonnen mit der Kultur. Die Kultur, „Tone from and at the Top“, besprochen, die Wichtigkeit der Vorbildwirkung von Leadern. Und da ist es völlig unerheblich, ob das die Unternehmensführung ist oder ob es die Managerinnen in den Ebenen darunter sind. Wir haben darüber gesprochen, dass Ausdruck der Kultur und Ausdruck des „Tone from and at the Top“ auch die Organisation ist, also quasi das Mandatieren von Menschen im Unternehmen, entsprechende Strukturen für Compliance zu implementieren.

05:03 Wir haben gesprochen über die Compliance Officer, und etwas, das mir ganz wichtig ist: Wir bewegen uns in der Compliance immer vom Risiko zur Wirkung. Das heißt, das nächste Element ist natürlich das Thema Risiken, Risk Assessment, Risikomanagement. Denn wir schaffen kein Compliance-Management-System, wir schaffen keinen Rahmen, in dem sich unsere Kolleginnen und Kollegen frei bewegen können, der nicht auf die Risiken des Unternehmens abzielt. Wenn wir Richtlinien schaffen und wenn wir Regelungen schaffen zu Risiken, die wir nicht haben, haben wir das Thema Compliance nicht verstanden. Wenn wir die Risiken identifiziert haben, wenn wir die Risiken auch evaluiert haben, wenn wir wissen, welche Risiken haben wir im Unternehmen? Was tun wir mit den Risiken? Schauen wir, dass wir die Risiken vermeiden? Schauen wir, dass wir die Risiken übertragen? Akzeptieren wir Risiken oder minimieren, mitigieren wir Risiken? Wenn wir das einmal beschlossen haben und wir das evaluiert haben, dann können wir natürlich auch hierauf basierend, auf dem Risiko, dem Risikoappetit, den wir identifiziert haben,

06:06 unsere Strategie und unsere Ziele festlegen und darauf dann natürlich unser Programm. Im Programm schreiben wir unsere Richtlinien, und zwar nur die Richtlinien, die wir brauchen, die Richtlinien, die tatsächlich notwendig sind. Wir fokussieren uns aber auf Maßnahmen, insbesondere Prozesse. Da komme ich dann später noch dazu, weil das heutige Thema ist ja Compliance by Design, die Prozessarchitektur. Das heißt, wir denken viel mehr in Prozessen und viel weniger in „Tod durch Papier“, also quasi durch eine Vielzahl an Richtlinien. Das nächste Element, um die Reise kurz noch fertig zu machen, ist das Whistleblowing. Ich kann gar nicht oft genug sagen, wie wichtig für mich das Thema Whistleblowing ist. Denn Whistleblowing ist für mich eine Einladung an die Organisation und an die Belegschaft, aktiv am Thema Compliance auch zu partizipieren. Das Thema Whistleblowing oder ein Hinweisgebersystem, ein effektives Hinweisgebersystem, ist eine wunderbare Erkenntnisquelle

07:01 für Risiken im Unternehmen. Darum verdient auch das Whistleblowing ein eigenes Element im CMS. Und natürlich ist für mich das HinweisgeberInnenschutzgesetz eine wesentliche Rechtsnorm, die genau diese Kraft der Hinweisgeberinnen und der Hinweisgeber noch einmal verstärkt! Dann vergessen wir nach dem Whistleblowing bitte nicht auf das Maßnahmenmanagement, also auf die Sanktion, auf das Thema Konsequenz. Es ist unangenehm, Konsequenzen zu setzen, aber ein Compliance-Management-System ohne Konsequenz, ein Compliance-Management-System ohne Sanktion oder ohne Reaktion auf Risiken ist zahnlos, und wenn es zahnlos ist, dann führt sich in Wahrheit das gesamte CMS ad absurdum. Und zum Schluss noch das Thema Kontrolle und das Thema Audit. Das heißt, ohne Kontrolle schaffen wir nicht das Vertrauen, das wir in der Organisation durch die Compliance-Maßnahmen auch verankern, nachzuweisen. Also das Vertrauen und die Verantwortung wird nachgewiesen durch die Kontrolle.

08:04 Und wenn diese Kontrolle nicht besteht, habe ich in Wahrheit keinen Realitätscheck darüber, wie das Thema Vertrauen, wie das Thema Verantwortung oder angemessenes Risikomanagement bei mir in der Organisation auch entsprechend verankert ist. Wir haben dabei gelernt, dass natürlich die Brücke zwischen Compliance und Revision eine sehr gute und eine sehr wichtige ist. Und in Wahrheit sprechen wir in der Compliance zu Recht von den Verbündeten, die wir alle mitnehmen auf unsere Reise beim CMS. Das war jetzt ein kleiner, ein kleiner Shout-out und eine kleine Erinnerung an die Reise, die wir ja begonnen haben und die wir durchgeführt haben. Ich habe es vorhin schon gesagt, für mich besteht Compliance, oder für mich ist in der Compliance insbesondere wichtig, dass wir uns vom Risiko zur Wirkung bewegen. Und der Titel dieser Folge sagt uns das schon: Niemand bewertet den Brandschutz anhand der Qualität der Feuerwehr.

08:56 In sehr vielen Unternehmen ist es immer noch so, dass die Compliance und auch natürlich die Juristinnen und Juristen im Unternehmen sehr oft die Rolle der Feuerwehr übernehmen. Wir sind Gatekeeper! Kontaktiert werden, wenn tatsächlich ein Entscheidungsprozess bereits begonnen hat. Wir werden dann kontaktiert, wenn quasi das Kind bereits in den Brunnen gefallen ist. Viel zu oft ist es so, dass wir dann nur noch diejenigen sein können und dürfen, die Ja oder Nein sagen. Das heißt, wir sind nicht mehr dabei, mitzugestalten, sondern wir haben dann oft die unangenehme Situation, Entscheidungen, die bereits getroffen wurden, wieder zu revidieren, indem wir sagen, nein, das geht sich so leider nicht aus. Das heißt, wir sind dann die Feuerwehr, obwohl es viel sinnvoller wäre, im Prozess vorher schon stattzufinden. Und darum auch diese Analogie zur Feuerwehr. Ja, niemand bewertet den Brandschutz anhand der Qualität der Feuerwehr.

09:54 Brandschutz entsteht durch das Design. Ja, und das ist meine Brücke zu Compliance by Design. Wir müssen die Risiken dort adressieren, wo sie entstehen. Das heißt, in den Entscheidungsprozessen, genau dort, wo eigentlich Compliance stattfinden sollte, dort, wo genau dieser Hausverstand, das Bauchgefühl, der moralische Kompass stattfinden sollte, in den Prozessen, wo Menschen, bevor sie eine Entscheidung treffen, sich noch einmal die Frage stellen: Soll ich das tun, oder soll ich es nicht tun? Nämlich so, dass Compliance am Ende nicht die Fragen stellen muss, sondern dass in Wahrheit die Fragen der Compliance bereits Teil des Prozesses sind. Und da muss man vielleicht nochmal zurückgehen, auch zur Frage: Was ist denn eigentlich unsere Legitimation in der Compliance? Da, bitte, werde ich ja nicht müde, das immer zu sagen! Unsere Legitimation liegt nicht in der Regel. Die Regel bestimmt nicht, wer wir in der Compliance sind.

10:48 Die Legitimation von Compliance liegt immer im Business. Also das Business gibt uns nämlich vor, welche Regel für uns gilt, und darum ist das Business genau das, wonach wir uns auch ausrichten müssen. Das Business sagt uns, welche Regel gilt, das Business sagt uns, wo Risiken entstehen. Die Risiken, die entstehen auch nicht in Richtlinien. Die entstehen nicht im Papier. Risiken entstehen in Entscheidungen. Und darum müssen wir in der Compliance, und das ist auch eine meiner ureigensten Überzeugungen, wir müssen es schaffen, dass Menschen im Unternehmen, für das wir tätig sind, richtige Entscheidungen treffen können. Das heißt, wir haben eine unmittelbare Wirkung, im besten Fall auf den Entscheidungsprozess! So, und jetzt sprechen wir davon, dass Risiken in Entscheidungen entstehen, also entstehen Risiken in Prozessen. Und diese Prozesse, diese Businessprozesse, auf die wir achten müssen und die wir uns ansehen müssen, die müssen natürlich priorisiert werden.

11:46 Wir können uns nicht um jeden Prozess kümmern, und das ist natürlich wieder die Verbindung zum Risikomanagement. Wenn wir uns an die Reise erinnern, die ich vorhin gezeichnet habe, bzw. unseren Kreislauf in der Compliance, dann geht’s darum, dass wir uns natürlich ansehen: Was sind denn unsere größten Risiken? Was sind denn die kritischsten Risiken?

12:07 Prozesse, wo in der Wertschöpfung passiert denn das Risiko? Wo in der Wertschöpfung gibt es denn Entscheidungsprozesse, die zu maßgeblichen Risiken führen, oder wo in den Unterstützungsprozessen werden denn Entscheidungen getroffen, die möglicherweise ein Risiko für das Unternehmen verwirklichen? Und darum ist es wichtig, die Brücke in die Organisation zu bauen, nahe am Business stattzufinden, Teil der Prozesse und vor allem auch der Arbeitswelt unserer Kolleginnen und Kollegen zu sein, zu priorisieren. Wenn wir die Risiken identifiziert haben, dann schauen wir uns an: Welche Themen wollen wir denn bewusst zurückstellen? Welche Risiken müssen wir denn bewusst akzeptieren? Und wo müssen wir denn bewusst doch den Finger in die Wunde halten? Und wo muss man auch tatsächlich das Umfeld ändern? Wenn wir denken, dass wir Verhalten verändern, indem wir Papier produzieren, dann irren wir. Wir ändern Verhalten, indem wir Realität verändern, und Realität verändern

13:05 wir, indem wir Prozesse schaffen, durch die sich unsere Kolleginnen und Kollegen auch an die Hand genommen fühlen. Dieses Thema Priorisierung und auch dieses „Wir kümmern uns nicht um alles“, das fühlt sich vielleicht ein bisschen riskant an, aber dieses Nicht-Priorisieren ist viel riskanter, weil, wenn sich Energie gleichmäßig verteilt oder wenn alles gleich wichtig ist, dann ist natürlich in Wahrheit nichts wichtig. Und wenn ich jetzt von Compliance by Design spreche und davon spreche, dass wir stattfinden müssen in den Prozessen unserer Kolleginnen und Kollegen und plötzlich nicht mehr Gatekeeper sind, plötzlich nicht diejenigen sind, die Ja oder Nein sagen, dann fühlt sich Compliance by Design ein bisschen an wie ein Machtverlust.

13:55 Wir sind ja schon sehr mächtig, wenn wir Entscheidungen revidieren können. Und es ist natürlich eine unangenehme Wahrheit, wenn ich sage, Compliance by Design ist ein Machtverlust! Das ist aber nur dann ein Machtverlust, wenn wir uns über Freigaben definieren. Wenn wir uns aber über Prozesse definieren, wenn wir uns über Entscheidungsprozesse zum Beispiel definieren und wenn wir unsere Wirkung in den Prozessen definieren, dann werden wir nämlich wirklich vom Gatekeeper zum Architekten. Und somit sind wir beim Prozessarchitekten und nicht mehr beim Gatekeeping und somit wahrscheinlich nicht mehr immer bei der Feuerwehr. Und jetzt rede ich natürlich, wenn ich von Prozessarchitektur spreche und quasi von Compliance by Design spreche, dann spreche ich wirklich von Wirkung!

14:45 Mein größtes Ziel in der Compliance ist die Wirkung, und da müssen wir uns vielleicht auch die Gedanken, oder müssen uns Gedanken darüber machen: Was ist denn Wirkung für uns eigentlich? Weil eines ist schon klar: Aktivität ist nicht gleich Wirksamkeit, und wenn wir uns Kennzahlen anschauen, dann messen wir sehr oft das, was einfach messbar ist, und wir stellen uns dazu gerne die falschen Fragen. Wir fragen zum Beispiel im Zusammenhang mit Business Agents, also mit Handelsagenten: Wie viele Agenten wurden geprüft? Wie viele Freigaben wurden erteilt? Wir fragen uns oft, wie viele Trainings wurden denn absolviert? Das ist eine Aktivitätskennzahl, das ist aber keine Wirksamkeitskennzahl. Eigentlich müssten wir uns überlegen, wenn wir uns schon die Prozesse überlegen und wenn wir unsere Einbindung in die Prozesse überlegen, müssen wir uns auch eine entsprechende Wirksamkeitskennzahl überlegen. Und zwar … Was würde ich jetzt meinen?

15:42 Welche Risiken hätten wir denn zum Beispiel ohne den Prozess übersehen? Oder wie früh wurde die Compliance in einen Prozess eingebunden? Oder ist ein Risiko durch einen Prozess weniger wahrscheinlich geworden? Das ist jetzt ein bisschen kryptisch, und das ist vermutlich etwas schwer messbar, aber wir sollten uns das auch nicht immer zu einfach machen. Und eine kleine Hausaufgabe, einen kleinen Denkanstoß darf ich an dieser Stelle, immerhin ist es ja ein Bootcamp, auch mitgeben!

16:15 Wenn wir uns schon über Wirksamkeit unterhalten, dann kann ich vielleicht an dieser Stelle sagen, dass die wirksamste Compliance-Maßnahme wahrscheinlich die ist, die niemand bemerkt, weil der Prozess das Risiko ohnehin schon verhindert hat. Und somit stellt sich natürlich auch für uns die Frage: Wenn der Prozess die Risiken vermindert und wenn der Prozess die Kolleginnen und Kollegen an die Hand nimmt und plötzlich Compliance der Prozessarchitekt wird, braucht es dann noch Compliance Officer? Ja, natürlich! Es braucht uns nicht …

16:43 Es braucht uns nicht nur zur Freigabe, sondern es braucht uns bewusst für gute Entscheidungen. Für die Risiken und für das Schaffen dieser Prozesse und für das Kreieren guter Realitäten. Und dann können wir auch über Wirksamkeit sprechen! Risiken durch gute Prozesse weniger wahrscheinlich zu machen. Und das bringt mich auch tatsächlich schon zum Abschluss, als kleiner Impuls zum Thema Compliance by Design: Unsere Aufgabe ist es nicht, perfekt zu sein, unsere Aufgabe ist es, wirksam zu sein. Genau mit diesem Punkt endet dieses Bootcamp! Es gibt zum Abschluss ja immer noch, auch in den Bootcamp-Folgen, das Code-of-C-C-Wort, mit dem Unterschied, dass ich in den Solo-Folgen gut und gerne immer auch mein eigenes C-Wort sagen darf. Im heutigen Bootcamp ist mein C-Wort Prozessarchitektur.

17:51 Und jetzt, mit dem C-Wort, mit dem Impuls zu Compliance by Design, mit einem kleinen Recap, was haben wir denn in den letzten Monaten alles gemeinsam erlebt, geht es jetzt zur Verlosung. Die erste Zuhörerin bzw. der erste Zuhörer, die oder der mir eine Nachricht mit ihren oder seinen Kontaktdaten und dem Betreff „Compliance by Design“ an office@loupe.at schickt, erhält das Buch „Digitalisierung der Rechtsabteilung“ kostenlos übermittelt.

18:22 So, ich freue mich natürlich auf sehr viele Zusendungen. Vielen Dank fürs Zuhören. Wenn Ihnen die Folge gefallen hat, wenn Code of C generell gefällt, dann freue ich mich natürlich über eine positive Bewertung auf der von Ihnen genutzten Podcast-Plattform. Aktivieren Sie bitte gerne die Glocke, folgen Sie dem Podcast und mir gerne auf LinkedIn oder Instagram. Und wenn Sie darüber hinaus Fragen zur Software von .LOUPE haben, dann einfach unter www.loupe.at Kontakt mit uns aufnehmen. Unser Versprechen ist immer: aus der Praxis für die Praxis. Die Infos gibt es in den Shownotes. Compliance by Design, also wirksame Governance ist eine Entscheidung. Das wird von uns, das wird von .LOUPE auch in der Softwarearchitektur getragen. Es wird durch unsere Module unterstützt. Also bitte hier einfach Kontakt mit uns aufnehmen. Bis zur nächsten Folge: Bleiben Sie bitte compliant! Bleiben Sie bitte vor allem ein guter Mensch.