12 Schritte zur Durchführung einer Ethik- & Compliance-Risikobewertung

Eine Ethik- & Compliance-Risikobewertung hilft Ihnen zu verstehen, wo es innerhalb Ihres Unternehmens zu unethischem oder rechtswidrigem Verhalten kommen könnte. Sie ist ein zentraler Bestandteil der Entwicklung des Risikoprofils Ihres Unternehmens. Dabei werden identifiziert:

• Ethik-, Compliance- und Reputationsrisiken, denen Ihr Unternehmen aufgrund seiner Branche und geografischen Ausrichtung ausgesetzt ist
• Risiken im Zusammenhang mit Ihrer Mitarbeiterstruktur
• Ihre bestehenden und geplanten Maßnahmen zur Risikominderung, um Risiken auf ein für Ihr Unternehmen akzeptables Niveau zu reduzieren

Ethik- und Compliance-Risiken werden als Bedrohungen für die operative, rechtliche, finanzielle oder reputationsbezogene Stellung eines Unternehmens definiert, die entstehen durch:

• die Nichteinhaltung geltender Gesetze, Vorschriften und interner ethischer Standards
• rechtswidriges oder unethisches Verhalten von Personen, die für oder im Auftrag des Unternehmens tätig sind, wodurch dem Unternehmen selbst, den handelnden Personen oder Dritten rechtlicher oder reputationsbezogener Schaden entsteht

Eine Ethik- und Compliance-Risikobewertung ist ein Bestandteil eines umfassenderen, integrierten Risikomanagementprozesses (IRM) und kann parallel zu anderen Risikobewertungen durchgeführt werden. Eine klassische Definition des Risikomanagements betrachtet Risiken im Hinblick auf ihre potenziellen negativen Auswirkungen auf die Fähigkeit eines Unternehmens, seine strategischen Ziele zu erreichen.

So kann beispielsweise das Anbieten eines Bestechungsgeldes zur Erlangung eines Vertrags zwar kurzfristig das strategische Ziel der Umsatzgenerierung unterstützen, zugleich aber zu hohen Geldstrafen, strafrechtlicher Verfolgung und erheblichen Reputationsschäden führen. Eine wirksame Ethik- und Compliance-Risikobewertung betrachtet daher nicht nur unmittelbare Folgen, sondern auch langfristige finanzielle und reputationsbezogene Auswirkungen.

Eine fundierte Ethik- & Compliance-Risikobewertung analysiert unter anderem:

• das Geschäftsmodell des Unternehmens
• die geografischen Standorte seiner Tätigkeiten
• die Branche und den Wettbewerbsgrad des Marktes
• das regulatorische Umfeld
• Kunden und Auftraggeber
• Produkte und Dienstleistungen
• Lieferkette und Drittparteien
• Transaktionen und Projekte
• die Art und Weise, wie sich Risiken konkret manifestieren können

Der in diesem Leitfaden beschriebene Ansatz kann auf alle Formen von Compliance-, Ethik- und Verhaltensrisiken angewendet werden, darunter Datenschutz, Bestechung und Korruption, Interessenkonflikte, finanzielle Integrität und Betrug sowie moderne Sklaverei.

Es gibt drei zentrale Gründe, warum Ethik- und Compliance-Risikobewertungen für ein gut gesteuertes Ethik- & Compliance-Programm unerlässlich sind:

• Risikobewertungen helfen Ihnen, das Risikoprofil Ihres Unternehmens zu verstehen
• Risikobewertungen unterstützen Sie dabei, regulatorische Erwartungen zu erfüllen
• Risikobewertungen bilden eine solide Grundlage für Ihr Ethik- und Compliance-Programm

Risikobewertung und Sorgfaltspflicht werden häufig im Zusammenhang miteinander verwendet, bezeichnen jedoch unterschiedliche Konzepte.

Due Diligence ist eine detaillierte Prüfung einer Drittpartei und ihrer finanziellen Unterlagen, die vor dem Eingehen einer Geschäftsbeziehung durchgeführt wird. In diesem Zusammenhang bestimmt eine Risikobewertung in der Regel den Umfang der Due-Diligence-Maßnahmen in verschiedenen Phasen einer Drittparteienbeziehung oder Transaktion.

Auch wenn es keine universelle Standardlösung für Risikobewertungen gibt, sollte eine solche Bewertung grundsätzlich eine ganzheitliche Analyse des gesamten Unternehmens sowie seiner Berührungspunkte mit der Außenwelt umfassen.

Eine erfolgreiche Ethik- und Compliance-Risikobewertung umfasst 12 Schritte in zwei Phasen – Planung und Umsetzung:

1. Unterstützung der Führungsebene sichern
2. Den Prozess festlegen
3. Ressourcen sicherstellen
4. Framework und Methodik entwickeln
5. Risikobereitschaft festlegen
6. Automatisierungspotenziale identifizieren
7. Daten erfassen
8. Risikofaktoren und Risiken identifizieren
9. Inhärente Risiken bewerten
10. Risikomindernde Kontrollen identifizieren, zuordnen und bewerten
11. Restrisiken berechnen
12. Aktionsplan entwickeln

Ethik- und Compliance-Risikobewertungen sollten mindestens einmal jährlich durchgeführt werden. In Hochrisikobranchen kann – abhängig von regulatorischen Anforderungen – auch eine halbjährliche oder sogar quartalsweise Durchführung erforderlich sein.

Darüber hinaus sollten Unternehmen stets eine neue Ethik- und Compliance-Risikobewertung priorisieren, wenn neue Lieferanten, Verfahren oder Ausrüstungen eingeführt werden, die bestehende Arbeitsabläufe, Prozesse oder Betriebsstrukturen beeinflussen. Gleiches gilt generell bei wesentlichen Änderungen der Geschäftstätigkeit. Eine aktuelle Risikobewertung stellt sicher, dass neu entstehende Risiken erfasst und systematisch nachverfolgt werden können.