Georg Krakow Hinweisgebersysteme

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 4. Schulungen und Kommunikation

4. Schulungen und Kommunikation

89

Sind die Risiken analysiert und darauf aufbauende Prozesse in Richtlinien und Handlungsanweisungen niedergelegt, geht es im nächsten Schritt darum, die Risiken und Gegenmaßnahmen den betreffenden Mitarbeitern näher zu bringen.[1] Die Tätigkeit der einzelnen Mitarbeiter unterscheidet sich in ihrer Risiko-Geneigtheit.[2] Das bedeutet im Umkehrschluss, dass nicht jeder Mitarbeiter im gleichen Umfang und in der gleichen Art und Weise geschult werden muss. Welche Mitarbeitergruppen wie zu schulen sind, sollte die Compliance-Organisation in einer global anzuwendenden Schulungsmatrix festhalten.[3] Diese enthält die Mitarbeitergruppen, die Art der Schulungen sowie die einzelnen Schulungsinhalte. Üblich ist es, dass alle Mitarbeiter, die über einen Schreibtisch-Arbeitsplatz verfügen regelmäßig ein E-Learning zum Code of Conduct durchlaufen müssen. Darauf aufbauend sollten die jeweiligen Mitarbeitergruppen je nach Tätigkeitsbereich zusätzliche online Schulungen oder Präsenzschulungen zu den jeweiligen Risikobereichen erhalten. Geschäftsleitung und Vertrieb sollen regelmäßige Präsenzschulungen zu denjenigen Risikofeldern durchlaufen, die mit dem Verkauf der Waren und oder Dienstleistungen im Zusammenhang stehen, allen voran Antikorruption und Kartellrecht.[4] Während bei aktuellen E-Learning Programmen eine Dokumentationsfunktion in der Regel bereits integriert ist, fehlt es bei Präsenzschulungen häufig an der erforderlichen Dokumentation. Besonders wenn lokal organisierte Schulungen stattfinden, sollten die zuständigen Compliance Officer angehalten werden, diese sorgfältig zu dokumentieren. Unternehmen sollten auch nicht vergessen, dass die Compliance Officer, also diejenigen Personen, die vor Ort für das Thema Compliance verantwortlich sind und andere Mitarbeiter unter Umständen schulen werden, selbst in ausreichendem Umfang zu den relevanten Compliance-Themen geschult sein müssen.[5]

90

Neben den Schulungen ist eine regelmäßige Kommunikation zu Compliance-Themen wichtig. Die Kommunikation sollte dabei nicht nur von der Geschäftsführung des Konzerns, sondern auch von der lokalen Geschäftsführung beziehungsweise. dem zuständigen Mittelmanagement in der Organisation verteilt werden.[6] Auch hier gilt, dass die Verteilung sorgfältig zu dokumentieren ist, damit das Unternehmen im Ernstfall zeigen kann, welche Anstrengungen es unternommen hat, um Fehlverhalten im Unternehmen zu unterbinden.

91

Zu der Kommunikation zu Compliance-Themen gehört auch eine Beratungsfunktion. Die Mitarbeiter sollten eine Anlaufstelle für Fragen rund um das Thema Compliance haben. Dem Unternehmen steht frei, hierfür eine zentrale Anlaufstelle einzurichten, oder den lokalen Compliance Officern ausreichend zeitlichen Spielraum einzuräumen, um diese Beratungsfunktion wahrzunehmen.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 5. Überwachung und Revision

5. Überwachung und Revision

92

Das für Unternehmen häufig herausfordernde Element eines CMS ist die ausreichende Überwachung und Revision der Compliance-Themen.

93

Überwachung bedeutet hier, dass eine zuständige Stelle in der Zentralabteilung aber auch in der lokalen Compliance-Organisation dafür zuständig ist, regelmäßig zu prüfen, ob die Vorgaben, die in den Richtlinien und Handlungsanweisungen niedergelegt sind, eingehalten werden:[1] Diskutiert die Geschäftsleitung regelmäßig Compliance-Themen in ihren Besprechungen? Sind die aktuellen Versionen der anwendbaren Richtlinien in der lokalen Gesellschaft verteilt? Haben alle neu eingestellten Mitarbeiter die wesentlichen Compliance Schulungen absolviert? Wurden alle Geschäftspartner überprüft, bevor der Vertrieb mit ihnen eine Geschäftsbeziehung einging? Wurden die entsprechenden Vertragsmuster für die Handelsvertreterverträge verwendet?[2]

94

Auf Ebene der „zweiten Verteidigungslinie“ (2nd line of defense) finden die operativen Kontrollen statt. Dies ist vor allem das Betätigungsfeld der Unternehmensbereiche „Risikomanagement“, „Compliance“, „IT-Security“ etc. Die Überwachung, dass die vorhandenen Richtlinien und Handlungsanweisungen eingehalten werden, ist dabei Aufgabe der Compliance-Organisation. Die „dritte Verteidigungslinie“ (3rd line of defense) stellt als objektive und unabhängige Prüfungs- und Beratungsinstanz die Interne Revision dar. Die Interne Revision unterstützt in dieser Funktion Unternehmensleitung, operatives Management und Überwachungsinstanzen. Sie soll der Unternehmensleitung die Gewähr dafür bieten, dass die Risiken wirksam erkannt, bewertet und gesteuert werden. Durch die Interne Revision werden insbesondere Effektivität und Effizienz der beiden vorgelagerten Verteidigungslinien bewertet. Sie bildet eine unabhängige Einheit, die nicht mit den vorgelagerten Stufen verwoben ist. Zum Aufgabenbereich der Internen Revision gehört auch die Überprüfung der Compliance-Funktion.[3] Zwischen der Internen Revision und der Compliance-Funktion sollte ein reger Austausch stattfinden, damit zum einen die vorhandenen Ressourcen möglichst effizient genutzt werden und damit zum anderen die Compliance-Organisation aus den Erkenntnissen der Internen Revision ggf. erforderliche Verbesserungsmaßnahmen entwickeln kann.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 6. Reaktion auf Verstöße und Nachhaltigkeit

6. Reaktion auf Verstöße und Nachhaltigkeit

95

Teil des Elements Reaktion und Nachhaltigkeit ist die Einführung eines Hinweisgebersystems, denn eine Reaktion auf Missstände ist nur möglich, wenn diese ans Licht kommen und beseitigt werden.[1] Ein effektives Hinweisgebersystem ist eine der wirkungsvollsten Möglichkeiten, um dies zu gewährleisten. Dafür ist entscheidend, dass das Hinweisgebersystem von den Mitarbeitern positiv angesehen wird. Basis für die erfolgreiche Einführung des Hinweisgebersystems ist daher eine an der jeweiligen Unternehmenskultur orientierte Kommunikationsstrategie und vorherige Einbindung der internen Stakeholder, um eine positive Aufnahme bei den Mitarbeitern zu gewährleisten und eine schädliche Fehlinterpretation als ein „System der Anschwärzung“ oder gar „Bespitzelung“ zu vermeiden.[2]

96

Von Unternehmen wird erwartet, dass sie auf Missstände adäquat reagieren und die Schwächen im System beheben, die sich durch die Aufklärung und eine regelmäßige Überprüfung des Compliance Management Systems ergeben.[3]

97

Unternehmen sollten klare Prozesse haben, wie sie mit Verdachtsmomenten für Fehlverhalten umgehen. Wer untersucht die Verdachtsmomente? Welcher Umfang und welche Prüftiefe sind erforderlich, um dem Problem auf den Grund zu gehen? Wie sollte das Unternehmen mit der Situation umgehen, wenn sich die Verdachtsmomente erhärten? Einen Standardweg gibt es hier nicht. Was Behörden von Unternehmen allerdings verlangen ist, dass sie konsequent handeln, wenn sich die Verdachtsmomente bestätigen.[4] Dann muss das Unternehmen sorgfältig prüfen, ob personelle Konsequenzen erforderlich sind und welche organisatorischen Maßnahmen dafür sorgen können, dass sich das Fehlverhalten nicht wiederholt.[5] Die Anforderungen der Behörden gehen teilweise sogar soweit, dass Unternehmen das aufgedeckte Fehlverhalten in abstrakter Art und Weise zum Gegenstand von Compliance Schulungen machen sollen. So soll sichergestellt werden, dass die relevanten Mitarbeiter wissen, welches Verhalten, das in ihrem Arbeitsumfeld bereits vorgekommen ist, unter keinen Umständen toleriert wird.

98

Neben der adäquaten Reaktion auf identifiziertes Fehlverhalten müssen Unternehmen auch dafür Sorge tragen, dass sich ihr Compliance Management System den Veränderungen im Unternehmen anpasst.[6] Viele Industrien sind aktuell einem raschen Wandel unterzogen. Insbesondere die Digitalisierung hat dafür gesorgt, dass viele Unternehmen sich von einem Produzenten physischer Produkte hin zu Servicedienstleistern entwickelt haben. Das kann dazu führen, dass die Risiken in bestimmten Bereichen sinken, dass aber Themen wie Cyber-Security oder Datenschutz an anderer Stelle erheblich zunehmen. Das Compliance Management System muss daher so ausgestaltet sein, dass es die anstehenden Veränderungen erfasst und frühzeitig die neuen Risiken identifiziert und entsprechende Maßnahmen und Kontrollen einführt.[7]

3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?

I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?

99

Auf Augustus (Römischer Kaiser) geht das Sprichwort „Ich liebe den Verrat, aber Verräter lobe ich nicht“ zurück.[1] Obwohl Hinweise von Mitarbeitern für Unternehmen häufig die zentrale Informationsquelle zur Aufdeckung von Rechtsverletzungen sind, stehen Mitarbeiter, die solche Rechtsverletzungen aufdecken, auch heute noch in einem negativen Licht und gelten oftmals als Denunzianten. Dabei handelt ein Hinweisgeber in erster Linie altruistisch und leistet im Zweifelsfall einen Beitrag zur Aufklärung von Rechtsverstößen. Das Verhalten eines Denunzianten zielt hingegen auf persönliche Vorteile ab.

100

Mitarbeiter, die Informationen über mögliche oder begangene Rechtsverletzungen offenbaren, müssen jedoch darauf vertrauen können, dass sie für die Offenlegung von Rechtsverletzungen im Unternehmen, wenn schon nicht belohnt, dann wenigstens geschützt werden.

101

Ein solcher Schutz kann mittels effektiver Hinweisgebersysteme gewährleistet werden. In Schrifttum und den Gesetzgebungsvorschlägen ist mittlerweile geklärt, dass für die Abgabe von Hinweisen und zum Schutz des Hinweisgebers ein internes Hinweisgebersystem installiert werden muss.[2] In Europa wurde kürzlich die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[3] (kurz „EU-Hinweisgeberrichtlinie“) mit detaillierten Vorgaben zur Ausgestaltung der verpflichtend einzuführenden Hinweisgebersysteme erlassen.[4] Diese Richtlinie ist nun von den nationalen Gesetzgebern bis spätestens 17.12.2021 umzusetzen. Zudem gibt es in Deutschland bereits etliche bereichsspezifische Verpflichtungen zur Einführung von Hinweisgebersystemen.[5]

3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems? › 1. Allgemeine Erforderlichkeit von Hinweisgebersystemen

a) Schutzbedürftigkeit der Hinweisgeber

102

In der Vergangenheit wurden zahlreiche Rechtsverstöße und Rechtsmissbräuche durch Hinweisgeber aufgedeckt. Internationale Beispiele reichen von der Offenlegung von Staatsdoping über Steuerhinterziehung bis hin zu Fehlverhalten von Regierungen.

103

In einigen dieser Fälle bezahlten die Hinweisgeber teuer für die Offenlegung der Verfehlungen ihrer Institutionen. Das bekannteste Beispiel ist wohl Edward Snowden, der US-amerikanische Whistleblower und ehemalige CIA-Mitarbeiter, der die Welt über das Ausmaß der globalen Überwachungs- und Spionagepraktiken von Geheimdiensten (hauptsächlich jenen der Vereinigten Staaten und Großbritanniens) informierte.[1] Edward Snowden lebt seit Juni 2013 zunächst in Hong Kong und seit August 2013 im Exil in Russland. Allgemein bekannt ist auch das Beispiel von Chelsea Manning, die 2010 als Mitglied der amerikanischen Streitkräfte vertrauliche Dokumente und Filmaufnahmen an die Plattform Wikileaks weiterleitete.[2] Die Unterlagen enthielten Informationen über den tödlichen Beschuss von Zivilisten und Journalisten durch US-Streitkräfte im Irak und Afghanistan. Manning wurde 2013 zu 35 Jahren Haft verurteilt. Der Großteil der Haftstrafe wurde durch den damaligen US-Präsidenten Barack Obama erlassen.[3] Ein weiteres Beispiel ist Antoine Deltour, ein ehemaliger Angestellter der Wirtschaftsprüfungsgesellschaft PwC in Luxemburg, der 2014 mit Hilfe eines französischen Journalisten die Öffentlichkeit darüber informierte, dass eine Reihe von großen internationalen Konzerne (z.B. Apple, Amazon, eBay, Ikea und rund 295 weitere Unternehmen) ihre europäischen Gewinne in Luxemburg versteuern. Die sehr geringen Steuersätze wurden dort mit den Steuerbehörden ausgehandelt.[4] Antoine Deltour wurde zunächst von luxemburgischen Gerichten zu hohen Geldstrafen verurteilt, in letzter Instanz jedoch nur zu einer symbolischen Geldstrafe von einem Euro wegen „Diebstahls“ von Firmenunterlagen. Das neu in Kraft getretene Gesetz zum Schutz von Geschäftsgeheimnissen soll Verurteilungen wegen Verletzungen von Geschäftsgeheimnissen verhindern.[5]

104

Auch das russische Ehepaar Julia und Vitaly Stepanov, die beiden Hinweisgeber, die das russische Staatsdoping enttarnten, zahlten einen hohen Preis für ihr Handeln. Beide mussten Russland verlassen, lebten zunächst in Berlin und zogen schließlich in die USA.[6]

105

In Deutschland wurde der Fall des LKW-Fahrers Miroslav Strecker bekannt, der 2007 den sog. Gammelfleisch-Skandal ans Licht brachte. Obwohl Herr Strecker vom damaligen Agrarminister Horst Seehofer mit der „Goldenen Plakette“ für sein Handeln ausgezeichnet wurde, wurde er Opfer diverser Schikanen am Arbeitsplatz, die schließlich zu seiner Kündigung führten.[7]

106

Ohne garantierten Schutz der Hinweisgeber ist es zweifelhaft, ob das Gewicht der moralischen Pflicht, Rechtsverletzungen zu melden, die Angst vor drohenden (un-)mittelbaren Repressalien überwiegt und Mitarbeiter in der Praxis wirklich dazu bereit sind, aus dem Schutz der grauen Masse hervorzutreten und sich für die Gerechtigkeit und den Schutz der Allgemeinheit einzusetzen.

b) Schutzbedürftigkeit der Interessen der Allgemeinheit

107

Immer wieder gibt es Fälle, in denen Hinweisen nicht nachgegangen wird. Dies hat zum Teil verheerende Folgen. Beispielhaft sei genannt die Tötung von 85 Patientinnen und Patienten zwischen 2000 und 2005 durch den ehemaligen Krankenpfleger Nils Högel. Bereits im Oktober 2001 wurde die Geschäftsleitung des Klinikums Oldenburg durch Pflegekräfte auf die überdurchschnittlich hohe Zahl an Reanimationen und Todesfällen während Nils Högels Dienstzeiten aufmerksam gemacht.[8] Aus Angst um den Ruf des Klinikums entschied sich die Geschäftsleitung jedoch gegen eine Einschaltung der Strafverfolgungsbehörden und versetzte Nils Högel zunächst nur in eine andere Abteilung, um ihn anschließend mit einem sehr guten Arbeitszeugnis freizustellen.[9] Sogar bei seinem neuen Arbeitgeber, dem Klinikum Delmenhorst, konnte Nils Högel weitere Patienten töten, weil auch dort Hinweisen auf seine Taten nicht nachgegangen wurde.[10]

108

Ebenfalls am Beispiel des US-Flugzeugbauers Boeing, zeigt sich, dass der ineffiziente Umgang mit Hinweisen zahlreiche Menschenleben kosten kann. Ed Pierson, ein Ex-Manager von Boeing, gab bei einer Anhörung vor US-Abgeordneten an, dass er sowohl vor dem ersten Unglück (am 29.10.2018 in Indonesien mit 189 Toten), als auch vor dem zweiten Unglück (am 10.3.2019 in Addis Abeba, Äthiopien mit 157 Toten) Probleme gemeldet habe, doch keinem seiner Hinweise nachgegangen worden sei.[11]

109

Unrühmliche Bekanntheit erlangte kürzlich auch die Danske Bank durch die Aufdeckung eines Geldwäscheskandals durch einen Mitarbeiter. Der Mitarbeiter hatte sich aufgrund verdächtiger Vorgänge mehrfach an seine Vorgesetzten gewandt. Da seine internen Meldungen jedoch erfolglos blieben, wandte er sich schließlich an die Öffentlichkeit.[12]

110

Die Beispiele zeigen, dass Hinweise von Personen oder Abteilungen innerhalb des Unternehmens unverzüglich nach deren Eingang bearbeitet und die erforderlichen Maßnahmen angestoßen werden müssen. Dazu gehört auch, dass der Hinweisgeber zeitnah über den Verfahrensstand informiert wird, damit dieser entscheiden kann, ob es nötig ist, sich an externe Stellen zu wenden. Ein effektives Hinweisgebersystem setzt dort an, wo interner Informationsfluss nicht gewährleistet oder ausreichend ist.[13]