Compliance im DCGK

Mehr denn je spielt der Deutsche Corporate Governance Kodex für die verantwortungsvolle Unternehmensführung eine zentrale Rolle.

Überblick

• Der Corporate Governance Kodex wurde aktualisiert – Neben Nachhaltigkeit hat diesmal auch die Compliance eine besondere Relevanz
• Ein Compliance-Management-System muss entwickelt und implementiert sein und die Wirksamkeit überwacht werden
  
• Die Überwachung des CMS kann in unterschiedlicher Form erfolgen – beispielsweise über die Prüfung nach IDW PS 980

Am 28. April 2022 hat die Regierungskommission, rechtzeitig zum 20. Jubiläum des Kodex, die Änderung der bisher geltenden Fassung beschlossen. Mit der Veröffentlichung im elektronischen Bundesanzeiger am 27. Juni 2022 ist der neue Deutsche Corporate Governance Kodex (DCGK) 2022 in seiner finalen Fassung in Kraft getreten. Geltung entfaltet der DCGK für alle im regulierten Markt börsennotierten Gesellschaften. Für diese ist es erforderlich, im Rahmen der jährlichen Entsprechungserklärungen (§ 161 AktG) Bezug auf die neuen Empfehlungen des Kodex zu nehmen und zu erklären, ob diesen Empfehlungen gefolgt werden soll. Soweit ihnen nicht entsprochen wird, gilt der Grundsatz „Comply or explain“, andere Verfahrensweisen müssen also begründet werden.

1. Schärfung der Compliance: Neuerungen des DCGK

Die diesjährigen Änderungen sind von unterschiedlichen Themen beeinflusst worden, haben aber – neben dem Vorstand und dem Aufsichtsrat – dieses Jahr eine besondere Aufmerksamkeit in Rechts- und Compliance-Organisationen sowie in der Internen Revision geweckt. Im Wesentlichen betreffen die Änderungen des DCGK die Stärkung der sogenannten ESG-Faktoren (Environmental, Social, Governance) bei der Leitung und Überwachung börsennotierter Unternehmen. Dadurch soll bewirkt werden, dass die Unternehmen in ihrer Strategie und Planung mehr auf Nachhaltigkeitsaspekte achten. Dabei sollen die 17 Ziele der UN für nachhaltige Entwicklung (UNSDGs)1 als Orientierungshilfe bei der Auslegung der Nachhaltigkeitsbegriffe dienen können.

Des Weiteren wurden die Grundsätze und Empfehlungen zu den jüngsten Änderungen des Aktiengesetzes durch das Gesetz zur Stärkung der Finanzmarktintegrität (FISG) und das Zweite Führungspositionen-Gesetz (FüPoG II) angepasst.2

Auch gab es Anpassungen, die Relevanz für die Compliance-Strategie und die Umsetzung des systematischen Compliance-Managements haben.

3. Grundbausteine des CMS und Grundfragen (Risiko, Ausgestaltung, Governance)

Der Kodex und der Hinweis auf eine Verankerung eines systematischen und wirksamen Ansatzes zur Umsetzung des CMS werfen Fragen und Herausforderungen in Rechts- und Compliance-Abteilungen wie auch bei der Revision auf:

• Leitung und Überwachung
  Wie in Grundsatz 5 des DCGK genannt, liegt die Grundverantwortung für die Compliance bei der Unternehmensleitung.
• Compliance-Funktion
  Die Compliance-Funktion ist unterhalb der Unternehmensleitung für den Betrieb des CMS verantwortlich und organisiert das Tagesgeschäft der Compliance-Strategie und deren Umsetzung.
• Compliance-Risikoanalyse
  Eine von der Unternehmensleitung veranlasste Compliance-Risikoanalyse ist Voraussetzung und Grundlage für die Entwicklung eines angemessenen Compliance-Programms. Dabei sollen alle Compliance-Risiken identifiziert, evaluiert und bewertet werden. Aus den Ergebnissen werden die systematischen und konzernweiten Maßnahmen definiert und Ableitungen zur Umsetzung im CMS gezogen.
• Compliance-Programm
  Die Ausgestaltung eines systematischen CMS orientiert sich in der Regel an der Unternehmenskultur, dem Risikoprofil, der Branche, relevanten Standards und Gesetzen, der geografischen Ausprägung sowie anerkannten nationalen und internationalen Compliance-Standards. Insbesondere bei Letzteren greifen viele Unternehmen auf anerkannte Rahmenwerke zurück, die bei der Ausgestaltung eine ausreichende Orientierung bieten. Dies sind beispielsweise die folgenden:
  • IDW PS 980 „Grundsätze ordnungsmäßiger Prüfung von Compliance Management Systemen“
  • US Department of Justice: Evaluation of Corporate Compliance Programs (Juni 2020)
    
  • ISO 37301 „Compliance management systems“
    

Bei einem Vergleich der vielen internationalen Standards lässt sich jedoch erkennen, dass es eine Vielzahl von Überschneidungen zu den einzelnen Komponenten gibt. Aus diesem Grunde bietet es sich an, das Compliance-System auf dem international etablierten „Prevent – Detect – Respond“-Modell aufzubauen. Unter diese Gliederung lassen sich dann die einzelnen Elemente des CMS fassen, um eine ordnungsgemäße Operationalisierung sicherzustellen.

Unter „Prevent“ werden dabei Elemente wie z. B. der Verhaltenskodex sowie darauf aufbauende Richtlinien gefasst. Auch allgemeine Beratung, Schulungen oder ein Compliance-Kommunikationskonzept gehören dazu.

Zum Bereich „Detect“ zählen Elemente wie ein Hinweisgebersystem, ein Geschäftspartnermanagement und interne Prüfungen zur Umsetzung der Compliance (z. B. Revisionsprüfungen oder auch Datenanalysen) bezüglich Compliance.

Der Abschnitt „Respond“ umfasst alle reaktiven Maßnahmen, also die angemessene und konsequente Reaktion auf Compliance-Verstöße, beispielsweise durch einen Investigation-Ansatz, die Überwachung laufender Untersuchungen, ein Sanktions- und Remediationskonzept und Ursachenanalysen.⁴

Abschließend sollte der Geschäftsleitung in regelmäßigen Abständen ein Compliance-Bericht übermittelt werden, um die Erfüllung der Aufsichtspflicht zu gewährleisten.⁵