Transparente Abläufe und eine Absicherung vor eventuell existenzgefährdenden Risiken, auch eine verbesserte Unternehmenskultur, sind die Vorteile, die sich das Unternehmen von einer funktionierenden Compliance-Organisation verspricht. Daneben wird nicht selten behauptet, Unternehmensleiter seien auch rechtlich verpflichtet, eine entsprechende Organisation einzurichten. Dies ist nach hier vertretener Auffassung jedoch nicht immer zutreffend, stattdessen existiert generell nur die Verpflichtung zur sorgfältigen Abwägung, ob eine entsprechende Organisation eingeführt wird.
I. Ausdrückliche Regelungen zur Compliance
1. Branchenspezifische Regelungen
Ausdrücklich zur Einrichtung von Compliance-Organisationen verpflichtet sind Unternehmen der Finanzwirtschaft. Das ergibt sich etwa aus § 33 Abs. 1 S. 2 Nr. 1, § 33 d Abs. 5 Nr. 2 des Wertpapierhandelsgesetzes und verschiedenen Verordnungen aus dem Bereich der Finanzdienstleistungsaufsicht. Um diese branchenspezifischen Pflichten geht es hier nicht.
2. Deutscher Corporate Governance Kodex
Für börsennotierte Unternehmen ergibt sich eine Aufforderung zur Einrichtung einer Compliance-Organisation aus Ziffer 4.1.3 des Deutschen Corporate Governance Kodex. Ziffer 4.1.3 DCGK lautet:
„Der Vorstand hat für die Einhaltung der gesetzlichen Bestimmungen und der unternehmensinternen Richtlinien zu sorgen und wirkt auf deren Beachtung durch die Konzernunternehmen hin (Compliance).“
Der Kodex richtet sich ausschließlich an börsennotierte Unternehmen. Börsennotierte Unternehmen sind dabei solche, die im regulierten Markt, nicht lediglich im Freiverkehr einer Börse, z.B. dem Entry Standard der Frankfurter Wertpapierbörse, gelistet sind.
Auch börsenotierte Unternehmen sind jedoch nicht verpflichtet, den Kodex einzuhalten, sondern lediglich dazu, jährlich eine Erklärung darüber abzugeben, ob sie die Empfehlungen des Kodex entsprechen (§ 161 AktG). Zudem stellt die Regelung zur Compliance-Organisation keine Empfehlung im technischen Sinne dar. Empfehlungen sind solche Regelungen im Kodex, die mit „soll“ ausgedrückt sind. Regelungen, die lediglich als Behauptung formuliert sind, wie die in Ziffer 4.1.3 DCGK, sollen Ausdruck der ohnehin geltenden Rechtslage sein, haben also keinen eigenen Regelungsgehalt. Durch den DCGK kann das Recht nicht umgestaltet werden, denn er ist kein Gesetz. Folglich hat die Regelung keinen eigenen Gehalt: Wer zur Compliance ohnehin verpflichtet ist, muss sich daran unabhängig vom DCGK halten, wer nicht verpflichtet ist, für den kann der Kodex eine Verpflichtung auch nicht begründen. Man muss allerdings einräumen, dass sich in der Regelung des DCGK die Überzeugung der beteiligten Verkehrskreise über den Inhalt ordnungsgemäßer Unternehmensorganisation im Bereich börsennotierter Unternehmen widerspiegelt. Das wird im Zusammenhang mit den Sorgfaltspflichten der Unternehmensleitung von Bedeutung sein.
II. Anhaltspunkte für eine Rechtspflicht
Eine ausdrückliche gesetzliche Regelung zur Compliance besteht nicht. Es gibt aber einige Vorschriften, die zumindest eine Nähe zur Compliance aufweisen und aus denen eine Rechtspflicht in der Regel hergeleitet wird. Sie verdienen nähere Betrachtung.
1. § 91 Abs. 2 AktG: Verpflichtung zum Risikomanagement
§ 91 Abs. 2 AktG vom Vorstand der Aktiengesellschaft (unabhängig von der Börsennotierung), dass er ein wirkungsvolles Risikomanagementsystem einrichtet. Nach dieser Vorschrift ist der Vorstand verpflichtet, geeignete Maßnahmen zu treffen, um den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkennen zu können, wobei insbesondere die Einrichtung eines Überwachungssystems gefordert wird. Den GmbH-Geschäftsführer trifft nach überwiegender Auffassung dieselbe Pflicht, auch wenn sie für die GmbH nicht ausdrücklich geregelt ist. Die Pflicht ist allerdings mit Compliance nicht gleichzusetzen, denn ein Compliance-System zeichnet sich dadurch aus, dass eine vorbeugende, Haftungsrisiken vermeidende und in die Struktur des Unternehmens eingreifende Maßnahmen getroffen werden, die insgesamt Regelkonformität gewährleisten. Compliance ist also umfassender als das in § 91 Abs. 2 AktG angesprochene Risikomanagementsystem, das lediglich das Erkennen existenzgefährdender Risiken anspricht. Compliance zeichnet sich dadurch aus, dass es das Unternehmen zu einem „lernenden System“ macht, das seinen Umgang mit externen und internen Regeln stetig verbessert und auch unterhalb existenzgefährdender Risiken ansetzt. Das verlangt § 91 Abs. 2 AktG nicht.
2. Sorgfältige Unternehmensleitung und Ermessensspielraum bei unternehmerischen Entscheidungen
Die allgemeine Sorgfaltspflicht von Unternehmensleitungen, geregelt in § 93 AktG und § 43 GmbHG könnte von den Organmitgliedern verlangen, dass ein Compliance-System eingerichtet wird. Das wäre dann der Fall, wenn eine Unternehmensorganisation ohne Compliance-Organisation immer eine fehlerhafte Unternehmensorganisation wäre. Das wird sich in dieser Allgemeinheit und Generalisierung nicht sagen lassen. Die organisatorischen Anforderungen an eine sinnvolle und zielführende Unternehmensstruktur lassen sich nur anhand der konkreten Umstände im Einzelfall zu beurteilen, die Schaffung eines Compliance-Systems ist nur bei einem entsprechenden Gefahrenpotential im Unternehmen gefordert. Es kommt also darauf an, wie die Lage des Unternehmens im Einzelnen ist, ob besondere Gefahrenpotentiale ersichtlich sind.
Zu bedenken ist jedoch, dass die Sorgfaltspflicht der Organe von der sog. „business judgement rule“ begrenzt wird, die in § 93 Abs. 1 S. 2 AktG niedergelegt ist: Wer zum Wohle des Unternehmens handelnd und auf der Basis angemessener Information eine unternehmerische Entscheidung trifft, handelt nicht pflichtwidrig, auch wenn sich die Entscheidung später als unrichtig herausstellt. Fragen der Unternehmensorganisation sind immer unternehmerische Entscheidungen, bei denen sich die im Unternehmen Verantwortlichen auf Ihren in der business judgement rule gewährleisteten Ermessens- und Entscheidungsspielraum berufen können. Die Unternehmensleitung ist also lediglich dazu verpflichtet, auf Basis ausreichender Informationen abzuwägen, ob eine Compliance-Organisation eingerichtet werden soll. Das Ergebnis dieser Abwägung ist nicht rechtlich vorgegeben.
Bedenkt man die oben angesprochene Regelung in Ziff. 4.1.3 DCGK, so wird man allenfalls für das börsennotierte Unternehmen davon ausgehen können, dass die Abwägung zugunsten der Einrichtung einer Compliance-Organisation ausgeht. Im Mittelstand aber kann das durchaus anders sein.
3. § 130 OWiG – Pflicht zu Aufsichtsmaßnahmen
Eine zentrale Vorschrift, die einen Ansatzpunkt für das Begründen einer Rechtspflicht geben könnte, ist § 130 OWiG. Nach § 130 Abs. 1 S. 1 OWiG handelt der Inhaber eines Betriebs oder Unternehmens ordnungswidrig, wenn er vorsätzlich oder fahrlässig Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, welche den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Auch hier differenziert die Rechtsprechung aber für die Anwendung der Vorschrift nach der Lage des Unternehmens im Einzelfall. Kriterien sind
- der Umfang der zur Beachtung der Rechtsordnung erforderlichen Aufsichtsmaßnahmen,
- die Art, Größe und Organisation des Betriebs,
- die praktische Durchführbarkeit der Überwachung,
- die Vielfalt und Bedeutung der zu beachtenden Vorschriften,
- die Gefahr von Rechtsverletzungen sowie
- die Art und Häufigkeit von Verletzungen in der Vergangenheit.
III. Abgestuftes Kriteriensystem
Die zitierten Regelungen verlangen also nicht immer, sondern nur abhängig von den Umständen des Unternehmens im Einzelfall die Einrichtung einer wirksamen Compliance-Organisation. Die Kriterien aus business judgement rule und § 130 OWiG ergeben ein abgestuftes Pflichtenmodell, das man wie folgt skizzieren kann:
1. Pflicht zur Compliance-Organisation
Eine Pflicht zur Einrichtung einer Compliance- Organisation besteht nach diesen Überlegungen dann,
- wenn das Unternehmen börsennotiert ist,
- wenn Rechtsverstöße bereits vorgekommen sind oder
- wenn Rechtsverstöße wahrscheinlich sind.
Sind im Unternehmen gravierende Rechtsverstöße vorgekommen, die zu einem behördlichen Einschreiten geführt haben, so haben die Verantwortlichen hinreichende Anhaltspunkte, dass ein Fortfahren in den vorhandenen Strukturen pflichtwidrig wäre. Dann muss eine Compliance-Organisation zwingend eingerichtet werden. Bewegt sich ein Unternehmen in einer Branche oder einem Markt, wo häufig wegen Rechtsverstößen ermittelt wird, wenn auch nicht gegen das Unternehmen selbst, so ergibt sich aus dem engsten Marktumfeld, dass es erforderlich ist, Rechtsverstöße wirkungsvoll zu verhindern. Auch dann wird man es als pflichtwidrig ansehen müssen, wenn die Organisation des Unternehmens gänzlich auf die Einrichtung einer Compliance-Organisation verzichtet. Für das börsennotierte Unternehmen ergibt sich
2. Pflicht zur sorgfältigen Abwägung von Vor- und Nachteilen
Von den skizzierten Grenzen abgesehen ergibt sich für die Verantwortlichen lediglich die Verpflichtung, sorgfältig und unter Heranziehung möglichst vieler zuverlässiger Erkenntnisquellen abzuwägen, ob die Einrichtung eines Compliance-Systems dem Unternehmen zuträglich ist. Kriterien können die oben im Zusammenhang mit § 130 OWiG geschilderten sein. Hat diese Abwägung stattgefunden, ist jede auf dem Abwägungsergebnis beruhende Entscheidung, auch die, keine Compliance-Organisation zu errichten, pflichtgemäß. Die Verpflichtung ist also im Wesentlichen eine Verpflichtung zur Prüfung, nicht aber die Verpflichtung, ein bestimmtes Ergebnis herbeizuführen.
IV. Rechtsfolgen
Wird die Pflicht zum sorgfältigen Abwägen nicht erfüllt, riskieren die Organmitglieder die persönliche Inanspruchnahme auf Schadensersatz oder sogar strafrechtliche oder ordnungswidrigkeitenrechtliche Ermittlungen. Auch könnte Organmitgliedern die Entlastung verweigert werden, wenn sie nicht entsprechende Maßnahmen ergreifen. Dasselbe gilt in den Einzelfällen, in denen die Abwägung nur dahin gehend ausgehen kann, dass organisatorische Maßnahmen getroffen werden, insbesondere dann, wenn es bereits Vorfälle gegeben hat.
Teilen auf
