GOV-03 | Governance & Verantwortlichkeit | Gilt für alle Unternehmen, Tiefe skaliert mit der Größe
Du kannst nicht alle Compliance-Themen gleichzeitig auf Grün bringen. Die Risikoanalyse sagt Dir, welche fünf bis zehn zuerst dran sind - und dokumentiert gleichzeitig, dass Du bewusst und begründet entschieden hast.
GILT DAS FÜR DICH?
Für jedes Unternehmen. Der Aufwand ist klein, der Hebel groß: Eine gute Risikoanalyse ersetzt gefühlte Prioritäten durch begründete.
Die Tiefe skaliert mit Größe und Komplexität. Ein Handwerksbetrieb mit 25 Mitarbeitenden kommt mit einer Seite aus. Ab etwa 250 Beschäftigten oder bei Auslandsgeschäft brauchst Du eine strukturierte Bewertung je Geschäftsbereich.
DAS MUSST DU TUN
- Liste einmal jährlich die fünf bis zehn größten Compliance-Risiken auf. Typische Kandidaten: Datenschutzverstoß, Korruption im Vertrieb, Arbeitsunfall, Cyberangriff, Verstoß gegen Exportvorschriften, Ausfall eines kritischen Lieferanten.
- Bewerte jedes Risiko grob nach Eintrittswahrscheinlichkeit und Schadenshöhe - hoch, mittel, niedrig genügt. Verzichte auf Scheingenauigkeit mit Nachkommastellen.
- Lege für jedes hoch bewertete Risiko eine Maßnahme, eine verantwortliche Person und eine Frist fest.
- Hole die Einschätzung nicht allein am Schreibtisch: Sprich mit Vertrieb, Einkauf, HR und IT. Dort kennt man die Risiken, die in keiner Checkliste stehen.
- Lass das Ergebnis von der Geschäftsführung abzeichnen - mit Datum. Das macht aus einer Liste eine Managemententscheidung.
- Prüfe im Folgejahr, was aus den Maßnahmen geworden ist, bevor Du neu bewertest.
GRÜN IST ES, WENN ...
Die Risikoanalyse ist keine zwölf Monate alt, jedes hoch bewertete Risiko hat eine Maßnahme mit Verantwortlichem und Frist, und die Geschäftsführung hat das Ergebnis abgezeichnet.
DIESE NACHWEISE BRAUCHST DU
Risikoregister oder Risk-Map (eine Seite reicht), Maßnahmenliste mit Status, Freigabevermerk der Geschäftsführung mit Datum.
DIE RECHTSGRUNDLAGE
- § 130 OWiG - Verletzung der Aufsichtspflicht: Welche Aufsichtsmaßnahmen "erforderlich" sind, bestimmt sich nach den Risiken Deines Betriebs. Ohne Risikoanalyse kannst Du weder begründen, warum Du etwas getan hast, noch warum etwas anderes nicht.
- § 91 Abs. 2 AktG - Risikofrüherkennungssystem: Für Aktiengesellschaften ausdrücklich vorgeschrieben. Die Rechtsprechung wendet den Gedanken auch auf größere GmbHs an.
- § 43 GmbHG - Sorgfaltspflicht des Geschäftsführers: Eine Entscheidung ist nur dann haftungsprivilegiert, wenn sie auf angemessener Informationsgrundlage getroffen wurde. Die Risikoanalyse ist diese Grundlage.
TYPISCHE STOLPERFALLEN
- Zu alt. Eine Analyse von vor drei Jahren dokumentiert vor allem, dass Du nicht hinsiehst.
- Nur Compliance-Risiken im engeren Sinn. Betriebswirtschaftliche Risiken gehören mindestens in die Betrachtung, sonst fehlt der Kontext.
- Maßnahmen ohne Owner. "Muss man mal angehen" ist keine Maßnahme.
- Keine Abzeichnung. Ohne Freigabe durch die Geschäftsführung bleibt es eine Fachmeinung ohne Verbindlichkeit.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Die Risikoanalyse ist die eine Aufgabe, die Du nicht auslagern solltest - aber Du musst sie auch nicht allein und ohne Struktur angehen.
Spezialisierte Rechtsberatung: Rechtliche Einschätzung dazu, welche Risiken in Deiner Branche und Größenordnung tatsächlich die wichtigsten sind - damit Du nicht die falschen fünf priorisierst.
Compliance.Trust: Risikoregister, Maßnahmenliste und der Freigabevermerk der Geschäftsführung liegen versioniert an einer Stelle.
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
