Compliance-Gefährdungsanalyse: Risiken identifizieren, G ... / 2.3 Was folgt daraus für die Risikoerfassung und -beurteilung?

Grundsätzlich können Compliance-Risiken überall im Unternehmen auftreten. Sie zu identifizieren erfordert deshalb ein breit gestreutes Vorgehen. Um die Organisation damit nicht zu überfordern, muss Maß gehalten und auf der Basis vernünftiger Annahmen möglichst gezielt vorgegangen werden. Hierfür eignen sich klug aufgebaute, modulare Fragebögen, die ohne großen Aufwand noch genauer auf den jeweiligen Adressatenkreis angepasst werden können. Die Befragung kann im Einzelfall durch Interviews, die Auswertung von Vorkommnissen, Rücksprache mit der Internen Revision und/oder die Beobachtung von Wettbewerbern und deren Compliance-Aktivitäten ergänzt werden. Während die Befragung von Führungskräften und ausgewählten Mitarbeitenden möglichst offen und einfach gestaltet sein sollte, empfiehlt es sich für die anschließende Auswertung und Beurteilung, diese dem Compliance-Beauftragten zu überlassen, um sie möglichst unabhängig durchzuführen und die gesammelten Antworten sogleich mit rechtlichen Anforderungen abgleichen zu können.

• Allgemein gehaltene Fragebögen über Compliance-Risiken geben eine erste Orientierung und erhöhen gleichzeitig die Aufmerksamkeit der Befragten für Compliance-Themen.
• Dabei sollte eine genauere Befragung nach wahrscheinlicher Schadensfrequenz und Schadenshöhe von Compliance-Risiken unterbleiben.
• Denn zum Aufzeigen konkreter Schwachstellen oder als Grundlage für korrespondierende Präventionsmaßnahmen sind sie eher nicht geeignet.
• Vermuteten (bzw. sich andeutenden) Compliance-Risiken sollte daher mit detaillierten Fragen nach objektiven, risikorelevanten Sachverhalten nachgegangen werden. Hierfür eignen sich Interviews bzw. Fachgespräche.
• Das erhöht zugleich die Qualität der späteren Compliance-Risikobeurteilung und die "Treffsicherheit" der zu ergreifenden Comp...