Jan Schreiner über den DICO Risikokatalog

DICO: Was stellt der DICO Risikokatalog dar?

Compliance im weiteren Sinne umfasst viel mehr als nur Korruptionsbekämpfung und andere Formen der Wirtschaftskriminalität. Im Rahmen unserer Tätigkeit im Arbeitskreis Compliance Risikoanalyse (AK-CRA) haben wir insgesamt 33 generische Compliance-Themenfelder identifiziert, deren Bandbreite von „Arbeitssicherheit“ bis „Versicherungsrecht“ reicht. Die kontinuierliche Erfüllung der in diesen Themenfeldern bestehenden regulatorischen Anforderungen, die zudem stetiger Veränderung unterworfen sind, ist oft mit erheblichen Compliance-Risiken verbunden.

Der DICO Risikokatalog beschreibt – bewusst generisch – die 33 Compliance-Themenfelder anhand von typischen Anforderungen und Risikobereichen, und zählt weiterhin die wesentlichen gesetzlichen Grundlagen auf. Hinzu kommen freiwillige Selbstverpflichtungen, wie sie sich zum Beispiel aus UN Global Compact, Fair Trade Zertifizierungen oder ähnlichen Standards ergeben können.

DICO: Wie erleichtert der DICO Risikokatalog die Arbeit des Compliance-Officers?

Der DICO Risikokatalog unterstützt Unternehmen dabei, sich einen möglichst umfassenden, aber auch hinreichend konkreten ersten Überblick der relevanten Compliance-Themenfelder und -Risikobereiche zu verschaffen. Diese erste Priorisierung ermöglicht eine Fokussierung auf das Wesentliche, sowohl bei der Planung und Durchführung einer detaillierten Compliance-Risikoanalyse als auch bei der darauf aufbauenden Entwicklung eines angemessenen Compliance-Programms.

Wir haben festgestellt, dass der Risikokatalog gerade für Mittelständler sehr gut geeignet ist, um einen zielorientierten Einstieg in die Compliance-Thematik zu erleichtern.

DICO: Welche Motivation hatte der Arbeitskreis Compliance Risikoanalyse bei der Erstellung des DICO Risikokataloges?

Wenn es im Unternehmen brennt, weil es zu „Compliance“-Verstößen gekommen ist und die Behörden ermitteln, dann gilt einer der ersten Anrufe des Vorstands zumeist dem Chief Compliance Officer (CCO).

Allerdings sieht sich der CCO häufig mit Sachverhalten konfrontiert, die streng genommen gar nicht in seinen thematischen Verantwortungsbereich fallen. Wenn sich die Compliance-Abteilung beispielsweise originär um Anti-Korruption, Kartellrecht und vielleicht auch noch um Geldwäsche kümmert, welche Rolle übernimmt der CCO dann bei der Sicherstellung von „Compliance“ im Umweltschutz?

Der Risikokatalog kann unter anderem dazu dienen, innerhalb des Unternehmens klare Zuständigkeiten für Themen zu ermitteln, die über die klassischen Compliance-Themenfelder hinausgehen.

DICO: Hilft der DICO Risikokatalog nur Compliance Officern oder ist dieser auch für andere Abteilungen interessant?

Compliance ist eine Aufgabe, die letztlich alle Bereiche eines Unternehmens betrifft. Nehmen wir doch nur einmal das Thema Leiharbeit. Allein die Frage, welche Abteilung dazu die „Spielregeln“ im Unternehmen definiert – sei es durch Richtlinien oder Anweisungen – ist häufig nicht eindeutig zu beantworten. Die Personalabteilung fällt einem spontan ein, aber der Einkauf und die Rechtsabteilung spielen ebenfalls eine wichtige Rolle. Erschwerend kommt hinzu, dass die mit Leiharbeit verbundenen Risiken in ganz verschiedenen Bereichen auftreten können, so zum Beispiel in der Produktion, in der Werkssicherheit, aber auch in der EDV oder im Engineering.

Compliance ist insofern als abteilungsübergreifendes Teamwork zu verstehen. Der DICO Risikokatalog stellt hierfür ein wichtiges Hilfsmittel dar, um die Governance-Strukturen im Unternehmen zu analysieren und zu gestalten und dabei einer Silobildung entgegenzuwirken.

DICO: Wird der DICO Risikokatalog fortlaufend aktualisiert bzw. erweitert?

Im Grunde ist der DICO Risikokatalog bewusst generisch gehalten worden und damit – trotz der unvermeidlichen Gesetzes- und Rechtsprechungsänderungen – weniger stark einem ständigen Anpassungsbedarf ausgesetzt. Nichtsdestotrotz werden wir den Katalog regelmäßig auf den Prüfstand stellen. Dabei werden wir rechtliche Änderungen ebenso im Auge behalten wie das Feedback aus der praktischen Nutzung des Risikokatalogs.

Eine Feststellung ist mir in diesem Zusammenhang noch sehr wichtig: Jedes Unternehmen ist einzigartig und wird von einem individuellen regulatorischen Umfeld geprägt, welches durch Unternehmenskontext und Geschäftsmodell beeinflusst ist. Die DICO Risikolandkarte muss deshalb im konkreten Anwendungsfall angepasst und ggf. durch weitere Themenfelder ergänzt werden.