Compliance Management Software im Mittelstand und im Konzern

Compliance liegt in vielen Unternehmen oftmals bei einer einzigen Person/einem kleinen Kreis an Mitarbeitern und wird oft im Unternehmen „stiefmütterlich“ behandelt. Oft sind es Juristen (m/w), die Compliance, neben deren eigentlichen Kernaufgaben, mittragen. Beim Mittelstand übernimmt häufig eine Ombudsperson diese Rolle.  

Diese Vielfalt ist „normal“. Was viele dieser Unternehmen trotzdem verbindet: Sie arbeiten oftmals mit veralteten Lösungen – „Open-Source-Produkten“, E-Mail-Postfächern, Telefonlisten, handschriftlichen Vermerken oder sonstigen „Prozessen“, die den Namen Prozess eigentlich nicht verdienen.  

Im Konzern gibt es meist eine eigene Compliance-Abteilung, ein IT-Team im Hintergrund und ein Budget, das jedes Jahr aufs Neue gewährt wird. Im Mittelstand sieht die Ausgangslage meist anders aus.
Die Erwartungen an Nachweisbarkeit und Prüfsicherheit bleiben trotzdem dieselben wie im Konzern – Gesetze wie das Hinweisgeberschutzgesetz (HinSchG) finden rechtlich bereits eine verpflichtende Anwendbarkeit ab 50 Mitarbeitenden im Unternehmen. Gerät man in eine Kontrolle oder hat man einen Hinweis gar nicht bzw. nur unzureichend bearbeitet, könnten schnell Bußgelder von mehreren zehntausend Euro fällig werden.

Das macht mittelständische Unternehmen sehr anfällig für Verstöße. Sie haben schlicht weniger Personal und weniger IT-Unterstützung zur Verfügung – der regulatorische Druck der Regierung bleibt trotzdem gleich hoch.
Ein Beispiel aus der Praxis: Ein Unternehmen mit 1.000 Mitarbeitenden hat oftmals genauso viele Compliance-Richtlinien zu berücksichtigen wie ein Konzern mit 20.000, 30.000 oder 50.000 Mitarbeitenden – nur ohne eine Rechtsabteilung bzw. geeignete Ressourcen im Unternehmen. Diese Lücke zwischen Pflicht und Ressourcen ist der eigentliche Ausgangspunkt für die Softwareauswahl.

Aus zahlreichen Projekten unterschiedlichster Unternehmensgrößen lässt sich ein klares Muster ableiten: Ein schlanker, intuitiver Workflow in einer „aufgeräumten“ Umgebung schafft mehr Wert und bringt auch die Akzeptanz bei den Mitarbeitern, die damit arbeiten.

Ein Meldekanal (HinSchG), der zuverlässig läuft, eine Freigabe/Bearbeitung der Meldung, die ganz klar adressiert ist, und eine Revisionssicherheit, die bei einer Prüfung sofort greifbar ist – das sind die Funktionen, die im Alltag den Unterschied machen.

Auch die anderen Bereiche in der Compliance werden dabei abgedeckt. Richtlinienmanagement sowie Genehmigungs- und Freigabeprozesse dürfen nicht außer Acht gelassen werden. Die Implementierung dieser in ein geordnetes Compliance-Management-System (CMS) ist kein „Hexenwerk“ und kann digital sowie nachweisbar in EINER Lösung gewährleistet werden.

Viele, gerade stark wachsende, Unternehmen haben aktuell kein digitales Hinweisgebersystem sowie nur rudimentäre Compliance-Prozesse. Meldungen laufen über eine private E-Mail-Adresse, ein Diensttelefon oder eine Ombudsperson, die „nur“ nebenbei erreichbar ist.

Die Herausforderung dabei liegt in der fehlenden Nachweisbarkeit: Wer hat wann was gemeldet, wie wurde die Vertraulichkeit gewahrt, wurden Fristen eingehalten? Bei einer Prüfung nach ISO 27001 (IT-Sicherheit) oder ISO 37301 (Compliance) zählt genau das.

Auch datenschutzrechtlich ist ein informeller Prozess riskant. Meldungen enthalten häufig personenbezogene Daten, für die die Datenschutz-Grundverordnung (DSGVO) klare Anforderungen an Verarbeitung und den Umgang mit diesen Daten stellt. Ohne einen dokumentierten Prozess lässt sich das kaum belegen.
Für die Person, die diesen Prozess „nebenbei“ betreut, bedeutet dies zusätzlichen Druck. Ein Compliance-Verantwortlicher, mit vollem Kerngeschäft, hat selten die Kapazität, Fälle nachträglich zu rekonstruieren, wenn eine Prüfung ansteht.

Diese Lücke ist das eigentliche Risiko für (aufstrebende) Unternehmen.

Vier Punkte entscheiden in der Praxis, ob ein System angenommen wird:

– Kurze Einführungsphase. Teams ohne dedizierte IT-Ressourcen brauchen ein System, das innerhalb von wenigen Wochen läuft und für das die Verantwortung der Lauffähigkeit an den Partner abgegeben werden kann (SaaS). Für den Mittelstand entstehen aktuell zunehmend Lösungen, die genau darauf ausgelegt sind.
Klare Verantwortlichkeiten. Wenn z. B. ein Hinweis (nach HinSchG) eingeht, muss bereits vorher feststehen, wer verantwortlich ist, wie die nächsten Schritte aussehen und ob alle Informationen im Hinweis ausreichen, um diesen Fall aufzuklären.

– Nachweise auf Knopfdruck. Bei einer externen Prüfung reicht die Erinnerung an einen Vorgang nicht aus. Nötig ist eine lückenlose Dokumentation, die sich ohne Aufwand ziehen lässt.

– Wenig Aufwand auf Unternehmensseite. Je weniger Personen für Einrichtung und laufenden Betrieb eingebunden werden müssen, desto mehr Kapazität bleibt für die Fälle, die wirklich Aufmerksamkeit brauchen.
– Strukturierte Prozesse ebenso im Bereich Richtlinienmanagement: Genehmigungen und Freigaben müssen initiiert werden, um die Compliance-Prozesse ganzheitlich anzugehen.

Ergänzend hilft an dieser Stelle Zugang zu Expertenwissen und, wo sinnvoll, KI-gestützte Funktionen als Unterstützung für Teams, die ohnehin schon knapp besetzt sind.

Bevor ein Anbieter in die engere Auswahl kommt, lohnt sich ein interner Check anhand von vorabgestellten Fragen.

– Wer ist verantwortlich für das System im täglichen Betrieb?
– Was haben wir bereits im Unternehmen, was wir in einer zukünftigen Lösung schon verwenden können?
– Welche Workflows/Themen müssen priorisiert werden, und welche können später folgen?
– Welche Nachweise/Informationen fordern das eigene Management, externe Wirtschaftsprüfer:innen oder Aufsichtsbehörden konkret ein?
– Wie viel Unterstützung durch die eigene IT ist realistisch zumutbar?
– Welcher Partner passt am besten zu mir und kann mich am besten beraten?

Diese und noch viele weitere Fragen liefern die Grundlage für den Aufbau eines Compliance-Management-Systems, das zu Ihnen und Ihrem Unternehmen passt. Zeitersparnis bei der Bearbeitung eingehender Meldungen/Ausrollen von Richtlinien oder Bearbeitung von Freigabeprozessen lässt sich zum Beispiel recht genau in Arbeitsstunden beziffern.

Wer an diesem Punkt unsicher ist, profitiert von einem Austausch mit einem Partner, der den Auswahlprozess schon mehrfach begleitet und das Projekt ausgeführt hat. Das hilft, Unvorhergesehenes frühzeitig zu erkennen, losgelöst von einem klassischen Verkaufsgespräch.

Enterprise-GRC-Systeme sind für komplexe Konzernstrukturen gebaut, mit mehreren (internationalen) Standorten, eigenen Rechtseinheiten und einem Projektteam für die Einführung. Genau diese Struktur fehlt bei mittelständischen Unternehmen meist oder muss noch mühselig aufgebaut werden. 

Geeignete Software für den Mittelstand ist, im besten Fall, modular aufgebaut. Sie lässt sich in Wochen statt Quartalen in Betrieb nehmen und wächst mit, wenn das Unternehmen wächst, ohne eine große Transformation auszulösen, sobald neue Anforderungen hinzukommen. 

Diese Unterscheidung ist auch der Grund, warum viele Verantwortliche im Mittelstand bei „Enterprise-Software“ zunächst abwinken. Die Skepsis ist berechtigt, bezieht sich aber meist auf die eigene Auslegung des Wortes „Enterprise“. Enterprise bedeutet „nur“, dass eine Lösung ausbaufähig ist, ohne an Kapazitätsgrenzen zu stoßen. Niemand möchte eine Lösung wechseln müssen, weil die (Speicher-)Kapazität nicht ausreichend ist. 

Auch das kommerzielle Modell unterscheidet sich. Zugeschnittene Pakete und jährliche Vertragslaufzeiten passen besser zu einem Unternehmen, das seine Compliance-Anforderungen noch entwickelt, als eine mehrjährige Lizenz. Die nötige Investition liegt dabei häufig deutlich unter dem, was viele Verantwortliche im Vorfeld befürchten und bildet nur einen Bruchteil der Aufwendung ab, der bei einem Compliance-Verstoß losgetreten wird. 

Der Unterschied zeigt sich auch in der Beziehung selbst. Anbieter, die in diesem Segment nachweisliche Expertise vorweisen können, verstehen sich als Partner über die gesamte Vertragslaufzeit. Gerade in der Einführung und im Aufbau einer neuen digitalen (Compliance) Lösung ist es immer gut, nicht von einer „grünen Wiese“ zu starten, sondern mit Experten zusammen zu arbeiten, die mit Rat und Tat unterstützen.  

Die beste Compliance-Software ist am Ende die, die genutzt wird, wenn es notwendig wird und dabei noch leicht sowie intuitiv bedienbar ist. Das gilt unabhängig davon, welche Ausbildung die (internen) Mitarbeiter haben oder ob das Thema Compliance, bei einer (externen) Ombudsperson aufgehängt ist. 

Das hat wenig mit einem reduzierten Funktionsumfang zu tun. Es hat viel damit zu tun, ob Einführung, Verantwortlichkeiten und Nachweisführung zur tatsächlichen Situation im Unternehmen passen. Genau das entscheidet darüber, ob ein Compliance-Programm für das Unternehmen wertvoll ist oder die Lizenzgebühren bezahlt werden, weil man (irgend)ein System im Unternehmen betreiben muss, um irgendwie compliant zu sein. 

Compliance ist für mich seit Jahren ein Bereich, welcher mich auch persönlich sehr interessiert. Die Compliance entwickelt sich in Deutschland gerade jetzt sehr schnell, bringt neue regulatorische Anforderungen sowie neue technische Möglichkeiten und dadurch digitale Vereinfachungen mit sich.  

Ein geordneter und strukturierter Prozess im Unternehmen lässt aber auch das Management ein besseres Gefühl bekommen, da dies die Ebene im Unternehmen ist, die (exekutiv) für eine Konformität im Bereich Compliance im Unternehmen verantwortlich ist.   

Wer herausfinden möchte, welche Compliance-Workflows sich im eigenen Unternehmen zuerst digitalisieren lassen, startet am besten mit einer pragmatischen Bestandsaufnahme.