Anforderungen auf Kundenseite hinterfragen

Die Auftraggeberseite ist meist ebenso überfordert mit der Vielzahl von zu beachtenden Regeln wie die Auftragnehmerseite. Deswegen werden Vorgaben häufig eins zu eins an Dienstleister durchgereicht. In Verträgen wird nur am Rande erwähnt, dass auch Compliance-Aspekte zu erfüllen sind. Das Ausmaß der aus lapidaren Randbemerkungen resultierenden Aufwände wird in diesem Stadium oft nicht hinterfragt. Es ist jedoch sinnvoll, schon zu diesem Zeitpunkt im Gespräch mit dem Kunden zu prüfen, ob bestimmten Anforderungen nicht auch mit Zertifizierungen ­begegnet werden kann, die bereits im Unternehmen existieren. Gerade bei proprietären Testaten, die auf dem Markt kaum bekannt sind, ist es ratsam, Kosten und Nutzen einer weiteren Zertifizierung abzuwägen. Oft werden die Gemeinsamkeiten von Compliance-Themen übersehen. Je nach Gesetz, Norm oder Standard liegt die Betrachtung zwar auf einem anderen Unternehmensbereich (Finanzen, IT, Produktion, Gesamtunternehmen et cetera) oder Informationstyp, doch trotz der unterschiedlichen Schwerpunkte verfolgen die Vorgaben und Regelungen insgesamt vergleichbare Ziele. Diese Ziele sind
• die Vermeidung von Missbrauch und Schaden für das Unternehmen oder seine Stakeholder ( Aktionäre, Kunden, Mitarbeiter) und
• die Etablierung effizienter und effektiver Prozesse zur Erreichung der Unternehmensziele.
Zur Erreichung der Ziele werden einige wenige Kernthemen in den Fokus gestellt:
• Risikomanagement: Ein funktionierendes Risikomanagement erkennt und bewertet frühzeitig Risiken für das Unternehmen und seine Vermögenswerte und stellt den angemessenen Umgang mit ihnen sicher.
• Prozessmanagement: Prozesse müssen dokumentiert, kommuniziert, überwacht und gemessen werden, um geregelte und transparente Vorgehensweisen zu etablieren, Wiederholbarkeit zu gewährleisten und Verbesserungen zu ermöglichen. Dies erfordert auch die Einführung von stabilen Reporting-Strukturen.
• Sicherheit im Umgang mit Informationen: Informationen sind so zu behandeln, dass ihre Integrität, Vertraulichkeit und Authentizität gewahrt bleibt und sie jederzeit verfügbar sind.
• Verantwortung des Managements: Die Unternehmensleitung ist verantwortlich für die Einführung, die Funktionsfähigkeit und Korrektheit aller im Compliance-Umfeld erforderlichen Maßnahmen.
Die Gemeinsamkeiten legen nahe, den unterschiedlichen von außen getriebenen Anforderungen mit übergreifenden Maßnahmen zu begegnen. Die Realität sieht jedoch meist anders aus: Gesetze und Normen werden naturgemäß nicht alle zum gleichen Zeitpunkt unternehmensrelevant. So entstehen sukzessive parallele Management- und Kontrollstrukturen, die von verschiedenen Abteilungen verantwortet und häufig mit großen Widerständen implementiert werden. Am Ende der Kette steht häufig der IT-Bereich, der die Kontrollen systemisch umsetzen muss. Schlimmstenfalls werden heterogene oder auch gegenläufige Methoden der Darstellung und Umsetzung verwendet, die eine spätere Integration der Systeme ausschließen. Es entstehen Insellösungen mit Einmalcharakter; eine einheitliche Vorgehensweise fehlt. Die Folge: Es entsteht ein ausuferndes Berichtswesen, das in erster Linie Mehraufwände generiert. Um der heutigen Multi-Compliance gewachsen zu sein, ist es daher sinnvoll, zunächst die konkreten Anforderungen der einzelnen Gesetzte oder Vorgaben zu analysieren, Überschneidungen festzustellen und zu konsolidieren. Ein durchgängiges Management- und Kontrollsystem kann dann efiizient auf die Anforderungen reagieren. Compliance bedeutet nicht, ein Unternehmen neu aufzustellen, sondern Vorhandenes zu strukturieren, zu dokumentieren und gegebenenfalls zu ergänzen. In den meisten Firmen sind bereits zahlreiche Regeln, Vorgehensweisen und Prozessbeschreibungen an unterschiedlichen Orten vorhanden, die zu diesem Zweck zusammengeführt werden können. Dreh- und Angelpunkt ist dabei ein funktionierendes Risikomanagement, das in das Management- und Kontrollsystem integriert ist. Jede neue Compliance-Anforderung wird nun gegen dieses System abgeglichen – auf fachlicher und IT-technischer Ebene. Die IT ist aufgrund ihrer zentralen Stellung von fast allen Compliance-Themen betroffen und soll Synergien bei der Bereitstellung relevanter Informationen nutzen. Deswegen muss sie unbedingt den Schulterschluss mit der Fachseite suchen, um Vorteile in der Umsetzung zu realisieren und so das gesamte Unternehmen für den Wettbewerb aufzustellen.