IDW PS 980 und CMS-Prüfungen

IDW PS 980 und CMS-Prüfungen: die kurze Antwort

IDW PS 980 ist der Prüfungsstandard des Instituts der Wirtschaftsprüfer (IDW) für die Prüfung von Compliance-Management-Systemen (CMS). Er legt die Grundelemente fest, die ein Prüfer untersucht, etwa Compliance-Kultur, Ziele, Risiken, Programm, Organisation, Kommunikation sowie Überwachung, und definiert die Auftragsarten: ob das vom Unternehmen beschriebene CMS zu einem bestimmten Stichtag angemessen ausgestaltet und implementiert ist und ob es zudem über einen Zeitraum wirksam war. Eine solche Prüfung ist freiwillig. Die Verbandsgeldbuße nach § 30 OWiG macht sie relevant: Ihr Wert liegt darin, den Organen eine unabhängige Sicht auf ihre Compliance-Organisation zu geben, ihre Verteidigung gegen Haftungsansprüche zu stützen und Argumente für geringere Verbandsgeldbußen zu untermauern, die nach Aussage des Bundesgerichtshofs durch ein effizientes CMS beeinflusst werden können.

Dieser Beitrag erläutert, was IDW PS 980 verlangt, wie Prüfungen in der Praxis ablaufen, welchen Zeit- und Arbeitsaufwand sie verursachen und was ein Prüfungsurteil in Verfahren vor Behörden und Gerichten leisten kann und was nicht. Der Standard ist ein berufsständischer Standard und kein Gesetz. Die rechtliche Bedeutung eines CMS ergibt sich aus Gesetzen wie § 130 des Gesetzes über Ordnungswidrigkeiten (OWiG) und §§ 91 und 93 des Aktiengesetzes (AktG). Wer diesen Zusammenhang versteht, kann die Prüfung gezielt als Instrument der Unternehmensführung einsetzen.

Warum Compliance-Management-Systeme im deutschen Recht wichtig sind

Das deutsche Recht verlangt von der Unternehmensleitung, dafür zu sorgen, dass das Unternehmen das Recht einhält. Bei Aktiengesellschaften umfasst die Sorgfaltspflicht des Vorstands nach § 93 Abs. 1 AktG eine Pflicht zur Compliance-Organisation, und börsennotierte Gesellschaften müssen ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem unterhalten (§ 91 Abs. 3 AktG). Für alle Unternehmen gilt § 130 OWiG: Ordnungswidrig handelt der Inhaber oder die Leitung, wenn Aufsichtsmaßnahmen unterlassen werden, die erforderlich sind, um Zuwiderhandlungen gegen Pflichten zu verhindern, die das Unternehmen treffen, und es zu einer Zuwiderhandlung kommt, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Solche Versäumnisse können Verbandsgeldbußen nach § 30 OWiG auslösen.

Eine gesetzliche Vorlage für ein CMS gibt es nicht. Der Prüfungsstandard füllt diese Lücke aus Sicht des Prüfers, indem er beschreibt, was ein CMS enthalten sollte und wie sein Vorhandensein und seine Wirksamkeit geprüft werden können. Viele deutsche Unternehmen richten ihr CMS zudem an ISO 37301 (Compliance-Management-Systeme) und ISO 37001 (Antikorruption) aus, und eine Prüfung kann diese Rahmenwerke als Grundlage der CMS-Beschreibung des Unternehmens heranziehen. Die Wahl des Rahmenwerks ist damit eine Entscheidung des Unternehmens, nicht des Prüfers.

Die Grundelemente nach IDW PS 980

Der Standard gliedert ein CMS in Grundelemente, die der Prüfer anhand der unternehmenseigenen CMS-Beschreibung beurteilt. Zusammengefasst:

Der Standard schreibt keine Inhalte vor. Das Unternehmen bestimmt sein CMS und die Bereiche, die es abdeckt, etwa Kartellrecht, Korruptionsbekämpfung, Exportkontrolle, Datenschutz oder Steuern, und der Prüfer prüft das CMS anhand dieser Beschreibung und der Grundsätze des Standards. Die Qualität der Beschreibung bestimmt deshalb maßgeblich, wie aussagekräftig das spätere Prüfungsurteil ist.

Arten von Prüfungen nach IDW PS 980

Der Standard unterscheidet die Aufträge nach ihrer Prüfungstiefe. Eine Angemessenheitsprüfung beurteilt, ob das beschriebene CMS geeignet ist, Risiken wesentlicher Regelverstöße rechtzeitig zu erkennen und mit hinreichender Sicherheit zu verhindern, und ob es zu einem bestimmten Stichtag implementiert war. Eine Wirksamkeitsprüfung untersucht zusätzlich, ob die Grundsätze und Maßnahmen des CMS über einen festgelegten Zeitraum, typischerweise mehrere Monate, wie vorgesehen angewendet wurden; dazu werden Stichproben gezogen und Funktionstests durchgeführt. Frühere Fassungen des Standards sahen zudem eine auf die Konzeption des CMS beschränkte Prüfung vor, die Unternehmen als ersten Schritt beim Aufbau eines neuen Systems nutzten; der Standard wurde 2022 überarbeitet.

Prüfungen können das gesamte CMS oder einen Teilbereich erfassen, etwa Kartellrechts-Compliance oder Korruptionsbekämpfung. Viele Unternehmen beginnen mit einer Angemessenheitsprüfung für einen oder zwei Hochrisikobereiche und gehen zu Wirksamkeitsprüfungen über, sobald das System ausgereift ist. Dieses schrittweise Vorgehen verteilt den Aufwand über mehrere Jahre und erlaubt es, Erkenntnisse aus der ersten Prüfung in die Weiterentwicklung des Systems einfließen zu lassen.

Wie eine Prüfung nach IDW PS 980 abläuft

1. Festlegung des Prüfungsumfangs. Die Unternehmensleitung bestimmt den Prüfungsgegenstand, die erfassten Rechtsgebiete und Konzerngesellschaften sowie die Art der Prüfung.
2. CMS-Beschreibung. Das Unternehmen erstellt eine schriftliche, entlang der Grundelemente gegliederte Beschreibung seines CMS.
3. Readiness-Check. Viele Unternehmen führen zunächst eine interne oder externe Lückenanalyse durch, um Mängel vor der förmlichen Prüfung zu beseitigen.
4. Prüfungshandlungen. Der Prüfer sichtet Unterlagen, befragt Leitung und Mitarbeiter, nimmt Prozesse in Augenschein und testet bei Wirksamkeitsprüfungen Kontrollen anhand von Stichproben.
5. Berichterstattung. Der Prüfer erstellt einen Bericht und ein Urteil zur CMS-Beschreibung sowie zur Angemessenheit, Implementierung und gegebenenfalls Wirksamkeit des CMS.

Je nach Unternehmensgröße und Umfang kann eine Angemessenheitsprüfung einige Monate dauern; Wirksamkeitsprüfungen erfordern einen Prüfungszeitraum und umfangreichere Prüfungshandlungen. Die Prüfung wird in der Regel von einer anderen Prüfungsgesellschaft als dem Abschlussprüfer oder unabhängig von dessen Team für die Abschlussprüfung durchgeführt.

Der Wert einer Prüfung bei der Abwehr von Bußgeldern und Haftungsansprüchen

Ein Prüfungsurteil ist kein sicherer Hafen. Behörden und Gerichte beurteilen die Compliance-Organisation selbst. Eine Prüfung kann aber in drei Zusammenhängen ein wertvolles Beweismittel sein, die im Folgenden näher erläutert werden.

Verbandsgeldbußen

Mit Urteil vom 9.5.2017 – 1 StR 265/16 entschied der Bundesgerichtshof, dass es für die Bemessung einer Verbandsgeldbuße nach § 30 OWiG von Bedeutung ist, ob das Unternehmen seiner Pflicht, Rechtsverletzungen zu unterbinden, genügt und ein effizientes, auf die Vermeidung von Rechtsverstößen ausgelegtes Compliance-Management-System installiert hat, und ob es nach Einleitung des Verfahrens seine Compliance-Regeln und betriebsinternen Abläufe so optimiert hat, dass vergleichbare Normverletzungen künftig deutlich erschwert werden. Ein geprüftes CMS hilft, beide Punkte nachzuweisen.

Aufsichtspflicht nach § 130 OWiG

Nach § 130 OWiG haftet die Leitung nur, wenn die Zuwiderhandlung durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Ein durch eine Prüfung dokumentiertes wirksames CMS stützt das Argument, dass die erforderlichen Aufsichtsmaßnahmen einschließlich der sorgfältigen Auswahl und Überwachung von Aufsichtspersonen getroffen wurden.

Haftung der Geschäftsleiter

In Streitigkeiten über die Organhaftung nach § 93 Abs. 2 AktG oder § 43 GmbHG kann ein Prüfungsbericht zeigen, dass die Leitung angemessene organisatorische Maßnahmen getroffen hat. Aufsichtsräte wiederum können sich bei der Überwachung der Compliance-Organisation des Vorstands auf Prüfungsergebnisse stützen. So entsteht eine nachvollziehbare Dokumentation, die im Streitfall beiden Organen zugutekommen kann.

Konzernweite Compliance und ausländische Tochtergesellschaften

Bei Konzernen muss der Prüfungsumfang die Konzernstruktur widerspiegeln. Die Aufsichtspflichten nach § 130 OWiG treffen den Inhaber eines Unternehmens, und Behörden prüfen zunehmend, ob Muttergesellschaften eine wirksame Kontrolle über die Compliance in Tochtergesellschaften ausgeübt haben, insbesondere im Ausland. Ein CMS, das in der Zentrale gut funktioniert, aber nicht auf ausländische Vertriebsgesellschaften, Gemeinschaftsunternehmen oder neu erworbene Geschäfte ausgerollt ist, bietet nur begrenzten Schutz. Prüfungen sollten daher entweder die relevanten Tochtergesellschaften erfassen oder klar angeben, dass sie dies nicht tun.

Die Integration von Akquisitionen verdient besondere Aufmerksamkeit. Eine Compliance-Due-Diligence vor der Unterzeichnung, ein Integrationsplan nach dem Vollzug und die frühzeitige Einbeziehung des erworbenen Geschäfts in Risikobewertungen und Schulungen sind typische Erwartungen von Behörden und Gerichten gleichermaßen. Hatte ein erworbenes Unternehmen Schwächen, kann die Dokumentation ihrer Behebung wichtig werden, wenn später Altverstöße bekannt werden. Gerade bei Unternehmenskäufen sollte die Compliance-Funktion deshalb von Anfang an eingebunden sein.

Das CMS nach einem Vorfall nutzen

Wird ein Compliance-Verstoß bekannt, wechselt das CMS von der Prävention zur Reaktion. Die Behörden beurteilen, wie schnell das Unternehmen reagiert hat, ob es den Sachverhalt aufgeklärt, kooperiert, disziplinarische Maßnahmen ergriffen und Kontrollschwächen behoben hat. Das Urteil des BGH von 2017 hat Verbesserungen nach Einleitung des Verfahrens ausdrücklich als für die Bußgeldbemessung relevant anerkannt. Ein strukturierter Abhilfeplan, idealerweise von unabhängiger Seite überprüft, ist daher Teil einer wirksamen Verteidigungsstrategie und sollte frühzeitig mit den Behörden abgestimmt werden.

Interne Untersuchungen müssen die Rechte der Arbeitnehmer, den Datenschutz und die Beteiligungsrechte des Betriebsrats beachten, und Unternehmen sollten bei der Beauftragung von Untersuchungsberichten den Schutz anwaltlicher Vertraulichkeit bedenken. Die Ergebnisse der Untersuchung fließen in die Risikobewertung und die Ausgestaltung der Kontrollen zurück und schließen damit den Kreislauf, den der Prüfungsstandard als Überwachung und Verbesserung beschreibt.

Grenzen und Kosten

Prüfungen binden erhebliche interne Ressourcen für Dokumentation, Befragungen und Tests und verursachen externe Honorare. Sie vermitteln hinreichende, keine absolute Sicherheit und decken nicht jeden Verstoß auf, insbesondere wenn Mitarbeiter bewusst zusammenwirken, um Kontrollen zu umgehen. Ein Prüfungsurteil kann sogar zur Belastung werden, wenn es genutzt wird, um ein System wirksamer darzustellen, als es ist, oder wenn festgestellte Schwächen nicht behoben werden. Unternehmen sollten die Prüfung daher als Teil eines kontinuierlichen Verbesserungsprozesses und nicht als einmalige Zertifizierung verstehen.

Auch der richtige Zeitpunkt ist wichtig. Eine Prüfung nach IDW PS 980, die vor der Reife des CMS durchgeführt wird, führt meist zu Feststellungen, die das Unternehmen anschließend beheben und dokumentieren muss, während eine Prüfung nach einer Phase stabilen Betriebs aussagekräftigere Sicherheit bietet. Viele Unternehmen planen daher eine Abfolge: Lückenanalyse, Behebung, Angemessenheitsprüfung, eine Betriebsphase und anschließend eine Wirksamkeitsprüfung, abgestimmt auf ihren Zyklus der internen Revision, ihre Budgetplanung und ihren Kalender der Berichterstattung an die Organe für die folgenden Jahre.

Illustration: Ein hypothetischer deutscher Maschinenbaukonzern mit bedeutenden öffentlichen Auftraggebern im Ausland beschließt, sein CMS zur Korruptionsbekämpfung prüfen zu lassen. Er führt zunächst eine Lückenanalyse durch, verstärkt die Due Diligence gegenüber Vertriebsmittlern und dokumentiert seine Risikobewertung. Es folgt eine Angemessenheitsprüfung und ein Jahr später eine Wirksamkeitsprüfung. Wird später einem Mitarbeiter einer ausländischen Tochtergesellschaft die Zahlung eines Bestechungsgelds vorgeworfen, kann der Konzern der Staatsanwaltschaft zeigen, dass sein CMS angemessen ausgestaltet war und wirksam funktionierte, was eine geringere Geldbuße und die Einstellung des Verfahrens gegen die Unternehmensleitung stützt.

So unterstützt TRW & Co bei Prüfungen nach IDW PS 980

Wir beraten Unternehmen bei der Ausgestaltung von Compliance-Management-Systemen, die einer externen Prüfung und der Überprüfung durch Behörden standhalten. Wir führen Lückenanalysen durch, entwerfen CMS-Beschreibungen, Richtlinien und Risikobewertungen, bereiten die Unternehmensleitung auf Prüfungsgespräche vor und arbeiten parallel zum Prüfer, ohne dessen Rolle zu übernehmen. Kommt es zu Verfahren, nutzen wir die CMS-Dokumentation, um das Unternehmen gegen Verbandsgeldbußen und die Leitung gegen Haftungsansprüche zu verteidigen. Unsere Arbeit ist eng mit unserer Praxis zu Compliance-Management-Systemen und zur Wirtschaftsstrafverteidigung verbunden. Lesen Sie auch unsere Beiträge zu Verbandsgeldbußen nach §§ 30 und 130 OWiG und zu Kartellrechts-Compliance-Programmen. Wenn Sie Ihr CMS besprechen möchten, kontaktieren Sie uns.