Um Compliance-Probleme zu verhindern, gilt Transparenz als ein probates Mittel. Diese wird durch die Digitalisierung und eine entsprechende Kultur in vielen Unternehmen mittlerweile gefördert – doch die Praxis sieht anders aus: Compliance-Probleme treten nach wie vor auf. Wo die Ursachen liegen und wie sich Compliance-Verstöße durch eine agile Organisationsweise verhindern lassen, erklärt Prof. Dr. Stefan Vieweg, Leiter des Instituts für Compliance und Corporate Governance an der RTFH Köln und Autor des Beitrags „Agiles Management als Wegbereiter gelebter Compliance und besserer Corporate Governance“ im Sammelband „Transformationsvorhaben mit dem Enterprise Transformation Cycle meistern" in an interview.

Compliance-Probleme trotz digitaler Transparenz

Beate Greisel: In Ihrem Beitrag im zweiten ETC-Band ist einer Ihrer Fokuspunkte Compliance. Wenn man sich die mediale Berichterstattung ansieht, scheinen Big Data, smarte Analyse-Software et cetera nur im Ausnahmefall zur angestrebten allumfänglichen Transparenz zu führen. Was ist Ihre Einschätzung?

Stefan Vieweg: Ja genau, leider ist mit wachsender digitaler Transparenz keineswegs ein Rückgang von Compliance-Vorfällen zu verzeichnen, sondern es ist eher festzustellen, dass auch selbst bei „gescheiten“ Leuten unlautere Transaktionen vorkommen, bei denen absehbar ist, dass dies zu Problemen führen wird.

Doch zunächst eine kurze Begriffsklärung: Compliance kann man als Regeltreue verstehen – nun gut, diese Regeln sind zunächst einmal die Gesetze, aber es geht natürlich in Organisationen darüber hinaus: so haben z. B. Unternehmen oder auch Einrichtung der Öffentlichen Verwaltung eine klare normative Ausrichtung, die sich in den „Dos“ und „Don’ts“ widerspiegeln, wie z. B. das altbewährte Vier-Augen-Prinzip oder den Grundsatz, dass bei Entscheidungen Entscheider und Begünstigter möglichst nicht in Personalunion sein sollten, weil dadurch keine Kontrolle gegeben wäre. Leider ist auch hierzulande die Liste prominenter Compliance-Vorfälle – auch der jüngeren Vergangenheit – sehr lang. So ist es keineswegs nur der große Bestechungsskandal von Siemens in den jungen 2000er Jahren, oder VW Dieselgate 2015, nein auch die öffentliche Hand, seien es die überhöhten Beraterverträge, die das Bundesverteidigungsministerium abgeschlossen hatte (was im Übrigen auch bei der Deutschen Bahn ein ähnliches Problem war), oder Insidergeschäfte des 2017 geschassten Deutsche Börse Vorstandsvorsitzenden, oder die Maskenaffäre der Union 2021, oder – ganz großes Kino – 2020 das Wirecard-Debakel und die in Insiderhandel verwickelten BAFIN-Aufseher.

Die Liste kann beliebig fortgesetzt werden! Diese – im negativen Sinne – Leuchtturm-Vorfälle verdeutlichen, dass es genau dann schwierig wird, wenn Menschen am Werk sind und es um die eigene Vorteilhaftigkeit geht, verbunden mit einem laxen Kontrollsystem.

BG: Wie lassen sich solche Vorfälle dann überhaupt verhindern?

SV: Die Organisationen an sich müssen für die potenziellen Compliance-Probleme sensibilisiert werden, sie brauchen geeignete Führungs- und Ablaufstrukturen, die Compliance-Probleme frühzeitig im Keim ersticken und zwar bevor es auch nur ansatzweise zu einem strafbewährten oder reputationsschädigenden Vorfall kommt.

Compliance: Bewertungsstandards und Schwachstellen diagnostizieren

BG: Ist es in großen Konzernen oder bestimmten Branchen wahrscheinlicher, dass Compliance-Verstöße passieren oder entsprechende Verdachtsmomente aufkommen?

SV: Die Vermutung, die wir in meinem Institut für Compliance und Corporate Governance seinerzeit bei der ersten Erfassung des Compliance on Board Index (CoBI) als Hypothese formuliert hatten, war genau andersherum: große Konzerne haben per se eine bessere Ausstattung gerade in dem Bereich unterstützender Funktionen – und dazu gehört doch in gelebter Praxis heute (leider) sehr häufig auch die Compliance. Das heißt mit einem umfassenden Apparat, der Strukturen sauber definieren und umsetzen kann und bei dem es ein klares Sanktionierungs- und Belohnungssystem gibt, wird es – so die Vermutung – eher möglich sein, einen guten Compliance-Standard umzusetzen.

Bei Unternehmen in einer kritischen Größe von mehr als 150 Mitarbeiter – also, wenn nicht mehr jeder jeden wirklich kennen kann – bei nicht so stark ausgeprägten Strukturen, dann ist Compliance nicht im Fokus.

Branchenspezifisch gibt es natürlich erhebliche Unterschiede. Insbesondere sind die sehr stark regulierten Branchen wie Financial Services, Healthcare und Food zu nennen, aber es macht da sicherlich nicht halt. Doch zunehmend werden auch andere Industrien vom Thema Compliance-Probleme betroffen sein: Ich verweise auf den derzeitigen „ESG-Modetrend“ (Environmental Social Governance, häufig auch Corporate Social Responsibility (CSR) genannt) – also Reporting für nachhaltige Unternehmensführung, der weitere erhebliche Auflagen für viele Unternehmen bedeutet und mit den CO2-Abgaben und entsprechenden Umrüstungen höhere Kosten beziehungsweise Investitionen nach sich zieht. Bitte nicht falsch verstehen: ich bin definitiv für eine nachhaltige Unternehmensführung im digitalen Zeitalter, aber das derzeitige „Mushrooming“ von den unterschiedlichsten Initiativen und einseitigen Sponsoren hinter diesen birgt die große Gefahr einer unnötigen Kostenaufbaus und – noch schlimmer – eines Greenwashings, was so ziemlich das letzte ist, was wir angesichts des Klimawandels brauchen.

Aber zurück: Im CoBI haben wir im Wesentlichen diese Hypothese bestätigen können: Ich habe hier den Compliance-Implementierungsgrad in zwei unterschiedliche Dimensionen unterteilt:

1. Strukturierung
2. Operationalisierung

Beim Strukturierungsgrad geht es darum, ob überhaupt – theoretisch – die Elemente in der Aufbau- und Ablauforganisation gegeben sind, um Compliance nachhaltig in einer Organisation zu implementieren

Beim Operationalisierungsgrad zeigt sich, ob diese Strukturen denn auch tatsächlich genutzt werden. Insgesamt ist die in den öffentlich zugänglichen Untersuchungen der DAX und MDAX-Unternehmen genau der oben genannte Effekt zum Tragen gekommen.

BG: Was ist „gute Compliance“, wie lässt sich diese messen und an welchen Elementen lässt sie sich beobachten?

SV: Wie eben schon am Beispiel des CoBI illustriert, gibt es eine bewährte Methodik, tatsächliche Compliance in Organisation zu vermessen. Dieser Ansatz wird auch bei Unternehmen in der Beratung eingesetzt, um konkrete Schwachstellen zu diagnostizieren und im sogenannten Redesign dann an gezielten Punkten pragmatische Verbesserungen einzuführen. Das Gute dabei ist, dass es typischerweise keiner großen und kostenintensiven IT-Projekte bedarf, um konkrete Verbesserungen in der Organisation zu implementieren.

Eigenverantwortung und Fehlerkultur mindern Compliance-Probleme

BG: Wie sieht es dann in der konkreten Umsetzung aus: Wenn die Unternehmensstruktur auf eine gute Compliance-Kultur schließen lässt, kann man dann davon ausgehen, dass diese auch im Arbeitsalltag implementiert und gelebt wird?

SV: Leider gibt es nach meiner Erfahrung dort keinen Automatismus. Natürlich sind minimale strukturelle Voraussetzungen notwendig, aber keineswegs hinreichend, um auch das intendierte Ergebnis zu erzielen.

Da es sich immer wieder um Menschen handelt, braucht es Abläufe, die alle Beteiligten in einer Organisation „abholt“. Wenn auch aus ganz anderen – marktgetriebenen – Gründen haben sich in jüngerer Vergangenheit viele Organisationen neu ausgerichtet und arbeiten vielfach im „agilen“ Modus. Selbstbestimmte, motivierte Mitarbeiter, die Verantwortung übernehmen können in einem transparenten und von Wertschätzung geprägten Umfeld schaffen aber nicht nur bessere und schnellere Ergebnisse für die Kunden, sondern ermöglichen auch, potenzielle Probleme frühzeitig zu erkennen. In einer Fehlerkultur entstehen dann deutlich weniger Compliance-Probleme. Doch auch hier kommt darauf an, dass nicht nur „dem Namen nach“ oder dogmatisch eine agile Ausrichtung in der Organisation versucht wird, sondern das WIE ist entscheidend.

In meinen Coachings habe ich mit der mit Abstand marktführenden Methodik „SAFe® – scaled agile framework“, die besten Erfahrungen gemacht, da hier holistisch die Organisation auf ein gemeinsames, erstrebenswertes Ziel kontinuierlich ausgerichtet wird und die agilen Teams tatsächlich Verantwortung übernehmen, Transparenz leben und (Eigen-)Kontrolle effektiv ausführen.

Erfreulicherweise gilt dies nicht nur in der Privatwirtschaft, sondern zunehmend fragt auch die öffentliche Verwaltung, die jetzt auch Corona-bedingt (man denke nur an häufige Verordnungsänderungen, Bewilligung von Corona-Hilfen, Corona-App, digitaler Impfausweis etc. – ein Berg an neuen Anforderungen, die in kürzester Zeit umzusetzen sind) in meinen Trainings und Coachings insbesondere SAFe® nach.

BG: Inwiefern kann der Enterprise Transformation Cycle, kurz ETC, dabei helfen, Compliance-Probleme in einem Unternehmen zu verhindern?

SV: Der ETC beinhaltet ja genau die eben schon skizzierten Elemente einer holistischen Organisationsausrichtung. Insofern ist auch der von mir präferierte systemische Ansatz der Organisationsentwicklung – z.B. zur Implementierung von SAFe® in Organisationen „vollständig kompatibel“ mit dem ETC.

BG: Nehmen wir an, ein beliebiges Unternehmen sieht Compliance nicht als oberste Priorität. Woran liegt das in der Regel, und mit welcher Motivation können Unternehmen dies ändern – idealerweise ohne ‚Medienrummel‘?

SV: Die Kollateralschäden von Compliance-Verstößen sind enorm. So sind es nicht in erster Linie nur die Schadensersatzzahlung (wie in Deutschland) und gegebenenfalls die zusätzliche Strafen (insbesondere in USA), die massive negativen Auswirkungen auf ein Unternehmen haben können, sondern der Reputationsschaden, der teilweise eine ganze Industrie in Mitleidenschaft ziehen kann (siehe z. B. die Automobilindustrie).

Doch Fakt ist, dass Compliance in Deutschland eher negativ konnotiert ist und man als Vorstand dann bestenfalls einen „Chief Compliance Officer“ einstellt, und diese Person soll es dann richten (selbstredend ohne wesentliche Befugnisse oder gar Budget).

Aber das hilft wenig bis gar nichts. Was Unternehmen brauchen, um Compliance-Probleme zu verhindern, sind Führungspersönlichkeiten, die eine Unternehmenskultur auch über die Zeit des eigenen Wirkens hinaus prägen können. Sie leben vor, wofür das Unternehmen steht (was so leichtfertig und bunt coloriert auf den Websites daherkommt) und ziehen, wenn es hart auf hart kommt, auch im Wettbewerb Grenzen und machen bestimmte Deals eben nicht, weil sie ein „Geschmäckle“ haben könnten. Dazu sollte sich die Führung einer Organisation auf die Mitarbeiter verlassen können – was letztlich wiederum auf dezentrale Entscheidungen hinführt – also genau das, was wir z.B. auch bei SAFe® – richtig implementiert – dann unmittelbar erreichen können.

BG: Was sind Ihrer Erfahrung nach die größten Hindernisse bei dem Vorhaben, eine transparente Compliance-Kultur in einem Unternehmen nachhaltig zu verankern?

SV: Das größte Hindernis ist seitens der Organisationsführung zum einen, dass es keine authentische normative Unternehmensführung gibt. Werte stehen zwar in Hochglanzbroschüren, werden aber nicht aktiv vorgelebt. Die Frage ist: Wofür steht die Organisation tatsächlich und was macht sie einzigartig gegenüber anderen Unternehmen – trotz des zumeist harten Wettbewerbs?

On the other hand, there is often a lack of trust in your own employees when it comes to operational issues. Don't get me wrong: even if you trust your employees and give them personal responsibility, that doesn't mean that everyone does what they want. Quite the opposite: major strategic guidelines are clearly communicated as a "starting point" for employees to implement these guidelines - preferably in agile mode - and to receive feedback on progress at short intervals.

BG: Dear Professor Dr. Vieweg, thank you very much for this interesting interview.

The interview with Prof. Dr. Vieweg was conducted by Beate Greisel for the TCI editorial team.

"Mastering transformation projects with the Enterprise Transformation Cycle" - published August 2020

The Transformation Consulting International has been supporting national and international transformation projects in companies for many years. Based on this extensive wealth of experience in practical implementation, the second volume entitled "Transformationsvorhaben mit dem Enterprise Transformation Cycle meistern: Projekte erfolgreich planen, durchführen und abschließen" (Mastering transformation projects with the Enterprise Transformation Cycle: successfully planning, implementing and completing projects) has been published by the renowned Springer-Verlag. As a continuation of the first volume, it takes into account further wishes and suggestions from readers and presents concrete transformation projects and situations in which TCI experts use the ETC in their daily work. This volume was edited by Mario A. Pfannstiel and Peter F.-J. Steinhoff and comprises a good 500 pages. It contains numerous theoretical and conceptual contributions as well as practical case studies on the "Enterprise Transformation Cycle".

Source cover image: © everythingpossible | Adobe Stock