Compliance

4. Grenzen der Wirksamkeitsprüfung

130

Die Wirksamkeitsprüfung (mit ihren beiden Vorstufen der Konzeptions- und Angemessenheits- bzw. Implementierungsprüfung) in der hier dargestellten Form kann nicht als Nachweis dafür gelten, dass Verstöße im Unternehmen vollständig verhindert werden. Zum einen arbeitet der CMS Prüfer in der Regel mit stichprobenartigen Prüfungen der identifizierten Prozesse und Maßnahmen. Zwar wird durch die bewusste und sorgfältige Bestimmung des Stichprobenumfangs eine hohe Wahrscheinlichkeit erzielt, jedoch liegt einer solchen Auswahl immer das Risiko zugrunde, dass Kontrollversagen in der gezogenen Stichprobe nicht identifiziert wird. Darüber hinaus scheitern alle internen Kontrollsysteme, und so auch das CMS, immanent im Falle des sog. „management override“, wenn durch Vorgesetzte eine eingerichtete Kontrolle durch Ausübung von Druck außer Kraft gesetzt wird. Zwar liefert gerade das CMS durch Instrumente wie das Hinweisgebersystem die Möglichkeit, diese Fälle anonym zu kommunizieren. Eine Umgehung ist dennoch nicht vollumfänglich auszuschließen.

131

Weiterhin stellt auch die Kollusion, d.h. das Zusammenwirken von zwei oder mehr Mitarbeitern im Unternehmen immer das Risiko dar, dass Kontrollen, wie z.B. das Vier-Augen-Prinzip, mit krimineller Energie nicht effektiv sind. Abschließend ist aus der geprüften Wirksamkeit des CMS innerhalb eines bestimmten Zeitraums nicht abzuleiten, ob es in der Vergangenheit (d.h. vor Beginn des Wirksamkeitszeitraums) sowie in der Zukunft (also nach Ende des Wirksamkeitszeitraums) auch wirksam war bzw. sein wird. Aus diesen Einschränkungen ist nicht abzuleiten, dass eine Wirksamkeitsprüfung zu keiner verwertbaren Aussage kommen kann: Der Prüfungsstandard selber weist in Tz. A12 („…auch ein ansonsten wirksames CMS unterliegt systemimmanenten Grenzen…“) und Tz. 18 („…sodass möglicherweise auch wesentliche Regelverstöße auftreten können, ohne systemseitig verhindert oder aufgedeckt zu werden…“) auf diese Begrenzungen hin. Somit ist das Vorliegen von Verstößen auch bei einem wirksamen CMS möglich und nicht per Definition ein Zeichen für dessen Versagen.

Anmerkungen

[1]

Vgl. IDW PS 980 Tz. 14.

[2]

Vgl. IDW PS 980 Tz. 15.

[3]

Vgl. IDW PS 980 Tz. A31.

[4]

PCAOB Auditing Standard 5 Tz. 42.

[5]

Rieder/Jerg CCZ 2010, 205.

[6]

Vgl. IDW Prüfungsstandard: Feststellung und Beurteilung von Fehlerrisiken und Reaktionen des Abschlussprüfers auf die beurteilten Fehlerrisiken (IDW PS 261) Tz. 61.

[7]

§ 23a der Satzung der Wirtschaftsprüferkammer über die Rechte und Pflichten bei der Ausübung der Berufe des Wirtschaftsprüfers und des vereidigten Buchprüfers (Berufssatzung für Wirtschaftsprüfer/vereidigte Buchprüfer – BS WP/vBP)

[8]

Vgl. IDW PS 980 Tz. 14.

[9]

PCAOB Auditing Standard 5 Tz. 44.

[10]

Vgl. IDW Prüfungsstandard: Feststellung und Beurteilung von Fehlerrisiken und Reaktionen des Abschlussprüfers auf die beurteilten Fehlerrisiken (IDW PS 261) Tz. 73.

[11]

Vgl. Gelhausen/Wermelt CCZ 2010, 209 f.

[12]

So durchgängig Withus/Hein CCZ 2011, 125 ff.

3. Kapitel Compliance-Organisation in der Praxis › B. Die Prüfung von Compliance Management-Systemen nach IDW PS 980 › V. Warum – Gründe für eine Prüfung

V. Warum – Gründe für eine Prüfung

132

Für die freiwillige Prüfung des CMS lassen sich verschiedene Gründe anführen:

Aufgrund der Flexibilität des Standards kann dieser grundsätzlich bei jedem der vorstehend aufgeführten Prüfungsanlässe zur Anwendung kommen.

Anmerkungen

[1]

Die Diskussion hierüber wurde durch das obiter dictum des 5. Strafsenats des BGH angefacht, der in seiner Entscheidung vom 17.7.2009 die Garantenstellung eines Compliance-Beauftragten mit entsprechender strafrechtlicher Relevanz (Unterlassen) behandelt hatte; 5 StR 394/08, in: AG 2009, S. 740.

[2]

Stellvertretend für viele: Rieder/Jerg CCZ 2010, 201 ff.; Böttcher NZG 2011, 1054 ff.; Gelhausen/Wermelt CCZ 2010, 208 ff.

[3]

Vgl. im Folgenden Forum Compliance & Integrity S. 1 und 7; Rieder/Jerg CCZ 2010, 202; Schefold ZRFC 2011, 221.

3. Kapitel Compliance-Organisation in der Praxis › B. Die Prüfung von Compliance Management-Systemen nach IDW PS 980 › VI. Rechtliche Bedeutung des IDW PS 980 für das Haftungsrecht

VI. Rechtliche Bedeutung des IDW PS 980 für das Haftungsrecht

133

Der IDW PS 980 kann auf zweifache Weise für das Haftungsrecht Relevanz entfalten.

Zum einen kann der Standard von Gerichten als Auslegungshilfe für CMS-Pflichten genutzt werden. Prüfungsstandards des IDW besitzen aufgrund der fachlichen Autorität insbesondere des letztverantwortlichen Hauptfachausschusses generell eine hohe faktische Bedeutung. Da der Standard nicht nur Vorgaben zur Prüfung selbst sondern auch zum Prüfungsgegenstand macht, wird er die gerichtliche Auslegung von einem CMS zugrundeliegenden Rechtsnormen nicht verdrängen, wohl aber beeinflussen.[1] Die Regelungen in § 76 Abs. 1 AktG (Leitung der Aktiengesellschaft durch den Vorstand), § 91 Abs. 2 AktG (Risikofrüherkennungssystem), § 93 Abs. 1 S. 2 AktG (Business Judgement Rule), § 161 AktG in Verbindung mit dem Deutschen Corporate Governance Kodex (DCGK) oder in § 130 OWiG (sog. Compliance-Bußgeldtatbestand) legen die erste Führungsebene des Unternehmens nicht darin fest, wie die zentrale Aufgabe der Sicherstellung eines gesetzes- und richtlinienkonformen Handelns zu gewährleisten ist.[2] Hier kann und wird der Standard herangezogen werden, um eine mögliche Lösung dieser Aufgabe zu skizzieren.

134

Zum anderen kann eine Prüfung nach dem Standard „enthaftend“ wirken. Organmitgliedern drohen zivilrechtliche Konsequenzen bei schuldhafter Verletzung ihrer Sorgfaltspflichten wie z.B. Schadensersatzansprüche aus § 93 Abs. 2 S. 1 AktG bzw. § 43 Abs. 2 GmbHG, die Abberufung aus der Organstellung sowie die Kündigung ihres Anstellungsvertrages.[3] Des Weiteren drohen dem Unternehmen Bußgeld und Gewinnabschöpfung, wenn gehörige Aufsichtsmaßnahmen zur Erschwerung oder Verhinderung von straf- oder bußgeldbewehrten Pflichtverletzungen unterlassen wurden (§§ 130, 30 OWiG). Und schließlich sei hier auf die Strafbarkeit durch Unterlassen bei Mitarbeitern mit Garantenstellung hingewiesen, die der BGH mit seinem obiter dictum 2009 betont hatte.[4] Damit eine Prüfung nach IDW PS 980 haftungsvermeidend respektive –reduzierend wirken kann, müssen folgende Bedingungen erfüllt sein:

135

Darüber, ob eine Prüfung des CMS nach dem IDW PS 980 im Straf- oder Bußgeldverfahren unter den vorstehend aufgeführten Voraussetzungen enthaftend wirken kann, bestehen unterschiedliche Meinungen. Von Withus/Hein wird vertreten, dass eine solche Prüfung bei der Führung des Nachweises helfen kann, dass in dem/den geprüften Teilgebiet(en) des CMS eine gehörige Aufsicht i.S.d. § 130 OWiG geführt wurde und dass ein zu beurteilender Gesetzes- oder Regelverstoß trotz und nicht wegen fehlender Aufsicht begangen werden konnte. Dann könnte das Gericht im Bußgeldverfahren u.U. ganz auf eine Sanktionierung des Verstoßes verzichten. Darüber hinaus könnte die Abstellung von in der Prüfung aufgedeckten Mängeln des CMS durch die Geschäftsleitung nach § 17 Abs. 3 OWiG und § 46 Abs. 2 Alternative 6 StGB als Vortat- oder Nachtatverhalten positiv gewürdigt werden und die Höhe der Geldbuße reduzieren helfen.[13] Noch weiter gehen Gelhausen/Wermelt, die unter den obenstehenden Bedingungen und unter der Voraussetzung, dass ein begangener Regelverstoß in dem durch die (Wirksamkeits-)Prüfung abgedeckten Zeitraum begangen wurde, einem uneingeschränkten IDW PS 980-Prüfungsurteil eine tatbestandsausschließende Wirkung zumessen.[14] Deutlich zurückhaltender ist Böttcher, der eine generelle Enthaftung durch die Befolgung des Standards auch bei Vorliegen der obigen Voraussetzungen verneint und einer Prüfung nach IDW PS 980 lediglich eine hilfreiche Wirkung bei der ansonsten anders zu führenden Exkulpation zuspricht.[15]

136

Im Zivilprozess gelten dieselben Voraussetzungen für eine enthaftende Wirkung wie im Straf- bzw. Bußgeldverfahren. Der Prüfungsbericht kann als Privatgutachten urkundenbeweislich ohne Zustimmung des Prozessgegners eingebracht werden und der Prüfer kann als sachverständiger Zeuge gehört werden. Bei Privatgutachten und Zeugenaussage liegt es dann bei der Gegenseite, den geführten Beweis zu entkräften.[16]^, [17]

137

Abschließend sei bemerkt, dass eine zivilrechtliche Haftungsverlagerung auf Wirtschaftsprüfer bzw. Rechtsanwälte als Prüfer des CMS gelegentlich in der Praxis als Argument für die Prüfung durch einen Berufsträger beobachtet werden kann. Generell gilt dann, dass zunächst Fehler und ihre Kausalität für Schäden feststellbar und nachweisbar sein müssen, was in der Praxis schwierig sein kann.[18] Die Verlagerung der zivilrechtlichen Haftung ist – bei allen Schwierigkeiten in der praktischen Durchsetzung – allerdings nicht völlig von der Hand zu weisen und wird z.B. in den USA expressis verbis vom American Law Institute als Möglichkeit genannt: „[. . .] it is essential that directors be able to rely on the advice of others when making their decisions, and not be faulted for reasonable decisions not to read lengthy legal documents or conduct a detailed cross-exmaniation of those whom they reasonably rely.“[19]

Anmerkungen

[1]

Vgl. Böttcher NZG 2011, 1056.

[2]

S. Hülsberg/Münzenberg Audit Committee Quartely II/2012, S. 17.

[3]

Vgl. Rieder/Jerg CCZ 2010, 202.

[4]

BGH 17.7.2009 – 5 StR 394/08.

[5]

Vgl. im Folgenden Hülsberg Sorgfaltspflichten bei Unternehmenserwerben, 2009, S. 65 m.w.N.

[6]

IDW PS 980 Tz. 24.

[7]

Vgl. Böttcher NZG 2011, 1057.

[8]

Hierzu wird der Wirtschaftsprüfer eine geeignete Vollständigkeitserklärung von der Geschäftsleitung einholen.

[9]

Vgl. Fleischer ZIP 2009, 1403 f.

[10]

Vgl. Böttcher NZG 2011, 1057. Diese Auffassung wurde in dem IDW-Workshop Anfang 2013 mit Compliance-Beauftragten, Juristen, Hochschulvertretern und Staatsanwälten bestätigt, wobei auch die Bedeutung der Angemessenheitsprüfung für die zukünftige Compliance betont wurde, da sich die Prüfung der Wirksamkeit naturgemäß auf die Vergangenheit bezieht.

[11]

IDW PS 980 Tz. 59 f.

[12]

IDW PS 980 Tz. 18.

[13]

Vgl. Withus/Hein CCZ 2011, 129 m.w.N.

[14]

Vgl. Gelhausen/Wermelt CCZ 2010, 209.

[15]

Vgl. Böttcher NZG 2011, 1057.

[16]

Vgl. Withus/Hein CCZ 2011, 130.

[17]

Bislang wurden keine Urteile veröffentlicht, die auf erfolgte (oder unterbliebene) Prüfungen des CMS nach dem IDW PS 980 Bezug genommen haben.

[18]

Ausführlich zur Haftung von Wirtschaftsprüfern und anderen Freiberuflern: Poll Die Haftung der Freien Berufe – Aspekte der Berufshaftung von Wirtschaftsprüfern und verwandten Professionen, abrufbar unter www.wpk.de/pdf/Poll.pdf.

[19]

Vgl. American Law Institute (Hrsg.) Principles of corporate governance: analysis and recommendations (1994), S. 394.

3. Kapitel Compliance-Organisation in der Praxis › B. Die Prüfung von Compliance Management-Systemen nach IDW PS 980 › VII. Prüfbereitschaft

VII. Prüfbereitschaft

1. Die CMS-Beschreibung als Prüfungsgrundlage

138

Der Prüfungsstandard definiert als Gegenstand einer Prüfung des CMS die in einer CMS-Beschreibung enthaltenen Aussagen über das CMS.[1] Die Verantwortung für die Erstellung liegt ausschließlich bei den gesetzlichen Vertretern. Damit ist die CMS-Beschreibung Grundlage der Prüfung und stellt analog zum Jahresabschluss in der Jahresabschlussprüfung das Objekt dar, auf das sich jede Aussage in der Berichterstattung und damit jede Prüfungshandlung des CMS-Prüfers bezieht. Die Beschreibung selbst muss unter Berücksichtigung der angewandten CMS-Grundsätze zunächst sämtliche Grundelemente adressieren und so darlegen, wie die Organisation die einzelnen Bestandteile prozessual und mit konkreten Maßnahmen besetzt bzw. umgesetzt hat.[2]

139

Damit ist der erste Schritt bei der Prüfungsvorbereitung grundsätzlich immer eine Bestandsaufnahme der eingerichteten Maßnahmen und Prozesse. Im Rahmen von Workshops und Interviews können die Compliance-Verantwortlichen sich eine Übersicht über den aktuellen Status der Umsetzung verschaffen. Dabei macht es Sinn, sich an den Grundelementen des IDW PS 980 zu orientieren und dann zu festzustellen, wie diese im Unternehmen zum Zeitpunkt der Bestandsaufnahme umgesetzt sind. Diese Inventur ist dann in der Regel Grundlage einer ersten Dokumentation des existierenden CMS in der Form einer CMS-Beschreibung.

140

Um eine objektive Darstellung und Überprüfbarkeit der hier enthaltenen Aussagen zu ermöglichen, sind entsprechende Anforderungen an die Abfassung der Beschreibung zu stellen. So muss die Sprache klar sein. Die einzelnen Aussagen dürfen keine Übertreibungen beinhalten oder Fehlinterpretationen zulassen. Darüber hinaus müssen sie so formuliert werden, dass sie im Rahmen der Prüfung belegbar und somit durch den CMS-Prüfer intersubjektiv nachprüfbar sind.

141

Nachdem der Prüfungsstandard nunmehr vor etwa fünf Jahren veröffentlicht wurde und Grundlage einer Vielzahl an Prüfungen war bzw. auch in der Form eines Ausgestaltungsstandards zum Aufbau von Compliance Management System diente, hat sich mittlerweile eine „good practice“ im Bezug auf die Form, Länge und Struktur der CMS-Beschreibung herausgebildet. Es ist aber bereits festzuhalten, dass die Beschreibung nicht in der Form eines allumfassenden Handbuchs erfolgen muss. Vielmehr spricht der Prüfungsstandard selbst von einer Darstellung mittels Verweis oder durch Aufzählung der Elemente. Es kann demnach nicht gefordert werden, dass die Beschreibung eine detaillierte Wiedergabe der Inhalte sämtlicher Elemente (z.B. Richtlinien, Merkblätter, Unterschriftenregelungen etc.) enthält. Im Sinn einer besseren Verständlichkeit und Nachvollziehbarkeit der Beschreibung ist es allerdings zielführend, mit kurzen Inhaltsangaben zu arbeiten. Der Prüfungsstandard fordert hier lediglich, dass eine CMS-Beschreibung eine Zusammenfassung der relevanten internen Verfahrensbeschreibungen enthält.[3] Mit Abschluss der Erstellung der CMS-Beschreibung ist dann der Prüfungsgegenstand erstellt.