Früher schien die Sache vergleichsweise einfach: Es gab Gebote, es gab Verbote. Niemand darf bestechen, niemand darf Preise mit Wettbewerbern absprechen. Dass zwischen diesem Wissen und gelebter Praxis mitunter große Gräben klafften, machte spätestens der Siemens-Korruptionsskandal von 2006 unübersehbar. Auf gelben Klebezetteln soll damals notiert worden sein, wer welches Schmiergeld erhalten hat. In der Rückschau spricht Dr. Christoph Klahold, Compliance-Chef von BMW, von „Unsitten“, die sich in Unternehmen etablieren konnten – getragen von einem falsch verstandenen Unternehmensinteresse nach dem Motto: „Wer nicht besticht, hat keine Chance.“
Heute ist die Compliance-Welt eine andere. Korruption und Kartellverstöße bleiben zwar Klassiker, doch sie zu verhindern, ist nur noch ein Teil eines erheblich breiteren Aufgabenfelds von Compliance-Beauftragten. Die Reihe von Aufgaben ist lang und wird immer länger. Vieles trifft aufeinander: das deutsche Lieferkettensorgfaltspflichtengesetz (LkSG), ergänzt durch diverse EU-Lieferkettenregelungen wie die Batterie- oder die Entwaldungsverordnung, Menschenrechte, Exportkontrollen, Nachhaltigkeitsvorgaben, Cyberrisiken, Geldwäscheprävention und KI-Governance. Die Folge ist, dass Compliance-Abteilungen ein Allround-Paket liefern müssen. Sie müssen Schulungen organisieren, Risiken priorisieren, Prozesse systemisch mitgestalten und Beschäftigte in ganz unterschiedlichen Funktionen handlungsfähig machen.
Business im Compliance-Squeeze
„Wir sind wie alle Compliance-Abteilungen in diesem Compliance- Squeeze“, beschreibt Klahold die Situation. „Dabei steigt der Effizienzdruck gleichermaßen wie die Anforderungen“, sagt Klahold, der zudem Vorstandssprecher des Deutschen Instituts für Compliance (Dico) ist. „Das dürfte für alle aus dem Dax gelten, und das ist für alle eine große Herausforderung.“ Die entscheidende Frage laute daher: „Wie lässt sich Compliance so organisieren, dass sie wirksam bleibt, ohne das Geschäft zu lähmen?“
Sichtbar wird die Entwicklung schon an den Zuständigkeiten der Verantwortlichen. Klahold etwa ist gleichzeitig Menschenrechtsbeauftragter. Auch bei der KfW zeigt sich, wie weit das Verständnis von Compliance über klassische Verhaltensregeln hinausgeht. Dr. Karsten Hardraht war bis Mai dieses Jahres Chefsyndikus und Leiter des Bereichs Recht der KfW Bankengruppe und leitet nun zusätzlich den Bereich Compliance. Damit verantwortet er zusätzlich Funktionen wie Geldwäscheprävention, Anti-Terrorismusfinanzierung, Finanzsanktionen, Embargos sowie die Wertpapier-Compliance.
In einem Förderinstitut mit weitreichender geldwäscherechtlicher und bankaufsichtsrechtlicher Regulierung stehen dabei vor allem belastbare Prozesse, IT-Systeme und interne Kontrollen im Vordergrund. Hardraht nennt ein Beispiel: „Wir dürfen natürlich keine Zahlungen an jemanden herausgeben, der auf einer Sanktionsliste steht. Das muss auch im hochautomatisierten Zahlungsverkehr und bei laufend angepassten Sanktionslisten absolut verlässlich funktionieren.“
Das alles sei damit eine Sache der IT-Implementierung – ergänzt um rechtliche Auslegungen und Prozesskompetenz. Hardraht beschreibt die Entwicklung seines neuen Aufgabenfelds bei der KfW als Konsequenz der schrittweise ausgeweiteten geldwäsche- und bankaufsichtsrechtlichen Anforderungen der vergangenen rund zehn Jahre. „Aus einem kleinen Team von anfangs nicht einmal zehn Leuten ist eine voll ausgereifte Compliance-Organisation mit rund hundert Mitarbeitenden geworden.“
Bei BMW verlief die Entwicklung ähnlich, wenn auch deutlich später. Klahold kam vor gerade einmal fünf Jahren als erster Chief Compliance Officer überhaupt ins Unternehmen. Er übernahm die methodisch-prozessuale Gesamtsteuerung, bündelte Zuständigkeiten und baute internationale Strukturen auf. Hinzu kamen Themen wie die Exportkontrolle, die mit Beginn des russischen Angriffskriegs gegen die Ukraine schnell zum Kernthema wurde, sowie die Produkt-Compliance. Die Abteilung wuchs unter seiner Leitung von 20 auf inzwischen fast 90 Personen. Zugleich übernahm er die Rolle des Menschenrechtsbeauftragten.
Solche Ämterhäufungen zeigen, wie deutlich Compliance zur Governance-Funktion geworden ist. Compliance soll nicht allein prüfen, ob einzelne Normen eingehalten werden. Sie soll die Frage beantworten, ob ein Unternehmen seine wesentlichen Risiken kennt und aus Vorfällen lernt.
Diese Veränderung verlangt eine andere Rolle im Unternehmen. „Wir dürfen nicht der klassische ‚Dr. No‘ sein, der bei einem Risiko reflexhaft ein Geschäft stoppt“, betont Klahold. Compliance müsse heute „viel stärker mit ins Risiko gehen“. Die Funktion dürfe operative Bereiche nicht aus ihrer Verantwortung entlassen. Sie müsse ihnen aber helfen, regulatorische Anforderungen in Geschäftsabläufe zu integrieren. Die Botschaft der BMW-Compliance-Abteilung lautet deswegen: „Wir sind Compliance. Mut und Kompetenz, auf die Sie sich verlassen können. Wir sichern unser Geschäft in einem dynamischen Umfeld.“
Das lässt sich ablesen am Umgang mit neuen ESG-, Lieferketten- und Produktvorgaben. Anders als bei einer Bestechung oder Preisabsprache geht es hier laut Klahold häufig nicht um offenkundig missbräuchliches Verhalten einzelner Beschäftigter. Es gehe vielmehr um legitime Kerngeschäftsprozesse: Rohstoffe einkaufen, Produkte entwickeln, Komponenten liefern oder Technologien exportieren. Die regulatorische Frage lautet dann beispielsweise, ob ein Rohstoff entwaldungsfrei ist, ob eine Lieferkette menschenrechtlichen Anforderungen genügt oder ob ein Produkt kritische Technologie enthält.
Compliance als Kulturthema
„Wer diese Konstellationen mit der Moral von Korruptionsfällen behandelt, rennt im eigenen Unternehmen vor die Wand“, warnt Klahold. Niemand sei per se „böse, weil er Kautschuk eingekauft hat, der gegen die Entwaldungsverordnung verstößt“. Compliance wird damit zum Kulturthema. Die neue Rolle bedeutet nicht, dass Juristinnen und Juristen an Bedeutung verlieren. Ihr Monopol auf Compliance schwindet allerdings. Neben Rechtskenntnis braucht es IT- und Datenkompetenz. Ebenso wichtig sind Projektmanagement, Kommunikation sowie ein Verständnis für konkrete Geschäftsprozesse. Bei BMW gehören für Klahold juristische, ingenieurwissenschaftliche und IT-Kompetenz zusammen.
„Dennoch bleibt die juristische Bewertung unverzichtbar“, betont Klahold. Am Ende müsse jemand entscheiden, ob ein System angemessen und wirksam sei – und ob es weder zu viel noch zu wenig Governance enthalte. Diese Einschätzung unterscheide sich je nach Regelungsfeld erheblich. Für Menschenrechte gelten andere Maßstäbe als für die Batterie- oder Entwaldungsverordnung. Bei Exportkontrolle und geopolitischen Risiken kommen wiederum besondere Abwägungen hinzu. „Wer soll diese Bewertungsentscheidung treffen, wenn nicht ein Jurist?“, fragt Klahold.
Dr. Johannes Dittrich, seit rund anderthalb Jahren bei Linklaters Teil des Risk-Advisory-Teams und zuvor vier Jahre Chief Compliance Officer bei Vitesco (heute Schaeffler), beschreibt Compliance-Abteilungen deshalb als ‚Inkubator‘ für neue Governance-Themen. „Kommt eine neue externe Anforderung auf das Unternehmen zu, wie beispielsweise bei Cybercrime, der Betrugsprävention, bei Sanktionen oder Exportkontrolle, braucht es jemanden, der das Thema nicht nur rechtlich versteht, sondern operativ umsetzen kann.“ Es gehe darum, Prozesse aufzusetzen, Risiken strategisch einzuordnen und Beschäftigten zu vermitteln, was sie konkret tun müssten. Dittrich hat bei Vitesco von 2021 bis 2025 ein globales Team von ursprünglich 3 auf 25 Personen aufgebaut.
Künstliche Intelligenz beschleunigt den Wandel und erhöht zugleich die Erwartungen an die Unternehmen. Nicole Willms, seit 2014 Partnerin bei Pohlmann & Company, beschreibt die künftige Herausforderung so: „Unternehmen verfügen über immer mehr Daten. Wenn sie daraus nicht systematisch belastbare Erkenntnisse ableiten, wird man ihnen im Nachhinein vorhalten: ‚Das hättet ihr wissen können – oder gar wissen müssen.‘“ Entscheidend sei deshalb die Datenanalyse, genauso wie die Fähigkeit, Ergebnisse aus Risikoprüfungen, Audits, Hinweisgebermeldungen und Untersuchungen für die obersten Leitungsebenen zu einem aussagekräftigen Reporting zusammenzuführen. KI kann Muster sichtbar machen. Sie entscheidet aber nicht, welche Konsequenzen daraus zu ziehen sind.
Der umfassende Wandel hat parallel die externe Beratung verändert. Was mit breit angelegten internen Untersuchungen begann, hat sich mit dem wachsenden Aufgabenfeld der Compliance-Abteilungen ausdifferenziert. Früher haben Investigations öfter mal Zufallsfunde zutage gefördert, die dann durchaus in neuen Mandaten mündeten. Heute ist die Steuerung durch die Mandanten enger und zielgenauer. Kanzleien haben sich lange vor allem über interne Untersuchungen positioniert. Startschuss war – logisch – auch hier der große Siemens- Fall, mit dem damals Debevoise & Plimpton für Schlagzeilen sorgte. Solche Untersuchungen lassen sich personell skalieren und für Mandanten vergleichsweise leicht als akute Krisenmandate begründen. Wenn es wirklich brennt, sitzen Budgets locker. In den Dieseljahren stellten manche Kanzleien ganze Heerscharen von Associates ein.
Mega-Mandate solchen Ausmaßes sind passé. Verhältnismäßig große interne Untersuchungen jedoch gibt es noch immer, etwa die Ermittlungen bei Heraeus wegen des Verdachts auf Betrug in Höhe von rund 460 Millionen Euro oder die publik gewordenen Waffengeschäfte von KNDS mit Katar aus dem Jahr 2013. Gefragt bleiben bei solchen Mandaten personalstarke Einheiten wie Freshfields, CMS Hasche Sigle oder Gleiss Lutz. Mandanten von der Relevanz der Prävention zu überzeugen, bleibt schwieriger. Ein wirksames Compliance-System aufzubauen oder auf Wirksamkeit zu überprüfen, verlangt tiefe Einblicke ins Unternehmen. „Ein Unternehmen mit unwirksamem Compliance-System hat wirklich Arbeit vor der Brust“, erklärt Willms. Es muss sein Risikoprofil bestimmen, Prozesse etablieren, Mitarbeitende und Führungskräfte trainieren, mit Führungskräften sprechen, Kulturaspekte adressieren. „Das geht nicht von heute auf morgen. Das ist kein M&A-Deal, bei dem man heute anfängt und am 30. ist Closing.“
Das hat sich auch in den Führungsetagen herumgesprochen. Compliance-Praxen mit guten Kontakten und langjähriger Erfahrung in Governance- und Organberatung sind deswegen immer noch im Vorteil. Gefragt ist weniger die möglichst große Zahl verfügbarer Berufsträger als ein ganzheitlicher Blick auf Organisation, Entscheidungswege und Aufsicht. Dazu zählen etwa auch Skadden Arps Slate Meagher & Flom, Morrison & Foerster und Gibson Dunn & Crutcher. Bei Skadden und Morrison & Foerster fand zuletzt jeweils ein Generationswechsel statt: Dr. Bernd Mayer zog sich bei Skadden zurück, Prof. Dr. Roland Steinmeyer wechselte bei Morrison & Foerster in die Rolle des of Counsel. Die Nachfolge übernahmen dort Dr. Michael Albrecht vom Kolke beziehungsweise Dr. Patricia Ernst.
Generationswechsel allerorten
Auch Freshfields hat sich nach den fetten Dieseljahren neu sortiert. Der langjährige Partner Prof. Dr. Norbert Nolte schied nach 29 Jahren im vergangenen Jahr aus der Kanzlei aus, wenige Monate später wechselte Strafrechtsexpertin Dr. Simone Kämpfer als General Counsel zur Deutschen Bank. Die Verantwortung ging an Dr. Moritz Pellmann und Dr. Daniel Travers über. Sie setzen stärker auf Organberatung im Schulterschluss mit der Corporate-Praxis, bleiben aber auch bei großen Untersuchungen präsent. Für SZA Schilling Zutt & Anschütz ist Compliance ein vergleichsweise junges Betätigungsfeld. Die Kanzlei ist mit ihrer Governance-Historie aber gerade für präventive Beratung prädestiniert. Das Team um Partnerin Dr. Cäcilie Lüneborg hat sich in diesem Segment zuletzt Marktanteile gesichert.
Und auch die präventive Beratung haben einige Kanzleien wieder stärker ins Visier genommen. Sie hält Kanzleien nah am Mandanten und sorgt dafür, dass sie eingebunden sind, wenn aus einem Risiko eine Krise wird. Linklaters hat sich dafür mit Dittrich verstärkt. Der frühere Vitesco-Compliance- Chef ist Teil des globalen Risk-Advisory-Teams. Das Angebot soll die Lücke zwischen klassischer Rechtsberatung und operativer Umsetzung schließen. „Mandanten wollen heute nicht nur wissen, wie eine Norm auszulegen ist“, sagt Dittrich. „Sie fragen vor allem: Was muss morgen konkret passieren? Welche Prioritäten sind zu setzen? Welche Botschaften braucht der Vorstand?“
Auch kleinere, häufig von früheren Unternehmensjuristen geprägte Einheiten profitieren vom veränderten Marktumfeld. Denn für strategische Integritätsberatung braucht es weder ein internationales Netzwerk noch eine große Zahl Associates. Feigen Graf, Ypog, Hünermann Iken, Accomplie oder HWCL stehen beispielhaft für diesen Markt.
