Ein Compliance-System benötigt eine ordnungsgemäße Dokumentation, um Sanktionen wirksam vermeiden zu können. Hierzu gibt es für verschiedene Branchen einschlägige gesetzliche Vorschriften.
Die Abbildung zeigt, neben der Steuerung, Kontrolle und dem Reporting, das Marketing und den Beweis als Funktionen der Compliance-Dokumentation auf. Der Beweis, oder auch Nachweis, der Compliance dient der Entlastung des Unternehmens im Klagefall, um nachweisen zu können, dass im Unternehmen Regelungsprinzipien vorhanden sind, die Compliance einzuhalten.
![](http://compliance-performance.de/wp-content/uploads/2020/04/12-compliance-doku.jpg)
Ähnliche Prüfvorschriften sind aus dem Qualitätsmanagement bekannt und dienen dort dem Nachweis der Anwendung des implementierten Systems, das im Idealfall regelkreisartig weiter fortentwickelt wird.
- Die Compliance-Dokumentation erfordert ein Konzept zur Daten und Dokumentenspeicherung sowie über die Sicherheitsvorkehrungen und Zutritts- und Zugriffskontrollen.
- Ein Dokumentationssystem sollte alle fünf Komponenten des COSO-Modells berücksichtigen.
- Es sollten auch alle Kontrollaktivitäten dokumentiert werden, zusammen mit Zuständigkeiten sowie Art und Weise der Durchführung eines Prozesses,
- Ein Compliance-Dokumentationssystems sollte auch eine Versionskontrolle und Archivierung enthalten.
Dokumentations- und Archivierungsvorschriften
Regelung, Gesetz | Anforderung |
Steuer – und Handelsgesetz – HGB, FAIT 3, AO, GoBS | Unveränderbarkeit und Vollständigkeit; Einhaltung der Aufbewahrungsfristen, Existenz einer Verfahrensdokumentation |
Unternehmenssteuerrecht | Archivierung von Rechnungen; Anforderungen für elektronische Rechnungen mit qualifizierter digitaler Signatur |
GDPdU | Bereitstellung von Daten und Dokumenten im Rahmen der Außenprüfung |
Zivilrecht, BGB | Sicherstellung der Unveränderbarkeit und Vollständigkeit |
Produkthaftung | Prozessdokumentation der Archivierung; Aufbewahrungsfristen |
Signaturgesetz | Nutzung der digitalen Signatur |
Datenschutzgesetz | Einrichtung eines Berechtigungskonzeptes; Verwaltung personenbezogener Daten |
Basel II | Bereitstellung von Auswertungen für das Risiko-Controlling |
Sarbanes Oxley Act | Für in den USA borsennötierte Unternehmen |
Anforderungen an die Compliance Dokumentation
Auf der einen Seite erfordern diese Bestimmungen eine unternehmensweite, standardisierte Verwaltung von Daten für die konsistente, vollständige und angemessene Berichterstattung. Auf der anderen Seite erfordern diese Regelungen auch Controlling-Prozeduren, um die Unternehmensleitung über die Leistung in Bezug auf die Erfüllung dieser Anforderungen zu informieren.
Compliance sollte intern und extern regelmäßiger und selbstverständlicher Teil der Kommunikation sein. So wie Regelverstöße und die Sanktion sind auch positive Prüfungsergebnisse zeitnah und angemessen zu kommunizieren. In Bereichsrunden, auf Betriebsversammlungen oder durch ad- hoc-Meldungen besteht Gelegenheit, die Bedeutung und den Stand zu vermitteln
Die Anforderungen lassen sich wie folgt zusammenfassen
- Dokumentarische Systematisierung von Compliance-Fällen,
- Dokumentation von Prozessregeln,
- Kontrolliertes Vokabular,
- Feste Integration in die Compliance-Organisation.