Europa · Ermittlungen und Schutz von Unternehmen

Wie man interne Untersuchungen in Corporate-Governance-Tools umwandelt

Erich Rath10 Min. Lesezeit

Wie man interne Untersuchungen in ein Instrument für eine bessere Corporate Governance verwandelt. Ein praktischer Leitfaden für Unternehmen, die in der Europäischen Union tätig sind

Mainstream

Interne Ermittlungen sind keine Möglichkeit, die Schuldigen zu finden und zu bestrafen. Dies ist eine strategische Chance zur Stärkung der Unternehmensführung.

Die Frage ist nicht, wer gegen die Regel verstoßen hat. Die Hauptfrage ist, warum das Managementsystem dies zugelassen hat und wie sichergestellt werden kann, dass so etwas nicht noch einmal passiert.

Eine wirksame interne Untersuchung zur Verbesserung der Governance beginnt mit drei Prüfungen:

Welche systemischen Mängel hat der Vorfall aufgedeckt?
Wie können diese Mängel behoben werden, damit sie nicht zu schwerwiegenderen Folgen führen?
Wie Sie die Untersuchungsergebnisse zur Stärkung von Compliance, Kontrolle und Unternehmenskultur nutzen können

Wenn diese drei Probleme nicht angegangen werden, wird das Unternehmen Ressourcen für die Ermittlung von Fakten aufwenden, aber Schwachstellen im Management behalten, die früher oder später zu finanziellen, rufschädigenden oder regulatorischen Verlusten führen.

Wenn eine interne Untersuchung ein Instrument zur Verbesserung der Governance sein sollte

Interne Untersuchungen zur Governance sind erforderlich, wenn:

Eine Meldung des Whistleblowers über schwerwiegende Verstöße ist eingegangen.
Anzeichen von Betrug, Korruption oder Diebstahl innerhalb des Unternehmens;
Verdacht auf Verstoß gegen das EU-Sanktionsregime oder die Exportkontrollen;
die Regulierungsbehörde hat eine Anfrage oder Inspektion eingeleitet;
Es wurden systematische Fehler bei den Compliance-Verfahren festgestellt.
Es wird eine Due Diligence vor dem M&A durchgeführt und Risiken offengelegt.
Es ist ein Vorfall im Zusammenhang mit der Verarbeitung personenbezogener Daten (DSGVO) aufgetreten.
Die Wirksamkeit des bestehenden Corporate-Governance-Systems sollte beurteilt werden;
Das Unternehmen integriert das Unternehmen in die neue EU-Rechtsordnung und prüft die Einhaltung vor Ort.
Der Vorstand bzw. Aufsichtsrat verlangt eine unabhängige Beurteilung des internen Kontrollsystems.

In all diesen Fällen ist die Untersuchung nicht mehr nur eine „Vorfallanalyse“, sondern wird zu einer Datenquelle für strategische Entscheidungen über die Governance-Struktur.

Der Fehler, den die meisten Unternehmen machen

Viele Unternehmen starten eine interne Untersuchung mit folgenden Fragen:

Wer ist schuld und wie kann man ihn bestrafen?

Das ist die falsche erste Frage.

Die richtige Frage ist:

Welche Schwachstellen im Managementsystem wurden durch diesen Vorfall aufgedeckt und wie können diese behoben werden, um ein erneutes Auftreten zu verhindern?

Eine Untersuchung, die sich ausschließlich auf die persönliche Verantwortung konzentriert, führt zu lokalen disziplinarischen Ergebnissen, schützt Unternehmen jedoch nicht vor systemischen Risiken. Im Gegenteil: Eine Governance-Untersuchung verwandelt selbst eine negative Situation in eine Investition in die Nachhaltigkeit eines Unternehmens.

Schritt 1: Formulieren Sie den Untersuchungsauftrag mit Schwerpunkt auf dem Management

Bevor Sie mit der Faktenerhebung beginnen, müssen Sie die Ziele der Untersuchung festlegen. Der Auftrag sollte neben der Sachverhaltsermittlung ausdrücklich auch die Identifizierung systemischer Mängel und die Ausarbeitung von Empfehlungen für das Management umfassen.

Kernelemente des Mandats:

Beschreibung des Vorfalls;
das Spektrum der untersuchten Probleme;
Hinweis auf Analyse systemischer Ursachen;
die Befugnis, Dokumente anzufordern und Mitarbeiter zu befragen;
Fordern Sie die Einhaltung der DSGVO und nationaler Datenschutzbestimmungen;
Gewährleistung der Privatsphäre und des Schutzes von Hinweisgebern gemäß der EU-Richtlinie 2019/1937;
Erfordert einen Bericht mit Empfehlungen an den Vorstand.

Der auf reine Faktenrecherche beschränkte Auftrag führt fast immer dazu, dass Schlussfolgerungen auf Governance-Ebene nicht umgesetzt werden.

Schritt 2. Unabhängigkeit und Rechtsschutz sicherstellen

In der europäischen Praxis hängt die Qualität der Untersuchung von ihrer Unabhängigkeit und der Einhaltung gesetzlicher Garantien ab.

Es ist notwendig:

externe Rechtsberater zu engagieren, um die Unabhängigkeit sicherzustellen;
die Anwendbarkeit des Anwaltsgeheimnisses in einer bestimmten EU-Rechtsordnung beurteilen;
Gewährleistung des Schutzes personenbezogener Daten gemäß der DSGVO in allen Phasen;
Einwilligung in die Datenverarbeitung bzw. die Rechtsgrundlage dafür dokumentieren;
Interessenkonflikte zwischen den Untersuchungsteilnehmern beseitigen;
Stellen Sie sicher, dass es keine Repressalien gegen Whistleblower gibt.

Die Nichteinhaltung dieser Grundsätze kann nicht nur das Vertrauen in die Ergebnisse untergraben, sondern auch ein eigenes regulatorisches Risiko für das Unternehmen schaffen.

Schritt 3. Sammeln und analysieren Sie Daten im Kontext des Systems

Beim Sammeln von Beweisen handelt es sich nicht nur um die Rekonstruktion von Ereignissen. Es handelt sich um eine Analyse, wie die Elemente des Managementsystems funktionierten (oder nicht funktionierten).

Wir müssen Folgendes vorbereiten und studieren:

interne Richtlinien, Kodizes, Vorschriften;
Verfahren zur Koordinierung und Kontrolle;
Protokolle von Sitzungen der Leitungsorgane;
E-Mail-Korrespondenz und Firmen-Messenger;
Daten von ERP- und Buchhaltungssystemen;
Materialien früherer Audits und Audits;
Compliance-Beauftragter und interne Revisionsberichte;
Whistleblowing-Meldungen und Reaktionen darauf.

Von besonderem Wert sind weniger „kompromittierende“ Dokumente als vielmehr Hinweise auf systematische Kontrollumgehung, fehlende Reaktion auf Warnungen und Lücken in der Verantwortungsverteilung.

Schritt 4. Identifizieren Sie die Grundursachen des Vorfalls

Der Kern einer Governance-basierten Untersuchung besteht darin, über persönliche Fehler hinaus die Ursachen zu untersuchen.

Die Grundursachen können sein:

unklare Machtverteilung;
Konflikt zwischen KPI und Compliance-Anforderungen;
Fehlen von Eskalationsmechanismen;
unzureichende Qualifikation der Mitglieder der Leitungsorgane;
Ignorieren interner Audit-Signale;
Kultur des „Ergebnisses um jeden Preis“
Es gibt Lernlücken.

Solange diese Ursachen nicht behoben sind, bleibt das Unternehmen auch dann angreifbar, wenn der Mitarbeiter entlassen wird.

Schritt 5. Risikobewertung im Kontext der europäischen Regulierung

Die Ergebnisse der Untersuchung sollten mit den relevanten EU-Vorgaben verglichen werden. Dies wirkt sich auf die Prioritäten und Dringlichkeit der Maßnahmen aus.

Die Analyse umfasst:

Verstöße gegen EU-Richtlinien und -Vorschriften;
die Risiken der Whistleblower-Richtlinie (Melderschutz)
Risiken nach der DSGVO;
Risiken im Rahmen der Gesetzgebung zur Sorgfaltspflicht in der Lieferkette (CSDDD, Lk SG und Analoga);
Sanktionsrisiken;
Verantwortung der Mitglieder der Leitungsorgane nach nationalem Recht;
Verpflichtung zur Benachrichtigung der Aufsichtsbehörden (z. B. Benachrichtigung über Datenschutzverletzungen).

Die Bewertung ermöglicht nicht nur die Bestimmung des Ausmaßes des Problems, sondern auch den Aufbau eines Schutzes vor einer möglichen öffentlichen Haftung.

Schritt 6. Empfehlungen für das Managementsystem entwickeln

Die Ergebnisse der Untersuchung sollten in die Sprache der Regierungsführung übersetzt werden.

Zu den Empfehlungen können gehören:

Änderung der Struktur der Compliance-Funktion;
Umverteilung der Befugnisse zwischen den Leitungsorganen;
Einführung zusätzlicher Kontrollebenen;
Aktualisierung des Verhaltenskodex;
Einrichtung oder Reform eines Whistleblowing-Kanals
Ändern Sie das Belohnungssystem, um Interessenkonflikte zu beseitigen.
Regelmäßige Compliance-Berichterstattung an den Aufsichtsrat.

Empfehlungen sollten konkret und umsetzbar sein und sich direkt an die Stelle richten, die in der Lage ist, sie umzusetzen.

Schritt 7. Implementieren Sie Änderungen in Richtlinien, Verfahren und IT-Systemen

Die Umsetzung der Empfehlungen ist ein separates Projekt, ohne das die Untersuchung ein Papier bleibt.

Der Implementierungsprozess umfasst:

Entwicklung neuer oder Änderung bestehender Richtlinien;
Aktualisierung von Stellenbeschreibungen;
ERP-Systeme und Genehmigungsabläufe;
Einführung automatisierter Kontrollen;
Integration von Compliance-Prüfungen in Geschäftsprozesse;
Dokumentation der durchgeführten Maßnahmen zur Demonstration gegenüber der Regulierungsbehörde.

Systemische Verbesserungen sollten keine Ankündigung, sondern eine echte Veränderung im Managementumfeld sein.

Schritt 8. Kultur lernen und verändern

Das perfekteste Verfahren funktioniert nicht, wenn die Leute es nicht verstehen oder akzeptieren.

Die Schulung sollte Folgendes umfassen:

Mitglieder des Aufsichtsrats und des Vorstands;
mittleres Management;
Mitarbeiter in Hochrisikogebieten;
Compliance-Spezialisten.

Die Schulung basiert nicht nur auf der Übersetzung der Regeln, sondern auch auf der Analyse eines konkreten Vorfalls, der Darstellung seiner Folgen und der Erläuterung des Zusammenhangs zwischen dem Handeln des Mitarbeiters und der Nachhaltigkeit des Unternehmens.

Schritt 9. Kommunikation mit Regulierungsbehörden und externen Stakeholdern

In europäischen Rechtsordnungen kann das Verschweigen systemischer Probleme schwerwiegendere Folgen haben als der Vorfall selbst.

Der Kommunikationsplan sollte Folgendes berücksichtigen:

Pflichtmeldungen (Datenschutzbehörde, Finanzaufsicht etc.)
Selbstanzeige als mildernder Faktor;
Information der Wirtschaftsprüfer;
Reputationsrisikomanagement.

Eine richtig aufgebaute Kommunikation zeigt die Reife des Managementsystems und kann Verwaltungssanktionen deutlich reduzieren.

Schritt 10. Feedback in den Managementzyklus einbetten

Die Untersuchung endet nicht mit einem Bericht und der Umsetzung von Maßnahmen. Der Governance-Effekt wird erreicht, wenn das Unternehmen den Zyklus schließt.

Das bedeutet:

Überwachung der Umsetzung von Empfehlungen nach einer bestimmten Zeit;
Einbeziehung der Untersuchungsergebnisse in die jährliche Risikobewertung;
Anpassung des Compliance-Audit-Programms;
Regelmäßige Überwachung von Whistleblowing-Meldungen als Indikator für die Systemgesundheit.

Jede Untersuchung wird zu einer Datenquelle für die kontinuierliche Verbesserung der Unternehmensführung.

Untersuchung als Reaktion auf Untersuchung als Governance-Instrument: Vergleichstabelle

Kriterien	Untersuchung als Reaktion	Untersuchung als Managementinstrument
Zweck	Ermitteln Sie den Täter	Die systemische Ursache verstehen und beseitigen
Konzentrieren Sie sich	Persönliche Verantwortung	Systemische Governance-Schwächen
Das Ergebnis	Disziplinarische Erholung	Verbesserung der Compliance-Umgebung
Einbindung des Top-Managements	Oft minimiert	Aktive Mitarbeit des Vorstandes
Nutzung von Daten	Für den Bericht.	Richtlinien und Verfahren umwandeln
Kulturelle Auswirkungen	Angst vor Bestrafung	Reife und Verantwortung stärken
Regulierungswirkung	Neutral oder negativ	Haftungsminderung, Beweis von Treu und Glauben
Langzeitschutz	Niedrig.	Groß.

So bereiten Sie ein Managementsystem für effektive Untersuchungen vor

Die beste Untersuchung beginnt lange vor dem Vorfall.

Unternehmen, die in der EU tätig sind, werden ermutigt, Folgendes umzusetzen:

ein effektiver Whistleblower-Kanal, der der EU-Richtlinie entspricht;
klare Verfahren zur Durchführung interner Untersuchungen;
festgelegtes Verfahren zur Gewinnung externer Berater;
Regelungen zur Interaktion Compliance, Rechtsabteilung und Vorstand;
Schulung von Führungskräften im Erkennen von Warnsignalen;
Regelmäßige Governance-Audits;
Integration von Lehren aus früheren Vorfällen in die Unternehmenspolitik.

Ein System, das zur Untersuchung bereit ist, kann das Beste daraus machen.

Häufige Fehler bei internen Untersuchungen

Um eine Untersuchung ohne einen klaren Governance-Auftrag anzuordnen, bleibt das Ergebnis auf der Ebene der Tatsachen ohne Schlussfolgerungen des Managements.
Eine Untersuchung ausschließlich durch das interne Team durchzuführen – ein Interessenkonflikt und eine Verringerung der Objektivität sind möglich.
Missachtung der DSGVO-Anforderungen – die Erhebung und Verarbeitung von Daten ohne Rechtsgrundlage birgt zusätzliche Risiken.
Mangelhafter Schutz des Whistleblowers – Verstöße gegen die EU-Richtlinie drohen mit Sanktionen und untergraben das Vertrauen in das System.
Beschränkung auf Disziplinarmaßnahmen: Systemische Probleme werden nicht durch die Entlassung eines Mitarbeiters gelöst.
Keine Einbindung des Vorstandes – Empfehlungen bekommen nicht den nötigen Anstoß zur Umsetzung.
Analysieren Sie keine früheren Vorfälle – wiederkehrende Vorfälle deuten auf einen chronischen Governance-Defekt hin.
Veränderung verzögern – Mit der Zeit nimmt die Risikowahrnehmung ab und das Unternehmen bleibt ungeschützt.
Bei Vorliegen einer solchen Pflicht nicht mit der Aufsichtsbehörde zu kommunizieren – Schweigen kann als Bösgläubigkeit ausgelegt werden.
Ohne die Messung der Wirksamkeit der umgesetzten Maßnahmen lässt sich nicht beurteilen, ob sich die Qualität des Managements verbessert hat.

Checkliste: 15 Fragen, um interne Untersuchungen in ein Corporate-Governance-Tool zu verwandeln

Ist der Untersuchungsauftrag klar definiert und weist auf systemische Ursachen hin?
Ist die Unabhängigkeit der Untersuchung gewährleistet?
Werden bei der Erhebung und Verarbeitung der Daten die Vorgaben der DSGVO eingehalten?
Ist die Privatsphäre und der Schutz des Whistleblowers gewährleistet?
Welche Teile des Managementsystems haben sie versagt?
Wurden Signale unbeaufsichtigt gelassen?
Was sind die Hauptursachen des Vorfalls, die nicht mit einem bestimmten Mitarbeiter in Zusammenhang stehen?
Welche europäischen Regulierungsanforderungen sind betroffen?
Erfolgen die Empfehlungen direkt an den Vorstand oder den Aufsichtsrat?
Gibt es Personen, die für die Umsetzung der einzelnen Empfehlungen verantwortlich sind?
Gibt es Schulungen für Management und Mitarbeiter?
Wurden Richtlinien und Verfahren geändert?
Ist das Verfahren zur Überwachung der Maßnahmenumsetzung festgelegt?
Wird die Informationspflicht gegenüber der Aufsichtsbehörde geprüft?
Sind die Erkenntnisse der Untersuchung in den Risikomanagementzyklus eingebettet?

Wie eine starke Strategie für den Einsatz interner Untersuchungen für die Governance aussieht

Eine starke Strategie umfasst normalerweise fünf Ebenen:

1. Faktenermittlung mit Governance-Linse: Faktenermittlung mit Schwerpunkt auf der Funktionsweise von Managementmechanismen.

2. Bei der Ursachenanalyse geht es nicht um persönliche Ursachen, sondern um systemische Ursachen eines Vorfalls.

3. Bewertung der Governance-Lücke: Bewertung der Lücke zwischen dem tatsächlichen Zustand des Governance-Systems und den Anforderungen der EU-Gesetzgebung und bewährten Praktiken.

4. Sanierungs- und Integrationsplan: Entwicklung und Umsetzung spezifischer Maßnahmen zur Stärkung von Kontroll-, Richtlinien- und Rechenschaftsstrukturen.

5. Kulturelle Einbettung und Einbettung auf Vorstandsebene – Konsolidierung des Wandels auf der Ebene der Unternehmenskultur und regelmäßige Überwachung durch die Geschäftsleitung.

Ohne Stufe fünf können die ersten vier nur vorübergehende Verbesserungen und keine nachhaltigen Verbesserungen der Unternehmensführung bewirken.

FAQ

Kann eine interne Untersuchung zur Verbesserung der Governance genutzt werden, wenn der Vorfall geringfügig ist? Schon ein kleiner Verstoß weist oft auf einen systemischen Defekt hin, der ansonsten schwerwiegende Folgen haben könnte.

Externe Berater sind erforderlich, wenn der Vorfall das Top-Management betrifft, ein möglicher Interessenkonflikt besteht, die Gefahr behördlicher Eingriffe besteht oder der Schutz des Anwaltsgeheimnisses erforderlich ist.

Die Verarbeitung personenbezogener Daten im Rahmen einer Untersuchung muss rechtmäßig, transparent, zweckgebunden und mit Schutzmaßnahmen einhergehen. Die Nichteinhaltung allein birgt das Risiko einer Geldbuße.

Stellen Sie die persönliche Vertraulichkeit sicher, unterbinden Sie Repressalien, schaffen Sie sichere Kommunikationskanäle und informieren Sie den Antragsteller rechtzeitig über den Fortgang der Kommunikation.

Ist das Unternehmen verpflichtet, die Ergebnisse der Untersuchung der Aufsichtsbehörde zu melden? Hängt von der Branche und der Art des Verstoßes ab. In einigen Fällen (z. B. bei der Offenlegung personenbezogener Daten) ist eine Benachrichtigung obligatorisch. In anderen Fällen kann eine freiwillige Offenlegung die Haftung mindern.

Kann die Untersuchung ohne die Unterstützung des Vorstands in ein Instrument zur Verbesserung der Governance umgewandelt werden? Ohne die Einbeziehung des höchsten Leitungsorgans werden Änderungen fragmentiert und nicht nachhaltig sein. Die Umgestaltung der Regierungsführung erfordert Willen und Ressourcen auf höchster Ebene.

Noch wichtiger: Für das Management ist die Qualität der Analyse systemischer Ursachen und die Umsetzung von Empfehlungen wichtiger als die Geschwindigkeit. Eine voreilige Untersuchung verfehlt fast immer die Governance-Dimension.

Wie lässt sich die Wirksamkeit umgesetzter Änderungen messen? Anhand von Schlüsselindikatoren: Reduzierung der Anzahl von Vorfällen, Erhöhung der Aktivität des Whistleblowing-Kanals, Auditergebnisse, Bewertung der Compliance-Kultur und regulatorischer Risiken.

Fazit

Interne Untersuchungen sind nicht nur ein Instrument zur Reaktion auf Verstöße. Dies ist eine einzigartige Gelegenheit für das Unternehmen, den tatsächlichen Zustand des Corporate Governance-Systems objektiv zu beurteilen und dessen Reife gezielt zu steigern.

Unternehmen, die Untersuchungen als strategische Informationsquelle für den Vorstand betrachten, befassen sich nicht nur mit den Folgen von Vorfällen – sie schaffen ein nachhaltiges Managementumfeld, das Risiken vorbeugen, den wachsenden Anforderungen der europäischen Regulierung gerecht werden und den Wert des Unternehmens schützen kann.

Eine starke Governance-Strategie verwandelt interne Untersuchungen von einer episodischen Reaktion in einen kontinuierlichen Zyklus zur Verbesserung der Corporate Governance.

Haben Sie eine Frage zum Thema dieses Artikels?

Schreiben Sie uns und wir werden innerhalb eines Werktages antworten.