Europa · Sanktionen und Compliance

Die Rolle des Vorstands bei der Unternehmenscompliance

Erich Rath11 Min. Lesezeit

Die Rolle des Vorstands in Corporate Compliance Practice Guidelines für Vorstandsmitglieder, Chefsyndikus und Compliance-Beauftragte internationaler Unternehmen

Mainstream

Die Rolle des Vorstands bei der Unternehmens-Compliance ist keine formelle Grundsatzerklärung. Es liegt in der persönlichen Verantwortung, dafür zu sorgen, dass das Unternehmen nicht gegen das Gesetz verstößt.

Die Hauptfrage ist nicht, ob das Unternehmen Compliance-Verfahren akzeptiert hat. Die Hauptfrage ist, ob Vorstandsmitglieder nachweisen können, dass sie ihrer Aufsichtspflicht nachgekommen sind und bei einem Verstoß die gebotene Sorgfalt walten ließen.

Die wirksame Beteiligung des Vorstands am Compliance-System basiert auf drei grundlegenden Prüfungen:

Kennt der Vorstand die tatsächlichen Compliance-Risiken des Unternehmens?
Gibt es ein System, das diese Risiken erkennt und verhindert?
Kann der Vorstand seine Handlungen und Entscheidungen dokumentieren?

Fehlen diese drei Elemente, riskieren Vorstandsmitglieder nicht nur den Ruf des Unternehmens, sondern in manchen Rechtsordnungen auch persönliche verwaltungsrechtliche und strafrechtliche Haftung. Im Kontext von EU-Sanktionen, Exportkontrollen und grenzüberschreitenden Ermittlungen ist dies keine Theorie, sondern Realität der letzten Jahre.

Wenn die Rolle des Vorstands im Bereich Compliance gestärkt wird

Die Frage der Vorstandsverantwortung wird in den folgenden Situationen von entscheidender praktischer Bedeutung:

Das Unternehmen ist auf Märkten tätig, die von EU-Sanktionsregimen betroffen sind.
Produkte oder Technologien unterliegen der Exportkontrolle (EU-Verordnung 2021/821);
das Unternehmen verfügt über Tochtergesellschaften, Gegenparteien oder Lieferketten in Drittländern;
Im Rahmen des M&A-Rahmens wird eine Due-Diligence-Prüfung durchgeführt und historische Verstöße gegen Sanktionen aufgedeckt.
das Unternehmen erhält eine Anfrage von der nationalen Regulierungsbehörde oder der Europäischen Kommission;
„rote Flaggen“ – verdächtige Zahlungen, Umgehungspläne, Anzeichen einer Wiederausfuhr in sanktionierte Gerichtsbarkeiten wurden identifiziert;
die Ernennung oder Wiederernennung von Vorstandsmitgliedern nach einem Compliance-Vorfall wird in Erwägung gezogen;
Die interne Untersuchung ergab systemische Aufsichtsmängel.

In all diesen Fällen beurteilen die Aufsichtsbehörden und später die Gerichte nicht nur die Handlungen des Managements, sondern auch, was der Vorstand getan oder unterlassen hat.

Der Fehler, den die meisten Vorstände machen

Viele der Ratschläge basieren auf einer falschen Prämisse:

Compliance ist Aufgabe der Rechtsabteilung und des Compliance Officers.

Das ist ein gefährliches Missverständnis.

Die richtige Frage lautet wie folgt:

Hat der Vorstand ein Compliance-System eingerichtet, das es ihm ermöglicht, fundierte Entscheidungen zu treffen und Risiken, die das Unternehmen und seine Mitglieder persönlich gefährden, rechtzeitig zu erkennen?

Die Delegation operativer Funktionen entbindet den Vorstand nicht von seinen treuhänderischen Pflichten. In wichtigen EU-Rechtsräumen, insbesondere in Deutschland, den Niederlanden und Frankreich, sowie auf der Ebene der Rechtsprechung des Gerichtshofs der Europäischen Union wird konsequent ein Standard entwickelt: Mitglieder der Leitungsgremien haften, wenn sie die Compliance-Funktion nicht ordnungsgemäß organisiert, deren Funktionsweise nicht überwacht oder Anzeichen von Verstößen ignoriert haben.

Im Bereich der Sanktionen und Exportkontrollen wird diese Logik dadurch verstärkt: Die Mitgliedstaaten haben eine Richtlinie zur Harmonisierung der strafrechtlichen Verantwortlichkeit für Verstöße gegen restriktive Maßnahmen eingeführt, die unmittelbar die Frage der Verantwortung hochrangiger Beamter aufwirft.

Schritt 1: Bestimmen Sie die geltenden Compliance-Verpflichtungen

Das erste, was der Vorstand tun sollte, ist nicht, Berater einzustellen oder Richtlinien zu genehmigen, sondern klar zu definieren, welchen regulatorischen Anforderungen das Unternehmen unterliegt.

Wichtige regulatorische Hürden für ein internationales Unternehmen in der EU:

Verordnungen des Rates über restriktive Maßnahmen (Sanktionspakete);
Verordnung 2021/821 über die Ausfuhrkontrolle von Gütern und Technologien mit doppeltem Verwendungszweck
nationale Gesetzgebung des Gründungslandes zur Haftung juristischer Personen und Geschäftsführer;
sektorale Anforderungen (Finanzsektor, Energie, Verteidigungsindustrie);
Regeln der Währungskontrolle und Verbot der Bereitstellung wirtschaftlicher Ressourcen;
Empfehlungen der Europäischen Kommission und nationaler Regulierungsbehörden zur Sorgfaltspflicht;
Extraterritoriale Risiken (einschließlich der möglichen Auswirkungen von US-Sanktionen, sofern zutreffend)

Wenn ein Unternehmen über mehrere Geschäftseinheiten in verschiedenen Ländern verfügt, sollte die Compliance-Landkarte unter Berücksichtigung aller sich überschneidenden Regelungen erstellt werden. Der Vorstand muss nicht jedes technische Detail kennen, aber er verlangt, dass die Karte vorbereitet, aktualisiert und in strategische Entscheidungen einbezogen wird.

Schritt 2. Bewertung der tatsächlichen Geschäftsrisiken

Compliance-Risiken beschränken sich nicht nur auf direkte Lieferungen in sanktionierte Länder.

Der Vorstand sollte die Risiken verstehen, die mit Folgendem verbunden sind:

Reexport über Drittländer;
Einsatz von Tarnfirmen und Vermittlern;
Zahlungen in Währungen, die Beschränkungen unterliegen;
immaterieller Technologietransfer (technische Hilfe, Cloud-Dienste, Software);
Teilnahme an Projekten mit indirekter Beteiligung sanktionierter Personen;
kontrollierte Lieferung durch Tochtergesellschaften;
Transaktionen mit Unternehmen, deren Begünstigte verborgen bleiben;
professionelle Dienstleistungen (Recht, Buchhaltung, Beratung), die als Bereitstellung wirtschaftlicher Ressourcen qualifiziert werden können.

Der in den Empfehlungen der Kommission verankerte risikobasierte Ansatz erfordert, dass der Rat die Risikokarte regelmäßig überprüft und das Management beauftragt, sie zu aktualisieren.

Schritt 3. Genehmigung der Struktur der Compliance-Funktion

Der Vorstand ist dafür verantwortlich, sicherzustellen, dass die Compliance-Funktion:

unabhängig von der Betriebsführung;
Bereitstellung ausreichender Ressourcen (Budget, Personal, IT-Systeme);
integriert in wichtige Geschäftsprozesse (Vertrieb, Beschaffung, M&A, Finanzen);
Berichtet direkt an den Vorstand oder den Prüfungs-/Komplizenausschuss.

Zur richtigen Architektur gehört:

Compliance-Beauftragter mit direktem Zugang zum Vorstand;
Compliance-Ausschuss auf Ratsebene (besonders relevant für Unternehmen mit hohem Risiko)
regelmäßige Berichterstattung (mindestens vierteljährlich);
Ein Eskalationsverfahren, bei dem schwerwiegende Vorfälle sofort dem Rat gemeldet werden.

Der Rat sollte diese Architektur in seinen Statuten, Ausschüssen und politischen Entscheidungsträgern verankern.

Schritt 4. Stellen Sie ein System zur Sanktions-Due-Diligence bereit

Dies ist die operative Aufgabe der Geschäftsführung, der Vorstand muss aber den Maßstab setzen.

Das System sollte Folgendes abdecken:

Überprüfung von Gegenparteien, Begünstigten und Endempfängern anhand von EU-Sanktionslisten und nationalen Listen;
Überprüfung von Waren zur Exportkontrolle;
Endverbrauchs- und Endbenutzeranalyse
Red-Flag-Kontrolle (nicht standardmäßige Lieferwege, komplexe Zahlungsketten, Umgehungsanträge)
Verfahren zur Aussetzung der Transaktion, wenn ein Risiko festgestellt wird.

Aus Sicht des Rates ist es entscheidend, diese Verfahren nicht auf Papier zu schreiben, sondern sicherzustellen, dass sie funktionieren. Dies geschieht durch unabhängige Audits und Tests (Stichproben).

Schritt 5. Stellen Sie den Ratsmitgliedern Informationen und Schulungen zur Verfügung

Der Vorstand kann seine Aufsichtsfunktion nicht wirksam wahrnehmen, wenn er die Grundregeln nicht versteht.

Mindeststandard:

Jährliche Schulung der Ratsmitglieder zu Sanktionen, Exportkontrolle und persönlicher Haftung;
regelmäßige strategische Sitzungen zu Compliance-Risiken;
Bereitstellung kurzer analytischer Hinweise für den Rat zu neuen Sanktionspaketen und deren Auswirkungen auf die Wirtschaft.

Im Falle eines Vorfalls wird die Regulierungsbehörde unweigerlich fragen: Hat der Vorstand die geltenden Beschränkungen verstanden? Das Fehlen von Trainingsprotokollen wird zu einem erschwerenden Umstand.

Schritt 6. Überwachung und interne Untersuchungen

Ein Compliance-System ohne Überwachung ist eine Illusion von Kontrolle.

Der Vorstand stellt sicher, dass das Unternehmen:

Es sind Whistleblowing-Kanäle vorhanden, die der EU-Richtlinie 2019/1937 entsprechen.
Beim Empfang von Signalen gibt es ein internes Untersuchungsverfahren;
Die Untersuchungsergebnisse werden auf der Ebene des Vorstands oder des Compliance-Ausschusses überprüft;
Es werden Korrekturmaßnahmen, einschließlich Personal- und Disziplinarentscheidungen, ergriffen.

Besonders heikel: Wenn der Vorstand Hinweise auf mögliche Sanktionsverstöße erhält und keine Maßnahmen ergreift, ist das praktisch ein Garant für den Vorwurf der Untätigkeit oder Duldung seitens der Regulierungsbehörde.

Schritt 7. Bewerten und dokumentieren Sie die Entscheidungen des Vorstands

Viele Ratsmitglieder sind nicht deshalb gefährdet, weil sie sich nicht an die Vorschriften gehalten haben, sondern weil sie es versäumt haben, ihre Umsicht unter Beweis zu stellen.

Der Rat stellt sicher, dass:

Erörterung von Compliance-Risiken und Sanktionsthemen in den Sitzungsprotokollen;
Berichte des Compliance-Beauftragten und entsprechende Entscheidungen;
Begründung der Genehmigung von Transaktionen in sensiblen Regionen;
die Ergebnisse der Risikobewertung und die zu ihrer Reduzierung ergriffenen Maßnahmen.

Die Regel ist einfach: Wenn dies nicht der Fall ist, ist es aus Sicht der Regulierungsbehörde nicht der Fall.

Schritt 8. Prüfung der persönlichen Risiken der Vorstandsmitglieder

In einer Reihe von EU-Ländern können Vorstandsmitglieder für die Verletzung von Sanktionen durch ein Unternehmen verwaltungsrechtlich, zivilrechtlich und sogar strafrechtlich zur Verantwortung gezogen werden, wenn nachgewiesen wird, dass sie keine ordnungsgemäße Aufsicht ausgeübt haben.

Wesentliche persönliche Risikobereiche:

Haftung gegenüber der Gesellschaft (Schadensersatzansprüche der Gesellschafter);
Haftung gegenüber Dritten;
Beschäftigungsverbot (Disqualifikation);
in einigen Fällen – strafrechtliche Verfolgung (Deutschland, Frankreich, Niederlande);
Reputationsauswirkungen und Einschränkungen beim grenzüberschreitenden Reisen.

Der Vorstand sollte regelmäßig eine rechtliche Analyse dieser Risiken erhalten und dabei die spezifische Rechtsprechung und Durchsetzungspraxis berücksichtigen.

Direkte Aufsicht oder Delegation: Es ist wichtig, den Vorstand zu verstehen

Kriterien	Direkte Aufsicht über den Vorstand	Ohne Kontrolle an das Management delegieren
Einhaltung des Sorgfaltspflichtstandards	Vorausgesetzt, Entscheidungen werden dokumentiert	Praktisch nicht vorgesehen
Schutz vor persönlicher Haftung	Position stärken	Schwächungsposition
Risiken frühzeitig erkennen	Höher.	Unten.
Ressourcen des Rates	Es braucht Zeit und Fachwissen.	Sparen Sie Zeit, aber schaffen Sie blinde Flecken
Für kleine Risiken akzeptabel	Nicht immer gerechtfertigt.	Dies lässt sich mit geringem Risiko und starker Kontrolle rechtfertigen.
Akzeptabel im Bereich Sanktionen und Exporte	Praktisch notwendig.	Extrem riskant.

Fazit: Delegation ohne aktive Aufsicht ist in den Bereichen Sanktionen und Exportkontrolle die Übertragung von Verantwortung ohne Risikotransfer, die letztlich im Gremium verbleibt.

Häufige Fehler des Vorstands im Compliance-System

Es gibt Richtlinien ohne deren Prüfung, aber sie funktionieren in der Praxis nicht.
Kein Ratsmitglied hat Kenntnisse über Sanktionen und Exportkontrolle.
Ein Jahr lang können Sie das Sanktionspaket überspringen, das die gesamte Geschäftseinheit zerstört.
Compliance-Beauftragte ignorieren Wenn der Compliance-Beauftragte ein Problem meldet und der Vorstand nicht reagiert, ist das ein erschwerender Umstand.
Wenn ein Compliance-Beauftragter einem CFO oder Vertriebsleiter unterstellt ist, ist ein Interessenkonflikt unvermeidlich.
Unterschätzung extraterritorialer Risiken Ein Geschäft könnte nach EU-Recht legal sein, birgt jedoch Risiken aufgrund von Sanktionen der USA oder des Vereinigten Königreichs, wenn es zu Kontakten mit deren Gerichtsbarkeiten kommt.
Wenn ein Verstoß erkannt wird, beginnt Chaos statt einer strukturierten Reaktion.
Der Kauf eines Unternehmens mit historischen Sanktionsverstößen ohne ordnungsgemäße Überprüfung ist einer der häufigsten Gründe für nachträgliche Ermittlungen.

Checkliste für Vorstandsmitglieder

Vor der Unterzeichnung eines Protokolls oder der Genehmigung einer Transaktion sollte sich jedes Vorstandsmitglied 15 Fragen stellen:

Weiß ich, welche Sanktionsregelungen für unser Unternehmen gelten?
Wurde die Risikobewertung in allen Geschäftsbereichen und Gerichtsbarkeiten durchgeführt?
Gibt es einen unabhängigen Compliance-Beauftragten mit direktem Zugang zum Vorstand?
Gibt es Richtlinien zu Sanktionen, Exportkontrollen und Sorgfaltspflichten?
Wurden diese Richtlinien in den letzten 12 Monaten getestet?
Erhalte ich regelmäßig Berichte über Compliance-Vorfälle?
Gibt es ein Verfahren zur Eskalation schwerwiegender Verstöße an den Rat?
Wurden die Ratsmitglieder über aktuelle Sanktionsrisiken geschult?
Wurden wichtige Gegenparteien und Lieferketten auf Sanktionsrisiken überprüft?
Werden die Risikodiskussionen in den Ratssitzungen dokumentiert?
Habe ich Informationen über Warnsignale bei Transaktionen und Reaktionsmaßnahmen erhalten?
Gibt es einen Whistleblowing-Kanal?
Wurde die persönliche Verantwortung der Vorstandsmitglieder in den relevanten Jurisdiktionen analysiert?
Gibt es einen Maßnahmenplan bei Sanktionsverstößen?
Kann ich anhand der Dokumentation meine Sorgfaltspflicht gegenüber der Aufsichtsbehörde oder dem Gericht nachweisen?

Ist die Antwort auf mindestens fünf Fragen negativ oder unsicher, ist das Compliance-System aus Sicht des Vorstands nicht sicher.

Wie eine starke Rolle des Vorstands im Compliance-System aussieht

Das starke Modell umfasst fünf Ebenen:

1. Tone at the Top: Eine öffentliche und interne Position des Rates, die Nulltoleranz gegenüber Sanktionsverstößen demonstriert. Compliance ist kein Kostenfaktor, sondern eine Lizenz für internationale Geschäfte.

2. Governance-Struktur: Klare Architektur. Der Compliance-Ausschuss des Rates, ein unabhängiger Compliance-Beauftragter, feste Verantwortlichkeitslinien, Budget und Vetorecht bei riskanten Transaktionen.

3. Risikobasierte Richtlinien und Verfahren: Richtlinien zur realen Risikokarte, automatisierte Überprüfung, Due-Diligence-Verfahren, Endbenutzerkontrolle und Endverwendung.

4. Überwachung und Sicherheit: Unabhängige Compliance-Audits, selektive Transaktionsprüfungen, Datenprüfung, nicht nur Papierberichte.

5. Durchsetzung und Konsequenzmanagement: Die konsequente Anwendung von Disziplinarmaßnahmen, die Behebung von Mängeln und die Kommunikation mit der Aufsichtsbehörde im Falle eines Vorfalls, basierend auf dokumentierten Maßnahmen des Vorstands.

Ohne Tier eins und fünf können selbst gut ausgebildete Politiker den Rat nicht vor dem Vorwurf eines formellen Vorgehens bewahren.

FAQ

Kann ein Vorstandsmitglied persönlich für den Verstoß eines Unternehmens gegen EU-Sanktionen haftbar gemacht werden?

Ja. In einigen EU-Mitgliedstaaten bestehen Regelungen zur Haftung hoher Beamter für das Versäumnis, geeignete Maßnahmen zur Verhinderung von Verstößen zu ergreifen, oder werden gerade eingeführt. Abhängig von der Schwere des Verstoßes und der Gerichtsbarkeit kann es sich dabei um eine verwaltungsrechtliche, zivilrechtliche oder strafrechtliche Haftung handeln.

Was ist der Beweis für die Leistung des Rates?

Dokumentation: Besprechungsprotokolle mit Besprechung von Compliance-Risiken, genehmigten Richtlinien, Berichten von Compliance-Beauftragten, Protokollen zur Reaktion auf Warnsignale, Bestätigung von Schulungen.

Reicht es aus, einen Compliance-Beauftragten zu ernennen, um dem Vorstand die Verantwortung zu entziehen?

Nein. Der Termin ist nur ein Element. Der Vorstand stellt die Unabhängigkeit, Ressourcen und Rechenschaftspflicht der Compliance-Funktion sicher und übt eine wirksame Aufsicht aus.

Wie oft sollte der Vorstand Sanktionsrisiken berücksichtigen?

Im internationalen Geschäft mit mittleren und hohen Risiken – mindestens einmal im Quartal. Sollte es zu drastischen Änderungen der Sanktionsregelungen (den neuen EU-Paketen) kommen, sollte dies umgehend erfolgen.

Was soll der Rat tun, wenn in der Vergangenheit ein Verstoß gegen Sanktionen festgestellt wurde?

Keine Panik, aber schweigen Sie nicht. Leiten Sie umgehend eine interne Untersuchung unter der Leitung externer Anwälte ein, beurteilen Sie die Notwendigkeit einer Selbstanzeige, grenzen Sie das Problem ein und ergreifen Sie Maßnahmen, um ein erneutes Auftreten zu verhindern. In einer solchen Situation ist die Untätigkeit des Rates das größte Risiko.

Muss der Vorstand jede Transaktion überwachen?

Nein, aber es muss Kriterien genehmigen, nach denen Transaktionen eine Eskalation auf die Ebene eines Vorstands oder Compliance-Ausschusses erfordern (Länder, Mengen, Warenarten, Warnsignale).

Fazit

Die Rolle des Vorstands im Compliance-System des Unternehmens stellt keine zusätzliche Belastung dar, sondern den Inhalt seiner treuhänderischen Pflichten unter den Bedingungen einer strengen Sanktionsregelung.

Ein wirksamer Schutz von Unternehmen und Geschäftsführern basiert nicht auf der Ad-hoc-Genehmigung von Dokumenten, sondern auf ständiger Überwachung, Kompetenz, Dokumentation von Entscheidungen und der Fähigkeit, die Integrität ihres Handelns nachzuweisen.

Im Zeitalter europäischer Sanktionspakete, strafrechtlicher Harmonisierung und Durchsetzung gewinnt nicht der Rat, der die Einhaltung an das Management delegiert, sondern derjenige, der die Einhaltung in die strategische Governance integriert hat und dies gegenüber der Regulierungsbehörde nachweisen kann.

Haben Sie eine Frage zum Thema dieses Artikels?

Schreiben Sie uns und wir werden innerhalb eines Werktages antworten.