Compliance & Investigations.

Compliance bezeichnet die Einhaltung rechtlicher Vorgaben, interner Richtlinien und ethischer Standards durch ein Unternehmen und seine Mitarbeitenden, um Risiken wie Bußgelder, Haftung oder Reputationsverlust zu vermeiden.

Relevante Bereiche sind unter anderem Korruptions- und Bestechungsprävention, Wettbewerb, Datenschutz, Kartellrecht, Arbeitsrecht, Exportkontrolle, Geldwäscheprävention und IT-/Datensicherheit.

Compliance betrifft interne Strukturen, Entscheidungsprozesse und Unternehmenskultur; sie erfordert operative Implementierung, Schulung, Kontrolle und regelmäßige Anpassung an neue Risiken oder Regularien.

Ein CMS sollte eingeführt werden, sobald rechtliche Risiken, Mitarbeiterzahl, Geschäftsprozesse oder internationale Aktivitäten ein erhöhtes Gefährdungspotenzial begründen – also frühzeitig, um Haftungsrisiken zu minimieren.

Zentrale Bausteine sind: Risikobewertung, Policies & Codes, Schulungen, Berichtskanäle (Speak-Up), Monitoring und Audit, Sanktionsmechanismen, incident investigations und kontinuierliche Verbesserung.

Eine Compliance-Risikoanalyse identifiziert und bewertet Risiken in Geschäftsprozessen, Produkten oder Märkten, um gezielt präventive Maßnahmen zu priorisieren und Ressourcen effizient einzusetzen.

Typischerweise wird Compliance durch einen Chief Compliance Officer (CCO) oder eine Compliance-Funktion im Vorstand/Management getragen, unterstützt von funktionalen Owners in den Fachbereichen.

Compliance bezieht sich auf Recht und Integrität, während ein IKS die Zuverlässigkeit der Finanzberichterstattung und ordnungsgemäße Geschäftsprozesse sicherstellt. Beide Systeme sind komplementär, aber verschieden in Zweck und Fokus.

Nur wenn Verantwortlichkeiten, Ressourcen und Eskalationswege formal geregelt sind, kann Compliance nachhaltig funktionieren und nicht „als Marke“ ohne Wirkung bleiben.

Ein Compliance-Code ist eine verbindliche Sammlung ethischer Grundsätze und Verhaltensregeln, die für alle Mitarbeitenden gelten, z. B. zu Interessenskonflikten, Geschenken, Zuwendungen oder Datenverarbeitung.

Compliance-Policies müssen verständlich, zugänglich und regelmäßig geschult werden; zudem braucht es Nachweise über Teilnahme und Verständnis (Training Certificates, E-Learnings).

Meldesysteme ermöglichen Mitarbeitenden, rechtswidriges Verhalten oder Risiken anonym oder geschützt zu melden, bevor sie zu erheblichen Schäden eskalieren. Sie sind ein Frühwarn- und Schutzmechanismus.

Hinweisgebersysteme müssen Vertraulichkeit, Schutz vor Repressalien und nachvollziehbare Fallbearbeitung gewährleisten; in der EU gibt es hierzu Mindeststandards (Hinweisgeberrichtlinie).

Folgen können sein: Bußgelder, straf- und haftungsrechtliche Risiken für Unternehmen und Verantwortliche, Reputationsschäden, Vertragsstrafen oder Wettbewerbsnachteile.

Compliance-Durchsetzung bedeutet, Verstöße zu identifizieren, zu untersuchen und konsequent zu sanktionierensowie Lerneffekte zu implementieren. Dies erfolgt durch Monitoring, interne Audits, Fallanalysen und disziplinarische Maßnahmen.

Interne Untersuchungen sind strukturierte Sachverhaltsaufklärungen innerhalb eines Unternehmens, die durchgeführt werden, wenn Hinweise auf mögliche Compliance-Verstöße, Pflichtverletzungen, strafrechtlich relevante Handlungen oder sonstige Unregelmäßigkeiten vorliegen. Sie dienen der internen Aufklärung und Risikosteuerung.

Ziele sind insbesondere die Feststellung des tatsächlichen Sachverhalts, die rechtliche Bewertung möglicher Verstöße, die Vorbereitung von Abhilfemaßnahmen sowie die Reduzierung von Haftungs-, Sanktions- und Reputationsrisiken gegenüber Behörden, Geschäftspartnern und Gesellschaftern.

Die frühzeitige und strukturierte Sicherung relevanter Daten ist zentral, um Beweise zu erhalten und Manipulation oder Datenverlust zu vermeiden. Dazu zählen insbesondere E-Mails, Dateien, Chats, Server- und Cloud-Daten sowie mobile Endgeräte.

Die Beschaffung und Auswertung von Informationen im Rahmen interner Untersuchungen muss stets im Einklang mit Arbeitsrecht, Datenschutzrecht, Persönlichkeitsrechten sowie anderen Rechten Dritter erfolgen. Dabei ist regelmäßig zu prüfen, welche Daten erhoben, ausgewertet und weitergegeben werden dürfen und in welcher Form. Ob und in welchem Umfang gewonnene Erkenntnisse prozessual verwertbar sind, wird stets im Einzelfall geprüft. Die Frage der Beweisverwertung ist daher kein nachgelagerter Schritt, sondern wird bereits bei der Konzeption und Durchführung der Untersuchung antizipiert, um spätere Verwertungsrisiken zu minimieren und rechtliche Grenzen einzuhalten. In der Praxis kann es erforderlich sein, Dokumente oder Kommunikationsinhalte zu schwärzen, um nicht relevante oder besonders schutzwürdige Informationen (z. B. private Inhalte, Drittbezüge oder personenbezogene Daten Unbeteiligter) auszuklammern. Auch der Umgang mit Ton- oder Audioaufnahmen ist besonders sensibel, da deren Erhebung und Verwertung rechtlich problematisch sein kann.

In komplexen wirtschaftlichen Streitigkeiten und internen Untersuchungen reicht die reine Aktenlage oft nicht aus, weil entscheidende Informationen außerhalb der eigenen Systeme liegen oder Vermögenswerte gezielt „verschoben“ werden. In solchen Fällen ist die Einbindung spezialisierter Forensik- und Ermittlungs-Partner besonders sinnvoll – etwa zur Datensicherung und -analyse (z. B. forensisches Imaging, Auswertung großer Kommunikations- und Dokumentenbestände) und zur Asset Location / Asset Tracing (Auffinden von Vermögenswerten, Rekonstruktion von Eigentums- und Kontrollstrukturen, Identifikation von begünstigten Personen oder Zieljurisdiktionen). Gerade bei grenzüberschreitenden Konstellationen kann Asset Tracing zudem strategisch klären, ob sich ein Verfahren wirtschaftlich lohnt, wo Ansprüche am effektivsten durchgesetzt werden und wie eine spätere Vollstreckung eines Urteils oder Schiedsspruchs tatsächlich erreichbar ist (z. B. über Vermögensaufdeckung, Ownership-Evidence, Vorbereitung von Sicherungsmaßnahmen). Deshalb arbeiten wir in entsprechenden Fällen mit einem Netzwerk an bewährten Forensik- und Investigation-Spezialisten zusammen und steuern diese Arbeit eng in die rechtliche Strategie ein – von der frühen Risiko- und Durchsetzbarkeitsanalyse bis zur streitigen Durchsetzung und Vollstreckung.

Bei umfangreichen Datenbeständen kommen zunehmend technische Analysewerkzeuge und KI-gestützte Softwarelösungen zum Einsatz, die helfen, relevante Inhalte effizient zu identifizieren, Muster zu erkennen und Prioritäten zu setzen.

KI-gestützte Systeme ermöglichen eine schnellere, strukturierte und nachvollziehbare Auswertung großer Datenmengen, reduzieren manuelle Sichtungen und unterstützen die Fokussierung auf relevante Dokumente und Kommunikationsstränge.

Die Ergebnisse dienen als Grundlage für interne Maßnahmen, etwa organisatorische Anpassungen, arbeitsrechtliche Schritte oder Compliance-Verbesserungen, und können zugleich für die Kommunikation mit Aufsichts- oder Strafverfolgungsbehörden relevant sein.