Compliance-Management-System aufbauen oder überarbeiten: Bausteine und Ressourcen

Kurzantwort: Ein Compliance-Management-System (CMS) besteht nach dem deutschen Prüfungsstandard IDW PS 980 aus sieben Grundelementen: Compliance-Kultur, -Ziele, -Organisation, -Risiken, -Programm, -Kommunikation sowie Überwachung und Verbesserung. Wer ein CMS aufbauen will, beginnt mit einer Compliance-Risikoanalyse und leitet daraus Regeln, Zuständigkeiten und Kontrollen ab. Eine ausdrückliche Pflicht zu einem CMS gibt es für die meisten Unternehmen weder in Deutschland noch in der Schweiz; Organisations- und Aufsichtspflichten wie § 130 OWiG oder Art. 716a OR machen ein wirksames System aber praktisch notwendig.

Dieser Ratgeber richtet sich an Heads of Compliance, General Counsel und Geschäftsleitungen in der Schweiz und in Deutschland, die ein CMS neu aufbauen oder nach Prüfungsfeststellungen, Wachstum oder neuer Regulierung überarbeiten. Er erklärt die Bausteine, die Rolle von IDW PS 980 und ISO 37301 und den Ressourcenbedarf.

Die sieben Grundelemente eines CMS

Die sieben Grundelemente nach IDW PS 980 bilden in der Praxis die gängigste Gliederung für den Aufbau eines CMS, auch in der Schweiz. Jedes Element sollte mit einem konkreten Ergebnisdokument belegt sein.

Kultur, Ziele und Risiken: das Fundament

Das Fundament eines CMS sind eine klare Haltung der Leitung, definierte Ziele und eine belastbare Risikoanalyse. Ohne diese drei Elemente bleiben Richtlinien und Schulungen beliebig.

Kultur: Die Geschäftsleitung muss sichtbar hinter dem CMS stehen, Ressourcen bereitstellen und Fehlverhalten konsequent behandeln. Ein Verhaltenskodex hilft nur, wenn Führungskräfte ihn vorleben.

Ziele: Legen Sie fest, welche Rechtsgebiete für Ihr Unternehmen wesentlich sind, zum Beispiel Korruption, Kartellrecht, Geldwäscherei, Datenschutz, Sanktionen oder Produktsicherheit. Das Leitungsorgan sollte diese Festlegung genehmigen.

Risiken: Die Compliance-Risikoanalyse ist der wichtigste Arbeitsschritt beim Aufbau. Ein bewährtes Vorgehen:

1. Geschäftsmodell, Länder, Vertriebswege und Geschäftspartner erfassen.
2. Relevante Rechtsgebiete und Risikoszenarien je Bereich benennen.
3. Eintrittswahrscheinlichkeit und Auswirkung nach einer festen Methode bewerten.
4. Bestehende Massnahmen und Kontrollen zuordnen.
5. Restrisiken und Handlungsbedarf priorisieren und von der Leitung bestätigen lassen.

Programm, Organisation, Kommunikation und Überwachung

Aus der Risikoanalyse leiten sich das Compliance-Programm, die Organisation, die Kommunikation und die Überwachung ab. Diese vier Elemente machen das CMS im Alltag wirksam.

• Programm: Richtlinien zu den wesentlichen Risiken, Prozesse wie Geschäftspartnerprüfung oder Freigabe von Zuwendungen, dazu Kontrollen und ein Schulungsplan nach Zielgruppen.
• Organisation: Compliance-Verantwortliche mit klarer Berichtslinie zur Geschäftsleitung, ausreichenden Befugnissen und Zugang zu Informationen. Für Kreditinstitute in Deutschland verlangen die MaRisk (AT 4.4.2) eine Compliance-Funktion, die grundsätzlich unmittelbar der Geschäftsleitung unterstellt ist.
• Kommunikation: regelmässige Information der Mitarbeitenden, ein Meldeweg für Hinweise und ein Bericht an die Leitung, mindestens jährlich.
• Überwachung und Verbesserung: ein Monitoringplan mit Stichproben, ein Register für festgestellte Mängel und eine jährliche Überprüfung der Risikoanalyse. Wie Sie Feststellungen strukturiert abarbeiten, zeigt der Ratgeber Compliance-Remediation nach Prüfungsfeststellungen.

Ist ein CMS gesetzlich vorgeschrieben?

Ein CMS als solches ist für die meisten Unternehmen nicht ausdrücklich vorgeschrieben, wohl aber eine Organisation, die Regelverstösse verhindert. Die wichtigsten Grundlagen:

• Deutschland: Nach § 130 OWiG handelt ordnungswidrig, wer als Inhaber eines Unternehmens die erforderlichen Aufsichtsmassnahmen unterlässt, um Zuwiderhandlungen zu verhindern; bei Straftaten droht eine Geldbusse von bis zu einer Million Euro. § 91 Abs. 2 AktG verlangt vom Vorstand ein Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen; börsennotierte Gesellschaften brauchen nach § 91 Abs. 3 AktG zusätzlich ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem. Für Kreditinstitute verlangt § 25a Abs. 1 KWG eine ordnungsgemässe Geschäftsorganisation mit einer Compliance-Funktion als Teil des internen Kontrollsystems.
• Schweiz: Der Verwaltungsrat hat nach Art. 716a Abs. 1 Ziff. 5 OR die unübertragbare Oberaufsicht über die Geschäftsführung, namentlich im Hinblick auf die Befolgung der Gesetze, Statuten, Reglemente und Weisungen. Banken und Versicherer der FINMA-Aufsichtskategorien 1 bis 3 müssen eine eigenständige Compliance-Funktion haben; operative Compliance-Aufgaben dürfen sie auslagern, Oberleitung und strategische Entscheide nicht (FINMA-RS 2018/3 „Outsourcing“, Ziff. IV.A; für Banken zudem FINMA-RS 2017/1 „Corporate Governance – Banken“).

Für Branchen mit eigenem Aufsichtsrecht, etwa Banken, Versicherungen oder Finanzdienstleister, gelten zusätzliche Anforderungen. Diese sind im Einzelfall mit der Rechtsabteilung oder externen Beratern zu klären.

Standards: IDW PS 980 und ISO 37301

IDW PS 980 und ISO 37301 beschreiben, wie ein CMS aufgebaut und beurteilt werden kann; sie ersetzen keine gesetzlichen Pflichten. Die beiden Standards haben unterschiedliche Zwecke.

Die Neufassung von IDW PS 980 von 2021 hat die frühere Auftragsart der Konzeptionsprüfung gestrichen. ISO 37301 hat 2021 die zurückgezogene Leitlinie ISO 19600 abgelöst. Ein Standard ist eine Orientierung, kein Ziel an sich: Wählen Sie ihn danach, ob Sie eine Prüfung, eine Zertifizierung oder nur eine gute Struktur brauchen.

Ressourcenplan: wer baut das CMS auf?

Ein CMS-Aufbau braucht neben der Compliance-Leitung zusätzliche Kapazität für Risikoanalyse, Richtlinien und Schulungen. Der folgende Plan ist ein Beispiel für ein mittelgrosses Unternehmen ohne bestehendes CMS; alle Angaben zu Pensum und Dauer sind Annahmen.

Alpinum Solutions stellt für solche Vorhaben Compliance- und Legal-Fachkräfte über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, als Einzelperson oder Team. Fachkräfte können auch formale Funktionen wie Compliance Officer übernehmen, sofern die Vorgaben in der Schweiz oder Deutschland dies zulassen. Im Staff Leasing liegt das fachliche Weisungsrecht beim Unternehmen; im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des vereinbarten Mandats.

Grenzen und Risiken

• Die Verantwortung für das CMS bleibt beim Leitungsorgan. Externe Fachkräfte bauen mit auf, entscheiden aber nicht über Risikoappetit, Sanktionen oder Ressourcen.
• Ein CMS auf dem Papier schützt nicht. Entscheidend ist, dass Kontrollen tatsächlich durchgeführt und Mängel behoben werden.
• Ein Prüfungsbericht nach IDW PS 980 oder eine ISO-Zertifizierung bestätigt nicht, dass keine Verstösse vorkommen.
• Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung. Rechtliche Einzelfragen klären Rechtsabteilung oder externe Berater.

Häufige Fragen zum Compliance-Management-System

Ist ein CMS gesetzlich vorgeschrieben?

Für die meisten Unternehmen ist ein CMS nicht ausdrücklich vorgeschrieben. In Deutschland ergeben sich aber Organisations- und Aufsichtspflichten etwa aus § 130 OWiG und § 91 AktG, in der Schweiz aus der Oberaufsicht des Verwaltungsrats nach Art. 716a OR. Banken und andere beaufsichtigte Institute unterliegen zusätzlich ausdrücklichen Anforderungen an eine Compliance-Funktion, in Deutschland etwa nach § 25a KWG.

Wie lange dauert der Aufbau eines CMS?

Die Dauer hängt von Grösse, Branche, Zahl der Länder und dem vorhandenen Stand ab. Ein Unternehmen mit bestehenden Einzelrichtlinien braucht weniger Zeit als eines, das bei null beginnt. Planen Sie Bestandsaufnahme, Risikoanalyse, Programm und Einführung als getrennte Phasen. Ein CMS ist danach nicht fertig, sondern wird mit jeder jährlichen Risikoanalyse weiterentwickelt.

Was ist der Unterschied zwischen IDW PS 980 und ISO 37301?

IDW PS 980 ist ein deutscher Prüfungsstandard, nach dem Wirtschaftsprüfer ein CMS beurteilen; er gliedert das CMS in sieben Grundelemente. ISO 37301 ist eine internationale Managementsystemnorm von 2021, die Anforderungen an ein CMS festlegt und sich mit anderen ISO-Normen kombinieren lässt. Beide geben eine Struktur vor, ersetzen aber keine gesetzlichen Pflichten.

Wer sollte die Compliance-Risikoanalyse durchführen?

Die Compliance-Funktion verantwortet die Methode und das Ergebnis. Die Inhalte kommen aus den Fachbereichen, etwa Vertrieb, Einkauf, Finanzen und HR, über Interviews und Workshops. Eine erfahrene Compliance-Fachkraft, intern oder temporär, moderiert die Erhebung und sorgt für eine einheitliche Bewertung. Das Ergebnis sollte die Geschäftsleitung bestätigen.

Kann eine Interim-Fachkraft ein CMS aufbauen?

Ja, wenn Auftrag, Ergebnis und Übergabe klar vereinbart sind und die Geschäftsleitung den Aufbau sichtbar trägt. Interim Compliance Officer übernehmen häufig Risikoanalyse, Richtlinien und Schulungen, während die dauerhafte Compliance-Funktion aufgebaut oder besetzt wird. Die Verantwortung für das CMS bleibt beim Unternehmen.

Nächster Schritt

Beschreiben Sie Ausgangslage, Branche und gewünschtes Ergebnis. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Interim Compliance und Compliance Management
• Regulatory Change Management
• Internes Kontrollsystem aufbauen und testen
• Bedarf besprechen

Stand: 30. Oktober 2026.