Überwachung und Verbesserung
Das vom Unternehmen implementierte Compliance-Managementsystem muss fortlaufend und systematisch auf seine Wirksamkeit überprüft und verbessert werden. Dazu gehören u.a. folgende Punkte:
- Überwachung der Einhaltung von Compliance-Vorgaben und der Effizienz des Compliance-Managementsystem durch Mitarbeiterbefragungen, Compliance-Erklärungen, Prüfung von Geschäftsvorgängen, Mock Dawn Raids, Meldesysteme etc.;
- Compliance-Prüfungen durch geeignete Stellen (z.B. interne Revision, externe Rechtsanwälte oder externe Wirtschaftsprüfer);
- Gegebenenfalls Zertifizierungen.
Mitarbeiterbefragungen
Bei den Mitarbeiterbefragungen werden die konkreten Handlungs- und Vorgehensweisen von Mitarbeitern bei compliance-relevanten Sachverhalten geprüft.
Compliance Erklärungen
In Compliance-Erklärungen bestätigen Mitarbeiter, dass sie in einer Zeitperiode nach bestem Wissen und Gewissen die Compliance-Vorgaben eingehalten haben. Diese Erklärungen erfolgen in der Regel gegenüber unternehmensinternen Stellen. Solche Erklärungen wurden aber beispielsweise von der FINMA als aufsichtsrechtliches Instrument gegenüber Managern der UBS AG eingesetzt.
Prüfung von Geschäftsvorgängen
Die Mitarbeiterbefragungen und Compliance-Erklärungen sollten durch stichprobenweise Prüfungen von Geschäftsvorfällen ergänzt werden.
Mock Dawn Raids
Bei einem Mock Dawn Raid führen beauftragte Rechtsanwälte sowie Beamte einer Ermittlungsbehörde (Staatsanwaltschaft und Kartellbehörde etc.) eine Durchsuchung in den Geschäftsräumen des Unternehmens durch. Dabei wird eine Hausdurchsuchung simuliert, wie wenn es eine Behörde tun würde. Die Büroräume von Mitarbeitern werden durchsucht, Dokumente gesichtet und die Mitarbeiter befragt. Die Mitarbeiter werden dahingehend getestet, wie sie in einer Stresssituation reagieren und ob sie sich gesetzeskonform verhalten.
Compliance-Prüfungen
Eine regelmässige Überprüfung des Compliance-Managementsystem wird sowohl in der OECD Good Practice Guidance als auch in den Grundzüge Compliance der economiesuisse gefordert.
Das IDW hat für die freiwilligen Prüfungen einen Prüfungsstandard Grundsätze ordnungsmässiger Prüfung von Compliance Management Systemen (IDW PS 980) erlassen. Der IDW PS 980 orientiert sich am COSO-Rahmenkonzept und bindet letztlich nur den Berufsstand der Wirtschaftsprüfer, nicht hingegen andere Prüfer, sonstige Institutionen, Berater oder Rechtsanwälte. Gegenstand der Prüfung ist eine Beschreibung bzw. Dokumentation des Compliance-Managementsystem (Compliance-Managementsystem-Beschreibung), welche durch das Unternehmen zu erstellen ist. Darauf aufbauend sieht IDW PS 980 drei Arten von Prüfungen vor, die zueinander in einem Stufenverhältnis stehen (Konzeptionsprüfung, Angemessenheitsprüfung, Wirksamkeitsprüfung). Das geprüfte Unternehmen kann entscheiden, ob es nur einen Teilbereich (beispielsweise Kartellrechts-Compliance) oder das Compliance-Managementsystem umfassend prüfen lassen will.
Im Gegensatz zu Deutschland (Grundsätze ordnungsmässiger Prüfung von Compliance Management Systemen IDW PS 980) besteht in der Schweiz kein Prüfungsstandart zur Prüfung des Compliance-Managementsystem. Bei einer Prüfung des Compliance-Managementsystem würde wohl der IDW PS 980 herangezogen werden.