Es ist noch keine 25 Jahre her, da konnten Unternehmen Bestechungsgelder, die sie im Ausland zahlten, in Österreich von der Steuer absetzen. Erst Anfang 1999 wurde diese bis dahin übliche Praxis verboten. Aus heutiger Sicht ist das freilich undenkbar, denn das Netz an Kontrollvorgaben, an die sich Firmen halten müssen, ist in den letzten 25 Jahren immer dichter geworden. Kaum ein größerer Betrieb kommt heutzutage noch ohne ein internes Compliance-System aus. Aber wie ist es eigentlich dazu gekommen?
Unter "Compliance" verstehen Juristinnen und Juristen nicht nur das Netz an Gesetzen und Regeln, an die sich Unternehmen halten müssen – die gab es schon immer. Gemeint sind damit vor allem interne Strukturen, die die Einhaltung dieser Vorschriften garantieren sollen. Ziel ist es, Verantwortung an Unternehmen zu übertragen und sie – wenn sie gewisse personelle und organisatorische Vorkehrungen treffen – wieder von dieser Verantwortung zu befreien.
Anfänge in den USA
Die Idee stammt ursprünglich aus den USA: Mit dem Foreign Corrupt Practices Act (FCPA) aus dem Jahr 1977 wurde amerikanischen Unternehmen verboten, Bestechungsgelder an Amtsträger anderer Staaten zu bezahlen. Bestraft werden konnten fortan nicht nur die handelnden Personen selbst, sondern auch die Unternehmen, die verpflichtet wurden, interne Prüfungen durchzuführen, um Verstöße zu verhindern. "Wenn man so will, war das die Geburtsstunde der Compliance-Systeme", sagt Anwalt Peter Wagesreiter von HSP Law zum STANDARD.
Bis diese Idee in Europa und Österreich ankam, dauerte es freilich noch viele Jahre. "Zunächst waren die Mandanten genervt", erinnert sich Wagesreiter. "Bei Geschäften mit Amerikanern mussten sie plötzlich seitenweise Formulare ausfüllen und bestätigen, dass sie keine Kinder oder Sklaven beschäftigen." Den Grundstein für Compliance-Systeme in Europa und Österreich legten dann die ersten Geldwäsche-Richtlinien der EU in den 1990er-Jahren. Um Geldwäsche zu verhindern, wurden Banken dazu verpflichtet, neue Geschäftspartner zu durchleuchten. Sie mussten ihre Kundinnen und Kunden "kennen". Dieses "Know Your Customer"-Prinzip (KYC) ist heutzutage selbstverständlich.
Unternehmen als Täter
Im Jahr 2005 war es das sperrig klingende Verbandsverantwortlichkeitsgesetz, das den nächsten Compliance-Meilenstein setzte. Für das österreichische Strafrecht war das Gesetz eine Revolution: Ähnlich wie im amerikanischen FCPA konnten fortan nicht nur einzelne Mitarbeiter, sondern ganze Unternehmen strafrechtlich belangt werden, wenn sie "technische, organisatorische oder personelle Maßnahmen" zur Verhinderung von Straftaten unterlassen haben. "Man kann Unternehmen natürlich nicht ins Gefängnis werfen, aber mit empfindlichen Strafen versehen", sagt Wagesreiter.
In den letzten zwei Jahrzehnten wurde das Netz an Compliance-Vorschriften dann immer dichter, sagt Johannes Barbist, Rechtsanwalt und Partner bei Binder Grösswang. Man denke etwa an die Datenschutzgrundverordnung (DSGVO), die seit 2018 gilt, oder die Whistleblower-Richtlinie, die Unternehmen dazu verpflichtet, Meldekanäle einzurichten, damit ihre Mitarbeiterinnen und Mitarbeiter vertraulich Rechtsverstöße melden können. De zeit ist vor allem im Bereich Nachhaltigkeit vieles in Bewegung: Die EU-Taxonomie-Verordnung legt fest, welche wirtschaftlichen Tätigkeiten als "grün" gelten. Das geplante EU-Lieferkettengesetz soll Unternehmen zudem dazu verpflichten, ihre Lieferanten genauer unter die Lupe zu nehmen.
Ordentliche Geschäftsführung
Außerhalb dieser besonders regulierten Branchen ergibt sich die Notwendigkeit, ein Compliance-Management einzurichten, zwar nicht explizit aus dem Gesetz, Unternehmerinnen und Unternehmer sind aber generell zu einer "ordentlichen Geschäftsführung" verpflichtet. Dazu gehört gerade bei größeren Organisationen häufig die Einrichtung eines effektiven Compliance-Systems, erklärt Barbist.
Entscheidend ist das vor allem in Haftungsfragen: Wenn die Gerichte in einem Verfahren zu dem Schluss kommen, dass ein bestimmter Schaden nicht eingetreten wäre, hätte es ein robustes Compliance-Management gegeben, ist das für Unternehmer ein Problem. Umgekehrt können sie sich im Idealfall von ihrer Verantwortung befreien, wenn sie sich proaktiv um eine rechtskonforme Unternehmensführung gekümmert haben.
Laut Barbist spielt das unter anderem im Verwaltungsstrafrecht eine wichtige Rolle. Verstößt ein Unternehmen etwa gegen Umweltauflagen, kann aber beweisen, dass es alles Zumutbare getan hat, um derartige Verstöße zu vermeiden, müssen Behörden von einer Strafe absehen. Unternehmen sind zum Beispiel dazu verpflichtet, ihre Mitarbeiter laufend zu schulen, Handbücher bereitzustellen und genaue Arbeitsanweisungen zu geben.
Komplexere Gesellschaft
"Unsere Gesellschaft wird zunehmend komplex, und das spiegelt sich in den Regelungen wider", erklärt Anwalt Wagesreiter. Dazu komme, dass Unternehmen größer werden. "Ein Bäcker, der zwei Gesellen hat, braucht kein Compliance-System. Bei hundert Mitarbeitern ist das schon anders."
Staaten versuchen, neue Herausforderungen wie die Energiewende, die Bekämpfung des Klimawandels, die weltweite Wahrung der Menschenrechte und die Datenökonomie mit neuen Rechtsvorschriften zu überziehen, sagt Barbist. Das war zwar schon immer so, Unternehmen werden aber stärker als bisher in die Pflicht genommen. "Wir erleben ein neues Zeitalter der Regulierung." (Jakob Pflügl, 13.10.2022)