Regeln, die im Alltag halten, statt Regeln fürs Regal
Wirksam ist eine Vorgabe erst, wenn jemand sie kennt, anwenden kann und weiß, wen er fragt, und wenn sich all das im Nachhinein belegen lässt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Eine Richtlinie, die niemand anwendet, erhöht das Risiko, statt es zu senken
Der verbreitetste Zustand ist ein Ordner mit Richtlinien, den alle einmal per Klick bestätigt haben. Im Streitfall ist er das Gegenteil eines Nachweises: Er belegt, dass die Regel bekannt war und trotzdem niemand nach ihr gearbeitet hat. Aufsichtspflicht bedeutet nicht, dass etwas geregelt ist, sondern dass Vorgaben, Kenntnis, Kontrolle und Reaktion zusammenwirken.
Der zweite Fehler ist die Reihenfolge. Wer mit dem Schreiben von Richtlinien beginnt, regelt, was ihm einfällt, und übersieht die Bereiche, in denen tatsächlich etwas passieren kann. Ohne eine Risikoanalyse, die Geschäftsfelder, Länder, Partner und Prozesse durchgeht, weiß niemand, ob der Aufwand am richtigen Ort landet.
Der dritte Fehler ist die Haltung. Eine Rolle, die vor allem verbietet, wird umgangen, und zwar leise. Das kennt man vom Umgang mit Sprachmodellen: Wo der Einsatz pauschal untersagt ist, läuft er über private Zugänge weiter, nur ohne Regeln, ohne Protokoll und ohne die Möglichkeit einzugreifen. Ein enger, klar beschriebener Freigabeweg senkt das Risiko stärker als ein Verbot.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet, wer setzt um, und wo die Rolle unter Druck gerät
Compliance hat fast nirgends das letzte Wort, und genau darin liegt der Konflikt der Rolle. Die folgenden Zeilen zeigen, wo die Entscheidung tatsächlich liegt und an welcher Stelle sie in der Praxis stillschweigend verschoben wird.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Ob ein Geschäft trotz erkannter Risiken gemacht wird | Die Geschäftsleitung, auf Basis einer dokumentierten Vorlage | Der Fachbereich, mit den vereinbarten Auflagen | Compliance sagt Nein und wird umgangen, statt die Entscheidung mit Auflagen und schriftlicher Begründung nach oben zu geben. |
| Inhalt und Reichweite einer internen Vorgabe | Compliance, im Rahmen des Auftrags der Leitung | Die Fachbereiche in ihren eigenen Abläufen | Die Vorgabe entsteht ohne den Bereich, der sie anwenden soll, und beschreibt einen Ablauf, den es so im Haus nicht gibt. |
| Umgang mit einem eingegangenen Hinweis | Die zuständige interne Meldestelle nach dem festgelegten Verfahren | Untersuchung durch benannte Personen, bei Bedarf mit externer Unterstützung | Der Hinweis wird an die betroffene Führungskraft weitergereicht, und damit ist die Vertraulichkeit des Verfahrens beschädigt. |
| Konsequenzen bei einem Verstoß | Personalabteilung und Leitung, arbeitsrechtlich abgesichert | Die Führungskraft, gegebenenfalls mit Beteiligung des Betriebsrats | Bei kleinen Fällen wird konsequent sanktioniert, bei umsatzstarken Bereichen nicht, und danach nimmt niemand die Regel mehr ernst. |
| Einsatz neuer Werkzeuge mit rechtlicher Sprengkraft | Die Leitung, nach Abstimmung mit Datenschutz, Betriebsrat und Fachbereich | Die IT, entlang einer verbindlichen Freigabeliste | Es gibt weder Freigabe noch Verbot, also entsteht die Nutzung an der Regel vorbei und wird erst sichtbar, wenn etwas passiert ist. |
Ob ein Geschäft trotz erkannter Risiken gemacht wird
- Wer entscheidet
- Die Geschäftsleitung, auf Basis einer dokumentierten Vorlage
- Wer setzt um
- Der Fachbereich, mit den vereinbarten Auflagen
- Stolperfalle
- Compliance sagt Nein und wird umgangen, statt die Entscheidung mit Auflagen und schriftlicher Begründung nach oben zu geben.
Inhalt und Reichweite einer internen Vorgabe
- Wer entscheidet
- Compliance, im Rahmen des Auftrags der Leitung
- Wer setzt um
- Die Fachbereiche in ihren eigenen Abläufen
- Stolperfalle
- Die Vorgabe entsteht ohne den Bereich, der sie anwenden soll, und beschreibt einen Ablauf, den es so im Haus nicht gibt.
Umgang mit einem eingegangenen Hinweis
- Wer entscheidet
- Die zuständige interne Meldestelle nach dem festgelegten Verfahren
- Wer setzt um
- Untersuchung durch benannte Personen, bei Bedarf mit externer Unterstützung
- Stolperfalle
- Der Hinweis wird an die betroffene Führungskraft weitergereicht, und damit ist die Vertraulichkeit des Verfahrens beschädigt.
Konsequenzen bei einem Verstoß
- Wer entscheidet
- Personalabteilung und Leitung, arbeitsrechtlich abgesichert
- Wer setzt um
- Die Führungskraft, gegebenenfalls mit Beteiligung des Betriebsrats
- Stolperfalle
- Bei kleinen Fällen wird konsequent sanktioniert, bei umsatzstarken Bereichen nicht, und danach nimmt niemand die Regel mehr ernst.
Einsatz neuer Werkzeuge mit rechtlicher Sprengkraft
- Wer entscheidet
- Die Leitung, nach Abstimmung mit Datenschutz, Betriebsrat und Fachbereich
- Wer setzt um
- Die IT, entlang einer verbindlichen Freigabeliste
- Stolperfalle
- Es gibt weder Freigabe noch Verbot, also entsteht die Nutzung an der Regel vorbei und wird erst sichtbar, wenn etwas passiert ist.
Sechs Bausteine, an denen die Wirksamkeit gemessen wird
- 01 Eine Risikoanalyse legt fest, welche Themen überhaupt geregelt werden.
- 02 Vorgaben beantworten den Zweifelsfall und benennen die entscheidende Stelle.
- 03 Schulung erreicht die Rollen, die die Entscheidung tatsächlich treffen.
- 04 Ein Meldekanal nimmt Hinweise vertraulich entgegen und gibt Rückmeldung.
- 05 Stichproben prüfen die Einhaltung und werden dokumentiert.
- 06 Die Leitung entscheidet über Konsequenzen und trägt die Verantwortung.
Was die Rolle wirksam macht
Compliance wirkt über vier Dinge, und keines davon ist ein Weisungsrecht: über eine belastbare Risikoanalyse, über Vorgaben, die zur Arbeit passen, über Nachweise, die nebenbei entstehen, und über einen direkten Berichtsweg zur Leitung.
Mit der Risikoanalyse anfangen, nicht mit der Richtlinie
Geh die Geschäftsfelder durch und frag bei jedem, was hier realistisch schiefgehen kann, wen es träfe und wie oft die Situation vorkommt. Das Ergebnis bestimmt, wo Vorgaben nötig sind. Alles andere ist Aufwand ohne Wirkung.
Vorgaben so schreiben, dass sie im Zweifelsfall tragen
Eine Regel muss den unklaren Fall beantworten, nicht den offensichtlichen. Nimm Beispiele aus dem eigenen Haus auf, benenne die Stelle, die im Zweifel entscheidet, und halte fest, was passiert, wenn jemand vor der Entscheidung nicht fragt.
Nachweise als Nebenprodukt organisieren
Wenn der Beleg für Schulung, Freigabe oder Kontrolle nachträglich zusammengesucht werden muss, existiert er faktisch nicht. Sorge dafür, dass die Ablage im Ablauf selbst entsteht, etwa in der Freigabe des Vorgangs statt in einer separaten Liste.
Den Meldekanal so bauen, dass er benutzt wird
Ein interner Kanal wirkt nur, wenn er bekannt ist, vertraulich bleibt und Rückmeldung gibt. Fehlt eines davon, gehen Hinweise nach außen, und die erste Nachricht über einen Vorfall kommt dann von einer Behörde oder einer Redaktion.
Kontrollieren statt vertrauen, aber angekündigt
Stichproben in vereinbarter Frequenz sind kein Misstrauen, sondern der Unterschied zwischen einer Vorgabe und einem Wunsch. Halte fest, was du geprüft hast und was dabei herauskam, denn genau das ist im Ernstfall dein Nachweis.
Der Leitung Entscheidungen vorlegen, keine Bedenken
Ein Bericht, der nur Risiken auflistet, verändert nichts. Leg zwei Wege mit ihren Folgen daneben und benenne, welchen du empfiehlst. Wird anders entschieden, halte das fest, denn eine bewusst getroffene Entscheidung der Leitung ist eine andere Lage als ein übersehenes Risiko.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum die Aufsichtspflicht der eigentliche Anker ist
In Deutschland gibt es kein Gesetz, das ein Compliance-Management-System für alle Unternehmen vorschreibt. Der praktische Anker ist das Ordnungswidrigkeitenrecht: Wer als Inhaber eines Betriebs die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um Zuwiderhandlungen zu verhindern, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung geschieht, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Dazu kommt die Möglichkeit, eine Geldbuße gegen das Unternehmen selbst zu verhängen. Ein Gesetz, das Sanktionen gegen Unternehmen umfassend neu geregelt hätte, wurde in der Vergangenheit vorbereitet, ist aber nicht in Kraft getreten, weshalb die alte Systematik weiter gilt.
Aus dieser Konstruktion folgt die wichtigste Eigenschaft der Rolle: Es geht nicht um Vollständigkeit, sondern um Angemessenheit. Was für ein Handelshaus mit Auslandsvertretungen erforderlich ist, ist für einen regionalen Dienstleister überzogen. Die Angemessenheit begründest du über die Risikoanalyse, und deshalb ist sie das wichtigste Dokument im ganzen System, nicht die Richtliniensammlung.
Daneben stehen Pflichten, die unmittelbar an Schwellen hängen und deshalb ohne Auslegungsspielraum gelten. Der Hinweisgeberschutz verlangt von Unternehmen ab einer bestimmten Beschäftigtenzahl eine interne Meldestelle mit einem geregelten Verfahren und Rückmeldefristen. Das Lieferkettensorgfaltspflichtengesetz greift ab einer deutlich höheren Schwelle und verlangt Risikoanalyse, Präventions- und Abhilfemaßnahmen und eine Berichterstattung. Wer beides in seinem Haus einmal sauber eingeordnet hat, weiß, wie viel Pflicht und wie viel Ermessen im eigenen Programm steckt.
Der Alltag zwischen drei Linien
Das verbreitetste Ordnungsmodell trennt drei Linien. In der ersten arbeiten die Bereiche, die das Geschäft machen und ihre Risiken selbst steuern. In der zweiten sitzen Funktionen wie Compliance, Risikomanagement und Datenschutz, die Vorgaben setzen, beraten und überwachen. In der dritten prüft die interne Revision unabhängig, ob beides funktioniert. Dieses Modell erklärt, warum die Rolle weder anweisen noch prüfen soll: Sie setzt den Rahmen und beobachtet, ob er trägt.
Der Kalender füllt sich entsprechend mit Beratung im Einzelfall, mit Freigaben, mit Schulungen und mit Berichten. Die einzelnen Fragen wiederholen sich stärker, als man erwartet: Darf dieser Kunde beschenkt werden, darf dieser Partner ohne Prüfung beauftragt werden, darf dieses Werkzeug mit Kundendaten arbeiten, darf ein Modell Bewerbungen vorsortieren. Wer die häufigsten zwanzig Fragen einmal mit Beispielen beantwortet, gewinnt Zeit für die Fälle, die tatsächlich schwierig sind.
Der heikelste Teil sind interne Untersuchungen nach einem Hinweis. Dort greifen mehrere Rechtsgebiete gleichzeitig, vom Arbeitsrecht über den Datenschutz bis zur Mitbestimmung, und Fehler in der Durchführung wirken sich später auf die Verwertbarkeit aus. Wer keine Erfahrung damit hat, holt sich Unterstützung, und zwar vor dem ersten Gespräch und nicht nach dem dritten.
Die Themen, die gerade dazukommen
Die Regeln zu künstlicher Intelligenz sind derzeit der größte Zuwachs an Aufgaben, und sie treffen die Rolle an einer ungewohnten Stelle: Es geht nicht nur um Verbote, sondern um Nachweise über die eigene Organisation, also um ein Verzeichnis der eingesetzten Systeme, um Einstufungen, um die Frage, ob ihr Anbieter oder Betreiber seid, und um den Nachweis, dass die Beschäftigten mit diesen Systemen umgehen können. Für ein Managementsystem gibt es dazu mit ISO/IEC 42001 seit 2023 eine eigene Norm, die sich in Aufbau und Logik an den bekannten Managementsystemnormen orientiert und zertifizierbar ist.
Der zweite Zuwachs kommt aus dem Entgeltbereich. Die europäische Richtlinie zur Entgelttransparenz von 2023 verlangt von den Mitgliedstaaten die Umsetzung bis zum 7. Juni 2026 und bringt Auskunftsrechte, Berichtspflichten und die Bewertung gleichwertiger Arbeit mit. In Deutschland gibt es mit dem Entgelttransparenzgesetz bereits einen individuellen Auskunftsanspruch in Betrieben mit mehr als zweihundert Beschäftigten und Berichtspflichten für größere Unternehmen. Für die Rolle bedeutet das vor allem Vorarbeit: Ohne saubere Stellenbewertung und nachvollziehbare Vergütungsbestandteile lässt sich keine Auskunft geben, die einer Nachfrage standhält.
Gemeinsam ist beiden Feldern, dass die Arbeit lange vor der Frist beginnt. Wer erst mit dem Inkrafttreten anfängt, hat die Datengrundlage nicht, und die Datengrundlage ist in beiden Fällen das eigentliche Projekt.
Der Weg in die Rolle und die Nachweise, die zählen
Die häufigste Herkunft ist die Rechtsabteilung, gefolgt von interner Revision, Finanzen und dem Fachbereich selbst. Juristische Ausbildung hilft, ist aber weder vorgeschrieben noch ausreichend, denn der schwierige Teil ist nicht die Auslegung einer Norm, sondern die Übersetzung in einen Ablauf, den Menschen im Alltag einhalten können. Wer aus dem Fachbereich kommt, hat genau darin einen Vorsprung und muss sich das Rechtsgebiet erarbeiten.
Bei den Nachweisen gilt: Der Titel Compliance-Manager ist nicht geschützt, entsprechend unterschiedlich sind die Angebote. Belastbar sind Nachweise, die an ein Regelwerk gebunden sind, etwa zu Managementsystemen für Compliance, zu Governance-Anforderungen oder zu einzelnen Fachgebieten wie Geldwäsche, Kartellrecht oder KI-Regulierung. Für die Prüfung eines bestehenden Systems existiert außerdem ein eigener Prüfungsstandard der Wirtschaftsprüfer, an dessen Kriterien man sich beim Aufbau gut orientieren kann, auch ohne eine Prüfung zu beauftragen.
Im Gespräch zählt eine konkrete Geschichte: eine Vorgabe, die ihr geändert habt, weil sie im Alltag nicht funktioniert hat, ein Hinweis, der zu einer Untersuchung geführt hat, oder ein Freigabeweg, der eine Umgehung überflüssig gemacht hat. Wer nur Regelwerke aufzählen kann, wirkt wie jemand, der Compliance als Bibliothek versteht.
Woran du wächst, und wohin die Rolle führt
Zwei Leute mit gleicher Berufsdauer unterscheiden sich daran, ob sie Nein sagen oder Bedingungen formulieren. Wer nur ablehnt, wird beim nächsten Mal nicht mehr gefragt, und dann entstehen die Risiken unbeobachtet. Wer stattdessen sagt, unter welchen Auflagen etwas möglich ist, bleibt im Verfahren und behält die Kontrolle. Das ist keine Weichheit, sondern der Unterschied zwischen einer wirksamen und einer umgangenen Funktion.
Der zweite Unterschied ist der Zugang zur Leitung. Eine Compliance-Funktion, die über drei Ebenen berichtet, erfährt von Entscheidungen, nachdem sie getroffen wurden. Wer einen direkten und regelmäßigen Berichtsweg hat, sitzt vor der Entscheidung am Tisch. Dieser Zugang ist Verhandlungssache beim Einstieg und später schwer nachzuholen.
Weiter geht es in mehrere Richtungen. Innerhalb der zweiten Linie zur Leitung von Compliance oder Governance und Risiko, fachlich in Spezialisierungen wie Regulierung von KI, Lieferkette, Kartellrecht oder Geldwäsche. Ein Wechsel in die dritte Linie, also in die interne Revision, ist möglich und bringt einen Rollenwechsel mit sich, weil du dann nicht mehr mitgestaltest, sondern prüfst. Und in kleineren Häusern führt der Weg oft in eine Doppelrolle mit Recht oder Datenschutz, was funktioniert, solange die Interessenkonflikte benannt und geregelt sind.
Dazu passende Kurse
Wie ein Programm aufgebaut wird, das der Angemessenheit standhält, gehen Kurse, in denen du Zuständigkeiten und Berichtswege für die Leitung ordnest anhand von Aufbau, Kontrolle und Berichterstattung durch.
Weil der größte Zuwachs an Pflichten derzeit aus der KI-Regulierung kommt, gehören die Trainings zu Regeln und Nachweisen rund um KI inzwischen zur Grundausstattung der Rolle.
Warum es zu dieser Rolle keine amtliche Zahl gibt
Compliance ist keine Berufsgattung der amtlichen Verdiensterhebung, sondern eine Funktion, die Menschen aus Recht, Revision, Finanzen oder dem Fachbereich ausüben, und genau unter diesen Grundberufen erscheinen sie in der Statistik. Dazu kommt, dass der Zuschnitt der Stellen extrem unterschiedlich ist: Von der Person, die neben anderen Aufgaben die Meldestelle betreut, bis zur eigenen Abteilung mit Berichtsweg an den Vorstand liegen mehrere Welten, und ein Mittelwert über all das würde niemandem etwas sagen. Sichtbar ist stattdessen ein Muster: Der Verdienst folgt der Branche und dem regulatorischen Druck darin. In stark beaufsichtigten Bereichen wie Banken, Versicherungen oder Pharma ist die Funktion breiter besetzt und anders eingeordnet als im übrigen Mittelstand. Wenn du dich einordnen willst, ist die vergleichbare Größe der Zuschnitt der Stelle im selben Sektor, nicht der Rollenname.
Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
Häufige Fragen
Braucht ein mittelständisches Unternehmen einen Compliance-Manager?
Worin unterscheidet sich Compliance vom Datenschutzbeauftragten?
Wie verhindere ich, dass Compliance als Bremse gilt?
Was passiert, wenn die Leitung gegen meine Empfehlung entscheidet?
Passt thematisch dazu
Bevor du eine Vorgabe für den Einsatz von KI schreibst, klär wie ein einzelnes System eingestuft wird und welche Pflichten daran hängen .
Wenn du die Meldestelle im Haus aufbaust oder übernimmst, gehört zum Einstieg, welche Fristen und Vertraulichkeitsregeln für einen internen Meldekanal gelten .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Zuständigkeiten und Freigabewege einmal am eigenen Haus durchziehen
Ob eine Vorgabe im Alltag trägt, zeigt sich an den Zweifelsfällen, und die lassen sich in einem Kurs bei cmt mit Leuten aus anderen Häusern durchspielen, bevor sie im eigenen auftreten.