Nach dem Lesen können Sie einen einfachen Zyklus aufsetzen, der jede Pflicht mit einem Verantwortlichen, einer Maßnahme und ihrem Nachweis verbindet.
Definition
Eine Pflicht ist alles, was das Unternehmen befolgen muss oder sich zu befolgen entschieden hat: ein Gesetz, eine Vertragsklausel, eine Norm, eine interne Verpflichtung. ISO 37301 legt die Anforderungen an ein darum aufgebautes Compliance-Managementsystem fest.
Weil sich die Texte ändern und das Geschäft sich mit ihnen ändert, erreicht die Arbeit nie eine Ziellinie. Sie läuft als Zyklus.
Warum es wichtig ist
Verfehlt ein Unternehmen eine Pflicht, liegt das selten an einer Weigerung. Meist wusste niemand, dass sie ihm oblag. Der Preis kann ein Bußgeld, ein verlorener Vertrag oder ein blockierter Verkauf sein.
Es gibt auch einen praktischen Gewinn. Eine einzige Überprüfung der Zugriffsrechte kann sechs verschiedene Texte bedienen, und nur ein gemeinsamer Blick auf die Pflichten macht das sichtbar.
Wie es funktioniert
Listen Sie auf, was gilt, und warum, mit dem Text, dem Artikel und der betroffenen Tätigkeit. Geben Sie dann jeder Pflicht einen Verantwortlichen.
Verbinden Sie jede mit den Maßnahmen, Richtlinien und Aufzeichnungen, die sie erfüllen. So werden die Lücken sichtbar, und Sie können ihre Behebung planen, beginnend mit denen, die einen Verkauf stoppen oder eine Sanktion auslösen könnten.
Legen Sie schließlich einen Rhythmus fest: überwachen, der Leitung berichten und jemanden mit der Beobachtung neuer Texte und geschäftlicher Änderungen betrauen.
Ein Praxisbeispiel
Ein Anbieter von Zahlungssoftware mit 80 Mitarbeitenden listet 46 Pflichten auf: die DSGVO, Anforderungen aus DORA, die seine Bankkunden weitergeben, und Vertragsklauseln. Seine vierteljährliche Überprüfung der Zugriffsrechte bedient sechs davon; sie wird zu einer einzigen Maßnahme mit einem Verantwortlichen und einer Aufzeichnung.
Die erste Gap-Analyse findet neun Lücken. Die beiden, die an einen Kundenvertrag gebunden sind, werden zuerst geschlossen.
Bewährte Praktiken
- Führen Sie ein einziges Register der Pflichten, mit Quelle und Verantwortlichem für jede.
- Legen Sie Nachweise ab, sobald sie entstehen. Sie im Monat vor einem Audit zu rekonstruieren, kostet weit mehr.
- Geben Sie der Leitung regelmäßig einen kurzen Überblick über offene Lücken und überfällige Maßnahmen.
- Beauftragen Sie eine Person, die Änderungen der Texte zu verfolgen, damit die Aufgabe einen Platz hat.
Häufige Fehler
- Sich nur auf das jährliche Audit vorzubereiten, was elf Monate Abdriften lässt.
- Die gesamte Compliance einer Person zu übertragen, die keinen Prozess verantwortet. Sie läuft am Ende anderen hinterher, ohne entscheiden zu können.
- Eine Richtlinie als Nachweis zu zählen. Ein unterschriebenes Dokument zeigt eine Absicht, und ein Auditor wird die Praxis sehen wollen.
- Verträge zu übersehen. Kundenklauseln gehen oft weiter als das Gesetz, und manchmal hat sie nur der Vertrieb gelesen.
Fragen
- Was ist der Unterschied zwischen Compliance und Governance?
- Governance ist die Art, wie ein Unternehmen sich steuert und Entscheidungen trifft. Compliance ist der Teil, der sicherstellt, dass es seine Pflichten erfüllt.
- Ist Compliance-Management dasselbe wie eine Zertifizierung?
- Nein. Ein Zertifikat deckt eine Norm und einen Anwendungsbereich ab. Compliance-Management deckt alle Pflichten ab, und für viele gibt es gar kein Zertifikat.
- Wer ist im Unternehmen für Compliance verantwortlich?
- Die Leitung bleibt verantwortlich. Eine Compliance-Verantwortliche koordiniert, und jeder Prozessverantwortliche erfüllt die Pflichten seines Bereichs.
- Ist ISO 37301 zertifizierbar?
- Ja. Sie enthält Anforderungen, und Zertifizierungsstellen auditieren danach.
- Womit sollte ein kleines Unternehmen beginnen?
- Mit der Liste seiner Pflichten und ihrer Verantwortlichen, ausgehend von dem, was einen Verkauf stoppen oder eine Sanktion auslösen kann.