Glossar / Lexikon

English: Compliance and Internal Audit / Español: Cumplimiento normativo y auditoría interna / Português: Conformidade e auditoria interna / Français: Conformité et audit interne / Italiano: Conformità e revisione interna

Compliance und interne Revision sind zwei zentrale Säulen der Unternehmensführung, die sicherstellen, dass Organisationen gesetzliche Vorgaben einhalten und interne Prozesse effizient sowie risikoarm ablaufen. Während Compliance die Einhaltung von Gesetzen, Richtlinien und ethischen Standards bezeichnet, überprüft die interne Revision systematisch die Wirksamkeit dieser Maßnahmen und deckt potenzielle Schwachstellen auf. Beide Bereiche tragen maßgeblich zur Transparenz, Integrität und langfristigen Stabilität von Unternehmen bei.

Allgemeine Beschreibung

Compliance (von engl. to comply = „einhalten") umfasst alle Maßnahmen, die ein Unternehmen ergreift, um gesetzliche, regulatorische und interne Vorgaben zu erfüllen. Dazu gehören nicht nur nationale Gesetze wie das deutsche Aktiengesetz (AktG) oder das Geldwäschegesetz (GwG), sondern auch internationale Standards (z. B. die EU-Datenschutz-Grundverordnung, DSGVO) sowie unternehmensinterne Richtlinien. Compliance zielt darauf ab, Rechtsverstöße, Korruption oder Reputationsschäden zu vermeiden und gleichzeitig eine Kultur der Integrität zu fördern.

Die interne Revision (auch Internal Audit) ist eine unabhängige Prüfungsfunktion innerhalb eines Unternehmens, die die Effektivität von Risikomanagement, Kontrollsystemen und Governance-Prozessen bewertet. Im Gegensatz zu externen Prüfern (z. B. Wirtschaftsprüfern) agiert sie als Teil der Organisation, berichtet jedoch direkt an die Unternehmensführung oder den Aufsichtsrat, um Neutralität zu gewährleisten. Ihre Aufgaben reichen von der Überprüfung finanzieller Abläufe bis hin zur Analyse von IT-Sicherheitsstandards oder Nachhaltigkeitsinitiativen.

Beide Disziplinen sind eng miteinander verzahnt: Compliance schafft den rechtlichen und ethischen Rahmen, während die interne Revision dessen Umsetzung kontrolliert und Optimierungspotenziale aufzeigt. In vielen Branchen – insbesondere im Finanzsektor (z. B. nach Basel III) oder in der Pharmaindustrie (gemäß Good Manufacturing Practice, GMP) – sind beide Funktionen sogar gesetzlich vorgeschrieben. Moderne Compliance-Systeme nutzen zunehmend digitale Tools wie Compliance-Management-Software (CMS) oder Künstliche Intelligenz (KI), um Verstöße in Echtzeit zu erkennen.

Ein zentrales Dokument für die interne Revision ist der International Professional Practices Framework (IPPF) des Institute of Internal Auditors (IIA), das globale Standards für Prüfungsprozesse definiert. Compliance hingegen orientiert sich oft an branchen-spezifischen Normen, etwa den ISO 37001 (Anti-Korruption) oder ISO 19600 (Compliance-Management). Beide Bereiche unterliegen einer dynamischen Entwicklung, da sich Gesetze (z. B. durch das Lieferkettensorgfaltspflichtengesetz, LkSG) und Technologien (wie Blockchain für transparente Lieferketten) ständig weiterentwickeln.

Rechtliche und normative Grundlagen

Die rechtlichen Anforderungen an Compliance und interne Revision variieren je nach Jurisdiktion und Branche. In Deutschland sind vor allem das Kreditwesengesetz (KWG) für Banken, das Wertpapierhandelsgesetz (WpHG) für Kapitalmärkte und das Strafgesetzbuch (StGB, §§ 299 ff. zu Korruption) relevant. Auf EU-Ebene regeln die Marktmissbrauchsverordnung (MAR) und die Transparenzrichtlinie die Pflichten börsennotierter Unternehmen. Für die interne Revision gelten zusätzlich die EU-Abschlussprüferverordnung (APVO), die Unabhängigkeit und Qualität der Prüfungen sicherstellt.

Internationale Standards wie die OECD-Leitsätze für multinationale Unternehmen oder die UN Global Compact-Prinzipien setzen globale Benchmarks für Compliance, während der Sarbanes-Oxley Act (SOX) in den USA strenge Anforderungen an die interne Kontrolle börsennotierter Firmen stellt. In Deutschland wird die interne Revision oft nach den Deutschen Corporate Governance Kodex (DCGK)-Empfehlungen organisiert, die eine klare Trennung von Prüfungs- und operativen Aufgaben fordern.

Anwendungsbereiche

• Finanzsektor: Banken und Versicherungen unterliegen strengen Compliance-Vorgaben (z. B. MaRisk in Deutschland oder Solvency II in der EU), während die interne Revision Liquiditätsrisiken oder Geldwäscheprävention prüft.
• Gesundheitswesen: Hier sichert Compliance die Einhaltung von GMP- oder HIPAA-Standards (USA), während Audits die Patientendatensicherheit oder Abrechnungsprozesse überwachen.
• Industrie und Produktion: Compliance mit REACH-Chemikalienvorschriften oder Arbeitsschutzgesetzen wird durch Revisionen validiert, die auch Lieferketten auf Kinderarbeit (gemäß ILO-Konventionen) prüfen.
• Öffentlicher Sektor: Behörden müssen Haushaltsordnungen einhalten; interne Revisionen decken hier oft ineffiziente Mittelverwendung oder Verstöße gegen Vergabevorschriften auf.
• IT und Datenschutz: Compliance mit der DSGVO oder ISO 27001 (IT-Sicherheit) wird durch Revisionen überprüft, die z. B. Schwachstellen in Cloud-Systemen identifizieren.

Bekannte Beispiele

• Volkswagen Diesel-Skandal (2015): Ein eklatantes Compliance-Versagen, bei dem manipulierte Abgastests zu Milliardenstrafen führten. Die interne Revision hatte die Betrugssoftware („Defeat Device") nicht rechtzeitig erkannt.
• Wirecard (2020): Der Zusammenbruch des Zahlungsdienstleisters offenkundete massive Mängel in Compliance (Bilanzfälschung) und interner Revision, die jahrelang nicht wirksam intervenierte.
• Siemens-Korruptionsaffäre (2008): Nach Aufdeckung systematischer Schmiergeldzahlungen führte Siemens ein neues Compliance-System ein, das heute als Best Practice gilt.
• Facebook/Cambridge Analytica (2018): Verstöße gegen Datenschutz-Compliance (DSGVO) zeigten, wie interne Audits versagten, Nutzerdaten vor Missbrauch zu schützen.

Risiken und Herausforderungen

• Regulatorische Überlastung: Unternehmen stehen vor der Herausforderung, eine Flut sich ständig ändernder Gesetze (z. B. EU-Taxonomie für Nachhaltigkeit) umzusetzen, was hohe Kosten und Ressourcen bindet.
• Interessenkonflikte: Interne Revisoren können unter Druck geraten, kritische Befunde zu verschweigen, wenn sie hierarchisch zu nah an der operativen Führung angesiedelt sind.
• Digitale Risiken: Cyberangriffe oder KI-basierte Betrugsmuster (z. B. Deepfake-Phishing) erfordern neue Compliance- und Audit-Ansätze, für die oft Fachkräfte fehlen.
• Kulturelle Barrieren: In Ländern mit hoher Korruptionsanfälligkeit (gemäß Corruption Perceptions Index) stoßen Compliance-Programme oft auf Widerstand.
• Kosten-Nutzen-Dilemma: Kleine und mittlere Unternehmen (KMU) scheuen oft die Investitionen in umfassende Compliance-Systeme, obwohl Verstöße existenzbedrohend sein können.

Ähnliche Begriffe

• Corporate Governance: Umfasst die gesamte Unternehmensführung und -kontrolle, wobei Compliance und Revision Teilbereiche darstellen.
• Risikomanagement: Identifiziert und steuert unternehmerische Risiken, während die interne Revision deren Bewältigung prüft.
• Externe Revision (Abschlussprüfung): Wird von unabhängigen Wirtschaftsprüfern durchgeführt (z. B. nach HGB oder IFRS) und fokussiert primär die Rechnungslegung.
• Whistleblowing: Mechanismen, die es Mitarbeitern ermöglichen, Compliance-Verstöße anonym zu melden (z. B. nach der EU-Whistleblower-Richtlinie).
• Ethik-Compliance: Bezieht sich auf die Einhaltung moralischer Standards (z. B. UN Global Compact), die über gesetzliche Pflichten hinausgehen.

Zusammenfassung

Compliance und interne Revision sind unverzichtbare Instrumente moderner Unternehmensführung, die Rechtssicherheit, Effizienz und Vertrauen schaffen. Während Compliance den rechtlichen und ethischen Rahmen setzt, sorgt die interne Revision durch unabhängige Prüfungen für dessen wirksame Umsetzung. Beide Bereiche stehen vor wachsenden Herausforderungen – von der Digitalisierung bis zu globalen Regulierungsanforderungen –, eröffnen aber auch Chancen für transparente und resilientere Organisationen. Erfolgreiche Unternehmen integrieren Compliance und Revision strategisch in ihre Prozesse, um nicht nur Strafen zu vermeiden, sondern auch nachhaltige Wettbewerbsvorteile zu generieren.

--