Titel
In Deutschland trägt diese internationale Norm den Titel: DIN ISO 37301 – Compliance-Managementsysteme – Anforderungen mit Anleitung zur Anwendung [1]. Im allgemeinen Sprachgebrauch ist die Bezeichnung ISO 37301 üblich, so auch in diesem Werk.

Aktuelle Ausgabe
Die aktuelle Ausgabe dieser internationalen Norm aus dem Jahr 2021 liegt momentan in englischer Fassung vor. Die ISO 37301 löst die ISO 19600 aus dem Jahr 2014 ab.

Anwendungsbereich und Zertifizierbarkeit
Die ISO 37301 enthält Anforderungen für den Aufbau, die Entwicklung, die Implementierung, die Bewertung, die Aufrechterhaltung und die Verbesserung eines effektiven Compliance-Managementsystems. Sie ist auf Unternehmen und Organisationen aller Art anwendbar, unabhängig von ihrer Branche, Größe und dem Portfolio, das sie bereitstellen, und davon, ob es sich um eine öffentliche, private oder gemeinnützige Organisation handelt. Für die Norm ist anders als noch in der ISO 19600 eine Zertifizierung vorgesehen.

Ziel der Norm
In der ISO 37301 wird darauf aufmerksam gemacht, dass ein effektives Compliance-Managementsystem im Unternehmen den Nachweis seiner Verpflichtung zur Einhaltung von relevanten Vorgaben ermöglicht. Dies sind Gesetze einschließlich legislativer Anforderungen, Industrievorschriften und Organisationsnormen, aber auch beste Praktiken, ethische Grundsätze und Erwartungen sowie Normen der guten Unternehmensführung. Wichtig ist, dass dazu alle möglichen relevanten Bereiche identifiziert werden, in denen Compliance-Risiken liegen können. Tabelle 1 zeigt wichtige relevante Compliance-Risikobereiche.

Rechtlicher Kontext
Eine grundsätzliche Pflicht zur Implementierung eines Compliance-Managementsystems besteht in Deutschland nicht. Gleichwohl gibt es im Gesellschaftsrecht Vorgaben, die eine systematische Auseinandersetzung mit Compliance-Themen nahelegen: So unterliegt bei einer Aktiengesellschaft der Vorstand, bei einer GmbH die Geschäftsführung gemäß § 93 Abs. 1 Aktiengesetz (AktG) bzw. § 43 Abs. 1 GmbH-Gesetz (GmbHG) einer allgemeinen Sorgfaltspflicht. Diese fordert organisatorische Maßnahmen, um sicherzustellen, dass das Unternehmen und seine Mitarbeiter nicht gegen rechtliche Vorgaben verstoßen. Gemäß § 91 Abs. 2 AktG ist zudem das Compliance-Management als Teil des Risikomanagements zu sehen. Analoges gilt für GmbHs.

Anhang zur Norm
Die ISO 37301 enthält im Anhang A eine Anleitung, in der Ansätze und Arten von Maßnahmen genannt werden, die bei der Implementierung eines Compliance-Managementsystems herangezogen werden können. Die Anleitung bezieht sich auf alle zehn Hauptabschnitte der Norm. Gemäß der Norm sollen die vom Unternehmen eingeleiteten Schritte im Hinblick auf deren Art und Ausmaß von Konformitätsrisiken angemessen sein, damit die Compliance-Verpflichtungen erfüllt werden können.

Veränderungen gegenüber der ISO 19600
Ein Schwachpunkt bei der Vorgängernorm ISO 19600 bestand darin, dass sie zunächst nicht für Zertifizierungszwecke vorgesehen war. Dies soll sich mit der Veröffentlichung der ISO 37301 ändern. So werden Unternehmen künftig die Möglichkeit haben, durch eine Zertifizierung die Umsetzung eines wirksamen Compliance-Managementsystems nachzuweisen. Daher enthält die ISO 37301 gegenüber der Vorgängernorm ISO 19600 keine Empfehlungen mehr, sondern Anforderungen im Sinne von „Soll”- und „Muss”-Bestimmungen für ein wirksames Compliance-Managementsystem. Inhaltlich sind die Anforderungen jedoch eng an die Empfehlungen der ISO 19600 angelehnt. Es kam lediglich zu einigen redaktionellen Änderungen. Darüber hinaus wurden die in der ISO 19600 in den jeweiligen Bereichen enthaltenen Beispiele bei der ISO 37301 in eine Anlage A verschoben.

Bezug zu anderen Managementsystem-Normen
Da sich die Gliederung der ISO 37301 an der High Level Structure (HLS) orientiert, ist die Norm, insbesondere wenn es um die Erweiterung des Compliance-Managementsystems in Richtung Integriertes Managementsystem (IMS) geht, mit folgenden Normen kompatibel, deren Gliederung ebenfalls an der HLS ausgerichtet ist:

Prozessmodell der ISO 37301
Ein Compliance-Managementsystem nach ISO 37301 basiert auf einem schalenförmigen Prozessmodell. Den Kern des Modells bilden ineinandergreifende Führungs-, Planungs- und Unterstützungsprozesse. Dieser Kern wird umgeben von den Compliance-Managementsystemelementen „Compliance-Verpflichtungen”, „Compliance-Risikobeurteilung”, „Compliance-Politik”, „Schulung und Kommunikation” und „Leistungsbewertung”. Die äußere Schale bildet ein Regelkreis, der sich von der Erstellung über die Entwicklung, Umsetzung, Bewertung und Aufrechterhaltung bis hin zur kontinuierlichen Verbesserung des Compliance-Managementsystems erstreckt. Abbildung 1 zeigt das Prozessmodell der ISO 37301.

Struktur der ISO 37301
Gemäß der HLS besteht die ISO 37301 aus zehn Hauptabschnitten, wobei die inhaltlichen Anforderungen der Norm in den Hauptabschnitten 4 bis 10 dargelegt werden.

Compliance-Kultur
Ein Schwerpunkt der Norm liegt auf der Etablierung, also der Entwicklung, Aufrechterhaltung und Förderung einer Compliance-Kultur durch die oberste Leitung. Gemäß Anhang A der ISO 37301 können die folgenden Faktoren die Entwicklung einer Compliance-Kultur unterstützen:

Compliance-Funktion
Ferner fordert die ISO 37301 die Schaffung einer Compliance-Funktion, in der alle Compliance-Aufgaben wahrgenommen und abgestimmt werden. Dies kann z. B. eine einzelne Person sein, z. B. ein Beauftragter, aber auch ein funktionsübergreifendes Compliance-Komitee, das alle Compliance-Aufgaben im gesamten Unternehmen koordiniert (vgl. hierzu und im Folgenden [1] S. 17 f. u. 37). Die Compliance-Funktion darf auch einer bestehenden Stelle oder Organisationseinheit zugewiesen oder gar ausgegliedert werden. Sie sollte mit angemessenen Befugnissen ausgestattet und unabhängig sein. Die Compliance-Funktion trägt insbesondere Verantwortung für

Whistleblowing-Prozess
Ein wichtiges Element zur Reduzierung von Compliance-Risiken liegt in der Einrichtung eines Whistleblowing-Prozesses, in dem Mitarbeiter Bedenken melden können, wenn ein Verstoß gegen die Compliance-Politik oder Compliance-Verpflichtungen vorliegt oder zu vermuten ist. Gemäß ISO 37301 hat dieser Prozess:

Compliance-Berichterstattung
Des Weiteren fordert die ISO 37301 die Implementierung und Aufrechterhaltung von Prozessen zur Compliance-Berichterstattung, um sicherzustellen, dass:

Vorteile der ISO 37301
Durch die Anwendung der Norm sollen Vorteile erzielt werden: