Compliance Management: National und international Gesetze einhalten

Unter dem Begriff Compliance Management laufen sämtliche Aktivitäten zusammen, die ein Unternehmen ergreift, um gesetzeskonform wirtschaftlich zu handeln. Auf übergeordneter Ebene ist das Compliance Management in Unternehmen dafür verantwortlich, dass Mitarbeiter und die Unternehmensführung interne sowie externe Regeln einhalten. Dafür etabliert ein Unternehmen zum Beispiel einen für alle geltenden Corporate Governance Kodex. Anders ausgedrückt handelt es sich bei Compliance Management also um die Verwaltung von Rechtsnormen im gesamten Unternehmen.

Eingebunden sind alle Abteilungen, darunter:

• Legal / Rechtsabteilung ist verantwortlich für das Risikomanagement und die rechtliche Absicherung unternehmerischer Entscheidungen.
• Procurement / Einkauf achtet auf die Einhaltung von Lieferkettengesetzen.
• Finance / Finanzen sorgt für die ordnungsgemäße Buchführung und beachtet gesetzliche Aufbewahrungsfristen von Belegen.
• HR / Personalwesen schützt personenbezogene Daten von Mitarbeitern und sorgt für die Einhaltung datenschutzrechtlicher Vorgaben.

Internes vs. externes Compliance Management

Compliance-Bereiche unterteilen sich im Wesentlichen in intern und extern:

• Internes Compliance Management: Einhaltung von unternehmensinternen Regeln, Richtlinien und ethischen Standards – zum Beispiel Code of Conduct, Verhaltenskodex, Unternehmenskultur oder Social-Responsibility-Leitlinien, Datenschutzrichtlinien oder Anti-Korruptionsrichtlinien
• Externes Compliance Management: Einhaltung von länder- und branchenspezifischen Anforderungen – zum Beispiel Gesetze, Zertifizierungen oder regulatorische Anforderungen wie die DSGVO

Ziele im Compliance Management

Das Compliance Management beschränkt sich nicht allein auf die Einhaltung gesetzlicher Vorgaben. Es verfolgt darüber hinaus strategische Ziele, die wesentlich zur Stabilität und Integrität eines Unternehmens beitragen:

• Risiken minimieren: Durch Überwachungsmechanismen von Compliance-Prozessen identifizieren Unternehmen potenzielle Regelverstöße frühzeitig und schützen sich so vor rechtlichen Strafen.
• Markenintegrität schützen: Compliance-Maßnahmen sichern das Vertrauen von Kunden, Mitarbeitenden, Investoren und der Öffentlichkeit – und stärken das Image des Unternehmens.
• Unternehmenskultur stärken: Interne Richtlinien fördern ein integres Arbeitsumfeld mit Fokus auf ethisches und verantwortungsvolles Handeln.

Aufgaben im Compliance Management

Um die Compliance-Ziele umzusetzen, überwachen Compliance Manager eine Organisation also durchgehend, identifizieren Risiken und setzen Maßnahmen um. Das sind die Aufgaben im Compliance Management:

• Richtlinien entwickeln und verankern: Erstellung und Implementierung unternehmensweiter Regelwerke, die interne Vorgaben ebenso wie externe Anforderungen berücksichtigen.
• Prozesse überwachen und kontrollieren: Regelmäßige Audits stellen sicher, dass geltende Vorschriften im operativen Alltag eingehalten werden.
• Mitarbeiter sensibilisieren: Schulungen und Awareness-Maßnahmen fördern das Verständnis für Compliance-Themen in allen Unternehmensbereichen.
• Dokumentieren und berichten: Lückenlose Erfassung aller Compliance-Aktivitäten sowie Erstellung von Berichten für das Management und externe Prüforgane.

Wenn Ihre Organisation über Landesgrenzen hinweg tätig ist, müssen Sie sich nicht nur an nationale, sondern auch an internationale Gesetze halten. Die Anforderungen und Maßnahmen im Compliance Management können sich dabei von Land zu Land stark unterscheiden. Besonders große Unterschiede bestehen oft bei den Aufbewahrungsfristen für Geschäftsdokumente, den Vorgaben zur E-Rechnungspflicht, den Datenschutzbestimmungen und den IT-Standards.

Übrigens: Die neue ViDA-Richtlinie (VAT in the Digital Age) trägt dazu bei, Compliance-Risiken auf EU-Ebene zu minimieren. Sie vereinheitlicht das Mehrwertsteuersystem europaweit und vereinfacht so steuerliche Prozesse im Binnenmarkt.

Aufbewahrungsfristen

Aufbewahrungsfristen von Dokumenten definieren, wie lange Unternehmen bestimmte Unterlagen wie Verträge, Belege oder Personaldaten aufbewahren müssen:

• Europäische Union: Innerhalb der EU unterliegen Aufbewahrungsfristen nationalen Regelungen und unterscheiden sich daher je nach Mitgliedstaat. In Deutschland schreibt die Abgabenordnung beispielsweise vor, Handels- und Geschäftsbriefe sechs Jahre sowie Buchungsbelege und Jahresabschlüsse zehn Jahre revisionssicher zu archivieren. In Italien hingegen gilt eine einheitliche Aufbewahrungsfrist von zehn Jahren für steuerlich relevante Dokumente ab dem Ausstellungsdatum.
• USA: Laut dem Internal Revenue Service sind Steuerunterlagen mindestens sieben Jahre aufbewahrungspflichtig. Für bestimmte Unterlagen können Fristen länger ausfallen.
• UK: Die meisten Aufbewahrungsfristen liegen gemäß HM Revenue & Customs (HMRC) bei sechs Jahren.

Compliance-Vorgaben betreffen hier vor allem Abteilungen wie Finance und HR. Die Finanzabteilung ist zum Beispiel verpflichtet, Rechnungen und Belege über die Aufbewahrungsfristen hinweg revisionssicher zu archivieren. HR-Mitarbeiter müssen Mitarbeiterdokumente wie Personalakten datenschutzkonform verwahren und nach Ablauf der Fristen löschen. Wie Dokumente während der Aufbewahrungsfristen im Unternehmen zu managen sind, bestimmen weitere nationale Gesetze – wie die Grundsätze der ordnungsmäßigen Buchhaltung (GoBD) in Deutschland.

Gesetze der E-Rechnungspflicht

Weltweit verpflichten Gesetzgeber Unternehmen zunehmend zur elektronischen Rechnungsverarbeitung. Finance-Abteilungen müssen daher sicherstellen, dass sie E-Rechnungen nicht nur empfangen und gesetzeskonform archivieren, sondern in naher Zukunft auch elektronisch ausstellen können. Die konkreten Anforderungen variieren je nach Land.

EU: Die Norm EN 16931 legt den einheitlichen Standard für die elektronische Rechnungsstellung an öffentliche Auftraggeber innerhalb der EU fest. Im Rahmen der Digitalisierungsstrategie plant die EU-Kommission, die E-Rechnungspflicht künftig auch auf den B2B-Bereich auszuweiten. EU-Mitgliedstaaten sind verpflichtet, diese Vorgaben in nationales Recht zu überführen. In Deutschland wurde die E-Rechnungspflicht für inländische B2B-Umsätze bereits zum 1. Januar 2025 eingeführt – mit gestaffelten Übergangsfristen bis 2028. In Österreich hingegen liegt derzeit noch keine konkrete Gesetzesinitiative vor (Stand: April 2025).

UK: Im Vereinigten Königreich schreibt das Programm Making Tax Digital (MTD) digitale Steuermeldungen und elektronische Rechnungen für Unternehmen mit einem Jahresumsatz von mehr als £85.000 vor.

Datenschutzpflichten

Weltweit regeln Gesetze den Umgang mit personenbezogenen Daten im Rahmen des Datenschutzes:

• EU: Die GDPR (zu Deutsch: Datenschutz-Grundverordnung, DSGVO) regelt Datenschutzbestimmungen auf EU-Ebene.
• UK: Die UK-GDPR ist an die EU-weite GDPR angelehnt.
• USA: In den USA erlässt jeder Bundesstaat eigene Datenschutzverordnungen. So gilt der California Consumer Privacy Act (CCPA) zum Beispiel nur für kalifornische Bürger.

Strenge Anforderungen für den Datenschutz gelten beispielsweise für HR-Abteilungen. Sensible Daten sind unternehmensweit so aufzubewahren, dass nur autorisierte Personen auf sie zugreifen können. Aus diesen Datenschutzpflichten ergeben sich für HR-Abteilungen oft weitere Vorgaben, wie zum Beispiel, Zugangsbeschränkungen auf Plattformen sicherzustellen.

IT-Standards

IT Compliance Manager schützen die digitale Infrastruktur von Unternehmen. Das sind internationale Bestimmungen:

• EU: Die NIS-Richtlinie (Netz- und Informationssicherheit) legt strenge Anforderungen an die Cybersicherheit von Unternehmen fest, insbesondere für kritische Infrastrukturen.
• UK: Großbritannien hat die NIS-Richtlinie nach dem Brexit weitgehend übernommen. Zusätzlich hat die Regierung das Cyber Essentials-Programm eingeführt, das Mindestanforderungen an die IT-Sicherheit für Unternehmen festlegt.
• International: Der ISO/IEC 27001-Standard ist eine weltweit anerkannte Grundlage für IT-Sicherheitsmanagement und wird in zahlreichen Ländern als Standard für IT-Sicherheitsrichtlinien verwendet.

Um den Anforderungen im Compliance Management kontinuierlich und effektiv gerecht zu werden, setzen Unternehmen auf ein Compliance-Management-System (CMS). Dieses erfüllt zwei Zwecke:

1. Compliance-Risikoanalyse: Das CMS erfasst und bewertet unternehmerische Risiken.
2. Compliance-Programm: Das CMS enthält Tools und Funktionen, um Compliance-Vorgaben im Unternehmen umzusetzen.

Wichtig: Nicht immer muss es sich bei einem Compliance-Management-System um eine dedizierte Software für Compliance handeln. Vielmehr müssen Unternehmen sicherstellen, dass sämtliche Systeme im Unternehmen Compliance-konform sind. Dazu zählen Enterprise Content Management (ECM) Systeme, Dokumentenmanagement-Systeme (DMS) oder auch ERP- sowie CRM-Systeme.

Bei einem modernen ECM-System wie Doxis dreht sich beispielsweise alles um Compliance. Es ermöglicht es den Mitarbeitern aller Standorte im gesamten Unternehmen, Informationen zu erfassen, zu verwalten, zu verarbeiten und zu kontrollieren, unabhängig von der Quelle oder dem Format, in dem sie vorliegen. Ein Compliance-System speichert und protokolliert Informationen revisionssicher und macht sie jederzeit sofort verfügbar. Letzteres ist wichtig, um im Falle von Prüfungen auskunfts- und nachweisfähig zu sein.

Zusammengefasst sollte ein wirksames Compliance-Management-System folgende Kernanforderungen erfüllen, um Haftungsrisiken zu minimieren:

• Compliance-Standards und Maßnahmen klar definieren und unternehmensweit umsetzen
• Geschäftsrelevante Dokumente strukturiert organisieren und revisionssicher archivieren
• Aufbewahrungs- und Löschfristen rechtssicher verwalten und konsequent einhalten

Die Einführung eines Compliance-Management-Systems erleichtert es Unternehmen, Prozesse an geltenden Rechten und Richtlinien auszurichten. Solche Systeme können ein regeltreues und pflichtmäßiges Verhalten unter Mitarbeitern fördern – Automatismen und hinterlegte Regeln sorgen dafür, dass sie die Vorgaben mühelos einhalten.

Um eine erhöhte Rechtssicherheit zu gewährleisten, empfehlen wir eine digitale CMS-Lösung wie Doxis. In Doxis managen Sie Dokumentenprozesse lückenlos und erfüllen alle Compliance-Anforderungen – von der Erstellung und Bearbeitung bis zur Prüfung, Genehmigung und Archivierung der Dokumente. Lückenlos bedeutet, dass sich Doxis auch in Drittsysteme wie SAP einbindet. Damit gewährleisten Sie, dass Systeme Compliance-Regeln über zertifizierte Schnittstellen hinweg einhalten, sind jederzeit auskunfts- und rechenschaftsfähig und minimieren das Risiko von Compliance-Verstößen.

Häufige Fragen zum Compliance Management