Die Verabschiedung des Sarbanes-Oxley Act (SOX) und in jüngerer Zeit des Dodd-Frank-Gesetzes hat die Landschaft der internen Berichterstattung für US-amerikanische Unternehmen grundlegend verändert. Anfangs betrachteten viele Unternehmen Whistleblower-Programme als Compliance-Belastung, als eine weitere regulatorische Auflage, die es abzuhaken galt. Für einen General Counsel, der eine längerfristige Perspektive einnimmt, geht diese Sichtweise jedoch am Kern der Sache vorbei. Ein reiner „Check-the-Box“-Ansatz ist von Natur aus reaktiv. Er mag die Aufsichtsbehörden kurzfristig zufriedenstellen, trägt aber langfristig kaum dazu bei, den Ruf des Unternehmens zu schützen.
Die Aufgabe eines modernen General Counsel besteht darin, den Wandel hin zu einem proaktiven Modell voranzutreiben, bei dem interne Berichtsdaten in Echtzeit als Indikator für den Zustand des Unternehmens genutzt werden. Ein gut geführtes Ethikprogramm deckt Schwachstellen auf, bevor sie zu Krisen werden. In diesem Zusammenhang ist die Rechtsabteilung nicht mehr nur eine Stelle zur Bearbeitung von Beschwerden. Sie wird zu einem strategischen Partner, der dem Führungsteam Kontrolle und Vertrauen vermittelt.
Strategische Berichterstattung an das Board
Gemäß Abschnitt 301 des SOX-Gesetzes hat der Prüfungsausschuss spezifische Verantwortlichkeiten hinsichtlich der Verfahren bei Beschwerden über die Finanzberichterstattung, Rechnungslegungskontrollen und Prüfungsangelegenheiten. Das bedeutet jedoch nicht, dass die Ausschussmitglieder die genauen Einzelheiten jeder Akte kennen müssen. Ihre Aufgabe besteht darin, zu beurteilen, ob das interne Kontrollsystem funktioniert und ob Risiken angemessen gesteuert werden. Berichte an die Unternehmensleitung sollten aggregiert und analytisch sein. Die Vertraulichkeit sowohl der Hinweisgeber als auch der von den Untersuchungen betroffenen Personen muss stets gewahrt werden.
Ein aussagekräftiger Compliance-Bericht für die Unternehmensleitung konzentriert sich auf Muster und nicht auf einzelne Vorfälle. Das Ziel besteht darin, die Daten so aufzubereiten, dass sie Aufschluss über die Nachhaltigkeit des Unternehmens geben.
Dies sind einige der Punkte, die auf der Tagesordnung einer Vorstandssitzung stehen sollten:
| KPI | Was damit gemessen wird | Mehrwert für das Board |
|---|---|---|
| Quote begründeter Meldungen | Anteil der Meldungen, die sich nach der Untersuchung als begründet erweisen | Zeigt die Qualität des Meldekanals und filtert unbegründete Meldungen heraus |
| Meldungsvolumen nach Kategorie | Bereiche mit den meisten Meldungen | Hilft, Ressourcen und Schulungen gezielt zu planen |
| Reaktionszeit | Anzahl der Tage vom Eingang der Meldung bis zur ersten wesentlichen Maßnahme | Zeigt die Reaktionsfähigkeit und operative Leistungsfähigkeit der Rechtsabteilung |
| Vergeltungsindex | Beschwerden des ursprünglichen Meldenden nach Abgabe der Meldung | Gibt Hinweise auf das Vertrauen in die Ethikkultur und auf mögliche Vergeltungsmaßnahmen |
KPI auf Vorstandsebene für Ihr internes Berichtswesen
Audit Trails sind die beste Absicherung für den General Counsel
Die Rückverfolgbarkeit ist ein entscheidender Aspekt der Rechts- und Unternehmensführung, auch wenn die konkreten Anforderungen je nach Rechtsordnung variieren. In den Vereinigten Staaten muss der General Counsel, falls die SEC, das DOJ oder ein Bundesgericht Ermittlungen gegen Ihr Unternehmen durchführt, in jeder Phase Ordnung und Disziplin nachweisen können. Die bloße Behauptung, dass eine interne Untersuchung stattgefunden hat, reicht nicht aus. Sie benötigen dokumentierte Nachweise, aus denen hervorgeht, wie die einzelnen Phasen abgewickelt wurden.
Ein robustes internes Meldesystem protokolliert jede Interaktion in einem manipulationssicheren Datensatz: den Eingang der Meldung, die gesamte Kommunikation mit dem Meldenden sowie die Notizen aus jeder Phase der Untersuchung. Hier kommt es auf spezielle Technologie an. Die Verwaltung von Meldungen über E-Mail-Verläufe oder gemeinsam genutzte Ordner birgt ein erhebliches Sicherheitsrisiko. Speziell entwickelte Matter Management-Software trägt dazu bei, die Beweiskette aufrechtzuerhalten. Sie verringert das Manipulationsrisiko und schützt das Unternehmen im Falle künftiger Rechtsstreitigkeiten oder behördlicher Prüfungen.
Meldungen, Untersuchungen und Maßnahmen zur Risikominderung verknüpfen
Der wahre Wert eines Compliance-Programms liegt darin, den Kreis zu schließen. Ein Bericht sollte niemals allein mit der Erfassung eines Vorfalls oder einer Disziplinarmaßnahme enden. Der Prozess ist erst dann abgeschlossen, wenn die Organisation versteht, warum es zu dem Verstoß gekommen ist. Der General Counsel muss drei entscheidende Phasen miteinander verknüpfen, um ein tragfähiges System aufzubauen:
- Meldungserfassung: Einholung glaubwürdiger Informationen über gesicherte Kanäle von Meldenden, die sich sicher fühlen, sich zu melden.
- Untersuchtung: Objektive Verfahren, bei denen die Grundsätze eines ordnungsgemäßen Verfahrens und die Unschuldsvermutung gewahrt werden.
- Korrekturmaßnahmen: Tatsächliche Prozessänderungen, die verhindern, dass sich derselbe Fehler wiederholt.
Dieser Ansatz ermöglicht es dem GC, dem Vorstand ein Bild von kontrollierten Risiken zu vermitteln. Er zeugt von Widerstandsfähigkeit und der Fähigkeit, Probleme zu erkennen und effizient anzugehen, bevor sie eskalieren.
Ethikprogramme als Baustein guter Corporate Governance
Ein internes Meldesystem ist das Instrument, das es dem General Counsel ermöglicht, objektive Daten in strategische Gespräche einzubringen. Die Betrachtung von Ethikprogrammen aus dieser Perspektive hilft Rechtsabteilungen dabei, in den Mittelpunkt des Unternehmens zu rücken und näher an strategisch wirksame Entscheidungsprozesse heranzurücken, anstatt im Backoffice zu verbleiben.
Ein transparentes internes Meldesystem schafft Vertrauen, die ein Unternehmen aufbauen kann. Ein gut durchdachtes Programm schützt Mitarbeiter, die in gutem Glauben Bedenken äußern. Es hilft außerdem Vorstandsmitgliedern und Führungskräften dabei, nachzuweisen, dass sie gemeldete Bedenken ernst genommen und darauf reagiert und dies dokumentiert haben, was die Einhaltung der geltenden Whistleblower- und internen Kontrollanforderungen gemäß Dodd-Frank und SOX unterstützt. Letztendlich liegt der Wert jedes Whistleblower-Programms in der Fähigkeit des Unternehmens, aus den Meldungen zu lernen und zukünftige Risiken zu minimieren. Das Ziel ist es, den Schritt von der reinen Pflicht zur ethischen Führung zu vollziehen.
Häufig gestellte Fragen
Eine Whistleblower-Hotline ist ein Meldekanal zur Entgegennahme von Hinweisen. Ein Whistleblower-Programm umfasst den gesamten Prozess, einschließlich Fallmanagement, Untersuchungen, Korrekturmaßnahmen, Dokumentation und Berichterstattung an das Board. Das Protokoll einer Hotline allein belegt noch nicht, dass eine Meldung ordnungsgemäß bearbeitet wurde.
Die Berichterstattung an das Board über Whistleblower-Aktivitäten sollte aggregierte Analysen liefern und auf übergreifenden Mustern basieren. Die Aufgabe des Prüfungsausschusses nach SOX besteht darin, zu beurteilen, ob das interne Kontrollsystem funktioniert. Einzelne Fälle müssen dabei nicht auf Board-Ebene entschieden werden.
Die Darstellung detaillierter Falldaten auf Board-Ebene kann die Vertraulichkeit der Hinweisgebenden gefährden und Board-Mitglieder unnötigen rechtlichen und reputationsbezogenen Risiken aussetzen.
Ein Audit Trail in einem Whistleblower-Programm ist eine vollständige, gegen Manipulation geschützte Aufzeichnung aller Maßnahmen vom Eingang einer Meldung bis zum Abschluss des Falls. Er umfasst die ursprüngliche Meldung, sämtliche Kommunikation mit der hinweisgebenden Person, Untersuchungsnotizen, ausgewertete Beweismittel, getroffene Entscheidungen und ergriffene Korrekturmaßnahmen. Alle Einträge werden mit Zeitstempeln und einer dokumentierten Begründung versehen.
