Compliance vs. Non-Compliance: Definitionen, Unterschiede und was auf dem Spiel steht

…

Was ist der Unterschied zwischen Compliance und Non-Compliance?

Compliance bedeutet, dass ein Unternehmen die für seine Tätigkeit geltenden Gesetze, Vorschriften, Standards und internen Richtlinien einhält. Non-Compliance bezeichnet die Nichteinhaltung dieser Vorgaben, beispielsweise durch eine versäumte Einreichung, eine überschrittene Frist oder eine Aktivität, die gegen geltende regulatorische Anforderungen, vertragliche Verpflichtungen oder interne Governance-Vorgaben verstößt.

Was bedeutet Compliance in Unternehmen?

Compliance bezeichnet die fortlaufende Ausrichtung der Aktivitäten einer Organisation an ihren gesetzlichen, regulatorischen und internen Verpflichtungen. Sie wird in den täglichen Abläufen verankert und durch Überwachung, Dokumentation und klare Zuständigkeiten gesteuert.

Für interne Rechts- und Governance-Teams umfasst Compliance mehrere miteinander verbundene Verpflichtungsbereiche:

• Gesetzliche Compliance: Gesellschaftsrecht, Arbeitsrecht, Korruptionsbekämpfung und gesetzlich vorgeschriebene Einreichungen
• Regulatorische Compliance: Branchenspezifische Vorgaben von Institutionen wie der BaFin, der Europäischen Zentralbank oder Datenschutzaufsichtsbehörden
• Vertragliche Compliance: Einhaltung der in Lieferanten-, Kunden- und Kooperationsverträgen festgelegten Bedingungen und Fristen
• Compliance im Rahmen der internen Governance: Einhaltung der vom Vorstand oder Aufsichtsrat genehmigten Richtlinien, Vollmachtsregelungen und ethischen Standards

Ein Unternehmen kann die Anforderungen der DSGVO erfüllen und gleichzeitig bei seinen internen Governance-Prozessen Mängel aufweisen. Compliance umfasst mehrere Verpflichtungsebenen, die je nach Rechtsordnung unterschiedlich ausfallen und parallel gesteuert werden müssen.

Welche Compliance-Rahmenwerke gelten für Ihre Branche?

Die regulatorischen Rahmenwerke unterscheiden sich je nach Branche erheblich. Die folgende Tabelle ordnet den wichtigsten Wirtschaftszweigen ihre zentralen Compliance-Anforderungen zu:

Branche	Wichtige Rahmenwerke
Finanzdienstleistungen	KWG, WpHG, MiFID II, CRR/CRD, GwG
Gesundheitswesen	DSGVO, BDSG, SGB V, MPDG, MDR
Alle Branchen in der EU	DSGVO, EU AI Act, NIS2, CSRD
Börsennotierte Unternehmen	HGB, AktG, MAR, WpHG sowie BaFin-Melde- und Publizitätspflichten
Unternehmen, die Kartenzahlungen abwickeln	PCI DSS

Für multinationale Unternehmen ist die Aufgabe besonders anspruchsvoll. Sie steuern kein einzelnes Compliance-Programm, sondern Dutzende Programme in verschiedenen Rechtsordnungen, mit unterschiedlichen Fristen, Sprachen und Berichtspflichten.

Was ist Non-Compliance?

Non-Compliance bezeichnet jede Nichteinhaltung einer regulatorischen, gesetzlichen, vertraglichen oder internen Vorgabe. Das kann eine einzelne versäumte Einreichung sein, ein Datenverarbeitungsprozess, der aktuelle Anforderungen der DSGVO nicht mehr erfüllt, oder ein Beschluss des Aufsichtsrats, der ohne die erforderliche Beschlussfähigkeit gefasst wurde.

Die Bandbreite reicht von kleineren Verfahrenslücken bis hin zu Verstößen, die für Geschäftsführer, Vorstandsmitglieder oder andere Organmitglieder strafrechtliche Folgen haben können.

Welche Arten von Non-Compliance gibt es?

Non-Compliance wird je nach Schweregrad und Folgen meist in 3 Stufen eingeteilt. Die erforderlichen Maßnahmen und das damit verbundene Risiko hängen davon ab, welcher Stufe ein Fall zuzuordnen ist.

Was sind typische Beispiele für Non-Compliance?

In der Praxis treten in rechtlichen und Governance-Kontexten besonders häufig folgende Ursachen für Non-Compliance auf:

• Fehlende oder unvollständige regulatorische Einreichungen für Tochtergesellschaften in verschiedenen Rechtsordnungen
• Verfahren im Umgang mit Daten, die aktuelle Anforderungen der DSGVO nicht mehr erfüllen
• Entscheidungen des Aufsichtsrats ohne die erforderliche Dokumentation oder Beschlussfähigkeit
• Automatische Vertragsverlängerungen ohne die dafür vorgeschriebene Prüfung
• Praktiken im Umgang mit Mitarbeitenden, die dem eigenen Verhaltenskodex widersprechen

Keiner dieser Fälle setzt eine böswillige Absicht voraus. Meist beginnt ein Verstoß mit einer Prozesslücke, die nicht rechtzeitig erkannt wurde.

Compliance vs. Non-Compliance: Die wichtigsten Unterschiede

Die folgende Tabelle zeigt, wie sich Compliance und Non-Compliance in den für Rechts- und Governance-Teams wichtigsten Bereichen unterscheiden:

	Compliance	Non-Compliance
Definition	Erfüllung aller erforderlichen gesetzlichen, regulatorischen und internen Verpflichtungen	Nichteinhaltung einer oder mehrerer dieser Verpflichtungen
Ursache	Strukturierte Prozesse, geschulte Mitarbeitende und regelmäßige Prüfungen	Prozesslücken, mangelhafte Kontrollen oder unzureichende Dokumentation
Erkennung	Interne Überwachung, Selbstprüfung oder frühzeitige Kontrolle	Externe Prüfung, aufsichtsrechtliche Inspektion oder Vorfall
Folgen	Geringeres Risiko, bessere operative Kontrolle und Vertrauen der Stakeholder	Finanzielle Sanktionen, rechtliche Schritte und Reputationsschäden
Erforderliche Abhilfe	Laufende Pflege und Aktualisierung	Korrektur- und Vorbeugemaßnahmen (CAPA)
Sichtbarkeit für das Aufsichtsgremium	Regelmäßige Compliance-Berichte	Eskalation und Management von Vorfällen

Warum kommt es zu Non-Compliance?

Non-Compliance entsteht selten durch die bewusste Missachtung von Regeln. Häufiger liegen strukturelle Ursachen zugrunde: unklare Zuständigkeiten, veraltete Prozesse oder regulatorische Änderungen, die niemand verfolgt hat. Unternehmen mit anhaltenden Compliance-Problemen weisen meist mindestens eine der folgenden Ursachen auf:

• Fehlende Zuständigkeit: Wenn niemand ausdrücklich für eine Compliance-Verpflichtung verantwortlich ist, bleibt sie leicht unbeachtet.
• Unzureichende Schulungen: Mitarbeitende wenden veraltete Verfahren an, weil sie nicht über geänderte Anforderungen informiert wurden.
• Mangelhafte Dokumentation: Prozesse werden zwar praktisch umgesetzt, sind aber nicht schriftlich festgehalten. Genau solche Lücken entdeckt eine Prüfung.
• Übersehene regulatorische Änderungen: Neue Gesetze oder aktualisierte Standards werden nicht erfasst, weil eine systematische Überwachung fehlt.
• Verteilte Systeme: Compliance-Daten liegen in E-Mails, Tabellen und gemeinsam genutzten Laufwerken statt in einem zentralen, zugänglichen System.

Vorsätzliche und unbeabsichtigte Non-Compliance: Warum die Unterscheidung wichtig ist

Unbeabsichtigte und vorsätzliche Verstöße haben unterschiedliche rechtliche Folgen und erfordern jeweils andere Reaktionen der Organisation.

Vorsätzliche Non-Compliance liegt vor, wenn eine Organisation bewusst gegen eine Vorschrift verstößt. Eine frühzeitige freiwillige Offenlegung, umfassende Kooperation mit den zuständigen Behörden und wirksame Abhilfemaßnahmen können sich bei der Bewertung eines Verstoßes strafmildernd auswirken. Welche Folgen dies konkret hat, hängt vom Einzelfall und vom anwendbaren Recht ab.

Unbeabsichtigte Non-Compliance kommt häufiger vor und lässt sich meist leichter beheben. Solche Verstöße entstehen, wenn die internen Systeme einer Organisation mit den regulatorischen Anforderungen nicht Schritt halten. Für Rechts- und Governance-Teams besteht die Aufgabe darin, Prozesse aufzubauen, die Lücken unabhängig von der Absicht erkennen, bevor daraus Verstöße werden.

Welche Folgen hat Non-Compliance?

Non-Compliance kann finanzielle, rechtliche, reputative und operative Folgen haben, die sich schnell verschärfen. Die Kosten gehen über Bußgelder hinaus. Unter bestimmten Voraussetzungen können auch Geschäftsführer, Vorstandsmitglieder oder andere Organmitglieder persönlich haften.

Rechtliche und finanzielle Sanktionen

Aufsichtsbehörden setzen die Durchsetzung von Vorschriften aktiv ein. Die finanziellen Risiken unterscheiden sich je nach Regelungsbereich, können jedoch in allen wichtigen Compliance-Rahmenwerken erheblich sein:

• DSGVO: Bußgelder von bis zu €20 million oder 4% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Gesundheitswesen: Verstöße gegen die DSGVO, das BDSG, das SGB V oder medizinprodukterechtliche Vorgaben können Bußgelder, aufsichtsrechtliche Maßnahmen und je nach Sachverhalt weitere rechtliche Folgen nach sich ziehen.
• PCI DSS: PCI DSS legt keinen einheitlichen Bußgeldkatalog fest. Die Zahlungsdienstleister und Kartenorganisationen bestimmen mögliche Bußgelder oder sonstige Sanktionen im Rahmen ihrer eigenen Programme.
• Korruptionsbekämpfung nach deutschem Recht: Sanktionen richten sich nach dem jeweiligen Verstoß und können Bußgelder nach dem OWiG sowie strafrechtliche Folgen für beteiligte Personen umfassen. Einzelne Personen können strafrechtlich verfolgt werden.

In vielen Rechtsordnungen können Geschäftsführer und Vorstandsmitglieder für bestimmte Compliance-Verstöße persönlich haften. Maßgeblich sind das anwendbare Recht und die konkreten Umstände des Falls.

Reputationsschäden

Viele aufsichtsrechtliche Maßnahmen und Sanktionen werden öffentlich bekannt gemacht. Umfang, Auffindbarkeit und Dauer der Veröffentlichung unterscheiden sich je nach Regelungsbereich. Der Reputationsschaden bleibt häufig länger bestehen als die finanzielle Belastung.

Kunden wechseln den Anbieter. Institutionelle Anleger ziehen sich zurück. Geschäftspartner verlangen vor Vertragsabschluss zusätzliche Prüfungen. Die Folgen verstärken sich und lassen sich nur schwer beziffern oder rückgängig machen.

Betriebsunterbrechungen

Eine aufsichtsrechtliche Untersuchung zu einem Compliance-Vorfall wartet nicht auf einen passenden Zeitpunkt. Prüfungen, Anordnungen zur Sicherung von Dokumenten und behördliche Verfahren binden über Monate hinweg erhebliche Kapazitäten in Rechtsabteilung und Management.

Bei Unternehmen mit komplexen Tochtergesellschaftsstrukturen kann ein Compliance-Fehler in einer Rechtsordnung Prüfungen in der gesamten Unternehmensgruppe auslösen. Aus einer Lücke bei einer einzelnen Einreichung wird schnell eine Untersuchung in mehreren Märkten.

Sicherheits- und Betrugsrisiken

Der „2024 Report to the Nations“ der ACFE kommt zu dem Ergebnis, dass Unternehmen schätzungsweise 5% ihres Jahresumsatzes durch Wirtschaftskriminalität verlieren. Der Medianverlust pro Fall liegt bei $145,500. Unternehmen mit Maßnahmen zur Betrugsbekämpfung erkannten Betrug deutlich schneller und verzeichneten deutlich geringere Verluste als Unternehmen ohne solche Kontrollen.

Schließen Sie Ihre Compliance-Lücken, bevor eine Aufsichtsbehörde es tut

DiliTrust bündelt Verträge, Gesellschaften, Aufsichtsratsbeschlüsse und regulatorische Verpflichtungen in einer prüffähigen Plattform.

DiliTrust Suite entdecken →

Warnsignale für mögliche Non-Compliance

Fünf Anzeichen gehen Compliance-Verstößen häufig voraus. Wenn eines davon auf Ihre Organisation zutrifft, besteht bereits eine Compliance-Lücke oder sie wächst gerade:

• Keine zentrale Zuständigkeit für das Compliance-Tracking: Verpflichtungen sind auf verschiedene Abteilungen verteilt, ohne dass eine zentrale Verantwortung besteht.
• Compliance-Updates erfolgen erst bei konkretem Anlass: Sie erfahren von regulatorischen Änderungen durch behördliche Maßnahmen oder Nachrichtenmeldungen und nicht durch einen systematischen Überwachungsprozess.
• Dokumentation ist uneinheitlich oder schwer auffindbar: Wenn Sie Nachweise für einen Prozess benötigen, kostet die Suche viel Zeit oder die Dokumentation existiert nicht.
• Schulungen finden selten statt: Mitarbeitende werden bei ihrem Einstieg zu Compliance-Anforderungen geschult, danach jedoch kaum noch, obwohl sich die regulatorischen Vorgaben laufend ändern.
• Daten zu Tochtergesellschaften und Gesellschaften sind verteilt: Informationen zu juristischen Einheiten liegen in Tabellen, E-Mail-Verläufen und lokalen Einreichungsunterlagen statt in einem zentral gesteuerten System.

Wenn 3 oder mehr dieser Punkte zutreffen, sollten Sie gezielt prüfen, wo die Compliance-Lücke liegt.

Wie Sie ein Compliance-Programm aufbauen, das Non-Compliance verhindert

Ein Compliance-Programm umfasst Richtlinien, Prozesse, Überwachungsmechanismen und Governance-Kontrollen, mit denen eine Organisation ihre Verpflichtungen dauerhaft erfüllen kann. Wirksame Programme haben 5 gemeinsame Merkmale. Fehlt eines davon, entstehen meist die ersten Lücken:

1. Klare Zuständigkeiten: Für jede Compliance-Verpflichtung gibt es eine namentlich benannte verantwortliche Person. Sie überwacht die Anforderungen, pflegt die Dokumentation und eskaliert Probleme, bevor daraus Verstöße werden.

2. Klare Richtlinien und Verfahren: Alle Verfahren sind dokumentiert, aktuell und zugänglich. Ändert sich eine Vorschrift, wird die betreffende Richtlinie sofort aktualisiert.

3. Regelmäßige Schulungen: Mitarbeitende werden bei ihrem Einstieg geschult und bei Änderungen der Anforderungen erneut unterwiesen. Die Schulungsnachweise werden gepflegt und können auf Anfrage vorgelegt werden.

4. Frühzeitige Überwachung und interne Prüfungen: Prüfungen finden nach einem festgelegten Zeitplan statt und werden nicht erst durch einen Vorfall ausgelöst. Auch regulatorische Änderungen werden systematisch verfolgt.

5. Korrektur- und Vorbeugemaßnahmen (CAPA): Wird eine Compliance-Lücke durch eine interne Prüfung, einen Beinaheverstoß oder eine externe Rückmeldung festgestellt, dokumentiert ein definierter Prozess die Lücke, analysiert ihre Ursache, setzt eine Korrektur um und verfolgt das Ergebnis nach.

CAPA (Corrective and Preventive Action): Ein formaler organisatorischer Prozess für den Umgang mit einer festgestellten Compliance-Lücke. CAPA umfasst 4 Schritte: die Abweichung erkennen, sie melden und dokumentieren, die Ursache analysieren sowie Abhilfe schaffen und die Folgemaßnahmen nachverfolgen. So bleibt eine einmalige Abweichung ein Einzelfall und entwickelt sich nicht zu einem systemischen Fehler.

Hilft Technologie dabei, Non-Compliance zu verhindern?

Technologie hilft dabei, Compliance-Lücken frühzeitig zu erkennen und Compliance-Management vorausschauend zu steuern. Für komplexe Organisationen ist das der praktikabelste Ansatz, wenn mehrere Gesellschaften und Rechtsordnungen im Blick behalten werden müssen.

Manuelles Compliance-Management lässt sich bei komplexen Unternehmensstrukturen nicht dauerhaft in diesem Umfang betreiben. Wie Gartner im „Hype Cycle for Legal“ feststellt, erwarten Aufsichtsbehörden zunehmend, dass Unternehmen Technologien einsetzen, die Anomalien erkennen, Kontrollen in Echtzeit überwachen und auf Anfrage prüffähige Nachweise bereitstellen.

Der praktische Nutzen liegt in der frühzeitigen Erkennung von Lücken, der automatischen Pflege von Audit Trails und der Transparenz, die Führungskräfte für wirksame Entscheidungen benötigen.

Für Unternehmen mit mehreren Gesellschaften und Aktivitäten in verschiedenen Rechtsordnungen ist Technologie deshalb ein fester Bestandteil der Compliance-Arbeit. Nur so lässt sich eine einheitliche Kontrolle über Strukturen gewährleisten, die kein manueller Prozess in diesem Umfang zuverlässig erfassen kann.

Wie DiliTrust Compliance und Governance unterstützt

Die Erfüllung von Compliance-Verpflichtungen in einer komplexen Organisation erfordert strukturierte Workflows, nachvollziehbare Dokumentation und einen aktuellen Überblick darüber, wie der Stand einzelner Verpflichtungen ist und wo Lücken bestehen. Gute Absichten allein reichen dafür nicht aus.

DiliTrust stellt Rechts- und Compliance-Teams eine zentrale Plattform zur Verfügung, auf der sie Verträge, Aufsichtsratsbeschlüsse, Unterlagen zu Gesellschaften und regulatorische Verpflichtungen in einer sicheren Umgebung verwalten können. Automatisierte Audit Trails dokumentieren jede Handlung, jede Entscheidung und jede Dokumentversion. Wenn eine Aufsichtsbehörde einen Nachweis verlangt, ist er sofort verfügbar.

Konfigurierbare Workflows sorgen dafür, dass Genehmigungen, Einreichungen und Prüfungen fristgerecht erfolgen und Zuständigkeiten klar zugewiesen und nachverfolgt werden.

Für Unternehmen mit Tochtergesellschaften in mehreren Rechtsordnungen, bei denen Compliance-Verstöße häufig mit Lücken bei Einreichungen auf Ebene einzelner Gesellschaften beginnen, bietet das Modul Entity Management von DiliTrust eine zentrale Sicht auf die gesamte Unternehmensstruktur. Der Compliance-Status jeder Tochtergesellschaft, Einreichungsfristen und Governance-Dokumente sind an einem Ort einsehbar und nicht über Tabellen und lokale Teams verteilt.

Weitere Informationen darüber, wie Compliance mit der Governance-Strategie zusammenhängt, finden Sie in den Artikeln „Regulatory Compliance: Der Schlüssel zu einer starken Governance“ und „Information Governance für Rechtsabteilungen: Ein praktischer Leitfaden“.

Häufig gestellte Fragen