Es besteht i.d.R. keine Verpflichtung für Unternehmen, ihr CMS (extern) prüfen zu lassen, sodass die Prüfung auch unternehmensintern durchgeführt werden kann.[1] Sofern die Entscheidung für eine externe Prüfung fällt, kommen regelmäßig verschiedene Berufsgruppen und Unternehmen in Betracht; hierzu zählen insbesondere Wirtschaftsprüfer und Rechtsanwälte, aber auch sonstige Personen mit Sachverstand im Bereich von CMS.[2] Auch ist eine Prüfung – intern wie extern – nicht zwingend nach einem bestimmten Standard durchzuführen, wobei in diesem Kapitel ausschließlich eine Prüfung nach IDW PS 980 betrachtet wird. Sofern der Standard nicht allein deswegen zur Anwendung kommt, weil die Prüfung von einem IDW-Mitglied durchgeführt wird, so sollte er doch in seinen Grundzügen auch von anderen sachverständigen Prüfern angewendet werden, da er sich von den sonstigen Prüfungskonzepten durch seinen hohen Standard erheblich unterscheidet.[3] Am Markt sind auch Prüfungsangebote zu finden, die überwiegend oder ausschließlich auf einer Selbstbeurteilung („Self Assessment“) der Unternehmen beruhen; dies erreicht i.d.R. nicht die Qualität einer Prüfung nach IDW PS 980.

111

Unter Beachtung des vorstehend Gesagten ist der Kreis der potenziellen Prüfer weit zu ziehen:

–

Interne Prüfungen eines CMS werden üblicherweise durch die Innenrevision vorgenommen, wobei die Arbeitsgruppe 2 des Forum Compliance & Integrity des Anwenderrats für Wertemanagement die Innenrevision als neutrale Stelle gleichwertig mit externen Prüfern wie Wirtschaftsprüfern und Rechtsanwälten sieht[4] und als Vorteil der Innenrevision anführt, dass diese mit den Prozessen und der Kultur des Unternehmens vertraut sei und daher wertvollere Erkenntnisse und Ergebnisse bringen könne als ein externer Berater bzw. Prüfer.[5] An eine Prüfung des CMS durch die Innenrevision in Anwendung der Grundzüge des Standards sind hinsichtlich Unabhängigkeit und fachlicher Qualifikation die Anforderungen des Institute of Internal Auditors in den Standards IIA 1100 ff. und IIA 1200 ff.[6] zu beachten.

–

Externe Prüfungen können durch Wirtschaftsprüfer oder andere Dritte vorgenommen werden, die den erforderlichen Sachverstand mitbringen bzw. multidisziplinäre Teams zusammenstellen können, um den notwendigen juristischen Sachverstand zur Beurteilung der Abdeckung relevanter Gesetze sowie den betriebswirtschaftlichen Sachverstand in Hinsicht auf Prozessabläufe und Organisationsstrukturen abzudecken.[7] Der Standard verlangt bereits bei der Auftragsannahme die Prüfung, ob die notwendigen Fach- und Branchenkenntnisse sowie Erfahrungen mit den einschlägigen rechtlichen Anforderungen vorhanden sind.[8] Der Standard sieht vor, dass zur Abdeckung besonderer Anforderungen (z.B. bei IT-gestützten Bestandteilen des CMS) und insbesondere für die durch die Prüfung abzudeckenden Rechtsgebiete Spezialisten hinzuzuziehen sind.[9] Insofern wird die Prüfung im Regelfall durch multidisziplinäre Teams von Wirtschaftsprüfern und Rechtsanwälten, fallweise ergänzt durch weitere Spezialisten, durchgeführt werden.[10] Der zwischenzeitlich von einigen Rechtsanwälten unternommene Versuch, im Rahmen von Fachartikeln Lobbyarbeit zu betreiben und ausschließlich Rechtsanwälten die Kompetenz zur Prüfung eines CMS zuzuweisen,[11] ist von der Unternehmenspraxis wie von der Literatur[12] inzwischen als durchscheinend und untauglich zurückgewiesen worden. Auch die Frage, ob der Abschlussprüfer eines Unternehmens auch dessen CMS nach dem Standard prüfen darf, kann unter Beachtung der gesetzlich und berufsrechtlich anzulegenden Unabhängigkeitsregeln bejaht werden.[13]

Anmerkungen

[1]

Der Banken-, Versicherungs- und Wertpapiersektor wird hier nicht betrachtet. Daneben gibt es einige Branchenstandards wie das „Pflichtenheft zum Compliance Management in der Immobilienwirtschaft“ des Initiativkreises Corporate Governance in der deutschen Immobilienwirtschaft e.V., die eine externe Auditierung des CMS vorsehen; abrufbar unter www.immo-initiative.de/zertifizierung/pflichtenheft/.

[2]

Vgl. Forum Compliance & Integrity Thesenpapier/Whitepaper „Prüfung von Compliance-Management-Systemen”, Stand: Dezember 2012, abrufbar unter www.dnwe.de/261.html.

[3]

Vgl. Withus/Hein CCZ 2011, 132. Auszunehmen sind die Hinweise des Standards auf den Berufsstand des Wirtschaftsprüfers und die daran geknüpften direkten Berufspflichten.

[4]

Vgl. Forum Compliance & Integrity S. 6 f.

[5]

Vgl. Forum Compliance & Integrity S. 7.

[6]

Abrufbar unter https://na.theiia.org/standards-guidance/mandatory-guidance/Pages/Standards.aspx.

[7]

Vgl. Withus/Hein CCZ 2011, 131 f.

[8]

IDW PS 980 Tz. 25 f.

[9]

IDW PS 980 Tz. 25, 26, 32, 49, A38.