Unternehmensführung
und Compliance

Geprüft werden Gesellschaftsform, Beteiligungsstruktur, Konzernbeziehungen, Börsennotierung, regulierte Branche, Tätigkeitsländer und Führungsmodell. Die Aufgaben- und Berichtslinien zwischen Generalversammlung, Verwaltungsrat, Geschäftsführern, oberster Führungsebene, Ausschüssen und Kontrollfunktionen werden bestimmt.

Die bestehende Satzung, interne Richtlinien, das Organigramm, die Vertretungsordnung und die tatsächliche Entscheidungspraxis werden verglichen. Unterschiede zwischen der Befugnis auf dem Papier und der täglichen Praxis werden im Hinblick auf Verantwortlichkeit, unwirksame Rechtsgeschäfte, Interessenkonflikte und Aufsichtsrisiken berichtet.

Satzung, interne Richtlinie der Generalversammlung, Arbeitsgrundsätze des Verwaltungsrats, Ordnung des Geschäftsführerkollegiums, Richtlinien zu Zeichnung und Vertretung, Aufgabenbeschreibungen der Ausschüsse und Führungsrichtlinien werden erstellt oder aktualisiert.

Die Dokumente sollten gesetzliche Aufgaben und Befugnisse nicht in der Praxis unanwendbar machen; sie sollten mit der Gesellschaftsform und der Eintragungspraxis übereinstimmen. Die Wirkung einer vertraglichen Befugnisverteilung gegenüber Dritten und den Gesellschaftsorganen wird gesondert bewertet.

Befugnis- und Genehmigungsstufen werden für Entscheidungen in den Bereichen Finanzen, Handel, Personal, Beschaffung, Verträge, Rechtsstreitigkeiten, Daten, Technologie und Beziehungen zur öffentlichen Hand festgelegt. Prozesse, in denen eine Person Einleitung, Genehmigung, Zahlung und Erfassung in sich vereint, werden risikobasiert getrennt.

Die Übertragung von Befugnissen hebt die gesetzlich unübertragbaren Aufgaben oder die Überwachungsverantwortung des Leitungsorgans nicht auf. Vollmachten, Unterschriftenverzeichnisse, interne Richtlinien, Bankanweisungen und Systemberechtigungen werden mit derselben Befugnisarchitektur in Einklang gehalten.

Die Übertragung der Geschäftsführung nach Art. 367 des Türkischen Handelsgesetzbuchs (TTK) ist nicht dasselbe wie die Vertretungsbefugnis. Bei der Aktiengesellschaft werden die unübertragbaren Aufgaben nach Art. 375, bei der GmbH nach Art. 625 gesondert geschützt. Die Wirkung interner Befugnisgrenzen gegenüber Dritten erfordert eine eigene rechtliche Prüfung.

Die Pflichten des Leitungsorgans zu Sorgfalt, Treue, Wahrung des Gesellschaftsinteresses, Überwachung, Finanzkontrolle, Risikomanagement, Kapitalverlust, Überschuldung, Buchführung und Berichterstattung werden für das jeweilige Geschäft bewertet.

Ein Beschlussprotokoll wird eingerichtet, damit Entscheidungen auf ausreichender Information beruhen, Tagesordnung und Anlagen rechtzeitig vorgelegt werden, abweichende Meinungen und Vorbehalte ins Protokoll aufgenommen werden und die Umsetzung nachverfolgt wird. Ein Verwaltungsratsbeschluss kann die Verantwortlichkeit für sich allein nicht beseitigen, wenn es an tatsächlicher Überwachung und Nachverfolgung fehlt.

Prüfungsausschuss, Ausschuss für Unternehmensführung, Ausschuss zur Früherkennung von Risiken sowie Vergütungs- und Nominierungsfunktionen werden nach Börsennotierung, Größe und anwendbarer Regulierung des Unternehmens gestaltet.

Mitgliedschaft im Ausschuss, Unabhängigkeit, Aufgabenbeschreibung, Sitzungskalender, Informationszugang, Berichterstattung und Eskalation an den Verwaltungsrat werden schriftlich festgehalten. Die Einrichtung eines Ausschusses überträgt die letztverantwortliche Überwachungspflicht des Verwaltungsrats nicht von selbst.

Strategische, finanzielle, operative, rechtliche, regulatorische, technologische, datenbezogene, personelle und Reputationsrisiken werden nach einer gemeinsamen Methode erfasst. Neben Eintrittswahrscheinlichkeit und Auswirkung werden die Geschwindigkeit des Risikoeintritts, bestehende Kontrollen, die verantwortliche Person, die Toleranz und die Eskalationsschwelle bestimmt.

Risikoaufzeichnungen werden nicht nur als jährliche Präsentation geführt. Kritische Indikatoren, Vorfallmeldungen, Prüfungsfeststellungen und Korrekturmaßnahmen werden dem Leitungsorgan maßvoll und regelmäßig berichtet.

Art. 378 TTK sieht für Gesellschaften, deren Aktien an der Börse gehandelt werden, eine besondere Pflicht zur Einrichtung eines Ausschusses vor. Bei anderen Gesellschaften wird der Fall, dass der Abschlussprüfer dies für erforderlich hält und dem Verwaltungsrat schriftlich mitteilt, gesondert bewertet; dieselbe Einrichtungspflicht wird nicht für alle Gesellschaften unterstellt.

Weisungs-, Informations-, Finanzierungs-, Leistungs-, Daten-, Marken- und Leitungsbeziehungen zwischen Muttergesellschaft, Tochtergesellschaften, Beteiligungen, Gemeinschaftsunternehmen und Zweigniederlassungen werden geprüft. Es wird bestimmt, wie Konzernrichtlinien die gesetzliche Verantwortung und die Entscheidungsbefugnis der Organe der lokalen Gesellschaft beeinflussen.

Für konzerninterne Leistungs- und Kostenverteilung, Datenübermittlung, gemeinsame Beschaffung, Sicherheiten, Liquiditätsmanagement und Berichterstattung wird eine Genehmigungs- und Vertragsordnung aufgebaut. Die Richtlinie einer ausländischen Muttergesellschaft wird nach lokalem Recht angepasst, bevor sie in der Türkei unmittelbar angewendet wird.

Für tatsächliche oder potenzielle Interessenkonflikte zwischen Leitungspersonen, Gesellschaftern, Beschäftigten, Lieferanten, Beratern und eng verbundenen Personen wird eine Ordnung für Offenlegung, Rückzug, unabhängige Bewertung, Genehmigung und Dokumentation geschaffen.

Bei Geschäften mit nahestehenden Personen werden Preis, Bedingungen, Gesellschaftsinteresse, Beschlussquorum, öffentliche Information, Bewertung und Berichtspflichten nach dem Status der Gesellschaft geprüft. Die Offenlegung eines Interessenkonflikts macht das Geschäft nicht automatisch rechtmäßig.

Auskunfts- und Einsichtsrechte, Teilnahme an der Generalversammlung, Stimmrecht, Gewinnanteil, Sonderprüfung, Minderheitenrechte und der Grundsatz der Gleichbehandlung werden in die Führungsstruktur einbezogen. Informationsasymmetrie unter den Gesellschaftern und die Anwendung von Vorrechten werden zusammen mit der Satzung und dem Gesetz bewertet.

Tagesordnung der Generalversammlung, Einberufung, Vertretung, elektronische Teilnahme, Beschlussfassung und Eintragung werden vorbereitet. Während Geschäftsgeheimnisse und personenbezogene Daten geschützt werden, wird eine unnötige Beschränkung der gesetzlichen Informationsrechte der Gesellschafter vermieden.

Geprüft werden die Mitteilung zur Unternehmensführung (Kurumsal Yönetim Tebliği), verpflichtende und freiwillige Grundsätze, Unabhängigkeit im Verwaltungsrat, Ausschüsse, Investorenbeziehungen, Geschäfte mit nahestehenden Personen, gewöhnliche und fortlaufende Geschäfte sowie die Berichterstattung zur Unternehmensführung.

Es wird sichergestellt, dass Compliance-Berichte mit der tatsächlichen Praxis des Unternehmens übereinstimmen. Erläuterungen nach dem Grundsatz „Comply or explain“ bleiben nicht allgemein oder wiederholend; Begründung, Risiko, alternative Praxis und Zukunftsplan werden zutreffend dargelegt.

Anwendungsbereich und Ausnahmen der Mitteilung Nr. II-17.1 der Kapitalmarktaufsicht SPK (Sermaye Piyasası Kurulu), die Konzernzugehörigkeit des Unternehmens und aktuelle Beschlüsse der Behörde werden gemeinsam geprüft. Verpflichtende Grundsätze werden von Grundsätzen unterschieden, die der Offenlegung unterliegen.

Familien-, Gesellschafter- und Leitungsrollen werden getrennt; Ordnungen für Familienrat, Familienverfassung, Verwaltungsrat, professionelles Management, Anteilsübertragung, Nachfolge, Gewinnausschüttung, Beschäftigung und Streitbeilegung werden vorbereitet.

Es wird klar unterschieden, welche Bestimmungen einer Familienverfassung moralische Verpflichtungen sind und welche durch Satzung, Gesellschaftervereinbarung oder Organbeschluss rechtliche Wirkung entfalten. Generationenwechsel, Erbfolge und Fortbestand des Unternehmens werden gemeinsam geplant.

Produkte, Kunden, Lieferanten, Beziehungen zur öffentlichen Hand, Zahlungswege, Länder, Belegschaftsstruktur, Daten, Lizenzen und frühere Vorfälle des Unternehmens werden geprüft. Risiken werden nicht nach Rechtsgebieten, sondern anhand der tatsächlichen Geschäftsprozesse und Berührungspunkte bestimmt.

Das Programm wird aus den Bausteinen Überwachung durch die Leitung, verantwortliche Personen, Richtlinien, Kontrollen, Schulung, Hinweisgebung, Untersuchung, Überwachung, Berichterstattung und Korrekturmaßnahmen aufgebaut. Nicht für jedes Risiko wird dieselbe Kontrolle verwendet; bei Prozessen mit hohem Risiko werden intensivere Kontrollen und Aufzeichnungen angewendet.

Der Ethikkodex schafft einen gemeinsamen Verhaltensrahmen zu Integrität, Interessenkonflikten, Geschenken und Bewirtung, Beziehungen zu Amtsträgern, Vertraulichkeit, Daten, Diskriminierung, Wettbewerb, Unternehmensvermögen, Richtigkeit von Aufzeichnungen und Hinweisgebung.

Richtlinien werden nicht nur als Verbotslisten geschrieben. Genehmigungsstelle, Wert- oder qualitative Grenze, Ausnahme, Aufzeichnung, Beratungskanal, Folge eines Verstoßes und die für die Aktualisierung verantwortliche Person werden angegeben. Bestimmungen globaler Richtlinien, die lokalem Recht widersprechen, werden angepasst.

Beziehungen zum öffentlichen und zum privaten Sektor, Vermittler, Berater, Provisionen, Beschleunigungszahlungen, Geschenke, Bewirtung, Reisen, Spenden, Sponsoring, politische Beiträge sowie Vergabe- und Genehmigungsverfahren werden risikobasiert geprüft.

Kontrollen für die Aufnahme Dritter, Verträge, Zahlungsprüfung, Leistungsnachweis, Genehmigung durch die Leitung und regelmäßige Erneuerung werden eingerichtet. Wo ausländische Rechtsvorschriften zur Bekämpfung der Bestechung anwendbar sein können, wird die Abstimmung mit zuständigen Rechtsfachleuten im jeweiligen Land sichergestellt.

Geprüft wird, ob das Unternehmen nach dem Gesetz Nr. 5549 und den einschlägigen Vorschriften verpflichtet ist; ferner die Pflichten zu Kundenidentifizierung, wirtschaftlich Berechtigten, Risikomanagement, Überwachung, Meldung verdächtiger Transaktionen, fortlaufender Information, Aufbewahrung und Schulung.

Compliance-Programm und Anforderungen an den Compliance-Beauftragten werden nach der verpflichteten Gruppe gestaltet. Die Vertraulichkeit der Meldung verdächtiger Transaktionen und die Regeln, dass eine erfolgte Meldung nicht offengelegt werden darf, werden getrennt von gewöhnlichen Hinweisen und der Berichterstattung an die Leitung behandelt. Die Einzelheiten werden auf der Seite Geldwäsche-Compliance und Finanzermittlungen (Seite derzeit nur auf Türkisch verfügbar) behandelt.

Nach Art. 4/2 des Gesetzes Nr. 5549 darf die Tatsache, dass eine Meldung verdächtiger Transaktionen erfolgt ist, mit Ausnahme der mit der Überwachung der Pflichten beauftragten Prüfer und der Gerichte im Verfahren niemandem offengelegt werden, auch nicht den an der Transaktion Beteiligten. Eine Berichterstattung an die Generalversammlung oder in Berichten an die Leitung hebt diese besondere Vertraulichkeitsregel nicht auf.

Bezüge zu Parteien, Ländern, Produkten, Dienstleistungen, Zahlungen, Banken, Transport und Endverwendung werden bewertet. Neben den Vorschriften in der Türkei werden ausländische Sanktions- und Exportkontrollregeln, die wegen eines Vertrags oder eines grenzüberschreitenden Geschäfts gelten können, mit lokalen Rechtsfachleuten geprüft.

Ein Screening-Ergebnis wie eine Namensähnlichkeit wird nicht als automatischer Verstoß behandelt. Identitätsprüfung, Sanktionsprogramm, Anwendungsbereich, Lizenz, Ausnahme sowie Sperr- oder Meldepflicht werden im konkreten Fall bestimmt.

Kontakte zu Wettbewerbern, Preisgestaltung, Vertrieb, Ausschließlichkeit, Online-Verkauf, Informationsaustausch, Ausschreibungen, Unternehmensvereinigungen, Beschäftigtenmobilität und Risiken einer marktbeherrschenden Stellung werden nach den Prozessen des Unternehmens geprüft.

Eine Botschaft der Leitung, ein Protokoll für Kontakte zu Wettbewerbern, ein Plan für Vor-Ort-Prüfungen, Vertragsprüfung, Schulung, Hinweisgebung und eine interne Prüfungsordnung werden eingerichtet. Die Einzelheiten zu Wettbewerbsverstößen, Untersuchungen der Wettbewerbsbehörde (Rekabet Kurumu) und Fusionskontrolle werden auf der Seite Kartellrecht (Seite derzeit nur auf Türkisch verfügbar) behandelt.

Die Überwachung der Datenverantwortung durch das Leitungsorgan wird eingerichtet mit Dateninventar, Zugriff, Aufbewahrung, Lieferanten, Übermittlung ins Ausland, Verletzungen, Anträgen betroffener Personen und Berichterstattung über technische und organisatorische Maßnahmen.

Der Zweck der Compliance-Überwachung oder einer internen Untersuchung erlaubt keine unbegrenzte Verarbeitung der Daten von Beschäftigten und Dritten. Verarbeitungsvoraussetzung, Datenschutzhinweis, Zweckbindung, Verhältnismäßigkeit, Zugriffs- und Löschpflichten werden in Abstimmung mit der Seite Datenschutzrecht (Seite derzeit nur auf Türkisch verfügbar) umgesetzt.

Die Voraussetzungen für die Übermittlung ins Ausland nach Art. 9 KVKK werden auch für den Fernzugriff einer ausländischen Muttergesellschaft und für Cloud-Systeme geprüft. Bei einer Meldung nach rechtswidriger Erlangung personenbezogener Daten gilt nach dem Beschluss Nr. 2019/10 des Datenschutzgremiums (Kurul) grundsätzlich: Meldung an das Gremium unverzüglich ab Kenntniserlangung und spätestens innerhalb von 72 Stunden, an die betroffenen Personen in der kürzest möglichen angemessenen Zeit. Nicht für jeden Cybervorfall gilt dieselbe Meldeordnung.

Die Aufgaben des Leitungsorgans sowie der Teams für Informationstechnologie, Informationssicherheit, Recht, Compliance, Kommunikation und Geschäftskontinuität werden innerhalb einer Matrix aus Cyberrisiko, Vorfalleskalation, Entscheidung und Berichterstattung festgelegt.

Das Cybersicherheitsgesetz Nr. 7545, personenbezogene Daten, elektronische Kommunikation und branchenspezifische Sicherheitspflichten werden nach dem Anwendungsbereich des Unternehmens geprüft. Eine Anwaltskanzlei führt keine technischen Penetrationstests durch; sie steuert die Folgen technischer Feststellungen für Meldung, Verantwortlichkeit, Verträge und Streitigkeiten. Die Einzelheiten finden sich auf der Seite Cybersicherheitsrecht (Seite derzeit nur auf Türkisch verfügbar).

Einstellung, Arbeitsbedingungen, Vergütung, Leistungsbeurteilung, Überstunden, Urlaub, Fernarbeit, Gleichbehandlung, Arbeitsschutz, Disziplinarwesen, Kündigung und Personalakte werden im Hinblick auf Rechtsvorschriften und tatsächliche Praxis geprüft.

Arbeitgeberrichtlinien werden mit den Grenzen des Weisungsrechts, der Information der Beschäftigten, dem Disziplinarverfahren sowie der Verteidigungs- und Entscheidungsbefugnis in Einklang gebracht. Tarifverträge, betriebliche Übung und vertragliche Ansprüche werden zusätzlich berücksichtigt.

Die sechs Arbeitstage und das eine Jahr in Art. 26 des Gesetzes Nr. 4857 beziehen sich auf die Befugnis zur Kündigung wegen eines Verhaltens, das gegen Sittlichkeit und Treu und Glauben verstößt. Hat die beschäftigte Person einen materiellen Vorteil erlangt, gilt die Jahresgrenze nicht. Wann die Kenntnis aufseiten der zuständigen Stelle entstanden ist und welche Wirkung die Untersuchung hat, wird im konkreten Fall geprüft; die Einleitung eines Verfahrens ist keine automatische Fristhemmung.

Für Diskriminierung, Belästigung, sexuelle Belästigung, psychische Belästigung, Repressalien, Zwangsarbeit, Kinderarbeit und Menschenrechtsrisiken in der Lieferkette wird eine Ordnung für Vorbeugung, Meldung, Prüfung und Verbesserung eingerichtet.

Richtlinien zu Gleichbehandlung und Inklusion bleiben nicht auf abstrakte Zusagen beschränkt. An Entscheidungspunkten wie Einstellung, Beförderung, Vergütung, Einsatz, Leistungsbeurteilung, Beendigung des Arbeitsverhältnisses und Barrierefreiheit am Arbeitsplatz werden messbare Kontrollen eingebaut.

Bei der Aufnahme von Vermittlern, Vertriebshändlern, Vertretern, Beratern, Subunternehmern, Lieferanten und Geschäftspartnern erfolgt eine Risikoeinstufung. Beteiligungs- und Leitungsstruktur, wirtschaftlich Berechtigte, Bezug zur öffentlichen Hand, Reputation, Sanktionen, Interessenkonflikte, Eignung, Leistungsumfang und Zahlungsbedingungen werden geprüft.

Die Intensität der Prüfung wird dem Risiko entsprechend bestimmt. Vertragsbestimmungen werden durch Mechanismen für Überprüfung, Aufzeichnung, Prüfung, Subunternehmer, Schulung, Meldung, Aussetzung und Beendigung gestützt. Nach der Aufnahme werden regelmäßige Überwachung und anlassbezogene Erneuerung angewendet.

Bei der Compliance-Prüfung vor Fusionen und Übernahmen werden auch frühere Verstöße, offene behördliche Verfahren, Vermittler und Kontrolllücken bewertet. Die Feststellungen werden mit den Transaktionsdokumenten, den Vollzugsbedingungen und dem Verbesserungsplan nach der Übernahme abgeglichen.

Es werden zugängliche und sichere Kanäle entworfen, über die Beschäftigte und, wenn erforderlich, Dritte ihre Bedenken mitteilen können. Umfang des Kanals, Betriebsverantwortung, Möglichkeiten anonymer oder identitätsgeschützter Meldungen, Eingangsbestätigung, Rückmeldung, Eskalation und Aufbewahrungsregeln werden schriftlich festgehalten.

Es wird weder absolute Vertraulichkeit noch in jedem Fall Anonymität zugesagt. Der Zugang zu Informationen wird auf Personen beschränkt, die sie aufgrund ihrer Aufgaben kennen müssen; das Verbot von Repressalien wird bekannt gemacht und überwacht. Der Meldekanal wird vom allgemeinen Anfrageformular und von der Marketinginfrastruktur getrennt gehalten.

Für Geschenke, Essen, Reisen, Unterkunft, Veranstaltungen, Spenden, Sponsoring, soziale Investitionen und politische Beiträge werden risikobasierte Regeln nach Betrag, Häufigkeit, Zweck, Beteiligten, Zeitpunkt und Bezug zur öffentlichen Hand aufgestellt.

Verbot, Vorabgenehmigung, nachträgliche Meldung und Aufzeichnungskategorien werden unterschieden. Aufgeteilte Geschäfte und wiederholte Vorteile für dieselbe Person werden zusammengefasst; der tatsächliche Zweck und der Begünstigte von Zuwendungen, die unter der Bezeichnung Marketing oder gesellschaftliche Verantwortung erfolgen, werden geprüft.

Für Nachhaltigkeitsthemen werden Überwachung durch die Leitung, Befugnis, Dateneigentum, Bewertung von Risiken und Chancen, Berichtsfreigabe und Vorbereitung auf eine Prüfung (Assurance) aufgebaut. Ob das Unternehmen in den verpflichtenden Anwendungsbereich der türkischen Nachhaltigkeitsberichterstattungsstandards fällt, wird nach Jahr, Schwellenwerten und Beschaffenheit des Unternehmens geprüft.

Es wird sichergestellt, dass Aussagen zu Klima, Menschenrechten, Belegschaft, Lieferkette und Unternehmensführung auf überprüfbaren Aufzeichnungen beruhen. Freiwillige Berichterstattung, Werbe- und Finanzierungsaussagen werden zusätzlich auf das Risiko irreführender Angaben und vertraglicher Haftung geprüft.

ESG bezeichnet Umwelt-, Sozial- und Unternehmensführungsthemen. Pflichten zur Nachhaltigkeitsberichterstattung und zur unabhängigen Prüfung werden nach dem aktuellen Anwendungsbereich der Kapitalmarktaufsicht SPK und der Behörde für öffentliche Aufsicht, Rechnungslegungs- und Prüfungsstandards (KGK) für das betreffende Unternehmen bestimmt; dieselbe Berichtspflicht wird nicht für jeden Betrieb unterstellt. Technische Messung und unabhängige Prüfung gehören zum Aufgabenbereich zuständiger Fachleute.

In Finanzwesen, Versicherung, Energie, Tourismus, Gesundheit, Pharma, Lebensmitteln, elektronischer Kommunikation, Verkehr, Verteidigung, Einzelhandel, E-Commerce und weiteren regulierten Bereichen werden Pflichten zu Lizenz, Meldung, Werbung, Preisen, Verbraucherschutz, Daten, Aufzeichnung und Prüfung nach dem Geschäftsmodell des Unternehmens erfasst.

Statt einer einzigen allgemeinen Richtlinie werden Checklisten, Genehmigungsabläufe und Ausnahmewege aufgebaut, die die Geschäftsbereiche im Moment der Entscheidung nutzen können. Für Entscheidungen von Aufsichtsbehörden und Änderungen sekundärer Vorschriften werden Verantwortung und Aktualisierungskalender festgelegt.

In Tourismus, Gesundheit, Finanzwesen, Energie, Einzelhandel, Technologie und Produktion unterscheiden sich die Risiken bei Genehmigungen, Kunden, Daten, Beschaffung und Beschäftigten. Ein einziges Compliance-Dokument ersetzt weder alle Genehmigungen noch branchenspezifische Prüfungen.

Die Schulungsinhalte werden nicht nach Titel, sondern nach risikoreicher Aufgabe und Szenario unterschieden. Für Verwaltungsrat, Vertrieb, Einkauf, Beziehungen zur öffentlichen Hand, Personal, Finanzen, Informationstechnologie und Dritte mit hohem Risiko werden unterschiedliche Module vorbereitet.

Die Erfassung der Teilnahme wird allein nicht als Wirksamkeitsindikator gewertet. Szenariofragen, Wissenskontrollen, Verhaltensindikatoren, Ergebnisanalyse und ein Wiederholungsprogramm werden eingesetzt. Die Botschaften der Leitung sollten mit der tatsächlichen Entscheidungspraxis und dem Anreizsystem übereinstimmen.

Das Vorhandensein, die Ausgestaltung und die tatsächliche Wirksamkeit einer Kontrolle werden getrennt geprüft. Stichproben, Datenanalyse, Transaktionstests, Prüfung von Ausnahmen, Umfragen und Gespräche werden je nach Art des Risikos eingesetzt.

Der Bericht an die Leitung zeigt nicht nur die Zahl der Schulungen, sondern auch Meldetendenz, Prüfungsdauer, wiederkehrende Ursachen, verspätete Korrekturen, Kontrolllücken und Restrisiko. Die Berichterstattung gibt der entscheidenden Stelle ausreichend Information, ohne personenbezogene Daten unnötig zu verbreiten.

Aufgabenbeschreibung, Berichtslinie, Budget, Informationszugang, Unabhängigkeit und direkter Zugang zum Leitungsorgan des Compliance-Beauftragten oder der Compliance-Einheit werden bestimmt. Gesetzlich zwingende Bestellungen werden nicht mit der freiwilligen Compliance-Struktur des Unternehmens verwechselt.

Die Aufgabenverteilung zwischen Recht, interner Revision, Risiko, Personal, Informationssicherheit und Finanzen wird schriftlich festgehalten. Für Fälle, in denen die Compliance-Einheit ihre eigene Praxis prüft oder in einem Interessenkonflikt mit dem Gegenstand der Prüfung steht, wird ein alternativer Berichtsweg eingerichtet.

Mit der Veröffentlichung einer Richtlinie gilt die Umsetzung nicht als abgeschlossen. Prozessverantwortlicher, technische Anforderung, Schulung, Übergangsdatum, Ausnahme, Prüfung und Berichtsschritte werden an einen Umsetzungsplan gebunden.

Nach einem Verstoß oder einer Kontrolllücke wird die Korrekturmaßnahme mit verantwortlicher Person, Zieldatum, Priorität, Abhängigkeit, Nachweis und Abschlussfreigabe verfolgt. Vorläufige Maßnahme und dauerhafte Lösung werden getrennt ausgewiesen; Verzögerung und Risikoakzeptanz werden dem zuständigen Organ berichtet.

Eine Untersuchung wird nicht allein mit der Entscheidung über persönliche Verantwortlichkeit abgeschlossen. Anreize, Ziele, Verhalten der Leitung, Rollenunklarheit, Kontrollgestaltung, Ressourcen, Schulung, Technologie und Aufsichtslücken werden mit einer Ursachenanalyse untersucht.

Die Durchführung und die Wirkung der Korrekturmaßnahmen werden getrennt überprüft. Es wird untersucht, ob ein ähnliches Risiko in einer anderen Einheit, einem anderen Unternehmen oder Land besteht; dem Leitungsorgan wird ein Abschluss- und Restrisikobericht vorgelegt.

Bevor eine Meldung eingeht, werden Protokolle für Fallaufnahme, dringende Eskalation, Befugnis, Prüfung von Interessenkonflikten, Sicherung von Aufzeichnungen, Datenzugriff, Gespräche, Berichterstattung, Disziplinarmaßnahmen, Kontakt zu Aufsichtsbehörden und Korrekturmaßnahmen vorbereitet.

Es wird bestimmt, welcher Vorfall an den Verwaltungsrat, den Prüfungsausschuss, das Team für Datenschutzverletzungen, das Team für Arbeitsschutz oder an externe Rechtsberatung weitergegeben wird. Die in Notfällen zu nutzende Kommunikation und die Entscheidungsdokumentation werden im Voraus festgelegt.

Vorwurf in der Meldung, Beteiligte, Zeit, Ort, Quelle, möglicher Schaden, fortbestehendes Risiko und vorhandene Aufzeichnungen werden in der ersten Phase geprüft. Es kann erforderlich sein, eine Meldung an eine Untersuchung, eine Lösung durch die Leitung, ein Arbeitsschutzverfahren, die Reaktion auf eine Datenschutzverletzung oder einen anderen Kanal weiterzuleiten.

Die erste Bewertung ist keine endgültige Entscheidung über die Richtigkeit des Vorwurfs. Sie dient dazu, dringenden Schaden zu stoppen, Repressalien zu verhindern, Aufzeichnungen zu sichern und gesetzliche Fristen zu bestimmen.

Die beauftragende Stelle, das durchführende Team, das entscheidende Organ und die Personen, die den Bericht erhalten, werden jeweils gesondert bestimmt. Betrifft der Vorwurf die oberste Führungsebene, die Rechtsabteilung, den Compliance-Beauftragten oder ein Mitglied des Verwaltungsrats, wird eine unabhängige Berichtslinie eingerichtet.

Frühere Rolle, persönliche Beziehungen, Entscheidungsverantwortung und Kenntnis des Vorfalls der Teammitglieder werden offengelegt. Unabhängigkeit wird nicht allein durch den Titel, sondern durch Beauftragung, Budget, Informationszugang und Berichtsfreiheit sichergestellt.

Vorwürfe, zu prüfender Zeitraum, rechtliche Fragen, Datenquellen, zu befragende Personen, Bedarf an Sachverständigen, Zielzeitplan und Berichtsformat werden an einen schriftlichen Plan gebunden. Der Umfang kann mit neuen Feststellungen begründet erweitert oder verengt werden.

Der Maßstab für die Bewertung wird von Anfang an festgelegt. Eine unternehmensinterne administrative Prüfung ist kein Strafverfahren; gleichwohl sollte sie sich statt auf Annahmen auf schlüssige, überprüfbare und rechtlich zulässig erlangte Aufzeichnungen stützen.

Automatische Löschung, Vernichtung von Dokumenten oder Kontoschließung werden im erforderlichen Umfang und für die erforderliche Dauer ausgesetzt. Für E-Mail, Messaging, Geschäftsanwendungen, Zugriffsprotokolle, Kameraaufnahmen, Finanzaufzeichnungen und die Prüfung von Geräten werden Eigentum, Verarbeitungsvoraussetzung, Datenschutzhinweis, Zweck, Umfang und Zugriffsbefugnis bewertet.

Die Erhebung wird mit Quelle, Datum, Methode, verantwortlicher Person und Integritätsprüfung dokumentiert. Private Konten und Geräte werden nicht schon deshalb zum Gegenstand unbegrenzter Prüfung, weil eine Untersuchung eingeleitet wurde; engere und geeignetere Methoden werden zuerst erwogen.

• Umfang: Betroffene Person, Datenquelle und Zeitraum.
• Befugnis und Methode: Rechtsgrundlage, Zugriff, für die Erhebung verantwortliche Person und Vorgangsprotokoll.
• Integrität: Angaben zu Quelle, Zeit, Kopie und Überprüfung.
• Aufbewahrung: Überprüfung der Sicherung und Kriterium für ihre Aufhebung.

Die erhobenen Aufzeichnungen werden nach den Untersuchungsfragen klassifiziert. Filter nach Stichwort, Zeitraum, Person, Vorgang und Thema werden so eingesetzt, dass unnötige Datenstreuung verringert wird.

Die Chronologie des Vorfalls zeigt Quelle, Zeitabschnitt, Grad der Gewissheit und widersprüchliche Aufzeichnungen. Eine fehlende Aufzeichnung oder Schweigen gilt nicht automatisch als Beleg für ein bestimmtes Ergebnis. Die Dokumentenprüfung dient dazu, die Reihenfolge der Gespräche und den Bedarf an weiteren Daten zu bestimmen.

Zweck des Gesprächs, Teilnehmer, Vertraulichkeitsgrenze, Verbot von Repressalien, Art der Notizen oder Aufzeichnung und das Folgeverfahren werden zu Beginn erläutert. Fragen beginnen offen; suggestive und beschuldigende Sprache wird vermieden.

Bevor über den Vorwurf entschieden wird, erhält die betroffene Person Informationen in einem Maß, das ausreicht, den Vorwurf zu verstehen und sich sinnvoll zu äußern. Der Umfang der Offenlegung wird im konkreten Fall im Hinblick auf Zeugenschutz, personenbezogene Daten, Geschäftsgeheimnisse und die Integrität der Untersuchung abgewogen.

Der beschäftigten Person werden Zweck der Prüfung, Rolle der Gesprächsführenden und Vertraulichkeitsgrenzen erläutert. Das Gesprächsprotokoll und ein vor einer Kündigung gegebenenfalls erforderliches Anhörungsverfahren werden nicht gleichgesetzt; Vertrag, interne Richtlinie und gesetzliche Voraussetzungen werden gesondert geprüft.

Wiederherstellung gelöschter Dateien, Festplattenabbilder, Mobilgeräte, Serverprotokolle, E-Mail-Archive, Zugriffsanalyse, Buchhaltungstests oder andere technische Untersuchungen werden von fachkundigen Sachverständigen durchgeführt. Die Anwaltskanzlei behauptet nicht, die technische Untersuchung selbst durchzuführen; sie koordiniert den rechtlichen Umfang, die Datengrenze, die Weisung und die Verwendung des Berichts.

Unabhängigkeit, Methode, Fachkunde, Informationssicherheit und Subunternehmer des Sachverständigen werden geprüft. Technische Feststellung und rechtliche Einordnung werden getrennt gehalten; Unsicherheiten im Sachverständigenbericht bleiben im Ergebnistext erhalten.

Bei Risiken für Leben und Arbeitsschutz, Datenverlust, fortdauerndem Schaden, Druck, Einwirkung auf Zeugen oder Repressalien werden vorläufige Maßnahmen geprüft. Maßnahmen wie Zugriffsbeschränkung, Änderung der Berichtslinie, Aufgabentrennung oder Beurlaubung werden ohne Strafzweck, verhältnismäßig und befristet angewendet.

Bei Personen, die eine Meldung machen, Informationen geben und an der Untersuchung teilnehmen, werden Entscheidungen zu Leistungsbeurteilung, Schichten, Beförderung, Vergütung, Ausgrenzung und Beendigung des Arbeitsverhältnisses beobachtet. Böser Glaube wird nicht allein daraus abgeleitet, dass ein Vorwurf nicht bestätigt werden konnte.

Unbezahlter Urlaub, Gehaltskürzung oder wesentliche Änderung der Arbeitsbedingungen sollten nicht als vorab verhängte Untersuchungsmaßnahme angewendet werden. Im Rahmen von Art. 22 des Arbeitsgesetzes, des Vertrags und des konkreten Risikos werden das erforderliche Verfahren, die Zustimmung der beschäftigten Person und mildere Alternativen geprüft.

Der Bericht zeigt Beauftragung, Umfang, Methode, geprüfte Quellen, Einschränkungen, Ereignisse, Widersprüche, den rechtlichen Rahmen und das Ergebnis für jeden Vorwurf gesondert. Tatsache, Auslegung und rechtliche Stellungnahme werden nicht vermischt.

Die Entscheidung obliegt dem zuständigen Organ der Gesellschaft. Konsistenz bei ähnlichen Vorfällen, Schwere des Verstoßes, Vorsatz, Rolle in der Leitung, Wiederholung, Zusammenarbeit, Schaden, Richtlinien und arbeitsrechtliche Regeln werden gemeinsam bewertet. Dass ein Vorwurf nicht bestätigt werden konnte, bedeutet nicht zwingend, dass er unbegründet ist.

Fällt der Vorfall unter eine Verletzung des Schutzes personenbezogener Daten, einen Arbeitsunfall, eine Straftat, einen Marktverstoß, einen Wettbewerbsverstoß, ein Geldwäscherisiko oder eine branchenspezifische Regelung, werden die Optionen Meldung, Antrag, freiwillige Offenlegung oder Zusammenarbeit jeweils gesondert geprüft.

Rechtliche Verpflichtung, Frist, zuständige Behörde, Umfang der Offenlegung, personenbezogene Daten, Geschäftsgeheimnisse und die Wirkung auf ein laufendes Verfahren werden gemeinsam behandelt. Straf-, Arbeits-, Handels- und Verwaltungsstreitigkeiten sowie Versicherungs- und Vertragsmeldungen werden in einem einheitlichen Vorfallplan koordiniert.

Verwaltungssanktionen, Verantwortlichkeit der Leitung, Klagen aus Arbeitsverhältnis, Handelsforderung und Schadensersatz, Strafanzeigen oder strafrechtliche Ermittlungen sowie, wenn die Voraussetzungen vorliegen, Mediation, Schiedsverfahren und Rechtsmittel erfordern unterschiedliche Verfahren. Die Option der Zusammenarbeit mit der Behörde, Verteidigungsrechte und besondere Meldeverbote werden gemeinsam bewertet.