ISO 37001 : Korruptionsmanagementsystem mit Software implementieren

ISO 37001 definiert die Anforderungen an ein Anti-Bestechungs-Managementsystem (ABMS): Richtlinien, Risikoanalyse, Sorgfaltspflichten gegenüber Dritten, Schulungen, finanzielle Kontrollen, Meldewesen und Managementbewertung. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme, internationale Norm] Die Norm schreibt kein spezifisches Werkzeug vor, doch jede Anforderung erzeugt Nachweisdokumente, die ein Zertifizierungsauditor erwartet. Im deutschen Rechtsrahmen ergänzt ISO 37001 das Strafrecht des § 299 StGB (Bestechung und Bestechlichkeit im geschäftlichen Verkehr) und die Sorgfaltspflichten nach dem Lieferkettensorgfaltspflichtengesetz (LkSG), das ab dem ersten Anwendungsjahr auch angemessene Präventionsmaßnahmen gegen Korruption verlangt. [lu: § 299 StGB, Strafgesetzbuch; LkSG, Lieferkettensorgfaltspflichtengesetz] Eine Software ersetzt keine menschliche Entscheidung: Sie strukturiert Abläufe, bewahrt Nachweise und macht das System verteidigungsfähig. Die zentrale Frage ist nicht, ob eine Software benötigt wird, sondern ab welchem Volumen und welcher Komplexität sie zuverlässiger ist als eine Tabellenkalkulation.

Was zertifiziert ISO 37001 genau?

ISO 37001 zertifiziert, dass eine Organisation ein normenkonformes Anti-Bestechungs-Managementsystem eingerichtet hat, nicht dass sie frei von jedem Korruptionsrisiko ist. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Der Zertifizierungsauditor prüft die Reife des Systems, die Konsistenz seiner Komponenten und die Nachvollziehbarkeit der Nachweise, nicht das Fehlen von Vorfällen. Das ABMS muss die Anti-Bestechungsrichtlinie, die Risikoanalyse, die Sorgfaltspflichten gegenüber Dritten, finanzielle Kontrollen, die Schulung exponierter Mitarbeitender, den Meldekanal und die Managementbewertung abdecken. Eine Software strukturiert diese Blöcke und bewahrt die Verknüpfungen zwischen ihnen, was die Auditvorbereitung erheblich vereinfacht.

Welche Verbindung besteht zwischen ISO 37001 und dem deutschen Korruptionsrecht?

ISO 37001 und das deutsche Korruptionsstrafrecht verfolgen unterschiedliche Logiken: Das Strafrecht sanktioniert vollendete Taten; die Norm bewertet die Güte des Präventionssystems. [lu: § 299 StGB, § 333 StGB, § 334 StGB, Strafgesetzbuch; ISO 37001, Anti-Bestechungs-Managementsysteme] Für Unternehmen, die dem LkSG unterliegen, verlangt das Gesetz angemessene Präventionsmaßnahmen gegen Korruption in der Lieferkette und die Dokumentation dieser Maßnahmen. Eine ISO-37001-Zertifizierung kann als Nachweis robuster Präventionsmaßnahmen gegenüber dem Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) dienen, ohne die gesetzliche Konformitätspflicht selbst zu ersetzen.

Zur Verwaltung des gesamten Antikorruptionsprogramms im deutschen Kontext, siehe den Artikel Antikorruption : Compliance-Programm und Umsetzung.

Welche ISO-37001-Anforderungen unterstützt eine Software vorrangig?

Eine ABMS-Software unterstützt vorrangig die Anforderungen, die das größte Dokumentationsvolumen erzeugen: die Korruptionsrisikoanalyse, die Sorgfaltspflichten gegenüber Dritten, die Verwaltung von Interessenkonfliktmeldungen, das Register für Geschenke und Bewirtungen sowie die Schulungsverfolgung. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Diese Anforderungen erzeugen individuelle Nachweise pro Person, pro Dritten oder pro Transaktion: Eine Tabellenkalkulation stößt an ihre Grenzen, sobald das Volumen die manuelle Pflege ohne Verluste oder Fehler übersteigt.

Zur Verwaltung von Interessenkonfliktmeldungen, siehe den Artikel Interessenkonflikte : Erklärungen und Risikomanagement.

Wie strukturiert eine Software die Korruptionsrisikoanalyse?

Die von ISO 37001 geforderte Korruptionsrisikoanalyse identifiziert Korruptionsszenarien nach Prozess, geografischer Zone und Drittpartei-Kategorie. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Eine Software ermöglicht es, jeden Risikofall mit den zugehörigen Präventionsmaßnahmen zu verknüpfen und die Bewertung zu dokumentieren: Wahrscheinlichkeit, Auswirkung, Restrisiko. Diese Nachvollziehbarkeit ist das Erste, was der Zertifizierungsauditor prüft, da sie belegt, dass die Risikoanalyse tatsächlich zur Ausrichtung der Maßnahmen gedient hat.

Zur Methode der Risikoanalyse im breiteren Rahmen, siehe den Artikel Risikoanalyse : Methodik und Tools für den Mittelstand.

Wie integrieren sich Sorgfaltspflichten gegenüber Dritten in das ABMS?

ISO 37001 verlangt, dass die Sorgfaltspflichten proportional zum für jeden Dritten identifizierten Risikoniveau sind. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Eine Software ermöglicht die automatische Zuweisung eines Prüfungsniveaus nach Kategorie und geografischer Zone des Dritten, die Erfassung von Prüfdokumenten und die Aufbewahrung der Dokumentation der getroffenen Entscheidung. Für Organisationen, die eine große Anzahl von Dritten verwalten, verhindert dieser automatisierte Ablauf vergessene Prüfungen und unvollständige Akten bei einer Prüfung.

Zur Lieferantenqualifizierung und dem KYS-Programm, siehe den Artikel Lieferantenqualifizierung : KYS und Drittanbieter-Bewertung.

Wie bereitet man die ISO-37001-Managementbewertung mit einer Software vor?

Die ISO-37001-Managementbewertung verlangt, dass die Leitung das ABMS regelmäßig überprüft und notwendige Anpassungen beschließt. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Eine Software konsolidiert Schlüsselindikatoren: Schulungsabschlussquoten, Anzahl der eingegangenen und bearbeiteten Meldungen, Interne-Audit-Ergebnisse, offene Nichtkonformitäten und Korrekturmaßnahmen. Dieses Dashboard bereitet die Bewertung ohne manuelle Aufbereitung vor und erzeugt das unterzeichnete Protokoll, das der Zertifizierungsauditor als Nachweis für das Engagement der Leitung verlangt.

Häufig gestellte Fragen

Ist ISO 37001 in Deutschland gesetzlich vorgeschrieben? Nein. ISO 37001 ist eine freiwillige Zertifizierungsnorm. In Deutschland ergibt sich die gesetzliche Pflicht zur Korruptionsprävention aus dem LkSG für betroffene Unternehmen sowie aus dem allgemeinen Strafrecht (§ 299 StGB). Das LkSG schreibt keine ISO-37001-Zertifizierung vor, jedoch angemessene Präventionsmaßnahmen, die dokumentiert werden müssen.

Kann eine ISO-37001-Software mehrere Einheiten einer Unternehmensgruppe abdecken? Ja, sofern sie die Verwaltung getrennter Perimeter bei gleichzeitiger Konsolidierung der Gruppenübersicht erlaubt. Die bei der Evaluierung zu stellende Frage lautet: Wie unterscheidet die Software zwischen den Risiken einzelner Tochtergesellschaften und konsolidierten Risiken?

Muss die Risikoanalyse nach einer Umstrukturierung vollständig wiederholt werden? Nicht zwingend. Die Norm verlangt, dass die Risikoanalyse die Realität der Prozesse und Exponierungen widerspiegelt. Eine wesentliche Umstrukturierung muss eine gezielte Aktualisierung der betroffenen Prozesse und Dritten auslösen, mit dokumentierter Revisionsspur.

Bietet Optivalue.ai eine Demonstration des ISO-37001-Moduls an? Optivalue.ai begleitet Teams durch eine Demonstration anhand eines realen Dossiers. Weitere Informationen: Demonstration anfordern.

---

Nach oben