Korruptionsrisikokartierung : Methode und Anforderungen im deutschen Recht

Die Korruptionsrisikokartierung ist der erste und grundlegende Schritt eines jeden Antikorruptionsprogramms. Sie reduziert sich nicht auf eine Risikoliste: Sie muss Korruptionsszenarien je Prozess und geografischer Zone identifizieren, ihre Wahrscheinlichkeit und Auswirkung bewerten und nachweisen, dass jedes identifizierte Risiko durch eine angemessene Präventionsmaßnahme abgedeckt ist. Im deutschen Rechtsrahmen verlangt das Lieferkettensorgfaltspflichtengesetz (LkSG) von den betroffenen Unternehmen die Durchführung einer Risikoanalyse, die auch angemessene Präventionsmaßnahmen gegen Korruption in der Lieferkette einschließt. [lu: LkSG, § 5, Lieferkettensorgfaltspflichtengesetz] Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) ist die zuständige Behörde für die LkSG-Überwachung und prüft die Qualität und Nachvollziehbarkeit der Risikoanalysen. [lu: LkSG, § 14, Lieferkettensorgfaltspflichtengesetz] ISO 37001 ergänzt diesen gesetzlichen Rahmen mit Anforderungen, die eine methodisch dokumentierte und verteidigungsfähige Korruptionsrisikoanalyse verlangen. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Zwei häufige Mängel sind eine nicht dokumentierte Methodik, die die Kohärenz der Bewertungen nicht verifizierbar macht, und eine fehlende Verbindung zwischen kartografierten Risiken und tatsächlichen Programmmaßnahmen.

Was ist eine Korruptionsrisikokartierung im Sinne von ISO 37001 und LkSG?

Die Korruptionsrisikokartierung identifiziert für jeden Prozess und jeden wesentlichen Stakeholder der Organisation die Szenarien, in denen eine Bestechungshandlung eintreten könnte. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme; LkSG, § 5] Sie unterscheidet sich von einer einfachen Risikoliste durch mehrere Merkmale: eine dokumentierte und reproduzierbare Methode, nachvollziehbare Bewertungen mit ihrer Begründung und einen nachgewiesenen Zusammenhang zwischen jedem Risiko und den entsprechenden Präventionsmaßnahmen. ISO 37001 unterscheidet klar eine konforme Kartierung von einer nicht konformen: Wenn die Programmmaßnahmen nicht sichtbar aus der Kartierung hervorgehen, gilt die Kartierung nicht als wirksam.

Welche häufigen Mängel werden bei Korruptionsrisikokartierungen festgestellt?

Häufige Mängel bei Korruptionsrisikokartierungen sind: fehlende Dokumentation der Methodik, Bewertungen ohne nachvollziehbare Begründung, zu enger Geltungsbereich (Tochtergesellschaften oder Prozesse ausgeschlossen ohne Begründung) und fehlende Verbindung zwischen identifizierten Risiken und Präventionsmaßnahmen. [déduit: Ableitung aus ISO 37001 und BAFA-Prüfungsanforderungen nach LkSG] Ein weiterer häufiger Mangel ist das Ausbleiben von Aktualisierungen nach einer Umstrukturierung oder einer Änderung des Tätigkeitsbereichs, was die Kartierung im Verhältnis zur operativen Realität der Organisation obsolet macht.

Zum Antikorruptions-Compliance-Programm im Gesamtüberblick, siehe den Artikel Antikorruption : Compliance-Programm und Umsetzung.

Wie erstellt man eine Korruptionsrisikokartierung, die den Anforderungen standhält?

Die Erstellung einer konformen Kartierung folgt einem Zyklus in fünf Schritten: Identifikation der exponierten Prozesse, Identifikation der Korruptionsszenarien durch Interviews mit operativen Verantwortlichen, Bewertung jedes Szenarios nach Wahrscheinlichkeit und Auswirkung, Identifikation bestehender Präventionsmaßnahmen und Berechnung des Restrisikos. [déduit: Ableitung aus ISO 37001 und Best Practices der Antikorruptions-Compliance] Jeder Schritt muss eine dokumentarische Spur hinterlassen. Die Dokumentation der Methodik ermöglicht dem Auditor, die Kohärenz der Bewertungen von einer Revision zur nächsten und von einem Geltungsbereich zum anderen in einer Gruppe zu überprüfen.

Zur Methode der Risikoanalyse im breiteren Rahmen, siehe den Artikel Risikoanalyse : Methodik und Tools für den Mittelstand.

Wie verknüpft man die Kartierung mit den Präventionsmaßnahmen des Programms?

Die Verbindung zwischen der Kartierung und den Maßnahmen ist die Anforderung, die in Korruptionsrisikokartierungen am häufigsten fehlt. [déduit: Ableitung aus ISO 37001 Anforderungen und LkSG § 6] Für jedes identifizierte Risiko muss die Kartierung angeben, welche Programmmaßnahme es abdeckt: Sorgfaltspflichtverfahren gegenüber Dritten, antikorruptionsbezogene Vertragsklausel, dedizierte Schulung, spezifische interne Kontrolle. Ein System ermöglicht es, diese Verbindung zu materialisieren, indem es jedes Risiko mit den zugehörigen Maßnahmen verknüpft und Risiken ohne identifizierte Abdeckung signalisiert.

Zur Lieferantenqualifizierung als Teil der Sorgfaltspflichten, siehe den Artikel Lieferantenqualifizierung : KYS und Drittanbieter-Bewertung.

Wie häufig muss die Korruptionsrisikokartierung aktualisiert werden?

ISO 37001 legt keine Revisionshäufigkeit fest, erwartet jedoch eine regelmäßige Aktualisierung und eine Überprüfung nach jedem Ereignis, das die Exponierung der Organisation verändern könnte. [lu: ISO 37001, Anti-Bestechungs-Managementsysteme] Das LkSG verlangt eine mindestens jährliche Risikoanalyse sowie eine anlassbezogene Analyse bei wesentlichen Änderungen. [lu: LkSG, § 5 Abs. 4] Häufige Auslöser sind eine Akquisition oder eine Veräußerung, eine interne Umstrukturierung, der Eintritt in einen neuen Markt oder in eine neue geografische Zone sowie die Ergebnisse eines internen Antikorruptions-Audits. Der Nachweis jeder Revision mit Datum und Begründung ist das, was der Auditor anfordert, um zu überprüfen, dass die Kartierung aktuell gehalten wird.

Häufig gestellte Fragen

Wer muss die Korruptionsrisikokartierung unterzeichnen? ISO 37001 und die LkSG-Praxis verlangen, dass die Risikoanalyse von der Geschäftsführung gebilligt wird, nicht nur vom Compliance-Verantwortlichen validiert. Diese Billigung auf höchster Ebene ist der Nachweis des Engagements der Unternehmensleitung, den die Norm fordert.

Muss die Korruptionsrisikokartierung einer Gruppe alle Tochtergesellschaften abdecken? Im Rahmen des LkSG gilt die Pflicht zur Risikoanalyse für das gesamte Unternehmen einschließlich ausländischer Tochtergesellschaften. Die Kartierung muss die dem gesamten Konsolidierungsperimeter angemessenen Risiken abdecken, mit einer Anpassung an die spezifischen Risiken jeder Einheit oder geografischen Zone.

Kann die Kartierung intern erstellt werden oder ist ein Dienstleister erforderlich? Beide Optionen sind zulässig. Das Wesentliche ist, dass die Methode dokumentiert, die Bewertungen nachvollziehbar und das Ergebnis verteidigungsfähig sind. Ein Dienstleister kann methodisches Fachwissen und eine externe Sichtweise einbringen, kann aber die interne Kenntnis der Prozesse nicht ersetzen.

Begleitet Optivalue.ai beim Aufbau der Korruptionsrisikokartierung? Optivalue.ai begleitet Compliance-Teams durch die Methode und Dokumentation. Weitere Informationen: Demonstration anfordern.

---

Nach oben