#51 Compliance by Design - warum die Qualität der Feuerwehr nicht den Brandschutz bestimmt

00:00:05: Für mich ist in der Compliance insbesondere wichtig, dass wir uns vom Risiko zur Wirkung bewegen.

00:00:10: Niemand bewertet den Brandschutz anhand der Qualität der Feuerwehr.

00:00:14: In sehr vielen Unternehmen ist es immer noch so das die Compliance und auch natürlich die Juristinnen und Juristen im Unternehmen sehr oft die Rolle der Feuerwehre übernehmen.

00:00:23: Wir sind ja schon sehr mächtig wenn wir Entscheidungen revidieren können!

00:00:28: Und es ist natürlich eine unangenehme Wahrheit wenn ich sage Compliance bei Design ist ein Machtverlust.

00:00:33: Das ist aber nur dann ein Macht Verlust, wenn wir uns über Freigaben definieren.

00:00:37: Wenn wir uns aber über Entscheidungsprozesse zum Beispiel definieren und wenn wir unsere Wirkung in den Prozessen definieren werden wir nämlich wirklich vom Get-Kipper zum Architekt!

00:00:50: Herzlich willkommen zu einem neuen Compliance Bootcamp von Code of C, den True Compliance Podcast von Lubb.

00:00:55: Hier sprechen wir über Compliance aus der Praxis für die Praxis.

00:00:58: Mein Name ist Martin Reichizeder, ich bin Compliance-Office.

00:01:02: Ich bin Mitgründer von LUB und für die nächsten Minuten Ihr Gastgeber!

00:01:07: Seit der letzten Interviewfolge sind wir mit der Reise durch die Planung, die Implementierung und den Betrieb eines Compliance Management Systems fertig.

00:01:16: Also die letzte Folge von vor zwei Wochen war mit Christine Kataster eine Folge, die mich immer noch beschäftigt auch aufgrund der vielen Rückmeldungen und aufgrund des guten Feedbacks zu dieser Folge.

00:01:27: Also noch einmal vielen herzlichen Dank an dieser Stelle.

00:01:30: Ich möchte das heutige Bootcamp und es ist wieder eine Solo-Folge, also völlig außerhalb meiner Komfortzone dazu nutzen den Kern der Reise die wir jetzt über die letzten Monate gemeinsam gemacht haben ein bisschen zusammenfassen.

00:01:45: Es wird eine kurze Folge und vielleicht auch einen kleiner kurzer Impuls zur Frage wie wir uns selbst in Zukunft positionieren als Compliance Officer denn nach meinem Verständnis liegt ja die Zukunft von Compliance eher Ich würde sagen in der Prozessarchitektur und nicht mehr ausschließlich im Richtlinien schreiben.

00:02:03: Doch bevor wir unser heutiges Bootcamp Motto Compliance bei Design, warum die Qualität der Feuerwehren nicht den Brandschutz bestimmt?

00:02:11: einsteigen gibt es noch unsere Code of See Empfehlungsrunde!

00:02:18: In den Bootcamp-Folgen gibt's ja statt dem Check in immer eine persönliche Empfehlung von mir.

00:02:22: Meine heutige Empfehnung bezieht sich auf das Buch Digitalisierung der Rechtsabteilung, dass von Sophie Martinez herausgegeben wurde und im Springerverlag erschienen ist.

00:02:31: In diesem Buch habe ich selbst zwei Kapitel beige steuert, und zwar zum einen Compliance – was ist Compliance?

00:02:37: Was versteht man unter

00:02:37: Compliance?!

00:02:38: Und dann ganz konkret die Digitalisierung von Compliance!

00:02:42: Also fünfzig Seiten von mir beige steuert.

00:02:44: zum Buch Die Digitalisierung.

00:02:47: Das Buch selbst ist eine Impulsammlung für die Rechtsabteilung und schafft, ich würde jetzt einmal sagen mit meinem Kapitel oder meinen beiden Kapiteln auch eine wunderbare Brücke zur Compliance.

00:02:57: Und das ist in Wahrheit eine Spiegelung der Realität von sehr vielen Kolleginnen und Kollegen, die sowohl legal als auch Compliance machen.

00:03:06: Ich verlose übrigens ein Exemplar am Ende dieser Folge.

00:03:11: Infos zum Buch gibt es natürlich in den schonuts!

00:03:19: So, dann sprechen wir ganz kurz über Compliance by Design.

00:03:23: Sprechen wir darüber warum die Zukunft von Compliance nicht ausschließlich in Klammer, in Richtlinien liegt sondern in Prozessen.

00:03:32: und wenn wir uns da vielleicht nur ein bisschen unsere Reise in Erinnerung rufen das was wir in den letzten Monaten gemeinsam erlebt haben Wir haben uns einen Compliance-Kreislauf gezeichnet Einen Compliance Kreislauf Ein Compliance Management System dass vor allem wirksam sein soll.

00:03:49: Und ich erinnere, wir haben begonnen mit der Kultur.

00:03:52: Die Kultur Tronschraum und Ettape.

00:03:55: besprochen die Wichtigkeit der Vorbildwirkung von Liedern.

00:03:59: Und da ist es völlig unerheblich, ob das die Unternehmensführung ist oder ob es die Managerinnen in den Ebenen darunter sind.

00:04:06: Wir haben darüber gesprochen dass Ausdruck der Kultur und Ausdrucks des Tons from and at the tops auch die Organisation ist also quasi das Mandatieren von Menschen im Unternehmen entsprechende Strukturen für Compliance zu implementieren.

00:04:20: wir haben gesprochen über die Compliance Officer Und etwas, das mir ganz wichtig ist.

00:04:26: Wir bewegen uns in der Compliance immer vom Risiko zur Wirkung.

00:04:30: Das heißt dass nächste Element ist natürlich das Thema Risiken Risk Assessment, Risicomanagement Denn wir schaffen kein Compliance Management System.

00:04:39: Wir schaffen keinen Rahmen In dem sich unsere Kolleginnen und Kollegen frei bewegen können Der nicht auf die Risiken des Unternehmens abzielt.

00:04:48: Wenn wir Richtlinien schaffen und wenn wir Regelungen schaffen zu Risiken, die wir nicht haben Thema Compliance nicht verstanden.

00:04:56: Wenn wir die Risiken identifiziert haben, wenn wir die Riesigen auch evaluiert haben – wenn wir wissen welche Risiken haben wir im Unternehmen?

00:05:03: Was tun wir mit den Risiken?

00:05:04: Schauen wir das wie die Risken vermeiden?

00:05:06: Schauten wir dass wir die risiken übertragen?

00:05:08: akzeptieren wir Risiken oder minimieren?

00:05:11: mitigieren wir risiken?

00:05:12: Wenn wir das einmal beschlossen haben und wir das evaluiert dann können wir natürlich auch hierauf basierend auf dem Risiken Risiko Appetit, den wir identifiziert haben.

00:05:23: Unsere Strategie und unsere Ziele festlegen und darauf dann natürlich unser Programm.

00:05:29: Im Programm schreiben wir unsere Richtlinien und zwar nur die Richtlinen, die wir brauchen – die Richt Linien, die tatsächlich notwendig sind.

00:05:36: Wir fokussieren uns aber auf Maßnahmen insbesondere Prozesse.

00:05:40: Da komme ich dann später nur dazu, weil das heutige Thema ist ja Compliance bei Design die Prozessarchitektur.

00:05:46: Das heißt wir denken viel mehr in Prozessen und viel weniger in Tod durch Papier also quasi durch eine Vielzahl an Richtlinien.

00:05:54: Das nächste Element um die Reise kurz noch fertig zu machen ist das Whistleblowing.

00:05:58: Ich kann gar nicht oft genug sagen, wie wichtig für mich das Thema Whistleblowing ist.

00:06:02: Denn Whistleblowing ist für mich eine Einladung an die Organisation und an die Belegschaft aktiv am Thema Compliance auch zu partizipieren.

00:06:10: Das Thema Whiselblowing oder ein Hinweisgebersystem – ein effektives Hinweis-Gebersystem – ist eine wunderbare Erkenntnisquelle.

00:06:18: für Risiken im Unternehmen verdient auch das Whistleblowing ein eigenes Element im CMS.

00:06:25: Und natürlich ist für mich, das Hinweisgeberinnen-Schutzgesetz eine wesentliche Rechtsnorm die genau diese Kraft der HinweisGeberInnen und den Hinweis Geber noch einmal verstärkt!

00:06:36: Dann vergessen wir nach dem WhistleBlowing bitte nicht auf das Maßnahmenmanagement also auf die Sanktion, auf das Thema Konsequenz.

00:06:43: Es ist unangenehm konsequenzen zu setzen aber ein Compliance Management System ohne Konsequenz ein Compliance Management System, ohne Sanktion oder ohne Reaktion auf Risiken ist zahnlos und wenn es zahnlose ist dann fühlt sich in Wahrheit das gesamte CMS ad absurd um.

00:07:02: Und zum Schluss noch das Thema Kontrolle und das Thema Audit.

00:07:05: Das heißt, ohne Kontrolle schaffen wir nicht das Vertrauen dass wir in der Organisation durch die Compliance Maßnahmen auch zu verankern nachzuweisen.

00:07:16: also Das Vertrauen und die Verantwortung wird nachgewiesen durch die Kontrolle.

00:07:21: Und wenn diese Kontrolle nicht besteht, habe ich in Wahrheit keinen Realitätscheck darüber wie das Thema Vertrauen, wie das Themenverantwortung oder angemessenes Risikomanagement bei mir in der Organisation auch entsprechend verankert ist.

00:07:33: Wir haben dabei gelernt dass natürlich die Brücke zwischen Compliance Revision, eine sehr gute und eine sehr wichtige ist.

00:07:40: Und in Wahrheit wir in der Compliance zu Recht von den Verbündeten sprechen die wir alle mitnehmen auf unsere Reise beim CMS.

00:07:48: Das war jetzt ein kleiner, ein kleiner Shoutout und eine kleine Erinnerung auf die Reise die wir ja begonnen haben und die wir durchgeführt haben.

00:07:55: Ich habe es vorhin schon gesagt für mich besteht Compliance oder für mich ist in der compliance insbesondere wichtig dass wir uns vom Risiko zur Wirkung bewegen.

00:08:05: Und der Titel dieser Folge sagt uns, dass schon niemand bewertet den Brandschutz anhand der Qualität der Feuerwehr.

00:08:13: In sehr vielen Unternehmen ist es immer noch so das die Compliance und auch natürlich die Juristinnen und Juristen im Unternehmen sehr oft die Rolle der Feuerwehre übernehmen.

00:08:22: Wir sind Get-Kipper!

00:08:25: Kontaktiert werden, wenn tatsächlich ein Entscheidungsprozess bereits begonnen hat.

00:08:29: Wir werden dann kontaktiert, wenn quasi das Kind bereits in den Brunnen gefallen ist.

00:08:35: Viel zu oft ist es so dass wir dann nur noch diejenigen sein können und dürfen dir ja oder nein sagen.

00:08:42: Das heißt wir sind nicht mehr dabei mitzugestalten sondern wir haben dann oft die unangenehme Situation Entscheidungen, die bereits getroffen wurden wieder revidieren indem wir sagen nein das geht sich so leider nicht aus.

00:08:56: Das heißt wir sind dann die Feuerwehr obwohl es viel sinnvoller wäre im Prozess vorhin schon stattzufinden.

00:09:03: und darum auch diese Analogie zur Feuerwehr.

00:09:06: ja niemand bewertet den Brandschutz an Hand der Qualität der Feuerwehr.

00:09:11: Brandschutzt entsteht durch das Design.

00:09:14: Ja und dass ist meine Brücke zu compliance bei design Wir müssen die Risiken dort adressieren wo sie entstehen.

00:09:21: Das heißt, in den Entscheidungsprozessen genau dort, wo eigentlich Kompleins stattfinden sollte, dort wo genau dieser Hausverstand das Bauchgefühl der moralischen Kompass stattfinden sollte, in den Prozessen wo Menschen bevor sie eine Entscheidung treffen sich noch einmal die Frage stellen soll ich das tun oder soll ich es nicht tun.

00:09:40: Nämlich so dass Compliance am Ende nicht die Fragen stellen muss sondern dass in Wahrheit die Fragen der Compliance bereits Teil des Prozesses sind.

00:09:47: und da muss man vielleicht nochmal zurückgehen.

00:09:49: auch zur Frage was ist denn eigentlich unsere Legitimation in der Complance?

00:09:55: Da bitte werde ihr ja nicht müde das immer zu sagen!

00:09:57: Unsere Legitimation liegt nicht in der Regel.

00:10:01: Die Regel bestimmt nicht, wer wir in der Compliance sind.

00:10:05: Die Legitimation von Compliance liegt immer im Business.

00:10:09: Also das Business gibt uns nämlich vor welche Regel für uns gilt und darum ist das Business genau das, wonach wir uns auch ausrichten müssen.

00:10:17: Das Business sagt uns welche Regel gilt, dass Business sagt unsere Risiken entstehen.

00:10:22: die Risiken die entstehen auch nicht in Richtlinien.

00:10:26: Die entstehen nicht im Papier.

00:10:27: Risiken entstehen in Entscheidungen Und darum müssen wir in der Compliance, und das ist auch eine meiner ureigensten Überzeugungen.

00:10:34: Wir müssen es schaffen, dass Menschen im Unternehmen für das wir tätig sind richtige Entscheidungen treffen können.

00:10:41: Das heißt, wir haben eine unmittelbare Wirkung – im besten Fall auf den Entscheidungsprozess!

00:10:48: So und jetzt sprechen wir davon, dass Risiken im Entscheidungen entstehen.

00:10:52: also entstehen Risiken in Prozessen Und diese Prozesse, diese Businessprozesse auf die wir achten müssen und die wir uns ansehen müssen, die müssen natürlich priorisiert werden.

00:11:03: Wir können uns nicht um jeden Prozess kümmern und das ist es natürlich wieder die Verbindung zum Risikomanagement.

00:11:09: Wenn wir uns dann die Reise erinnern, die ich vorhin gezeichnet habe bzw.

00:11:12: unser Kreislauf in der Compliance, dann geht's darum dass wir uns natürlich ansehen was sind denn unsere größten Risiken?

00:11:19: Was sind denn die kritischsten Risiken?

00:11:24: Prozesse, wo in der Wertschöpfung passiert denn das Risiko?

00:11:28: Wo in der wertschöpfung gibt es den Entscheidungsprozesse die zu maßgeblichen Risiken führen oder wo in den Unterstützungs-Prozessen werden den Entscheidungen getroffen, die möglicherweise ein Risiko für das Unternehmen verwirklichen.

00:11:40: Und darum ist es wichtig die Brücke in die Organisation zu bauen nahe am Business stattzufinden Teil der Prozisse und vor allem auch der Arbeitswelt unserer Kolleginnen und Kollegen zu priorisieren.

00:11:53: Wenn wir die Risiken identifiziert haben, dann schauen wir uns an welche Themen wollen wir den bewusst zurückstellen?

00:12:00: Welche Risiken müssen wir denn bewusst akzeptieren?

00:12:03: und wo müssen wir den Bewußt doch den Finger in die Wunde halten?

00:12:06: und wo muss man auch tatsächlich das Umfeld ändern?

00:12:10: wenn wir denken dass wir Verhalten verändern indem wir Papier produzieren Dann irren wir.

00:12:17: Wir ändern Verhalten, in dem wir Realität verändern und Realität verändert.

00:12:22: Wir indem wir Prozesse schaffen durch den sich unsere Kolleginnen und Kollegen auch an die Hand genommen fühlen.

00:12:30: Dieses Thema Priorisierung und auch dieses wir kümmern uns nicht um alles.

00:12:34: das fühlt sich vielleicht ein bisschen riskant an aber dieses Nicht-Priorisieren ist viel riskanter weil Wenn sich Energie gleichmäßig verteilt oder wenn alles gleich wichtig ist, dann ist natürlich in Wahrheit nichts wichtig.

00:12:50: Und wenn ich jetzt von Compliance by Design spreche und davon spreche dass wir stattfinden müssen in den Prozessen unserer Kolleginnen und Kollegen und plötzlich nicht mehr Gatekeeper sind, plötzlich nicht diejenigen sind, die Ja- oder Nein sagen, dann fühlt sich Compliance By Design ein bisschen an wie ein Machtverlust.

00:13:12: Wir sind ja schon sehr mächtig, wenn wir Entscheidungen revidieren können.

00:13:17: Und es ist natürlich eine unangenehme Wahrheit, wenn ich sage, Compliance bei Design ist ein Machtverlust!

00:13:23: Das ist aber nur dann ein Macht-Verlust, den wir uns über Freigaben definieren.

00:13:28: Wenn wir uns aber über Prozesse definieren – wenn wir uns um Entscheidungsprozesse zum Beispiel definieren und wenn unsere Wirkung in den Prozessen definieren, dann werden wir nämlich wirklich vom Gatekeeper zum Architekt.

00:13:44: Und somit sind wir beim Prozessarchitekten und nicht mehr beim Gatekeeping und somit wahrscheinlich an immer bei der Feuerwehr.

00:13:52: Und jetzt rede ich natürlich wenn ich von Prozess-Architektur spreche und quasi von Compliance by Design spreche, dann spreche ich wirklich von Wirkung!

00:14:02: Mein größtes Ziel in der Compliance ist die Wirkung Und da müssen wir uns vielleicht auch die Gedanken oder müssen unsere Gedanken darüber machen.

00:14:10: Was ist denn Wirkung für uns eigentlich?

00:14:13: Weil Ansis schon klar, Aktivität ist nicht gleich Wirksamkeit und wenn wir uns Kennzahlen anschauen dann messen wir sehr oft das was einfach messbar ist Und wir stellen uns dazu gerne die falschen Fragen.

00:14:27: Wir fragen zum Beispiel im Zusammenhang mit Business Agents, also mit Handelsagenten wie viele Agenten wurden geprüft?

00:14:33: Wie viele Freigaben wurden erteilt?

00:14:35: Wir fragen uns oft, wieviele Trainings wurden denn absolviert?

00:14:38: Das ist eine Aktivitätskennzahl das ist aber keine Wirksamkeitskennzahl.

00:14:42: eigentlich müssten wir uns überlegen Wenn wir uns schon die Prozesse überlegen und wenn wir unsere Einbindung in die Prozess überlegen, müssen wir uns auch eine entsprechende Wirksamkeitskennzahl überlegen.

00:14:54: Und zwar... Was würde ich jetzt meinen?

00:14:59: Welche Risiken hätten wir denn zum Beispiel ohne den Prozess?

00:15:02: Übersehen oder wie früh wurde der Compliance in einem Prozess eingebunden?

00:15:07: Oder ist Risiko durch einen Prozess weniger wahrscheinlich geworden?

00:15:13: Das ist jetzt ein bisschen grübtisch und das ist vermutlich etwas schwer messbar, aber wir sollten uns das auch nicht immer zu einfach machen.

00:15:23: Und eine kleine Hausaufgabe, einen kleinen Denkanstoß darf ich an dieser Stelle – immerhin ist es ja im Bootcamp auch mitgeben!

00:15:32: Wenn wir uns schon über Wirksamkeit unterhalten dann kann ich vielleicht an dieser Stelle sagen dass die wirksamste Komplexmaßnahme wahrscheinlich dies den niemand bemerkt weil der Prozess das Risiko ohnehin schon verhindert hat.

00:15:43: Und somit stellt sich natürlich auch für uns die Frage, wenn der Prozess die Risiken vermindert und wenn der prozess die Kolleginnen und Kollegen an die Hand nimmt und plötzlich Compliance der älter Prozess Architektur wird, braucht es dann nur Compliance-Officeer?

00:15:57: Ja, natürlich!

00:15:58: Es braucht uns nicht.

00:16:00: Es braucht uns nicht nur zur Freigabe, sondern es braucht uns bewusst für gute Entscheidungen.

00:16:10: Für die Risiken und für das Schaffen dieser Prozesse und für kreieren guter Realitäten.

00:16:20: Und dann können wir auch über Wirksamkeit sprechen!

00:16:26: Risiken durch gute Prozesse weniger wahrscheinlich zu machen.

00:16:30: und das bringt mich auch tatsächlich schon zum Abschluss als kleiner Impuls, zum Thema Compliance by Design.

00:16:36: Unsere Aufgabe ist es nicht perfekt zu sein, unsere Aufgabe ist sie wirksam zu sein.

00:16:44: Genau mit diesem Punkt endet dieses Bootcamp!

00:16:49: Es gibt zum Abschuss ja immer noch einen.

00:16:51: Auch in dem Bootcamp folgen das Code of See C Wort mit dem Unterschied, dass ich in den Solo Folgen gut und gerne immer auch mein eigenes C-Wort sagen darf.

00:17:00: Im heutigen Bootcamp ist mein C Wort Prozess Architektur.

00:17:08: Und jetzt mit dem C Wort, mit dem Impuls zu Compliance by Design, mit einem kleinen Recap – was haben wir denn in den letzten Monaten alles gemeinsam erlebt?

00:17:17: Geht jetzt zur Verlosung.

00:17:19: Die erste Zuhörerin bzw.

00:17:20: der erste Zухörer, die oder der mir eine Nachricht mit ihren oder seinen Kontaktarten und dem Betreff Compliance by Design an officeatlub.at schickt erhält das Buch Digitalisierung der Rechtsabteilung kostenlos übermittelt.

00:17:39: So ich freue mich natürlich auf sehr viele Zusendungen.

00:17:43: Vielen Dank fürs zuhören.

00:17:45: Wenn die Folge gefallen hat, wenn Code of C generell gefällt dann freue ich mich natürlich über eine positive Bewertung auf der von Ihnen genutzten Podcast-Platform.

00:17:54: Aktivieren Sie bitte gerne die Glocke, folgen sie dem Podcast und mir gerne auf LinkedIn oder Instagram.

00:17:59: Und wenn Sie darüber noch aus Fragen zur Software von Loop haben, dann einfach unter www.loop.at.

00:18:05: Kontakt mit uns aufnehmen.

00:18:06: Unser Versprechen ist immer Aus der Praxis für die Praxis.

00:18:09: Die Infos gibt es in den Schornots.

00:18:12: Compliance by Design, also wirksame Governance ist eine Entscheidung.

00:18:18: Das wird von uns, das wird von Loup auch in der Softwarearchitektur getragen.

00:18:23: Es wird durch unsere Module unterstützt.

00:18:25: Also bitte hier einfach Kontakt mit uns aufnehmen bis zur nächsten Folge.

00:18:29: Bleiben Sie bitte komplant!

00:18:30: Bleiben sie bitte vor allem ein guter Mensch.