02586 Kurzhinweise: DIN ISO 37301

Titel
Die Norm trägt in der Übernahme ins deutsche Normenwerk den Titel: DIN ISO 37301:2021 – Compliance-Managementsysteme – Anforderungen mit Anleitung zur Anwendung [1]. Im allgemeinen Sprachgebrauch ist die Bezeichnung ISO 37301 üblich, so auch in diesem Werk.

Die DIN-Ausgabe dieser internationalen Norm aus entspricht der englischen Originalfassung der ISO 37301:2021. Sie hatte bereits im Jahr 2014 die ISO 19600 abgelöst.

Anwendungsbereich
Die ISO 37301 enthält Anforderungen für den Aufbau, die Entwicklung, die Implementierung, die Bewertung, die Aufrechterhaltung und die Verbesserung eines effektiven Compliance-Managementsystems. Sie ist auf Unternehmen und Organisationen aller Art anwendbar, unabhängig von ihrer Branche, Größe und dem Portfolio, das sie bereitstellen, und davon, ob es sich um eine öffentliche, private oder gemeinnützige Organisation handelt.

Ziel der Norm
In der ISO 37301 wird darauf aufmerksam gemacht, dass ein effektives Compliance-Managementsystem im Unternehmen den Nachweis seiner Verpflichtung zur Einhaltung von relevanten Vorgaben ermöglicht. Dies sind Gesetze einschließlich legislativer Anforderungen, Industrievorschriften und Organisationsnormen, aber auch beste Praktiken, ethische Grundsätze und Erwartungen sowie Normen der guten Unternehmensführung. Wichtig ist, dass dazu alle möglichen relevanten Bereiche identifiziert werden, in denen Compliance-Risiken liegen können. Tabelle 1 zeigt wichtige relevante Compliance-Risikobereiche.

Rechtlicher Kontext
Eine grundsätzliche Pflicht zur Implementierung eines Compliance-Managementsystems besteht in Deutschland nicht. Gleichwohl gibt es im Gesellschaftsrecht Vorgaben, die eine systematische Auseinandersetzung mit Compliance-Themen nahelegen: So unterliegt bei einer Aktiengesellschaft der Vorstand, bei einer GmbH die Geschäftsführung gemäß § 93 Abs. 1 Aktiengesetz (AktG) bzw. § 43 Abs. 1 GmbH-Gesetz (GmbHG) einer allgemeinen Sorgfaltspflicht. Diese fordert organisatorische Maßnahmen, um sicherzustellen, dass das Unternehmen und seine Mitarbeiter nicht gegen rechtliche Vorgaben verstoßen. Gemäß § 91 Abs. 2 AktG ist zudem das Compliance-Management als Teil des Risikomanagements zu sehen. Analoges gilt für GmbHs.

Anhang zur Norm
Die ISO 37301 enthält im Anhang A eine Anleitung, in der Ansätze und Arten von Maßnahmen genannt werden, die bei der Implementierung eines Compliance-Managementsystems herangezogen werden können. Die Anleitung bezieht sich auf alle zehn Hauptabschnitte der Norm. Gemäß der Norm sollen die vom Unternehmen eingeleiteten Schritte im Hinblick auf deren Art und Ausmaß von Konformitätsrisiken angemessen sein, damit die Compliance-Verpflichtungen erfüllt werden können.

Veränderungen gegenüber der ISO 19600
Ein Schwachpunkt bei der Vorgängernorm ISO 19600 bestand darin, dass sie zunächst nicht für Zertifizierungszwecke vorgesehen war. Dies hat sich mit der Veröffentlichung der ISO 37301 geändert. So haben Unternehmen nun die Möglichkeit, durch eine Zertifizierung die Umsetzung eines wirksamen Compliance-Managementsystems nachzuweisen. Daher enthält die ISO 37301 gegenüber der Vorgängernorm ISO 19600 keine Empfehlungen mehr, sondern Anforderungen im Sinne von „Soll”- und „Muss”-Bestimmungen für ein wirksames Compliance-Managementsystem. Inhaltlich sind die Anforderungen jedoch eng an die Empfehlungen der ISO 19600 angelehnt. Es kam lediglich zu einigen redaktionellen Änderungen. Darüber hinaus wurden die in der ISO 19600 in den jeweiligen Bereichen enthaltenen Beispiele bei der ISO 37301 in eine Anlage A verschoben.

Bezug zu anderen Managementsystem-Normen
Da sich die Gliederung der ISO 37301 an der Harmonized Structure (HS) orientiert, ist die Norm, insbesondere wenn es um die Erweiterung des Compliance-Managementsystems in Richtung Integriertes Managementsystem (IMS) geht, mit folgenden Normen kompatibel, deren Gliederung ebenfalls an der HLS ausgerichtet ist: