Mit unternehmenseigenen Ermittlungen können Sie jeden Tag die Tatortermittlerin bzw. den Tatortermittler geben. Oft geht es um Wirtschaftskriminalität – also Diebstahl oder Unterschlagungen, um geheime Absprachen oder Einflussnahmen, um gewerbsmäßige Steuerhinterzieher:innen oder sogar organisierte Kriminalität – aber immer geht es um eine faire und rechtskonforme Aufklärung im oder für das Unternehmen. Manchmal auch für die Ermittlungsbehörden, je nachdem, wo Sie mit Ihrem Knowhow mal arbeiten wollen.

Was muss ich mitbringen?

Im Unternehmen zu ermitteln und mit Compliance zu beraten, bedeutet, dass Sie sich zu einem Allround-Talent entwickeln können, denn Sie sollten sich weitestgehend auskennen mit Arbeits-, Zivil-, Gesellschafts- und Strafrecht. Oft brauchen Sie auch Kapitalmarktrecht, Datenschutz- und Steuerrecht, ganz sicher brauchen Sie ein Zahlenverständnis, um Schäden zu ermitteln, Sie müssen verhandeln, strategisch planen, vermitteln und befragen können und Sie sollten formulierungsstark sein – also wirklich ein:e Allrounder:in.

Und wenn Sie mit Ihren Ermittlungen im Unternehmen fertig sind und die relevanten Erkenntnisse gewonnen haben, wie es zu schädigendem Verhalten gekommen ist und hoffentlich auch, wer dafür verantwortlich gemacht werden kann, dann sind die Lessons Learned wichtig, um daraus Compliance-Strategien zu bauen. 

Mit einem angemessenen und für das jeweilige Unternehmen passenden Compliance-Management-System wollen Sie dann vermeiden, dass so etwas wieder passiert. Das hört sich einfacher an, als es ist und im praktischen Leben ist es auch noch viel spannender. 

Um diesen Job gut machen zu können, brauchen Sie Wissen, Erfahrung und Empathie. 

Ok, Wissen kann man Ihnen ja beibringen, wir zum Beispiel machen sowas seit über 20 Jahren für Berufspraktiker:innen mit ganz unterschiedlichem Background. 

Ja, und Erfahrung: Mit jedem Fall sammeln Sie diese, aus den Erfahrungen anderer kann man gut lernen, mit eigenem Schmerz lernt man am effektivsten, aber den wünschen wir Ihnen nicht. Deshalb können Sie Erfahrung auch mit unseren Praxisfällen lernen, weil Sie da auch mal was ausprobieren oder falsch machen dürfen, ohne dass es gleich folgenschwer fürs Unternehmen wird. 

Tja und die Empathie: Zugegeben, wer die nicht hat, findet ganz sicher tolle und spannende Betätigungsfelder – leider nur nicht in der Ermittlung und nicht in der Compliance. Denn hier geht es um und mit Menschen, um ihre Motive, ihre Sorgen, Ängste, ihre Taten und ihre Aussagen. Also geht es nicht ohne Empathie. Diese kann man aber ausbauen, nämlich auch bei uns – z.B. in den Befragungstrainings. Ein essenzielles Ermittlungsfeld, weil Sie ja nicht nur Urkundenbeweise brauchen, sondern zwingend auch den Personenbeweise, um einen Sachverhalt sauber zu ermitteln und daraus lernen zu können. 

Deshalb können und sollten Jurist:innen lernen, 

• wie man Menschen dazu bewegt, sich regelkonform zu verhalten (Compliance), 
• wie man ihnen auf die Schliche kommt, wenn sie es nicht tun (Investigation) und 
• wie man das auch alles gerichtsfest nachweisen kann, wenn man denn prozessieren muss (Kriminalistik)

ein facettenreiches und arbeitsintensives Leben ist es als Compliance-Verantwortliche:r schon; die Arbeit darf man nicht scheuen, kreativ muss man sein, empathisch, lernfähig, vernetzt und bitte auch ein bisschen lustig. Denn sonst vergeht Ihnen schon gleich zu Beginn das Lachen, wenn man sich anschaut, zu welchen Taten Menschen – letztlich Kolleginnen und Kollegen, Kundinnen und Kunden, langjährige Geschäftspartner:innen und auch Freund:innen – fähig sein können, wenn Sie Vorteile für sich wittern. Bekanntermaßen frisst Gier Hirn. Also: rüsten Sie Ihren Werkzeugkoffer auf mit dem nötigen Equipment, um den Gierigen das Handwerk zu legen.

Up-to-date bleiben

Aber einmal gelernt oder den Werkzeugkoffer zusammengestellt, wird nicht reichen. Taten verändern sich und Tatgelegenheiten. Denken Sie nur mal daran, dass man vor 30 Jahren eher weniger mit dem Computer seinen Betrügereien Vorschub leisten konnte, heute geht es gar nicht mehr ohne, wenn Sie Täter:innen entdecken und der Spur des Geldes folgen wollen.

Hinzu kommen dann neue Gesetze, die es den Verantwortlichen zuweilen im Unternehmen schwer machen, die sie aber auch zwingen, ihren Job immer auf dem aktuellsten Stand zu halten.

Nehmen wir mal das noch immer neue und noch nicht verabschiedete Verbandssanktionengesetz (VerSanG-E). Hier soll neu geregelt werden, wie Unternehmen bei potenziellen Straftaten, die von der Organisation ausgehen, sanktioniert werden sollen, aber auch wie sie eine Sanktionsmilderung erreichen können. Diese geplante Option wiederum greift unmittelbar in die Umsetzung von unternehmenseigenen Ermittlungen ein, beispielsweise, wie Sie Mitarbeitende fair und rechtskonform befragen können, wie eine Kooperation mit den Strafverfolgungsbehörden aussehen kann und wie Sie sich dennoch verteidigen könnten. 

Auch spannend und herausfordernd ist das gerade in der 18. KW 2023 verabschiedete Hinweisgeberschutzgesetz, das gerade kleinere Unternehmen ab 50 Mitarbeitende vor große Umsetzungsherausforderungen stellt. Dieses Thema ist jedoch für die gesamte Unternehmenskultur wichtig, wie gehen Sie mit Hinweisen um, wie mit Delinquenten in den eigenen Reihen, und wie klären Sie Taten eigentlich auf, ohne Menschen voreilig zu verurteilen, ohne sie unrechtmäßig zu beschädigen und ohne jemanden „laufen zu lassen“, weil Ihnen Verfahrensfehler unterlaufen. 

Sicherzustellen, dass ein Hinweis nicht gleich ein Anfangsverdacht und dass ein Anfangsverdacht nicht gleich ein Urteil ist, ist Job der neu einzurichtenden Hinweisgeberstellen. Das will schon gelernt sein, sonst machen Sie im Unternehmen jede Vertrauenskultur zunichte, die vielleicht vorher in Jahren aufgebaut wurde. Der Prozess hinter der Meldung ist entscheidend, wie professionell Sie Sachverhalte im Unternehmen aufklären können, wie man Ihnen vertrauen kann und ob Sie eher Florett oder Schwert beherrschen. Idealerweise liegt Ihnen beides.

Sie merken, jetzt wird es komplexer, weil alles ineinandergreift: Taktik, Strategie, Kriminalistik, Jura, Psychologie, Betriebswirtschaft, Unternehmensberatung. 

Gerade heiß diskutiert und auch nicht unumstritten in puncto Umsetzung für mittelständische Unternehmen ist das Lieferkettensorgfaltspflichtengesetz. „Know your customer“ ist schon ein schwieriges aber fast professionalisiertes Thema in den Unternehmen, ggf. auch noch „know your supplier“ – nun aber kommt hinzu „know the supplier of your supplier“ oder „know the customer of your customer“. Und wie genau Sie das angemessen für ein international agierendes aber dennoch mittelständisches Unternehmen umsetzen wollen, wird Ihnen schlaflose Nächte bereiten. 

Und alles wird flankiert von dem für Ermittlungen nicht unbedingt zielführenden sonst aber durchaus berechtigtem Datenschutz, der sie unter anderem zwingen will, Ihre gesammelten Erkenntnisse aus Ihren Ermittlungen auch mit denen zu teilen, die Gegenstand der – letztlich vielleicht noch ergebnislosen – Ermittlungen waren. Dies könnte eine Informationspflicht zur Unzeit auslösen, die Ihnen vielleicht Ihre weiteren Ermittlungen torpediert. Hier Entscheidungen zu treffen, erfordert Fingerspitzengefühl, rechtliches Knowhow und ein gutes Händchen für differenzierte Strategien, die Ihr Unternehmen absichern.

Andererseits sollten Sie auch sicherstellen, dass Sie nur die Informationen erheben, die Sie unbedingt benötigen (Datensparsamkeit), für die es keine andere Erhebungsmethode oder keinen geeigneteren Zeitpunkt gibt und wenn Sie mit der Erhebung der Daten schon die Persönlichkeitsrechte einzelner Betroffener verletzen, dass Sie dafür eine tragende Güterabwägung vorgeschaltet haben. Da brauchen wir dann wieder unmittelbares juristisches Knowhow gepaart mit strategischen Abwägungen und Unternehmenskenntnissen.

Auch die immer weiter ausgefeilten Anforderungen an ESG (Enviroment, Social & Governance) sind zwar seit 2017 „nur“ Berichtspflichten für börsennotierte Unternehmen, aber wie wollen Sie sich im Mittelstand dem entziehen, wenn Ihre großen Kunden dieses Reporting von Ihnen verlangen, um die eigenen Anforderungen zu erfüllen? So schwappen also auch die Gesetze, mit denen der Gesetzgeber eigentlich die Großunternehmen einfangen will, in die nachgelagerten Lieferketten. Und jeder: Compliance-Verantwortliche versucht individuelle Lösungen und Wege für das eigene Unternehmen aufzuzeigen und sich im Gespräch mit anderen Unternehmensvertreter:innen zu spiegeln, ob es denn reichen dürfte. Also müssen Sie sich auch gut vernetzen, um keine Aktualisierung zu verpassen. 

Post-Prävention bzw. Compliance im Nachgang

Compliance soll regelkonformes Handeln fördern und präventiv die Mitarbeitenden und das Unternehmen stärken. Sie wollen damit also Non-Compliance vermeiden, also müssen Sie auch wissen, wie Non-Compliance geht. Soll heißen, wenn Sie keine Vorstellung davon haben, wie ein:e Täter:in in den eigenen Reihen sich ihre bzw. seine Taschen füllt, dann werden Sie auch keinen angemessenen Weg finden, das zu verhindern. Letztlich schießen Sie dann mit Kanonen auf Spatzen, in der Hoffnung, einen Treffer zu landen. 

Compliance fängt nicht mit einem Verhaltenskodex, Regeln oder Trainings an, sondern sie beginnt mit einem Risikomanagement-System. Und ja, liebe Jurist:innen, da sind wir dann wieder in der Betriebswirtschaft angekommen. Die klassischen Instrumente des Risikomanagements benötigen wir für ein Fraud-Risk-Management. Erst wenn wir wissen, in welchem betrieblichen Risikoumfeld und mit welchen Szenarien und Eintrittswahrscheinlichkeiten wir uns bewegen, können wir angemessene und wirksame Mechanismen und Maßnahmen entwickeln, dem entgegenzuwirken. Aber eben nicht andersherum. Deshalb brauchen wir für Compliance mindestens die beiden Wissenschaften: Betriebswirtschaft und Rechtswissenschaft.

Zum Glück schreibt uns unser Gesetzgeber noch nicht vor, wie ein solches System auszusehen hat, so granular mischt er sich dann doch nicht ein. ABER: die Rechtsprechung behält sich dann doch eine Bewertung vor, ob Sie angemessen und ohne schuldhafte Unkenntnis systemische Fehler im Unternehmen erkennen und vermeiden können, oder ob Ihr System geeignet ist, systemisches Täterverhalten zu begünstigen. Also Vorsicht, einfach mal so üben und hoffen, das wird schon genügen, reicht für gute Compliance nicht. 

Ein so spannendes Geschäftsfeld wartet auf Sie, wenn Sie auf dieser Klaviatur spielen wollen. Wenn Sie das lernen wollen, dann helfen wir Ihnen, wenn Sie das nicht lernen wollen, werden Sie Hilfe brauchen.

Zur Autorin:

Die Autorin Birgit Galley ist seit über 25 Jahren als Betrugsermittlerin selbstständig und ist seit über 20 Jahren als Trainerin für unternehmenseigene Ermittlungen, Compliance und Interviews tätig. Sie ist gemeinsam mit Ingo Minoggio und Marko Schuba Herausgeberin des Fachbuches „Unternehmenseigene Ermittlungen – Recht. Kriminalistik. IT“, und ist Geschäftsführerin der School GRC Training GmbH in Berlin (www. school-grc.de), wo sich seit vielen Jahren berufsbegleitend Teilnehmende in Einzelseminaren oder in Zertifikatslehrgängen, u.a. zu CIE -Certified Investigation Expert, CCE – Certified Compliance Expert, DAS Interviews | Befragungen (diploma of advanced studies), DAS Kriminalistik, HCO – Healthcare Compliance Officer, qualifizieren.