ISO 37301:2021 Zertifizierung

„ISO 37301:2021 Compliance" ist ein internationaler Leitfaden, der Richtlinien für den Einsatz von Compliance Management Systemen (CMS) beschreibt und zur Vorbereitung auf die ISO 37301:2021 Zertifizierung dient. Compliance Management Systeme dienen dazu, externe regulatorische und interne weisungsorientierte Risiken zu identifizieren, die durch regelwidriges Verhalten durch Mitarbeitende in einem Unternehmen entstehen können. Im Weiteren hilft ein CMS, auf ein regelwidriges Verhalten rechtzeitig reagieren zu können, um damit langfristig Fehlverhalten von Mitarbeitenden zu vermeiden. Die Norm kann sowohl in Unternehmen als auch in anderen Organisationen angewendet werden. Auch kleine und mittelgrosse Unternehmen (KMU) können von der ISO Norm 37301:2021 bzw. von der ISO 37301:2021 Zertifizierung profitieren. Alle Empfehlungen darin sind skalierbar und können abhängig von der Unternehmensgrösse, in unterschiedlich starker Ausprägung angewandt werden. Die ISO Norm 37301:2021, ihre Struktur und Inhalte setzen auf etablierten Modellen bei ISO-Normen auf. Basis von ISO 37301:2021 bilden drei wesentliche Modelle, die zu einem CMS-Modell zusammengeführt wurden. Hierzu zählt das „Risk Management System“, das ISO 37301:2021 zu einem risikobasierten Standard macht. Dem Modell der „High Level Structure“ folgend, stimmt die neue Norm mit der Struktur anderer ISO Management-Systeme überein und kann problemlos in bestehende Management-Systeme integriert oder mit diesen kombiniert werden. Als drittes Modell liegt dem Standard der PDCA Zyklus zugrunde (Plan-Do-Check-Act). Dieses Modell zielt auf einen kontinuierlichen und sich wiederholenden Verbesserungsprozess ab.

Unsere Beratung ISO 37301:2021 bzw. Coaching ISO 37301:2021 kann Ihnen helfen ein Compliance Management System Ressourcen schonend und schlank umzusetzen.

(1) Compliance-Risiken identifizieren (Rechtskataster) und systematisch bewerten
Bei der Bewertung von Compliance-Risiken geht es zunächst darum, das rechtliche Umfeld des Unternehmens zu analysieren und die externen regulatorischen und internen weisungsorientierten Compliance-Verpflichtungen zu identifizieren. Mit den Aktivitäten des Unternehmens in Verbindung gebracht ergibt sich eine Art "Compliance-Risikokataster" für das Unternehmen. Diese Zusammenstellung aller rechtlichen Anforderungen im Unternehmen ist die Grundlage für alle weiteren Arbeitsschritte bei der Einrichtung und dem Betrieb des Compliance Management Systems dar.

(2) Corporate Governance / Schaffung einer Compliance-Kultur
Die ISO 37301:2021 legt besonderen Wert auf die eindeutige Zuordnung der Verantwortung und Zuständigkeiten im Unternehmen.  Auf die Vorbildfunktion und Vorbildwirkung wird grossen Wert gelegt. Bekennt sich das Management zum rechtskonformem Handeln und Wirtschaften und damit dazu, rechtswidrige Praktiken zu verhindern und zu sanktionieren, lebt sie dieses Bekenntnis auch. Auf diese Weise ist eine wichtige Voraussetzung geschaffen, dass ein Compliance Management System funktioniert.

(3) Systemische Compliance-Kontrollen
Zu den systemischen Massnahmen, die ein Unternehmen umsetzen muss, gehören Regelwerke wie ein Verhaltenskodex, Prozessbeschreibungen und Weisungen. Diese sind abhängig von den Ergebnissen der Compliance Risikoanalyse zu erarbeiten und sollten gezielt in Hinblick auf einzelne Compliance Risiken gestaltet werden.

(4) Training / Kommunikation / Schulung
Nicht jede Regelverletzung eines Mitarbeitenden geschieht vorsätzlich. Das Wissen über die Regel-Existenz  und über die Konsequenzen bei Widerhandlungen ist also entscheidend, wenn man Compliance erreichen will. Die ISO 37301:2021 Norm verlangt folglich deshalb Schulungen, die den Mitarbeitenden in die Lage versetzen soll, die Compliance Anforderungen zu kennen und entsprechend danach zu handeln. Durch laufende Kommunikation soll eine Compliance Kultur erschaffen und aufrechterhalten werden, in welcher Compliance eine allgemeine Regel ist.

(5) Überwachung / Auditing / Compliance Verstösse
Damit will die ISO Norm stichprobenhafte (und auch anlassbezogene) Kontrollen der Einhaltung der internen Compliance Vorschriften durch die interne Kontrolle (wie zum Beispiel eine interne Revision) sicherstellen. Im Weiteren ist eine ständige Beobachtung des rechtlichen Umfelds des Unternehmens sowie eine laufende Aktualisierung der Compliance Risikoanalyse erforderlich, um das CMS ständig an neue Gegebenheiten anzupassen zu können.  Festgestellte Compliance Verstösse erfordern eine Reaktion des Managements. Dazu gehören die Untersuchung des Vorfalls (Erkenntnisse), die Festlegung der Konsequenzen sowie die Entscheidung über das weitere Vorgehen.