Corporate Governance, Compliance und Risk Management

Was ist eigentlich Corporate Governance?

"Die Regierung", "die Steuerung", "die Gesamtheit der organisatorischen und inhaltlichen Ausgestaltung der Führung und Überwachung von Unternehmen" - so wird der Begriff der Governance gemeinhin übersetzt. Ein weites Feld, das im internationalen Vergleich ganz unterschiedliche Schwerpunkte erfährt und doch immer wieder etwas gemeinsam hat: Die Verzahnung mit Compliance und Risikomanagement.

von Alexa v. Busse, am 28. Oktober 2009

Man könnte sie als Navigationssoftware auf dem Weg zur nächsten Ölquelle bezeichnen: In der Privatwirtschaft vereint Corporate Governance [1] Verhaltensregeln, Bewertungsmaßstäbe und Risikomanagement. Mit ihrer Hilfe muss das Unternehmensschiff durch möglichst transparente Ozeane gesteuert und gleichzeitig die Lebewesen an Bord und im Wasser geschützt werden. Aber wie?

Lange Zeit waren Governance, Compliance und Risikomanagement voneinander getrennte Geschäftsfelder. Doch die Standards zur Umsetzung von Corporate Governance lassen es von Neuerung zu Neuerung deutlicher werden: Nur gemeinsam bringen sie das Schiff voran, wie Motor und Schraube müssen sie zusammenwirken. Dr. Ulrich Kampffmeyer, Geschäftsführer der PROJECT CONSULT Unternehmensberatung GmbH formuliert das so: „Compliance-Anforderungen beinhalten Verpflichtungen zu Risikomanagement und der Einhaltung von Governance-Richtlinien. Risikomanagement beinhaltet die Bewertung von Compliance-Anforderungen, und Corporate Governance umfasst sowohl Compliance als auch Risikomanagement.“

Corporate Governance im internationalen Vergleich

International gelten die „Principles of Corporate Governance [7]“ der OECD von 1984, erneuert wurden sie 2004. Sechs Punkte beschränken die Rechte von CFO und Shareholder, regeln die Transparenz und Ausweispflicht für Unternehmen sowie die Verantwortung des Vorstands. Auf europäischer Ebene ist das nicht so klar geregelt. Hier wurde 2004 das European Corporate Governance Forum als Beratungsgremium eingerichtet, verbindliche Richtlinien aber wurden bisher nicht aufgestellt.

So verfolgt jedes Land momentan eine eigene Strategie. Die Franzosen haben ihr Loi de Sécurité Financière, das Gesetz zur Finanzsicherheit von 2003. Großbritannien dagegen verliert sich in Reports (Cadbury, Greenbury, Hampel, Turnbull) und auch Deutschland, Österreich und die Schweiz schwanken zwischen Gesetzen und unverbindlicher Selbstverpflichtung.

Corporate Governance in Deutschland

 Seit 2002 richtet man sich hierzulande nach dem Corporate-Governance-Kodex. Verschiedene Gesetze und Verordnungen wie das KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmensbereich) und das UMAG (Gesetz zur Unternehmensintegrität und Modernisierung des Anfechtungsrechts) liegen diesem Kodex in der heutigen Form von 2008 zugrunde – nicht zuletzt die Folge völlig neuer Technologien im wechselnden Jahrtausend, das mit einer geplatzten Spekulationsblase in der Internet- und Telekommunikationsbranche begonnen hatte (Dotcom-Blase). Vor allem das KonTraG wird auch als dem Risikomanagement zugrunde liegendes Gesetz genannt – ein weiteres Indiz für die unterm Strich schon früher geltende enge Verzahnung der.

Corporate Governance in Österreich und der Schweiz

Der ÖCGK (Österreichischer Corporate Governance Kodex) von 2002 regelt die Führung und Kontrolle von Unternehmen unserer Nachbarn im Südosten. 2005 und 2006 wurden noch einmal Änderungen im Hinblick auf die Zusammensetzung von Aufsichtsräten und die Unabhängigkeit des Abschlussprüfers eingeführt. Er ist vor allem Instrument zur Vertrauensförderung der Anleger, und auch hier finden sich unter Abschnitt VI Vorgaben zur Transparenz und Prüfung für das Risikomanagement.

Die Schweizer nennen ihre Empfehlung zur Corporate Governance den „Swiss Code of Best Practice“, kurz „Swiss Code“. Der Dachverband Economiesuisse richtete sich 2002 hauptsächlich an die Unternehmen, die an der Swiss Exchange notiert sind, an Aktiengesellschaften also. So beinhaltet er in erster Linie Vorgaben für den Verwaltungsrat, zum Beispiel den Umgang mit Interessenkonflikten und Wissensvorsprüngen, Personalunion und Doppelspitze etc. Und auch im Bereich Risiko Management ist der Verwaltungsrat jetzt gefragt: Seit 2008 ist er ausdrücklich verpflichtet, eine Risikobeurteilung durchzuführen und diese wie die Jahresrechnung zu dokumentieren.

GRC als ganzheitlicher Ansatz

Um der geforderten Transparenz und Nachvollziehbarkeit auch in der Praxis Rechnung tragen zu können, können Governance, IT-Governance [8], Compliance, Risiko- und Qualitätsmanagement nicht mehr voneinander getrennt bearbeitet werden. Eine ganzheitliche Betrachtung wird gebraucht, bei der die Governance die Regeln und Richtlinien liefert, das Risikomanagement diese bewertet und die praktische Umsetzung mit Hilfe von Compliance gesichert wird. „Abgesehen von den Anforderungen aus Dokumentationssicht ist hier auch ein wirtschaftlicher Faktor zu berücksichtigen“, so Kampffmeyer. GRC als Einheit ermögliche auch die Einsparung von Kosten und wirtschaftliches Arbeiten, wenn zum Beispiel die Kosten für die Umsetzung der Anforderungen ins Positive gewendet werden und zum Unternehmenserfolg beitragen.