Anlass · Jährliche Compliance-Risikoanalyse
Die externe Hälfte Ihrer jährlichen Compliance-Risikoanalyse.
Die meisten jährlichen Risikoanalysen stützen sich auf interne Workshops und Fragebögen. Wir ergänzen, was diese nicht sehen können: Enforcement-Umfeld, Branchenfälle und Länderindikatoren für Ihre Märkte – bewertet auf einer Skala, mit der Ihr Risikoregister arbeiten kann.
Die Ausgangslage
Jedes Compliance-Management-System beruht auf einer Risikoanalyse, und jedes anerkannte Rahmenwerk erwartet, dass sie regelmäßig wiederholt wird. In der Praxis ist die jährliche Aktualisierung oft eine Neuauflage des Vorjahres-Workshops – mit wenig neuer externer Information.
Abschlussprüfer, Zertifizierer und Behörden fragen zunehmend, wie die Analyse die tatsächliche Präsenz des Unternehmens abbildet: seine Standorte, seine Branchen und die Durchsetzungspraxis, der es dort ausgesetzt ist.
Fragen, die die Analyse beantwortet
- Wie hat sich das externe Risiko in unseren Märkten und Branchen seit dem Vorjahr verändert?
- Welche neuen Gesetze, Enforcement-Schwerpunkte oder Fälle müssen berücksichtigt werden?
- Deckt sich die interne Einschätzung mit der externen Beweislage, oder gibt es blinde Flecken?
- Wie dokumentieren wir die Analyse für Prüfer, Zertifizierer und Behörden?
- Welche Fokusthemen und Länder verdienen im nächsten Jahr mehr Kontrollaufwand?
Typischer Scope
Alle wesentlichen Länder und Branchen der Gruppe, alle sieben Fokusthemen oder die Auswahl, die Ihr Compliance-Programm abdeckt. Das interne Modul verknüpft das externe Bild mit Ihren eigenen Fällen, Geschäftspartnern, Sponsoring, Spenden, Mitgliedschaften sowie Geschenken und Einladungen.
- Erstes Jahr: vollständige Basisanalyse
- Folgejahre: Aktualisierung von Bewertungen, neuen Fällen und veränderten Indikatoren, Änderungen gekennzeichnet
Was Sie erhalten
- Bewertung je Land × Branche × Fokusthema auf einer fünfstufigen Skala
- Fallregister und Indikatortabellen im XLSX-Anhang, bereit für Ihr Risikoregister
- Zuordnung der Befunde zu den Anforderungen an die Risikoanalyse in den Rahmenwerken, denen Sie folgen
- Dokumentierte Quellen und Begründungen für Prüfung und Zertifizierung
- Empfohlene Prioritäten für das Compliance-Programm
Welche Rahmenwerke das unterstützt
Die Analyse ist als Input für das Element Risikoanalyse dieser Rahmenwerke angelegt. Sie ersetzt nicht Ihre eigene Bewertung der Kontrollen.
- IDW PS 980
- Prüfungsstandard für Compliance-Management-Systeme; Compliance-Risiken sind eines seiner Grundelemente.
- ISO 37301
- Compliance-Managementsysteme: verlangt eine dokumentierte Compliance-Risikobewertung, die in geplanten Abständen und bei veränderten Umständen überprüft wird.
- ISO 37001
- Managementsysteme zur Korruptionsbekämpfung: verlangt eine regelmäßige, dokumentierte Bewertung des Bestechungsrisikos.
- US DOJ Evaluation of Corporate Compliance Programs
- Fragt, ob die Risikobewertung aktuell ist, Daten und Lessons Learned nutzt und Standorte, Branche und regulatorisches Umfeld des Unternehmens abbildet.
- Lieferkettensorgfaltspflichtengesetz (LkSG)
- Verlangt eine jährliche und anlassbezogene Analyse menschenrechtlicher und umweltbezogener Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern (§ 5 LkSG). Änderungen des Gesetzes sind im Gesetzgebungsverfahren; die bisher bekannten Entwürfe lassen die Pflicht zur Risikoanalyse bestehen, können aber den Kreis der erfassten Unternehmen ändern.
Wir liefern eine Risikoanalyse, keine Rechtsberatung. Ob Ihr Programm einen bestimmten Standard erfüllt, beurteilen Ihre Prüfer und Rechtsberater.
Fragen zur jährlichen Risikoanalyse
Macht uns die Analyse konform mit ISO 37301 oder ISO 37001?
Nein. Sie liefert Input für die Anforderung an die Risikobewertung in diesen Normen. Ob eine Zertifizierung möglich ist, hängt vom gesamten Managementsystem ab und wird von einer akkreditierten Zertifizierungsstelle beurteilt.
Wir führen bereits interne Risiko-Workshops durch. Ist das doppelte Arbeit?
Nein. Workshops erfassen internes Wissen; die externe Analyse ergänzt Enforcement-Daten, Branchenfälle und Indikatoren. Das interne Modul kann beide Sichten in einer Bewertung zusammenführen.
Wie funktioniert die Aktualisierung in den Folgejahren?
Wir bewerten denselben Scope mit denselben Kriterien neu, ergänzen neue Fälle und veränderte Indikatoren und kennzeichnen jede Bewertung, die sich bewegt hat. Der Scope lässt sich jederzeit erweitern.
Nennen Sie uns die Entscheidung, die Sie vorbereiten.
Schicken Sie uns Länder, Branchen und den Entscheidungskontext. Sie erhalten einen Scope-Vorschlag mit festem Umfang, Zeitplan und Preis.