Ihr Unternehmen ist zahlreichen Risiken ausgesetzt, die operative und finanzielle Konsequenzen haben können, die Reputation beschädigen können und im schlimmsten Fall den Fortbestand des Unternehmens gefährden. Dabei hat sich das Umfeld in den letzten Jahren massiv gewandelt. Neben den Auswirkungen der geopolitischen Lage und COVID19 auf die globalen Lieferketten, gestiegenen Rohstoffpreisen und Fachkräftemangel treten verstärkt neue Risiken wie Cyber-Attacken und Compliance-Verstöße auf den Plan. Die Corporate Social Responsibility Directive (CSRD), flankiert durch das Lieferkettensorgfaltspflichtengesetz (LkSG), das Hinweisgeberschutzgesetz (HinSchG), KRITIS, NIS2 und weitere Vorgaben drohen die Unternehmen zu überfordern und bei Nichtbeachtung erheblich zu schädigen. Dazu kommen weitere singuläre Ereignisse wie Betrug, Korruption, Kartellverstöße und generelle Verletzung der Sorgfaltspflichten.

Compliance und Risikomanagement
Compliance wird oft als Schlagwort für überbordende Prozesse und Kontrollen in Großunternehmen gesehen; dabei betrifft es auch den Mittelstand. Die „Rechts- und Regeltreue“ ist selbstverständlich – es gibt keine nützlichen oder lässlichen Rechts- und Regelverstöße. Neben etwa den selbstverständlichen steuerlichen, arbeitsrechtlichen, kartellrechtlichen oder etwa strafrechtlichen Vorgaben sind Verordnungen (etwa zum Arbeits- oder Umweltschutz) und neue Regelungen etwa aus der CSRD, dem LkSG oder dem HinSchG beachten. Zugleich haben die Datenschutz-Compliance durch die DSGVO und die IT-Compliance (u.a. aus der Ausweitung der KRITIS-Anwendungsfälle und NIS2) erheblich an Bedeutung gewonnen. Selbst wenn Ihr Unternehmen unter den jeweiligen Schwellenwerten liegt, besteht eine Betroffenheit aus der Weitergabe von Anforderungen, die Ihre Kunden betreffen.
Das Risikomanagement ist in der Wahrnehmung hinter das Compliance Management zurückgetreten. Dabei gilt: Das Risikomanagement ist der umfassende Begriff! Compliance ist „nur“ eine Risikokategorie innerhalb des Risikomanagements – neben operativen und strategischen Risiken sowie Risiken im (Financial) Reporting. Daher sollte immer mit der Gesamtsicht auf die zu bewältigenden unternehmens- und branchenspezifischen Risiken begonnen werden. Ein funktionierendes Compliance Management-System (CMS) muss in ein funktionierendes Risikomanagement-System (RMS) eingebettet sein.

(Forensische) Sonderuntersuchungen
Bei Hinweisen auf bewusste oder unbewusste Compliance-Verstöße muss die Geschäftsleitung diesen nachgehen. Zur Erstbewertung werden Kriterienkataloge angewandt, um die Glaubwürdigkeit von Hinweisgebern und die Plausibilität der Hinweise zu bewerten. Danach ist ggfs. eine Sonderprüfung durchzuführen. Hier sind regelmäßig erste Schutzmaßnahmen zu ergreifen und zur Vermeidung von unerwünschter Öffentlichkeit die interne Sonderuntersuchung gegen die Einschaltung der Strafverfolgungsbehörden oder der Landesdatenschutzbehörde bzw. des Bundeskartellamtes abzuwägen. Gleichzeitig sind die Betroffenenrechte zu wahren.
Hinweise auf Sorgfaltspflichtenverstöße von Geschäftsleitung und/oder Aufsichtsorgan erfordern eine analoge Vorgehensweise. Auch mögliche Verstöße gegen die Treuepflicht von Gesellschaftern sind regelmäßig Gegenstand von Sonderuntersuchungen (etwa Konkurrenztätigkeit, Geheimnisverrat und ähnliche Sachverhalte).
Die Herausforderung einer internen Sonderuntersuchung besteht regelmäßig darin, dass große Datenmengen gezielt durchsucht werden müssen und Hintergrundinformationen zu den handelnden Personen und Unternehmen eingeholt werden müssen, um „Nähebeziehungen“ nachzuweisen. Und schließlich gilt es, bei der Befragung der von Mitarbeiterinnen/Mitarbeitern und Betroffenen rechtlich einwandfrei vorzugehen, um ein späteres Beweisverwertungsverbot zu vermeiden. Hierdurch unterscheiden sich forensische Sonderuntersuchungen: Sie werden von Anfang an so angelegt und dokumentiert, dass sie „gerichtsfest“ sind.

Cyber-Sicherheit
Kein Unternehmen ist sicher. Laut dem jährlichen Risikobarometer der Allianz Versicherungsgruppe sehen inzwischen 45% der befragten Unternehmen Cyber-Angriffe als die größte Bedrohung an. Ein erfolgreicher Angriff führt im Durchschnitt zu drei Wochen „Downtime“. Laut BITKOM betrug der jährliche Schaden allein in Deutschland zuletzt rd. 300 Mrd. Euro und lag im Schnitt bei 1,8 Mio. Euro bei den betroffenen Unternehmen. Bei täglich 270.000 neuen Malware-Varianten sind die Systeme mit der Abwehr oft überfordert. Zu der Systemüberforderung gesellt sich der menschliche Faktor: Rund 60% der erfolgreichen Angriffe basierten auf Phishing, dem Besuch verseuchter Websites oder etwa verseuchten E-Mail-Anhängen.
Nachdem Großunternehmen entsprechend reagiert haben, geraten nun Mittelständler zunehmend ins Visier von Angreifern. Deren Motivation reichen von „sportlichem“ Ehrgeiz über Wirtschafts- und Konkurrenzspionage bis hin zur simplen Erpressung mittels Ransomware – sonst wird die IT lahmgelegt oder vertrauliche Daten veröffentlicht. Bei einem mittelständischen Automobilzulieferer, wo nach einem Angriff und dem Ausfall kritischer IT-Infrastruktur die Produktion mit manuellen Pick-Listen nur wenige Stunden aufrechterhalten werden konnte, hätten die fälligen Pönalen für den anschließenden Lieferstopp beinahe die Existenz des Zulieferers gekostet.
Die EU hat nun mit dem Cyber Resilience Act und der NIS2-Richtlinie einen Rahmen geschaffen, von dem bis Herbst 2024 rd. 40.000 deutsche Firmen betroffen sind. Es empfiehlt sich dringend, nun eine entsprechende Sicherheitsarchitektur aufzubauen und auch nach ISO27001 zertifizieren zu lassen.

Untersuchung von Insolvenzfällen
Insolvenzverwalter sehen sich mit Blick auf die Feststellung des Zeitpunkts der Insolvenzreife und der entsprechenden Kenntnis der Geschäftsleitung sowie der Suche nach Vermögensverschiebungen vor dem Insolvenzstichtag oder anderen dolosen Handlungen inzwischen einer großen Menge an zu analysierenden Daten gegenüber, bei denen eine „händische“ Auswertung aus Effizienz- und Zeitgründen oftmals ausscheidet. Gleichzeitig müssen evtl. gelöschte Dateien wiederhergestellt und digitale Beweismittel auf mobilen Endgeräten einschl. Chatverläufen gesichert und lesbar gemacht werden.
Hier bietet sich eine professionelle Unterstützung im Rahmen einer eDiscovery mit Data Analytics-Techniken an, um schnell und effizient die wesentlichen Feststellungen treffen zu können.