Compliance (zu Deutsch: Regelkonformität) bezeichnet die Einhaltung der für ein Unternehmen relevanten gesetzlichen, regulatorischen, behördlichen, vertraglichen und unternehmensinternen Anforderungen. Sie ist Bestandteil einer verantwortungsvollen Unternehmensführung und betrifft unterschiedliche Unternehmensbereiche.

Welche Compliance-Anforderungen für eine Organisation relevant sind, hängt unter anderem von ihrer Tätigkeit, Branche, Unternehmensgröße, ihren Kunden und Geschäftspartnern sowie den geltenden gesetzlichen und regulatorischen Rahmenbedingungen ab.

Im Zusammenhang mit Informationstechnologie, Informationssicherheit, Datenschutz und digitalen Geschäftsprozessen spricht man von IT-Compliance. Sie stellt einen Teilbereich der allgemeinen Compliance dar und befasst sich insbesondere mit den für die IT relevanten Anforderungen.

Auch Managementsysteme wie ISO 9001 (Qualitätsmanagement), ISO 14001 (Umweltmanagement) und ISO/IEC 27001 (Informationssicherheitsmanagement) unterstützen Organisationen dabei, relevante Anforderungen systematisch zu identifizieren, in ihre Prozesse einzubeziehen und deren Umsetzung regelmäßig zu überprüfen.

Compliance und Managementsysteme

Compliance-Anforderungen spielen auch in Managementsystemen eine wichtige Rolle. Organisationen müssen für sie relevante gesetzliche, behördliche, regulatorische, vertragliche und weitere Anforderungen kennen und innerhalb ihrer Prozesse angemessen berücksichtigen.

Dabei setzen Managementsystemnormen unterschiedliche Schwerpunkte:

• ISO 9001 – Qualitätsmanagement: unterstützt eine systematische Ausrichtung auf Kundenanforderungen sowie anwendbare gesetzliche und behördliche Anforderungen an Produkte und Dienstleistungen.
• ISO 14001 – Umweltmanagement: verlangt die systematische Ermittlung und Berücksichtigung relevanter bindender Verpflichtungen im Zusammenhang mit den Umweltaspekten einer Organisation.
• ISO/IEC 27001 – Informationssicherheitsmanagement: unterstützt dabei, relevante rechtliche, regulatorische und vertragliche Anforderungen an die Informationssicherheit systematisch zu berücksichtigen und Informationssicherheitsrisiken strukturiert zu steuern.

Ein Integriertes Managementsystem (IMS) kann dabei unterstützen, unterschiedliche Anforderungen gemeinsam und strukturiert zu erfassen, Verantwortlichkeiten festzulegen, Maßnahmen umzusetzen sowie deren Einhaltung und Wirksamkeit regelmäßig zu überprüfen. Dadurch können Überschneidungen zwischen Qualität, Umwelt, Informationssicherheit und Compliance effizient genutzt werden.

Eine Zertifizierung nach einer Managementsystemnorm stellt dabei grundsätzlich keinen pauschalen Nachweis vollständiger Rechtskonformität dar. Sie bestätigt vielmehr, dass das jeweilige Managementsystem innerhalb seines festgelegten Geltungsbereichs die Anforderungen der betreffenden Norm erfüllt.

Unternehmerische Relevanz und Haftungsrisiken

Compliance ist längst keine ausschließliche Aufgabe einzelner Fachabteilungen, sondern eine unternehmensweite Verantwortung. Geschäftsleitung, Fachbereiche, IT und weitere verantwortliche Stellen müssen abhängig von den jeweils anwendbaren Anforderungen zusammenwirken.

Verstöße gegen gesetzliche oder regulatorische Vorgaben können finanzielle Sanktionen, Haftungsrisiken, operative Beeinträchtigungen und Reputationsschäden zur Folge haben. Deshalb ist es wichtig, relevante Anforderungen systematisch zu identifizieren, Verantwortlichkeiten festzulegen sowie erforderliche Maßnahmen umzusetzen und regelmäßig zu überprüfen.

Auch innerhalb komplexer Lieferketten (Supply Chain) gewinnt Compliance zunehmend an Bedeutung. Geschäftspartner und Auftraggeber können Anforderungen an Informationssicherheit, Datenschutz, Qualität, Umweltmanagement oder andere Compliance-Bereiche stellen und entsprechende Nachweise verlangen. Hierzu können beispielsweise Zertifizierungen nach ISO 9001, ISO 14001 oder ISO/IEC 27001 gehören.

Weitere Informationen finden Sie unter → IT-Compliance.