Compliance Management in SMEs (CMS)

合规意味着 "遵守规则"--无论它是什么样的规则，也无论谁制定的规则。如果出现违规行为，公司的高层管理人员要直接承担责任。因此，组织必须决定是否实施一个跨公司的合规管理系统（CMS），以确保对规则的遵守。但这并没有结束。究竟如何验证一个CMS的有效性？

内容

建立CMS的主要动机是什么？
识别危险
相关标准
审核以确保有效性？
定期审核 - 计划周详
遵守审计的好处
结论

关于中小型公司的合规管理，设计和执行合规管理系统（CMS）乍一看似乎对任何公司都是一个耗时的经济负担。然而，如果你深入了解，你会发现有趣的观点：在管理机构的支持下，同时也通过内部和外部审计人员对CMS的适当性和有效性的审查，合规文化可持续增长，并为增加企业的成功打开了机会，从而增加公司的价值。

建立CMS的主要动机是什么？

大多数中小企业认为避免责任和防止腐败是建立CMS的最重要动机。然而，商业伙伴的要求和声誉保护也越来越重要。腐败、违反竞争法和数据保护经常被列在相关合规问题的首位。其他首要问题是公司的劳工和社会标准。

另一方面，中小企业担心所谓的合规官僚主义会给组织带来额外的负担。因此，针对中小企业的合理方法必须与大公司的方法有很大不同。

识别危险

首先，重要的是公司要通过风险分析的方式，向自己澄清其个别的合规危险性。只有在这些被确认的重要风险领域，才应该对现有的法规和行为进行审查，如果有必要，还应该进行补充。例如：公司可以先看看是否涵盖了公司中的关键子领域（如人力资源中的数据保护）或个别类型的合规性，例如，遵守职业健康和安全方面的法律义务。换句话说。如果合规措施正是基于这种风险评估，那么这些措施最终是合理和必要的。

中小企业的合规管理。相关标准

发布于2021年4月，这里要提到的第一个标准当然是ISO 37301：2021-04。该标准制定了对合规管理系统的要求和应用指南。该标准可从Beuth获得。同时，ISO 19600:2016-12（合规管理系统-指南）已被撤销。

从风险导向的角度来看，ISO 31000:2018-10也很有意思。该标准规定了处理公司所面临的风险的准则。该标准可从Beuth获得。

审计以确保有效性？

特别是考虑到法定代表人的管理职责，持续的有效性审计必须与实际的CMS放在一起。这方面的原因在于判例法。在这里，管理层必须履行两项任务，作为其监督职责的一部分。一方面，它必须监督公司为确保合规性而制定的措施。其次，它必须严格监督其有效性--而且是定期监督，而不仅仅是临时性的。这项义务适用于股份公司的董事会成员和有限责任公司的总经理。

"由独立的第三方对CMS进行的有效性审查是监测义务得到履行的客观证明"。

监督的目的是确保CMS的实施原则（行为准则、政策等）和措施（培训、控制等）适合于预防、极大地阻碍或及时发现CMS所规定的违反规则的行为。CMS的有效性可以通过内部和外部控制来检查。

通过内部控制的有效性监测。属 于系统内部的监控被称为 "内部控制"。这种控制是CMS的一个重要组成部分，也可以称为质量管理（QM）。因此，质量管理包括所有有助于创造或维持先前定义的CMS质量的准备性、伴随性和下游的措施。
通过外部控制的有效性监测。对 系统外部的监控被称为 "检查 "或 "审计"。在这种形式的监控中，审计实体是独立于系统的，不参与带来系统的实际状态。这里有一个独立性方面的优势。CMS由外部审计人员（如律师、审计师、DQS等认证机构或其他外部专家）进行审计。

定期审查 - 计划周详

为了确保独立于系统的审查的有效性，应该对间隔时间进行良好的规划。每当新实施CMS时，审查就会有帮助。此外，每隔三至五年应定期进行一次外部审核。不定期的审查是在发现违规行为后进行的。然而，即使是已经建立的CMS，越来越明显的是，定期审计被认为是事实上的强制性审计。除了与流程相关的控制之外，CMS的设计、充分性和有效性也应定期审查，独立的系统审计或认证最好每年进行一次，至少每三年进行一次。

合规性审计的优势

当涉及到中小企业的合规管理时，一般可以从合规性审计中获得如下的附加价值。

优化现有流程
对CMS中的弱点的认识
提高CMS的效率和效益
引入现代标准
建立合规文化
提高竞争力
保障运营业务的安全
确保企业的可持续成功
增加公司的价值

正确的审计师 - 最重要的决策标准。

CMS的有效性审计包含了多学科的要求。因此，审计师的专业知识必须放在首位。→ 例如，审计师必须拥有相关的法律和商业知识以及行业经验。 →审计师的独立性必须得到保证（在事实中的独立，但也要考虑到公众在外观上的独立）。→ 最后，重要的是，审计要有较高的市场声誉。→既定的审计和认证标准的一个例子是，例如，IDW的审计标准 "合规管理系统的正确审计原则"（IDW PS 980）。→ 对CMS的外部审计结果可以用来"认证 "一个经过审计的CMS。颁发的证书代表了外部对CMS符合规定要求的证明。它规定了证书的有效期和范围，目标对象和审计程序（审计的主体、类型和范围），以及对审计机构的独立性和能力的要求（"认证"）。