Risikobewertung und Due Diligence

In diesem Abschnitt werden die Konzepte der Risikobewertung und der Sorgfaltspflicht erläutert und Hinweise gegeben, wie eine Organisation diese Maßnahmen in angemessener und verhältnismäßiger Weise durchführen kann (Maßnahme 11 des Antikorruptionsprogramms für Organisationen ).

Dieser Abschnitt enthält allgemeine Hinweise. Vier weitere Abschnitte enthalten spezifische zusätzliche Hinweise zu verschiedenen Kategorien der Risikobewertung. Die Organisation muss diese allgemeinen Grundsätze und Hinweise anpassen, um ein für ihr Geschäft geeignetes Risikobewertungs- und Due-Diligence-Verfahren zu implementieren und den Korruptionsrisiken, denen sie ausgesetzt ist, angemessen zu begegnen.

Wie in „ Was ist Korruption?“ erläutert , verwendet GIACC den Begriff „Korruption“ in einem weiteren Sinne, der Bestechung, Erpressung, Betrug, Kartelle, Machtmissbrauch, Veruntreuung und Geldwäsche einschließt. Folglich gelten die Hinweise in diesem Abschnitt für alle derartigen Straftaten.

In diesem Abschnitt bezeichnet „Geschäftspartner“ jede Partei, mit der die Organisation Verträge abschließt oder abzuschließen plant, einschließlich, aber nicht beschränkt auf Klienten, Kunden, Joint-Venture-Partner, Konsortialpartner, Auftragnehmer, Berater, Subunternehmer, Lieferanten, Verkäufer, Berater, Agenten, Vertriebshändler, Vertreter und Vermittler (jedoch nicht das Personal der Organisation).

Was ist Risikobewertung?

Eine Risikobewertung ist eine von einer Organisation durchgeführte Überprüfung, um die Risiken zu bewerten, denen sie bei ihren Aktivitäten ausgesetzt sein kann, und um festzustellen, ob ihre Richtlinien und Verfahren geeignet sind, diese Risiken auf ein akzeptables Maß zu reduzieren. Die Risikobewertung kann eine Vielzahl von Risiken berücksichtigen, beispielsweise finanzielle, kommerzielle, politische, technische, Sicherheits-, Qualitäts-, Umwelt- und Korruptionsrisiken.

Eine Bewertung des Korruptionsrisikos kann von einer Organisation im Rahmen ihrer allgemeinen Risikobewertung oder als separate Bewertung durchgeführt werden, die sich speziell auf das Korruptionsrisiko konzentriert. Die folgenden Leitlinien befassen sich ausschließlich mit dem Korruptionsrisiko.

In diesem Leitfaden bedeutet „akzeptables“ Risikoniveau, dass das Korruptionsrisiko unter Berücksichtigung der Richtlinien und Verfahren der Organisation so gering erscheint, dass es vernünftig ist, die Geschäftsbeziehung, Transaktion oder das Projekt fortzusetzen.

Was ist Sorgfaltspflicht?

Due Diligence bedeutet, dass ein Unternehmen bestimmte Länder, Transaktionen, Projekte oder Geschäftspartner untersucht, um mehr über diese und die damit verbundenen Risiken für das Unternehmen zu erfahren. Die Ergebnisse der Due Diligence fließen in die entsprechende Risikobewertung ein.

Wechselwirkung zwischen Risikobewertung und Due Diligence

Risikobewertung und Due Diligence sind zwar unterschiedliche Konzepte, sie hängen jedoch zusammen und wirken zusammen. Grundsätzlich ist es möglich, eine Risikobewertung ohne eine spezifische Due Diligence durchzuführen. Kennt ein Unternehmen beispielsweise die Länder, in denen es tätig ist, sehr gut und arbeitet mit langjährigen, bekannten Geschäftspartnern zusammen, kann es bei der Risikobewertung auf eine spezifische Due Diligence verzichten, da die kritischen Punkte aufgrund früherer Due Diligence-Prüfungen bereits bekannt sind. Auch bei Transaktionen, Projekten oder Geschäftspartnern, die voraussichtlich ein geringes Korruptionsrisiko bergen, muss ein Unternehmen normalerweise keine Due Diligence durchführen. Sind das Land, die Transaktion, das Projekt und/oder der Geschäftspartner jedoch neu für das Unternehmen und/oder bergen sie ein mehr als geringes Korruptionsrisiko, ist wahrscheinlich eine gewisse Due Diligence erforderlich, bevor die Risikobewertung ordnungsgemäß abgeschlossen werden kann.

Zwar ist es möglich, dass eine Risikobewertung auch ohne Due Diligence allein auskommt, doch ist Due Diligence im Wesentlichen ein Instrument, das nur dann zum Einsatz kommt, wenn die Organisation ein Risiko bewertet und weitere Informationen benötigt, um ihre Bewertung ordnungsgemäß abschließen zu können.

Wechselbeziehung zwischen Risikobewertung und den Richtlinien und Verfahren der Organisation

Bei der ersten Kategorisierung der Korruptionsrisiken (z. B. in niedrige, mittlere und hohe Stufen) sollte die Organisation diese anhand der Wahrscheinlichkeit ihres grundsätzlichen Eintretens kategorisieren (d. h. ohne Berücksichtigung der Auswirkungen der Richtlinien und Verfahren der Organisation). So kann beispielsweise die Arbeit in einem Land, in dem Korruption als weit verbreitet gilt, als hohes Risiko eingestuft werden.

Die Risikobewertung sollte die Richtlinien und Verfahren der Organisation berücksichtigen und anschließend die Eintrittswahrscheinlichkeit des Risikos sowie die voraussichtliche Schwere des Ergebnisses bewerten. Beispielsweise kann das bewertete Risiko der Arbeit in einem Land hoch sein, die Organisation kann jedoch feststellen, dass der Eintritt des Risikos unwahrscheinlich ist, wenn sie gemäß ihren Verfahren nur für Kunden mit guten Kontrollen bei Ausschreibungen und Projektmanagement arbeitet und strenge Kontrollen ihrer Lieferkette und ihres Personals implementiert. Sollte dies dennoch der Fall sein, können die Folgen angemessen gemildert werden. Daher wurde ein potenziell hohes Risiko aufgrund der Kontrollen des Kunden und der Organisation auf ein geringes oder mittelschweres Risiko reduziert.

Die Organisation sollte die Ergebnisse ihrer Risikobewertung berücksichtigen und sicherstellen, dass bei höheren Risikokategorien ein höheres Maß an Kontrolle implementiert wird, mit der Absicht, alle Kategorien auf ein akzeptables Risiko zu reduzieren.

Wenn das bewertete Risiko auch unter Berücksichtigung der Richtlinien und Verfahren der Organisation noch immer hoch ist, kann die Organisation entscheiden, ob verstärkte Kontrollen das Risiko auf ein akzeptables Niveau senken würden oder ob es für die Organisation notwendig ist, nicht an dem Projekt teilzunehmen oder nicht mit diesem Geschäftspartner zusammenzuarbeiten, da das Risiko unannehmbar hoch ist.

Zweck der Risikobewertung und Due Diligence

Der Zweck der Korruptionsrisikobewertung und der im Rahmen der Risikobewertung durchgeführten Due Diligence besteht nicht darin, alle möglichen Korruptionsrisiken auszuschließen. Vielmehr geht es darum, nach angemessenen und verhältnismäßigen Ermittlungen und entsprechender Prüfung des Sachverhalts festzustellen, ob das Korruptionsrisiko so gering erscheint, dass eine Fortsetzung der Geschäftsbeziehung, Transaktion oder des Projekts sinnvoll ist.

Umfang der Risikobewertung 

Die von der Organisation implementierten Verfahren zur Bewertung des Korruptionsrisikos sollten so gestaltet sein, dass die Organisation Folgendes bewerten kann:

• das Korruptionsrisiko im Zusammenhang mit seinen bestehenden und geplanten Aktivitäten; und
• ob seine Richtlinien und Verfahren ausreichen, um diese Risiken auf ein akzeptables Maß zu reduzieren.

Eine Risikobewertung kann auf verschiedenen Ebenen erfolgen.

• Es kann sich um eine allgemeine Risikobewertung handeln, die die Risiken, denen die Organisation im Hinblick auf ihre Gesamtaktivitäten ausgesetzt ist, allgemein betrachtet.
• Es kann sich um eine spezifische Risikobewertung handeln, die ein bestimmtes Land, eine Transaktion, ein Projekt und/oder einen Geschäftspartner ausreichend detailliert untersucht.
• Normalerweise handelt es sich dabei um eine Kombination der oben genannten Maßnahmen, wobei eine allgemeine Risikobewertung und spezifische Risikobewertungen für Länder, Projekte und Geschäftspartner mit höherem Risiko durchgeführt werden.

Kategorien der Risikobewertung

Es gibt vier Hauptkategorien der Risikobewertung (weitere Hinweise zu den einzelnen Kategorien finden Sie auf den separaten verlinkten Seiten):

Korruptionsrisikobewertung der Organisation: Dabei werden die allgemeinen Korruptionsrisiken untersucht, denen die Geschäftstätigkeit der Organisation ausgesetzt ist (eine Übersichtsrisikobewertung).

Länderbezogene Korruptionsrisikoanalyse : Dabei werden die allgemeinen Arten und das Ausmaß der Korruptionsrisiken untersucht, die in den einzelnen Ländern auftreten können, in denen die Organisation Transaktionen oder Projekte durchführt oder durchzuführen plant.

Projektbezogene Korruptionsrisikobewertung : Dabei werden Art und Ausmaß der Korruptionsrisiken untersucht, die im Zusammenhang mit einem bestimmten Projekt oder einer Transaktion auftreten könnten, die die Organisation durchführt oder durchzuführen plant.

Risikobewertung der Korruptionsgefährdung von Geschäftspartnern : Dabei werden Art und Ausmaß der Korruptionsrisiken untersucht, die im Zusammenhang mit einer bestimmten Kategorie von Geschäftspartnern oder einem bestimmten Geschäftspartner auftreten können.

Die Art und Weise, wie die Organisation diese Risikobewertung durchführt, hängt von der Größe und Komplexität der Organisation und der Art ihrer Arbeit ab.

• Wenn die Aktivitäten der Organisation relativ einfach und geschäftsübergreifend ähnlich sind, sie dauerhaft in einem oder mehreren Ländern tätig ist, mit dem gleichen Pool vertrauter Geschäftspartner zusammenarbeitet und relativ routinemäßige wiederkehrende Aufträge übernimmt, kann eine jährliche allgemeine Bewertung des Korruptionsrisikos der Organisation ausreichend sein. Das allgemeine Länder-, Projekt- und Geschäftspartnerrisiko kann im Rahmen der Bewertung des Korruptionsrisikos der Organisation bewertet werden, ohne dass separate Länder-, Projekt- oder Geschäftspartnerrisikobewertungen erforderlich sind.

• Sind die Aktivitäten einer Organisation komplexer oder variieren sie innerhalb ihres Geschäftsfelds, ist sie in vielen Ländern tätig, nutzt eine Vielzahl von Geschäftspartnern oder führt sie verschiedene Arten von Transaktionen oder Projekten durch, die unterschiedliche Korruptionsrisiken bergen können, empfiehlt es sich, jährlich eine Bewertung des Korruptionsrisikos der Organisation durchzuführen, die einen Überblick über die Risiken der Organisation bietet. Darüber hinaus sollten für Länder, Projekte und Geschäftspartner, die ein höheres als ein geringes Korruptionsrisiko bergen, separate Bewertungen erstellt werden. Eine Zusammenfassung der einzelnen Bewertungen kann in die jährliche Bewertung des Korruptionsrisikos der Organisation einfließen.

• Wenn die Organisation an mehreren Großprojekten in verschiedenen Ländern arbeitet und dabei bestimmte Geschäftspartner einbindet, kann es sinnvoll sein, keine separaten Länder- und Geschäftspartner-Risikobewertungen durchzuführen, sondern die Länder-, Geschäftspartner- und Projektrisiken in spezifischen Projekt-Korruptionsrisikobewertungen zusammenzufassen. Es gäbe dann eine jährliche Organisations-Korruptionsrisikobewertung und mehrere spezifische Projekt-Korruptionsrisikobewertungen für die größeren Projekte mit höherem Risiko. Eine Zusammenfassung der einzelnen Projektbewertungen kann in die jährliche Organisations-Korruptionsrisikobewertung einfließen.

• In Bezug auf Geschäftspartner kann die Organisation eine jährliche Risikobewertung der Geschäftspartner nach Kategorien vornehmen (d. h. sie nach Faktoren wie dem Umfang ihrer Arbeit, der wahrscheinlichen Beziehung zu Kunden oder Regierungsbeamten usw. in Kategorien mit hohem, mittlerem und niedrigem Risiko einteilen) und dann nur bei Geschäftspartnern, bei denen ein höheres als ein geringes Korruptionsrisiko besteht, spezifische Bewertungen des Korruptionsrisikos für Geschäftspartner vornehmen.

Daher muss die Organisation ermitteln, wie sie ihre Korruptionsrisiken am effektivsten und angemessensten einschätzen kann, und dann ihren Risikobewertungsprozess entsprechend anpassen.

Die oben genannten separaten Webseiten zur Bewertung des Korruptionsrisikos von Organisationen, Ländern, Projekten und Geschäftspartnern enthalten Vorschläge zur Umsetzung dieser verschiedenen Bewertungen. In jedem Fall sollte die Organisation diese Leitlinien jedoch an ihr eigenes Unternehmen anpassen und einen Risikobewertungsprozess entwickeln, der ihrer Struktur, ihrem Geschäftsmodell und ihren Korruptionsrisiken am besten entspricht.

Wann sollte eine Due Diligence durchgeführt werden?

Die obigen Abschnitte beschreiben die verschiedenen Arten der Risikobewertung. Wann sollte eine Sorgfaltsprüfung zur Unterstützung dieser Risikobewertungen durchgeführt werden? Es wäre wahrscheinlich unangemessen und unverhältnismäßig, wenn die Organisation für alle ihre Länder, Projekte und Geschäftspartner eine Sorgfaltsprüfung durchführen würde, unabhängig davon, ob diese ein Korruptionsrisiko darstellen. Das GIACC-Programm empfiehlt daher, dass die Organisation eine Risikobewertung für ihr gesamtes Geschäft ( Organisations-Korruptionsrisikobewertung ) durchführt. Diese Risikobewertung sollte Länder, Projekte und Geschäftspartner nach Kategorien betrachten und diejenigen Kategorien identifizieren, die ein höheres als ein geringes Korruptionsrisiko aufweisen. Anschließend sollte für alle Länder, Projekte und Geschäftspartner, die in die Kategorien fallen, die in der Risikobewertung als mit einem höheren als einem geringen Korruptionsrisiko behaftet identifiziert wurden, eine angemessene Sorgfaltsprüfung durchgeführt werden.

Die Ergebnisse der Due Diligence fließen in die Risikobewertung ein.

Die Due-Diligence-Prüfung sollte möglichst durchgeführt werden, bevor die Organisation den entsprechenden Vertrag oder die entsprechende Verpflichtung eingeht. Erfolgt die Prüfung später, kann es passieren, dass die Organisation feststellt, dass das Risiko bereits eingetreten ist oder dass sie vertragliche Verpflichtungen eingegangen ist, die eine Risikominderung erschweren.

Wenn die Organisation eine Situation erkennt, die ein bewertetes Risiko von einer niedrigen in eine höhere Risikokategorie ändert, sollte die Organisation so schnell wie möglich eine angemessene Due-Diligence-Prüfung der entsprechenden Aktivität, des Projekts oder des Geschäftspartners durchführen.

Die Organisation sollte ihre Due-Diligence-Prüfung laufender Aktivitäten, Projekte und Geschäftspartner regelmäßig aktualisieren. Die Organisation muss festlegen, wie oft die Aktualisierung erfolgen soll, um die Risikobewertung stets aktuell zu halten. In manchen Fällen kann es notwendig sein, die Due Diligence-Prüfung mindestens einmal jährlich zu aktualisieren. Dies bietet sich für Bereiche mit hohem Risiko an. In Bereichen mit mittlerem Risiko kann es sinnvoll sein, die Risikobewertung alle zwei Jahre zu aktualisieren.

Warum eine Due Diligence durchführen?

Eine angemessene Sorgfaltspflicht ist ein wichtiger Mechanismus zur Korruptionsprävention. Sie kann potenziell korrupte Situationen erkennen und ermöglicht es der Organisation, entweder geeignete Präventivmaßnahmen zu ergreifen oder die Beteiligung an der potenziell korrupten Partei oder dem Projekt gänzlich zu vermeiden. Beispiele:

• Ein Bauunternehmer erwägt, sich um den Bau eines Gebäudes zu bewerben. Er prüft seinen Auftraggeber (den Bauherrn) sorgfältig und stellt fest, dass gegen den Hauptanteilseigner des Auftraggebers wegen schweren Betrugs ermittelt wird. Hätte der Anteilseigner den Betrug tatsächlich begangen und einen Teil der Erlöse zur Finanzierung des Projekts verwendet, würde der Bauunternehmer aus den Erlösen der Straftat bezahlt werden. Dies könnte Geldwäsche darstellen. Der Bauunternehmer könnte daher in eine Geldwäschetransaktion verwickelt werden, die für ihn strafrechtliche Konsequenzen haben könnte.
• Ein Subunternehmer erwägt, einem anderen Auftragnehmer ein Angebot für die Lieferung und Installation von Ausrüstung für ein Projekt einzuholen, das dieser für eine öffentliche Einrichtung durchführt. Die Due-Diligence-Prüfung des Subunternehmers ergibt, dass der Auftragnehmer den Auftrag von der Einrichtung ohne Ausschreibung erhalten hat, obwohl das für diese Einrichtung geltende nationale Vergaberecht eine Ausschreibung vorschreibt. Es gibt Gerüchte, dass die Leiter öffentlicher Einrichtungen Ausschreibungsverfahren routinemäßig aus Korruptionsgründen umgehen. Wurde der Auftrag unter Verletzung der Ausschreibungsverfahren vergeben, ist er potenziell rechtswidrig und könnte gekündigt werden, wodurch der Subunternehmer einem finanziellen Risiko ausgesetzt wäre. Hat der Auftragnehmer Bestechungsgelder gezahlt, um den Auftrag zu erhalten, ist der Auftrag rechtswidrig und könnte gekündigt werden. Sämtliche Zahlungen des Auftragnehmers an den Subunternehmer könnten als Erträge aus einer Straftat mit möglichen Folgen der Geldwäsche betrachtet werden.
• Ein Auftragnehmer, der sich um den Zuschlag für ein Projekt in einem Land bewirbt, das für ein hohes Maß an Korruption bekannt ist, prüft die Zoll- und internen Transportverfahren des Landes sorgfältig und stellt fest, dass er seine Ausrüstung höchstwahrscheinlich nicht an die Baustelle bringen kann, ohne Bestechungs- oder Schmiergeldzahlungen leisten zu müssen. Der Auftragnehmer wird keine Bestechungsgelder zahlen, da dies illegal ist und gegen seine Richtlinien verstößt. Der Auftragnehmer kann den Transport nur dann an einen Subunternehmer vergeben, wenn er hinreichend sicher ist, dass der Subunternehmer keine Bestechungsgelder zahlen wird (andernfalls könnte der Auftragnehmer für die Bestechung durch den Subunternehmer haftbar gemacht werden). Werden keine Bestechungsgelder gezahlt, kann es zu erheblichen Verzögerungen bei der Auslieferung der Ausrüstung kommen oder diese kann dauerhaft beschlagnahmt werden. Sofern der Auftragnehmer keinen rechtlichen Mechanismus einrichten kann, um die Ausrüstung zeitnah und ohne Bestechung durch den Zoll zu bringen, kann er entscheiden, unter diesen Umständen nicht an der Ausschreibung teilzunehmen.

In allen oben genannten Fällen wurde die anfragende Organisation durch die Due Diligence auf ein mögliches Korruptionsrisiko aufmerksam gemacht. Die bloße Feststellung des Risikos bedeutet nicht zwangsläufig, dass die identifizierten Faktoren zutreffen oder dass das Korruptionsrisiko tatsächlich eintritt. Die Organisation muss das Risiko und die voraussichtliche Wirksamkeit ihrer Richtlinien und Verfahren zur Risikoprävention sorgfältig prüfen. Die Organisation sollte die Transaktion nur dann durchführen, wenn sie das Korruptionsrisiko als ausreichend gering einschätzt, um eine vernünftige Geschäftsentscheidung zu treffen.

Wie umfangreich sollte die Due Diligence sein?

Die Due Diligence sollte dem Risiko angepasst sein. Die Anwendung einer wirksamen Due Diligence hängt weitgehend von guter Ausbildung und Urteilsvermögen ab. Due Diligence darf nicht so gründlich und teuer sein, dass sie die Wirtschaftlichkeit einer Geschäftsbeziehung oder eines Projekts beeinträchtigt. Risiken lassen sich nicht vollständig vermeiden. Ziel der Due Diligence ist eine angemessene und verhältnismäßige Untersuchung des jeweiligen Aspekts, um entscheiden zu können, ob das Korruptionsrisiko gering genug ist, um die Fortsetzung eines Projekts oder einer Geschäftsbeziehung als vernünftige Geschäftsentscheidung zu betrachten.

Spezifische Hinweise zur Durchführung der Due Diligence finden Sie in den entsprechenden Abschnitten zur Risikobewertung, auf die unten auf dieser Seite verwiesen wird.

Kosten der Risikobewertung und Due Diligence

Die Kosten der Risikobewertung und der damit verbundenen Due Diligence sollten im Verhältnis zur Größe der jeweiligen Transaktion oder des Projekts stehen, um eine Kosteneffizienz zu gewährleisten.

Umgang mit identifizierten Korruptionsrisiken

Ergibt die Risikobewertung, dass die bestehenden Richtlinien und Verfahren der Organisation nicht ausreichen, um die bewerteten Korruptionsrisiken auf ein akzeptables Maß zu reduzieren, sollten die Richtlinien und Verfahren nach Möglichkeit verbessert werden, um die bewerteten Risiken auf ein akzeptables Maß zu reduzieren. Diese Verbesserung in Bezug auf diese risikoreicheren Aspekte könnte beispielsweise die Einführung zusätzlicher Aufsichtsfunktionen, die Anforderung einer Genehmigung durch eine höhere Managementebene für Ernennungen, geleistete Arbeit oder Zahlungen oder das Erfordernis zusätzlicher Unterschriften auf Genehmigungen umfassen. Alternativ könnte, falls möglich, die Transaktion oder das Projekt so umstrukturiert werden, dass das Risiko für die Organisation geringer ist. Eine solche Umstrukturierung könnte beispielsweise bedeuten, dass die Organisation eine auf Erfolgshonoraren mit höherem Risiko basierende Zahlungsstruktur für einen Agenten auf eine auf Tagessätzen mit geringerem Risiko basierende Zahlungsstruktur umstellt oder den Arbeitsumfang des Projekts so anpasst, dass die Organisation nicht die Verantwortung für risikoreichere Projektaktivitäten trägt.

Wenn die Risikobewertung im Zusammenhang mit einer bestimmten Transaktion oder einem bestimmten Projekt ergibt, dass die Richtlinien und Verfahren, selbst wenn sie verbessert werden, wahrscheinlich nicht ausreichen, um die bewerteten Risiken auf ein akzeptables Maß zu reduzieren, sollte die Organisation:

• im Falle einer bestehenden Transaktion oder eines bestehenden Projekts den Risiken und der Art der Transaktion oder des Projekts angemessene Schritte unternehmen, um die Transaktion oder das Projekt so schnell wie möglich zu beenden, einzustellen oder sich davon zurückzuziehen;
• im Falle einer vorgeschlagenen neuen Transaktion oder eines neuen Projekts die Fortsetzung ablehnen.

Beispiele für Situationen, in denen eine Organisation zu dem Schluss kommt, dass sie die bewerteten Risiken nicht auf ein akzeptables Maß reduzieren kann, und die daraus resultierenden Maßnahmen, die sie ergreifen kann, sind die folgenden:

• Die Organisation gelangt im Hinblick auf ein geplantes Projekt zu dem Schluss, dass die Beauftragung eines lokalen Vertreters oder Joint-Venture-Partners ein mehr als geringes Korruptionsrisiko darstellt, das die Organisation nach vernünftigem Ermessen kaum kontrollieren oder minimieren kann. Die Organisation kann sich daher entscheiden, das Projekt fortzusetzen, jedoch keinen lokalen Vertreter oder Joint-Venture-Partner zu beauftragen. Alternativ kann die Organisation zu dem Schluss kommen, dass sie der Ethik des vorgeschlagenen Joint-Venture-Partners nicht vertrauen kann und ihn daher nicht als Partner benennen kann. Sie kann jedoch nach alternativen, vertrauenswürdigeren Partnern suchen.
• Die Organisation geht im Hinblick auf ein geplantes Projekt davon aus, dass es starke Hinweise darauf gibt, dass der Kunde, für den die Organisation das Projekt umsetzen wird, die Baugenehmigung durch Bestechung illegal erhalten hat. Daher handelt es sich wahrscheinlich um ein illegal erworbenes Projekt, und Projektzahlungen des Kunden an die Organisation könnten Geldwäsche darstellen. Darüber hinaus könnte das Projekt aufgrund von Rechtswidrigkeit jederzeit von der Regierung beendet werden. Die Organisation kann diesem Risiko im Rahmen ihrer Richtlinien und Verfahren nicht begegnen. Daher lehnt sie eine Angebotsabgabe für das Projekt ab.

Dokumentation der Risikobewertungen und Due Diligence

Das Verfahren zur Durchführung dieser Risikobewertungen und Due Diligence (d. h. die Art der Risikobewertung und Due Diligence, wann sie durchgeführt werden und von wem) sollte von der Organisation dokumentiert werden.

Die Organisation sollte außerdem die tatsächlich durchgeführten Risikobewertungen und Due-Diligence-Prüfungen angemessen dokumentieren.

Verantwortung und Genehmigung

Die Risikobewertungen und Due Diligence-Prüfungen sollten vom Compliance-Manager oder einem anderen geeigneten Manager oder unter dessen Aufsicht erstellt werden.

Die Korruptionsrisikobewertung der Organisation sollte jährlich vom Vorstand der Organisation genehmigt werden.

Falls die Organisation spezifische Länder-Korruptionsrisikoanalysen , Projekt-Korruptionsrisikoanalysen und/oder Geschäftspartner-Korruptionsrisikoanalysen durchführt , müssen diese vom Compliance-Manager oder einem anderen zuständigen Manager genehmigt werden.

Kopien der Risikobewertungen und Due-Diligence-Berichte sollten allen relevanten Mitarbeitern zur Verfügung stehen. Dies kann erreicht werden, indem sie im Intranet der Organisation (d. h. auf einer privaten Website, auf die nur das Personal der Organisation zugreifen kann) oder per E-Mail oder in Papierform bereitgestellt werden.