Dieser Abschnitt enthält Hinweise zu der Anforderung, dass eine Organisation ihr Antikorruptionsprogramm überprüfen und verbessern sollte, um sicherzustellen, dass das Programm geeignet ist, die Korruptionsrisiken, denen die Organisation ausgesetzt ist, effektiv zu bewältigen, und dass es effektiv umgesetzt wird (Maßnahme 17 des Antikorruptionsprogramms für Organisationen ).

Die Organisation sollte die am besten geeignete Methode zur Durchführung dieser Überprüfung und Verbesserung bestimmen. Die wirksamste Methode dürfte jedoch eine Kombination aus Folgendem sein:

• Laufende Überprüfung und Verbesserung durch den Compliance-Manager
• Regelmäßige interne Audits und
• Jährliche Vorstandsüberprüfung.

Diese werden im Folgenden untersucht.

(1) Überprüfung und Verbesserung durch den Compliance-Manager

(1.1) Laufende Überprüfung

• Das Wirtschaftsprüfer sollte kontinuierlich überwachen und bewerten, ob das Antikorruptionsprogramm:
  • ausreichend, um die Korruptionsrisiken, denen die Organisation ausgesetzt ist, wirksam zu bewältigen; und
  • wirksam umgesetzt werden.
• Dabei sollte der Compliance Manager berücksichtigen,
  • die eigenen Beobachtungen des Compliance-Managers; und
  • etwaige Schwächen, Mängel oder Verbesserungsvorschläge im Programm, die von anderen, beispielsweise der internen Revision (siehe Abschnitt 2 unten), festgestellt wurden, Personalberichteoder die Vorstandsprüfung (siehe Abschnitt 3 unten).
• Die zwei wichtigsten Bereiche mit Schwächen oder Mängeln sind wahrscheinlich:
  • in den tatsächlichen Verfahren (z. B. wenn sie ein bewertetes Risiko nicht wirksam bewältigen); und
  • bei der Umsetzung (wenn die Verfahren ein bewertetes Risiko wirksam bewältigen würden, aber ein oder mehrere relevante Manager die Verfahren nicht ordnungsgemäß umsetzen).
• Diese laufende Überprüfung ähnelt der laufenden Überprüfung der funktionalen Verantwortung jedes Managers. Beispielsweise sollte ein Finanzdirektor die finanziellen Angelegenheiten des Unternehmens ständig überwachen und prüfen, ob die Verfahren des Unternehmens den finanziellen Risiken und Anforderungen des Unternehmens angemessen sind (z. B. Kontrolle der Zahlungen an Geschäftspartner und Mitarbeiter, Kontrolle der Investitionsausgaben, Sicherstellung der ordnungsgemäßen Erfassung von Transaktionen in den Büchern, Sicherstellung einer ordnungsgemäßen und fristgerechten jährlichen Finanzprüfung). Die Compliance-Aufgaben sind ähnlich, da der Compliance-Manager die Korruptionsrisiken des Unternehmens ständig überwachen und ständig hinterfragen muss, ob die Verfahren des Unternehmens diesen Risiken wirksam begegnen und ordnungsgemäß umgesetzt werden.
• Der Compliance-Manager muss festlegen, wie diese laufende Überprüfung am besten durchgeführt werden kann. Für den Compliance-Manager ist es relativ einfach, die Angemessenheit und Umsetzung von Maßnahmen, die seiner direkten Kontrolle unterliegen, fortlaufend zu überwachen und zu beurteilen (z. B. wenn der Compliance-Manager innerhalb der Organisation für die Erstellung von Risikobewertungen, die Durchführung von Schulungen und die Pflege des Geschenkregisters verantwortlich ist). Schwieriger ist es für den Compliance-Manager, die Angemessenheit und Umsetzung von Maßnahmen zu überwachen und zu beurteilen, die anderen Funktionen unterstehen. Wenn beispielsweise die Einkaufsabteilung die Korruptionsrisiken im Zusammenhang mit der Einkaufsabteilung verwaltet, muss der Compliance-Manager angemessene Schritte unternehmen, um sicherzustellen, dass die Einkaufsabteilung angemessene Kontrollen ordnungsgemäß umsetzt. Der Compliance-Manager kann beispielsweise die relevanten Einkaufsrisiken und -verfahren regelmäßig in Managementbesprechungen mit dem Einkaufsleiter besprechen und Kopien der wichtigsten Bewertungen von Lieferanten mit hohem Risiko erhalten. Es ist nicht beabsichtigt, dass der Compliance-Manager die Aufgaben des Beschaffungsleiters dupliziert. Er muss lediglich kontinuierlich angemessene Maßnahmen ergreifen, um sicherzustellen, dass die Beschaffungsabteilung diese Kontrollen wirksam umsetzt und dass die Kontrollen ausreichen, um die Korruptionsrisiken der Beschaffungsabteilung wirksam zu managen. Der Compliance-Manager sollte in ähnlicher Weise die Antikorruptionsmaßnahmen anderer Abteilungen überprüfen.
• Die laufende Überprüfung des Compliance-Managers wird durch die interne Revision unterstützt (siehe Abschnitt 2 unten). Insbesondere sollten die Compliance- und die interne Revision (sofern es sich um unterschiedliche Funktionen handelt) zusammenarbeiten, um sicherzustellen, dass sich ihre Maßnahmen ergänzen und es nicht zu unnötigen Doppelarbeit kommt.

(1.2) Berichterstattung an den Vorstand

• Der Compliance-Manager sollte dem Vorstand einen schriftlichen Bericht über die Angemessenheit und Umsetzung des Antikorruptionsprogramms vorlegen:
  • so schnell wie möglich, wenn ein wesentlicher Verstoß oder eine wesentliche Schwäche festgestellt wird; und
  • in vereinbarten Zeiträumen (mindestens jährlich).
• Der regelmäßige Bericht des Compliance-Managers an den Vorstand könnte die folgenden Elemente enthalten (in zusammengefasster Form):
  • Im Rahmen des Programms im Berichtszeitraum durchgeführte Routinemaßnahmen. Beispiele:
    • Schulung vermittelt
    • Risikobewertungen und Due Diligence durchgeführt
  • Alle von Mitarbeitern oder Dritten erhaltenen Berichte über vermutete oder tatsächliche Korruption.
  • Alle durchgeführten Untersuchungen zu mutmaßlicher oder tatsächlicher Korruption und deren Ergebnisse.
  • Ein Überblick darüber, ob das Antikorruptionsprogramm wirksam zu sein scheint. 
  • Etwaige im Antikorruptionsprogramm oder bei dessen Umsetzung festgestellte Schwächen.
  • Alle Verbesserungen des Programms oder seiner Umsetzung, die empfohlen werden oder im Laufe des Jahres umgesetzt wurden (mit geschätzten Zeitangaben, wenn diese Maßnahmen noch nicht abgeschlossen sind).

(1.3) Verbesserungen umsetzen

• Auf der Grundlage der oben genannten Überprüfung und Berichte sollte der Compliance-Manager die schnellstmögliche Umsetzung notwendiger oder wünschenswerter Verbesserungen des Programms überwachen, um festgestellte Mängel oder Schwächen zu beheben.
• Je nach Struktur der Organisation und der dem Compliance-Manager vom Vorstand übertragenen Autoritätsebene muss der Compliance-Manager die vorgeschlagenen Verbesserungen möglicherweise von einem anderen Manager oder vom Vorstand genehmigen lassen.
• Der Compliance-Manager sollte sicherstellen, dass Verbesserungen bestimmter Aspekte die Gesamtwirksamkeit des Antikorruptionsprogramms in keiner Weise beeinträchtigen.

(2) Interne Revision

(2.1) Regelmäßige Prüfung

• Die Organisation sollte regelmäßig interne Audits durchführen, um Projekte, Verträge und Systeme anhand angemessener Stichproben auf Anzeichen von Korruption oder Verstöße gegen das Antikorruptionsprogramm zu überprüfen. Dies ist eine Form der internen Überprüfung der Wirksamkeit der Verfahren der Organisation.
• Diese Anforderung an die interne Revision bedeutet nicht, dass eine Organisation über eine eigene, hauptamtliche interne Revision verfügen muss. Vielmehr muss die Organisation eine geeignete Person oder Funktion mit der Durchführung dieser Prüfung beauftragen. Diese Verantwortung kann in Teilzeit ausgeübt und mit anderen Aufgaben kombiniert werden. Die Person, die die interne Revision durchführt, ist in der Regel eine Führungskraft der Organisation, es kann jedoch auch ein geeigneter Dritter mit der Durchführung beauftragt werden.
• Ziel der internen Compliance-Audits ist es, Projekte, Verträge und Systeme in geeigneten Stichproben auf Folgendes zu überprüfen:
  • Korruption oder Korruptionsverdacht;
  • Nichteinhaltung der Antikorruptionsrichtlinie oder des Antikorruptionsprogramms;
  • das Versäumnis anderer Organisationen, über die die Organisation Kontrolle hat, oder relevanter Geschäftspartner, angemessene Maßnahmen zur Korruptionsbekämpfung umzusetzen; und
  • Schwächen oder Verbesserungspotenziale im Antikorruptionsprogramm.
• Um die Objektivität und Unparteilichkeit des Audits sicherzustellen, sollte die Organisation, soweit angemessen, sicherstellen, dass das Audit durchgeführt wird von:
  • eine unabhängige Funktion oder Person innerhalb der Organisation, die für diesen Prozess eingerichtet oder ernannt wurde; oder
  • der Compliance-Manager (es sei denn, es handelt sich um die eigenen Handlungen des Compliance-Managers, die geprüft werden); oder
  • eine geeignete Person aus einer anderen Abteilung oder Funktion als der geprüften; oder
  • eine geeignete Drittpartei; oder
  • eine Gruppe, die alle oben genannten umfasst.
• Der Prozess sollte sicherstellen, dass kein Prüfer seine eigene Arbeit prüft.
• Das Auditprogramm sollte regelmäßig (vorzugsweise jährlich) geplant werden. Dabei sollten das Risiko und die Bedeutung der zu prüfenden Prozesse und Bereiche sowie die Ergebnisse früherer Audits berücksichtigt werden. So wird beispielsweise ein Projekt mit hohem Risiko oder ein Projekt, bei dem es in der Vergangenheit zu Problemen gekommen ist, in der Regel vorrangig vor einem Projekt mit geringem Risiko geprüft.
• Die Prüfungen könnten jedes Jahr auf der Grundlage angemessener Stichproben erfolgen, mit der Absicht, alle Projekte, Verträge, Verfahren, Kontrollen und Systeme mindestens einmal alle [drei] Jahre zu prüfen.
• Beispielsweise kann ein internes Audit eines Projekts die folgenden Schritte umfassen:
  • Identifizieren Sie alle für das Projekt beauftragten Subunternehmer sowie deren Arbeitsumfang, Auftragswert und Standort. 
  • Wählen Sie aus dieser Liste eine Stichprobe von [fünf] Subunternehmern aus, bei denen grundsätzlich ein Korruptionsrisiko bestehen könnte (z. B. aufgrund ihres Arbeitsumfangs, Auftragswerts und Standorts). 
  • Ergreifen Sie hinsichtlich dieser beispielhaften Subunternehmer angemessene Maßnahmen, um Folgendes zu überprüfen:
    • ob die Sorgfaltspflicht der Organisation vor der Beauftragung dieser Subunternehmer ordnungsgemäß eingehalten wurde und ob etwaige Warnsignale angemessen behandelt wurden;
    • ob die Subunternehmer ordnungsgemäß gemäß den Beschaffungs- und Genehmigungsverfahren der Organisation ernannt wurden;
    • ob zwischen diesen Subunternehmern und dem Personal oder den Kunden der Organisation oder den zuständigen öffentlichen Amtsträgern möglicherweise unangemessene Verbindungen bestehen;
    • ob die Verträge mit diesen Subunternehmern Verpflichtungen zur Korruptionsbekämpfung enthalten;
    • ob der Auftragswert dieser Unteraufträge einen angemessenen Wert für legitime Dienstleistungen darstellt;
    • ob die Subunternehmer ihren vertraglichen Verpflichtungen offenbar ordnungsgemäß nachgekommen sind.
• Die Prüfung dieser Unteraufträge ist nicht als umfassende forensische Prüfung aller Dokumente und Prozesse gedacht, sondern als Übersichtsprüfung mit Stichprobennahme spezifischer Probleme. Ziel ist es, Verstöße gegen die Antikorruptionsmaßnahmen des Unternehmens sowie mögliche Korruptionsfälle so weit wie möglich aufzudecken. Sie dient zudem der Abschreckung potenziell korrupter Mitarbeiter (da diese wissen, dass ihr Projekt oder ihre Abteilung einer Prüfung unterzogen werden könnte).
• Bei der Prüfung muss es sich nicht um eine spezifische Antikorruptionsprüfung handeln. Sie kann eine Reihe von Prüfungen verschiedener Prozesse kombinieren. Beispielsweise könnte die Einhaltung von Finanz-, Beschaffungs-, Projektmanagement- und Antikorruptionsverfahren gleichzeitig geprüft werden.
• Nach Abschluss einer Prüfung sollte der Prüfer einen schriftlichen Prüfungsbericht erstellen, in dem die geprüften Bereiche, alle festgestellten wesentlichen Sachverhalte, alle festgestellten Abweichungen oder Probleme sowie alle empfohlenen Verbesserungen oder Maßnahmen zusammengefasst sind.
• Wenn der Compliance-Manager die Prüfungen nicht durchführt, sollten Kopien der Prüfberichte dem Compliance-Manager zur Verfügung gestellt werden, sobald diese abgeschlossen sind.

(2.2) Berichterstattung an den Vorstand

• Die schriftlichen Prüfungsberichte sollten, sobald sie fertiggestellt sind, von der Prüfungsfunktion dem Vorstand vorgelegt werden.
• Die Absicht der Prüfungsberichte an den Vorstand sollte sein:
  • dem Vorstand eine angemessene Sicherheit zu geben, dass die Antikorruptionspolitik und das Antikorruptionsprogramm umgesetzt wurden und wirksam funktionieren; und
  • den Vorstand über alle festgestellten Bedenken zu informieren.

(3) Überprüfung durch den Vorstand

• Im Rahmen seiner Gesamtverantwortung für die Sicherstellung der anhaltenden Wirksamkeit des Antikorruptionsprogramms sollte der Vorstand den Umfang und die Umsetzung des Antikorruptionsprogramms überprüfen:
  • mindestens jährlich,
  • wenn wesentliche Änderungen an den Aktivitäten oder der Struktur der Organisation stattfinden; und
  • wenn ihr wesentliche Schwächen oder Mängel des Programms gemeldet werden.
• Die Überprüfung durch den Vorstand sollte auf folgenden Punkten basieren:
  • die Überprüfung und Berichte des Compliance-Managers (Absatz 1 oben);
  • interne Revisionsberichte (Absatz 2 oben);
  • Personalberichteeschriebenen Art und Weise; und
  • Verstöße/Vorfälle und festgestellte Kontrollschwächen.
• Der Vorstand sollte sicherstellen, dass alle im Antikorruptionsprogramm festgestellten Schwächen behoben und alle notwendigen Verbesserungen so schnell wie möglich umgesetzt werden.