Risikobewertung – Organisation

Bewertung des Korruptionsrisikos in der Organisation

Dieser Abschnitt ist Teil der GIACC-Leitlinien zur Risikobewertung und Sorgfaltspflicht . Er befasst sich mit der Korruptionsrisikobewertung von Organisationen (d. h. dem allgemeinen Korruptionsrisiko, dem die Organisation ausgesetzt ist).

Weitere Hinweise zu den Kategorien der spezifischen Risikobewertung finden Sie auf den folgenden separaten Webseiten:

Die Korruptionsrisikobewertung der Organisation ist als Übersichtsdokument gedacht. Sie unterstützt das Management dabei, die allgemeinen Korruptionsrisiken der Organisation logisch und zielgerichtet zu analysieren und zu beurteilen, ob die Richtlinien, Verfahren und Kontrollen der Organisation diesen Risiken angemessen sind. Diese Risikobewertung untersucht beispielsweise im Überblick die Korruptionsrisiken, die sich aus der Größe und Struktur der Organisation, den Ländern, in denen die Organisation tätig ist, der Art der durchgeführten Arbeiten oder Projekte und den Arten der Geschäftspartner ergeben.

Es gibt kein spezifisches Modell zur Risikobewertung, das zwingend verwendet werden muss. Die Organisation sollte ein Bewertungsmodell entwickeln, das ihren Zwecken am besten entspricht. Bei einer Organisation, die nur eine Tätigkeit in einem Land mit geringem Risiko und einer kleinen Anzahl von Geschäftspartnern mit geringem Risiko ausübt, kann die Bewertung recht einfach sein. Bei einer Organisation, die in vielen Ländern tätig ist, viele verschiedene Tätigkeiten ausübt und viele Kategorien von Geschäftspartnern mit höherem Risiko bearbeitet, dürfte die Risikobewertung komplexer sein.

Diese Risikobewertung ist weder umfassend noch komplex. Auch die Ergebnisse der Bewertung müssen sich nicht zwangsläufig als richtig erweisen (z. B. kann sich eine als risikoarm eingestufte Transaktion als korruptionsbehaftet herausstellen). Die Übung ist als hilfreiches Instrument konzipiert, um Unternehmen bei der Bewertung und Kontrolle ihres Korruptionsrisikos zu unterstützen.

Im Folgenden finden Sie ein Beispiel dafür, wie eine Organisation eine Korruptionsrisikobewertung durchführen kann.

(1) So führen Sie eine Bewertung des Korruptionsrisikos in einer Organisation durch

(1.1) Definieren Sie die Korruptionsrisiken, die untersucht werden

Dies sind die Korruptionsrisiken, die die Organisation in ihrer Geschäftstätigkeit einschätzt. Zu den untersuchten Risiken gehört das Risiko, dass Korruption durch die Organisation oder in ihrem Namen sowie gegen die Organisation begangen wird. Zu diesen Risiken zählen in der Regel:

Bestechung:
- Durch die Organisation: Wenn die Organisation oder jemand (z. B. Mitarbeiter oder Geschäftspartner), der im Namen oder zum Nutzen der Organisation handelt, ein Bestechungsgeld zahlt.
- Gegen die Organisation: Wenn jemand (z. B. ein Geschäftspartner) ein Bestechungsgeld an Mitarbeiter der Organisation zahlt.
Erpressung:
- Durch die Organisation: Wenn die Organisation oder jemand (z. B. ein Mitarbeiter oder ein Geschäftspartner), der im Namen oder zum Nutzen der Organisation handelt, von einer anderen Partei eine Zahlung oder Handlung erpresst (z. B. durch Androhung von Gewalt oder durch die bewusste Weigerung, etwas zu produzieren, auf das die andere Partei Anspruch hat).
- Gegen die Organisation: Wenn jemand (z. B. ein Geschäftspartner, ein Regierungsbeamter oder ein Bandenmitglied) von der Organisation oder ihrem Personal eine Zahlung oder Handlung erpresst (z. B. durch Androhung von Gewalt oder durch die bewusste Weigerung, etwas zu produzieren, auf das der andere Anspruch hat).
Betrug:
- Durch die Organisation: Wenn die Organisation oder jemand (z. B. Mitarbeiter oder Geschäftspartner), der im Namen oder zum Nutzen der Organisation handelt, Betrug gegenüber einer anderen Partei begeht.
- Gegen die Organisation: Wenn jemand (z. B. ein Geschäftspartner) Betrug gegen die Organisation begeht.
Kartelle:
- Durch die Organisation: Wenn die Organisation oder jemand (z. B. ein Mitarbeiter oder ein Geschäftspartner), der im Namen oder zu ihrem Nutzen handelt, die Organisation in ein Kartell verwickelt.
- Gegen die Organisation: Wenn jemand (z. B. ein Geschäftspartner) an einem Kartell gegen die Organisation teilnimmt.
Unterschlagung:
- Durch die Organisation: Wenn die Organisation oder jemand (z. B. Mitarbeiter oder Geschäftspartner), der im Namen oder zum Nutzen der Organisation handelt, Geld oder Vermögenswerte von einer anderen Partei stiehlt.
- Gegen die Organisation: Wenn jemand (z. B. Mitarbeiter oder Geschäftspartner) Geld oder Vermögenswerte der Organisation stiehlt.
Geldwäsche:
- Wenn die Organisation oder jemand (z. B. Mitarbeiter oder Geschäftspartner), der im Namen oder zum Nutzen der Organisation handelt, Erlöse aus Straftaten über ihr Bankkonto verschiebt, und zwar unter Umständen, die dies für die Organisation oder ihre Mitarbeiter zu einer Straftat machen würden.

Die Organisation könnte in ihrer Risikobewertung feststellen, dass einige Arten von Korruption ein geringeres Risiko für die Organisation darstellen (ob hinsichtlich Häufigkeit oder Ergebnis) als andere. Die Organisation muss sich nicht ausdrücklich mit jeder Art von Korruption in jedem Bereich befassen. Das Hauptziel der Risikobewertung besteht darin, zu ermitteln, welche Arten von Korruption ein höheres als ein geringes Risiko für die Organisation darstellen, damit diesen Risiken angemessen begegnet werden kann.

(1.2) Auswahl der Kriterien für die Risikobewertung

Dies sind die Bereiche des bewerteten Korruptionsrisikos, die dem Management dabei helfen, zu beurteilen, welche Art und welches Maß an Kontrolle in diesen Risikobereichen eingeführt werden muss, um das Risiko auf ein akzeptables Maß zu reduzieren. Zum Beispiel:

3-stufige Kriterien wie „geringes Risiko“, „mittleres Risiko“, „hohes Risiko“; oder
5-stufige Kriterien wie „sehr geringes Risiko“, „geringes Risiko“, „mittleres Risiko“, „hohes Risiko“, „sehr hohes Risiko“.

GIACC verwendet in dieser Anleitung dreistufige Kriterien.

(1.3) Bewerten Sie die Korruptionsrisiken, die sich aus der Größe und Struktur der Organisation sowie aus dem Personal der Organisation ergeben.

In großen Organisationen kann das Korruptionsrisiko höher sein als in kleinen, da dort deutlich mehr Mitarbeiter tätig sind, die korrupt handeln könnten. In größeren Organisationen kann die Kontrolle schwieriger sein.

Eine Organisation mit zahlreichen Tochtergesellschaften oder Abteilungen und/oder einem hohen Maß an Delegation von Managementbefugnissen kann ein höheres Korruptionsrisiko bergen als eine Organisation mit einer zentralisierten Managementstruktur, da sich die Organisation auf die Manager mit delegierter Autorität verlassen muss, um ethische Entscheidungen treffen zu können.

Ist die Organisation unter Berücksichtigung ihrer Größe, Struktur und ihres Personals einigermaßen zuversichtlich, dass:

Das Personal, das in Schlüsselpositionen mit Entscheidungsbefugnis oder in Positionen mit Korruptionsrisiko berufen wurde, wird die Antikorruptionspolitik, -verfahren und -kontrollen der Organisation einhalten und entsprechend geschult sein.
seine Tochtergesellschaften, Abteilungen und sonstigen Geschäftseinheiten verfügen über ein angemessenes Maß an Antikorruptionskontrollen;
die vorhandenen Entscheidungskontrollen spiegeln das mögliche Korruptionsrisiko wider (z. B. ist bei Transaktionen mit höherem Risiko ein höheres Genehmigungsniveau erforderlich);
Es wurden geeignete Mitarbeiter (z. B. Compliance-Manager) ernannt, um sicherzustellen, dass die Organisation angemessene Antikorruptionskontrollen implementiert hat (auch innerhalb aller unabhängig geführten Tochtergesellschaften oder Abteilungen).

(1.4) Bewerten Sie die Korruptionsrisiken, die von den Standorten und Sektoren ausgehen, in denen die Organisation tätig ist oder tätig sein will.

Manche Standorte gelten als korruptionsgefährdeter als andere. Insbesondere kann es in einem Land schwache staatliche Kontrollen und eine unzureichende Durchsetzung geben, was zu einem hohen Maß an Korruption im Alltag führt und sich negativ auf das Unternehmen auswirken kann. Beispielsweise kann es schwierig sein, Ausrüstung durch den Zoll zu bringen oder behördliche Genehmigungen und Zulassungen zu erhalten, ohne Schmiergelder zu zahlen. Standorte mit höherem Risiko können auch zu risikoreicheren Projekten und Geschäftspartnern führen (siehe separate Abschnitte unten). In manchen Ländern kann die Korruption in einer Stadt oder Region höher sein als in anderen.

Ist die Organisation an Standorten tätig, an denen Korruption als mehr als nur geringes Risiko angesehen wird?

Der Korruptionswahrnehmungsindex von Transparency International oder ein vergleichbarer Index kann zur Unterstützung dieser Bewertung herangezogen werden. Standorte mit einem über das niedrige Maß hinausgehenden Korruptionsrisiko können von der Organisation als „mittleres“ oder „hohes“ Risiko eingestuft werden, was dazu führen kann, dass die Organisation strengere Kontrollen für ihre Aktivitäten an diesen Standorten anwendet. Beispielsweise kann eine Organisation Folgendes festlegen:

Eine spezifische Länderbezogene Korruptionsrisikobewertung sollte von der Organisation in Bezug auf jedes Land durchgeführt werden, das sie als Land mit mittlerem oder hohem Risiko einstuft; und
Es werden keine Projekte ausgeschrieben in:
- ein Standort mit mittlerem Risiko ohne Genehmigung des Geschäftsführers;
- ein Standort mit hohem Risiko ohne die Zustimmung des gesamten Vorstands.

In manchen Sektoren kann das Korruptionsrisiko höher oder andersartig sein als in anderen (beispielsweise kann an manchen Standorten ein Sektor (z. B. der Straßenbau) als weniger gut kontrolliert und daher als korrupter gelten als ein anderer Sektor (z. B. die Stromerzeugung). Die Organisation kann zu dem Schluss kommen, dass in Bezug auf jeden identifizierten Sektor mit höherem Risiko ein höheres Maß an Kontrolle oder Genehmigung erforderlich ist.

Hat die Organisation separate länderspezifische Korruptionsrisikoanalysen durchgeführt , so kann eine Zusammenfassung dieser Analysen in diesen Abschnitt der Organisations-Korruptionsrisikoanalyse aufgenommen werden.

Weitere Hinweise zu diesem Aspekt finden Sie in der Länderkorruptionsrisikoanalyse .

(1.5) Bewerten Sie die Korruptionsrisiken, die sich aus der Art, dem Umfang und der Komplexität der Aktivitäten, Projekte und Operationen der Organisation ergeben.

Bei manchen Projekten oder Aktivitäten besteht möglicherweise ein höheres Korruptionsrisiko als bei anderen. Beispielsweise kann es für eine Organisation einfacher sein, das Korruptionsrisiko zu kontrollieren, wenn:

es führt einen kleinen Fertigungsbetrieb in einer Fabrik durch, als wenn es an zahlreichen großen Bauprojekten an mehreren Standorten beteiligt ist;
es liefert die Ausrüstung ab Werk, als wenn es seine Ausrüstung an die Baustelle liefert und die Ausrüstung vor Ort montiert und in Betrieb nimmt;
es übernimmt seinen gesamten Lieferumfang selbst, als wenn es große Teile seines Lieferumfangs an Subunternehmer vergibt;
es hat keinen Kontakt mit Regierungsbeamten, die Genehmigungen ausstellen, außer wenn es beispielsweise dazu verpflichtet ist, Zollabfertigungen oder Arbeitsgenehmigungen von Regierungsbeamten einzuholen;
Es werden keine Agenten zur Identifizierung potenzieller Geschäftskunden eingesetzt, es werden jedoch mehrere Agenten in verschiedenen Ländern auf Erfolgsbasis beschäftigt.

Die Organisation führt möglicherweise eine große Zahl von Projekten mit ähnlichem Risiko durch. In diesem Fall kann sie ihr Projektrisiko möglicherweise in der Korruptionsrisikobewertung der Organisation angemessen einschätzen. Führt die Organisation jedoch eine Vielzahl von Projekten oder Aktivitäten mit unterschiedlichen Risikostufen durch, muss sie möglicherweise projektspezifische Risiken bewerten. Sie kann die Projekte beispielsweise nach ihrem Risiko (niedrig, mittel und hoch) in Kategorien einteilen und verlangen, dass Projekte mit „mittlerem“ oder „hohem“ Risiko einem höheren Kontrollniveau unterliegen. Diese Risikoeinstufung kann auf Faktoren wie der Größe des Projekts, dem Standort, an dem es durchgeführt wird, und dem Arbeitsumfang der Organisation basieren. Eine Organisation kann beispielsweise Folgendes festlegen:

eine spezifische Risikobewertung von Projektkorruption sollte von der Organisation in Bezug auf jedes Projekt durchgeführt werden, das sie als mittel- oder hochriskant einstuft; und
Ausschreibungsbefugnis für:
- ein Projekt mit mittlerem Risiko erfordert die Genehmigung des Geschäftsführers;
- Ein Projekt mit hohem Risiko erfordert die Zustimmung des gesamten Vorstands.

Hat die Organisation separate, spezifische Projektkorruptionsrisikobewertungen durchgeführt , so kann eine Zusammenfassung dieser Bewertungen in diesen Abschnitt der Organisationskorruptionsrisikobewertung aufgenommen werden.

Weitere Hinweise zu diesem Aspekt finden Sie in der Projekt-Korruptionsrisikobewertung .

(1.6) Bewerten Sie die Korruptionsrisiken, die von den bestehenden und potenziellen Geschäftspartnern der Organisation ausgehen

Manche Geschäftspartner können ein höheres Korruptionsrisiko für das Unternehmen darstellen als andere. Das Risiko hängt von vielen Faktoren ab, darunter die Ethik des Geschäftspartners, das Ausmaß seiner Antikorruptionskontrollen, die Art seiner Tätigkeit, der Umfang seines Arbeitsumfangs für das Unternehmen und der Standort seiner Tätigkeit. Beispiele:

Das Unternehmen hat möglicherweise eine große Zahl von Kunden, die sehr geringwertige Produkte von dem Unternehmen kaufen und in der Praxis ein minimales Korruptionsrisiko für das Unternehmen darstellen. In diesem Fall kann das Unternehmen diese Kunden als risikoarm einstufen und festlegen, dass für sie keine besonderen Antikorruptionskontrollen erforderlich sind. Alternativ kann das Unternehmen mit Kunden zu tun haben, die sehr hochpreisige Produkte von dem Unternehmen kaufen und ein ernstes Korruptionsrisiko darstellen (z. B. das Risiko, dass diese Kunden von Mitarbeitern des Unternehmens Bestechungsgelder für Bestellungen verlangen usw.). Diese Arten von Kunden können beispielsweise als „mittel“ oder „hoch“ risikobehaftet eingestuft werden und erfordern daher ein höheres Maß an Antikorruptionskontrollen durch das Unternehmen.
Verschiedene Kategorien von Lieferanten oder Subunternehmern können ein unterschiedlich hohes Korruptionsrisiko bergen. Beispielsweise können Lieferanten oder Subunternehmer mit einem sehr großen Arbeitsumfang oder mit Kontakten zu Kunden/Auftraggebern des Unternehmens oder relevanten Regierungsvertretern ein mittleres oder hohes Korruptionsrisiko darstellen. Einige Kategorien von Lieferanten oder Subunternehmern können ein geringes Risiko aufweisen, z. B.:
- Lieferanten von Kleinmengen und Artikeln mit geringem Wert, die keine Schnittstelle zu den Kunden/Auftraggebern der Organisation oder zu für die Transaktion relevanten Regierungsbeamten haben;
- Online-Kauf von Flugtickets oder Hotelbuchungen;
- Restaurantmahlzeiten, Taxis usw.

Die Organisation könnte zu dem Schluss kommen, dass bei diesen Lieferanten mit geringem Risiko keine besonderen Maßnahmen zur Korruptionsbekämpfung ergriffen werden müssen.

Joint-Venture-Partner stellen wahrscheinlich ein mittleres bis hohes Risiko dar, da die Vertragsstruktur wahrscheinlich dazu führt, dass der Joint-Venture-Partner eine direkte Schnittstelle zum Auftraggeber/Kunden der Organisation hat und die Organisation für die Handlungen des Joint-Venture-Partners haftet.
Bei Agenten, Vertriebshändlern oder Vermittlern, die der Organisation beim Abschluss von Verkäufen helfen und mit den Kunden/Auftraggebern der Organisation oder Regierungsvertretern in Kontakt stehen, besteht wahrscheinlich ein „mittleres“ oder „hohes“ Korruptionsrisiko, insbesondere wenn sie auf Provisions- oder Erfolgsbasis bezahlt werden.

In der Praxis kann ein Unternehmen zahlreiche potenzielle und tatsächliche Geschäftspartner haben, und es wäre unangemessen und unverhältnismäßig, wenn das Unternehmen für jeden einzelnen Geschäftspartner eine detaillierte Risikobewertung durchführen müsste. Daher ist es üblich, dass Unternehmen risikobasierte Kategorien von Geschäftspartnern (z. B. geringes, mittleres und hohes Risiko) entwickeln und diese nach objektiven Kriterien (z. B. Auftragswert, wahrscheinliche Kundenschnittstelle, Zahlungsart usw.) in diese Kategorien einteilen. Nach der Entwicklung dieser Kategorien kann das Unternehmen dann festlegen, dass jeder Geschäftspartner mit mittlerem oder hohem Risiko zusätzlichen Kontrollen unterzogen werden muss. Geschäftspartner mit hohem Risiko unterliegen voraussichtlich einem höheren Kontrollniveau als Geschäftspartner mit mittlerem Risiko. Beispielsweise kann ein Unternehmen festlegen, dass alle Geschäftspartner mit mittlerem und hohem Risiko vor Vertragsabschluss von dem Unternehmen genehmigt werden müssen und während der Vertragserfüllung angemessen überwacht werden müssen. Diese vorvertragliche Genehmigung kann beispielsweise Folgendes erfordern:

Für Geschäftspartner mit mittlerem Risiko:
- Erfolgreicher Abschluss einer Due-Diligence-Prüfung des Geschäftspartners.
- Anfragen, ob der Geschäftspartner angemessene, für die Transaktion relevante Antikorruptionskontrollen implementiert hat.
- Die Zustimmung zur Ernennung durch zwei leitende Manager der Organisation.
Für Geschäftspartner mit hohem Risiko:
- Ein erhöhtes Maß an Sorgfaltspflicht.
- Erfolgreicher Abschluss eines Vorstellungsgesprächs mit einem leitenden Manager des Geschäftspartners.
- Die Genehmigung der Ernennung durch den Geschäftsführer der Organisation.

Die Genehmigung und Überwachung von Geschäftspartnern mit mittlerem und hohem Risiko sollte dokumentiert werden. Diese Dokumentation könnte in Form einer Korruptionsrisikobewertung der Geschäftspartner erfolgen . Eine Zusammenfassung dieser Bewertungen kann in diesen Abschnitt der Korruptionsrisikobewertung der Organisation aufgenommen werden.

Weitere Hinweise zu diesem Aspekt finden Sie in der Risikobewertung für Geschäftspartner .

(1.7) Bewerten Sie die allgemeinen Korruptionsrisiken, denen die Organisation ausgesetzt ist, basierend auf der Bewertung der oben genannten Faktoren

Die oben beschriebenen Risikofaktoren stehen in Wechselwirkung. Zum Beispiel:

Die Organisation kann ein bestimmtes Land und einen bestimmten Kunden als risikoreich einstufen, da die Organisation jedoch einen Arbeitsumfang mit geringem Risiko durchführt, keine Schnittstelle zu Regierungsbeamten hat und nur mit Geschäftspartnern mit geringem Risiko zusammenarbeitet, ist das Korruptionsrisiko auf einem akzeptablen Niveau.
Die Organisation kann zu dem Schluss kommen, dass es in einem Hochrisikoland möglich ist, für bestimmte Kunden mit geringem Risiko zu arbeiten, die strenge Kontrollen bei der Ausschreibung und beim Projektmanagement eingeführt haben.

Dieser Abschnitt der Risikobewertung ist daher als abschließender Überblick konzipiert. Er sollte prüfen, ob das allgemeine Kontrollumfeld der Organisation unter Berücksichtigung aller Standardkontrollen und etwaiger spezifischer Kontrollen, die in Bezug auf Länder, Projekte und Geschäftspartner mit mittlerem und hohem Risiko implementiert wurden, voraussichtlich ausreicht, um die Korruptionsrisiken für die Organisation auf ein akzeptables Maß zu reduzieren.

(1.8) Bewerten Sie etwaige Schwächen oder erforderliche Verbesserungen in der Antikorruptionspolitik und den Verfahren der Organisation.

Es ist sehr unwahrscheinlich, dass die Korruptionsrisikobewertung der Organisation die Perfektion ihrer Richtlinien und Verfahren bestätigt. Die Identifizierung von Schwachstellen und Verbesserungsbedarf ist ein unvermeidlicher und fortlaufender Bestandteil jedes Managementprogramms. Daher sollte die Bewertung alle identifizierten Schwachstellen oder Verbesserungsbedarfe in den Antikorruptionsrichtlinien und -verfahren der Organisation identifizieren und entsprechende Empfehlungen abgeben. Beispielsweise kann die Risikobewertung ergeben, dass die Organisation Folgendes noch nicht umgesetzt hat:

ein geeignetes Schulungsprogramm für Manager, die für Projekte mit mittlerem und hohem Risiko verantwortlich sind; oder
angemessene Due-Diligence-Verfahren für Geschäftspartner mit mittlerem und hohem Risiko.

Die Risikobewertung identifiziert daher diese Schwachstellen und empfiehlt, bis zu einem bestimmten Datum entsprechende Maßnahmen zur Behebung zu ergreifen. In der Zwischenzeit sollte das Unternehmen den Risikobereichen, die durch die identifizierten Schwachstellen entstehen, mehr Aufmerksamkeit schenken.

(2) Ergebnis der Bewertung des Korruptionsrisikos der Organisation

Das beabsichtigte Ergebnis der Bewertung besteht darin, der Organisation eine angemessene Sicherheit zu geben, dass das allgemeine Kontrollumfeld der Organisation voraussichtlich ausreicht, um die Korruptionsrisiken, denen die Organisation ausgesetzt ist, auf ein akzeptables Maß zu reduzieren.

(3) Wann sollten unternehmensweite Korruptionsrisikobewertungen durchgeführt werden?

Die Bewertung des Korruptionsrisikos der Organisation sollte jährlich durchgeführt und wiederholt werden, wenn sich die Art der Geschäftstätigkeit der Organisation wesentlich ändert.

(4) Dokumentation der Korruptionsrisikobewertung der Organisation

Die Korruptionsrisikobewertung der Organisation muss dokumentiert werden. Sie muss nicht in allen Einzelheiten dokumentiert werden (Tabellen, Zusammenfassungen, Aufzählungspunkte und Querverweise zu anderen Dokumenten können verwendet werden). Sie sollte jedoch so detailliert sein, dass Dritte, die die Risikobewertung lesen, die Risiken und die vorgenommenen Bewertungen verstehen. Beispiel: Wenn der Manager, der die Risikobewertung verfasst hat, die Organisation verlässt, wird der Nachfolger die Bewertung verstehen? Oder ist die Risikobewertung im Falle einer strafrechtlichen Untersuchung so klar, dass die Ermittler erkennen, dass die Organisation eine angemessene und verhältnismäßige Bewertung vorgenommen hat?

(5) Andere Kategorien der Risikobewertungt

Weitere Hinweise zu den Kategorien der spezifischen Risikobewertung finden Sie auf den folgenden separaten Webseiten.

Zurück zur Hauptseite Risikobewertung und Sorgfaltsprüfung.

Aktualisiert am 10. April 2020