Criminal Compliance & Internal Investigations

Criminal Compliance dient der Verhinderung strafrechtlicher Verantwortlichkeit von Verbänden und deren Entscheidungsträgern durch präventive und repressive Maßnahmen. Ziel ist es, durch ein prozedurales Verfahren einen Sicherheitsabstand zu strafbarem Verhalten zu schaffen und so Risiken wie Korruption, Untreue oder Geldwäscherei zu minimieren. Dabei verfolgt sie einen dualen Ansatz: die Vermeidung von Taten im Vorfeld (ex-ante) sowie die rechtlich korrekte Reaktion auf bereits eingetretene Verdachtsfälle.

Eine generelle strafrechtliche Pflicht zur Einführung eines CMS besteht nicht. Allerdings leitet sich eine Organisationsverantwortung und Legalitätskontrollpflicht für Geschäftsleiter aus dem Gesellschaftsrecht ab (zB § 82 AktG, § 22 GmbHG). In bestimmten Sektoren, wie dem Finanz- und Börsewesen, ist die Einrichtung einer Compliance-Organisation zudem explizit gesetzlich vorgeschrieben. Im Strafrecht kann eine Verbandsgeldbuße nach dem VbVG mit einem wirksamen CMS im Sinne einer „Compliance Defense" vermieden werden.

Die Beauftragung externer Rechtsanwälte sichert das sogenannte „Anwaltsprivileg". Informationen und Dokumente, die im Rahmen der Untersuchung erstellt wurden, unterliegen der strengen berufsrechtlichen Verschwiegenheitspflicht und einem gesetzlichen Umgehungsverbot. Dies gewährt einen weitreichenden Schutz vor Sicherstellung und Beschlagnahme durch Strafverfolgungsbehörden, den interne Abteilungen wie Compliance oder Revision in der Regel nicht beanspruchen können.

Ein Unternehmen kann eine Haftung nach dem Verbandsverantwortlichkeitsgesetz (VbVG) abwenden oder mildern, wenn es nachweist, dass es durch wesentliche technische, organisatorische oder personelle Maßnahmen (wie ein CMS) die Begehung von Taten durch Mitarbeiter ex-ante wirksam erschwert hat. Das Gericht prüft hierbei im Einzelfall, ob der Verband die nach den Umständen gebotene und zumutbare Sorgfalt angewendet hat, um Desorganisation zu vermeiden.

Ja, diese Gesetze entfalten extraterritoriale Wirkung. Der UK Bribery Act (UK-BA) betrifft alle Unternehmen, die auch nur Teile ihrer Geschäftstätigkeit im Vereinigten Königreich ausüben. Der US-amerikanische Foreign Corrupt Practices Act (FCPA) greift unter anderem bei einer Börsennotierung in den USA oder wenn Handlungen mit US-Bezug gesetzt werden. Verstöße können massive globale Geldstrafen und den Ausschluss von öffentlichen Aufträgen nach sich ziehen.

Eine strafrechtliche Haftung droht insbesondere durch Unterlassen (§ 2 StGB), wenn den Compliance-Officer eine Garantenpflicht trifft. Diese Verpflichtung zur Abwendung von Straftaten ergibt sich meist aus der vertraglichen Übernahme von Überwachungs- und Schutzpflichten im Dienstvertrag. Handelt ein Officer trotz Kenntnis eines Missstandes vorsätzlich nicht, kann dies als Beitragstätererschaft durch Unterlassen gewertet werden.

Ein Hinweisgebersystem ermöglicht den Zugang zu ungefilterten Informationen über Missstände und ist ein zentraler Baustein zur Risikofrüherkennung. Es schützt das Unternehmen vor unkontrolliertem Abfließen von Informationen an die Öffentlichkeit und bietet Mitarbeitern einen geschützten Rahmen, um Malversationen anonym und vertraulich zu melden. In Österreich wird dieser Schutz durch das HinweisgeberInnenschutzgesetz (HSchG) regulatorisch untermauert.

Da diese Angriffe auf der psychologischen Manipulation von Mitarbeitern basieren, setzt ein CMS auf Prävention durch Sensibilisierung und Schulungen. Ziel ist eine „Speak-Up-Kultur", in der Mitarbeiter bei Zweifeln aktiv Rücksprache mit Vorgesetzten halten. Begleitend müssen technische Hürden wie das Vier-Augen-Prinzip bei Zahlungsfreigaben und schriftliche Prozessvorgaben implementiert werden.

Nach dem VbVG ist das Verhalten nach der Tat ein wesentliches Kriterium für die Strafbemessung. Die Verbandsgeldbuße ist geringer zu bemessen, wenn das Unternehmen wesentliche Schritte zur zukünftigen Verhinderung ähnlicher Taten unternommen hat (z. B. Optimierung des CMS, Schulungen). Zudem kann ein solches Nachtatverhalten zur Einstellung des Verfahrens durch die Staatsanwaltschaft führen.

Ja. Rechtskräftige Verurteilungen wegen Delikten wie Betrug, Korruption oder Geldwäscherei können gemäß dem Bundesvergabegesetz (BVergG) zum zwingenden Ausschluss von Vergabeverfahren führen. Dies unterstreicht die ökonomische Bedeutung einer effektiven Criminal Compliance zur Sicherung der Marktfähigkeit des Unternehmens.

Zertifizierungen nach Normen wie ISO 37301 (Compliance Management) oder ISO 37001 (Anti-Korruption) erhöhen die Rechtssicherheit, da sie den Nachweis der Einhaltung anerkannter Sorgfaltspflichten erleichtern. Auch ohne formale Zertifizierung dienen diese Standards als wertvolle Orientierungshilfe für die rechtssichere Ausgestaltung unternehmensinterner Kontrollmaßnahmen.