Als Whistleblower oder Hinweisgeber bezeichnet man eine Person, die Kenntnis von Missständen innerhalb von Organisationen, etwa Unternehmen oder staatlichen Stellen, erlangt und diese Informationen offenbart. Missstände können sich etwa auf Rechtsverstöße oder unethische Verhaltensweisen beziehen. Whistleblower oder Hinweisgeber offenbaren diese Informationen typischerweise namentlich oder anonym gegenüber der eigenen Organisation, Behörden oder der Öffentlichkeit. Die von dem Whistleblower veröffentlichen Informationen sind häufig brisant, weshalb Whistleblower daher in einigen Ländern besonderen Schutz genießen. Auch die Whistleblower-Richtlinie der Europäischen Union gewährt Hinweisgebern einen besonderen Schutz.

Compliance ist ein in der Betriebswirtschaft, der Rechtswissenschaft, Gesetzgebung und Rechtsprechung gebrauchter Begriff. Er bedeutet die Regelkonformität eines Unternehmens und auch staatlicher Stellen, also die Einhaltung der Gesetze oder anderer bindender oder freiwilliger Rechtsvorschriften (vgl. Stober/Ohrtmann, Compliance, Handbuch für die öffentliche Verwaltung, A, § 1 II Nr. 1). Die Relevanz von Compliance wächst stetig. Insbesondere die Whistleblower-Richtlinie und das Verbandssanktionengesetz machen bald eine effiziente Compliance-Struktur unbedingt erforderlich.

Unter Compliance Management versteht man die Einrichtung einer Compliance Struktur in Organisationen, welche die Einhaltung der Rechtsordnung in dieser Organisation sicherstellen soll. Zur Compliance Struktur gehören etwa besondere Prüfprozesse im Rahmen eines internen Kontrollsystems, die Schulung der Mitarbeiter und dementsprechende Weisungen. Zusätzlich ist durch die Whistleblower-Richtlinie auch ein Hinweisgebersystem einzurichten, das Hinweisgebern anonyme Meldungen über Rechtsverstöße ermöglicht.

Medizin oder Healthcare Compliance bedeutet die Einhaltung der Gesetze oder anderer bindender oder freiwilliger Rechtsvorschriften von Unternehmen im Bereich des Gesundheitssektors, was insbesondere für Krankenhäuser relevant ist. Diese haben eine Vielzahl von Gesetzen zu beachten, etwa Vorschriften aus dem Sozialgesetzbuch, dem Krankenhausentgeltgesetz oder dem Patientenrechtegesetz. Je ausgeprägter und komplexer die Regulationsdichte ist, umso höher ist auch die Gefahr von Rechtsverstößen, weshalb ein Compliance System hier von besonderer Wichtigkeit ist, um Bußgelder oder Rechtsstreitigkeiten zu vermeiden.

Der Compliance Manager ist verantwortlich für die Organisation und Struktur des in einer Organisation bestehenden Compliance Systems. Er überwacht also die Einhaltung der Rechtsordnung und sonstiger in der Organisation geltenden verbindlichen Rechtsvorschriften, wozu auch interne Richtlinien zählen.

Eine Compliance Struktur in Organisationen ist aus drei Gründen wichtig: Zum einen minimiert die Organisation damit die Wahrscheinlichkeit von Rechtsverstößen und verhindert damit die eigene straf- oder ordnungswidrigkeitenrechtliche Sanktionierung. Zum anderen ist eine funktionierende Compliance Struktur für potentielle Vertragspartner eines Unternehmens mittlerweile ein wesentliches Kriterium zur Eingehung von Vertragsbeziehungen. Zudem erhöht ein funktionierendes Compliance System die Reputation des Unternehmens oder das Vertrauen der Bürger in staatliche Stellen.

Compliance Officer ist ein anderer Begriff für Compliance Manager. Sie sind verantwortlich für die Organisation und Struktur der im Unternehmen bestehenden Compliance Organisation. Sie überwachen also die Einhaltung der Rechtsordnung und sonstiger im Unternehmen verbindlichen Rechtsvorschriften, wozu auch interne Richtlinien zählen.

Die Geschäftsführung ist für die Einrichtung des Hinweisgebersystems verantwortlich, kann die Aufgabe aber delegieren. Zuerst ist die Verankerung des Hinweisgebersystems innerhalb des Unternehmens zu bestimmen, zu fragen ist etwa: Wer soll personell zuständig sein? An wen berichtet der externe Compliance Beauftragte? Hierbei ist zu beachten, dass ein ausreichender Abstand des Hinweisgebersystems zur operativen Organisation des Unternehmens gegeben sein muss. Da das Hinweisgebersystem drei wesentliche Bearbeitungsschritte beinhaltet (1. Analyse des Hinweises; 2. Untersuchung des Sachverhalts; 3. Personelle/ systemische Maßnahmen), muss der Prozess Zuständigkeiten für die drei Phasen beinhalten. Zudem muss eine Koordination mit dem Datenschutzbeauftragten sowie (sofern vorhanden) mit dem Betriebs- bzw. Personalrat erfolgen.

Aufgrund der durch die Whistleblower-Richtlinie geschaffenen Verpflichtung zur Einrichtung anonymer und interner Meldekanäle durch die Unternehmen ist die Anonymität des Whistleblowers gewährleistet, so dass er keine nachteiligen arbeitsrechtlichen Maßnahmen aufgrund des Whistleblowings zu befürchten hat. Zudem verbietet die Whistleblower Richtlinie auch informelle Benachteiligungen zulasten des Hinweisgebers, wie etwa Mobbing durch Kollegen oder Vorgesetzte.

Compliance Richtlinien sind in einer Organisation bestehende und zu beachtende Regelungen. Diese können entweder der Verhinderung von Verstößen gegen gesetzliche Vorschriften dienen, oder eigene, gesetzlich nicht vorgeschriebene ethische Standards oder Anforderungen vorschreiben.

Digital Compliance oder auch IT-Compliance umfasst zum einen das rechtskonforme Verhalten innerhalb eines Unternehmens bezüglich aller Vorgänge im IT-Bereich, zum anderen die Nutzung der Digitalisierung zur Einrichtung eines verbesserten Compliance Systems. Die sich durch Künstliche Intelligenz (KI) ergebenden Funktionen wie etwa intelligente Dokumentenanalyse können gewinnbringend bei der Fortentwicklung eines Compliance Systems genutzt werden.

Compliance Beauftragter ist ein anderer Begriff für Compliance Manager oder Compliance Officer. Er ist verantwortlich für die Organisation und Struktur der in einer Organisation bestehenden Compliance Organisation. Er überwacht also die Einhaltung der Rechtsordnung und sonstiger verbindlicher Rechtsvorschriften, wozu auch interne Richtlinien zählen.

Das Ministerium für Arbeit und Soziales hat einen ersten Regierungsentwurf für ein Lieferkettengesetz (im Gesetz selbst als „Sorgfaltspflichtengesetz“ bezeichnet) vorgelegt (Stand: 1. März 2021). Der Gesetzentwurf legt den Unternehmen abstrakt formulierte Sorgfaltspflichten auf. Ziel des Gesetzgebers ist es, nicht nur über behördliche Eingriffsbefugnisse und Sanktionsmöglichkeiten, sondern auch über die zivilprozessuale Ermächtigung Privater zur Verfolgung von Menschenrechtsverstößen und den Zwang zur öffentlichen Rechenschaft den Vollzug des Gesetzes auf eine möglichst breite Basis zu stellen und so den Menschenrechtsschutz effektiver zu machen.

Der Gesetzentwurf führt zu erheblichen Compliance- und Haftungsrisiken. Denn es gibt keine klaren Handlungspflichten für Unternehmen und deren Geschäftsleitungsorgane. Wegen der Vielzahl an unbestimmten Rechtsbegriffen können Vorstandsmitglieder und Geschäftsführer kaum mit der für unternehmerische Entscheidungen erforderlichen Sicherheit einschätzen, ob und welche internen Compliance Maßnahmen den Anforderungen des Gesetzes genügen.

Zudem werden die Sorgfaltspflichten von Vorstandsmitgliedern und Geschäftsführern weiter aufgeladen. Bei Verstößen drohen daher – neben den Bußgeldern gegenüber Unternehmen – auch persönliche Haftungsrisiken aus Organhaftung, wobei die Rechtsfrage nach wie vor ungeklärt ist, ob und inwieweit etwaige Unternehmensbußgelder im Rahmen der Organhaftung auch gegen Geschäftsleitungsorgane geltend gemacht werden können. Zumindest der D&O-Versicherungsschutz sieht hier typischerweise weitreichende Ausschlüsse oder Einschränkungen vor.

Die Unternehmen sollten als ersten Schritt ein Hinweisgebersystem einführen und dieses Hinweisgebersystem den Akteuren ihrer individuellen Lieferkette zur Verfügung stellen. So können Verstöße in der Lieferkette an das Unternehmen gemeldet werden. Dies lässt sich zum Beispiel über AGBs regeln. Die Geschäftsführung macht hiermit einen ersten Schritt Richtung Erfüllung der neuen Pflichten aus dem Sorgfaltspflichtengesetz.

Compliance Schulung bedeutet die Unterrichtung der Mitarbeiter über generelle oder branchenspezifische gesetzliche und unternehmensinterne Anforderungen und Maßnahmen zur Einhaltung dieser Vorgaben. Darüber hinaus sollen die Mitarbeiter für Compliance Themen sensibilisiert und ein Problembewusstsein geschaffen werden, um selbst potentielle Rechtsverstöße im Unternehmen erkennen zu können.