Compliance Prozesse
Softwarelösungen zur Umsetzung und Unterstützung eines Compliance- und Datenschutz-Management Systems
- Modular
- Konfigurierbar
- Effiziente Wirksamkeitskontrolle
- Dokumentation
- Nachweis durchgeführter Maßnahmen
- Gem. ISO 19600 bzw. zukünftig ISO 37301
Unser Partner: TIM Solutions GmbH
Die TIM Solutions GmbH entstand im Jahr 2007 aus der Vision, eine einfache Softwarelösung zur Automatisierung und Steuerung von Geschäftsprozessen zu entwickeln. Heute unterstützt die TIM Solutions ihre Kunden mit einem ganzheitlichen Beratungs- und Lösungsansatz rund um das Thema Business Process Management.
Mehr als 400 realisierte Prozessprojekte in 56 Ländern
Die TIM Solutions unterstützt ihre Kunden in jeder Phase des Workflow Lifecycle. Auch nach Produkteinführung erfolgt eine enge Zusammenarbeit mit Kunden, eine nachhaltige und effiziente Optimierung der Unternehmensprozesse ist somit sichergestellt – ganz im Sinne eines kontinuierlichen Verbesserungsprozesses. Dabei teilt sich die TIM Solutions in drei Geschäftsbereiche auf:
BPM Consulting
TIM Consultants unterstützen Sie bei der Analyse, Definition und Optimierung Ihrer Unternehmensprozesse.
BPM Suite
Mit der von TIM entwickelten Software Suite werden alle definierten Unternehmensprozesse in einen Human Workflow automatisiert.
BPM Professional Services
Das TIM Professional Services Team unterstützt Sie bei der technischen Implementierung der TIM Softwarelösung.
equeo CompCor Richtlinienmanagement
- Richtlinien und Dokumente einfach an Zielgruppen und Mitarbeiter ausrollen
- Integration von Prüf- und Genehmigungsprozessen
- Turnusmäßige Aktualisierungsschleifen
- Revisionssichere Dokumentation
- Bedarfsgerechte, visualisierte Auswertungen
Warum überhaupt ein Richtlinienmanagement?
- Unterstützung bei Vorbereitung und Freigabe von Richtlinien
Erfassung aller Metadaten der Richtlinie (Fachverantwortlicher, Genehmiger, Überprüfungsdatum, Wiederholung der Bestätigung etc.). Fachliche Freigabe- und Genehmigungsprozesse - Ausrollen von Richtlinien und Dokumenten sowie Einfordern von Bestätigungen
Individuelle Zuordnung von Richtlinien und Dokumenten zu Zielgruppen und Personen. - Sicherstellung der Aktualisierung der Richtlinie
Regelmäßige Wiedervorlage der Richtlinien ermöglicht Bereitstellung in aktueller Fassung. Ablage der früheren Versionen mit Gültigkeitsdauer.
- Dashboard des Richtlinienverantwortlichen, alles Relevante auf einen Blick
Neben den Berichten und Reports sind über das Dashboard Nachverfolgung, Mahnfunktion und Kontrollfunktion einsehbar. - Feedback-Funktionen
Mitarbeiter haben die Möglichkeit, Fragen zur Richtlinie zu stellen. - Optional: Verknüpfung
Optional kann eine Richtlinie über eine Schnittstelle mit begleitenden E-Trainings oder Testfragen verknüpft werden.
Einfach zu erfassen
Richtlinien genehmigen und verwalten
Dokumentation und Reporting
equeo CompCor Zuwendungsregister
- Ein- und ausgehende Zuwendungen schnell und effizient erfassen
- Beschleunigte, vereinfachte Genehmigungsprozesse
- Revisionssichere Dokumentation
- Bedarfsgerechte, visualisierte Auswertungen
- Leichte Integration in bestehende Systemlandschaft
Unternehmerische Sorgfaltspflichten im Zusammenhang mit Zuwendungen
Compliance zielt auf die Einhaltung von externen und internen Regularien und Prinzipien ab, deren Dokumentation sich mehr und mehr zum kritischen Wettbewerbsfaktor entwickelt.
Die Verantwortung obliegt der Geschäftsführung, die entsprechende Aufgaben in der Regel an die Compliance Organisation delegiert.
Beispielsweise bilden die Regeln und Verfahrensweisen über die Gewährung oder Annahme von Zuwendungen (Geschenke, Einladungen oder sonstigen Veranstaltungen) einen wichtigen Teil der unternehmerischen Sorgfaltspflichten zur Vermeidung von potenziellen Interessenkonflikten oder korruptionsnahen Sachverhalten.
Das Zuwendungsregister, eine individualisierbare Best-Practice Lösung, wird als Business Process as a Service (BPaaS)-Lösung bereitgestellt. Diese bildet die Grundlage für die Erfassung, Genehmigung und Auswertung von Zuwendungen sowie Spenden und Sponsoring.
Besondere internationale Regelungen oder auch Branchenanforderungen können ebenfalls umgesetzt werden:
- Allgemein: Gifts & Hospitality-Register: FCPA oder UK Bribery Act
- Finance: Zuwendungsverzeichnis MAComp
- Pharma: EFPIA Transparency Code, US Physician Sunshine Payment Act
Warum überhaupt ein Zuwendungsregister?
- Konkrete Anwendung der Regeln der Zuwendungsrichtlinie im Einzelfall
Über eine Eingabemaske können Mitarbeiter anhand unternehmensspezifisch anpassbarer Kriterien erhaltene oder gewährte Zuwendungen erfassen. - Schnelles Feedback bei Erfassung
Durch eine automatisierte Prüfung erhalten Mitarbeiter direkt eine erste Einschätzung der grundsätzlichen Zulässigkeit einer Zuwendung. - Einsatz mühelos auch von unterwegs
Die Eingabeformulare sind webbasiert und responsiv und somit auch über mobile Endgeräte nutzbar.
- Ressourcenschonende, automatisierte Zuweisung des Verantwortlichen
Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. - Mehrstufige Genehmigungs-Workflows
Kundenspezifische Schwellwerte und Risikofaktoren bestimmen, ob eine und welche Genehmigungsstufe ausgelöst wird. - Schwerpunktthemen und Schwachstellen identifizieren durch Dokumentation und Reporting
Standardauswertungen lassen atypische Vorgänge erkennen und zeigen Ansatzpunkte für Kontrollmaßnahmen auf.
Einfach zu erfassen
Zuwendungen genehmigen und verwalten
Dokumentation und Reporting
equeo CompCor Business Partner Integrity Management
- Effiziente und risikobasierte Prüfung der Geschäftspartner
- Automatisierter Abgleich mit Sanktionslisten und marktüblichen Compliance-Datenbanken über eine Schnittstelle möglich
- Automatisierte Überprüfung des wirtschaftlich Berechtigten (KYC) mit den marktüblichen Datenbanken über eine Schnittstelle möglich
- Zuverlässige Dokumentation der Geschäftspartner-Prüfung, effiziente Grundlage für Berichtswesen. Wesentlicher Baustein für ein CMS
Warum überhaupt ein Business Partner Integrity Management?
- Systematische Risikoprüfung der verschiedenen Geschäftspartner
Kombination aus Selbstauskunft des Business Partners (Webformular) mit risikobasierter Tiefenprüfung inkl. möglicher automatisierter Überprüfung des wirtschaftlich Berechtigten (KYC) und Abgleich mit Sanktionslisten und marktüblichen Compliance-Datenbanken.
- Automatisierte Wiederholung der Prüfung
Automatisierte Wiederholung der Prüfung durch voreingestellte Wiederholungstermine nach Risikoprofil.
- Best Practice nach Risikomodell „Highest of“-Methode
Fragenstruktur und Vorlagen an Kundenbedarf anpassbar durch erfahrene Compliance Consulter.
- Zuverlässige Dokumentation der Business Partner Prüfung
Bei jedem Prozessschritt können Dokumente hinterlegt werden (z.B. Verträge zur Risikominimierung). Effiziente Grundlage für Berichtswesen.
- Zweistufiger Prozess
Der „Business Partner Integrity Management“-Prozess umfasst zwei Risiko-Stufen:
Stufe 1: Normales Risiko
Stufe 2: Erhöhtes Risiko.
Anpassung des Risikomodells an Kundenbedarf möglich.
- Wesentlicher Baustein für ein CMS
Einfach zu erfassen
Schnelle und effiziente Überprüfung der Business Partner
Dokumentation und Reporting
equeo CompCor Compliance Prozess Lieferkettengesetz (LkSG)
- Effiziente und risikobasierte Prüfung der Lieferanten
- Automatisierte Einbindung von externen Datenbanken (z.B. für Ratings bei Risikolieferanten)
- Zuverlässige Dokumentation der Erfüllung der Sorgfaltspflichten nach dem LkSG, effiziente Grundlage für Berichtswesen und Aufbewahrungspflicht
- Eigene Datenbank-Lösung zum Aufbau eines zentralen Lieferanten-Datenbestandes
- Skalierbare Lösung, die nach Inkrafttreten der EU-Richtlinie zu unternehmerischen Sorgfaltspflichten für Nachhaltigkeit auf die gesamte Wertschöpfungskette ausgedehnt werden kann
Warum überhaupt ein Compliance Prozess LkSG?
- Gesetzliche Verpflichtung ab 1.1.2023
Das LkSG tritt am 1.1.2023 in Kraft und gilt zunächst für Unternehmen mit mehr als 3.000 Mitarbeitern in Deutschland.
Ab dem 1.1.2024 wird der Geltungsbereich erweitert auf alle Unternehmen mit mehr als 1.000 Mitarbeitern in Deutschland.
Nach Schätzungen werden ab 2023 ca. 900 Unternehmen und ab 2024 ca. 4.800 Unternehmen vom Gesetz betroffen sein.
- Automatisierte Wiederholung der Risikoanalyse
Automatisierte Wiederholung der Prüfung durch voreingestellte Wiederholungstermine nach Risikoprofil.
- Best Practice nach Risikomodell „Highest of“-Methode
Fragenstruktur und Vorlagen an Kundenbedarf anpassbar durch erfahrene Compliance Consulter.
- Zuverlässige und revisionssichere Dokumentation der Lieferantenprüfung
Die Erhebungsbögen sind änderungsfest und maschinell auswertbar. Bei jedem Prozessschritt können Dokumente hinterlegt werden (z.B. Verträge zur Risikominimierung).
Effiziente Grundlage für Berichtswesen und Aufbewahrungspflicht.
- Zweistufiger Prozess
Der Compliance Prozess LkSG umfasst zwei Risiko-Stufen:
Stufe 1: Normales Risiko
Stufe 2: Erhöhtes Risiko.
Anpassung an Kundenbedarf möglich.
- Skalierbare Lösung, insb. mit Blick auf EU-Richtlinie
Der aktuelle Entwurf der EU-Richtlinie zu unternehmerischen Sorgfaltspflichten für Nachhaltigkeit sieht auch eine Prüfung der mittelbaren Lieferanten bzw. des Vertriebs vor. Unsere skalierbare Lösung kann bei Bedarf auf die gesamte Wertschöpfungskette ausgedehnt werden.
Erfüllung der Sorgfaltspflichten im eigenen Geschäftsbereich
Zentrales Management der Lieferanten-Basisdaten
equeo CompCor Compliance Case Management
- Schnelle und effiziente Erfassung aller Vorfälle, Anfragen und Hinweise
- Revisionssichere Dokumentation
- Wesentlicher Nachweis für ein Compliance Management System
- Optional: Schnittstellen zu vorhandenen Systemen für Datenim- oder -export oder zu equeo CompCor-Hinweisgebersystem möglich
Warum überhaupt ein Case Management?
- Einfache Erfassung aller Anfragen, Hinweise und Ereignisse
Mit einem Fall in Verbindung stehende Personen, Organisationseinheiten, Unternehmen oder Behörden können schnell und effizient erfasst werden. - Verschiedene Workflows oder Vorlagen
Je nach Art oder Thema des Ereignisses können unterschiedliche Workflows oder Vorlagen automatisiert bereitgestellt werden. - Durchführung von Untersuchungen
Durch den Case Manager können Untersuchungsaufträge erteilt werden. Eine dezidierte Rollen-Rechte-Struktur stellt sicher, dass nur die mit dem konkreten Untersuchungsauftrag verbundenen Informationen einsehbar sind. - Dokumentation von Maßnahmen
Parallel oder nachfolgend zu Untersuchungen können resultierende Maßnahmen dokumentiert werden.
- Zuverlässige Dokumentation der Fälle, effiziente Grundlage für Berichtswesen
Parallel oder nachfolgend zu Untersuchungen und Maßnahmen können alle begleitenden Kommunikationen dokumentiert werden. In jedem Prozessschritt können Dokumente hinterlegt werden. Ein abgeschlossener Case kann wieder geöffnet werden, wenn sich nachträglich neue Erkenntnisse ergeben. - Optional: Mehrstufiger Genehmigungs- oder Mitzeichnungs-Workflow
Auf Wunsch ist ein mehrstufiger Genehmigungs- oder Mitzeichnungs-Workflow möglich. - Hinterlegen von Löschregeln
Einstellen von Löschregeln, um die datenschutzrechtlichen und arbeitsrechtlichen Anforderungen zu erfüllen. - Besonderheiten: Case aufteilen – Cases verbinden
Ein vorhandener Case kann in mehrere Cases aufgeteilt werden, wenn sich zeigt, dass der ursprüngliche Fall größer oder komplexer wird. Verschiedene Cases (auch bereits abgeschlossene) können zu einem Case zusammengefasst werden.
Die wesentlichen Features des Compliance Case Management
Schnelle und effiziente Erfassung aller Vorfälle, Anfragen und Hinweise
Dokumentation und Reporting
equeo CompCor Compliance Reporting
- Reporting über die Umsetzung der Compliance-Prozesse und -Verfahren sowie über entsprechende Kontrollmaßnahmen zur Unterstützung der Wirksamkeitskontrolle
- Spezielle Reporte für Compliance-Unterstützungsfunktionen und gesetzliche Beauftragte
- Effiziente Grundlage für Berichtswesen
- Wesentlicher Baustein für ein CMS
Warum überhaupt ein Compliance Reporting?
- Prozessgestütztes Reporting
Durch die jeweiligen Bereiche und Führungskräfte des Unternehmens kann ein prozessgestütztes Reporting des Status Quo mittels webbasierter Fragebögen stattfinden. - Veränderung des Risikomodells
Veränderung des Risikomodells nach Kundenbedarf möglich. - Best Practice-Methode
Fragenstruktur und Vorlagen an Kundenbedarf anpassbar durch erfahrene Compliance Consulter.
- Reports
Die Reports können zyklisch versandt werden. - Zuverlässige Dokumentation
- Anpassung an Kundenbedarf
Der Prozess kann an den jeweiligen Reifegrad des CMS des Kunden angepasst werden.
Einfach zu erfassen
Die wesentlichen Features des Compliance Reporting
Dokumentation und Reporting
equeo CompCor Compliance-Risikoanalyse
- Strukturierte, dreigliedrige Durchführung einer Compliance-Risikoanalyse (Selbstauskunft Führungskräfte, objektive Risikoprüflisten und Interviews)
- Bewertung der Compliance-Risiken durch die Compliance-Abteilung
- Effiziente Grundlage für Berichtswesen
- Zwingender Baustein eines Compliance Management Systems
- Erfüllt die Anforderungen der ISO 37301 oder des IDW PS 980
Grundsätze von equeo CompCor für eine Compliance-Risikoanalyse
- Eine Befragung nach wahrscheinlicher Schadensfrequenz und möglicher Schadenshöhe von Compliance-Risiken sollte unterbleiben, da dies nicht zu sinnvollen Ergebnissen führt.
- Allgemein gehaltene Selbsteinschätzungsfragebogen für Compliance-Risiken durch Führungskräfte geben eine erste Orientierung und erhöhen die Compliance-Aufmerksamkeit.
- Diese Selbsteinschätzung sollte durch Fragen nach objektiven, risikorelevanten Sachverhalten (objektive Risikoprüflisten) unterstützt werden.
- Die Bewertung der Selbsteinschätzung einerseits und die Auswertung der objektiven Risikoprüflisten sollte durch ausgewählte Interviews überprüft werden.
- Wenn Compliance-Risiken festgestellt werden, bedarf dies einer unverzüglichen Einschaltung der Compliance-Abteilung, um risikominimierende Maßnahmen einleiten zu können.
Warum überhaupt eine Compliance-Risikoanalyse?
- Risiko-Selbsteinschätzung für Führungskräfte
Webbasierter Fragebogen für Führungskräfte. Intervallgesteuerte und risikobasierte Wiederholung sowie automatisierte Information der Compliance-Abteilung bei höheren Risiken - Systematische Risikoprüfung
Die verschiedenen Geschäftspartner werden systematisch überprüft, Risiken durch die Compliance-Abteilung bewertet und erforderliche risikominimierende Maßnahmen dokumentiert. - Objektive Risikoprüflisten
Ergänzend können objektive Risikofaktoren abgefragt werden. Fragenstruktur und Vorlagen als Best Practice-Modell, an Kundenbedarf anpassbar durch erfahrene Compliance Consulter.
- Interviews mit ausgewählten Bereichen
Strukturierte Interview-Vorlagen für die Dokumentation von Interviews zur Überprüfung der Risikoanalyse durch Compliance liegen vor. - Bewertung, Risikomatrix
Auswertung der Risikoanalyse durch Risikoidentifizierungs- und Bewertungsprozess gem. ISO 37301 mit Risikomatrix. - Zuverlässige Dokumentation
- Anpassung an Kundenbedarf
Das verwendete Risikomodell kann an den Kundenbedarf angepasst werden.
Einfach zu erfassen
Schnell und effizient
Besonderheiten der Compliance-Risikoanalyse
Compliance-Risiken sind als „operative Risiken – Rechtsrisiken“ Teil des allgemeinen Risikomanagement-Systems. Es gibt allerdings einige Besonderheiten:
- Aufgabe des allgemeinen Risikomanagements ist es, Chancen und Risiken unter Abschätzung von Wahrscheinlichkeit, Schadenshöhe und Kosten zu optimieren und mögliche Auswirkungen auf den Unternehmenserfolg zu dokumentieren.
- Straf- oder bußgeldbewehrte Normen erlauben jedoch grundsätzlich keine wirtschaftliche Risikoabwägung, die sich an Eintrittswahrscheinlichkeiten und Folgebewertung orientiert. Hier besteht deshalb kein unternehmerischer Spielraum: Verstöße sind gesetzlich verboten und können nicht unter Risikoabwägung ggf. in Kauf genommen werden.
- Viele Compliance-Risiken ähneln Katastrophenrisiken: Sie treten sehr selten auf, bei Eintritt aber mit gravierenden Folgen.
- Compliance-Risiken sind häufig mit persönlicher Verantwortung der zuständigen Führungskräfte verbunden. Bei der überwiegenden Mehrzahl schwerwiegender Compliance-Verstöße sind obere Führungskräfte beteiligt.
- Vorsicht vor mathematischen Durchschnittswerten bei der Gesamtbewertung! Dadurch können vorhandene Risiken wieder „herausgerechnet“ werden. Sofern in einem Bereich ein Compliance-Risiko erkannt wird, muss dies entsprechend behandelt werden.
