Unternehmen, die Güter exportieren sind rechtlich gehalten die Bestimmungen der deutschen und europäischen Exportkontrolle zu beachten. Unternehmen, die für ihre Exporte Genehmigungspflichten zu beachten haben, sind insbesondere gut beraten, wenn sie entsprechende Prozesse – z.B. mit einer Arbeits- und Organisationsanweisung (AuO) einrichten, vorhalten und fortlaufend verbessern, die die Compliance für die Exportkontrolle nachhaltig sicherstellt. Anderenfalls drohen bei Verstößen empfindliche Strafen, die nicht selten ein Vielfaches der Kosten verursachen, die eine bessere Compliance Organisation in dem betroffenen Unternehmen gekostet hätte, die solche Verstöße verhindert hätte. Es gilt die allgemeine Weisheit: „Wer meint Compliance sei nur teuer, der solle es einmal mit Non-Compliance versuchen…“ Wie aber sieht die optimale Compliance Organisation aus, die proaktiv Verstöße effektiv und effizient verhindert und die dabei weder über- noch unterdimensioniert ist und wie wird eine solche aufgebaut und unterhalten?
Es gibt kein Muster für alle Unternehmen. Vielmehr gibt es diverse Best Practice Ansätze, die es jedem Unternehmen ermöglichen seine Compliance-Ziele möglichst effektiv und effizient zu erreichen.
Da Papier bekanntlich geduldig ist, kann Best Practice nicht allein auf dem Niederschreiben entsprechender Anweisungen begründet sein. Noch wichtiger ist, wie die so ggf. niedergeschriebene Compliance von Unternehmen im Tagesgeschäft gelebt wird und dafür kommt es auch auf das an, was zwischen den Zeilen einer AuO steht, daher wie eine solche AuO im Unternehmen eingebettet ist.
Zunächst sei aber einmal deutlich gesagt, dass die Compliance in der Exportkontrolle in Bezug auf ihre Best Practice Organisation in Unternehmen im Grunde nichts völlig Neues verlangt. Angelehnt an die Prüfungsstandards Nr. 980 des Instituts der Wirtschaftsprüfer benötigt jedes CMS (Compliance Management System) die entsprechende Berücksichtigung von den folgenden sieben Elementen:
1. Compliance-Kultur (inkl. tone from the top)
2. Compliance-Ziele
3. Compliance-Risiken
4. Compliance-Programm
5. Compliance-Organisation
6. Compliance-Kommunikation
7. Compliance-Überwachung und Verbesserung
Das Bundesamt für Wirtschaft und Ausfuhrkontrolle baut ebenfalls auf diesen sieben CMS Elementen in seinen Merkblättern auf und definiert die darauf fußenden Anforderungen an ein Innerbetriebliches Compliance Programm (ICP) aus Sicht der Exportkontrolle genauer. Die Verwendung des Begriffs „ICP“ ist dennoch grundsätzlich synonym zum Begriff CMS zu sehen. In den BAFA Merkblättern „Exportkontrolle und das BAFA“ und „Merkblatt zur Firmeninternen Exportkontrolle (ICP)“ finden sich die konkretisierten Anforderungen des BAFA an ein solches ICP/CMS aus Sicht der Exportkontrolle.
Wie aber setzt man diese konkretisierten Anforderungen für ein Unternehmen am besten um? Dies soll nachfolgend exemplarisch an den sieben Elementen eines CMS kurz erläutert werden:
Zu 1. und 2. Compliance-Kultur und Compliance Ziele
a) Laut dem BAFA hat sich die Unternehmensleitung klar und unmissverständlich zur Einhaltung der außenwirtschaftsrechtlichen Bestimmungen und zu den Zielen der Exportkontrolle (wie z.B. der Proliferationsbekämpfung) zu bekennen. Das Bekenntnis der Unternehmensleitung muss schriftlich verfasst und den Mitarbeitern gegenüber wiederkehrend kommuniziert werden. Damit im Unternehmen ein entsprechendes Leitbild verankert werden kann, muss zudem die Einhaltung der außenwirtschaftsrechtlichen Bestimmungen durch die Unternehmensleitung vorgelebt werden.
b) Zur praktischen Umsetzung ist es empfehlenswert dafür grundsätzlich auf dem aufzusetzen, was im Unternehmen bereits zum Thema CMS, wenn auch ggf. für andere Themen als die Exportkontrolle, vorhanden ist. Gibt es eine klare Ansage der Geschäftsleitung zur Einhaltung aller anwendbaren Gesetze gegenüber den Mitarbeitern, so gilt diese Ansage natürlich auch in Bezug auf die Exportkontrolle, nur dies sollte allen Beteiligten am besten noch einmal klar verdeutlicht werden. Dies lässt sich zum Beispiel mit einem One-pager der Geschäftsleitung erzielen, mit welchen das klare (Eigen-) Bekenntnis dieser zur Beachtung und Überwachung der Exportkontrollregeln festgehalten wird. Dies hat regelmäßig neben dem Effekt gegenüber allen Mitarbeitern auch einen Effekt gegenüber allen Geschäftsführern, Vorständen und Gesellschaftern dafür entsprechend mitzuwirken, erst recht, wenn ein einzelnes Mitglied aus der Geschäftsführung als sogenannter „Ausfuhrverantwortliche(r)“ gegenüber dem BAFA benannt wurde. Auch aus Sicht der Person, die im Tagesgeschäft die Exportkontrollregeln operativ umzusetzen hat als sogenannte(r) „Exportkontrollbeauftragte(r)“ ist ein klares Mandat und die Vermittlung der Sicht, dass alle am selben Strang in Bezug auf die Exportkontrolle ziehen, eine nicht zu unterschätzende Unterstützung zur optimalen Umsetzung der Exportkontrolle. Daneben belegen solche One-pager, Leitlinien, AuOs und deren Umsetzung immer den Grad der Einhaltung der gesetzlichen Sorgfaltspflichten der Geschäftsführung. Die jeweilige Einhaltung der Sorgfaltspflichten und deren Dokumentation ist wiederum im Falle einer möglichen Verfolgung von Verstößen gegen Exportkontrollbestimmungen, der Bewertung von Selbstanzeigen und Erteilung von Genehmigungen, von besonderer Bedeutung für eine wohlwollende Beurteilung durch die Behörden und Gerichte.
Zu 3. Compliance-Risiken
a) Grundvoraussetzung für ein wirksames ICP ist eine Risikoanalyse, d. h. die Identifizierung und Bewertung von Compliance-Risiken im Bereich der Exportkontrolle. Ganz entscheidend ist hierbei, dass Unternehmen analysieren, welche Rechtsvorschriften durch sie einzuhalten sind und auch Rechtsänderungen dazu kontinuierlich verfolgen, denn die Rechtslage kann sich tagtäglich ändern (siehe z.B. Verbot des Exports von Schutzkleidung wegen der Corona-Krise).
b) Zur praktischen Umsetzung ist es empfehlenswert die für das Unternehmen anwendbaren Rechtsvorschriften der Exportkontrolle in der Langfassung einer AuO verständlich erklärt und einem roten Faden folgend, darzulegen. Schon vor jeder Angebotsabgabe und/oder Auftragsbestätigung ist grundsätzlich zu prüfen, ob der Prozess der Exportkontrolle relevant ist. Dies gilt insbesondere im Hinblick darauf, dass im Bereich von Rüstungsgütern und Waffenembargos bereits der Verkauf, also ein Vertragsschluss (Abgabe von Angeboten, Auftragsbestätigungen), verboten ist. Die Langfassung einer AuO wird idealerweise gleichzeitig zur Trainings- und Prüfungsunterlage für die davon tangierten Bereiche eines Unternehmens. Neben dieser Langfassung der AuO, die je nach Unternehmen, Produkten und Geschäften schnell 30 Seiten und mehr umfassen kann, ist es hilfreich für einen erste Übersicht zum besseren Verständnis aller und auch für die wenig betroffenen Bereiche des Unternehmens eine Kurzfassung der AuO als eine Art „Quick Guide“ zu verfassen, die auf nur wenigen Seiten den wesentlichen Inhalt und die Aufgabe in Bezug auf die Exportkontrolle wiedergibt, ohne dabei bereits in weitere Einzelheiten zu gehen. Dies unterstützt die Akzeptanz der Langfassung der AuO sowie das Verständnis zu deren notwendigen Detailregelungen und organisatorischen Einschränkungen aus Risikogesichtspunkten für das Unternehmen.
Zu 4.,5.,6. Compliance-Programm/-Organisation/-Kommunikation
a) Für die Ausgestaltung der Aufbauorganisation im Bereich Exportkontrolle und ihre Einbindung in die übrige Unternehmensorganisation müssen bestimmte Mindestvorgaben erfüllt werden. Die Gesamtverantwortung im Unternehmen für das Thema „Exportkontrolle“ muss schriftlich festgelegt und bekannt gemacht werden. Bei Unternehmen, die gelistete Güter ausführen, ist dies der sogenannte „Ausfuhrverantwortliche“, der im Organigramm ausgewiesen sein sollte, inkl. einer ggfs. notwendigen Organisationseinheit für Exportkontrollfragen. Auch die übrigen Aufgaben und Zuständigkeiten im Zusammenhang mit der Exportkontrolle sind klar und abgrenzbar zuzuweisen und innerhalb des Unternehmens bekanntzugeben. Das Dokument ist auf aktuellem Stand zu halten. Die Beschreibung der Zuständigkeitshierarchie muss Einzelheiten zur Delegation von Zuständigkeiten und den üblichen Vorgehensweisen bei Abwesenheit des Gesamtverantwortlichen enthalten.
Hinsichtlich der operativen Umsetzung ist die Ablauforganisation das zentrale Element eines ICP/CMS. Die Ablauforganisation (als „Programm“ ) sollte sicherstellen, dass keine Transaktion ohne die erforderliche Genehmigung oder unter Missachtung bestehender Verbote des Exportkontrollrechts erfolgt. Die hierfür erforderlichen Organisationsanweisungen sollten in die Langfassung der AuO als zentrales Dokument mit einfließen. Die Langfassung der AuO sollte daher die Verfahren regeln, die das Exportkontrollpersonal bzw. die betroffenen Bereiche des Unternehmens anwenden muss.
b) Empfehlenswert ist es bei der Aufbauorganisation darauf zu achten, dass die Person des Exportkontrollbeauftragten unter der Geschäftsführung klar benannt und für alle Mitarbeiter als zentraler Ansprechpartner auch klar befugt ist diejenigen Prozesse zu stoppen, deren exportkontrollrechtlichen Anforderungen nicht erfüllt werden. Diese Person benötigt daher neben den persönlichen Voraussetzungen eine solche Position auszufüllen, insbesondere dafür auch die volle Unterstützung der Geschäftsführung. Dies sollte kein Problem sein, wenn von der Geschäftsleitung anerkannt wird, dass diese Person sie im Zweifel vor dem Gefängnis, hohen Geldstrafen, Umsatz-, Gewinn- und Reputationsverlusten schützen muss und kann. Sinnvoll dafür ist die Implementierung eines Berichtsrechts-, bzw. auch einer regelmäßigen Berichtspflicht zu bestimmten Fällen, Entwicklungen, der Organisation der Exportkontrolle, etc. Eine entsprechend gute Kommunikation zwischen allen vorrangig und nachrangig an der Exportkontrolle beteiligten Personen ist daher von hoher Bedeutung für das ICP/CMS.
Zu 7. Compliance-Überwachung und Verbesserung
a) Die/der Ausfuhrverantwortliche muss sich regelmäßig über seine Pflichten zur Einhaltung der Compliance- und Organisationsvorschriften informieren. Das Exportkontrollpersonal muss auf den neuesten Stand sein, wenn die maßgeblichen Vorschriften und Verfahren geändert werden. Das Exportkontrollpersonal sollte mindestens einmal im Jahr Gelegenheit bekommen, sich intern oder extern auf dem Gebiet der Exportkontrolle fortzubilden. Auch sollten die Prozesse zur Einhaltung der Compliance unregelmäßig im Auftrag der Geschäftsführung überprüft werden, wie z.B. der internen Revision oder externen Prüfern und Beratern. Diese Punkte sollten daher in der Langfassung der AuO ausdrücklich festgehalten werden, denn sie sind Ausdruck und Dokumentation der Einhaltung der Sorgfaltspflichten der Geschäftsführung.
b) Empfehlenswert ist es hierbei u.a., dass sich die Geschäftsführung z.B. jährlich über die erhaltenen Schulungen des Exportkontrollpersonals, bzw. der involvierten Personen informieren lässt und sich bei der Gelegenheit ggf. auch über Rechtsänderungen oder Organisationsthemen zur Exportkontrolle berichten lässt. Auch dies gehört mit in die Langfassung einer AuO.
Der Aufbau und die Unterhaltung eines ICP/CMS für die Exportkontrolle stellt betroffene Unternehmen auf den ersten Blick nicht selten vor gewisse Anlaufschwierigkeiten, da die sehr spezielle Materie komplex, juristisch anspruchsvoll und schon daher nicht leicht zu handhaben ist.
Von Unternehmen selbst gemachte ICP/CMS, die nur ganz allgemein auch für die Compliance zur Exportkontrolle gelten sollen, mangelt es oftmals an Klarheit und Struktur, um die Compliance in diesem speziellen Bereich nachhaltig zu gewährleisten. Aber auch speziell von Unternehmen für die Exportkontrolle verfasste ICP/CMS weisen nicht selten Unzulänglichkeiten auf, wie z.B. ein ungenaues Vokabular oder fehlende Definitionen, was dann im Falle einer behördlichen Überprüfung prima facie auf Unkenntnis und mangelhafte Organisation hindeutet. Dieses Manko kann in Fällen von Verstößen für Unternehmen teurer werden als die proaktive Investition in die nachhaltige Optimierung eines ICP/CMS für die Exportkontrolle.
Die Einrichtung, das Vorhalten und Verbesserung eines Best Practice ICP/CMS in der Exportkontrolle wird von betroffenen Unternehmen oft als eher lästige Pflichtaufgabe verstanden. Nach meiner Erfahrung sollte dieses vielmehr als gewinnende „Kür“ behandelt werden. Eine solche „Kür“ kann neben einem wirksamen Schutzschild vor Verstößen und den schwerwiegenden Folgen von Verstößen auch einen noch weiteren Mehrwert in Planungssicherheit für Unternehmen bedeuten. Effiziente und effektive Organisationsstrukturen haben immer auch spürbar Einfluss auf die Unternehmenskosten und den Gewinn.