Compliance im KMU: Was die erste Verurteilung eines Unternehmens wegen Auslandbestechung für die KMU-Praxis bedeutet

1. Compliance ist eine Organisationsaufgabe

Bei bestimmten Delikten, darunter die Bestechung, kann das Unternehmen neben der handelnden natürlichen Person strafrechtlich verantwortlich werden, wenn ihm vorzuwerfen ist, nicht alle erforderlichen und zumutbaren organisatorischen Vorkehren getroffen zu haben, um eine solche Straftat zu verhindern. Genau diese organisatorische Dimension macht den erwähnten Entscheid des Bundesstrafgerichts für KMU relevant. Das verurteilte Unternehmen verfügte zwar über einen Code of Business Conduct und über einen Prozess zur Überprüfung von Vermittlern. Nach Auffassung des Gerichts fehlte es jedoch an einer wirksamen Kontrolle der tatsächlichen Tätigkeit dieser Vermittler und insbesondere der Zahlungsflüsse. Die formelle Existenz von Compliance-Instrumenten genügte damit nicht. Für KMU lässt sich daraus ein wichtiger Grundsatz ableiten: Compliance ist kein Dokumentationsprojekt, sondern eine Organisationsaufgabe. Entscheidend ist nicht, ob ein Unternehmen einen Code of Conduct, eine Weisung oder eine Vertragsklausel vorweisen kann. Entscheidend ist, ob damit konkrete Risiken erkannt, verhindert und kontrolliert werden können.

Das Urteil fügt sich in eine breitere Entwicklung des schweizerischen Unternehmensrechts ein: Unternehmen sollen Risiken aus ihrem Geschäft erkennen, beurteilen, steuern und dokumentieren. Das Gesetz verpflichtet bestimmte Unternehmen zur Berichterstattung über nichtfinanzielle Belange. Die Regulierung entwickelt sich jedoch weiter. Neben den bereits geltenden Pflichten werden weitergehende Anforderungen an die Nachhaltigkeitsberichterstattung sowie menschenrechtliche und umweltbezogene Sorgfaltspflichten politisch und legislativ diskutiert. Für KMU gelten zwar nicht automatisch dieselben Pflichten wie für Grossunternehmen. Über Kunden, Lieferketten und internationale Märkte werden sie jedoch zunehmend mit ESG-Anforderungen konfrontiert.

2. Was KMU konkret tun sollten (Best Practice)

a. Mit einer einfachen Risikobeurteilung beginnen

Ein KMU benötigt nicht zwingend eine eigene Compliance-Abteilung. Es benötigt aber eine belastbare Antwort auf die Frage: Wo können in unserem Geschäftsmodell wesentliche Rechts- und Integritätsrisiken entstehen? Besondere Aufmerksamkeit ist angezeigt bei Geschäften mit öffentlichen Stellen, Auslandaktivitäten, Vertrieb über Agenten oder Vermittler, ungewöhnlichen Provisionsmodellen, Bargeldzahlungen, Offshore-Strukturen sowie Lieferketten in Hochrisikogebieten. Für viele KMU genügt zunächst eine jährlich aktualisierte Risikobeurteilung mit wenigen Hauptthemen sowie beim Eintritt in neue Länder oder Geschäftsfelder.

b. Geschäftspartner nicht nur beim Vertragsabschluss prüfen

Eine der wichtigsten Erkenntnisse aus dem Bundesstrafgerichtsentscheid betrifft externe Vermittler. Eine einmalige Prüfung kann ungenügend sein, wenn später niemand mehr kontrolliert, was tatsächlich geschieht.

KMU sollten deshalb bei risikoreichen Geschäftspartnern zumindest prüfen:

• Wer ist wirtschaftlich berechtigt?
• Welche konkrete Leistung wird erbracht?
• Ist die Vergütung marktüblich und nachvollziehbar?
• Stimmen Rechnung, Vertrag und Leistung überein?
• Wohin fliesst das Geld?
• Gibt es Verbindungen zu Amtsträgern oder ungewöhnliche Unterbeauftragte?

Besondere Aufmerksamkeit verdienen Warnsignale wie Zahlungen an Dritte, Konten in anderen Staaten als dem Sitz des Vertragspartners, unklare Leistungsbeschreibungen, ungewöhnlich hohe Provisionen oder der Wunsch nach besonderer Geheimhaltung. Es wird empfohlen, solche «Red Flags» zu definieren, exponierten Mitarbeitenden als Orientierung zur Verfügung zu stellen und idealerweise regelmässig kurze Schulungen abzuhalten.

c. Vier-Augen-Prinzip sinnvoll einsetzen

KMU sollten nicht versuchen, jeden Geschäftsprozess gleich intensiv zu kontrollieren. Wirkungsvoller ist eine Konzentration auf kritische Vorgänge. Bei Vermittlerprovisionen, Zahlungen an staatliche oder staatsnahe Kunden, grösseren Geschenken und Einladungen oder Geschäften in Hochrisikomärkten sollte beispielsweise ein Vier-Augen-Prinzip gelten. Ab bestimmten Schwellenwerten kann zusätzlich die Geschäftsleitung oder der Verwaltungsrat einzubeziehen sein. Dabei sollte nicht nur die Zahlung genehmigt, sondern auch die zugrunde liegende Leistung dokumentiert werden.

d. Verantwortung ausdrücklich zuweisen

Gerade in KMU führt die informelle Organisation häufig dazu, dass sich niemand ausdrücklich für Compliance zuständig fühlt. Das ist riskant. Die Geschäftsleitung sollte deshalb bestimmen, wer für die wesentlichen Compliance-Themen verantwortlich ist. In kleineren Unternehmen kann dies eine Person aus Geschäftsleitung, Finance oder Legal übernehmen. Entscheidend ist nicht die Stellenbezeichnung, sondern dass Zuständigkeiten, Eskalationswege und Stellvertretungen klar sind. Bei Aktiengesellschaften betrifft die Compliance-Organisation zudem eine unübertragbare Aufgabe des Verwaltungsrats (Art. 716a OR). Der Verwaltungsrat sollte sich deshalb risikogerecht über wesentliche Compliance-Risiken und deren Bewirtschaftung informieren.

e. Meldemöglichkeiten schaffen

Ein Hinweisgebersystem muss für ein KMU nicht zwingend aus einer komplexen externen Plattform bestehen. Eine klar bezeichnete, möglichst unabhängige Ansprechperson oder ein externer Meldekanal (je nach Grösse, Risikoprofil und Organisation) kann genügen. Wesentlich ist, dass Mitarbeitende wissen, an wen sie sich wenden können und dass Meldungen tatsächlich abgeklärt werden.

f. Dokumentieren, was tatsächlich gemacht wurde

Kommt es später zu einer Untersuchung, genügt die Aussage «Wir haben das immer so gehandhabt» kaum. Ein KMU sollte deshalb insbesondere Risikobeurteilungen, Freigaben, Geschäftspartnerprüfungen, Schulungen, «Red-Flag»-Abklärungen und wesentliche Managemententscheide nachvollziehbar dokumentieren. Der praktische Nutzen geht über Strafverfahren hinaus. Dieselben Unterlagen können zunehmend auch für Banken, Versicherer, Investoren und grössere Kunden relevant sein, die ESG- und Compliance-Informationen verlangen.

3. Fazit

Das Gesetz verlangt erforderliche und zumutbare Massnahmen. Gefordert ist somit ein risikobasierter und proportionaler Ansatz. Ein solches System mit den vorstehenden Empfehlungen lässt sich auch in einem Unternehmen mit begrenzten Ressourcen umsetzen. Welche organisatorischen Vorkehren erforderlich und zumutbar sind, hängt insbesondere von Art, Grösse und Risikoprofil des Unternehmens sowie von der konkreten Geschäftstätigkeit ab. Je höher das Risiko, desto weniger genügt eine rein informelle Organisation.

Das Urteil ist für KMU vor allem deshalb relevant, weil es eine Entwicklung sichtbar macht, die weit über das Korruptionsstrafrecht hinausgeht: Unternehmen müssen zunehmend zeigen können, dass sie Risiken nicht nur auf dem Papier adressieren, sondern in ihre tatsächlichen Geschäftsprozesse integrieren. Für KMU empfiehlt sich deshalb ein schlankes, funktionierendes System: Risiken kennen, Verantwortlichkeiten festlegen, kritische Geschäftspartner prüfen, sensible Zahlungen kontrollieren, Auffälligkeiten eskalieren und die wichtigsten Schritte dokumentieren. Wer diese Grundelemente in seine Geschäftsprozesse integriert, reduziert nicht nur strafrechtliche Risiken. Er schafft zugleich die organisatorische Grundlage, um wachsende Anforderungen von Kunden, Banken, Lieferketten und künftiger ESG-Regulierung effizient zu bewältigen.

Unsere Spezialistinnen und Spezialisten unterstützen Sie gerne beim Aufbau oder bei der Überprüfung schlanker, risikobasierter Compliance- und ESG-Strukturen für KMU. Wir sind auch für Sie da, um allfällige bereits erfolgte Verstösse zu beurteilen oder Sie im Ernstfall im Strafverfahren zu verteidigen.

Download als PDF