Präventive Audits

Mit effizienter E-Discovery den Durchblick im Datendschungel behalten
Von Hartwig Laute

Beitrag als PDF (Download)

Mit einer Rekordzahlung in Höhe von 300 Millionen Euro hat die Schweizer Großbank UBS ein weiteres Verfahren wegen Beihilfe zur Steuerhinterziehung abgeschlossen. Das ist die höchste Strafe, die eine Schweizer Bank jemals in Deutschland gezahlt hat. Die UBS wird jedoch nicht zur Ruhe kommen: Ein anderer Steuerfall in Deutschland ist noch nicht abgeschlossen, und auch in Frankreich, Belgien und weiteren Ländern steht die größte Schweizer Bank im Verdacht, ihre Kunden beim Verstecken von Schwarzgeld unterstützt zu haben.

Die Ermittlungen gegen die UBS waren 2012 durch Informationen auf einer Steuer-CD, die Nordrhein-Westfalen gekauft hatte, in Gang gekommen. In den vergangenen Jahren hat die Bank ihre Kunden gedrängt, mit den Steuerbehörden reinen Tisch zu machen. Inzwischen sind 95% der deutschen Kunden so weit, Ende dieses Jahres will die Bank gar keine unversteuerten Gelder aus Deutschland mehr verwalten. Im Nachgang zu reagieren ist das eine – doch wie lassen sich solche Vorkommnisse im Vorfeld vermeiden?

Transparenz schaffen

Präventive Audits verbessern die Transparenz in Unternehmen und helfen, Verstöße gegen Compliancerichtlinien – wie etwa illegale Unterstützung von Steuerhinterziehung durch Bankenmitarbeiter – frühzeitig zu erkennen. Sie schützen nicht nur vor finanziellem und Imageschaden: für Aufsichtsorgane sind präventive Kontrollen sogar Pflicht. Bei allen Revisionsmaßnahmen darf jedoch der Datenschutz in keinem Fall ignoriert werden, denn das wäre mit erheblichen Rechtsfolgen verbunden. Personenbezogene Daten müssen unkenntlich gemacht werden, um den Datenschutzrichtlinien zu entsprechen. Weil im Rahmen solcher Audits teilweise Millionen von Dokumenten durchsucht werden müssen, benötigen die Revisionsabteilung oder der Complianceverantwortliche eine Lösung, die auch größte Datenmengen schnell und automatisiert analysieren kann – und das mit der nötigen Anonymisierung oder Pseudonymisierung personenbezogener Daten.

Kartellrecht, Korruptionsbekämpfung und Datenschutz sind die drei herausgehobensten Bereiche, in denen präventive Audits zum Tragen kommen. Wo Kontrolle ausgeübt wird, ist aber auch mit Widerständen zu rechnen: Kein Mitarbeiter sieht sich gerne unter Generalverdacht, und Bedenken gegen die Einsicht in vertrauliche Daten können in den betroffenen Abteilungen für Verweigerungshaltung sorgen. Transparenz ist das Zauberwort. Bei der Durchführung der nötigen Kontrollmaßnahmen gilt sie als Schlüssel für ein optimales Compliancemanagement und fördert die Kooperationsbereitschaft der Mitarbeiter. Werden ein paar wesentliche Empfehlungen beachtet, lassen sich die Revision für alle Beteiligten angenehmer gestalten und die Effizienz der Maßnahme deutlich erhöhen. Durch eine größtmögliche Teilhabe der zu prüfenden Abteilungen und Angestellten können die Akzeptanz und die bereitwillige Mitarbeit deutlich erhöht werden.

Fehlentwicklungen vorbeugen

Eine wichtige Vorreiterrolle kommt der Geschäftsleitung zu, wenn es darum geht, die Ernsthaftigkeit der anstehenden Untersuchung zu unterstreichen. Nur wenn die Führungsebene deutlich macht, dass Audits für den Schutz von Unternehmen und Mitarbeitern unerlässlich sind, erhält die Maßnahme den nötigen Nachdruck. Ein Audit ist keine Razzia, in der es um die Suche nach dem schwarzen Schaf geht. Sie ist vielmehr ein Teil es kontinuierlichen Optimierungsprozesses zum Wohle aller: Fehlentwicklungen in Unternehmensabläufen können rechtzeitig erkannt und korrigiert werden.

Angst ist zwar ein schlechter Ratgeber, aber es ist dennoch wichtig, Mitarbeitern auch die Konsequenzen von Complianceverstößen klar aufzuzeigen – auch für sie persönlich. Neben Transparenz und Fingerspitzengefühl kann es heilsam sein, anhand abschreckender Beispiele die Dramatik des Themas zu unterstreichen: vom möglichen Jobverlust bis hin zu persönlicher Haftung.

Datenschutz gewährleisten

Ziel von Audits ist nicht, Schwächen einzelner Mitarbeiter zu entlarven, sondern präventiv – selbst noch so unbeabsichtigte – Complianceverstöße zu erkennen und entsprechend zu handeln. Mitarbeiter brauchen daher das sichere Gefühl, dass ihre Rechte gewahrt werden. Auch insoweit ist die Einhaltung der Datenschutzregelungen unverzichtbar. Datenschutzbeauftragte und – wenn vorhanden – der Betriebsrat sollten daher bereits in der Planungsphase eines Audits eingeschaltet werden, damit sichergestellt wird, dass die Maßnahme datenschutzrechtlich konform ist: Selbst wenn zum Beispiel die Nutzung der geschäftlichen E-Mail für private Zwecke verboten ist, können Nachrichten dennoch vertrauliche Informationen wie als privat zu betrachtende Kommentare unter Kollegen oder den Austausch mit dem Betriebsarzt oder der Personalabteilung enthalten. Sie sind ohne Zustimmung der betroffenen Gesprächspartner nicht für die Augen Dritter bestimmt.

Es ist daher wichtig, dass bei der präventiven Einsicht in E-Mail-Fächer die Einwilligung der Mitarbeiter – zum Beispiel eben über den Betriebsrat – eingeholt wird. Eine Objektivierung von Informationen, etwa durch die Nutzung einer speziellen Review-Software schafft durch die automatisierte Anonymisierung und Pseudonymisierung personenbezogener Daten zusätzliche Sicherheit und Vertrauen. Mit einem solchen Tool können Unternehmensjuristen und externe Rechtsanwälte große Mengen an Unternehmensdaten effizient und präzise selektieren und sichten.

In Situationen, in denen bereits offizielle Ermittlungen laufen, ist das fallbezogene Durchsuchen der unternehmensinternen E-Mail-Postfächer unproblematisch. Nicht aber, wenn es sich um rein präventive Maßnahmen handelt. Wer ohne begründeten Anfangsverdacht die E-Mail-Korrespondenz seiner Mitarbeiter einsieht, gerät aufgrund verschiedenster datenschutzrechtlicher Vorgaben leicht mit dem Gesetz in Konflikt und macht sich am Ende selbst strafbar. Durch Anonymisierung oder Pseudonymisierung personenbezogener Informationen lassen sich Datenbestände jedoch so aufbereiten, dass E-Mail-Korrespondenzen auch präventiv überprüft werden können, um zum Beispiel einen unspezifischen Anfangsverdacht zu begründen oder Verfehlungen zu erkennen, ehe ein größerer Schaden entsteht.

Regelkonform handeln

IT-gestützte Maßnahmen wie E-Discovery- und Information-Governance-Lösungen können in vielen Bereichen die Grundlage für compliancegerechtes Verhalten in Unternehmen schaffen und einen verantwortungsvollen, regelkonformen und nachhaltigen Umgang mit Daten gewährleisten.

Ab einer gewissen Größe wird es für Unternehmen schwierig, auf manuellem Weg sämtliche internen Prozesse und Dokumentationen zu überblicken. Bei einem Zuwachs der elektronisch gespeicherten Informationen von jährlich 50% benötigen Unternehmen daher zuverlässige Information-Governance- und E-Discovery-Tools, mit denen sie entscheidende Inhalte auffinden und herausfiltern können.

Oft wurzeln Complianceverstöße auf blankem Nichtwissen, etwa wenn Mitarbeitern die Schwelle von „eher erlaubten“ zu „eher verbotenen“ bis hin zu definitiv unzulässigen Absprachen nicht klar ersichtlich ist. In vermeintlich inoffizieller Atmosphäre auf Branchenveranstaltungen ist dann leicht ein falsches Wort gewechselt und unbeabsichtigt eine Grenze überschritten. Regelmäßige Trainingsmaßnahmen für Mitarbeiter helfen, einen unternehmensweiten Verhaltenskodex zu etablieren, und erhöhen die Fähigkeit der Mitarbeiter, grenzwertiges oder grenzüberschreitendes Verhalten bei sich und anderen zu erkennen: Eine weitere Sicherungsebene entsteht.

Hartwig.laute@recommind.com