Compliance-Zertifikat: welche Zertifizierungen dahinterstehen (ISO 37301, ISO 37001), wie das Audit abläuft und Abgrenzung zu ISO 9001 und AEO.
Compliance-Zertifikat ist kein feststehender Fachbegriff, sondern eine Sammelbezeichnung für Nachweise, dass ein Unternehmen Regeln einhält. Fachlich gemeint ist damit die Zertifizierung eines Compliance-Management-Systems nach ISO 37301 oder eines Antikorruptionsmanagementsystems nach ISO 37001, die eine unabhängige Zertifizierungsstelle nach einem Audit ausstellt.
Ein Compliance-Zertifikat ist kein Begriff aus einem Gesetz oder einer Norm. Compliance bedeutet die Einhaltung von Gesetzen und internen Regeln. Ein Zertifikat bestätigt, dass eine unabhängige Stelle ein Unternehmen oder ein Managementsystem nach festgelegten Anforderungen geprüft hat. Unter dem Begriff Compliance-Zertifikat werden deshalb verschiedene Nachweise zusammengefasst:
Nicht gemeint ist die Konformitätsbescheinigung für Produkte (Certificate of Conformity), die bestätigt, dass eine Ware bestimmte technische Anforderungen erfüllt.
ISO 37301 legt Anforderungen an Compliance-Management-Systeme fest. Die Norm wurde 2021 veröffentlicht und hat den Leitfaden ISO 19600 ersetzt. Anders als dieser ist sie zertifizierbar. Gefordert sind unter anderem eine Analyse der Compliance-Pflichten und -Risiken, eine Compliance-Politik, klare Zuständigkeiten, Schulungen, Meldewege für Hinweise, Kontrollen und laufende Verbesserung.
ISO 37001 regelt Managementsysteme zur Korruptionsbekämpfung. Beide Normen folgen den gemeinsamen Grundsätzen der ISO-Managementsystemnormen und dem PDCA-Zyklus aus Planen, Umsetzen, Prüfen und Verbessern. Sie lassen sich deshalb kombinieren und in ein bestehendes Qualitätsmanagement einbinden.
Daneben prüfen Wirtschaftsprüfer Compliance-Management-Systeme nach dem Prüfungsstandard IDW PS 980. Das Ergebnis ist ein Prüfungsbericht, keine Zertifizierung im Sinne der ISO-Normen.
Zertifikate nach ISO-Normen stellen private Zertifizierungsstellen aus. Den AEO-Status vergibt der Zoll auf Antrag.
Eine gesetzliche Pflicht zur Zertifizierung gibt es nicht. Nachweise zu Compliance werden aber in Lieferantenabfragen und in der Logistikausschreibung abgefragt. Ein Zertifikat kann dort zeigen, dass Regeln nicht nur auf dem Papier stehen, sondern geprüft wurden. Zugleich zwingt der Aufbau eines CMS dazu, Zuständigkeiten und Abläufe festzulegen.
Die Grenzen sind ebenso klar: Ein Zertifikat belegt, dass ein Managementsystem zum Zeitpunkt des Audits die Anforderungen der Norm erfüllt hat. Es beweist nicht, dass im Unternehmen keine Verstöße vorkommen, und es befreit die Geschäftsleitung nicht von ihrer Aufsichtspflicht (§ 130 OWiG).
Umgekehrt verwalten Speditionen die Nachweise ihrer eigenen Subunternehmer, etwa Lizenz, Versicherung und Zertifikate mit Ablaufdatum. Diese Daten gehören in die Stammdaten, damit abgelaufene Nachweise vor der Vergabe eines Auftrags auffallen.
Nein. Kein Gesetz schreibt Unternehmen eine Zertifizierung ihres Compliance-Managements vor. Kunden können ein Zertifikat aber vertraglich oder als Voraussetzung für eine Ausschreibung verlangen.
Zertifikate nach ISO 37301 oder ISO 37001 stellen Zertifizierungsstellen nach einem Audit aus. Wirtschaftsprüfer prüfen Compliance-Management-Systeme nach IDW PS 980 und erstellen darüber einen Prüfungsbericht. Behörden stellen keine allgemeinen Compliance-Zertifikate aus; der AEO-Status ist eine zollrechtliche Bewilligung.
Das Zertifikat wird für höchstens drei Jahre ausgestellt. In dieser Zeit finden jährliche Überwachungsaudits statt. Danach ist eine Rezertifizierung nötig.
Die Kosten hängen von Größe, Zahl der Standorte, Risikoprofil und Vorbereitung des Unternehmens ab, weil sich danach der Auditaufwand richtet. Hinzu kommt der interne Aufwand für den Aufbau des Systems. Verlässliche Zahlen liefert nur ein Angebot der Zertifizierungsstelle.
.svg){kind=icon}
.svg){kind=icon}
