Richtlinie
Policy
Der Begriff Richtlinie (policy) wird sowohl im technischen, als auch im rechtlichen Umfeld verwendet.
Grundsätzlich handelt es sich bei Richtlinien um verbindliche Handlungs- bzw. Ausführungsvorschriften einer Institution oder einer Instanz.
Nach unserem Verständnis werden in einer Richtlinie allgemeine Anforderungen aus Sicht des Managements für Aufgaben, Abläufe und technische Sachverhalte formuliert. Die Umsetzung erfolgt in Konzepten, Prozessbeschreibungen (mit Prozess-Steckbriefen und Prozess-Spezifikationen), Arbeitsanweisungen u.a.
Ob und für wen eine Richtlinie verbindlich ist, ist abhängig von der Befugnis und Anerkennung des Herausgebers der Richtlinie sowie von der Art und dem Umfang der für die jeweilige Zielgruppe geltenden Verbindlichkeit und muss in der Richtlinie definiert werden.
In der Praxis wird der Begriff „Richtlinie“ häufig auch für Dokumente verwendet, die operative Vorgaben definieren.
Richtlinien, um Compliance-Risiken zu minimieren
Richtlinien fußen auf einer umfassenden Analyse der Compliance-Risiken. Um festzustellen, welche Richtlinien in Ihrem Unternehmen erforderlich sind, sollten sie anhand Ihrer Risk Map folgende Fragen beantworten:
- Bestehende Richtlinien für alle identifizierten Risiken?
- Sind alle Richtlinien aktuell, berücksichtigen sie also auch die neuesten gesetzlichen Änderungen?
- Stehen die Dokumente in allen Sprachen zur Verfügung, die für Ihr Unternehmen und ihre Mitarbeiter relevant sind?
Falls in Ihrem Unternehmen noch keine Bewertung der Compliance-Risiken durchgeführt wurde, so empfehlen wir dies als ersten Schritt Ihres Richtlinien-Managements. So gewährleisten Sie eine einheitliche Vorgehensweise bei der Erstellung der Richtlinien – und verbessern damit auch Ihr gesamtes Compliance-Programm.
Das sind die Klassiker unter den Compliance-Richtlinien
Welche Richtlinien ein Unternehmen benötigt, hängt von der Branche und dem Geschäftsmodell, aber auch von den Compliance-Zielen ab. Hier einige der wichtigsten Compliance-Richtlinien:
- Verhaltenskodex (“Code of Conduct”). Jedes Unternehmen sollte einen Verhaltenskodex (oder eine Ethikrichtlinie) haben, um Werte und Regeln vorzugeben. Diese „Königin der Richtlinien“ soll den Mitarbeitern helfen, ihr Verhalten an dem Leitbild des Unternehmens auszurichten. Das US-Justizministerium nennt den Code of Conduct die „Grundlage für ein effektives Compliance-Programm“. Der Verhaltenskodex berührt in der Regel ein breites Spektrum von Normen, Regelungen und Selbstverpflichtungen. Viele dieser Themen werden in eigenständigen Richtlinien auch noch weiter vertieft.
- Richtlinien zum Datenschutz, Datenschutzrichtlinien, Datenschutzbestimmungen nach DSGVO.
- Richtlinie zur Informationssicherheit.
- Anti-Diskriminierungsrichtlinie.
- Richtlinie für Geschenke und Einladungen.
- Richtlinie zum Umgang mit Interessenskonflikten.
- Richtlinie zu kartell- und wettbewerbsrechtlichen Fragen.
- Antikorruptionsrichtlinie.
- Richtlinie zum Umgang mit Geschäftspartnern.
- LC-Richtlinie zur Bearbeitung von Hinweisen auf Compliance-Verstöße.
- Richtlinien zur speziellen Themen, Bereichen
- Corporate Communication Richtlinien (Marketing & PR)
- CC-RL zu Corporate Identity
- CC-Richtlinien für Content Marketing
- …
- IT-Richtlinien
- IT-Richtlinie zum Backup- & Recovery
- IT-Richtlinie zur IT-Sicherheit
- IT-Richtlinie zu IAM - Idendity and Access Management
- IT-Richtlinie zu Monitoring
- IT-Richtlinie zu Logging
- IT-Richtlinie zur IT-Nutzung und zum Umgang mit Unternehmensdaten.
- ORG-Richtlinie
- ORG-Richtlinie zu Prozessdokumentation.
- ORG-Richtlinie, Regelungen für die Aufbau- und Ablauforganisation sowie zur Aufgabenzuweisung, Kompetenzzuordnung und zu den Verantwortlichkeiten (Banken).
- ORG-Richtlinie, Regelungen hinsichtlich der Ausgestaltung der Risikosteuerungs- und Controllingprozesse.
- Regelungen zur internen Revision
- Regelungen, die die Einhaltung rechtlicher Regelungen und Vorgaben
- Regelungen zu Verfahrensweisen
- …
Richtlinien in verschiedenen Formen und Ausprägungen
Die Art der Gestaltung und Präsentation von Richtlinien ist sehr wichtig, um ein hohes Maß an Akzeptanz zu gewährleisten. Deshalb sollte ein besonderes Augenmerk auf eine ansprechende Darstellung gelegt werden.So unterschiedlich wie die Inhalte und Adressaten kann auch die die Form der Richtlinien sein – hier bieten sich für konzernweite oder lokale Richtlinien beispielsweise andere Formate an als für werteorientierte Vorschriften oder für formellere Anweisungen für Betriebsabläufe. Stellen Sie sich bei jeder Richtlinie zunächst die Frage: Was ist die effektivste Form bzw. Darstellung für diesen Inhalt? Zum Thema Informationssicherheit kann dies beispielsweise eine formelle Richtlinie sein, die von einer Broschüre ergänzt wird, die die wichtigsten Inhalte und Kernbotschaften erläutert und anschaulich grafisch darstellt
Richtlinienverantwortliche
Ein wesentlicher Bestandteil des Richtlinien-Managements ist es, die Verantwortlichkeiten klar zu regeln und für die einzelnen Richtlinien verantwortliche Personen festzulegen. Nur so ist sichergestellt, dass alle Dokumente auf dem neuesten Stand gehalten und effektiv verwaltet werden – ansonsten droht ein Richtlinienchaos.
Der Richtlinienverantwortliche ist zuständig für:
- die Struktur und den Inhalt der Richtlinie.
- das Monitoring der relevanten Vorschriften und Gesetze sowie der Best-Practice-Verfahren.
- die Aktualität der Richtlinie.
- das Erreichen der mit der Richtlinie verbundenen Ziele.
Der Richtlinienverantwortliche muss ein absoluter Experte auf dem jeweiligen Fachgebiet sein. Es bietet sich deshalb beispielsweise an, die Richtlinienverantwortung für das Thema Anti-Diskriminierung bei der HR-Abteilung aufzuhängen. Das Compliance-Team sollte unter anderem die Vorschriften zu Anti-Korruption, Kartellrecht und Insiderhandel verantworten. Es ist jedoch nicht immer so einfach, die Zuständigkeiten festzulegen. Beispielsweise beim Verhaltenskodex, der viele konzernweite und fachübergreifende Inhalte abbildet. Dennoch sollte auch hier eine letztlich verantwortliche Person definiert sein.
Wer erstellt die Richtlinien?
Das ist von Unternehmen zu Unternehmen unterschiedlich geregelt und hängt unter anderem auch von den vorhandenen Ressourcen ab. Während viele Organisationen die Richtlinien „in-house“ erstellen, setzen andere auch auf die Expertise von Anwaltskanzleien oder externen Beratern.