Gesamtheitlicher Compliance-Ansatz im Fokus: Neue Pflichten für Schweizer Unternehmen

Der Trend zu einer verstärkten Beachtung einer "Corporate Social Responsibility" hat längst auch in der Schweiz Fuss gefasst. Unternehmen im In- und Ausland sehen sich mit wachsenden Anforderungen an eine verantwortungsvolle Unternehmensführung konfrontiert.

Jüngstes Beispiel der rechtlichen Entwicklungen in diesem Bereich ist der indirekte Gegenvorschlag zur Volksinitiative "Für verantwortungsvolle Unternehmen – zum Schutz von Mensch und Umwelt". Mit Ablauf der Referendumsfrist am 5. August 2021 werden die neuen Sorgfalts- und Berichterstattungsvorschriften über nichtfinanzielle Belange sowie in den Bereichen Konfliktmineralien und Kinderarbeit in der Schweiz voraussichtlich per 1. Januar 2022 in Kraft treten.

Als effizientes Werkzeug, um den steigenden regulatorischen Anforderungen in einem komplexen Unternehmensgefüge gerecht zu werden, hat sich in den letzten Jahren in zahlreichen Unternehmen der GRC-Ansatz etabliert. Mittels einer gesamtheitlichen Betrachtungsweise werden die Bereiche Governance, Risk und Compliance unter einem Dach vereint. Unternehmen tun gut daran, ihre Compliance-Strukturen einer kritischen Prüfung zu unterziehen und gegebenenfalls an die jüngsten Entwicklungen anzupassen.

Neue Sorgfalts- und Berichterstattungsvorschriften im Schweizer Obligationenrecht

Mit dem Scheitern der Volksinitiative "Für verantwortungsvolle Unternehmen – zum Schutz von Mensch und Umwelt" (sog. "Konzernverantwortungsinitiative") am 29. November 2020 wurde der indirekte Gegenvorschlag des Parlaments gutgeheissen. Nach Ablauf der Referendumsfrist werden die neuen Bestimmungen voraussichtlich per 1. Januar 2022 in Kraft treten. Der Gegenvorschlag sieht eine allgemeine Berichterstattungspflicht sowie themenspezifische Sorgfaltspflichten und Transparenz im Zusammenhang mit Konfliktmineralien und Kinderarbeit vor. Die neue Berichterstattungspflicht trifft die Unternehmen voraussichtlich erstmals im Geschäftsjahr 2023.

Die Gesetzesbestimmungen für einen besseren Schutz von Mensch und Umwelt im Schweizer Obligationenrecht, welche das Parlament als Gegenvorschlag zur Konzernverantwortungsinitiative beschlossen hat, sehen zwei Neuerungen vor: (i) Berichterstattungspflicht über nichtfinanzielle Belange (Art. 964bis ff. OR) und (ii) Sorgfalts- und Berichtserstattungspflichten in den Bereichen Konfliktmineralien und Kinderarbeit (Art. 964quinquies ff. OR).

Verletzungen dieser Pflichten werden mit Bussen bis maximal CHF 100'000 geahndet. Anders als die ursprüngliche Volksinitiative beinhalten die neuen Bestimmungen keine weitergehenden Haftungsregeln. Allfällige weitere Haftungsansprüche richten sich nach den allgemeinen, bestehenden gesetzlichen Bestimmungen.

(i) Berichterstattungspflicht über nichtfinanzielle Belange

Um die Transparenz zu fördern werden gewisse Unternehmen neu gesetzlich verpflichtet, über die Risiken ihrer Geschäftstätigkeit in den Bereichen Umwelt (insb. CO2-Ziele), Sozialbelange, Arbeitnehmerbelange, Menschenrechte und Korruptionsbekämpfung sowie über die dagegen ergriffenen Massnahmen Rechenschaft abzulegen. Verfolgt ein berichterstattungspflichtiges Unternehmen in Bezug auf diese nicht-finanziellen Belange kein Konzept, muss der Bericht eine nachvollziehbare und begründete Erklärung dafür enthalten ("comply or explain"). Der Gesetzgeber geht in diesen Fällen davon aus, dass sich Investoren und Konsumenten von unglaubwürdigen Unternehmen abwenden.

Damit Organisationen dieser Berichterstattungspflicht unterstehen, muss es sich um eine "Gesellschaft des öffentlichen Interesses" handeln. Darunter fallen insbesondere Publikumsgesellschaften, Banken und Versicherungen sowie andere beaufsichtigte Unternehmen des Finanzsektors, welche zusammen mit von ihnen kontrollierten in- oder ausländischen Unternehmen im Jahresdurchschnitt mindestens 500 Vollzeitstellen haben und in zwei aufeinanderfolgenden Jahren mindestens eine Bilanzsumme von CHF 20 Millionen oder einen Umsatzerlös von CHF 40 Millionen aufweisen.

(ii) Sorgfalts- und Berichtserstattungspflichten in den Bereichen Konfliktmineralien und Kinderarbeit

Sämtliche Unternehmen mit Risiken in den Lieferketten in den sensiblen Bereichen der Kinderarbeit und der Konfliktmineralien müssen unabhängig von ihrer Grösse neu besondere und weitgehende Sorgfaltspflichten einhalten. Unter die Konfliktmineralien fallen dabei Mineralien oder Metalle, welche Zinn, Tantal, Wolfram oder Gold enthalten und aus Konflikt- bzw. Hochrisikogebieten stammen. Als solche Gebiete gelten neben "gescheiterten Staaten" insbesondere Regionen, in denen bewaffnete Konflikte herrschen oder eine fragile Situation nach einem solchen Konflikt vorliegt. Der Schweizer Gesetzgeber orientiert sich in diesem Zusammenhang auch an den Empfehlungen der EU. Bei der Kinderarbeit genügt für das Bestehen solcher Sorgfaltspflichten der begründete Verdacht, dass Produkte oder Dienstleistungen angeboten werden, welche unter Einsatz von Kinderarbeit hergestellt wurden.

Die neuen Sorgfaltspflichtenregelungen im Schweizer Recht orientieren sich weitgehend an bestehenden EU-Richtlinien. Die Umsetzungsbestimmungen werden in der Verordnung über Sorgfaltspflichten und Transparenz bezüglich Mineralien und Metallen aus Konfliktgebieten und Kinderarbeit (VSoTr) geregelt. Der Bundesrat hat hierzu bereits einen ersten Entwurf ausgearbeitet, dessen Vernehmlassung im Juli 2021 abgeschlossen wurde. Die Sorgfaltspflicht umfasst u.a. die Pflicht der Einführung eines diesbezüglichen Managementsystems und eines Risikomanagementplans. Im Bereich der Mineralien und Metalle wird die Einhaltung der Sorgfaltspflicht zudem durch eine externe Fachperson geprüft.

Die Verordnung enthält auch Ausnahmebestimmungen betreffend die Sorgfalts- und Berichterstattungspflichten. Hinsichtlich der Konfliktmineralien bestimmt die Verordnung die jährlichen Einfuhr- und Bearbeitungsmengen für Mineralien und Metalle, bis zum Erreichen derer ein Unternehmen von den Pflichten befreit ist. Im Bereich der Kinderarbeit statuiert die Verordnung Ausnahmen für kleine und mittlere Unternehmen (KMU) sowie für Unternehmen mit geringen Risiken in diesem Bereich. Ausgangspunkt für die Risikobeurteilung ist das Produktionsland gemäss Herkunftsangabe ("made in"). Für diese Prüfung kann der UNICEF Children's Rights in the Workplace Index (UNICEF Index) beigezogen werden. Zudem sind Gesellschaften von den Pflichten ausgenommen, die bereits international anerkannte gleichwertige Regelwerke einhalten.

GRC-Ansatz als Branchenstandard?

Dynamische Veränderungen des regulatorischen und wirtschaftlichen Umfeldes stellen insbesondere global agierende Unternehmen vor die Herausforderung, aus einer Vielzahl von zwingenden und nichtzwingenden Vorschriften, externen und internen Handlungsvorgaben von Stakeholdern sowie unter Berücksichtigung der unternehmensspezifischen Chancen und Risiken einen ganzheitlichen Ansatz der Unternehmensführung zu erarbeiten und zu implementieren. Als Antwort auf diese Ausgangslage hat sich in vielen Unternehmen in den letzten Jahren der GRC-Ansatz als ein koordiniertes, integriertes und ganzheitliches Compliance- und Risikomanagementmodell etabliert. Das Akronym "GRC" steht dabei für Governance, Risk und Compliance und umfasst damit die drei wichtigsten Handlungsfelder für eine verantwortungsvolle und integre Unternehmensführung, welche von Natur aus bereits eng miteinander verbunden sind. Das Ziel des GRC-Ansatzes besteht in einer intelligenten Verknüpfung dieser drei Bereiche. Damit sollen Transparenz und Sicherheit in Bezug auf interne und externe Gefahren geschaffen werden, um negativen wirtschaftlichen und (straf-)rechtlichen Konsequenzen für das Unternehmen und für dessen Reputation vorzubeugen.

Auch wenn ein Unternehmen bereits heute über weit entwickelte Kontroll- und Managementsysteme verfügt, werden die bestehenden Synergien oft noch nicht sinnvoll vernetzt. Mit der Einführung eines GRC-Systems im Geschäftsprozess der Unternehmung wird erreicht, dass die internen Funktionen Risikomanagement, interne Kontrolle, Compliance sowie die interne Revision effizient Synergien nutzen können. Hierdurch können Doppelspurigkeiten in den Prozessen vermieden werden, was in der Regel mit einer Einsparung von Kosten und gebundenen Mitarbeiterkapazitäten einhergeht. Gleichzeitig führt der einheitliche Ansatz dazu, dass Verantwortungen innerhalb des Unternehmens klar zugeordnet werden können und somit unterschiedliche Bewertungen identischer Sachverhalte und Risiken durch verschiedene Stellen vermieden werden. Damit einher geht die Schaffung von Vertrauen bei internen und externen Adressaten.

Ein gut auf die individuellen Anforderungen eines Unternehmens abgestimmtes GRC-System geht mit einer verbesserten Risikoerkennung und -lenkung einher. Dadurch werden die Lenkungsorgane eines Unternehmens in die Lage versetzt, strategische Entscheidungen und operative Massnahmen aufgrund einer besseren Informationsgrundlage zu ergreifen. Somit werden Risiken früher erkannt und einfacher bewältigt.

Ein aus der Finanzindustrie bekannter Standard für das Zusammenwirken der Teilsysteme innerhalb der Governance-Struktur ist das international anerkannte Modell der drei Abwehrlinien (sog. Three Lines of Defense). Es basiert auf dem Grundsatz, dass die Verantwortlichkeit für ein Risiko primär bei dessen Verursacher liegt. Das Modell wurde jüngst durch das Institute of Internal Auditors (IIA) überarbeitet und rückt das proaktive Risikomanagement im Rahmen der generellen Governance eines Unternehmens ins Zentrum. Die erste Linie steht dabei für das operative Management, welches durch eine gestaltende zweite Linie (insb. Compliance- und Rechtsabteilung) unterstützt und überwacht wird. Die dritte Linie bildet die interne Revision. Die aktualisierte Version des IIA berücksichtigt dabei vermehrt den Aspekt, dass bei der risikobasierten Entscheidungsfindung das Ergreifen von Chancen für die Unternehmung mindestens ebenso zentral ist wie der Schutz von Unternehmenswerten.

"Das" für jedes Unternehmen passende Standardmodell gibt es hierbei nicht. Die Ausgestaltung eines GRC-Systems hat sich am konkreten Risikoprofil eines Unternehmens auszurichten, das durch zahlreiche interne und externe Faktoren festgelegt wird. In einem ersten Schritt ist somit stets eine Bestandsaufnahme der bestehenden Strukturen, des Geschäftsmodells und der gegenwärtigen und zukünftigen Aktivitäten des Unternehmens notwendig sowie des wirtschaftlichen und rechtlichen Umfeldes, in dem das Unternehmen tätig ist. Diese Anamnese der Risikolandschaft des Unternehmens führt sodann in einem zweiten Schritt zur Ausgestaltung eines auf die konkreten Risiken und Strukturen des Unternehmens angepassten GRC-Systems.

Weitere Informationen

Unsere Compliance-Spezialisten von CMS Schweiz verfügen über umfassende Erfahrung in der Beratung von Unternehmen in der Einführung, Umsetzung und Begleitung von GRC Management Systemen für Grosskonzerne und KMU. Dabei können wir auch auf die Erfahrungen unserer CMS Kolleginnen und Kollegen in anderen Jurisdiktionen zurückgreifen, in denen bereits seit längerem vergleichbare rechtliche Vorgaben bestehen.

Für weitere Informationen inkl. einer Kurzpräsentation zu den wichtigsten Neuerungen aufgrund der Umsetzung des Gegenvorschlages zur Konzernverantwortungsinitiative und zum Thema Governance, Risk und Compliance verweisen wir Sie gerne auf die Website von CMS Schweiz.