Compliance – Vorstand – Aufsichtsrat: Ein Interview mit Klaus Moosmayer, Aufsichtsrat Deutsche Bank

Business Circle: Sehr geehrter Herr Dr. Moosmayer, schön, dass Sie wieder bei uns sind. In unserem Gespräch im Sommer 2025 haben Sie einen Anstieg internationaler Korruptionsrisiken konstatiert und Europa in einer ambivalenten Rolle gesehen. Hat sich dieses Bild seither bestätigt – oder erleben wir mittlerweile eine neue Qualität von Risiken

Klaus Moosmayer: Die Korruptionsrisken nehmen in der Tat weiter zu, und das verwundert auch nicht, wenn - aus nachvollziehbaren Gründen - so viele Investitionen in die Infrastruktur- und Rüstungsindustrie fließen wie aktuell. Das ist kein "Industrie-bashing", sondern einfach der Tatsache geschuldet, dass die öffentliche Hand im versprochenen Vergabetempo mit der Kontrolle und dem Monitoring gar nicht mehr nachkommt. Die Resultate werden wir in einigen Jahren sehen. Das Risiko ist vergleichbar mit der Notfall-Beschaffung von Masken und anderen Gütern während der Pandemie, die bekanntlich zu massiven Korruptionsfällen geführt hat. Ich bin mir auch ziemlich sicher, dass das Compliance-Pendel dann wieder zurückschwingen wird und man erneut nach mehr Kontrollen ruft. Aber zurückkommend auf meinen im letzten Interview getätigten Wunsch nach einer Strukturreform der Compliance durch den Gesetzgeber. Da gibt es jetzt in Deutschland Bewegung und zwar durch eine Initiative des bayerischen Staatsministers der Justiz für einen interdisziplinären runden Tisch, an dem ich die Ehre und Freude habe teilzunehmen. Noch sind wir mit dem Vorschlag nicht fertig, aber wie der Minister schon in einer Stellungnahme mitgeteilt hat, es geht um Rechtssicherheit bei internen Untersuchungen und starke Anreizen für die Implementierung von Compliance Programmen. Ich denke, das ist eine gute Nachricht für die deutsche "Compliance Now!" Community.  

BC: Was passiert aus Ihrer Erfahrung, wenn die Beziehung von Compliance zum Vorstand oder Aufsichtsrat nicht funktioniert?

Moosmayer: Zunächst muss eine Beziehung überhaupt einmal bestehen. Ich sage das deshalb, weil in vielen Unternehmen eine direkte Interaktion zwischen Compliance und dem Aufsichtsrat nicht oder nur sporadisch stattfindet. Es geht mir dabei nicht um eine formale Berichtslinie wie sie etwa zwischen der Leitung der Internen Revision und dem Prüfungsausschuss gute Praxis ist. Aber ich halte es für die Steuerung eines Unternehmens für essentiell und im Sinn einer guten Corporate Governance, dass es zwischen dem Aufsichtsrat und dem Chief Compliance Officer unmittelbar einen fortlaufenden Austausch zum Compliance Management System und zur Risikolage gibt: Dieser Dialog sollte nicht durch den General Counsel oder die Geschäftsleitung gefiltert werden.  Auf der Ebene des Vorstandes muss Compliance natürlich fester Bestandteil der Tagesordnung sein, und zwar sowohl in der regulären Berichterstattung als auch ad hoc.  Dabei darf es auch nicht nur um routinemäßiges Zeigen von Kennzahlen gehen, sondern um eine offene Diskussion über die "hot spots". Dazu gehören auch Budget und Ressourcen für die Funktion. Ansonsten wird der Vorstand seiner Verantwortung für die regeltreue Geschäftsleitung nicht gerecht. Es ist ein Warnzeichen dafür, dass etwas im Argen liegt, wenn die persönliche Compliance Berichterstattung im Vorstand und Aufsichtsrat kurzfristig "aus Zeitmangel" von der Tagesordnung genommen wird, weil es vorgeblich wichtigere Themen gibt. Wenn das öfters passiert, haben wir ein grundlegendes Problem,

Compliance braucht Input aus dem gesamten Unternehmen

BC: Was bedeutet Resilienz konkret für eine Compliance-Organisation – und woran erkennt man sie im Daily Business?

Moosmayer: Resilienz entsteht durch eine strukturierte Verbindung von Compliance mit dem Risiko- und Krisenmanagement. Ein Compliance Management System ist darauf angewiesen, sich fortlaufend fortzuentwickeln und widerstandsfähiger zu werden, um den sich ständig wandelnden Herausforderungen begegnen zu können. Dazu benötigt das System "input" aus dem gesamten Unternehmen. Dies geschieht am besten durch eine enge Verzahnung mit dem Risiko- und Krisenmanagement-Prozess, bei dem ja alle Frühwarnsignale aufschlagen sollten. Aber auch die Erkenntnisse aus internen Untersuchungen und der Revision sind hierbei von großer Bedeutung. Ich mache das immer gerne am Auswahlprozess für Drittparteien im Unternehmensalltag deutlich. Drittparteien sind immer noch einer der größten Risikofaktoren, denken wir etwa an die Cyber-Security. Nur wenn alle für die Bewertung einer Drittpartei relevanten Informationen bei dem Auswahl- und Prüfprozess zusammenlaufen, erreichen wir eine "integrierte Assurance" - und übrigens auch einen schnellen Prozessverlauf.  

BC: Struktur, Kultur oder schlicht die handelnden Personen selbst: Was ist die wichtigste Stellschraube, die über den Erfolg oder Misserfolg von Compliance in großen Organisationen entscheidet?

Moosmayer: Unternehmen bestehen aus einer Vielzahl von Personen, die unterschiedliche Ausbildungen, Erfahrungen und Überzeugungen aufweisen. Dennoch sieht die Gesellschaft "das Unternehmen" quasi als Monolith, erwartet ein einheitliches Auftreten und nimmt es als juristische Person in die rechtliche Verantwortung. Dem ist durch Geschäftsleitung und Aufsichtsrat nur durch effektive Strukturen, eben eine gute Governance, zu begegnen, die aber niemals vollkommen sein kann. So weit sollte Konsens bestehen. Die Kulturfrage ist dagegen hochgradig komplex. Klar ist doch, Unternehmen sind keine Familie, auch wenn das manchmal aus Marketing-Gründen leichtfertig behauptet wird - bis dann die nächste Restrukturierung kommt. Ich spreche daher lieber von einem notwendigen Wertegerüst, das über reine Compliance-Regeln hinausgeht. Ein unter Beteiligung der Mitarbeitenden erstellte Ethik-Kodex kann hier eine wichtige Rolle spielen. Wofür steht das Unternehmen und wird hierzu ein fortlaufender Dialog geführt? Diese Frage ist gerade in den volatilen Zeiten, in denen wir leben, für die Mitarbeiter- und Kundenbindung von zentraler Bedeutung und meines Erachtens die wichtigste Stellschraube für erfolgreiche Compliance.

BC: Abschließend: Sie kennen die „Compliance now!“ jetzt schon aus persönlicher Erfahrung. Möchten Sie Ihren Eindruck von dieser Konferenz mit uns teilen?

Moosmayer: Mir gefällt die sehr gute Mischung aus praxisorientierten Themen und strategischen Fragestellungen bei der "Compliance Now!". Das bringt Mehrwert für die Teilnehmenden und eröffnet neue Perspektiven. Und die Stimmung ist ausgezeichnet, ein durchaus wichtiger Aspekt für Profis, die sich im Arbeitsalltag überwiegend mit komplexen und oft auch belastenden Herausforderungen befassen.  

BC: Sehr geehrter Herr Dr. Moosmayer, vielen Dank für dieses Gespräch und für Ihre Einschätzungen. Wir freuen uns sehr, Sie bald wieder zum Thema Governance und Compliance auf unserer Bühne zu begrüßen!

‍