Wenn Ihr Chef das Dokument unterschreiben muss

Denken Sie einmal daran, wann Sie das letzte Mal etwas unterschreiben mussten, bei dem Sie sich nicht ganz sicher waren. Vielleicht war es ein Formular in der Arztpraxis oder ein Vertrag, den Sie nur halb gelesen hatten. Da ist dieser Moment, in dem der Stift über dem Papier schwebt und man insgeheim hofft, dass alles, was man gerade bestätigt hat, auch wirklich stimmt. Stellen Sie sich nun vor, Ihr CEO, Ihr CFO und Ihr Vorstand würden genau dasselbe tun. Doch statt eines Routineformulars unterzeichnen sie eine öffentliche Erklärung im Geschäftsbericht des Unternehmens, in der sie bestätigen, dass Ihr Risikomanagement und Ihr internes Kontrollsystem wirksam sind. Nicht „wir glauben, dass es wirksam ist“. Nicht „wir haben von keinen größeren Problemen gehört“. Wirksam. Punkt.

Genau das verlangt der aktualisierte britische Corporate-Governance-Kodex, insbesondere Bestimmung 29, nun von den Vorständen. Und wenn Ihr Unternehmen irgendeine Verbindung zum Vereinigten Königreich hat (eine Tochtergesellschaft, Geschäftsbeziehungen, Geschäftstätigkeiten im Vereinigten Königreich oder Kunden im Vereinigten Königreich), müssen Sie verstehen, was dies für das GRC-Programm bedeutet, das Sie tagtäglich umsetzen.

Bestimmung 29 ist nicht nur ein Problem des Vereinigten Königreichs

Viele Compliance-Teams außerhalb Großbritanniens lesen den „UK Corporate Governance Code“ und gehen davon aus, dass er für sie nicht gilt. Das ist ein Irrtum. Signale zur Unternehmensführung verbreiten sich schnell, und diese beiden haben eine echte grenzüberschreitende Reichweite.

Bestimmung 29 des britischen Corporate-Governance-Kodex vom Januar 2024 tritt für Geschäftsjahre in Kraft, die am oder nach dem 1. Januar 2026 beginnen. Sie verpflichtet die Vorstände, in ihrem Jahresbericht offiziell zu erklären, ob ihre wesentlichen internen Kontrollen funktionieren, wobei finanzielle, operative, Compliance- und Berichtsrisiken abzudecken sind. Sind die Kontrollmechanismen unzureichend, muss der Vorstand im selben Bericht die Lücken erläutern und einen Plan zur Behebung darlegen. Vage Zusicherungen und Standardformulierungen über eine „laufende Überwachung“ reichen nicht mehr aus.

Parallel dazu gilt das Gesetz über Wirtschaftskriminalität und Unternehmenstransparenz von 2023 (Economic Crime and Corporate Transparency Act 2023, ECCTA), das den Straftatbestand der „unterlassenen Betrugsverhinderung“ einführt und am 1. September 2025 in Kraft getreten ist, wobei die Fristen für bestimmte Anforderungen im Laufe des Jahres 2026 beginnen. Der Geltungsbereich dieses Gesetzes erstreckt sich ausdrücklich auch über die Landesgrenzen hinaus. Große Organisationen mit Hauptsitz außerhalb des Vereinigten Königreichs können dennoch strafrechtlich verfolgt werden, wenn eine mit ihnen verbundene Person – einschließlich Mitarbeiter im Ausland oder Tochtergesellschaften – eine Betrugsdelikt im Zusammenhang mit dem Vereinigten Königreich begeht. Als Strafe drohen unbegrenzte Geldbußen, und die einzige Verteidigungsmöglichkeit besteht darin, nachzuweisen, dass angemessene Verfahren zur Betrugsverhinderung vorhanden waren und funktionierten.

Insgesamt senden die Bestimmung 29 und das ECCTA 2023 ein klares Signal: Die Ära der Politik, die sich allein auf gute Absichten stützt, ist vorbei.

Die eigentliche Herausforderung besteht nicht darin, die Regeln zu kennen. Es geht darum, das Fundament zu legen.

Die meisten Compliance-Analysten wissen bereits, wie eine gute Praxis theoretisch aussieht. Sie wissen, dass Kontrollmaßnahmen den Verpflichtungen zugeordnet werden sollten. Sie wissen, dass Nachweise aktuell sein sollten und nicht erst in der Woche vor einem Audit in aller Eile zusammengestellt werden dürfen. Sie wissen, dass bei Inkrafttreten einer neuen Vorschrift jemand die Verantwortung dafür übernehmen, sie aktualisieren und mit allen nachgelagerten Bereichen verknüpfen muss, die davon betroffen sind.

Die Herausforderung besteht darin, dass die meisten GRC-Programme in der Praxis nicht so aufgebaut sind. Sie basieren auf Tabellenkalkulationen, E-Mail-Ketten, jährlichen Überprüfungszyklen und heldenhaften Einzelleistungen. Sie liefern eine Momentaufnahme der Compliance zu einem bestimmten Zeitpunkt, und diese Momentaufnahme ist bereits in dem Moment veraltet, in dem sie ausgedruckt wird.

Das ist in Ordnung, solange niemand damit seinen Namen unterlegen muss.

Wenn ein Vorstand formell erklären muss, dass die wesentlichen Kontrollmechanismen zum Bilanzstichtag wirksam sind, geht es nicht darum, ob das Programm auf dem Papier gut aussieht. Die Frage ist vielmehr, ob das Programm dies kontinuierlich und nachvollziehbar nachweisen kann, ohne dass nachträglich hastig Beweise zusammengetragen werden müssen.

Wie eine solide Grundlage für ein GRC-Programm tatsächlich aussieht

Es vollzieht sich ein wichtiger Wandel, wenn man von einer Denkweise, die auf Compliance-Projekte ausgerichtet ist, zu einer Denkweise übergeht, die auf ein kontinuierliches GRC-Programm ausgerichtet ist: Nachweise sind nicht mehr etwas, das man sammelt, sondern etwas, das man als natürliches Nebenprodukt der Funktionsweise des Programms erstellt.

In der Praxis bedeutet dies, Kontrollmaßnahmen kontinuierlich zu überwachen, anstatt sie jährlich zu prüfen und darauf zu hoffen, dass sich in den dazwischenliegenden elf Monaten nichts geändert hat. Es bedeutet, die Zuordnungen zwischen Verpflichtungen und Kontrollen im Zuge der Weiterentwicklung der Vorschriften automatisch und mit klarer Zuständigkeit zu aktualisieren, anstatt zuzulassen, dass eine einmalige Zuordnungsmaßnahme langsam veraltet. Und wenn die Prüfungssaison beginnt, bedeutet dies, auf eine einzige, vernetzte Datensammlung zurückzugreifen, die bereits die aktuelle Realität widerspiegelt, anstatt aus verstreuten Dokumenten und E-Mails ein Dossier zusammenzustellen.

Dies ist die Grundlage, die Führungskräften das Vertrauen gibt, eine Erklärung zur internen Kontrolle auf Vorstandsebene abzugeben. Ein besserer Prüfungsprozess reicht dafür nicht aus, ebenso wenig wie eine gründlichere jährliche Überprüfung. Was funktioniert, ist eine Programmstruktur, bei der die Sicherstellung der Compliance ein kontinuierliches Ergebnis und kein periodisches Projekt ist. Genau das erwarten die Aufsichtsbehörden zunehmend, und genau darauf zielt insbesondere die Bestimmung 29 ab.

Warum die kontinuierliche Einhaltung der GRC-Vorgaben mittlerweile eine selbstverständliche Grundvoraussetzung ist

Die Governance-Standards, die der Bestimmung 29 zugrunde liegen, stehen im Einklang mit einem breiteren globalen Trend. Aufsichtsbehörden im Vereinigten Königreich, in der EU, in den USA und darüber hinaus bewegen sich weg von der punktuellen Berichterstattung hin zu einer kontinuierlichen, ergebnisorientierten Unternehmensführung mit echter Rechenschaftspflicht auf höchster Ebene. Sarbanes-Oxley hat diese Richtung für US-amerikanische börsennotierte Unternehmen bereits vor Jahren vorgegeben. Bestimmung 29 übt nun einen vergleichbaren Druck auf im Vereinigten Königreich notierte Unternehmen aus, und die ECCTA dehnt die Rechenschaftspflicht auf Organisationen aus, die eine nennenswerte Verbindung zum Vereinigten Königreich aufweisen.

Für Compliance-Analysten ist dies von Bedeutung, da die Programme, für deren Aufbau und Pflege Sie verantwortlich sind, die direkte Faktengrundlage für die Aussagen bilden, zu denen die Führungskräfte verpflichtet sind. Die Diskrepanz zwischen dem, was der Vorstand erklären muss, und dem, was die meisten Programme auf Anfrage tatsächlich nachweisen können, stellt das eigentliche Risiko dar.

Ein kontinuierliches Management regulatorischer Änderungen (Verfolgung neuer Verpflichtungen, Zuordnung zu Kontrollmaßnahmen, Festlegung der Zuständigkeiten und Erfassung von Nachweisen in Echtzeit) ist längst kein Wunschziel mehr. Es ist das Betriebsmodell.

Wo Archer Evolv™ zum Einsatz kommt

Genau hier kommt speziell für diesen Zweck entwickelte GRC-Technologie ins Spiel. Archer Evolv wurde genau auf dieses Betriebsmodell zugeschnitten: einen kontinuierlichen Kreislauf aus „Zuhören → Entscheiden → Handeln → Sicherstellen → Lernen“, der das GRC-Programm auf dem neuesten Stand hält, ohne dass manuelle Maßnahmen erforderlich sind, um es am Laufen zu halten.

Änderungen der regulatorischen Vorschriften werden automatisch erkannt und den betroffenen Kontrollmaßnahmen zugeordnet. Nachweise werden im Arbeitsablauf erfasst und nicht erst in letzter Minute zusammengestellt. Wenn eine Kontrolllücke auftritt, ist diese für die Personen sichtbar, die für deren Behebung verantwortlich sind, anstatt erst sechs Monate später von einem Prüfer entdeckt zu werden. Und wenn jemand auf Vorstandsebene wissen muss, ob das Rahmenwerk für Risikomanagement und interne Kontrollen wirksam ist, stammt die Antwort aus einer aktuellen, nachvollziehbaren Dokumentation und nicht aus einer unter Zeitdruck zusammengestellten Schätzung.

Was die Rechenschaftspflichten auf Vorstandsebene betrifft, die durch Bestimmung 29 und das ECCTA 2023 geschaffen werden, so ist dies der Unterschied zwischen einer Erklärung, hinter der Ihre Führungskräfte mit Zuversicht stehen können, und einer, die ihnen schlaflose Nächte bereitet.

Das Fazit für Risiko- und Compliance-Analysten

Sie sind diejenigen, die diese Programme tatsächlich aufbauen und pflegen. Die Erklärungen auf Vorstandsebene gemäß Bestimmung 29 und die Verpflichtungen zur Betrugsbekämpfung gemäß ECCTA beruhen letztendlich auf Ihrer täglichen Arbeit: der Zuordnung von Verpflichtungen, der Pflege der Kontrollbibliothek, der Nachverfolgung von Belegen, der Kennzeichnung von Lücken und der Aktualisierung des gesamten Rahmens.

Der Wandel in der Unternehmensführung im Vereinigten Königreich ist ein Signal, das es zu beachten gilt, auch wenn Ihr Unternehmen derzeit noch nicht direkt davon betroffen ist. Weltweit bewegen sich die Aufsichtsbehörden in Richtung einer kontinuierlichen, dem Vorstand gegenüber rechenschaftspflichtigen Steuerung der internen Kontrollen mit konkreten Konsequenzen, und Programme, die auf periodischen Maßnahmen und manuellen Nacharbeiten basieren, werden Mühe haben, Schritt zu halten. Es sind die Führungskräfte über Ihnen, die öffentlich das Gegenteil bestätigen müssen.

Die gute Nachricht ist, dass sich das Fundament ganz einfach beschreiben lässt: eine vernetzte Steuerungsbibliothek, die stets auf dem neuesten Stand gehalten wird und deren Vorteile für sich sprechen. Wenn Sie das schaffen, müssen Ihre Führungskräfte nicht mehr ständig mit dem Stift im Anschlag bereitstehen.

Weitere Informationen finden Sie in einem aktuellen Artikel von Governance Intelligence.

Häufig gestellte Fragen

Was ist Bestimmung 29 des britischen Corporate-Governance-Kodex?

Gemäß Bestimmung 29 des britischen Corporate-Governance-Kodex 2024 sind die Vorstände von an der Premium-Börse notierten Unternehmen verpflichtet, in ihrem Geschäftsbericht jährlich ausdrücklich zu erklären, ob ihr Management wesentlicher Risiken und ihre internen Kontrollen wirksam sind. Diese Bestimmung gilt für Geschäftsjahre, die am oder nach dem 1. Januar 2026 beginnen, und umfasst finanzielle, operative, Compliance- und Berichtskontrollen.

Gilt Bestimmung 29 auch für Unternehmen außerhalb des Vereinigten Königreichs?

Bestimmung 29 gilt unmittelbar für Unternehmen, die an den von der britischen Finanzaufsichtsbehörde (FCA) regulierten Märkten notiert sind. Multinationale Unternehmen mit in Großbritannien notierten Tochtergesellschaften, Geschäftstätigkeiten in Großbritannien oder einer regulatorischen Präsenz in Großbritannien sollten ihre Verpflichtungen jedoch sorgfältig prüfen, da die darin zum Ausdruck kommenden Erwartungen an die Unternehmensführung einen Einfluss auf umfassendere internationale Standards haben.

Was versteht man unter dem Straftatbestand „Unterlassung der Betrugsverhinderung“ gemäß ECCTA 2023?

Mit dem Gesetz über Wirtschaftskriminalität und Unternehmenstransparenz von 2023 wurde ein Unternehmensdelikt für das Versäumnis, Betrug zu verhindern, eingeführt, das am 1. September 2025 in Kraft trat. Es gilt weltweit für große Organisationen – einschließlich solcher mit Sitz außerhalb des Vereinigten Königreichs –, bei denen eine verbundene Person eine Betrugsdelikt begeht, das einen Bezug zum Vereinigten Königreich aufweist. Die einzige Verteidigungsmöglichkeit besteht darin, nachzuweisen, dass angemessene Verfahren zur Betrugsverhinderung vorhanden waren.

Inwiefern trägt ein GRC-Programm zur Einhaltung von Bestimmung 29 bei?

Ein kontinuierliches GRC-Programm stellt sicher, dass die Kontrollmaßnahmen stets auf die aktuellen Verpflichtungen abgestimmt sind, erfasst Nachweise als Nebenprodukt des täglichen Betriebs und führt eine nachvollziehbare Dokumentation, die die Erklärungen zur internen Kontrolle auf Vorstandsebene untermauert. Damit werden die Momentaufnahmen herkömmlicher Compliance-Ansätze durch eine stets aktuelle Sicherheit ersetzt.

Was leistet Archer Evolv im Hinblick auf die Einhaltung interner Kontrollvorschriften?

Archer Evolv bietet ein KI-gestütztes GRC-Betriebsmodell – den Kreislauf „Zuhören → Entscheiden → Handeln → Sicherstellen → Lernen“ –, das regulatorische Änderungen kontinuierlich überwacht, Verpflichtungen den entsprechenden Kontrollmaßnahmen zuordnet, Aufgaben mit vollständigem Kontext an die Verantwortlichen weiterleitet und automatisch auditfähige Nachweise erfasst. Dies bietet Vorständen die nachvollziehbare und vertretbare Grundlage, die für Erklärungen gemäß Provision 29 und ECCTA-Verfahren zur Betrugsprävention erforderlich ist.