Das Vereinigte Königreich gibt in der weltweiten Debatte über Corporate Governance den Ton an. Bestimmung 29 des überarbeiteten britischen Corporate-Governance-Kodex 2024 stellt eine bedeutende Entwicklung hinsichtlich der Erwartungen an die Vorstände dar, die Wirksamkeit ihrer Risikomanagement- und internen Kontrollmaßnahmen zu bewerten und offenzulegen. Obwohl diese Bestimmung nur für im Vereinigten Königreich börsennotierte Unternehmen gilt, finden die darin verankerten Grundsätze bereits über die Landesgrenzen hinaus bei Fachleuten, Investoren und Aufsichtsbehörden großen Anklang.
Gemäß Vorschrift 29 sind Vorstände verpflichtet, jährlich eine Erklärung zur Wirksamkeit wesentlicher interner Kontrollmechanismen abzugeben. Diese Kontrollmechanismen gehen über die traditionelle Finanzberichterstattung hinaus und umfassen operative Prozesse, Compliance-Maßnahmen sowie den zunehmend wichtigen Bereich der narrativen und nichtfinanziellen Berichterstattung. Diese Breite spiegelt die Tatsache wider, dass Risiken miteinander verknüpft sind und die Aufsicht ebenso umfassend sein muss.
Obwohl Vergleiche mit dem US-amerikanischen Sarbanes-Oxley-Gesetz (SOX) häufig anzutreffen sind, gibt es wesentliche Unterschiede. Die Bestimmung 29 bleibt eine prinzipienbasierte Anforderung innerhalb des britischen „Comply-or-Explain“-Rahmenwerks. Sie schreibt weder eine Bestätigung durch den Wirtschaftsprüfer vor, noch sieht sie gesetzliche Sanktionen bei Mängeln vor, noch schreibt sie eine starre Methodik vor. Stattdessen stützt sie sich auf Transparenz, die Kontrolle durch die Anleger und die Reputationshaftung, um die Einhaltung der Vorschriften zu fördern. Die zugrunde liegende Philosophie besagt, dass Vorstände bei der Gestaltung, Umsetzung und Bewertung von Kontrollmechanismen flexibel sein sollten, sofern sie ihren Ansatz und ihre Schlussfolgerungen klar darlegen können.
Abstimmung auf etablierte Risikomanagement-Rahmenwerke
Ein Grund dafür, dass diese Bestimmung internationales Interesse weckt, ist ihre Vereinbarkeit mit weithin anerkannten Rahmenwerken für das Unternehmensrisikomanagement (Enterprise Risk Management, ERM):
Das COSO-Rahmenwerklegt den Schwerpunkt auf Governance-Strukturen, strategische Integration und Leistungsüberwachung. Die in Bestimmung 29 festgelegte Anforderung einer Erklärung auf Vorstandsebene bekräftigt diese Grundsätze, indem sie die Vorstandsmitglieder ausdrücklich für die Angemessenheit und Wirksamkeit des Kontrollumfelds verantwortlich macht.
ISO 31000, die weltweite Norm für das Risikomanagement, sieht einen systematischen Ansatz zur Erkennung, Analyse und Minderung von Risiken vor. Vorstände, die die Grundsätze der ISO 31000 anwenden, werden feststellen, dass sie damit bereits viele der Prozesse abdecken, die zur Erfüllung der Anforderungen von Bestimmung 29 erforderlich sind.
Auch wenn das Modell der „drei Verteidigungslinien“nicht ausdrücklich erwähnt wird, fügt sich der in Bestimmung 29 vorgesehene Ansatz nahtlos in dessen Logik ein: das operative Management als erste Linie, die Risiko- und Compliance-Funktionen als zweite und die unabhängige Prüfung als dritte. Diese Struktur bildet eine schlüssige Faktengrundlage für die jährliche Erklärung.
Für Organisationen mit ausgereiften ERM-Systemen erfordert die Einhaltung von Bestimmung 29 möglicherweise keine umfassenden Änderungen. Die wichtigste Anpassung besteht darin, die Einbindung von Kontrollbewertungen in die Berichtszyklen des Vorstands zu verbessern, die Sicherungsmaßnahmen so zu dokumentieren, dass sie öffentliche Erklärungen untermauern, und sicherzustellen, dass der Prozess sowohl in der Unternehmenskultur als auch in der Praxis verankert ist.
Historische Präzedenzfälle für den Einfluss der britischen Regulierungsbehörden
Bestimmung 29 steht in einer langen Tradition britischer Entwicklungen im Bereich der Regulierung und Unternehmensführung, deren Einfluss weit über die Landesgrenzen hinausreicht:
·Der Cadbury-Bericht von 1992legte Grundsätze für die Aufgaben des Vorstands, für Prüfungsausschüsse und für den „Comply-or-Explain“-Ansatz fest. Seine Ideen flossen in den britischen „Combined Code“ ein und haben nationale Corporate-Governance-Kodizes beeinflusst – von den King-Berichten in Südafrika bis hin zum „Code of Corporate Governance“ in Singapur – sowie die OECD-Grundsätze zur Corporate Governance geprägt.
·Das britische Gesellschaftsrecht, insbesonderein der im „Companies Act 2006“ zusammengefasstenForm, dient vielen Commonwealth-Staaten und anderen Ländern, die sich an die Tradition des Common Law halten, als Orientierungspunkt. Auch wenn sich die einzelnen Gesetze unterscheiden, sind Konzepte wie die Pflichten der Geschäftsführer, die Rechte der Gesellschafter und die Offenlegungspflichten weitgehend dem britischen Modell entlehnt.
· Mit dem britischen „Bribery Act“ von 2010wurde ein Unternehmensdelikt für das Versäumnis, Bestechung zu verhindern, eingeführt, das sowohl für den öffentlichen als auch für den privaten Sektor gilt und eine extraterritoriale Zuständigkeit umfasst. Dieser kompromisslose Ansatz hat multinationale Unternehmen dazu veranlasst, ihre weltweiten Programme zur Bekämpfung von Bestechung zu verstärken, und wurde von anderen Gesetzgebern, die ähnliche Bestimmungen in Erwägung ziehen, als Vorbild herangezogen.
·Mit dem „Modern Slavery Act“ von 2015wurde erstmals eine verpflichtende jährliche Berichterstattung über Maßnahmen zur Verhinderung von Zwangsarbeit und Menschenhandel in den eigenen Betrieben und Lieferketten eingeführt. Dieses Transparenzmodell wurde inzwischen in Australien übernommen und findet seinen Niederschlag in den geltenden und künftigen EU-Gesetzen zur Sorgfaltspflicht in der Lieferkette.
·Das 2016 im britischen Finanzdienstleistungssektor eingeführte„Senior Managers and Certification Regime“ (SMCR) wies namentlich genannten Personen festgelegte Verantwortlichkeiten zu und schrieb eine jährliche Zertifizierung bestimmter Funktionen vor. Varianten dieses Rahmenwerks zur Rechenschaftspflicht gibt es mittlerweile auch in Hongkong, Australien, Singapur und Irland, was ein gemeinsames regulatorisches Ziel widerspiegelt: die Gewährleistung persönlicher Verantwortung in Führungspositionen.
Warum Organisationen außerhalb Großbritanniens darauf achten sollten
Der Einfluss von Bestimmung 29 beruht nicht auf gesetzlichen Durchsetzungsbefugnissen. Vielmehr entwickelt sie sich zu einem Maßstab, da sie Governance-Praktiken festschreibt, die viele institutionelle Anleger und Ratingagenturen bereits schätzen. Eine klare und glaubwürdige Stellungnahme des Vorstands zur Wirksamkeit der internen Kontrollen zeugt von organisatorischer Reife, Transparenz und einem proaktiven Umgang mit Risiken.
Für multinationale Konzerne bietet die Einführung von Prozessen, die der Bestimmung 29 entsprechen oder sich daran orientieren, mehrere Vorteile. Sie stärkt das Vertrauen der Investoren, erleichtert eine einheitliche Risikoüberwachung über verschiedene Rechtsräume hinweg und bereitet das Unternehmen auf die mögliche Einführung ähnlicher Vorschriften in anderen Märkten vor. Zudem kann sie die interne Effizienz verbessern, indem die Risikobewertung in die strategische Entscheidungsfindung eingebettet wird, anstatt sie als isolierte Compliance-Maßnahme zu behandeln.
Es ist unwahrscheinlich, dass Bestimmung 29 in naher Zukunft zu einer allgemein verbindlichen gesetzlichen Vorschrift wird, doch ihre Grundsätze dürften die globale Praxis beeinflussen. Da Vorstände und Führungskräfte mit einem zunehmend komplexen Risikoumfeld konfrontiert sind, werden Rahmenbedingungen, die Flexibilität mit Rechenschaftspflicht verbinden, an Bedeutung gewinnen.
Für Organisationen außerhalb Großbritanniens geht es nicht einfach nur um die Frage, ob sie die Vorgaben einhalten sollen – vielmehr geht es darum, ob sie sich an einem Ansatz orientieren wollen, der bei Investoren, Aufsichtsbehörden und Fachleuten für Unternehmensführung zunehmend als glaubwürdiges Modell für eine integrierte Risikoüberwachung an Bedeutung gewinnt. Wer diese Grundsätze frühzeitig übernimmt, kann sowohl Reputations- als auch operative Vorteile erzielen, während diejenigen, die abwarten, Gefahr laufen, als Rückständige im Hinblick auf die sich abzeichnenden Erwartungen wahrgenommen zu werden.
Maßnahmen ergreifen: Erkenntnisse aus dem Risikomanagement in die Praxis umsetzen
Sind Sie bereit zu erfahren, wie die Grundsätze der Bestimmung 29 die Risikoüberwachung in Ihrem Unternehmen stärken können?
- Erfahren Sie, wie die Grundsätze der Vorschrift 29 weltweit relevante Strategien zur Stärkung von Risiko- und internen Kontrollsystemen bieten
- Erfahren Sie, wie Sie Risiken durch Dritte und Vierte in komplexen Lieferketten proaktiv angehen können
- Erfahren Sie, warum Ihr Unternehmen langfristig widerstandsfähig bleibt, wenn Sie das Risikomanagement als strategische Kompetenz und nicht nur als Compliance-Anforderung betrachten.
In diesem E-Book finden Sie sechs klare, praxisorientierte Lektionen, die Ihnen dabei helfen, die Grundsätze von Provision 29 in die tägliche Geschäftspraxis umzusetzen. Ganz gleich, ob Sie in Großbritannien tätig sind oder weltweit agieren – diese Erkenntnisse können zu einem intelligenteren Risikomanagement und einer stärkeren, widerstandsfähigeren Organisation beitragen.
