Herzstück der risikobasierten Compliance ist die Compliance-Risikoanalyse. Sie stellt die Weichen, für die Auswahl der richtigen Compliance-Ziele. Der Unternehmensleitung bietet die Analyse des Compliance-Risikos eine gute Grundlage für die Entwicklung einer Compliance-Strategie, die auf die Geschäftsstrategie abgestimmt ist. Das das operative Compliance-Management erhält so belastbare Leitplanken in Form von klar definierten Aufgaben, Zuständigkeiten und Kompetenzen.

Die Compliance-Risikoanalyse ist nach § 130 OWiG Grundlage und Maßstab der erforderlichen, geeigneten und zumutbaren Aufsichtsmaßnahmen.

Wendt/Withus in: Moosmayer/Beulke, Compliance-Risikoanalyse, München 2015, S. 174.

Die Analyse des Compliance-Risikos ist wichtig, damit das Compliance-Programm nicht nur auf dem Papier steht. Sie ermöglicht die Bereitstellung von ausreichenden und geeigneten Personal- und Sachmitteln, um Compliance-Risiken aktiv steuern zu können. Dadurch werden die Kosten von Non-Compliance reduziert.

Compliance-Risiken sind komplex und daher nicht leicht zu analysieren. Wie andere Risiken auch sind sie gekennzeichnet durch ihre Eintrittswahrscheinlichkeit und die Folgen. Das rückt den Compliance-Verstoß ins Zentrum der Betrachtung: Er hat Ursachen und Wirkungen. Aufgabe der Compliance-Risikoanalyse ist es, die Ursache-Wirkungszusammenhänge zu verstehen, zu bewerten und als Entscheidungsgrundlage aufzubereiten. Das Management kann dann effektive und effiziente Maßnahmen ergreifen.

Auf das festgestellte Bruttorisiko werden Maßnahmen aufgesetzt, die sich aus der Risikosteuerung durch die Geschäftsleitung ableiten. Es ist zunächst zu entscheiden, ob das Risiko vermieden, gemindert, überwälzt oder akzeptiert wird.

Kark,Compliance-Risikomanagement, Gefährdungslagen erkennen und steuern, München 2019, S. 770 ff.

Die im betriebswirtschaftlichen Risikomanagement etablierten Verfahren eignen sich auch zur Analyse des Compliance-Risikos:

• Flow-Chart-Analysen
• Fehlermöglichkeits- und -einflussanalysen
• Fehlerbaum-Analysen
• Szenariotechnik

Relevante Risikofaktoren sind die Normen einschließlich der dazu ergangenen Rechtsprechung und die Tätigkeit des Unternehmens, die in branchen- und kulturspezifische, typische Begehungsszenarien für Compliance-Verstöße zu übersetzen sind.

Wendt/Withus, a.a.O. S. 176.