Compliance-Audit: Ablauf, Pflichten und Nachweisführung im deutschen Mittelstand
Ein Compliance-Audit prüft, ob die Organisation ihre regulatorischen Pflichten kennt, dokumentiert und umsetzt. Wer Bestellurkunden, Berichtslinie und Maßnahmen-Tracking belastbar führt, kommt durch jede Prüfung, ohne im Tagesgeschäft hektisch zu werden.
Ein Compliance-Audit prüft, ob ein Unternehmen seine gesetzlichen und vertraglichen Pflichten kennt, dokumentiert und nachweisbar erfüllt. Rechtsgrundlage ist in Deutschland insbesondere § 130 OWiG, der Aufsichtspflichtverletzungen mit Geldbußen bis 10 Mio. Euro belegt. Hinzu kommen branchenspezifische Vorgaben aus DSGVO, GwG, LkSG, KWG und NIS-2, deren Einhaltung in internen und externen Audits geprüft wird.
Dieser Beitrag beschreibt den Ablauf eines Compliance-Audits aus Sicht der Geschäftsführung und des Compliance-Beauftragten. Er ordnet die relevanten Normen ISO 19600 und ISO 37301 ein, zeigt typische Prüffelder und beschreibt, wie CIVAC als Compliance-Plattform und Officer-as-a-Service die Audit-Vorbereitung und -Durchführung in einer Berichtslinie führt. Der Fokus liegt auf belegbarer Nachweisführung, nicht auf abstrakten Compliance-Doktrinen.
Auf einen Blick
- Ein Compliance-Audit ist kein einmaliges Ereignis, sondern ein wiederkehrender Zyklus mit Planung, Durchführung, Bericht und Maßnahmen-Tracking.
- Die ISO 37301 löst seit 2021 die ISO 19600 ab und stellt verbindliche Anforderungen an ein Compliance-Management-System statt nur empfehlender Leitlinien.
- Bestellurkunde, dokumentierte Berichtslinie und 37 verzahnte Audit-Vorlagen reduzieren den Audit-Aufwand spürbar.
Rechtlicher Rahmen für Compliance-Audits in Deutschland
Der zentrale Anker für Compliance in Deutschland ist § 130 OWiG. Geschäftsleitungen haften, wenn sie Aufsichtsmaßnahmen unterlassen, die Pflichtverletzungen aus dem Unternehmen verhindert hätten. Geldbußen reichen bis 10 Mio. Euro, in Verbindung mit § 30 OWiG auch gegen die juristische Person.
Hinzu kommen branchenspezifische Pflichten. Im Finanzsektor greifen KWG, WpHG und GwG, im Datenschutz die DSGVO mit Art. 33 (Meldepflicht binnen 72 Stunden) und Art. 5 (Rechenschaftspflicht). Für KRITIS und besonders wichtige Einrichtungen kommt NIS-2 mit 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung hinzu.
Das Lieferkettensorgfaltspflichtengesetz verpflichtet Unternehmen ab 1.000 Beschäftigten zur Berichterstattung gegenüber dem BAFA, einschließlich Risikoanalyse, Präventionsmaßnahmen und Beschwerdeverfahren.
Über alle Bereiche hinweg verlangen Aufsichtsbehörden den Nachweis, dass Verantwortungen klar zugewiesen, Prozesse dokumentiert und Maßnahmen wirksam umgesetzt sind. Frist läuft ab Kenntnis. Wer im Ereignisfall keine Nachweise vorlegen kann, riskiert Bußgelder und persönliche Haftung der Geschäftsleitung.
CIVAC führt Bestellurkunden, Aufgabenbeschreibungen und Berichtslinien für alle 25 Beauftragten-Rollen in einer Plattform. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Weiterführend: Compliance-Beauftragter.
Internes versus externes Compliance-Audit
Compliance-Audits lassen sich in interne und externe Prüfungen unterteilen. Interne Audits werden vom Compliance-Beauftragten oder einer eigenen Revision durchgeführt, externe von Zertifizierungsgesellschaften, Wirtschaftsprüfern oder Aufsichtsbehörden.
Das interne Audit folgt der ISO 19011 als Leitlinie für Managementsystem-Audits. Es plant Häufigkeit, Umfang und Methoden risikobasiert. Risikoreiche Bereiche werden häufiger geprüft, etwa Vertrieb, Einkauf, IT-Sicherheit, Personalwesen.
Das externe Audit kann freiwillig sein (ISO 37301-Zertifizierung) oder verpflichtend (BaFin-Prüfung, BSI-Audit nach NIS-2, BAFA-Bericht nach LkSG). Die Vorbereitung unterscheidet sich nicht grundsätzlich, der externe Druck ist jedoch höher.
Beide Audit-Typen folgen einem ähnlichen Phasenmodell: Planung, Durchführung, Bericht, Maßnahmen, Wirksamkeitsprüfung. Wer die Phasen sauber trennt, gewinnt Transparenz und reduziert die Diskussionspunkte im Schlussgespräch.
Ein häufiger Fehler ist die Vermischung von Beratung und Prüfung. Der interne Auditor darf nicht zugleich Prozessverantwortlicher sein, weil das die Unabhängigkeit verletzt. Hier hilft das Modell eines bestellten externen Compliance-Beauftragten, der die Prüfung unabhängig führt.
Der Prüfer ruft an, der Nachweis liegt bereit. Diese Maxime gilt für interne wie externe Audits gleichermaßen.
Vorbereitung: Welche Nachweise vor dem Audit bereitliegen müssen
Die Audit-Vorbereitung beginnt nicht am Vortag der Prüfung, sondern im laufenden Betrieb. Ein gut geführtes Compliance-Management-System produziert Nachweise automatisch, weil jede Maßnahme, jede Schulung und jede Meldung im System dokumentiert ist.
Zur Grundausstattung gehören Bestellurkunden für alle Beauftragten-Rollen, die im Unternehmen relevant sind. Bestellurkunde, unterschrieben, abgelegt, belegbar. Für den Compliance-Beauftragten, den Datenschutzbeauftragten, den Geldwäschebeauftragten und weitere Rollen gilt das gleichermaßen.
Hinzu kommen Risikoanalysen. Die DSGVO verlangt nach Art. 35 eine Datenschutz-Folgenabschätzung bei hohem Risiko, das GwG eine institutsspezifische Risikoanalyse, das LkSG eine Risikoanalyse der Lieferkette. Alle drei sind regelmäßig zu aktualisieren.
Schulungen sind ein häufiger Prüfpunkt. Der Auditor prüft, ob Mitarbeitende zu DSGVO, GwG, Korruptionsprävention und Informationssicherheit geschult wurden. Schulungslisten mit Datum, Inhalt und Teilnehmern müssen abrufbar sein.
Maßnahmen-Tracking ist die fünfte Säule. Jede Feststellung aus vorherigen Audits, jede Beschwerde aus der Meldestelle, jeder Datenpannen-Fall muss mit Status, Verantwortlichem und Frist dokumentiert sein. CIVAC hält dafür 490 einsatzbereite Audit-Vorlagen bereit, die mit den genannten Pflichtenkreisen verzahnt sind.
Ablauf des Audits in fünf Phasen
Ein professionelles Compliance-Audit folgt fünf Phasen: Initialisierung, Datenerhebung, Vor-Ort-Prüfung, Bericht und Nachbereitung. Jede Phase hat klare Verantwortlichkeiten und Ergebnisse.
Die Initialisierung umfasst Auftragsklärung, Prüffeldfestlegung, Zeitplan und Liste der Ansprechpartner. Der Auditplan wird mit der Geschäftsleitung abgestimmt, damit operative Engpässe vermieden werden.
Die Datenerhebung erfolgt remote. Der Auditor fordert Dokumente an, etwa Bestellurkunden, Verfahrensverzeichnis nach Art. 30 DSGVO, Risikoanalysen, Schulungsnachweise und Protokolle der Managementbewertung. Eine zentrale Plattform reduziert hier den Zeitaufwand erheblich.
Die Vor-Ort-Prüfung kombiniert Interviews mit Stichproben. Der Auditor spricht mit Compliance-Beauftragtem, Datenschutzbeauftragtem, IT-Sicherheitsbeauftragtem, Personalleitung und einzelnen Mitarbeitenden. Stichproben prüfen die Praxis hinter den Dokumenten.
Der Bericht enthält Feststellungen, Nebenabweichungen, Hauptabweichungen und Verbesserungspotenziale. Hauptabweichungen führen bei Zertifizierungen zur Aussetzung, bis sie behoben sind. Audit-fest, dokumentiert, § 130-fest.
Die Nachbereitung umfasst den Maßnahmenplan, die Wirksamkeitsprüfung und das Reporting an die Geschäftsleitung. CIVAC führt diesen Zyklus in einer Berichtslinie. Audit-Feststellungen werden direkt in das Maßnahmensystem überführt, ohne Medienbruch.
Typische Prüffelder und häufige Feststellungen
In der Praxis fallen Compliance-Audits in fünf Prüffelder, in denen sich Feststellungen häufen. Wer diese Bereiche kennt, kann gezielt vorbereiten.
Erstes Prüffeld: Bestellungen und Verantwortlichkeiten. Häufige Feststellung ist die fehlende oder veraltete Bestellurkunde, insbesondere für den Compliance-Beauftragten, Geldwäschebeauftragten und Datenschutzbeauftragten. Auch unklare Vertretungsregelungen werden moniert.
Zweites Prüffeld: Verfahrensverzeichnis nach Art. 30 DSGVO. Häufige Feststellung sind veraltete Einträge, fehlende Rechtsgrundlagen, lückenhafte TOM-Beschreibungen oder nicht dokumentierte Auftragsverarbeiter.
Drittes Prüffeld: Schulungen. Häufige Feststellung ist die fehlende Schulungsplanung, lückenhafte Nachweise oder fehlende Schulungen für neue Mitarbeitende innerhalb der ersten 90 Tage.
Viertes Prüffeld: Vorfallsbearbeitung. Häufige Feststellung ist die fehlende oder zu späte Meldung von Datenpannen nach Art. 33 DSGVO (Frist 72 Stunden ab Kenntnis) oder NIS-2-Vorfällen (24 Stunden Frühwarnung).
Fünftes Prüffeld: Lieferanten und Auftragsverarbeiter. Häufige Feststellung ist die fehlende Risikoeinstufung, fehlende AV-Verträge nach Art. 28 DSGVO oder fehlende Überprüfung der Subverarbeiter. Die Lieferanten-Auditor-Funktion adressiert diesen Bereich gezielt.
ISO 37301 und der Schritt vom Leitfaden zum Managementsystem
Die ISO 37301:2021 hat die ISO 19600:2014 abgelöst und stellt erstmals zertifizierbare Anforderungen an ein Compliance-Management-System. Sie ersetzt empfehlende Formulierungen durch verbindliche Soll-Vorgaben.
Die Norm folgt der High-Level-Structure und ist damit mit ISO 9001:2015, ISO/IEC 27001:2022 und ISO 14001 verzahnbar. Wer mehrere Managementsysteme betreibt, kann Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung integriert führen.
Wesentliche Anforderungen sind die Festlegung von Compliance-Verpflichtungen, eine dokumentierte Compliance-Politik, eine Risikobeurteilung, ein Maßnahmen- und Kontrollsystem sowie ein Berichtsweg für Hinweise. Letzterer korrespondiert mit dem Hinweisgeberschutzgesetz, das seit Dezember 2023 in Deutschland gilt.
Die Zertifizierung ist freiwillig, kann aber in Ausschreibungen Voraussetzung sein. Insbesondere im öffentlichen Sektor und in regulierten Branchen wird ISO 37301 zunehmend als Nachweis akzeptiert.
CIVAC begleitet die Implementierung pragmatisch. Statt einer aufwendigen Stabsstelle empfehlen wir eine schrittweise Einführung, beginnend mit Bestellurkunden, Risikoanalyse und Hinweisgeberschutz. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die ISO 37301 lässt beide Wege zu.
Hinweisgeberschutz und interne Meldestelle
Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Unternehmen mit mehr als 50 Beschäftigten sind verpflichtet, eine interne Meldestelle einzurichten. Verstöße werden mit Bußgeldern bis 50.000 Euro geahndet.
Die Meldestelle muss vertrauliche Meldungen annehmen, dokumentieren und innerhalb von sieben Tagen den Eingang bestätigen. Innerhalb von drei Monaten ist Rückmeldung über ergriffene Maßnahmen zu geben. Diese Fristen sind in der Praxis nur mit einer strukturierten Plattform einhaltbar.
Inhaltlich kann die Meldestelle intern oder extern geführt werden. Die externe Variante über einen unabhängigen Ombudsmann oder Dienstleister hat den Vorteil größerer Unabhängigkeit, insbesondere wenn Vorwürfe gegen die Geschäftsleitung im Raum stehen.
Im Compliance-Audit prüft der Auditor, ob die Meldestelle eingerichtet, bekannt gemacht und tatsächlich erreichbar ist. Häufige Feststellung ist eine technisch existente, aber praktisch unbenutzte Meldestelle, die im Audit-Bericht als wirkungslos eingestuft wird.
CIVAC stellt die Meldestelle als Modul der Plattform bereit und kann sie alternativ als bestellte Rolle führen. Details finden Sie unter Hinweisgeberschutz und Meldestelle. Damit erfüllen Sie HinSchG-Pflichten und schaffen gleichzeitig ein zentrales Eingangstor für ISO 37301-Meldungen.
Dokumentation, Aufbewahrungspflichten und Audit-Spur
Die Dokumentation eines Compliance-Audits muss aus zwei Gründen lückenlos sein. Erstens verlangt § 257 HGB für handelsrelevante Unterlagen sechs bis zehn Jahre Aufbewahrung. Zweitens fordern Aufsichtsbehörden im Streitfall den Nachweis, dass die Geschäftsleitung ihre Aufsichtspflichten nach § 130 OWiG erfüllt hat.
Eine belastbare Audit-Spur enthält Auditplan, Datenanforderungen, Interviews, Stichprobenergebnisse, Bericht, Maßnahmenplan und Wirksamkeitsprüfung. Jeder Schritt sollte mit Zeitstempel, Verantwortlichem und Status versehen sein.
Aufbewahrungsfristen variieren. Bestellurkunden und Verfahrensverzeichnisse werden in der Regel solange aufbewahrt, wie sie gültig sind, plus drei bis sechs Jahre. Schulungsnachweise werden meist sechs Jahre aufbewahrt. Hinweisgeber-Meldungen unterliegen besonderen Schutzanforderungen nach HinSchG.
Die Aufbewahrung in lokalen Postfächern oder Netzlaufwerken ist riskant. Personalwechsel, Hardwareausfälle oder Migrationsprojekte führen regelmäßig zu Datenverlusten. Eine zentrale, auditfeste Ablage mit EU-Datenresidenz ist Standard.
CIVAC führt alle Audit-Spuren in der Plattform mit revisionssicherem Logging. Beim Audit-Termin kann der Prüfer die Spur in Echtzeit nachvollziehen. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.
Wie CIVAC Compliance-Audits operativ trägt
CIVAC ist eine deutsche Compliance-Plattform und Officer-as-a-Service. Sie deckt 25 Beauftragten-Rollen ab, darunter den Compliance-Beauftragten, Datenschutzbeauftragten, Geldwäschebeauftragten, Informationssicherheitsbeauftragten und Lieferanten-Auditor.
Für Compliance-Audits stellt die Plattform 490 einsatzbereite Audit-Vorlagen bereit, die mit § 130 OWiG, DSGVO, ISO 37301, GwG, NIS-2 und LkSG verzahnt sind. Maßnahmen aus einem Audit werden direkt in das Maßnahmensystem überführt und mit der Managementbewertung verknüpft.
Die Berichtslinie ist eindeutig. Jede Bestellurkunde, jeder Auftrag, jede Eskalation hat einen dokumentierten Empfänger. Die EU-Datenresidenz ist Standard, das ISMS nach ISO/IEC 27001:2022 mit 93 Controls läuft kontinuierlich.
Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die Entscheidung ist nicht final. Sie können pro Rolle entscheiden, etwa den internen DSB behalten und den Compliance-Beauftragten extern bestellen.
Aus dem Lesen einen Auftrag machen. Wenn Sie eine konkrete Anfrage haben, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Ein Erstgespräch dauert 30 Minuten und klärt, ob Workspace, bestellter Compliance-Beauftragter oder eine Kombination passt.
FAQ
Wie häufig sollte ein internes Compliance-Audit stattfinden?
Die Häufigkeit richtet sich risikobasiert nach ISO 19011. Risikoreiche Bereiche werden mindestens einmal jährlich geprüft, weniger risikoreiche Bereiche in zwei- bis dreijährigen Zyklen. Eine Auditplanung mit dokumentierter Begründung ist Pflicht und Standard.
Welche Strafen drohen bei unzureichender Compliance?
§ 130 OWiG sieht Geldbußen bis 10 Mio. Euro vor, in Verbindung mit § 30 OWiG auch gegen die juristische Person. Hinzu kommen branchenspezifische Strafen, etwa nach DSGVO bis 20 Mio. Euro oder 4 Prozent des weltweiten Konzernumsatzes.
Welche Rolle hat der Compliance-Beauftragte im Audit?
Der Compliance-Beauftragte plant, koordiniert und begleitet das Audit. Er ist Ansprechpartner für interne und externe Auditoren, sorgt für die Verfügbarkeit von Nachweisen und überwacht die Umsetzung von Maßnahmen. Eine schriftliche Bestellurkunde ist Pflicht.
Welche Frist gilt für die Meldung von Datenpannen?
Nach Art. 33 DSGVO ist eine Datenpanne binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde zu melden. Bei hohem Risiko sind zusätzlich Betroffene zu informieren. Frist läuft ab Kenntnis, nicht ab Eintritt des Vorfalls.
Ist eine ISO 37301-Zertifizierung verpflichtend?
Nein, die Zertifizierung ist freiwillig. Sie kann aber in Ausschreibungen und im regulierten Sektor faktisch erforderlich werden. Auch ohne Zertifizierung sind die meisten Anforderungen der ISO 37301 aus § 130 OWiG und branchenspezifischen Gesetzen abgeleitet.
Wie unterscheidet sich CIVAC von einer klassischen Beratung?
CIVAC kombiniert Compliance-Plattform und Officer-as-a-Service. Sie erhalten eine bestellte Rolle plus Workspace, statt nur Beratung. Beratung endet mit dem Bericht, CIVAC trägt die Rolle dauerhaft mit Bestellurkunde, Berichtslinie und 37 Audit-Vorlagen.
Klingt nach viel Arbeit?
Beauftragten-Pflichten, Fristen, Nachweise — genau das nehmen wir dir ab. Sag kurz Hallo, wir zeigen dir wie.
Aus dem Beitrag ein Mandat machen.
Wir übernehmen die operative Last: externer Beauftragter, Vorlagen und Dokumentation in einem Workspace. Unverbindlich.