Compliance in Finance ist keine Compliance-Abteilungsaufgabe, sondern Führungs- und Organisationspflicht des CFO. Das Siemens/Neubürger-Urteil (LG München I, 2013) hat klargestellt: Wer als Vorstand nicht für ein wirksames Compliance-Management-System (CMS) sorgt, haftet persönlich. Für CFOs bedeutet das konkret: Procure-to-Pay (P2P), Zahlungsprozesse und Third-Party-Management müssen so organisiert sein, dass Risiken messbar reduziert, Kontrollen nachweisbar wirksam und Audits ohne Mehraufwand bestanden werden – in der Praxis hängt das oft auch an sauber durchgesetzten Nachweisen wie der E-Rechnung.
Was bringt es konkret?
Was kostet es?
Welches Risiko reduzieren wir?
Time-to-Value: Erste messbare Verbesserungen nach 90 Tagen; volle Wirksamkeit und Audit-Readiness nach 12 Monaten.
Das Urteil des Landgerichts München I vom 10. Dezember 2013 im Fall Siemens/Neubürger hat in Deutschland einen Maßstab für Compliance-Pflichten gesetzt. Die Siemens AG verklagte ihren ehemaligen Finanzvorstand auf Schadensersatz, weil dieser seine Vorstandspflichten zur Sicherstellung eines rechtmäßigen Verhaltens verletzt hatte. Das Gericht bejahte eine Haftung und formulierte zwei zentrale Leitsätze:
Wichtiger Disclaimer: Der vorliegende Beitrag dient ausschließlich der Information und stellt keine Rechtsberatung dar. Der Begriff „Siemens Compliance" wird als Benchmark und Referenzrahmen verwendet, nicht als Behauptung einer Nähe, Referenz oder Empfehlung durch die Siemens AG. Jedes Unternehmen muss sein CMS risikobasiert und individuell gestalten. Die Übertragbarkeit der Grundprinzipien ist gegeben, die konkrete Ausgestaltung muss jedoch unter Einbindung interner und externer Rechts- und Compliance-Experten erfolgen.
Die Kernaussagen für CFOs: Haftung, Risikobasierung, Wirksamkeit
Vier Prinzipien sind entscheidend:
Abgrenzung: CMS, IKS und Risikomanagement
Ein Compliance-Management-System (CMS) ist das Dach: Kultur, Organisation, Prozesse, Kontrollen, Nachweise. Das Interne Kontrollsystem (IKS) konzentriert sich auf finanzprozessnahe Kontrollen wie Freigaben, Vier-Augen-Prinzip und Segregation of Duties (SoD). Das Risikomanagement identifiziert und steuert Risiken.
In der Praxis bedeutet das: Finance und IT müssen sicherstellen, dass alle drei Ebenen ineinandergreifen und dass Kontrollen in ERP-Systemen, Workflows und Monitoring-Plattformen technisch durchgesetzt werden.
Finance-Prozesse sind der zentrale Berührungspunkt für Compliance-Risiken. Hier laufen Zahlungen, Freigaben, Drittparteien, Rabatte, Provisionen und Stammdaten zusammen. Der CFO trägt die Verantwortung für:
Ohne technische Zwangsführung – also den Grundsatz „no bypass" – bleiben Kontrollen wirkungslos, weil Ausnahmen und manuelle Workarounds zum Standard werden.
Must-have versus Nice-to-have: Wo CFOs investieren müssen
Für einen belastbaren Wirksamkeitsnachweis gibt es sieben Must-have-Elemente:
Nice-to-have-Elemente, die später sinnvoll sind: Advanced Analytics und Continuous Controls Monitoring mit Machine Learning, branchenübergreifende Collective-Action-Programme, sehr detaillierte ESG-Ausweitungen. Diese setzen voraus, dass die Basis steht.
Ein typischer Business Case für ein mittelgroßes bis großes Unternehmen (5.000–20.000 Mitarbeiter, 10–50 Gesellschaften, mehrere ERP-Instanzen) sieht wie folgt aus:
| Position | Jahr 1 (Implementierung) | Jahr 2+ (Run) | Nutzen/Risikoreduktion |
|---|---|---|---|
| Externe Beratung (Control Design, System, Audit) | 200.000–400.000 € | 50.000–100.000 € | — |
| Software/Lizenzen (CCM, Case Mgmt, DD-Tool) | 50.000–150.000 € | 30.000–80.000 € | — |
| Interne FTE (Compliance, Finance Ops, IT) | 2–4 FTE = 150.000–300.000 € | 2 FTE = 120.000–180.000 € | — |
| Training, Change Management | 30.000–80.000 € | 10.000–30.000 € | — |
| Summe Invest | 430.000–930.000 € | 210.000–390.000 € | — |
| Fraud-Vermeidung (2–5 % Umsatz) | — | — | Potenzial: 5–50 Mio. € (bei 1 Mrd. Umsatz) |
| Audit Findings Reduktion (50 %) | — | — | Weniger Remediation-Kosten, Zeit, Risiko |
| Exception Rate Reduktion (60–80 %) | — | — | Prozesskosten -20–30 %, weniger manuelle Arbeit |
| Bußgeld-/Haftungsrisiko | — | — | Reduktion von bis zu 10 Mio. € oder 10 % Umsatz |
ROI-Logik: Selbst ohne konkrete Fraud-Fälle amortisiert sich die Investition durch Prozesskosten-Reduktion, Audit-Effizienz und Risikominimierung innerhalb von 18–24 Monaten. Bei einem einzigen verhinderten Fraud-Fall (durchschnittlich 1–5 Millionen Euro Schaden) ist der Business Case sofort positiv.
Ein belastbares Operating Model gliedert sich in klare Rollen nach RACI:
Berichtskette und Eskalationsmechanismen
Minimum: Quartalsweiser CFO- und Board-Report mit KPIs, Top-Risiken, Ausnahmen. Ad-hoc-Eskalation bei High-Severity-Cases, High-Risk-Partnern oder wiederholten Kontrollbrüchen. Diese Mechanismen müssen in Policies verankert und technisch unterstützt werden (z. B. automatische Alerts).
Stufe 1 (Monate 0–3): Transparenz und Stabilisierung – Minimum Viable Controls
Outcome nach 90 Tagen: Messbare Reduktion der Exception Rate um 20–30 %, erste Audit-Trail-Nachweise verfügbar, Top-5-Risiken identifiziert und dokumentiert.
Stufe 2 (Monate 3–6): Standardisierung und Kontrollen
Outcome nach 6 Monaten: Exception Rate um 50 % reduziert, DD-Coverage bei High-Risk-Partnern über 80 %, SoD-Violations unter 5 %.
Stufe 3 (Monate 6–12): Wirksamkeit und Monitoring
Outcome nach 12 Monaten: Exception Rate um 60–80 % reduziert, Audit Findings um 50 % reduziert, volle Audit-Readiness, messbare Prozesskosten-Reduktion um 20–30 %.
Stufe 4 (ab Monat 12): Skalierung und Optimierung
Vorbeugen: Design und Systemzwang
Präventive Maßnahmen beginnen mit klaren Policies: Code of Conduct, finanzspezifische Richtlinien für Zahlungen, Geschenke, Sponsoring, Provisionen. Schwellenwerte für Genehmigungsstufen, Ausnahmegrenzen, Länder- und Partnerklassen. Prinzip „Quality/No compromise" auf P2P übertragen: Keine Zahlung ohne Mindestnachweise.
Kontrolldesign in P2P und Payments:
Third-Party-Management:
Daten- und Stammdaten-Governance:
Erkennen: Monitoring, Hinweisgebersystem, Auditability
Hinweisgebersystem: mehrsprachig, optional anonym, 24/7, auch für Externe, Vertraulichkeit und Schutz vor Repressalien. Ablauf: Eingang, Triage, Untersuchung, Maßnahmen, Rückmeldung (soweit möglich), Dokumentation.
Monitoring und Red-Flag-Logik (finanz-nah):
Reporting an CFO, Vorstand, Aufsichtsrat:
Reagieren: Case Management, Konsequenzen, Systemverbesserung
Untersuchungen: standardisiert, fair, nachweisbar. Case-Management-System mit Fristen, Rollen, Dokumentation, Beweissicherung. Schutz der Rechte Beschuldigter, Need-to-know, saubere Aktenlage. Schnittstellen zu HR, Legal, Internal Audit.
Maßnahmenlogik: Aufklären, Abstellen, Ahnden
KPIs und KRIs müssen klar definiert und regelmäßig berichtet werden. Beispiele:
Definition of Done: Nachweise, die überzeugen
Für Audits und Behörden sind folgende Nachweise Standard:
Die Zielarchitektur umfasst: ERP (FI/MM), Workflow und Approvals, DMS und Archiv, Vendor- und Third-Party-Repository (DD-Status, Risiko, Dokumente), Hinweisgeber- und Case-Management-System, Monitoring und Analytics (CCM, gegebenenfalls SIEM/Logging).
Build/Buy-Entscheidungslogik:
Datenhoheit und Verantwortungsmodell:
Schnittstellen und Datenmodell: Mindestanforderungen sind eindeutige IDs (Partner, Zahlung, Beleg, Genehmiger), Statusfelder (DD-Level, DD-Expiry, Blocked, On Hold, Ausnahmegrund, Kontrollstatus), Event-Logs (Create, Change, Approve, Pay mit Timestamp, User, Reason).
Security und Berechtigungen: rollenbasierte Zugriffe nach Least-Privilege-Prinzip, regelmäßige Rezertifizierung, Manipulationsschutz von Logs, Aufbewahrungsfristen, Datenschutz und Need-to-know technisch durchgesetzt. No bypass durch technische Zwangsführung: Keine Zahlung ohne Mindestdaten.
Betriebsmodell und Rollout: globales Template mit lokalen Parametern für Länderrecht, Steuern, Zahlungswege. Change-Management: Schulung, Policy-to-Process-Mapping, Adoption-Metriken. Migrations- und Rolloutplan: Pilot in High-Risk-Region oder SSC, dann Wellen, Stabilisierung.
Das Lieferkettensorgfaltspflichtengesetz (LkSG) und BAFA-Berichtspflichten erweitern Third-Party- und Supplier-Management um Risikoanalyse, Maßnahmen, Beschwerdemechanismen, Dokumentation. Verknüpfung mit P2P: Lieferantenkodex, Onboarding-Checks, Status- und Nachweisführung, Reportingfähigkeit. Fokus: Nachweis- und Prozessfähigkeit, nicht ESG-Breitbanddiskussion. Für CFOs und IT: Integration in bestehende Prozesse und Systeme, nicht parallel.
Fall 1: Beratervertrag und Zahlung
Vorher: E-Mail-Freigaben, unklare Leistung, fehlende DD.
Nachher: DD-Level festgelegt, Vertragstemplate, Leistungsnachweis gefordert, Workflow-Freigabe durchgesetzt, Audit-Trail erstellt, Payment Hold bei Lücken.
Outcome: Zahlung erst nach vollständiger Evidenz, Audit-Nachweis in 5 Minuten statt 2 Tagen.
Fall 2: Bankdatenänderung beim Lieferanten
Vorher: Ticket oder E-Mail – hohes Fraud-Risiko.
Nachher: unabhängige Validierung (Telefon, Website), Zwei-Personen-Freigabe, Logging, Cooldown (24h), Alerting bei Abweichung.
Outcome: Fraud-Versuch erkannt und gestoppt (potenzieller Schaden: 500.000 €).
Fall 3: Audit fragt nach Wirksamkeit
Nachweise: Exception Rate (von 35 % auf 8 % in 12 Monaten), Evidence Packs (automatisch generiert, 100 % Coverage), Control Testing (quartalsweise, Findings unter 5 %), Red-Flag-Statistik (Hit Rate 25 %), Remediation-Tracking (On-Time-Rate 98 %).
Outcome: Audit ohne Findings bestanden, Auditor lobt „Best Practice".
| Phase | Maßnahme | Prozesspunkt | Systemkontrolle | Evidenz | KPI |
|---|---|---|---|---|---|
| Vorbeugen | Lieferantenonboarding | Anlage Stammdaten | Pflichtfelder, Vier-Augen | DD-Dokument, Genehmigung | DD-Coverage |
| Vorbeugen | Zahlungsfreigabe | Freigabe vor Zahlung | Workflow, SoD | Freigabe-Log | Cycle Time |
| Erkennen | Red-Flag-Monitoring | Laufende Überwachung | Alert-Engine | Alert-Log, Findings | Hit Rate |
| Reagieren | Case Management | Untersuchung | Case-Tool | Case-File | Time to Close |
Checkliste High-Risk-Payments:
Checkliste Third-Party-Onboarding (Minimum):
Compliance ist und bleibt Führungs- und Organisationsaufgabe. Wirksam ist nur, was in Prozessen und Systemen umgesetzt, überwacht und kontinuierlich verbessert wird. Der Hebel für CFOs liegt in Procure-to-Pay, Drittparteien und Zahlungen – dort entstehen Risiken, dort lassen sie sich messbar kontrollieren.
Digitale, standardisierte Workflows mit Systemzwang, Audit-Trail, KPIs und Monitoring machen Compliance skalierbar, auditierbar und steuerbar; in vielen Programmen ist dafür auch gezielte E-Rechnung-Beratung ein praktischer Baustein, um Nachweisführung und Datenqualität über Gesellschaften hinweg zu vereinheitlichen.
Das Siemens Compliance-Modell bietet einen klaren Referenzrahmen – nicht als Blaupause, sondern als risikobasiertes Operating Model. Für die Einordnung in ein übergreifendes Compliance-Framework hilft es, Rollen, Kontrollen und Evidenzanforderungen konsistent zu strukturieren.
Der Business Case ist positiv: Investition amortisiert sich durch Prozesskosten-Reduktion, Fraud-Vermeidung und Risikominimierung. Die Umsetzung erfolgt in realistischen Stufen: Minimum Viable Controls in 90 Tagen, volle Wirksamkeit in 12 Monaten.
Wer die Must-haves konsequent implementiert, klare Verantwortlichkeiten definiert, technische Zwangsführung etabliert und messbares Reporting aufsetzt, schafft ein belastbares System, das nicht nur Audits standhält, sondern langfristig Vertrauen und Integrität sichert. Der Dreiklang Vorbeugen, Erkennen, Reagieren ist nicht nur theoretisch schlüssig, sondern praktisch umsetzbar und nachweisbar wirksam – und lässt sich über etablierte Governance-Risk-Compliance-Ansätze dauerhaft im Operating Model verankern.