Wie kann ich mit der Umsetzung der EU-Whistleblower-Richtlinie mein Unternehmen vor Reputationsschäden schützen?

Wie lassen sich mit einem Hinweisgeberschutzsystem Reputationsschäden vermeiden?

Laut einer Studie der FH Graubünden aus dem Jahr 2019 sind fast 40 Prozent aller Unternehmen von unethischem und gesetzwidrigem Verhalten betroffen, die Dunkelziffer dürfte weitaus höherliegen.

Mit enormen wirtschaftlichen Folgen: Korruption und Betrug kosten die Unternehmen im Schnitt 10.000 bis 100.000 Euro, vom Schaden für die Reputation ganz zu schweigen. Die Kosten für die Einführungs eines Hinweisgebersystems amortisieren sich daher schnell.

Doch wie geht man bei der Einführung vor?

Ich würde folgende Schritte empfehlen:

1. Nehmen Sie die EU-Whistleblower-Richtlinie ernst

Das Wichtigste zuerst: Nehmen Sie die EU-Whistleblower-Richtlinie ernst.

Ja, das hört sich trivial an.

Doch im Unterschied z.B. zur DSGVO vom 27. April 2016, die den Gebrauch personenbezogener Daten in einer Weise regelte, die von vielen europäischen Unternehmen ohnehin schon in breiten Teilen beachtet worden war, kann man der EU-Whistleblower-Richtlinie nicht ohne Weiteres genügen.

Das ist umso wichtiger, als die Einführung eines Hinweisgebersystems ab dem 17. Dezember 2021 in Deutschland und den anderen Mitgliedstaaten rechtlich verpflichtend sein wird. Und zwar schon für Unternehmen mit 50 oder mehr Mitarbeitern und für Kommunen ab 10.000 Einwohnern.

Aber diese Pflicht ist aus zwei Gründen für Unternehmen keine Investition ohne Rendite:

1. Sie können mit solchen Meldestellen im Falle von unethischem und kriminellem Verhalten von Mitarbeitern Reputationsschäden vermeiden. Denn mindestens 72 Prozent aller Hinweisgeber versuchen zunächst intern, die beobachteten Verstöße – sei es gegen Compliance-Regelungen oder Gesetze – anzusprechen. Erst, wenn Sie kein Gehör finden, wenden sie sich an die Behörden oder die Öffentlichkeit. Mit verheerenden Folgen für das Unternehmen. Eine offene Unternehmenskultur und ein funktionierendes Hinweisgebersystem ist also eine lohnende Investition.
2. Eine Reihe von Studien belegt, dass eine ausgeprägte Hinweisgeberkultur den Unternehmen dabei hilft, langfristig finanziell erfolgreicher zu sein. Auf diese Weise amortisieren sich die Kosten, die mit der Einrichtung eines Hinweisgebersystems natürlich verbunden sind.

Aus diesen Gründen sollten Sie die Umsetzung des Hinweisgeberschutzgesetzes nicht als lästige Vorgabe betrachten, sondern als Chance, Ihr Unternehmen wirksam vor Reputationsschäden zu schützen und gegenüber Ihren Konkurrenten einen finanziellen Vorteil daraus zu ziehen.

2. Fördern Sie in Ihrem Unternehmen eine Kultur der Integrität

Bekanntlich nützt es wenig, Strukturen und Prozesse vorzugeben, die von Mitarbeitern nicht wirklich getragen werden.

Deshalb ist es für ein funktionierendes Hinweisgebersystem essenziell, dass das Top-Management hinter dem System steht und im Unternehmen eine offene „Kultur der Integrität“ etabliert und fördert. Dadurch werden gerade die integren Mitarbeiter, die schadhaftes Verhalten wie Betrug oder Missbrauch von Unternehmenseigentum als ein persönliches No-Go definieren, gestärkt.

Dazu sollten Sie eine Kultur etablieren, in der alle Arten von Grenzüberschreitungen, von zwischenmenschlichen Verfehlungen bis hin zu dolosen Handlungen, angstfrei gemeldet werden können. Dazu gehört, dass die Zuwiderhandlungen angemessen sanktioniert werden und Folgemaßnahmen auslösen.

So fördern Sie das Ziel eines Hinweisgebersystems umgesetzt, die Hinweisgeber vor Repressalien zu schützen. Und etablieren Sie die Kultur, die für den Erfolg des Systems notwendig ist.

3. Setzen Sie ein digitales Hinweisgebersystem um

Die EU-Whistleblower-Richtlinie sieht zwar drei Varianten ihrer Umsetzung vor, nämlich die Einrichtung

• eines Kanals, Zuwiderhandlungen postalisch bzw. per E-Mail zu melden,
• einer telefonischen, für den Anrufer kostenlosen Hotline, oder
• der Möglichkeit, in Person mit einem Vertreter des Unternehmens zusammenzukommen.

Aber mit diesen Kanälen wird es paradoxerweise schwierig, die rechtliche Norm zu erfüllen.

Das Grundproblem bleibt die fehlende Anonymität: Postalische Sendungen bzw. E-Mails sind leicht nachzuverfolgen, eine Telefon-Hotline garantiert keine Anonymität, und das Treffen kann mit einem hohen persönlichen Risiko verbunden sein.

Doch es bestehen noch mehr Probleme: Briefsendungen und E-Mails erschweren einen sicheren Austausch von Dokumenten, und Sprachkenntnisse können auf internationaler Ebene zum Problem werden. Eine Telefon-Hotline macht die Vorlage von Beweisen praktisch unmöglich, ist 24 Stunden am Tag nicht zu besetzen und möglicherweise auch sprachlich ein Problem. Ein anwaltlicher Ombudsmann ist nicht international vorhanden und terminlich eingebunden.

Das bedeutet: Nur ein digitales Hinweisgebersystem erfüllt mühelos und kostengünstig alle Vorgaben der EU-Richtlinie zur Datensicherheit und zum Schutz des Hinweisgebers zu 100 Prozent und bietet dennoch die Möglichkeit, mit dem Whistleblower in einen Dialog zu treten und ggf. Nachfragen zu stellen.

4. Definieren Sie Prozesse zur Bearbeitung von Hinweisen

Die EU-Richtlinie sieht für das Meldesystem unter anderem vor,

• dass die meldende Person innerhalb von sieben Tagen eine Bestätigung über den Eingang des Hinweises erhält,
• dass sie binnen dreier Monate über den Status der Meldung informiert wird, und
• dass bei der Bearbeitung das Vier-Augen-Prinzip strikt eingehalten wird.

Auch deshalb sollten Sie die Prozesse zur Bearbeitung eingehender Hinweise schon definiert haben, bevor Sie mit der Implementierung des Hinweisgebersystems beginnen. Das beinhaltet mindestens Folgendes:

• eine Beschreibung der eigentliche Bearbeitungsschritte,
• eine Definition von Zugriffsrechten und Eskalationsstufen sowie
• eine Schulung der zuständigen Mitarbeiter im Umgang mit dem System.

Als Teil der Prozessdefinition sollten Sie außerdem unbedingt

• eine Meldestelle einrichten, die dem Unternehmen vorgelagert ist.

Denn die Einbeziehung einer externen und damit neutralen Meldestelle in die Bearbeitung von Hinweisen hat den Vorteil, dass das Unternehmen bei der Bewertung eingehender Meldungen und der sich daran anschließenden juristischen Einschätzung und Aufstellung von Handlungsempfehlungen nicht direkt beteiligt ist. Auf diese Weise ist das Unternehmen gegen jeden Verdacht erhaben.

5. Beziehen Sie immer alle Stakeholder mit ein

Bei der Implementierung eines Hinweisgeberschutzsystems sind erst einmal technische Hürden zu überwinden. Allerdings stellt sich auch die Management-Aufgabe, bei der Einführung alle Mitarbeiter der Organisation mitzunehmen und vom Nutzen des Systems zu überzeugen.

Denn Sie sollten damit rechnen, dass einzelne Mitarbeiter oder Mitglieder des Betriebsrates einem Hinweisgebersystem mitunter skeptisch gegenüberstehen. Ist der Sinn des Systems, Whistleblower zu schützen bzw. dolose Handlungen und andere Grenzüberschreitungen aufdecken zu können, nicht völlig klar, fällt es leicht, es für eine Art von organisiertem Denunziantentum zu halten.

Um solchen Vorbehalten zu begegnen, sollten Sie daher zentrale Stakeholder frühzeitig miteinbeziehen. Dazu zählt nicht nur das Management bzw. dessen erste und zweite Führungsebene, sondern auch die Arbeitnehmervertretung, der Datenschutzbeauftragte sowie strategisch wichtige Abteilungen wie HR oder IT.

Ein Instrument können unternehmensweite Workshops sein, in denen Mitarbeiter sich dafür sensibilisieren, dass Whistleblower keine Nestbeschmutzer sind, sondern dazu beitragen,

• dolose Handlungen und kriminelle Akte aufzudecken und
• ethisch-moralische Werte der Unternehmenskultur zu erhalten.

Beides betrifft den Fortbestand des Unternehmens und liegt somit im Eigeninteresse der Mitarbeiter.

6. Planen Sie die Implementierung in Tochterunternehmen und Auslandsgesellschaften

Wenn Ihr Unternehmen eine komplexere Struktur hat, sollten Sie die Integration von Tochtergesellschaften von Anfang an planen – zumal bei einem digitalen Meldesystem jede 100-prozentige Tochtergesellschaft mit verhältnismäßig wenig Aufwand integriert werden kann.

Die Landessprachen sind zwar kein Hindernis. Denn jede Sprache kann in ein digitales Hinweisgebersystem integriert werden. Aber grundsätzlich sollte der Schwerpunkt auf den wichtigsten Unternehmenssprachen und -standorten liegen.

Allerdings gilt auch hier, dass die Maßnahmen, mit denen die Strukturen und Prozessen etabliert werden, nur Erfolg haben können, wenn sie von der Unternehmenskultur getragen werden. Deshalb sollten Sie wiederum darauf achten, die Führungskräfte sowie die wichtigsten Mitarbeiter für die Ziele des Hinweisgebersystems zu sensibilisieren.

Das hat zudem den signifikanten Zusatznutzen, dass gerade in ausländischen Tochtergesellschaften, in deren Kulturkreis viele Zuwiderhandlungen als Kavaliersdelikte angesehen werden, sozusagen eine Kultur der Integrität etabliert werden kann.

7. Kommunizieren Sie umfassend den Roll-out des Hinweisgebersystems

Nach einem internen Test des Hinweisgebersystems und mit dem Eingang einer Testmeldung bei den designierten Bearbeitern steht einem offiziellen Roll-out nichts mehr im Wege.

Der Roll-out sollte mit einer Informationskampagne begleitet werden, die zwei Ziele verfolgt: den Sinn des Hinweisgebersystems zu vermitteln und den Zugang zu platzieren.

Den Sinn vermitteln

Um den Sinn und Zweck des Hinweisgebersystems zu vermitteln, sollte der Zweck in einer prägnanten Botschaft deutlich werden und die wichtigsten Punkte zusammenfassen:

• dass Whistleblowing etwas grundsätzlich Positives ist,
• dass unethisches bzw. kriminelles Verhalten bzw. Verstöße gegen Compliance und Gesetze sanktioniert werden könne,
• dass dies dem Fortbestand des Unternehmens diene und damit im Interesse der Arbeitnehmer liege.

Um effektiv zu überzeugen, sollten nicht nur die Botschaft bzw. die Inhalte auf die Stakeholder abgestimmt sein, die bei der Planung einbezogen wurden. Vielmehr muss auch die Art und Weise der Kommunikation darauf abgestimmt sein.

Letzteres beinhaltet vor allem eine zielgruppengerechte Anpassung. Hier sind kulturspezifische Kommunikationsweisen zu berücksichtigen. Das ist zumal bei Auslandsgesellschaften wichtig, und zwar umso mehr, je weiter der Kulturkreis der Tochtergesellschaft vom Sitz Ihres Unternehmens entfernt ist.

Den Zugang platzieren

Das andere Ziel der Informationskampagne besteht darin, den Zugang zum Meldesystem so bekannt und einfach zu machen wie möglich. Dabei sollte darauf geachtet werden, dass potenzielle Whistleblower den Zugang leicht finden können, vor allem indem der Link an allen relevanten Stellen prominent platziert wird.

Dazu zählen unter anderem

• der Code of Conduct,
• das Intranet,
• die Unternehmenswebsite und,

nicht zu vergessen,

• alle Zulieferer-Plattformen.

Darüber hinaus sollten Sie nicht nur digitale Kanäle bespielen: Sondern zum Beispiel auch Aushänge an Orten nutzen, an denen sich oft viele Mitarbeiter aufhalten, wie Kantinen, Pausenräumen, Umkleidemöglichkeiten, Freizeiteinrichtungen usw.

8. Unterziehen Sie das Hinweisgebersystem regelmäßig Audits

Schließlich sollten Sie das Hinweisgebersystem in das Qualitätsmanagement Ihres Unternehmens integrieren und regelmäßige interne Audits durchführen, deren Resultate Sie zur Präzisierung der Regelungen und Folgemaßnahmen, zur Schließung von Prozesslücken sowie zur Optimierung der Abläufe nutzen können.

Denn Sie können die Reputationsrisiken für Ihr Unternehmen nur dann auf ein Minimum reduzieren, wenn Ihr Hinweisgebersystem wie vorgesehen funktioniert.

Schließlich entfaltet das System seine abschreckende Wirkung erst dann, wenn Mitarbeiter oder Lieferanten, die in der Versuchung stehen, die Grenzen zu unethischem bzw. dolosen Handlungen zu überschreiten, damit rechnen müssen, entdeckt zu werden.

Zum anderen ist nur ein verlässlich implementiertes Whistleblowing-System ein Frühwarnsystem für drohende Reputationsschäden. Denn je leichter und vor Repressalien geschützter Meldungen abgegeben werden können, desto geringer ist die Wahrscheinlichkeit, dass Missstände nach außen dringen. Dadurch leisten Meldekanäle einen wichtigen Beitrag zum Schutz vor Reputationsschäden sowie Strafzahlungen und andere Sanktionen vonseiten der Behörden.

Und sollten Sie doch einmal vom Fall der Fälle betroffen sein, wird dieser gewiss glimpflicher ablaufen als ohne Hinweisgebersystem.