ISO 37301 Anforderungen

Q: Was unterscheidet ISO 37301 von ISO 19600?

Mit ISO 19600 gab es zunächst eine Leitlinie für die Entwicklung und Aufrechterhaltung eines Compliance-Managementsystems. 2021 wurde sie durch ISO 37301 abgelöst, die konkrete Anforderungen enthält und unabhängig zertifiziert werden kann. Für Unternehmen liegt ein wichtiger Vorteil damit in der nachweisbaren Umsetzung ihrer Compliance-Strukturen.

Die ISO-37301-Anforderungen geben Unternehmen einen klaren Rahmen für ein wirksames Compliance-Managementsystem. Der Standard verbindet rechtliche Vorgaben, Verantwortlichkeiten und Risikosteuerung zu einem prüfbaren System, das sich an Größe und Struktur der Organisation anpassen lässt.

ISO 37301 Anforderungen – Auf einen Blick

Was verlangt ISO 37301?

Die ISO 37301 fordert ein wirksames Compliance-Managementsystem mit klaren Verantwortlichkeiten, nachvollziehbaren Regeln und regelmäßiger Überprüfung.

Welche Bereiche deckt ISO 37301 ab?

Besonders wichtig sind Compliance-Verpflichtungen, Risiken, Führung, Kommunikation, Kontrollen und der Umgang mit Verstößen.

Wer ist im Unternehmen verantwortlich?

Die Unternehmensleitung trägt die Gesamtverantwortung, während Compliance Officer, Führungskräfte und Mitarbeiter definierte Aufgaben übernehmen.

Wie erfolgt die Implementierung?

Ausgangspunkt sind die geltenden Verpflichtungen und Risiken. Daraus entstehen passende Richtlinien, Maßnahmen und Meldewege.

Warum ist eine Zertifizierung möglich?

Konkrete und prüfbare Anforderungen machen es möglich, das CMS durch eine unabhängige Zertifizierungsstelle bewerten zu lassen.

Was sind die ISO-37301-Anforderungen?

Mit der ISO 37301 bekommt Compliance einen festen Rahmen. Unternehmen müssen klären, welche Verpflichtungen für sie gelten, wo Risiken entstehen und wer dafür Verantwortung trägt. Dazu kommen Kontrollen, Meldewege und die regelmäßige Prüfung, ob das Compliance-Managementsystem (CMS) im Alltag tatsächlich funktioniert.

Die ISO 37301 wurde im April 2021 veröffentlicht und ist ein international anerkannter und zertifizierbarer Standard. Sie löste die frühere ISO 19600 ab, welche noch als Leitlinie aufgebaut war. Geeignet ist die Norm für Unternehmen aller Größen. Wie umfangreich das Compliance-Managementsystem am Ende ausfällt, hängt vom Unternehmen ab.

Ein Mittelständler braucht andere Strukturen als ein internationaler Konzern. Größe, Branche und Risikolage geben hier den Ausschlag. Der aktuelle Stand ist ISO 37301:2021, die 2026 bestätigt wurde. Sie folgt der High-Level-Structure (HLS) moderner ISO-Managementsysteme und kann dadurch gut an bestehende Managementsysteme anknüpfen.

ISO 37301 Anforderungen sicher umsetzen

CSM Consulting unterstützt Sie mit einer passenden ISO-37301-Beratung bei der Umsetzung der Anforderungen und begleitet Ihr CMS bis zur Zertifizierungsreife.

Die wichtigsten ISO-37301-Anforderungen

Ein CMS nach ISO 37301 beginnt bei den tatsächlichen Verpflichtungen und Risiken des Unternehmens. Darauf bauen Führung, klare Rollen, geeignete Maßnahmen, Überwachung und kontinuierliche Verbesserung auf. Die ISO-Norm verlangt deshalb mehr als einzelne Richtlinien oder ein Compliance-Handbuch.

Compliance-Verpflichtungen und Compliance-Risiken bewerten

Bevor Maßnahmen festgelegt werden, muss klar sein, welche Verpflichtungen gelten und wo daraus Compliance-Risiken entstehen. Diese Bestandsaufnahme gehört zu den ersten Schritten beim Aufbau des CMS.

Typische Compliance-Verpflichtungen ergeben sich etwa aus:

Gesetzen und behördlichen Vorgaben
Verträgen mit Kunden, Lieferanten oder Geschäftspartnern
internen Richtlinien und Verfahrensanweisungen
branchenspezifischen Regeln und Standards

Anschließend werden mögliche Verstöße und ihre Folgen bewertet. Dabei spielen etwa Eintrittswahrscheinlichkeit, finanzielle Schäden und Auswirkungen auf die Reputation eine Rolle. Neue Vorschriften oder veränderte Geschäftsmodelle können die Risikolage jederzeit verschieben. Deshalb muss die Bewertung regelmäßig überprüft werden.

Führung, Compliance Officer und Compliance-Kultur

Compliance braucht Rückhalt von oben. Die Unternehmensführung muss Verantwortung übernehmen, Zuständigkeiten festlegen und regelkonformes Verhalten sichtbar unterstützen.

Die laufende Koordination kann ein Compliance Officer oder eine vergleichbare Funktion übernehmen. Gerade im Mittelstand muss daraus keine eigene Vollzeitstelle entstehen. Wichtig sind klare Aufgaben, Befugnisse und Berichtswege. Gleichzeitig müssen Führungskräfte und Mitarbeiter wissen, welche Regeln für ihren Bereich gelten und wie sie mögliche Verstöße melden können.

So entsteht eine Compliance-Kultur, die im Arbeitsalltag tatsächlich trägt und Integrität und Ehrlichkeit als gemeinsame Werte in der Unternehmenskultur verankert.

Ressourcen, Kompetenz und Kommunikation

Ein CMS braucht passende Ressourcen und Mitarbeiter, die ihre Compliance-Aufgaben kennen. ISO 37301 fordert deshalb ausreichende Kompetenz, geregelte Kommunikation und nachvollziehbare Informationen.

Dazu gehören insbesondere:

Schulungen: Mitarbeiter und Führungskräfte werden passend zu ihren Aufgaben qualifiziert.
Kommunikation: Interne und externe Wege für relevante Compliance-Themen sind festgelegt.
Ressourcen: Zeit, Personal und geeignete Mittel stehen für Compliance-Aufgaben zur Verfügung.
Dokumentation: Richtlinien, Nachweise und wichtige Informationen bleiben aktuell und zugänglich.

Compliance-Maßnahmen im Betrieb umsetzen

Die Anforderungen der ISO 37301 müssen sich im Tagesgeschäft wiederfinden. Dazu werden aus den zuvor bewerteten Risiken konkrete Compliance-Maßnahmen, Kontrollen und Verfahren abgeleitet.

Das können Freigabeprozesse, Kontrollmechanismen, Vorgaben für Geschäftspartner oder verlässliche Meldewege sein. Hinweise auf mögliche Verstöße müssen aufgenommen und bewertet werden. Bei begründetem Verdacht gehört auch eine Untersuchung dazu.

Welche Maßnahmen sinnvoll sind, richtet sich nach dem tatsächlichen Risiko. Entscheidend ist, dass sie nachvollziehbar geregelt sind und im Alltag funktionieren.

Wirksamkeit überwachen und verbessern

Ein eingeführtes CMS bleibt nur wirksam, wenn es regelmäßig überprüft wird. Die ISO 37301 verlangt deshalb Überwachung, interne Audits und Managementbewertungen.

Erkenntnisse aus Kontrollen, Hinweisen oder Compliance-Verstößen fließen in die Bewertung ein. Zeigen sich Schwachstellen, werden Ursachen untersucht und Korrekturmaßnahmen festgelegt. Neue Risiken und veränderte Vorgaben können weitere Anpassungen erforderlich machen. So bleibt das Compliance-Management aktuell und entwickelt sich mit dem Unternehmen weiter.

Weitere Anforderungen an ein Compliance-Management-System (CMS)

Neben den bereits genannten Punkten benötigt ein CMS nach ISO 37301 weitere Elemente, damit es nachvollziehbar und dauerhaft wirksam bleibt.

Zusätzliche Anforderungen sind:

Dokumentierte Informationen: Richtlinien, Entscheidungen und wichtige Nachweise müssen nachvollziehbar festgehalten werden.
Compliance-Ziele: Unternehmen legen passende Ziele fest und überprüfen deren Erreichung.
Veränderungen: Neue Vorgaben, Geschäftsfelder oder organisatorische Änderungen müssen im CMS berücksichtigt werden.
Hinweise und Verstöße: Meldungen müssen aufgenommen, geprüft und bei Bedarf untersucht werden. Hinweisgeber, die in gutem Glauben handeln, sind vor Benachteiligungen zu schützen.

Durch die High-Level-Structure lässt sich die ISO 37301 außerdem gut mit bestehenden Managementsystemen verbinden. Unternehmen mit ISO 9001 können beispielsweise Prozesse für Dokumentation, Audits oder Managementbewertungen weiterverwenden.

ISO 37301: Anforderungen und Zertifizierung

Für eine Zertifizierung nach ISO 37301 muss das Compliance-Managementsystem die Anforderungen der ISO-Norm nachweisbar erfüllen und im Unternehmen angewendet werden. Vor dem externen Audit gehören deshalb ein internes Audit, die Managementbewertung und die Bearbeitung erkannter Abweichungen dazu.

Das Zertifizierungsverfahren umfasst zwei Stufen:

Stufe-1-Audit: Bewertet werden unter anderem Dokumentation, CMS-Strukturen und die Bereitschaft für das eigentliche Zertifizierungsaudit.
Stufe-2-Audit: Danach folgt die Prüfung der praktischen Umsetzung, etwa anhand von Gesprächen, Prozessen und Nachweisen.

Der Zertifizierungszyklus umfasst drei Jahre und beinhaltet jährliche Überwachungsaudits. Aufwand und ISO-37301-Zertifizierungskosten hängen unter anderem von Unternehmensgröße und bestehenden Compliance-Strukturen ab. Ein zertifiziertes CMS kann Vertrauen bei Kunden, Geschäftspartnern und anderen Stakeholdern stärken und die Integrität des Unternehmens nach außen sichtbar machen.

ISO 37301 in 5 Schritten umsetzen

Die Einführung eines Compliance-Managementsystems nach ISO 37301 lässt sich gut in fünf Schritte gliedern. Vorhandene Compliance-Strukturen bilden dabei den Ausgangspunkt, danach folgen Risikoanalyse, Umsetzung und die laufende Weiterentwicklung.

Bestandsaufnahme: Vorhandene Compliance-Strukturen, Verantwortlichkeiten und rechtliche Verpflichtungen erfassen.
Risiken bewerten: Compliance-Risiken analysieren, priorisieren und passende Ziele für das Risikomanagement festlegen.
Maßnahmen entwickeln: Richtlinien, Rollen, Kontrollen und Meldewege für das Compliance-Programm definieren.
CMS implementieren: Prozesse im Unternehmen verankern, Mitarbeiter einbinden und erforderliche Nachweise aufbauen.
Wirksamkeit prüfen: Internes Audit durchführen, Abweichungen untersuchen und das System kontinuierlich weiterentwickeln.

Häufige Fragen und Antworten

Welche Dokumente verlangt ISO 37301?

Eine feste Dokumentenliste gibt ISO 37301 nicht vor. Organisationen sollten aber belegen können, wie sie zum Beispiel Richtlinien, Verantwortlichkeiten, Schulungen, Audits und den Umgang mit Non-Compliance geregelt haben. Welche Nachweise nötig sind, hängt stark von Größe, Risikolage und bestehenden Strukturen ab.

Wie unterscheiden sich ISO 37301 und ISO 37001?

Die Unterschiede zwischen ISO 37301 und ISO 37001 liegen vor allem im Anwendungsbereich. Die ISO 37301 betrachtet Compliance im Unternehmen insgesamt und unterstützt die Einhaltung unterschiedlicher rechtlicher und interner Vorgaben. Die ISO 37001 ist deutlich spezieller und richtet sich vor allem an Anti-Korruptions-Managementsysteme und den Umgang mit Bestechungsrisiken.

Was unterscheidet ISO 37301 von ISO 19600?

Mit ISO 19600 gab es zunächst eine Leitlinie für die Entwicklung und Aufrechterhaltung eines Compliance-Managementsystems. 2021 wurde sie durch ISO 37301 abgelöst, die konkrete Anforderungen enthält und unabhängig zertifiziert werden kann. Für Unternehmen liegt ein wichtiger Vorteil damit in der nachweisbaren Umsetzung ihrer Compliance-Strukturen.