ISO 19600

Q: Kann man sich noch nach ISO 19600 zertifizieren lassen?

Eine reguläre ISO-Zertifizierung nach ISO 19600 war nie vorgesehen, weil die Norm als Leitlinie mit Empfehlungen aufgebaut war. Wer heute ein zertifizierbares Compliance-Management-System anstrebt, orientiert sich an ISO 37301.

Q: Was ist der Unterschied zwischen ISO 19600 und ISO 37301?

ISO 19600 gab vor allem Empfehlungen für den Aufbau und die Entwicklung eines CMS. ISO 37301 enthält dagegen konkrete Anforderungen und schafft damit die Grundlage für eine unabhängige Zertifizierung. Viele Prinzipien wie Risikoorientierung, Governance und kontinuierliche Verbesserung wurden dabei übernommen.

Die ISO 19600 war ein internationaler Leitfaden für Compliance-Management-Systeme und ist heute vor allem als Vorgänger der ISO 37301 relevant. Für Unternehmen und Compliance-Verantwortliche mit einem bestehenden CMS erklärt der Artikel, welche Inhalte die frühere Norm prägten und wie der Wechsel auf ISO 37301 gelingt.

ISO 19600 – Auf einen Blick

Was war ISO 19600?

Die 2014 veröffentlichte ISO-Norm war ein internationaler Leitfaden für den Aufbau und die Weiterentwicklung von Compliance-Management-Systemen.

Welche Inhalte prägten ISO 19600?

Risikobewertung, klare Verantwortlichkeiten, Richtlinien, Kommunikation sowie die regelmäßige Überwachung des CMS gehörten zu den wichtigsten Themen.

Wer konnte ISO 19600 anwenden?

Unternehmen und Organisationen jeder Größe konnten die Leitlinie an ihre Struktur, Tätigkeit und Risikolage anpassen.

Warum gilt ISO 19600 heute nicht mehr?

Der Standard wurde 2021 zurückgezogen und durch die zertifizierbare ISO 37301 ersetzt.

Wie gelingt der Wechsel auf ISO 37301?

Bestehende Prozesse und Richtlinien können häufig übernommen, per GAP-Analyse geprüft und gezielt um neue Anforderungen ergänzt werden.

Was ist ISO 19600:2014?

Mit der ISO 19600:2014 gab es erstmals einen internationalen Leitfaden für Compliance-Management-Systeme. Für Unternehmen heute wichtig: Die Norm ist zurückgezogen und wurde im April 2021 durch ISO 37301 ersetzt. Wer sich aktuell an einem internationalen ISO-Standard für Compliance-Management orientiert, arbeitet daher mit dem Nachfolger ISO 37301.

Der offizielle Titel lautete „Compliance management systems – Guidelines“. Die ISO 19600:2014 brachte Verpflichtungen, Risiken, Verantwortlichkeiten und interne Vorgaben in einem gemeinsamen CMS zusammen. Für den Einsatz in unterschiedlich großen Organisationen ließ die Leitlinie bei Größe, Struktur und Komplexität viel Spielraum.

Eine Zertifizierung nach ISO 19600 war allerdings nicht vorgesehen. Sie enthielt Empfehlungen, während die heutige ISO 37301 konkrete Anforderungen an ein zertifizierbares Compliance-Management-System stellt.

Welche Ziele verfolgte ISO 19600 im Compliance-Management?

Die Leitlinie sollte dabei helfen, Compliance-Risiken früher zu erkennen, Verantwortlichkeiten sauber zu verteilen und Regelverstöße möglichst zu vermeiden. Dafür wurde Compliance eng mit dem allgemeinen Risikomanagement verbunden.

Wichtige Bausteine waren:

Verpflichtungen kennen: Gesetze, Vorgaben und interne Regeln sollten erfasst und berücksichtigt werden.
Risiken bewerten: Compliance-Risiken wurden identifiziert, gewichtet und priorisiert.
Verantwortung klären: Führungskräfte und zuständige Funktionen brauchten klare Aufgaben und Berichtswege.
Verhalten prägen: Werte, Integrität und regelkonformes Verhalten sollten im Arbeitsalltag sichtbar werden.
System verbessern: Prüfungen und der PDCA-Zyklus halfen dabei, das CMS regelmäßig weiterzuentwickeln.

Der Gedanke dahinter war einfach: Regeln allein reichen wenig, wenn sie im Unternehmen niemand kennt oder anwendet. Ein wirksames Compliance-Management-System sollte zugleich Risiken für Haftung und Reputation begrenzen.

Vorhandene Strukturen weiter benutzen

Bringen Sie Ihr CMS auf den aktuellen Stand und nutzen Sie bestehende Prozesse gezielt weiter. CSM Consulting begleitet Sie auf dem Weg zu ISO 37301.

ISO 19600: Inhalte des Compliance-Management-Systems

ISO 19600 setzte vor allem auf einen risikobasierten Ansatz. Compliance sollte dabei fest in bestehende Prozesse eingebunden werden, mit klaren Verantwortlichkeiten, geeigneten Kontrollen und einer regelmäßigen Überprüfung der Wirksamkeit.

Risk-Management und Compliance-Risiken bewerten

Ein wichtiger Baustein war die systematische Bewertung von Compliance-Risiken. Sie wurden als eigene Kategorie von Unternehmensrisiken betrachtet und entsprechend in das Risikomanagement einbezogen. Mögliche Verstöße wurden erfasst, nach Eintrittswahrscheinlichkeit und möglicher Auswirkung bewertet und anschließend priorisiert. So ließ sich besser erkennen, wo konkrete Maßnahmen nötig waren und welche Bereiche stärker überwacht werden mussten.

Führung und Verantwortlichkeiten

Nach ISO 19600 sollte Compliance von der Unternehmensführung sichtbar unterstützt werden. Klare Rollen und Zuständigkeiten gehörten deshalb zu den Grundgedanken der damaligen Leitlinie. Dazu zählten Aufgaben der Führung, Verantwortlichkeiten im CMS und je nach Organisation auch eine eigene Compliance-Funktion oder ein Compliance-Officer.

Richtlinien, Kontrollen und Kommunikation

Aus den bewerteten Risiken sollten passende Regeln und Kontrollen entstehen.

Wichtige Elemente waren:

Richtlinien: klare Vorgaben für relevante Compliance-Themen
Kontrollen: Freigaben und Prüfmechanismen für sensible Bereiche
Schulungen: Mitarbeiter sollten die für sie wichtigen Regeln kennen
Kommunikation: Zuständigkeiten, Meldewege und Verhalten bei möglichen Verstößen sollten verständlich vermittelt werden

Überwachung und Verbesserung

ISO 19600 sah eine regelmäßige Überprüfung und Weiterentwicklung des CMS vor. Dazu gehörten unter anderem Monitoring, Compliance-Audits und die Bewertung der Wirksamkeit bestehender Maßnahmen.

Erkannte Schwachstellen oder Verstöße sollten zu Anpassungen führen. Der zugrunde liegende Gedanke folgte dem Prinzip der kontinuierlichen Verbesserung, damit das System mit neuen Risiken, Vorgaben und Veränderungen im Unternehmen Schritt halten konnte.

ISO 19600 und ISO 37301 im Vergleich

Der wichtigste Unterschied liegt im Charakter der beiden Standards. ISO 19600 war eine nicht zertifizierbare Leitlinie, ISO 37301 enthält konkrete Anforderungen und kann durch eine akkreditierte Zertifizierungsstelle zertifiziert werden.

Merkmal	ISO 19600	ISO 37301
Veröffentlichung	2014	April 2021
Status	zurückgezogen	aktueller Standard
Normtyp	Typ B	Typ A
Inhalt	Empfehlungen und Leitlinien	konkrete Anforderungen
Formulierungen	Empfehlungen mit „sollte“	Anforderungen mit „muss“
Zertifizierung	nicht vorgesehen	Zertifizierung durch Dritte möglich
Schwerpunkt	Aufbau und Weiterentwicklung eines CMS	wirksames und prüfbares Compliance-Management-System

Viele Grundgedanken der ISO 19600, etwa Risikoorientierung, klare Verantwortlichkeiten, Compliance-Kultur und kontinuierliche Verbesserung, wurden in ISO 37301 übernommen.

Warum wurde ISO 19600 durch ISO 37301 ersetzt?

ISO 19600 bot Unternehmen einen international anerkannten Leitfaden für Compliance-Management, eine reguläre Zertifizierung war damit jedoch nicht möglich. Mit ISO 37301 kam 2021 ein zertifizierbarer Typ-A-Standard mit konkreten und prüfbaren Kriterien hinzu.

Der Titel der ISO 37301:2021 ergänzt „Requirements with guidance for use“: Anforderungen mit Anwendungshinweisen. Viele bekannte Prinzipien blieben erhalten, neu war vor allem der klare Anforderungscharakter. Dadurch lässt sich heute unabhängig prüfen, ob ein Compliance-Management-System die Vorgaben der ISO 37301 erfüllt.

Bestehendes CMS nach ISO 19600 auf ISO 37301 umstellen

Ein bestehendes CMS nach ISO 19600 muss für den Wechsel nicht komplett neu aufgebaut werden. Viele Richtlinien, Verantwortlichkeiten, Risikoanalysen und Prozesse lassen sich weiterverwenden und gezielt ergänzen.

Der Umstieg kann in vier Schritten erfolgen:

GAP-Analyse durchführen: Bestehende Strukturen mit den Anforderungen der ISO 37301 abgleichen und offene Punkte erfassen.
Prozesse und Nachweise ergänzen: Fehlende Vorgaben, Rollen, Kontrollen oder Dokumentationen gezielt nachziehen.
CMS intern prüfen: Mit internem Audit und Managementbewertung kontrollieren, ob die neuen Vorgaben im Alltag funktionieren.
Zertifizierung vorbereiten: Erkannte Abweichungen bearbeiten und das System auf das externe Zertifizierungsaudit ausrichten.

Bereits geleistete Arbeit bleibt nutzbar. Wie viel Aufwand die Umstellung spart, hängt von Qualität und Aktualität des vorhandenen CMS ab. Eine ISO 37301-Beratung kann die Umstellung zusätzlich beschleunigen und Doppelarbeit vermeiden.

Praxischeck: Was kann beim Wechsel übernommen werden?

Prüfen Sie im Team für jeden vorhandenen Prozess: Ist die Verpflichtung noch aktuell, gibt es einen Verantwortlichen und liegt ein Nachweis der Umsetzung vor? Eine Schulungsrichtlinie lässt sich beispielsweise weiterverwenden. Ergänzend sollten Sie prüfen, ob Inhalte und Zielgruppen noch passen und wie Sie den Lernerfolg bewerten.

Ordnen Sie vorhandene Dokumente den heutigen Anforderungen zu. So wird aus der alten Dokumentation eine belastbare Grundlage für das Compliance-Management-System nach ISO 37301.

Häufige Fragen und Antworten

Ist ISO 19600 noch gültig?

Nein, ISO 19600 wurde 2021 zurückgezogen und durch ISO 37301 ersetzt. Die frühere Version dient heute höchstens noch als historische Basis für bestehende Compliance-Strukturen.

Kann man sich noch nach ISO 19600 zertifizieren lassen?

Eine reguläre ISO-Zertifizierung nach ISO 19600 war nie vorgesehen, weil die Norm als Leitlinie mit Empfehlungen aufgebaut war. Wer heute ein zertifizierbares Compliance-Management-System anstrebt, orientiert sich an ISO 37301.

Was ist der Unterschied zwischen ISO 19600 und ISO 37301?

ISO 19600 gab vor allem Empfehlungen für den Aufbau und die Entwicklung eines CMS. ISO 37301 enthält dagegen konkrete Anforderungen und schafft damit die Grundlage für eine unabhängige Zertifizierung. Viele Prinzipien wie Risikoorientierung, Governance und kontinuierliche Verbesserung wurden dabei übernommen.