Das rechtskonforme Unternehmen

Die Herausforderung

Die Anzahl rechtlicher Anforderungen an Unternehmen in Deutschland ist schwer zu ermitteln. Spezialisierte Datenbanken für Unternehmen umfassen oft weit über 10.000 Regelwerke, Gesetze, Verordnungen und sonstige verbindliche Normen (inklusive EU-Recht und technischer Vorschriften), die für den unternehmerischen Betrieb potenziell relevant sein können.

Selbst für ein durchschnittliches kleines oder mittleres Unternehmen (KMU) ohne besondere Gefährdungen greift ein Bündel an rechtlichen Pflichten aus verschiedenen Bereichen, wie z.B. Handels- und Gesellschaftsrecht, Arbeits- und Sozialrecht, Datenschutz und IT-Sicherheit, Steuerrecht sowie Verbraucherschutz und Wettbewerbsrecht.

Rechnet man diese übergeordneten Gesetze auf die konkreten Einzelparagrafen und konkreten Handlungsanweisungen herunter, bewegen sich Unternehmen selbst in Branchen mit geringem Risiko im Alltag schnell im Bereich von mehreren Hundert bis über tausend konkreten Rechtspflichten, die im organisatorischen Ablauf eingehalten werden müssen.

Nimmt man allein die monatlichen Änderungsmitteilungen von einer Plattform wie „Umwelt-Online“, bräuchte man hierzu eine qualifizierte Person, welche die Anforderungen auf Relevanz für das Unternehmen prüft und Handlungsempfehlungen ableiten kann. Solche Personen gibt es, wenn überhaupt, nur selten in KMU.

Ich kann mir nur schwer vorstellen, dass es Unternehmen gibt, die alle zutreffenden rechtlichen Anforderungen kennen und konform umsetzen. Insbesondere wenn man bedenkt, dass es durchaus widersprüchliche Anforderungen in unserem Rechtssystem gibt.

Wie rechtliche Anforderungen oft auditiert werden

Jetzt gibt es nicht wenige Zertifizierungsauditor:innen, die meinen, dass man dieser Flut an Anforderungen mit einem Rechtskataster gerecht werden könne, um angeblich die Anforderungen der ISO 14001 oder ISO 45001 zu erfüllen.

Um diese Auditoren zufriedenzustellen, werden Exceltapeten verwaltet und kurz vor dem Audit Zeile für Zeile aktualisiert: Hier muss noch ein Datum geändert werden, da es im Mai eine Anpassung gab.

Abgesehen vom Tag der Aktualisierung und dem Tag des Audits ruht das Kataster meist ungenutzt in den Tiefen eines verlassenen Dateipfades.

Was Managementsystemnormen fordern

Beginnen wir mit der Frage, was diese Normen nicht fordern. In keiner der gängigen Managementsystemnormen taucht das Wort „Rechtskataster“ oder dokumentierte Informationen zu rechtlichen Anforderungen auf.

So heißt es in der ISO 9001 lediglich, dass eine Organisation ihre Fähigkeit darlegen muss, beständig Produkte und Dienstleistungen bereitstellen zu können, die die Anforderungen der Kunden und die zutreffenden gesetzlichen und behördlichen Anforderungen erfüllen. Ich glaube nicht, dass der Nachweis mit der Vorlage eines hübsch gepflegten Rechtskatasters erbracht werden kann.

Sind denn alle Unternehmen Rechtsbrecher?

Nein! Es ist eher zu bewundern, dass in zahlreichen Unternehmen das Wissen über relevante rechtliche Anforderungen gut verankert ist. In den meisten Fällen verteilt sich das notwendige Wissen auf mehrere Personen. In der Regel findet man auch dokumentierte Informationen, die Unternehmen beim Erhalt der Rechtskonformität unterstützen. Hierzu gehören z.B. Wartungspläne, Tabellen mit wiederkehrenden Schulungsterminen, Checklisten und nicht selten Aktenordner mit Nachweisen, die wie ein schlechtes Gewissen von Regalen auf jene herabschauen, welche diese Ordner pflegen und befüllen.

Ferner erhalten Unternehmen externe Hilfe durch IHK, Verbände, Fachmagazine, Newsletter und Unternehmertreffen. Hinzu kommen Hinweise der SiFa, Betriebsärzt:innen oder externen Berater:innen. Auch bei einem Zertifizierungsaudit können Themen auftauchen, die eine Organisation bisher übersehen hat. Wenn es sich bei dem Thema nicht um eine grob fahrlässige Ignoranz mit hohen Folgerisiken handelt, sollte diese Situation nicht einmal zu einer Abweichung führen.

Leider gibt es noch ein paar wenige Auditor:innen, die gerne das Spiel spielen: „Ich kenne eine neue Verordnung, die Du nicht kennst.“ Statt einen wohlwollenden Hinweis zu hinterlassen, wird die Wirksamkeit des Managementsystems infrage gestellt. Das ist in meinen Augen völlig überzogen.

Wenn schon Rechtskataster, dann

Je nach Organisation (Größe, Branche, Anzahl Mitarbeiter, Risikoklasse …) kann auch eine Datenbank oder eine SharePoint-Liste mit relevanten rechtlichen Anforderungen hilfreich sein. Um unnötige Datenpflege zu vermeiden, würde ich keine Spalte mit „letzter Stand“ pflegen, sondern Links auf z.B. Gesetze im Netz oder interne Dokumente hinterlegen, sodass Mitarbeiter:innen bei Bedarf nachschlagen können. Für besonders kritische Anforderungen könnte festgelegt werden, dass diese vor Einsatz auf Aktualität geprüft werden müssen.

Viel hilfreicher als das Änderungsdatum, wären Textspalten mit wertvollen Hinweisen:

• Welche Textpassagen oder Paragrafen sind relevant?
• Warum betrifft uns diese Anforderung?
• Wer muss diese kennen?
• Was leiten wir daraus für unsere Organisation ab?
• Links oder Verweise auf vorhandene Prozesse, Checklisten …

Ohne Vollständigkeit anzustreben, kann man eine solche Liste mit wenigen Einträgen anfangen. Mit der Zeit und mit den gemachten Erfahrungen wird sie organisch wachsen. Wenn diese Liste leicht zugänglich, schnell filterbar und einfach editierbar ist, dann besteht die Möglichkeit, dass sie auch im Arbeitsalltag genutzt wird.