Compliance (BWL)

Compliance bzw. Regeltreue (auch Regelkonformität) ist in der betriebswirtschaftlichen Fachsprache der Begriff für die Einhaltung von Gesetzen und Richtlinien, aber auch von freiwilligen Kodizes, in Unternehmen. Die Gesamtheit der Grundsätze und Maßnahmen eines Unternehmens, zur Einhaltung bestimmter Regeln und damit zur Vermeidung von Regelverstößen in einem Unternehmen wird als Compliancemanagementsystem bezeichnet (IDW PS 980 Tz.6).

Definition

Der Deutsche Corporate Governance Kodex (DCGK) definiert Compliance als die in der Verantwortung des Vorstands liegende Einhaltung der gesetzlichen Bestimmungen und unternehmensinternen Richtlinien.

„Der Begriff Compliance steht für die Einhaltung von gesetzlichen Bestimmungen, regulatorischer Standards und Erfüllung weiterer, wesentlicher und in der Regel vom Unternehmen selbst gesetzter ethischer Standards und Anforderungen.“

– Eberhard Krügler

Bei Kreditinstituten wird der Begriff „Compliance“ oft noch eingeengt für die speziellen Vorschriften aus dem Wertpapierhandelsgesetz verwendet.

Anforderung an die Compliance

Die Notwendigkeit zur Einhaltung gesetzlicher Regelungen durch Unternehmen ergibt sich aus dem Grundsatz, dass Gesetze − auch durch juristische Personen − einzuhalten sind. Unternehmen und Unternehmensverantwortliche sind über die §§ 9, 30 und 130 des Gesetzes über Ordnungswidrigkeiten (OWiG) gefordert, dafür Sorge zu tragen, dass aus dem Unternehmen heraus keine Gesetzesverstöße erfolgen. Werden entsprechende Organisations- und Aufsichtsmaßnahmen nicht ergriffen, können Unternehmensleitung und auch das Unternehmen selbst zu Strafen verurteilt werden, wenn es aus dem Unternehmen zu Gesetzesverstößen gekommen ist. Macht sich somit ein Mitarbeiter des Unternehmens durch Korruption strafbar, so drohen dem Unternehmen nicht nur zivilrechtliche Klagen des Geschäftspartners, dessen Mitarbeiter bestochen wurden. Vielmehr muss auch das Unternehmen damit rechnen, dass gegen das Unternehmen oder gegen die Unternehmensleitung ein Ordnungswidrigkeitenverfahren eingeleitet wird, weil den Organisations- und Aufsichtspflichten nicht nachgekommen wurde. Daneben regeln eine Vielzahl von gesetzlichen Vorschriften unmittelbare Pflichten und Verantwortungen des Unternehmens, die dieses einzuhalten hat und bei deren Nichteinhaltung dem Unternehmen unter Umständen empfindliche Strafzahlungen drohen (z.B. aus Kartellverstößen). Eine Pflicht zur Sicherstellung der Compliance ergibt sich somit auch aus §§ 91, 93 AktG sowie § 43 GmbHG zur Abwendung von wirtschaftlichen Schaden vom Unternehmen.

Sicherstellung der Compliance

Die Nichteinhaltung von Regeln kann zu Unternehmensstrafen, Bußgeldern, Gewinnabschöpfung oder dem Verfall des durch den Gesetzesverstoß erzielten Gewinn führen. Diese direkten Verluste werden durch zusätzliche externe und interne Kosten für Verfahren, Schadenersatzansprüche und Rückabwicklungen erhöht.

In einem Beobachtungszeitraum von zwei Jahren war jedes zweite Wirtschaftsunternehmen einer Studie von Wirtschaftskriminalität betroffen. Bei einer hohen Dunkelziffer wird der Gesamtschaden aufgedeckter Verstöße auf mehr als 6 Milliarden Euro jährlich geschätzt. Compliance wird entsprechend vom weltweit anerkannten Risikomanagement-Rahmenwerk COSO als einer von drei Bereichen des Unternehmens-Risikomanagements definiert.

Die Gesamtheit der im Unternehmen eingerichteten Maßnahmen und Prozesse, um Compliance sicherzustellen, werden vom Institut der Wirtschaftsprüfer in Deutschland im IDW-Prüfungsstandard PS 980 als Compliance-Managementsystem (CMS) bezeichnet. Das IDW verweist für die Ausgestaltung eines solchen CMS auf allgemein anerkannte Rahmenkonzepte (z.B. COSO ERM). Auf der Basis unterschiedlicher Rahmenkonzepte hat das IDW in seinem Standard sieben Grundelemente eines CMS identifiziert:

• Compliancekultur
• Complianceziele
• Compliancerisiken
• Complianceprogramm
• Complianceorganisation
• Compliancekommunikation und -information
• Complianceüberwachung und -verbesserung

anhand derer ein CMS organisiert und beschrieben werden kann.

Aufgabe eines CMS ist es, hinreichend sicherzustellen, dass Risiken für wesentliche Regelverstöße rechtzeitig erkannt werden und solche Regelverstöße verhindert werden. Da auch ein angemessenes CMS nie alle Verstöße verhindern kann, muss es außerdem trotzdem auftretende Verstöße zeitnah erkennen und im Unternehmen kommunizieren, damit angemessene Reaktionen auf den Verstoß ergriffen werden können.

Compliancekultur

Als Compliancekultur werden die Grundeinstellungen und Verhaltensweisen, die von der Unternehmensleitung vermittelt werden, bezeichnet („tone at the top“). Die Compliancekultur soll allen Unternehmensbeteiligten sowie auch Kunden und Lieferanten des Unternehmens die Bedeutung vermitteln, die das Unternehmen der Beachtung von Regeln beimisst, und damit bei allen Beteiligten die Bereitschaft zu regelkonformem Verhalten fördern. Compliancekultur wird häufig als Basis des CMS bezeichnet. Vielfach wird die Compliancekultur in besonderen Richtlinien oder Verhaltenskodizes (z. B.: „Mission Statement“ oder „Code of Conduct“) festgehalten und auch im Intranet- oder Internet-Auftritt des Unternehmens veröffentlicht.

Eine wirksame Compliancekultur erfordert aber neben solchen „offiziellen“ Kommunikationen vor allen Dingen eine Spiegelung der Grundsätze im tatsächlichen Handeln und Auftreten aller Unternehmensverantwortlichen auf allen Managementebenen. Werte können nur glaubhaft vermittelt werden, wenn diese auch erkennbar von den Vermittelnden selbst gelebt werden.

Konkrete Regeln z. B. zur Vermeidung von Korruption und Kartellabsprachen, dem Einhalten von Vorgaben bezüglich Datenschutz und Gleichbehandlung, der Beachtung von Vorschriften zu Produktsicherheit und Arbeitsschutz, werden manchmal auch als Teil der Compliancekultur betrachtet, zählen aber eher zum konkreten Complianceprogramm. Gleiches gilt für Regelstrukturen wie z. B. Hotlines (Whistleblowing Hotline), die unternehmensintern oder bei externen Ansprechpartnern eingerichtet sind, und bei denen Regelverstöße gemeldet werden können.

Ziele

Fehler beim Erstellen des Vorschaubildes:

Ziele von Compliance

Risikominimierung, Effizienzsteigerung und Effektivitätssteigerung sind die vorrangigen Ziele von Compliance. Die Abbildung verdeutlicht in diesem Zusammenhang die betriebswirtschaftlichen Effekte des strategischen Einsatzes von Compliancemaßnahmen. Interessant ist die Erkenntnis, dass bei 50 Prozent der Ziele ein Bezug zu Identitätsmanagement erkennbar ist.

Complianceprozesse

Für die Durchführung der betrieblichen Complianceaktivitäten ist die Etablierung spezifischer Prozesse erforderlich. Es handelt sich bei diesen Prozessen um sogenannte Metaprozesse, d. h. die Complianceprozesse beziehen sich auf die Unterstützung und risikoorientierte Steuerung der originären Geschäftsprozesse im Unternehmen. Im Folgenden werden wesentliche Complianceprozesse skizziert.

• Prozesse der Risikoanalyse: Derartige Teilprozesse dienen der Identifikation von Bedrohungen und Gefahren im Rahmen der wertschöpfenden Aktivitäten des Unternehmens.
• Prozesse der Abweichungsanalyse: Solche Prozesse werden ausgelöst, sofern der realisierte Ist-Wert einer Aktivität oder einer Aktivitätenfolge außerhalb des definierten Toleranzbereichs um den Soll-Wert liegt.
• Prozesse des Umgangs mit Ausnahmesituationen: Im Mittelpunkt steht das (potentielle) Eintreffen gravierender Ereignisse mit erheblicher kritischer Relevanz für das Unternehmen. Es gilt, für solche Fälle mit vorstrukturierten Soll-Prozessen zum Zwecke der Aufklärung und Schadensbegrenzung vorbereitet zu sein.
• Prozesse der Eskalation: Gegenstand von Eskalationsprozessen ist die Auflösung bereits entstandener sowie die Verhinderung zu befürchtender Non-Compliance-Situationen. Das Ziel dieser Prozesse besteht darin, kritische Aktivitäten zu eskalieren. Dies bedeutet, dass derartige Aktivitäten transparent gemacht und zeitnah einer verantwortlichen Instanz zum Treffen regulierender Entscheidungen zwingend vorgetragen werden.

Zertifizierung des Compliancemanagementsystems

Der TÜV Rheinland hat am 30. März 2011 den „Standard für Compliance Management Systeme“ (TR CMS 101:2011) veröffentlicht. Der Standard richtet sich an Organisationen wie Unternehmen, Behörden und Nichtregierungsorganisationen (NGOs) und beschreibt die Elemente, die ein funktionsfähiges und wirksames Compliancemanagementsystem ausmachen. Er zeigt auf, welche nachprüfbaren Maßnahmen zu treffen sind, um eine Complianceorganisation systematisch einzurichten, aufrechtzuerhalten, zu überwachen und ständig zu verbessern. Dies dient dem Ziel, alle relevanten Complianceanforderungen erreichen zu können. Der Standard TR CMS 101:2011 dient damit zugleich als Maßstab für die Zertifizierung eines bestehenden Compliancemanagementsystems. Er verlangt nicht das Schaffen bestimmter Strukturen oder Funktionen für das Erfüllen von Compliance, sondern fordert lediglich eine systematische Herangehensweise und die Umsetzung bestimmter (Mindest-)Elemente. Nach dem Standard müssen Compliancemanagementsysteme nicht einheitlich ausgestaltet sein, sondern können ausdrücklich den Besonderheiten der Organisation – wie Größe, Struktur, Aktivitäten, Produkte, spezifische Risiken etc. – Rechnung tragen. Organisationen haben damit ein hohes Maß an Flexibilität bei der Umsetzung ihres Compliancemanagementsystems.

Vergleichbar mit den Standards für Qualitätsmanagementsysteme (ISO 9001:2008) oder für Risikomanagementsysteme (ONR 49001:2004), enthält der Standard TR CMS 101:2011 Aussagen über das Festlegen von Complianceverantwortlichkeiten, die Bereitstellung von Ressourcen, die Durchführung von Audits und über die Notwendigkeit der kontinuierlichen Verbesserung. Darüber hinaus führt er die spezifischen Merkmale auf, die ein wirksames und von Einzelpersonen unabhängiges Compliancemanagementsystem aufweisen muss. Im Sinne einer ganzheitlichen Sichtweise von Compliance berücksichtigt der Standard auch die Aspekte „Organisationskultur“ und „Kommunikation“.

Der Standard TR CMS 101:2011 ist in folgende acht Kapitel gegliedert:

1. Anwendungsbereich
2. Ziele des Compliance Management Systems
3. Begriffe
4. Compliance Management System
5. Verantwortung der Leitung
6. Management von Ressourcen
7. Compliance-Prozesse und Umsetzung
8. Systemüberwachung, -analyse und –verbesserung

Anwendungsbereich: Der Standard TR CMS 101:2011 ist national und international für alle Organisationen anwendbar.

Ziele des Compliancemanagementsystems: Ziel jedes Compliancemanagementsystems ist es nach dem Standard, systematisch die Voraussetzungen in der Organisation zu schaffen, dass Verstöße gegen Complianceanforderungen vermieden bzw. wesentlich erschwert werden und eingetretene Verstöße erkannt und behandelt werden können.

Begriffe: Kapitel 3 enthält Definitionen wichtiger Compliancebegriffe, die im Standard TR CMS 101:2011 verwendet werden.

Compliancemanagementsystem: Damit die Anforderungen des Standards erfüllt werden können, muss ein Unternehmen eine systematische Complianceorganisation, das heißt ein Compliancemanagementsystem einführen, dokumentieren, verwirklichen und aufrechterhalten. Dazu sind folgende Maßnahmen notwendig:

• Die einzuhaltenden Prozesse sind festzulegen.
• Die Verfügbarkeit der erforderlichen Ressourcen und Informationen ist sicherzustellen und
• die Prozesse sind zu überwachen, zu messen und zu analysieren.

Es gilt, das Compliancemanagementsystem selbst und seine Bestandteile, wie zum Beispiel Audit-Ergebnisse, Korrekturmaßnahmen etc., zu dokumentieren, um eine personenunabhängige Aufrechterhaltung und Funktionsfähigkeit des Systems sicherzustellen. Auch der Umgang mit dieser Dokumentation, beispielsweise Freigaben, Aktualisierungen, Verteilung, Aufbewahrungspflichten, muss festgelegt werden.

Verantwortung der Leitung: Im Einklang mit den gesetzlichen Organisations- und Aufsichtspflichten liegt ein Schwerpunkt des Standards auf der besonderen Verantwortung der „Leitung“ für die Einrichtung, Aufrechterhaltung, Bewertung und ständige Verbesserung des Compliancemanagementsystems. Es ist Aufgabe der Leitung, die internen Verantwortlichkeiten und Befugnisse festzulegen und einen Compliancebeauftragten zu benennen. Nicht vorgegeben ist, auf welcher Führungsebene dieser Beauftragte angesiedelt sein soll. Auch das Schaffen einer eigenen, neuen Compliancestelle wird nicht verlangt. Allerdings muss es dem Compliancebeauftragten möglich sein, seine Complianceaufgaben unabhängig wahrnehmen zu können. Inhärente Interessenskonflikte aufgrund der gleichzeitigen Zuweisung anderer Aufgaben sind auszuschließen. Darüber hinaus soll eine direkte Berichtsmöglichkeit an die Leitungsebene sichergestellt sein. Der Leitung obliegt es, den Mitarbeitern die Bedeutung von Complianceanforderungen und ihrer Erfüllung zu vermitteln. Von ihr wird ausdrücklich verlangt, ein Bekenntnis zur Schaffung einer Compliancekultur abzugeben. Ferner sollte sie ihre Erwartung zum Ausdruck zu bringen, dass die Complianceanforderungen tatsächlich eingehalten werden. Als Bestandteil ihrer Aufsichtspflichten nimmt die Leitung selbst regelmäßige Bewertungen des Compliancemanagementsystems vor. Zudem stellt sie die Einhaltung ihrer Informations- und Berichtspflichten gegenüber den internen Aufsichtsorganen sicher.

Management von Ressourcen: Kapitel 6 stellt die Pflichten für die Ermittlung und das Bereitstellen von Ressourcen dar, die für ein wirksames Compliancemanagementsystem erforderlich sind. Der Schulungsbedarf soll systematisch ermittelt werden; erforderliche Schulungen sind durchzuführen. Die Wirksamkeit der ergriffenen Maßnahmen ist regelmäßig zu beurteilen.

Complianceprozesse und Umsetzung: In Kapitel 7, „Complianceprozesse und Umsetzung“, beschreibt der Standard TR CMS 101:2011 die Compliance-spezifischen Themen der Organisation. Gefordert werden systematische Risikoanalysen (sogenannte „Compliancerisikoassessments“). Die anwendbaren Complianceregeln müssen systematisch analysiert, identifiziert, dokumentiert sowie aktualisiert und den Betroffenen kommuniziert werden. Arbeitsabläufe sollen so ausgestaltet werden, dass Complianceanforderungen problemlos erfüllt werden können. Interessenskonflikte müssen identifiziert und organisatorisch nach Möglichkeit ausgeschlossen werden. Alle Compliance-relevanten Vorkommnisse sind zu dokumentieren.

Systemüberwachung, -analyse und -verbesserung: Wie andere Systemstandards betont der Standard TR CMS 101:2011 die Bedeutung einer kontinuierlichen Systemüberwachung und -analyse als Basis für einen ständigen Verbesserungsprozess. Erforderlich sind definierte Prozesse für das Überwachen, Analysieren und Verbessern dieses Systems. Der Standard erwähnt ausdrücklich interne Audits anhand eines geplanten Auditprogramms, Monitoring-Maßnahmen und die Pflicht zur Umsetzung der Erkenntnisse mit dem Ziel, das System zu verbessern.

Durch seinen organisationsübergreifenden und systematischen Ansatz ist es möglich, das Compliancemanagementsystem einer Organisation durch einen unabhängigen Dritten anhand des Standards TR CMS 101:2011 zertifizieren zu lassen. Die Zertifizierung findet typischerweise in zwei Stufen statt:

• Stufe 1 des Zertifizierungsaudits klärt die Zertifizierungsfähigkeit. Dabei erfolgt eine Prüfung, ob die Zertifizierungsvoraussetzungen grundsätzlich gegeben sind, das heißt, ob das Compliancemanagementsystem und seine Elemente dokumentiert sind (sog. „Dokumentenaudit“), ob ein Complianceverantwortlicher benannt wurde und ob Systembewertungen durch das Management vorgenommen wurden.
• In Stufe 2 des Zertifizierungsaudits findet die Überprüfung aller Elemente eines Compliancemanagementsystems auf Basis von Stichproben statt. Die Auditoren verfassen anschließend einen Bericht über das durchgeführte Audit. Im Falle eines positiven Befundes erteilt die Zertifizierungsstelle des Zertifizierers auf Empfehlung der Auditoren das Zertifikat. Dieses hat eine Gültigkeitsdauer von drei Jahren. Während dieses Zeitraums finden jährliche Überwachungsaudits statt.

Im Rahmen eines Voraudits kann optional vorab die Zertifizierbarkeit getestet werden. Häufig empfehlen sich auch vorgelagerte „Complianceselfassessments“, die von der Organisation selbst durchgeführt werden können und die etwa von TÜV Rheinland unter „Compliance Care“ angeboten werden.

Prüfung von Compliance-Managementsystemen

Das Institut der Wirtschaftsprüfer Deutschlands e.V. hat nach mehrmonatiger Beratung des Berufsstands und intensiven Gesprächen sowohl von Complianceverantwortlichen in Unternehmen wie auch Anwälten und Hochschullehrern Anfang 2010 den Entwurf eines Prüfungsstandards zur ordnungsmäßigen Durchführung der Prüfung von Compliance-Managementsystemen veröffentlicht und zur allgemeinen Diskussion gestellt. Die im Rahmen der Kommentierungsphase von Unternehmen und anderen Interessierten eingereichten Stellungnahmen und Anregungen wurden vom IDW dann bei der Veröffentlichung des finalen Standards am 11. März 2011 berücksichtigt. Der Standard legt die berufsständische Auffassung des deutschen Wirtschaftsprüfer fest, welche Anforderungen an Annahme, Planung und Durchführung von solchen Prüfungen zu stellen sind. Darüber hinaus definiert der Standard auch erstmals allgemeingültige strukturelle Anforderungen an ein CMS, ohne dabei konkrete Maßnahmen oder Prozesse einzufordern.

CMS-Teilbereich

Eine nach diesem Standard durchgeführte Prüfung des CMS eines Unternehmens bezieht sich stets auf eindeutig abgegrenzte CMS-Teilbereiche. Diese sind vom Unternehmen auf der Basis einer übergeordneten Risikobeurteilung zu definieren. Es handelt sich um diejenigen einzuhaltenden Regelungen, denen das Unternehmen eine besondere Aufmerksamkeit zur Sicherstellung der Einhaltung widmen muss. Die Auswahl wird regelmäßig risikoorientiert erfolgen, d.h. es wird für solche Compliance-Teilbereiche gesonderte CMS installiert werden, bei denen entweder ein besonders hohes Risiko für das Auftreten von Compliance-Verstößen besteht oder bei denen Compliance-Verstöße besonders schwerwiegende Folgen haben können. Der Prüfungsauftrag muss den zu prüfenden CMS-Teilbereich eindeutig abgrenzen. Eine Abgrenzung wird meist nach genau zu benennenden Rechtsgebieten oder auch nach der Unternehmensorganisation erfolgen, z.B. kann der Prüfungsauftrag sich ausschließlich auf relevante Anti-Korruptionsbestimmungen im Einkauf beziehen oder nur die Geschäftstätigkeit in einzelnen Ländern betrachten. Der Prüfer wird den Prozess zur Abgrenzung des Teilbereichs im Rahmen seiner Prüfung im Wesentlichen daraufhin betrachten, ob die Festlegung des Teilbereichs irreführend ist.

CMS-Beschreibung

Die Prüfung basiert auf einer vom Unternehmen anzufertigen Beschreibung des Compliance-Managementsystems für den ausgewählten Teilbereich (CMS-Beschreibung). Diese Beschreibung soll ein umfassendes und verständliches Bild des CMS geben. Die CMS-Beschreibung muss auf alle sieben Grundelemente eines CMS eingehen und darf keine wesentlichen falschen Angaben sowie keine unangemessenen Verallgemeinerungen oder unausgewogenen und verzerrenden Darstellungen enthalten, die eine Irreführung der Berichtsadressaten zur Folge haben können.

Auf der Basis der CMS-Beschreibung prüft der Wirtschaftsprüfer das CMS mit der Zielsetzung eine Aussage dazu zu machen, ob

• die in der CMS-Beschreibung enthaltenen Aussagen über die dargestellten Grundsätze und Maßnahmen des CMS in allen wesentlichen Belangen angemessen dargestellt sind,
• die dargestellten Grundsätze und Maßnahmen in Übereinstimmung mit den angewandten CMS-Grundsätzen geeignet sind, mit hinreichender Sicherheit sowohl Risiken für wesentliche Verstöße die betreffenden Regeln des abgegrenzten Teilbereicherechtzeitig zu erkennen als auch solche Regelverstöße zu verhindern und tatsächlich eingerichtet waren,
• und während des Prüfungszeitraums wirksam durchgeführt wurden.

Hinreichende Sicherheit

Die Prüfung richtet sich ausschließlich auf das System und dessen Eignung, mit hinreichender Sicherheit Verstöße zu verhindern oder zumindest wesentlich zu erschweren bzw. trotzdem auftretende Verstöße zu erkennen und eine angemessene Reaktion sicherzustellen. Die Prüfung ist nicht darauf ausgerichtet, selbst Verstöße aufzudecken.

Eine hinreichende Sicherheit bedeutet dabei nicht absolute Sicherheit, da eine solche absolute Sicherheit mit angemessenen Mitteln durch kein System zu erreichen ist. Jedes CMS hat systemimmanente Grenzen, die dazu führen können, dass trotz eines wirksamen Systems Verstöße auftreten können oder aufgetretene Verstöße nicht zeitnah entdeckt werden. Dies ergibt sich bereits durch die Tatsache, dass Menschen das System versehentlich falsch anwenden oder auch durch erhebliche kriminelle Energie umgehen können. In § 130 des Gesetzes über Ordnungswidrigkeiten wird daher auch von der Pflicht zur wesentlichen Erschwerung von Verstößen gesprochen.

Wirksamkeitsnachweis

Eine CMS-Prüfung nach dem Prüfungsstandard IDW PS 980 bietet eine sehr hohe Sicherheit dafür, dass eine zuverlässige Gesamtaussage über die Eignung und Wirksamkeit des CMS getroffen werden kann.

Unternehmen und die Unternehmensverantwortlichen erhalten hiermit ein Instrument, dass ihnen zum einen verlässlich Auskunft darüber gibt, ob das eingerichtete CMS angemessen und wirksam war. Zum anderen kann der Prüfungsbericht auch dazu dienen, gegenüber Dritten nachzuweisen, dass im Prüfungszeitraum tatsächlich ein solches System eingerichtet und wirksam war. Damit kann für den Fall, dass zu einem späteren Zeitpunkt ein Compliance-Verstoß im Prüfungszeitraum aufgedeckt wird, der Nachweis geführt werden, dass das Unternehmen seiner Pflicht zur gehörigen Aufsicht nachgekommen war und der Verstoß trotz eines wirksamen CMS aufgetreten ist und nicht wegen des Fehlens eines wirksamen CMS.

Siehe auch

• Tax-Compliance
• IT-Compliance
• Management Risk Controlling (MRC)
• ISO 15489

Literatur

• Stefan Behringer (Hrsg.): Compliance kompakt - BestPractice im Compliance-Management, Erich Schmidt Verlag, Berlin 2010, ISBN 978-3-503-12076-5
• Jens Claussen: Compliance- oder Integrity-Management - Maßnahmen gegen Korruption in Unternehmen, Metropolis Verlag, Marburg 2011, ISBN 978-3-89518-871-8
• Oliver Haag: Corporate Compliance – Ein Thema gerade auch für den Mittelstand, in: Der Personalleiter – DPL 2008, S. 40
• Christoph E. Hauschka: Corporate Compliance – Handbuch der Haftungsvermeidung im Unternehmen. Verlag C.H.Beck, München 2007, ISBN 978-3-406-54708-9
• Daniel G. Meister: Corporate Governance und Compliance-Management für Versicherungsunternehmen – Vor dem Hintergrund der Umsetzung von Solvency II, 2007, ISBN 978-3-8364-3383-9
• Klaus Moosmayer: Compliance -Praxisleitfaden für Unternehmen, Verlag C.H. Beck, München 2010, ISBN 978-3-406-54708-9
• Mark Pieth: Anti-Korruptions-Compliance : Praxisleitfaden für Unternehmen, Zürich 2011, ISBN 978-3-03751-365-1
• Gregor Thüsing: Arbeitnehmerdatenschutz und Compliance. Verlag C.H. Beck, München 2010, ISBN 978-3-406-60497-3
• Josef Wieland/Roland Steinmeyer/Stephan Grüninger: Handbuch Compliance-Management. Konzeptionelle Grundlagen, praktische Erfolgsfaktoren, globale Herausforderungen, 2. Auflage 2015, Erich Schmidt Verlag, ISBN 978-3-503-15679-5
• Helmut Görling/Cornelia Inderst/Britta Bannenberg: Compliance – Aufbau, Management, Risikobereiche, C.F. Müller, Heidelberg 2010, ISBN 978-3-8114-3648-0
• Oliver Böhm/Hilmar Siebert/Lothar Weiler/Jan Wilimzig: Compliance und Unternehmenstransaktionen in Wolfgang Lück (Hrsg.): "Jahrbuch für Wirtschaftsprüfung, Interne Revision und Unternehmensberatung 2012, Oldenbourg Verlag, München 2012, ISBN 978-3-486-71357-2
• TÜV Rheinland Cert GmbH (Hrsg.), Compliance-Leitfaden TR CMS 100:2013, 1. Auflage 2013, Verlag TÜV Media GmbH, (Print:) ISBN 978-3-8249-1741-9, (E-Book:) ISBN 978-3-8249-1743-3