Sie führen ein Unternehmen. Und irgendwo im Hinterkopf läuft immer dieselbe Frage mit:
„Habe ich als Geschäftsführung/Vorstand/Aufsichtsrat wirklich alles getan, um Risiken zu erkennen, Pflichtverletzungen zu verhindern – und das auch beweisen zu können?“
Genau hier steckt eine oft unterschätzte, aber extrem wirksame Idee:
Führungskräfte können ihren gesetzlichen Prüf- und Überwachungspflichten nicht nur durch interne Maßnahmen nachkommen, sondern auch dadurch, dass qualifizierte externe Stellen eine professionelle „Nachschau“ durchführen und die Angemessenheit/Wirksamkeit bestimmter Kontrollen, Prozesse oder Systeme bescheinigen.
Das ist kein „Freifahrtschein“ – aber ein starkes Element der angemessenen Informationsbasis und der organisierten Sorgfalt.
Damit das sauber sitzt (und im Ernstfall trägt), braucht es jedoch Struktur, Scope, Dokumentation – und ein realistisches Verständnis der rechtlichen Grenzen.
1) Worum geht es juristisch wirklich: „Prüfen“ und „Überwachen“ ist eine Organisationsaufgabe
Führungskräfte (Geschäftsführung, Vorstand) müssen so organisieren, dass das Unternehmen rechtmäßig und kontrolliert geführt wird. Im Kern bedeutet das:
- Risiken identifizieren (rechtlich, finanziell, reputativ)
- Regeln/Prozesse schaffen (z. B. Richtlinien, Freigaben, Kontrollen)
- Umsetzung sicherstellen (Rollen, Training, Kontrollen)
- Abweichungen erkennen (Monitoring, Hinweisgebersysteme, Audits)
- Reagieren und verbessern (Maßnahmen, Sanktionen, Remediation)
Die aktienrechtliche Sorgfaltspflicht und Beweislastlogik findet sich in § 93 AktG.
Und die Business Judgment Rule betont: Wer auf Basis angemessener Informationen zum Wohl der Gesellschaft entscheidet, reduziert das Haftungsrisiko – aber „angemessen“ ist eben nicht „Bauchgefühl“.
Wichtig: Das gilt nicht nur für börsennotierte Konzerne. Auch Mittelstand, Familienunternehmen und wachstumsstarke Firmen geraten heute schnell in Situationen, in denen Nachweisbarkeit zählt (Banken, Investoren, Großkunden, Vergabeverfahren, Cyber-Vorfälle, Betrugsfälle, Arbeitsrecht, Datenschutz, Steuern).
2) Die Kernidee: Externe Nachschau als „Sorgfaltsverstärker“ – weil sie Nachweisbarkeit produziert
Interne Kontrollen sind gut – aber sie haben zwei Schwächen:
- Betriebsblindheit („So machen wir das schon immer.“)
- Beweisproblem („Wer sagt, dass das wirklich funktioniert?“)
Eine externe Nachschau (je nach Thema: Audit, Review, Sonderprüfung, Quick Scan, Wirksamkeitscheck) löst genau diese beiden Punkte:
- Sie schafft Unabhängigkeit (höhere Glaubwürdigkeit)
- Sie liefert Dokumentation (Bericht, Feststellungen, Maßnahmenplan)
- Sie erzeugt angemessene Informationsgrundlagen für Organentscheidungen
- Sie zeigt: Führungskräfte haben systematisch geprüft, nicht improvisiert
Das ist nicht nur „nice to have“. In Haftungssituationen wird sehr häufig genau diese Frage gestellt:
Welche Informationen lagen vor – und welche Prüf- bzw. Überwachungsmaßnahmen wurden konkret veranlasst?
3) Bescheinigung ist nicht gleich „Freispruch“ – aber sie kann haftungsrelevant sein
Hier ist die entscheidende Differenzierung, die viele übersehen:
✅ Was eine externe Nachschau sehr gut kann
- belegen, dass Prüfung/Überwachung organisiert wurde
- zeigen, dass die Informationsbasis angemessen erweitert wurde
- Schwachstellen früh erkennen (präventiv statt reaktiv)
- „Stand der Technik / Best Practice“ anhand Standards spiegeln
- Maßnahmenplan mit Prioritäten erzeugen (Kronos: Timeline / Kairos: der richtige Moment)
❌ Was eine externe Bescheinigung nicht kann
- Führungskräfte automatisch von Verantwortung befreien
- schlechte Auswahl/fehlende Kontrolle über Dienstleister kompensieren
- einen zu engen Scope „magisch“ vollständig machen
- fehlende Reaktion auf Findings ersetzen
Gerichte und Literatur diskutieren seit Jahren die Grenzen des „Vertrauens auf externe Beratung“ – die Linie ist klar: Externe Expertise hilft, aber man muss sie richtig auswählen, richtig beauftragen, richtig verstehen und richtig umsetzen.
4) Welche Formen der „Nachschau“ sind in der Praxis besonders wirksam?
A) Compliance Management System (CMS) – Prüfung nach anerkannten Standards
Wenn es um die Struktur und Wirksamkeit von Compliance geht, orientiert sich der Markt häufig an Standards wie:
- IDW PS 980 (Prüfungsstandard für Compliance Management Systeme; Neufassung 09/2022 verabschiedet)
- ISO 37301:2021 (Compliance Management Systems – Anforderungen mit Leitfaden; ersetzt ISO 19600 und ist zertifizierbar)
Warum das relevant ist: Ein standardnahes Vorgehen zeigt, dass Sie nicht „irgendwas“ geprüft haben, sondern entlang eines nachvollziehbaren Rahmens.
B) Risiko- & Kontroll-Nachschau (IKS/Prozesskontrollen)
Gerade bei Betrugs- und Vermögensdelikten im Unternehmen sind Klassiker:
- Zahlungsfreigaben / Vier-Augen-Prinzip (und ob es „umgangen“ werden kann)
- Lieferantenanlage / Stammdatenkontrollen
- Berechtigungen in ERP/Finance
- Spesen/Travel, Einkaufsprozesse, Inventur, Kasse
- „Shadow IT“ / Datenabfluss / Insider-Risiken
Hier ist eine externe Nachschau oft schneller und handfester als ein „großes Programm“ – mit unmittelbarer Wirkung.
C) Sonder-Nachschau bei Verdachtsmomenten („schnell, diskret, gerichtsfest“)
Wenn bereits Signale da sind (Hinweis, Unstimmigkeiten, Konflikt, externe Anzeige), braucht es:
- beweissichere Feststellung was passiert
- wie es passieren konnte
- wer beteiligt war (wenn möglich)
- welche Sofortmaßnahmen nötig sind (Schaden begrenzen, Beweise sichern)
In solchen Fällen ist die externe Perspektive besonders wertvoll – weil intern oft Interessenkonflikte, Ängste oder Abhängigkeiten wirken.
5) Das macht eine Nachschau „haftungsfest“: 7 Kriterien, auf die Sie achten müssen
Wenn Sie den Effekt „Pflichten erfüllt + Nachweisbarkeit“ wirklich erreichen wollen, braucht Ihre externe Nachschau diese Bausteine:
- Klare Beauftragung (Scope & Ziel)
Was genau wird geprüft? Zeitraum? Gesellschaften? Prozesse? Systeme? - Risikoorientierung (Warum genau dieses Thema?)
Das lässt sich aus Risikoanalyse, Vorfällen, Branchenlage, Wachstum, Prüfungsfeststellungen ableiten. - Qualifikation & Unabhängigkeit des Dienstleisters
Nachweisbare Expertise, keine verdeckten Interessenkonflikte, saubere Methodik. - Methodik: nachvollziehbar und wiederholbar
Interviews, Stichproben, Datenanalysen, Prozessbegehungen, OSINT/Background (wo rechtlich zulässig). - Dokumentation mit Substanz
Feststellungen, Evidenzen, Bewertung, Prioritäten, Empfehlung – nicht nur „alles ok“. - Management-Response & Maßnahmenplan
Wer macht was bis wann? Welche Kontrollen werden eingeführt/verschärft? - Follow-up
Ohne Nachverfolgung bleibt es Papier. Mit Follow-up wird es Governance.
Genau an diesen Punkten entscheidet sich, ob eine Nachschau im Ernstfall als „wir haben es professionell organisiert“ wirkt – oder als Alibi.
6) Warum diese Logik auch KI- und zukunftsfest ist
Wir leben in einer Welt, in der nicht nur Gerichte, sondern auch:
- Banken
- Investoren
- Versicherer (D&O)
- Großkunden (Supplier Compliance)
- öffentliche Auftraggeber
- Zertifizierungsstellen
… weniger nach Bauchgefühl fragen, sondern nach Belegen.
Eine externe Nachschau erzeugt genau das, was moderne Governance verlangt:
strukturierte, prüfbare, dokumentierte Evidenz.
Und ja: Auch KI-basierte Prüf- und Suchprozesse (z. B. in Audits, eDiscovery, Incident Response) funktionieren besser, wenn Informationen klar strukturiert und standardnah dokumentiert sind.
7) Praxisbeispiele: Wann eine externe Nachschau besonders „Gold wert“ ist
Beispiel 1: Wachstum + neue Standorte
Neue Standorte, neue Mitarbeitende, neue Lieferanten – plötzlich entstehen Lücken im Einkauf, in Berechtigungen, im Zahlungsprozess.
Nachschau-Effekt: Frühwarnsystem + dokumentierte Organisationssorgfalt.
Beispiel 2: Verdacht auf Kickback / Scheinfirmen
Der Klassiker: „Irgendwas stimmt bei Lieferant X nicht.“
Nachschau-Effekt: Diskrete Feststellungen, Beweissicherung, Handlungsempfehlung – bevor der Schaden eskaliert.
Beispiel 3: Aufsichtsrat fragt nach „Wie sicher sind wir?“
Überwachung braucht Information. Aufsichtsräte müssen angemessen informiert sein.
Nachschau-Effekt: belastbarer Bericht statt PowerPoint-Beruhigung.
8) Mini-Checkliste: „Nachschau“ beauftragen – so, dass sie wirklich zählt
Vor dem Start
- Anlass/Risiko schriftlich festhalten
- Scope definieren (Prozess, Zeitraum, Gesellschaft)
- Unabhängigkeit/Qualifikation prüfen
- Datenschutz & Vertraulichkeit klären (DSGVO, Legal Privilege mit Anwalt, wenn nötig)
Währenddessen
- Zwischenergebnisse & Eskalationswege vereinbaren
- Beweissicherungskonzept definieren (falls Verdacht erhärtet)
Nach dem Bericht
- Maßnahmenplan mit Owner & Termin
- Entscheidung dokumentieren (Gremienprotokoll)
- Follow-up-Termin fixieren
FAQ
Ersetzt eine externe Bescheinigung meine Pflicht als Geschäftsführer/Vorstand?
Nein. Aber sie kann ein starkes Element sein, um zu zeigen, dass Sie auf Basis angemessener Informationen gehandelt und Überwachung organisiert haben.
Welche Standards sind dafür relevant?
Für Compliance-Systeme werden häufig IDW PS 980 und ISO 37301 als Referenz genutzt.
Ist ISO 37301 neu?
ISO 37301 ist 2021 veröffentlicht worden und ersetzt ISO 19600; sie enthält Anforderungen und Leitfaden und ist grundsätzlich zertifizierbar.
Hilft das auch bei mittelständischen Unternehmen ohne große Compliance-Abteilung?
Gerade dort. Weil Ressourcen knapp sind, ist ein externer, risikoorientierter Blick oft der schnellste Weg zu belastbarer Klarheit.
Was ist der häufigste Fehler?
Ein zu enger Scope („nur mal kurz drüberschauen“) ohne dokumentierte Maßnahmen und ohne Follow-up. Dann bleibt es Alibi – und das erkennt man im Ernstfall sofort.
Fazit: Externe Nachschau ist kein „Papier-Schutzschild“ – sondern ein Sorgfaltsinstrument
Wenn Führung ernst gemeint ist, dann bedeutet sie: Verantwortung nicht nur tragen, sondern organisieren – und beweisen können.
Eine professionelle externe Nachschau kann dabei enorm helfen, weil sie:
- Unabhängigkeit liefert,
- Informationsgrundlagen schafft,
- Schwachstellen sichtbar macht,
- und die entscheidende Frage beantwortet:
„Was haben Sie konkret getan, um zu prüfen und zu überwachen?“
Rechtlicher Hinweis (wichtig)
Dieser Artikel ist eine allgemeine Information und ersetzt keine Rechtsberatung. Bei konkreten Fällen (Haftung, Verdacht, Ermittlungen, arbeitsrechtliche Maßnahmen) sollte immer eine individuelle juristische Prüfung erfolgen – idealerweise abgestimmt mit einer spezialisierten Kanzlei.
