Compliance-Management-System nach ISO 37301 — KMU-Implementierung in 90 Tagen

Bisher war IDW PS 980 (Prüfungsstandard 980) der Goldstandard für deutsche Compliance-Management-Systeme. Seit 2021 gibt es ISO 37301 als internationale Norm — und sie wird 2026 vermehrt von Großkunden + Versicherern eingefordert. Was muss ein 100-MA-Mittelständler in 90 Tagen umsetzen, um zertifiziert zu sein?

Warum überhaupt ein zertifiziertes CMS?

• 50 % Strafmilderung bei OWiG § 130-Verfahren (BGH NJW 2018, 1180)
• D&O-Versicherungs-Vorteile: 15-25 % niedrigere Prämien bei CMS-Zertifikat
• Geschäftspartner-Anforderung: Großkonzerne verlangen CMS-Nachweis im RfP
• Compliance-Defense in Strafverfahren — „wir haben alles zumutbar getan"
• Frühwarn-System für Reputations- und Rechtsrisiken

Die 10 ISO-37301-Elemente

ISO 37301:2021 strukturiert ein CMS in 10 Element-Bereichen (analog zur HLS-Struktur anderer ISO-Normen):

• **Kontext der Organisation** — externe + interne Faktoren, interessierte Parteien
• **Führung** — Tone from the Top, Commitment der Geschäftsleitung
• **Planung** — Compliance-Ziele, Risiken + Chancen, Maßnahmen-Plan
• **Unterstützung** — Ressourcen, Kompetenzen, Bewusstsein, Kommunikation, Dokumentation
• **Betrieb** — Compliance-Prozesse, operatives Risiko-Management
• **Leistungsbewertung** — Überwachung, Audits, Management-Review
• **Verbesserung** — Nichtkonformitäten, Korrekturmaßnahmen, kontinuierliche Verbesserung
• Plus 3 spezifische Anhang-Komponenten: Compliance-Funktion-Charta, Compliance-Programm, Compliance-Kultur

90-Tage-Roadmap

Tag 1-30: Setup + Risiken

Compliance-Funktion benennen (intern oder extern). Compliance-Risikoanalyse — Top-20-Risiken priorisieren. Tone-from-the-Top: Geschäftsführer-Statement an alle Mitarbeitenden mit Compliance-Verpflichtung. Verantwortlichkeiten dokumentieren (RACI-Matrix).

Tag 31-60: Compliance-Programm

Compliance-Richtlinien für die Top-10-Risiken erstellen (Korruption, Kartellrecht, Datenschutz, Geldwäsche, Sanktionen je nach Geschäftsfeld). Schulungs-Plan: jährlich + bei Vertragsbeginn + bei Funktionswechsel. Whistleblower-Kanal (HinSchG-konform). Geschenke- + Einladungs-Genehmigungs-Workflow.

Tag 61-90: Audit-Vorbereitung

Internes Audit nach ISO 19011. Audit-Befunde dokumentieren + Korrekturmaßnahmen einleiten. Management-Review: Geschäftsführer überprüft das gesamte CMS-System. Zertifizierungs-Audit bei akkreditierter Stelle (TÜV Süd, DEKRA, DQS).

Kosten + Zeit

Aufschlüsselung: Beratung 8.000-20.000 € (oder interner Zeit-Aufwand), Zertifizierungs-Audit 4.000-8.000 €, Schulungs-Tool (LMS) 3.000-7.000 € jährlich. Re-Zertifizierung nach 3 Jahren mit jährlichen Überwachungs-Audits.

ISO 37301 vs. IDW PS 980

IDW PS 980 ist DE-Prüfungsstandard, ISO 37301 ist internationale Norm. ISO 37301 nutzt HLS-Struktur (kompatibel mit ISO 27001, ISO 9001) — Integration in bestehende Management-Systeme einfacher. Großkonzerne bevorzugen ISO 37301 ab 2024. Für DE-only-Mittelständler bleibt IDW PS 980 ausreichend, für international tätige Unternehmen ist ISO 37301 die richtige Wahl.

Was 2026 neu ist

• Verbandssanktionengesetz (Diskussionsstand 2026): wird voraussichtlich CMS verpflichtend für Unternehmen ab bestimmter Größe
• EU-Lieferketten-Richtlinie CSDDD verlangt Compliance-Strukturen bei Lieferanten
• KI-Compliance: ISO 42001 (KI-Management) ist 2024 erschienen, ergänzt ISO 37301
• D&O-Versicherer fragen seit 2025 standardmäßig nach CMS-Zertifizierung

Fazit

ISO 37301 ist 2026 der Compliance-Goldstandard. 90-Tage-Implementierung ist für 100-MA-KMU realistisch — aber nur mit klarer Roadmap und Geschäftsleitungs-Commitment. Wer wartet, riskiert Verlust von Großkunden, höhere D&O-Prämien und Wettbewerbs-Nachteil. Wer pragmatisch umsetzt, holt sich 50 % Strafmilderung bei OWiG § 130 und ein nachhaltiges Risiko-Management.