Das Lieferkettengesetz gilt auch 2026, wird aber weniger streng durchgesetzt als bisher. Was heute gilt, was sich geändert hat und wie das LkSG mit der CSDDD zusammenhängt.
DORA verpflichtet erfasste Finanzunternehmen, Risiken durch IKT-Drittdienstleister zu steuern und Informationen zu ihren IKT-Vertragsvereinbarungen vorzuhalten, mit erweiterten Anforderungen, wenn Anbieter kritische oder wichtige Funktionen unterstützen. NIS2 verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit der Lieferkette zu adressieren, insbesondere Risiken im Zusammenhang mit direkten Lieferanten und Dienstleistern. Die beiden Regime überschneiden sich, aber DORA ist beim Management von IKT-Drittparteirisiken deutlich konkreter.
MiCA reguliert die Zulassung und den Betrieb von Anbietern von Kryptowerte-Dienstleistungen (CASPs) in der EU, während der EU-AML-Rahmen regelt, wie diese Unternehmen Geldwäsche und Terrorismusfinanzierung verhindern. MiCA ersetzt die AML-Anforderungen nicht: Zugelassene CASPs müssen sowohl MiCA als auch die geltenden AML/CFT-Vorschriften einhalten, einschließlich Sorgfaltspflichten gegenüber Kunden, Überprüfung der wirtschaftlich Berechtigten, Sanktions- und PEP-Kontrollen, Transaktionsüberwachung und Meldung verdächtiger Aktivitäten.
Die EUDR-Compliance erfordert von KMU nicht den Kauf von Kakao über einen Händler, ein kleiner oder mittlerer Produzent kann weiterhin direkt importieren.
Das DORA-Drittparteien-Risikomanagement wird gemeinsam von Finanzunternehmen und ihren IKT-Anbietern getragen. Seit dem 17. Januar 2025 verpflichtet Artikel 13(6) Banken, Versicherer und Wertpapierfirmen dazu, Schulungen zur Sensibilisierung für IKT-Sicherheit und zur digitalen operationalen Resilienz durchzuführen und dabei gegebenenfalls ihre IKT-Anbieter einzubeziehen; Artikel 30(2)(i) schreibt zudem vor, dass jeder IKT-Vertrag festlegen muss, wie der Anbieter daran teilnimmt. Anbieter, die dies nachweisen können, sichern sich den Vertrag.
Compliance-Schulungen für Mitarbeitende funktionieren, wenn sie das Verständnis messen, nicht die Teilnahme. Trusty Compliance App verwandelt jede Richtlinie oder jedes Dokument in Minuten in ein Schulungsmodul, mit KI-generierten Fragen, Erklärungen zu jeder Antwort und einem Zertifikat nach bestandener Prüfung. So können Sie nachweisen, dass Mitarbeitende die Regeln, die das Unternehmen schützen, tatsächlich verstanden haben, und nicht nur, dass sie sich durch die Folien geklickt haben.
Mitarbeiter lesen Compliance-Richtlinien nicht, weil die Richtlinien schwer auffindbar, zu lang, in Rechtssprache verfasst und über PDFs, E-Mail-Anhänge und gemeinsame Ordner verstreut sind, nicht, weil es ihnen egal ist. Die Lösung ist nicht ein weiteres Dokument: Bringen Sie jede Richtlinie an einen zentralen Ort, der auf jedem Gerät funktioniert, stellen Sie die Regel selbst in den Vordergrund, bieten Sie Orientierung statt bloßem Text, und messen Sie, wer sie tatsächlich gelesen und verstanden hat.
Der Nachweisprüfungstest des SFO ist einfach: Eine schriftliche Anti-Betrugs-Richtlinie, zu der niemand geschult wird, die nicht überwacht wird und die keine Aufzeichnungen über ihre eigene Anwendung hinterlässt, erfüllt die Verteidigung „angemessene Verfahren“ nach Abschnitt 199 des ECCTA, der seit dem 1. September 2025 in Kraft ist, nicht. Was eine Organisation schützt, ist der Nachweis, dass das Verfahren tatsächlich läuft: Schulungsnachweise, Monitoring, Meldekanäle und dokumentierte Nachverfolgung.
Datenschutz und Compliance stützen sich auf zwei unterschiedliche Rollen. Der Compliance Officer stellt sicher, dass das Unternehmen die geltenden Gesetze einhält, und steuert Programme, die rechtliche und Reputationsrisiken senken. Der Datenschutzbeauftragte (DSB) achtet darauf, dass personenbezogene Daten im Einklang mit der DSGVO und nationalen Vorschriften verarbeitet werden. Die Aufgaben sind verschieden, aber komplementär, und müssen in Bereichen wie internen Meldekanälen abgestimmt werden.
Das moderne Geschäftsumfeld erfordert wirksame Compliance-Programme, um eine strafrechtliche Haftung zu vermeiden und eine ethische und gesetzestreue Geschäftstätigkeit zu gewährleisten. Außerdem stärkt diese Einhaltung das Image und den Ruf des Unternehmens in der Gesellschaft. Sie ist jedoch nicht ohne Herausforderungen.
Wir zeigen Ihnen, was Sie dieses Jahr zur MiCA-Compliance wissen müssen. Die Verordnung über Märkte für Krypto-Assets ist seit dem 30. Dezember 2024 in Kraft.
Das Trusty FinTech Booster Pack standardisiert die Compliance im gesamten Partnernetzwerk: ein einheitliches Richtlinienpaket, das an Händler, Agenten, Distributoren und Drittanbieter verteilt wird, Nachweise darüber, dass jeder Partner diese gelesen hat und darin geschult wurde, integrierte Sanktions- und PEP-Prüfungen sowie Echtzeit-Transparenz für das lizenzierte Institut. Es wandelt eine fragmentierte, manuelle Partnerüberwachung in ein System um, das von Aufsichtsbehörden geprüft werden kann.
Das PEP-Screening identifiziert, ob ein Kunde, Lieferant oder Geschäftspartner eine politisch exponierte Person ist: jemand, der eine herausgehobene öffentliche Position innehat oder innehatte, oder ein Familienmitglied oder eine nahestehende Person davon. Ein Namensabgleich ist nur der Anfang. Ein effektives Screening prüft die Rolle, den Grad des Einflusses, das Land und ob die Person noch im Amt ist, dokumentiert dann die Risikobewertung und wiederholt die Prüfung, wenn sich die Umstände ändern.
Die EU-Antikorruptionsrichtlinie harmonisiert Korruptionsdelikte in den Mitgliedstaaten, indem sie neben Bestechung auch Einflussnahme, Veruntreuung, Behinderung der Justiz und die Verschleierung korruptionsbezogener Vermögenswerte umfasst und die Unternehmenshaftung auf Handlungen ausweitet, die zum Vorteil eines Unternehmens begangen werden. Bußgelder können fünf Prozent des weltweiten Umsatzes erreichen, zusätzlich zum Ausschluss von öffentlichen Aufträgen. Unternehmen benötigen funktionierende Antikorruptionsrichtlinien, Schulungen und einen Meldeweg, keine Dokumente in einer Schublade.
Compliance im Richtlinienmanagement bedeutet, nachzuweisen, dass Richtlinien befolgt werden, aktuell sind und konsistent angewendet werden, nicht nur, dass sie existieren. Regulierungsbehörden schauen heute auf drei Dinge, die die meisten Organisationen nicht sichtbar machen können: ob Mitarbeiter tatsächlich auf die Richtlinien zugreifen, ob alle mit der zuletzt genehmigten Version arbeiten und ob Teams sie auf die gleiche Weise anwenden. Diese Lücken zu schließen erfordert Verteilung, Versionskontrolle und Lesebestätigung, nicht noch mehr Dokumente.
KMU können ESG-Erwartungen auch ohne Compliance-Team erfüllen, wenn sie es schlank halten: ein kurzer Verhaltenskodex, ein paar klare Richtlinien, die die Leute tatsächlich lesen, grundlegende Schulungen, ein Kanal zum Melden von Bedenken sowie ein schneller Due-Diligence-Check bei Lieferanten und Geschäftspartnern, dort liegt meist die ESG-Exponierung. Ziel ist es, reale Risiken zu reduzieren und dafür Nachweise zu liefern, nicht eine ESG-Abteilung auf Konzernniveau zu kopieren.
Die Überprüfung von Dritten für wachsende Unternehmen beantwortet vor Vertragsabschluss eine Frage: Mit wem machen wir eigentlich wirklich Geschäfte? In der Praxis prüft sie drei Signale: ob die Gegenpartei auf einer Sanktionsliste erscheint, ob es sich bei einer Person um eine politisch exponierte Person handelt und ob belastbare negative Medienberichte auf Betrug, Korruption oder anderes Fehlverhalten hindeuten. Konsequent, verhältnismäßig und mit Dokumentation durchgeführt, ist sie ein grundlegender Bestandteil des Managements von Geschäftsrisiken, nicht nur eine Übung für Banken.
Sanktions-Compliance für KMU ist 2026 nicht mehr optional. Die Richtlinie 2024/1226 macht schwerwiegende Sanktionsverstöße in der gesamten EU zu Straftaten, legt Mindeststrafen fest und erweitert die Haftung auf Unternehmen, sodass die Durchsetzung nun auch kleine Firmen erreicht, die international handeln, exportieren oder beschaffen. Was KMU brauchen, ist ein klarer, wiederholbarer Prozess: Jede Gegenpartei gegen Sanktionslisten prüfen, das Ergebnis dokumentieren und Änderungen im Zeitverlauf überwachen.
Compliance-Schulungen am Arbeitsplatz für KMU scheitern oft nicht an mangelndem Einsatz, sondern daran, dass sie in Form von allgemeinen PDFs, langen Foliensätzen oder aufgezeichneten Sitzungen vermittelt werden, deren Erhalt die Mitarbeiter bestätigen, ohne die Inhalte zu verinnerlichen, wobei zudem die Überprüfung des Verständnisses fehlt. Effektive Schulungen im Jahr 2026 zeichnen sich dadurch aus, dass sie kurz und praxisnah sind, sich in den Arbeitsalltag integrieren lassen und einen Nachweis über das Verständnis erbringen, den das Unternehmen bei Bedarf vorlegen kann.
Die Lieferketten-Compliance für KMU wird sich im Jahr 2026 grundlegend ändern, da EU-Vorschriften nun über das regulierte Unternehmen hinaus bis zu dessen Zulieferern reichen: Informationsanfragen zu Beschaffung, Eigentumsverhältnissen und Risiken kommen von Kunden und Partnern statt von Regulierungsbehörden und gehen häufiger sowie strukturierter ein. KMU benötigen kein großes Team, aber einen klaren Prozess, um zu wissen, mit wem sie zusammenarbeiten, Informationen einmalig zu erfassen und jede Anfrage daraus zu beantworten.
KMU können die NIS2-Anforderungen für den Umgang mit Schwachstellen durch einen einfachen, strukturierten Meldeprozess erfüllen: ein Kanal, über den Mitarbeiter, Lieferanten und Forscher eine Sicherheitslücke melden können, eine vertrauliche Bearbeitung, ein definierter Verantwortlicher, der diese bewertet und behebt, sowie eine Dokumentation der getroffenen Maßnahmen. Ein Whistleblowing-System bietet diesen Workflow bereits, sodass derselbe Kanal für beide Regelungsbereiche genutzt werden kann.
UNI/PdR 125:2022 ist die italienische Norm für die Zertifizierung der Geschlechtergleichstellung. Sie bewertet ein Unternehmen anhand von KPIs in sechs Bereichen, Kultur und Strategie, Governance, HR-Prozesse, Karrierechancen für Frauen, geschlechtsspezifische Lohngleichheit und Work-Life-Balance, und vergibt bei Erreichen des Schwellenwerts eine formale Zertifizierung. Für KMU kann dies einen Vorteil bei öffentlichen Ausschreibungen, mögliche steuerliche Vorteile und ein stärkeres ESG-Profil bedeuten, und es erfordert einen vertraulichen Kanal, um Diskriminierung zu melden.
Globale Lieferketten verändern sich. Sie werden gleichzeitig fragiler, transparenter und stärker reguliert. Geopolitische Spannungen verändern Handelsbeziehungen. Klimastörungen beeinträchtigen Produktion und Logistik. Vorschriften entwickeln sich regional
Die letzte Meile der Compliance ist die Lücke zwischen dem Schreiben einer Richtlinie und ihrer Ankunft bei den Menschen, die täglich Entscheidungen treffen. Die meisten Compliance-Verstöße entstehen genau dort: Die Richtlinie existiert, aber die Mitarbeitenden sehen sie nie, finden sie nicht oder verstehen sie nicht. Die Lücke schließt, wer Richtlinien digital auf jedes Gerät verteilt, die Lektüre bestätigen lässt und misst, wer sich mit ihnen befasst.
Whistleblowing-Schulung und ein Whistleblowing-Protokoll sind die zwei Säulen eines gesunden, ethischen Arbeitsplatzes. Das Protokoll legt fest, wie der interne Kanal betrieben wird: Vertraulichkeit für die hinweisgebende Person, ein Verfahren zur Entgegennahme und Bearbeitung von Meldungen sowie Sanktionen, wenn ein Fehlverhalten bestätigt wird. Die Schulung stellt sicher, dass die Mitarbeitenden wissen, dass der Kanal existiert, ihm vertrauen und verstehen, was gemeldet werden soll, damit Probleme frühzeitig erkannt werden, statt sich zu verschärfen.
Die Richtlinie (EU) 2024/1226 verpflichtet alle Mitgliedstaaten, schwere Verstöße gegen EU-Sanktionen und deren Umgehung unter Strafe zu stellen, harmonisiert die Definitionen dieser Straftaten und legt Mindeststrafen fest, einschließlich der Haftung von Unternehmen. Für KMU, die grenzüberschreitend handeln oder einkaufen, wird die Sanktionslistenprüfung von Kunden, Lieferanten und Partnern damit von einer Praxis großer Konzerne zu einer grundlegenden, verhältnismäßigen Unternehmenskontrolle mit klarer Dokumentation.
Für KMU ist die Prüfung von Geschäftspartnern nicht mehr optional.
Sie benötigen keine eigene Compliance-Abteilung. Aber Sie benötigen einen nachvollziehbaren und strukturierten Prozess.
Venture-Capital-Fonds kalkulieren Produkt-, Markt- und Gründerrisiken sorgfältig ein, lassen Portfolio-Compliance jedoch unbepreist. Das Versäumnis, einen Verhaltenskodex, Schulungen und einen Whistleblowing-Kanal in den Portfoliounternehmen verbindlich vorzuschreiben, ist ein treuhänderisches Risiko: Aufsichtsbehörden wenden zunehmend „failure to prevent“-Standards auf Systeme und Nachweise an, Governance-Fehler bringen Exits und Bewertungen aus dem Takt, und ohne Richtlinien und Dokumentation gibt es nichts, womit man sich verteidigen kann. Die Lösung ist ein schlanker, portfolioweiter Governance-Mindeststandard.
Anleitung Implementierung eines Compliance-Programms in einem kleinen Unternehmen Die regulatorischen Erwartungen an kleine Unternehmen steigen, insbesondere in den Bereichen interne Meldewege, Datenschutz und Governance. Gesetze
Die ECCTA-Straftat „Versäumnis zur Betrugsprävention“ gilt für große Organisationen, erreicht aber KMU über deren Verträge. Da die einzige gesetzliche Verteidigung im Nachweis angemessener Verfahren besteht, verlangen britische Unternehmen von Lieferanten nun den Nachweis von Anti-Betrugsschulungen, Whistleblowing-Regelungen, Prüfrechten und Kündigungsklauseln. Kleinere Lieferanten werden in der Praxis gebunden, nicht durch das Gesetz selbst.
Die Skalierung Ihres Unternehmens sollte nicht Ihre Haftung skalieren. Wachstum bringt Mitarbeiter, Partner, Systeme und Entscheidungsebenen mit sich, doch die informelle Compliance, die bei 20 Personen funktionierte, bricht bei 200 Personen zusammen: Richtlinien verbleiben in PDF-Dateien, niemand kann nachweisen, wer was gelesen hat, und die von Aufsichtsbehörden oder Versicherern geforderten Belege existieren nicht. Unternehmen, die sicher skalieren, betreiben Compliance als System: verteilte Richtlinien, nachverfolgte Schulungen und eine lückenlos dokumentierte Due-Diligence-Prüfung.
Im Lieferkettenmanagement bedeutet Verhältnismäßigkeit, die Sorgfaltspflicht auf die größten und strategisch wichtigsten Lieferanten zu konzentrieren, was jedoch nicht bedeutet, dass kleinere Lieferanten ignoriert werden dürfen. Kleine Lieferanten bergen versteckte Risiken in den Bereichen Compliance, Kontinuität und Reputation, bringen aber gleichzeitig Flexibilität, Spezialisierung und Innovation ein. Eine ausgewogene Strategie sieht vor, dass jeder Lieferant auf einer Basisebene überprüft wird und die Intensität der Prüfung mit dem Risiko skaliert, nicht mit der Unternehmensgröße.
Lieferkettenethik ist jetzt mit gesetzlichen Anforderungen verbunden. Die vom Europäischen Parlament am 24. April 2024 verabschiedete Richtlinie über die Sorgfaltspflichten von Unternehmen im Bereich der Nachhaltigkeit (CSDDD) macht große Unternehmen dafür verantwortlich, Menschenrechts- und Umweltschäden in ihren Wertschöpfungsketten zu identifizieren, zu verhindern und zu beheben. Diese Pflicht erstreckt sich über Verträge und Fragebögen auch auf ihre Lieferanten. Unternehmen, die ihre Kette abbilden und Lieferantenprüfungen dokumentieren, erfüllen die Anforderungen und verschaffen sich einen Wettbewerbsvorteil.
Der Hauptsitz von Trusty AG liegt in Zug, Schweiz – einer malerischen Stadt am See, umgeben von Bergen. Touristen strömen hierher, um Bootsfahrten auf dem
Sie suchen eine EUDR-Compliance-Software? Zum EUDR Passport, der EUDR-Compliance-Plattform von Trusty. Die EUDR-Compliance wird für große und mittelständische Unternehmen ab dem 30. Dezember 2026 und
Mitarbeiterschulungen zur Compliance funktionieren, wenn jede Richtlinie zu einem kurzen, personalisierten Modul wird, das die Mitarbeiter auf jedem Gerät in ihrer eigenen Sprache absolvieren können, mit Fragen und Erklärungen zur Überprüfung des Verständnisses sowie einer Aufzeichnung darüber, wer bestanden hat und wann. Trusty Compliance App ermöglicht genau das mithilfe von KI: Richtlinie hochladen, Modul erhalten, Abschluss und Zertifizierung in Echtzeit verfolgen und über die Nachweise verfügen, die Prüfer und Kunden verlangen.
Das PEP- und Sanktionsscreening ermöglicht es Ihnen, Drittparteien vor Vertragsunterzeichnung zu bewerten und danach kontinuierlich zu überprüfen: Screenen Sie Lieferanten, Zulieferer und Partner anhand von Sanktions- und PEP-Listen sowie negativen Medienberichten, dokumentieren Sie die Ergebnisse und überprüfen Sie diese erneut, wenn sich Listen ändern. Trusty QuickScreen360 führt diese Prüfungen mit kontinuierlicher Überwachung, anpassbaren Kontrollen und weniger Fehlalarmen durch, sodass die Risikoentscheidung auf aktuellen Nachweisen basiert.
Proaktives Management von Lieferantenrisiken bedeutet, vor einem Vorfall zu handeln, nicht danach: Lieferanten nach Kategorie und Kritikalität kartieren, damit der Überwachungsaufwand dem Risiko entspricht, jeden Lieferanten vor, während und nach der Beziehung bewerten, auf Sanktionen, Eigentümerstrukturen und Reputationsrisiken prüfen und eine dokumentierte Nachverfolgbarkeit sicherstellen. Lieferantenrisiken lassen sich nicht vollständig eliminieren, aber ein strukturierter, wiederholbarer Prozess hält sie sichtbar und beherrschbar.
Ein strukturierter Prozess zur Sorgfaltspflicht gegenüber Lieferanten schützt die Lieferkette, indem er Partner über Preis und Lieferung hinaus prüft: Legen Sie klare Kriterien fest, die an Ihren ESG- und Compliance-Prioritäten ausgerichtet sind, führen Sie eine strukturierte Bewertung mit Fragebögen, Dokumentenprüfungen sowie Screenings durch und halten Sie die Bewertung aktuell, da sich Lieferanten und Sanktionslisten ändern können. Prävention bedeutet Schutz: Ein dokumentierter Prozess ist genau das, was Regulierungsbehörden, Kunden und Auditoren heutzutage fordern.
Die Fälle Apple und John Deere zeigen, dass Compliance in der Lieferkette nicht bei der Muttergesellschaft endet. Beide mussten sich öffentlich für Mineralien aus Konfliktgebieten wie der Demokratischen Republik Kongo verantworten. Die Lehre gilt für jedes Unternehmen: wissen, woher Materialien stammen, Lieferanten auf jeder Stufe der Kette prüfen und überwachen und alles dokumentieren, denn der Reputationsschaden trifft die Marke, nicht den Unterlieferanten.
Lieferkettenrisiken enden nicht bei den strategischen Lieferanten. Wer nur die größten Partner überwacht, hinterlässt blinde Flecken bei den Hunderten kleineren Zulieferern, Subunternehmern und einmaligen Lieferanten, bei denen sich Sanktionsrisiken, Betrug sowie arbeits- und umweltrechtliche Probleme häufig verbergen. Risikomanagement über die gesamte Kette hinweg bedeutet eine Basisprüfung jedes Lieferanten, eine vertiefte Untersuchung dort, wo das Risikoprofil dies rechtfertigt, und eine kontinuierliche Überwachung anstelle einer einmaligen Prüfung beim Onboarding.
Eine Software für die Sorgfaltspflicht in der Lieferkette sollte neun wesentliche Funktionen erfüllen: die Datenerfassung von Lieferanten automatisieren, auf Ihre Branche und geltende Vorschriften zugeschnittene Risikobewertungen durchführen, Nachweise mit vollständiger Rückverfolgbarkeit speichern, eine kontinuierliche Überwachung mit entsprechenden Warnmeldungen gewährleisten, sich in bereits genutzte Systeme integrieren lassen, bei wachsender Lieferantenbasis skalierbar bleiben, Berichte in Echtzeit über Dashboards bereitstellen, fortlaufenden Support und Updates bieten sowie über verschiedene Sprachen und Regulierungsregime hinweg funktionieren. Jede geringere Funktionalität führt unweigerlich wieder zu manuellem Arbeitsaufwand.
Das Lieferkettensorgfaltspflichtengesetz (LkSG), das deutsche Gesetz über die Sorgfaltspflichten von Unternehmen in Lieferketten vom Juli 2021, erfasst direkte Zulieferer über Abschnitt 6, Absatz 4: Unternehmen müssen Lieferanten anhand von Menschenrechts- und Umweltkriterien auswählen, nicht allein nach dem Preis –, vertragliche Verpflichtungen sichern, die entlang der Kette weitergegeben werden, Lieferanten schulen und die Einhaltung durch risikobasierte Kontrollen überprüfen. Die praktische Schwierigkeit besteht darin, Hunderte von Lieferanten kontinuierlich zu überwachen, hier kommen strukturierte Prüfverfahren und Dokumentation ins Spiel.
Lieferketten sind zu einer Schlüsselkomponente für den Erfolg jedes Unternehmens geworden. Ihre Komplexität bringt jedoch auch erhebliche Risiken mit sich, die sich auf alles auswirken
Portugals Allgemeines System zur Korruptionsprävention (RGPC), Gesetzesdekret 109-E/2021, gilt für öffentliche Einrichtungen und private Unternehmen mit 50 oder mehr Mitarbeitern, einschließlich lokaler Niederlassungen ausländischer Unternehmen. Es erfordert einen Plan zur Korruptionsrisikoprävention, einen Verhaltenskodex, einen vertraulichen Hinweisgeberkanal gemäß Gesetz 93/2021 und obligatorische Schulungen für Führungskräfte und Mitarbeiter, wobei Sanktionen bei Nichteinhaltung von MENAC überwacht werden.
Compliance 2.0 beginnt bei Dritten, weil dort heute das Risiko liegt: 62 % der Datenpannen entstehen über externe Dienstleister, mehr als 80 % der Unternehmen teilen sensible Daten mit ihnen, und 98 % sind mit mindestens einem Lieferanten verbunden, der in den letzten zwei Jahren eine Sicherheitsverletzung erlitten hat, so der Data Breach Investigations Report von Verizon. Compliance- und Sicherheitskontrollen auf Lieferanten, Partner und Anbieter auszuweiten ist der Kern des Ansatzes.
Die Richtlinie über die Sorgfaltspflichten von Unternehmen im Bereich der Nachhaltigkeit (Richtlinie (EU) 2024/1760, CSDDD) verpflichtet Unternehmen, die in den Anwendungsbereich fallen, einen Informationskanal zu betreiben, über den Mitarbeiter, Lieferanten und andere Stakeholder Menschenrechts- und Umweltrisiken sowie Verstöße melden können. Der Kanal muss für alle Stakeholder zugänglich und vertraulich sein, vor Repressalien schützen und eine entsprechende Nachverfolgung gewährleisten, weshalb sich ein bestehender Hinweisgeberkanal als natürliche Grundlage für dessen Aufbau anbietet.
Die General Compliance Program Guidance 2023 des OIG gibt US-amerikanischen Gesundheits-KMU einen Leitfaden an die Hand: verstehen, was die Guidance von einem wirksamen Programm erwartet, es auf die Größe und das Risiko des Unternehmens zuschneiden, Risiken fortlaufend bewerten und überwachen, Standards konsequent durchsetzen, schnell auf Probleme reagieren und eine Kultur aufbauen, in der Compliance Aufgabe aller ist. Schriftliche Richtlinien, Schulungen und ein Meldekanal bilden den praktischen Kern aller sechs Schritte.