Read the book: «Einrichtung von Compliance Management Systemen (CMS) im Krankenhaus»
Die Autoren
Dr. Christian Corell, Syndikusrechtsanwalt, leitet seit März 2018 die unmittelbar an die Klinikleitung angebundene Stabsstelle »Compliance und Recht« des Klinikums der Stadt Ludwigshafen am Rhein.
Zuvor war er innerhalb seiner Kernkompetenz in Wirtschaftsstrafrecht und Compliance in leitender Position eines Dax-Konzerns eingesetzt, als Rechtsanwalt einer renommierten Münchener Strafverteidigungskanzlei beschäftigt sowie als Assistent und akademischer Rat an den Universitäten Mainz und Freiburg in Forschung und Lehre tätig.
Christoph Naucke, Betriebswirt (Berufsakademie), Bankkaufmann, Compliance Officer (TÜV), Consultant mit Schwerpunkt Assurance und GRC im Bereich Non-Profit-Organisationen, ist seit 2014 als Associate Partner bei Rödl & Partner in der Beratung von Non-Profit-Unternehmen tätig. Er war in seiner Laufbahn u. a. in leitender Position bei einem Versicherungsunternehmen beschäftigt sowie selbstständig tätig. Die Schwerpunktthemen seiner Beratungstätigkeit bei Rödl & Partner sind Assurance und GRC (Governance/Risk/Compliance) im Bereich der der Non-Profit-Unternehmen, insbesondere in der Gesundheitswirtschaft (Krankenkassen, Klinika, komplexe Sozialunternehmen). In dieser Funktion unterstützt er regelmäßig Klinika bei der Einrichtung ihres Compliance Managements und führt Angemessenheits- und Wirksamkeitsprüfungen von Compliance Management Systemen nach dem Prüfungsstandard 980 des IDW bei solchen Unternehmen durch.
Christian Corell Christoph Naucke
Dieses Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwendung außerhalb der engen Grenzen des Urheberrechts ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und für die Einspeicherung und Verarbeitung in elektronischen Systemen.
Pharmakologische Daten verändern sich ständig. Verlag und Autoren tragen dafür Sorge, dass alle gemachten Angaben dem derzeitigen Wissensstand entsprechen. Eine Haftung hierfür kann jedoch nicht übernommen werden. Es empfiehlt sich, die Angaben anhand des Beipackzettels und der entsprechenden Fachinformationen zu überprüfen. Aufgrund der Auswahl häufig angewendeter Arzneimittel besteht kein Anspruch auf Vollständigkeit.
Die Wiedergabe von Warenbezeichnungen, Handelsnamen und sonstigen Kennzeichen berechtigt nicht zu der Annahme, dass diese frei benutzt werden dürfen. Vielmehr kann es sich auch dann um eingetragene Warenzeichen oder sonstige geschützte Kennzeichen handeln, wenn sie nicht eigens als solche gekennzeichnet sind.
Es konnten nicht alle Rechtsinhaber von Abbildungen ermittelt werden. Sollte dem Verlag gegenüber der Nachweis der Rechtsinhaberschaft geführt werden, wird das branchenübliche Honorar nachträglich gezahlt.
Dieses Werk enthält Hinweise/Links zu externen Websites Dritter, auf deren Inhalt der Verlag keinen Einfluss hat und die der Haftung der jeweiligen Seitenanbieter oder -betreiber unterliegen. Zum Zeitpunkt der Verlinkung wurden die externen Websites auf mögliche Rechtsverstöße überprüft und dabei keine Rechtsverletzung festgestellt. Ohne konkrete Hinweise auf eine solche Rechtsverletzung ist eine permanente inhaltliche Kontrolle der verlinkten Seiten nicht zumutbar. Sollten jedoch Rechtsverletzungen bekannt werden, werden die betroffenen externen Links soweit möglich unverzüglich entfernt.
1. Auflage 2020
Alle Rechte vorbehalten
© W. Kohlhammer GmbH, Stuttgart
Gesamtherstellung: W. Kohlhammer GmbH, Stuttgart
Print:
ISBN 978-3-17-038028-8
E-Book-Formate:
pdf: ISBN 978-3-17-038029-5
epub: ISBN 978-3-17-038030-1
mobi: ISBN 978-3-17-038031-8
Vorwort
Der Deutsche Corporate Governance Kodex (DCGK) definiert Compliance als eine auf der Geschäftsleitungsebene liegende Verantwortung für die Einhaltung gesetzlicher Bestimmungen und unternehmensinterner Richtlinien. Die unternehmensinterne Struktur zur Gewährleistung dieser Regelkonformität wird Compliance Management System, abgekürzt CMS, genannt.
Das Bewusstsein für die Notwendigkeit eines funktionierenden CMS ist mittlerweile auch in den Geschäftsführungen und Vorständen der Krankenhausunternehmen angekommen. Deren gesetzliche Vertreter sind für geeignete Maßnahmen zur Gewährleitung rechtskonformen Verhaltens der Organisation verantwortlich. Im Versagensfalle kommen sonst nämlich der Verdacht eines sogenannten Organisationsverschuldens und das Folgerisiko persönlicher Haftung auf. Der aktuell vorliegende Entwurf eines Verbandssanktionengesetzes und damit eines »Strafrechts für Unternehmen« zeigt, dass die Politik den Druck auf Unternehmen und Organisationen, rechtskonformes Verhalten gewährleisten zu können, weiter erhöht.
Wie lässt sich aber in Krankenhäusern, unabhängig von individueller Größe, ein praxisgerechtes und geeignetes CMS aufbauen? Worauf ist zu achten? Wie gelingt die Balance zwischen Wirtschaftlichkeit und Wirksamkeit? In der insgesamt umfangreichen Fachliteratur zum Thema Compliance sind gerade diese Fragen bislang nur lückenhaft beantwortet. Die Autoren möchten deshalb mit dem vorliegenden Buch einen Beitrag zur Schließung dieser Lücken liefern.
Als Standard für die Prüfung von Compliance Management Systemen hat sich in Deutschland der Prüfungsstandard 980 des Instituts der Wirtschaftsprüfer (IDW) etabliert. Dieser ermöglicht u. a. den Transfer von der abstrakten Wirkungsanforderung an ein CMS hin zu den daraus abgeleiteten, notwendigen Grundelementen eines CMS. Da ein Prüfbericht nach PS 980 wertvolle Anhaltspunkte für rechtskonformes Verhalten Verantwortlicher bietet, streben inzwischen viele Krankenhäuser eine solche Prüfung an.
Daher lag es nahe, dieses Praxishandbuch entlang der im PS 980 definierten CMS-Grundelemente aufzubauen. Diese sind:
1. Die Compliance-Kultur
2. Die Compliance Ziele
3. Die Compliance-Risiken
4. Die Compliance-Organisation
5. Das Compliance-Programm
6. Die Compliance-Kommunikation
7. Die Compliance-Überwachung und Verbesserung
Die Autoren bedanken sich bei zahlreichen Kolleginnen und Kollegen für ihre wertvolle Mitwirkung und Unterstützung. Christoph Naucke dankt insbesondere Herrn Bernd Vogel, Herrn Roland Schneider und Herrn Tino Schwabe aus dem Bereich Gesundheitswirtschaft bei Rödl & Partner, Christian Corell möchte dem Geschäftsführer des Klinikums der Stadt Ludwigshafen am Rhein, Herrn Hans-Friedrich Günther, und seinem früheren Chef und Mentor, dem langjährigen Chief Compliance Officer der Allianz Deutschland AG, Herrn Bernd Hoffmann, ganz besonders danken. Ohne die Genannten wäre dieses Werk nicht entstanden.
Dr. Christian Corell
Christoph Naucke
Ludwigshafen am Rhein, im August 2020
Hersbruck, im August 2020
Inhalt
1 Vorwort
2 1 Einleitung
3 2 Wirksames Compliance Management als Instrument zur Haftungsvermeidung
4 2.1 Haftungsrisiken
5 2.1.1 Strafrechtliche Risiken
6 2.1.2 Zivilrechtliche Haftungsrisiken
7 2.2 Reduzierung von Haftungsrisiken durch ein wirksames CMS
8 3 Teilschritte zur CMS-Einführung
9 4 Compliance-Kultur
10 4.1 Tone at the top und tone from the top
11 4.1.1 Vorbildfunktion des Managements
12 4.1.2 Compliance-Bekenntnis der Klinikleitung
13 4.2 Tone at the middle und tone from the middle
14 4.3 Klinikweiter Verhaltenskodex
15 4.3.1 Formale Gesichtspunkte
16 4.3.2 Inhalt
17 4.4 Messung des Compliance-Kultur-Index
18 5 Compliance-Ziele
19 5.1 Inhalt und Bedeutung der Compliance-Ziele
20 5.1.1 Compliance-Ziele als Grundlage für Transparenz und Monitoring
21 5.1.2 Compliance-Ziele als Grundlage für Ermittlung von Compliance-Risiken
22 5.2 Relevante Rechtsgebiete für das CMS eines Krankenhauses
23 5.2.1 Allgemeines Wirtschafts- und Unternehmensrecht
24 5.2.2 Leistungserbringungsrecht des Krankenhauses
25 5.2.3 Steuerrecht
26 5.2.4 Arbeits- und Sozialrecht
27 5.2.5 Fraud & Corruption
28 5.2.6 Recht der juristischen Personen des öffentlichen Rechts
29 5.2.7 Assurance & IT
30 5.3 Besondere Compliance-Ziele mit Bezug zum Krankenhausträger
31 6 Compliance-Risiken
32 6.1 Begrifflichkeiten des Compliance-Risikomanagements
33 6.1.1 Risikodefinition
34 6.1.2 Abgrenzung von Compliance-Risiken
35 6.1.3 Compliance-Risiken als Teil des Risikoportfolios im Krankenhaus
36 6.1.4 Abgrenzung zu Beratungsanfragen und zu Compliance-Verstößen
37 6.1.5 Brutto- und Netto-Risiko
38 6.2 Rollenverteilung im Compliance-Risikomanagement
39 6.3 Risikozyklus
40 6.4 Risikoinventur
41 6.4.1 Risikoidentifikation
42 6.4.2 Merkmale eines Risikoeintrags
43 6.4.3 Risikoermittlung im Risikoworkshop
44 6.4.4 Weitere Methoden der Risikoinventur
45 6.4.5 Analytische Ergänzung der assoziativen Risikoermittlung
46 6.4.6 Aufstellung des Risikoportfolios
47 6.5 Risikobewertung
48 6.5.1 Risikowert aus Eintrittswahrscheinlichkeit und Schadenspotenzial
49 6.5.2 Eintrittswahrscheinlichkeit
50 6.5.3 Schadenspotenzial
51 6.6 Risikobewältigung
52 6.7 Risikodokumentation
53 7 Compliance-Programm
54 7.1 Prävention
55 7.1.1 Compliance-Kultur
56 7.1.2 Schulungen
57 7.1.3 Risikomaßnahmen
58 7.1.4 Richtlinien und Regeln
59 7.1.5 Organisatorische Präventionsmaßnahmen
60 7.1.6 Anreizsysteme
61 7.1.7 Anfrage-/Beratungsverfahren
62 7.1.8 Kontrollen
63 7.2 Detektion
64 7.2.1 Hinweise auf mögliche Verstöße
65 7.2.2 Aufklärung von Sachverhalten
66 7.3 Reaktion
67 7.3.1 Sanktionierung
68 7.3.2 Compliance-Überwachung und -Verbesserung
69 8 Compliance-Organisation
70 8.1 Compliance als Teil jeder Führungsverantwortung
71 8.2 Aufbau- und Ablauforganisation des CMS
72 8.2.1 Aufbauorganisation: Organisationseinheit Compliance Management
73 8.2.2 Organisationselemente des CMS außerhalb der Organisationseinheit Compliance
74 8.2.3 Ablauforganisation
75 8.3 Notwendige Ressourcen
76 8.3.1 Größenordnung des Krankenhauses als Basiskriterium
77 8.3.2 Besondere Einflussfaktoren
78 9 Compliance-Kommunikation
79 9.1 Fortlaufende interne Kommunikation über Compliance
80 9.1.1 Zielsetzung
81 9.1.2 Orientierung an der Zielgruppe
82 9.1.3 Kommunikationskonzept
83 9.1.4 Erreichbarkeit und Transparenz der Compliance-Abteilung
84 9.2 Compliance-Schulungen
85 9.3 Externe Compliance-Kommunikation
86 9.4 Compliance-Berichterstattung
87 9.4.1 Anlassbezogene Berichterstattung
88 9.4.2 Berichterstattung zu vordefinierten Terminen
89 10 Compliance-Überwachung und -Verbesserung
90 10.1 Dokumentation – CMS-Beschreibung
91 10.2 Selbstoptimierung des CMS
92 10.3 Überwachung des CMS
93 10.4 Durchsetzung des CMS und Mängelbeseitigung
94 11 Fazit
95 Anhang
96 Stichwortverzeichnis
97 Abbildungs- und Tabellenverzeichnis
1 Einleitung
Die Verwendung des Begriffs »Compliance« ist in der Medizin im Sinne der Therapietreue seit Langem etabliert. Da die Herausforderung, sich tatsächlich regelkonform zu verhalten, mit der Größe, Komplexität und Entwicklungsgeschwindigkeit der Unternehmen stark angestiegen ist, hat sich analog dazu in der Unternehmensführung die Disziplin und mit ihr auch der Begriff der Compliance entwickelt.
Die Einrichtung einer Compliance-Organisation in mittleren und größeren Unternehmen der Privatwirtschaft, wie beispielsweise in Pharmaunternehmen, ist inzwischen nahezu selbstverständlich geworden. Dazu hat auch der Deutsche Corporate Governance Kodex beigetragen. Er fordert u. a. die Einrichtung eines Compliance Management Systems (CMS) durch den Vorstand sowie die Befassung des Aufsichtsrats mit der Compliance-Struktur des Unternehmens. Er entfaltet eine Abstrahlwirkung auch auf nicht börsennotierte Unternehmen, und wichtige Themen – wie beispielsweise die Forderung nach einem CMS – sind in diversen Public Corporate Governance Kodizes Teil der Anforderungen geworden, welche die öffentliche Hand an Organisationen mit staatlicher Beteiligung stellt.
Dennoch stehen viele Krankenhäuser bei der Frage nach der Ausgestaltung eines risikoadäquaten CMS weitgehend am Anfang. Viele setzen sich intensiv damit auseinander, welche Strukturen für regelkonformes Verhalten in der Organisation geschaffen werden sollten, um das Risiko für Compliance-Verstöße zu reduzieren und die Wahrscheinlichkeit zu erhöhen, dass ein dennoch stattfindender Compliance-Verstoß tatsächlich entdeckt wird.
Die finanziellen und strukturellen Möglichkeiten von Kliniken zur Einführung eines CMS unterliegen allerdings engen Grenzen. Die Compliance-Organisation muss nicht selten mit knappen Mitteln einer Stabsstelle miterledigt werden, die ihrerseits noch weitere Aufgaben erfüllt. Die mit Compliance-Aufgaben betrauten Mitarbeiter betreten zudem häufig inhaltliches Neuland.
Das Institut der Wirtschaftsprüfer (IDW) als berufsständische Organisation der deutschen Wirtschaftsprüfer hat schon im Jahr 2011 mit dem Prüfungsstandard 980 ein Rahmenwerk geschaffen, um die Berufsauffassung der Wirtschaftsprüfer zur Prüfung von Compliance Management Systemen festzulegen und zu dokumentieren. Es hat damit zugleich ein gewisses Vakuum in der Frage der konkreten Ausgestaltung eines CMS gefüllt. Durch die Konkretisierung der Anforderungen an ein risikoadäquates CMS in Form von sieben Grundelement ist neben einer konkreten Grundlage für CMS-Prüfungen auch ein nützliches Gerüst zur Strukturierung und Priorisierung der Ausgestaltung eines CMS entstanden.
Es zählt zu den unvermeidlichen Schwierigkeiten bei seiner Gestaltung, dass Angemessenheit und praxisorientierte Umsetzbarkeit sehr stark von der Branche, vom Geschäftsmodell und vor allem von der Größe eines Unternehmens abhängig sind. Daher wird mit diesem Buch der Versuch unternommen, die grundsätzlich formulierten Anforderungen zu den sieben Grundelementen eines CMS im Sinne des IDW PS 980 auf die rechtlichen, organisatorischen und finanziellen Rahmenbedingungen eines Krankenhauses zu projizieren. Auf diese Weise möchte dieses Buch eine Praxisunterstützung für Geschäftsführer1 und Mitarbeiter von Krankenhäusern bei der Einrichtung eines CMS bieten. Die Erfahrungen der Autoren in diesem Prozess – einerseits aus der Innensicht des Krankenhauses, andererseits aus der prüferischen Außenperspektive – sollen so für Krankenhäuser nutzbar gemacht werden.
1 Zugunsten einer lesefreundlichen Darstellung wird in der Regel die neutrale bzw. männliche Form verwendet. Diese gilt für alle Geschlechtsformen (weiblich, männlich, divers).
2 Wirksames Compliance Management als Instrument zur Haftungsvermeidung
Trotz sorgfältiger Risikomaßnahmen kann es im Klinikum zu gravierenden Rechtsverstößen kommen. Zu den Auswirkungen solcher Compliance-Verstöße gehören neben Reputationsgefahren und den damit verbunden wirtschaftlichen Folgen v. a. zivil- und strafrechtliche Haftungsrisiken. Zahlreiche Beispiele für typische Verstoßrisiken aus der Praxis sind in Anhang 3: Hauptbeispiele für Risiko-Konstellationen zusammengestellt. Daher zählt das Ziel der Begrenzung der mit solchen Verstößen verbundenen persönlichen Risiken der Geschäftsleiter zu den naheliegenden Motiven bei der Einführung eines CMS. Diese grundsätzlich vorhandenen Risiken sind sowohl straf- als auch zivilrechtlicher Natur.
2.1 Haftungsrisiken
Compliance Management Systeme dienen der Enthaftung bei Regelverstößen, genau deshalb werden sie eingeführt. Folglich profitieren insbesondere diejenigen von dem CMS, die für solche Verstöße haften, also Unternehmen und deren Leitungsorgane.
Dieser große Themenkreis sprengt allerdings den Zuschnitt des Buches und bietet Raum für weitere Werke, weshalb hier nur ein thematischer Anriss erfolgt.
2.1.1 Strafrechtliche Risiken
Bei Compliance-Verstößen in einem Klinikum handelt es sich in zahlreichen Fällen um strafbewehrte Rechtsverstöße. Auch wenn die betreffende Tat aus der Klinik heraus begangen wird, kommt nach derzeit geltendem Recht ausschließlich eine natürliche Person, jedoch keine juristische Person als Straftäter in Betracht.
Bei Redaktionsschluss dieses Buches lag der Referentenentwurf eines Verbandssanktionengesetzes vor, mit dem das im Volksmund sogenannte »Unternehmensstrafrecht« in Deutschland eingeführt werden soll. Damit würde dieser Grundsatz weiter aufgeweicht, der Begriff »Strafe« jedoch vermieden. Der Verbandsbegriff im derzeitigen Gesetzentwurf umfasst alle Arten von juristischen Personen, also auch Vereine, Verbände im engeren Sinne sowie juristische Personen des öffentlichen Rechts. Dazu würden also auch Krankenhäuser, unabhängig von Rechtsform und Trägerschaft, gehören. Auf der Ebene der Sanktionen sind in dem Entwurf die Option der »Verbandsauflösung« enthalten sowie ein öffentliches Verbandssanktionenregister. Bei der Höhe der Verbandssanktion wirken sich Vorkehrungen zur Vermeidung von Verbandstaten, die das Unternehmen im Vorhinein getroffen hat, also insbesondere die nachweisbare Einführung eines wirksamen CMS, zu Gunsten des Unternehmens auf die Bemessung der Geldsanktion aus.
Kernstrafrechtliche Haftungsrisiken bestehen hingegen für die unmittelbar Straftatbegehenden, also denjenigen Mitarbeiter, der persönlich regelwidrig gehandelt hat (z. B. durch Bestechlichkeit und Bestechung) und die nach den Grundsätzen der Beteiligungslehre Mitwirkenden (§§ 25 ff. StGB). Insbesondere durch die strafrechtlichen Zurechnungsmodelle der Mittäterschaft, mittelbaren Täterschaft, Anstiftung und Teilnahme sowie durch das weite Feld der Unterlassungsdelikte mit entsprechender Garantenstellung kraft vertraglich, gesetzlich oder aufgrund von pflichtwidrigem Vorverhalten übernommener Verpflichtung, erfasst der Kreis der Verantwortlichen leicht auch gesetzliche Vertreter, also Vorstand bzw. Geschäftsführer, und weitere Leitungsebenen.
Gerade die Möglichkeit einer Tatbegehung durch Unterlassen aufgrund einer sogenannten Überwachungsgarantenpflicht zur Verhinderung von Straftaten aus dem Unternehmen heraus hat die Rechtsprechung sogar für Compliance-Verantwortliche vereinzelt angenommen. Je nach arbeitsvertraglicher Ausgestaltung, Stellenbeschreibung und vor allem tatsächlicher Übernahme überträgt das Unternehmen nämlich eigene Leitungs- und Kontrollaufgaben als Delegation funktionaler Kompetenz und Herrschaft auf Compliance-Verantwortliche. Zur Last fallen einerseits intern unentdeckte Pflichtverletzungen mit externen Konsequenzen infolge Überwachungsversagens sowie andererseits fortgesetzte Rechtsverstöße des Unternehmens aufgrund unterbliebener Berichte an die Geschäftsleitung.
Daneben bestehen sanktionenrechtliche Risiken aus dem Recht der Ordnungswidrigkeiten für Verantwortungsträger. Im Gegensatz zu der oben beschriebenen strafrechtlichen Handelndenhaftung geht die Individualhaftung aus § 130 OWiG tatbestandlich deutlich weiter. Danach handelt ordnungswidrig, wer als Inhaber eines Unternehmens vorwerfbar Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, wenn eine solche Zuwiderhandlung begangen wird, die eine gehörige Aufsicht verhindert oder wesentlich erschwert hätte.
Zu den nötigen Aufsichtsmaßnahmen gehören die sorgfältige Auswahl, Instruktion, Organisation, Überwachung und Sanktionierung von Mitarbeitern. Unabhängig von Vorsatz oder Fahrlässigkeit begründet bereits der durch einen Mitarbeiter begangene Rechtsverstoß gegen Pflichten des Unternehmensinhabers die Ahndbarkeit eines Vergehens gem. § 130 OWiG. Dabei muss diese Anknüpfungstat nicht einmal unmittelbar mit der Aufsichtspflichtverletzung verknüpft sein, eine nur mittelbare Verbindung über Aufsichtspflichtenketten genügt bereits.
Bei einer juristischen Person ist die Gesellschaft selbst Unternehmensinhaber und damit Pflichtenträger des § 130 OWiG. Da sie als solche aber nicht handlungsfähig ist, trifft die Aufsichtspflicht nach der Zurechnungsnorm des § 9 Abs. 1 Nr. 1 OWiG grundsätzlich das inhaltlich ressortzuständige Leitungsorgan. Auch für die anderen Organe bestehen abgestufte Aufsichtspflichten in Form von Kontroll- oder Überwachungspflichten, ob jedes Leitungsorgan die ihm zugewiesenen Aufgaben tatsächlich erfüllt. Falls und solange allerdings keine eindeutige Aufgabenverteilung innerhalb des Gesamtorgans stattfindet, verbleibt die strafrechtliche Haftung bei allen Organmitgliedern gemeinsam (Grundsatz der Allzuständigkeit jedes einzelnen Organmitglieds). Jeder einzelne ist dann folglich umfassend aufsichtspflichtig.
Je nach konkreter Betriebsorganisation besteht darüber hinaus ein nicht unerhebliches Haftungsrisiko für leitende Angestellte nach § 9 Abs. 2 OWiG, sofern sie mit der eigenverantwortlichen und selbständigen Wahrnehmung von Aufgaben des Betriebsinhabers betraut sind. Ungeklärte Zuständigkeiten führen dabei nicht zu Enthaftungseffekten, sondern – ganz im Gegenteil – zu Haftungsvervielfachungen, wie sie aus dem Modell der Allzuständigkeit in der Krise bekannt sind.
Zwar ist die Geschäftsleitung nicht verpflichtet und auch gar nicht imstande, höchstpersönlich die unmittelbar notwendigen Maßnahmen zu ergreifen, mittelbar muss sie aber ein hierarchisches System etablieren, durch welches rechtmäßiges Handeln sichergestellt wird. Konkreter bedeutet es die Erfüllung der Grundsätze sorgfältiger Personalauswahl, Organisation und Überwachung. Sie hat darauf zu achten, dass die ihr direkt unterstellte Leitungsebene entweder selbst die beschriebenen Anforderungen erfüllt oder ihrerseits durch nachgeordnete Hierarchieebenen erfüllen lässt. Das System muss also jedenfalls in seiner Wirkweise Straftaten und Ordnungswidrigkeiten vermeiden, wobei Kenntnisdefizite nicht entlasten. Falls notwendige Aufsichtsmaßnahmen nicht oder lediglich unzureichend erfolgen, entsteht eine hierarchisch gestaffelte Verletzungskette von Aufsichtspflichten, die letztlich zu einem Pflichtenverstoß und damit zur Geschäftsleitungshaftung nach §§ 130 Abs. 1, 9 Abs. 1 Nr. 1 OWiG führt.
Alle Straftaten und Ordnungswidrigkeiten können Bezugstaten i. S. d. § 130 OWiG bilden. Als Folge drohen hier nach § 130 Abs. 3 S. 1 OWiG Individualgeldbußen für Täter und Teilnehmer von bis zu einer Million Euro, wobei nach § 130 Abs. 3 S. 2, 3 OWiG rechnerisch sogar noch höhere Summen möglich sind.
Zugleich ist auch die Gesellschaft als juristische Person möglicher Adressat von Bußgeldbescheiden nach § 30 OWiG. Als tatbestandlich vorausgesetzte, betriebsbezogene Bezugstaten kommen wiederum die genannten sanktionsbewehrten Verstöße, nun einschließlich § 130 OWiG, in Betracht. Nach § 30 Abs. 2 Nr. 1 OWiG drohen bereits bis zu 10 Millionen Euro Bußgeld, welches wiederum nach § 30 Abs. 2 S. 2, 3 OWiG rechnerisch höher liegen kann. Obendrein ist durch die Verweisung von § 30 Abs. 3 OWiG auf § 17 Abs. 4 OWiG die um ein Vielfaches höhere und insbesondere von süddeutschen Staatsanwaltschaften gerade in der jüngeren Vergangenheit mehrfach in Anspruch genommene Abschöpfungsmöglichkeit zu beachten.
