IDW PS 980: CMS-Prüfung in 3 Stufen – Konzeption, Angemessenheit, Wirksamkeit
Der IDW PS 980 ist der maßgebliche Prüfungsstandard des Instituts der Wirtschaftsprüfer für Compliance-Management-Systeme (CMS). Verabschiedet 2011, aktualisiert 2020. Der Standard definiert, wie ein CMS geprüft und beurteilt wird. Drei Prüfungsstufen: Konzeption (Stufe 1), Angemessenheit (Stufe 2), Wirksamkeit (Stufe 3). Die meisten Unternehmen beginnen mit Stufe 1 und arbeiten sich hoch.
Stufe 1 – Konzeption: Der Prüfer beurteilt, ob das CMS konzeptionell geeignet ist, Compliance-Verstöße zu verhindern, aufzudecken und zu ahnden. IDW PS 980 Tz. 37. Geprüft werden die sieben Grundelemente: Compliance-Kultur, Compliance-Ziele, Compliance-Organisation, Compliance-Risiken, Compliance-Programm, Compliance-Kommunikation, Compliance-Überwachung und Verbesserung. Fehlt ein Element, ist die Konzeption mangelhaft.
Stufe 2 – Angemessenheit: Der Prüfer beurteilt, ob das CMS in der Praxis angemessen ist. IDW PS 980 Tz. 49. Angemessenheit bedeutet: Ist das System auf die konkreten Risiken des Unternehmens zugeschnitten? Ein 150-MA-Unternehmen im Anlagenbau braucht ein anderes CMS als ein 300-MA-Finanzdienstleister. Die Angemessenheit wird anhand der Risikoinventur beurteilt.
Stufe 3 – Wirksamkeit: Der Prüfer beurteilt, ob das CMS tatsächlich wirkt. IDW PS 980 Tz. 53. Wirksamkeit wird durch Kontrolltests, Befragungen, Stichproben geprüft. Beispiel: Werden die Compliance-Richtlinien tatsächlich angewendet? Gibt es Schulungsnachweise? Werden Verstöße dokumentiert und verfolgt? Die Wirksamkeitsprüfung ist die aufwändigste Stufe.
Prüfungskosten: CMS-Angemessenheitsprüfung nach IDW PS 980 Stufe 2 für Mittelständler (50–250 MA) liegt bei 15.000–35.000 EUR. Für Konzernobergesellschaften mit mehreren Ländern: 50.000–120.000 EUR. Die Kosten hängen von der Anzahl der geprüften Prozesse, der Länderzahl und der Komplexität der Risikolandkarte ab. Der Prüfer berechnet nach Zeitaufwand (Tagessatz 1.500–2.500 EUR).
Die sieben Grundelemente im Detail: Compliance-Kultur – Leitbild, Tone from the Top, Vorbildfunktion der Führung. Compliance-Ziele – abgeleitet aus den Unternehmenszielen, messbar. Compliance-Organisation – Rollen, Verantwortlichkeiten, Berichtslinien, Compliance-Beauftragter. Compliance-Risiken – Risikoinventur, Risikobewertung, Risikolandkarte.
Compliance-Programm – Richtlinien, Verfahren, Kontrollen. Compliance-Kommunikation – Schulungen, Informationen, Hinweisgebersystem. Compliance-Überwachung und Verbesserung – Monitoring, Interne Revision, Management-Review, Remediation. IDW PS 980 Tz. 24–34. Jedes Element muss dokumentiert sein. Ohne Dokumentation kein Nachweis.
Unterschied zu ISO 37301:2021: ISO 37301 ist ein internationaler Standard für CMS, zertifizierbar. IDW PS 980 ist ein Prüfungsstandard, der die Prüfung durch Wirtschaftsprüfer definiert. Beide Standards sind kompatibel, aber IDW PS 980 ist in Deutschland der Maßstab für die handelsrechtliche Prüfung. Die BaFin und die Aufsichtsbehörden erwarten eine Prüfung nach IDW PS 980, nicht nach ISO 37301.
Zertifikatsillusion: Viele Unternehmen kaufen eine ISO 37301-Zertifizierung ohne Substanz. Bei einer BaFin-Prüfung oder einem staatsanwaltschaftlichen Verfahren schützt ein formales Zertifikat nicht vor dem Vorwurf des Organisationsverschuldens nach OWiG § 130. Entscheidend ist, ob das CMS gelebt wird – nicht, ob ein Zertifikat an der Wand hängt. IDW PS 980 Stufe 3 prüft genau das: Wirksamkeit.
Praxisfall: Ein 200-MA-Unternehmen aus der Pharmabranche lässt sein CMS nach IDW PS 980 prüfen. Stufe 1: 2 Monate, 18.000 EUR. Ergebnis: Konzeption angemessen, aber Compliance-Organisation nicht klar. Stufe 2: 3 Monate, 25.000 EUR. Ergebnis: Angemessenheit gegeben, Schulungsprogramm lückenhaft. Stufe 3: 4 Monate, 35.000 EUR. Ergebnis: Wirksamkeit mit Einschränkungen. Gesamt: 78.000 EUR. Das Unternehmen hat jetzt ein belastbares CMS.
Fazit: Ein CMS nach IDW PS 980 ist kein Selbstzweck. Es ist das Rückgrat der Compliance-Organisation. Die sieben Grundelemente müssen dokumentiert, angemessen und wirksam sein. Die Prüfung zeigt Lücken, die geschlossen werden müssen. KanB Access baut Ihr CMS auf. Stufe 1, 2, 3. Audit-ready.