Wie Unternehmen ihr passendes Hinweisgebersystem finden

How companies can find their whistleblowing system
>>> english version below >>>

Auch wenn das Hinweisgeberschutzgesetz vorläufig auf Eis liegt – mittelständische Unternehmen in Deutschland werden über kurz oder lang nicht darum herumkommen, ein Meldesystem für Hinweisgeber einzurichten. Entsprechende Regelungen sieht nicht nur die EU-Whistleblower-Richtlinie vor, sondern auch das inzwischen in Kraft getretene Lieferkettengesetz. Die Frage lautet daher nicht, ob ein Hinweisgebersystem benötigt wird. Unternehmen sollten sich vielmehr darauf konzentrieren, welches System das richtige für die eigenen Belange ist. In unserer Blog-Serie Teil 3 stellen Dr. Buchert und ich die Vor- und Nachteile der unterschiedlichen Systeme vor.

(Zur besseren Lesbarkeit verwenden wir im Text das generische Maskulinum. Gemeint sind immer alle Geschlechter.)

Früher war alles besser: Reinigungskräfte konnten eher Feierabend machen, wenn sie Staub und Schmutz einfach unter den Teppich kehrten. Genauso hielten es vor einigen Jahrzehnten noch manche Unternehmen mit unangenehmen Wahrheiten bezüglich ihres Geschäftsgebarens. Deren Credo hieß damals oft: Wo kein Kläger, da kein Richter. Korruptionsvereinbarungen oder Kartell-Absprachen blieben stets ein gut gehütetes Geheimnis der Chef-Etage oder des mittleren Managements. Lästige Nachfragen von Mitarbeitern wurden gerne mit Kündigungen beantwortet. Hinzu kommt, dass zum Beispiel noch bis zur Jahrtausendwende finanzielle Schmiergeldzahlungen an Geschäftspartner im Ausland vom Finanzamt als betriebliche Sonderausgaben anerkannt und steuerlich geltend gemacht werden konnten.

Findige Vertriebler als Rechenkünstler

In dieser Zeit hatten interne Experten Hochkonjunktur, die rechnen konnten – und wollten. Sie erstellen Kalkulationen, ob sich zum Beispiel Schmiergeldzahlungen auch dann noch für Unternehmen rechnen, wenn sie dabei erwischt werden. Denn die bisher nach dem Ordnungswidrigkeitenrecht geahndeten Bestechungsdelikte sehen Geldbußen bis maximal zehn Millionen Euro vor. Darüber konnte in der Vergangenheit mancher Konzern nur müde lächeln, zahlte sich doch das durch Schmiergeld gewonnene Geschäft um ein Vielfaches aus. Und nicht jede Staatsanwaltschaft war in der Heranziehung der Regelungen zur Vermögensabschöpfung ganz so firm wie die Schwerpunktstaatsanwaltschaft für Wirtschaftsstrafsachen in München. Die Gleichung der Unternehmer sah daher ungefähr so aus: Der Mehrumsatz X führt zum Gewinn Y minus Strafzahlung Z minus Reputationsschaden R – und das Ganze betrachtet im Lichte des möglichen Entdeckungsrisikos E. Erst wenn die Rechnung einen negativen Betrag ergab, was selten der Fall war, geriet die Chefetage ins Grübeln, ob man sich bei der Ausschreibung lieber doch wie ein ehrbarer Kaufmann verhalten sollte.

Kein Hinweisgebersystem ist keine gute Idee

Seit etwa zehn bis 15 Jahren hat sich in deutschen Unternehmen einiges verändert. So gab es in der deutschen Rechtsprechung einige Urteile, denen zufolge vor allem größere Unternehmen dazu verpflichtet sind, eine auf Schadenprävention ausgerichtete Organisation einzurichten. Dadurch wurde die Einrichtung eines Compliance-Management-Systems inklusive Richtlinien, Schulungen, Due Diligence Prüfungen von Third Parties, Interne Untersuchungen, Compliance Kontrollen, Beseitigung von Schwachstellen bei Prozessen und Kontrollen, Sanktionierung von Fehlverhalten und last but not least einem Hinweisgebersystem „state of the art“. Diskutiert wurde somit nicht mehr über das „ob“ eines Compliance- Management-Systems, sondern nur noch über das „wie“. In diesem Punkt bestätigt die entsprechende EU-Whistleblower-Richtlinie also nur einen weiteren Bestandteil der ohnehin von deutschen Gerichten erwarteten Compliance-Maßnahmen.

Neu ist auch die Definition, ab welcher Unternehmensgröße ein Hinweisgebersystem gefordert wird: So sind Betriebe mit mehr als 250 Mitarbeitern dazu aufgefordert, voraussichtlich innerhalb der nächsten zwei Jahre ein Hinweisgebersystem zu installieren. Unternehmen mit mehr als 50 Beschäftigten sollen dafür noch weitere zwei Jahre Zeit haben. Aktuell sieht der Referentenentwurf zum Hinweisgeberschutzgesetz allerdings keine Strafen für Unternehmen vor, die kein Hinweisgebersystem einrichten. Ob es dabei nach Überarbeitung oder Neuauflage in der neuen Legislaturperiode bleibt, ist offen. Nichtsdestotrotz…ein Hinweisgebersystem nicht einzurichten, ist trotzdem keine gute Idee.

Wer die Wahl hat, …

Bei der Frage, für welches Hinweisgebersystem sich Unternehmen entscheiden sollten, gibt es klare Ausschlusskriterien und einige Wahlfreiheiten. Hier unsere Übersicht:

Der Kummerkasten: Das billige Spielzeug

Wir wissen nicht, ob es ein pfiffiger Controller war, der aus Kostengründen einfach einen Briefkasten als Meldesystem installierte. Unser Fall aus der Praxis: Ein Mitarbeiter wurde von der Überwachungskamera dabei aufgenommen, wie er einen Hinweis einwarf. Seine Identität wurde ermittelt, er wurde inquisitorisch vernommen, entlassen, und ist noch heute arbeitslos. Aber auch ohne Kamera gilt: Ein solcher Kummerkasten ist kein Meldesystem. Hinweisgeber vertrauen einer solchen Briefkastenlösung nicht, weil sie nicht wissen, wer die Informationen im Unternehmen erhält. Auch sind hierüber keine Rückfragen zur Aufklärung des Sachverhalts möglich. Unser Fazit: Hier wird am falschen Ende gespart und das Unternehmen nimmt sich dadurch möglicherweise die Gelegenheit, frühzeitig an wichtige Informationen zu kommen.

Die interne Mail-Adresse: Big brother is watching you!

Moderner als der Briefkasten – nur nicht besser: eine E-Mail-Adresse zur Meldung von Unregelmäßigkeiten und Fehlverhalten. Unser Fall aus der Praxis: Der IT-Administrator erhielt von einem leitenden Angestellten die Weisung, alle Mails mit der Absender-Kennung des Meldesystems und der Erwähnung seiner Abteilung direkt an ihn umzuleiten. Dieser Hinweis sollte sozusagen elektronisch unter den Teppich gekehrt werden. Der Abteilungsleiter wurde entlassen, nachdem sich der Administrator offenbart hatte. Die Mail-Adresse hat aber auch echte systemische Nachteile: Der Hinweisgeber weiß nicht, wo die Mail am Ende landet. Vertrauen kann dadurch nicht entstehen.

Die Hotline: Wer ist am Apparat?

Die ersten „Whistleblower“-Hotlines wurden von Unternehmen in den Vereinigten Staaten eingerichtet. Die Bezeichnung „Cold Line“ hätte es besser beschrieben. Anrufer wussten nicht, wer ihren Anruf entgegennahm. Aus Kostengründen waren es Mitarbeiter eines Call-Centers, die natürlich weder Ahnung vom Unternehmen, der Branche und seinen Geschäftsaktivitäten noch von einer Sachverhaltsaufklärung oder Compliance-Aspekten hatten. Wesentliche Informationen, die oftmals nur in einem Erstgespräch erfragt werden können, gehen dadurch verloren. Fazit: Hotlines zu sogenannten Call-Centern eignen sich vielleicht als Vertriebskanal, sind jedoch als Hinweisgebersystem ungeeignet.

Das extern installierte elektronische Meldesystem: Sicherheit geht vor

Das erste qualifizierte elektronische Meldesystem, das speziell als Hinweisgebersystem konzipiert war, wurde vor rund 20 Jahren erstmals angeboten. Seitdem wurden die Systeme kontinuierlich weiterentwickelt, und die Zahl der Anbieter ist deutlich gewachsen. Vor allem Unternehmen mit zahlreichen Tochtergesellschaften im Ausland bietet diese Lösung durchaus Vorteile: Es ist in nahezu allen Sprachen verfügbar und weltweit einfach und rund um die Uhr zugänglich. Nachteil: Hier kann der Hinweisgeber nur über Umwege und nicht im persönlichen Gespräch Fragen stellen. Gute Systeme sind auf dem neuesten Stand der Technik. Und – ganz wichtig: Keinesfalls darf der Anbieter einer solchen technischen Lösung Zugriff auf die Daten haben. Schließlich gilt auch hier: Der Nutzer sollte erfahren, wer seine Zuschrift empfängt. Nachteil: Gute Systeme haben oftmals ihren Preis. Dieser rechnet sich jedenfalls bei Unternehmen mit mehreren tausend Mitarbeitern.

Niederschwellig angelegte elektronische Meldesysteme führen auch dazu, dass unbrauchbare Hinweise eingehen – vor allem dann, wenn keine Erläuterungen vorgeschaltet sind, die darauf hinweisen, dass das System nicht für Beschwerden über erhöhte Raumtemperaturen im Büro, unfreundliche Vorgesetzte oder die kaputte Beleuchtung im Treppenhaus genutzt werden sollte. Schmunzeln Sie nicht – wir sprechen auch hier aus Erfahrung. Fazit: Spezielle elektronische Meldesysteme können für weltweit operierende Unternehmen mit entsprechend vielen Mitarbeitern eine erwägenswerte, gute Option sein. Insbesondere kleinere und mittlere Unternehmen sollten die Kosten für Lizenzen und die Anpassung der IT-Landschaft im Blick haben, damit diese den Nutzen nicht übersteigen.

Die Ombudsperson: Vertrauensanwalt mit persönlicher Note

Die Deutsche Bahn AG war im Jahre 2000 das erste Unternehmen, das zwei Rechtsanwälte als Ombudspersonen berufen hat. Einer davon war Dr. Rainer Buchert. Wenig später entschied sich die Volkswagen AG ebenfalls für zwei Ombudspersonen und mandatierte ebenfalls Dr. Rainer Buchert. Das Modell „Ombudsmann“ machte bald Schule, weitere Unternehmen folgten dem Beispiel.

Der Vorteil: Die Ombudsperson kann Fragen von Hinweisgebern direkt beantworten – was in zwei Dritteln aller Fälle in Anspruch genommen wird. Hinweisgeber wollen häufig wissen, was ihr Hinweis auslöst, wie die weiteren Schritte aussehen oder ob er/sie sich strafbar macht. Wichtig zu wissen ist, dass eine Ombudsperson den Hinweisgeber in einem begrenzten Umfang auch beraten darf – daher der Begriff „Vertrauensanwalt“. Hinweisgeber erhalten beispielsweise die Information, dass es sich zunächst um ein vertrauliches Gespräch unter Zweien handelt und der Hinweisgeber am Ende selbst entscheidet, ob und welche der gegebenen Informationen von der Ombudsperson weitergegeben werden dürfen. Erfahrene Ombudspersonen können unmittelbar sachdienliche Rückfragen stellen, die eine spätere Aufklärung auf Unternehmensseite spürbar erleichtern.

Diese Möglichkeit eines unmittelbaren Dialogs ist gegenüber einem reinem webbasierten Hinweisgebersystem ein großer Vorteil. Hier ist der Hinweisgeber nach Abgabe seines Hinweises häufig nicht mehr erreichbar. Ein qualifiziertes elektronisches System lässt eine solche Kontaktaufnahmen zwar standardmäßig zu. Der Hinweisgeber „logt“ sich häufig später jedoch nicht mehr ein, so dass ihn Fragen nicht mehr erreichen. Die Folge: Die Sachverhaltsaufklärung kann nicht weiter fortgesetzt werden, da wichtige Informationen fehlen.

Weiterhin kann die Ombudsperson aufgrund des persönlichen Kontakts meistens besser beurteilen, ob der Hinweis glaubhaft und ernst zu nehmen ist und das Unternehmen entsprechend beraten. Viele Unternehmen haben inzwischen dafür gesorgt, dass sowohl Männer als auch Frauen als Ombudspersonen erreichbar sind. Dies kann gerade in Fällen von sexueller Belästigung, bei denen überwiegend Frauen betroffen sind, für das Opfer von enormer Bedeutung sein: Die Bereitschaft, sich gegenüber einer Ombudsfrau zu offenbaren, ist oftmals deutlich höher als gegenüber einem Ombudsmann.

Fazit: Der Einsatz einer Ombudsperson bietet viele Vorteile für Unternehmen, die sich mit der Einrichtung eines Hinweisgerbsystems beschäftigen. Die Funktion der Ombudsperson kann ein erfahrener Rechtsanwalt mit Expertise in den Bereichen Compliance und Interne Untersuchungen übernehmen.

Thema Kosten: Die Ombudsperson berechnet in der Regel eine monatliche Pauschale für ihre regelmäßige Verfügbarkeit zur Entgegennahme von Hinweisen. Hinzu kommen Aufwände, wenn die Ombudsperson konkret tätig wird, mit Hinweisgebern spricht, Berichte fertigt, das Unternehmen berät. Dies wird nach anwaltlichen Stundensätzen berechnet.

Inzwischen gibt es darüber hinaus Anbieter von webbasierten Systemen, die dem Unternehmen einen Link zur Verfügung stellen, mit dessen Hilfe Mitarbeiter unter Wahrung ihrer Identität direkt Kontakt zu einer Ombudsperson aufnehmen können. Die Kosten sind hier für Unternehmen mit weniger als 1.000 Mitarbeitern überschaubar. (Mehr zum Thema „Ombudsperson“ folgt in Teil 5 unserer Blog-Serie).

Die Hybrid-Lösung: Halb Mensch, halb Maschine

Große Unternehmen mit mehreren tausend Mitarbeitern in vielen Ländern kombinieren die Vorteile des elektronischen Meldesystems mit denen der Ombudsperson und bieten ihren Beschäftigten damit zwei Kommunikationskanäle an. Diese Hybrid-Lösung ist besonders für international aufgestellte Konzerne eine Option, für mittelgroße Unternehmen vom Start weg in der Regel nicht unbedingt nötig.

Sie haben das ideale Hinweisgebersystem für Ihr Unternehmen gefunden? Sehr gut. Folgen Sie auch weiterhin unserem Blog und erfahren Sie, warum selbst das ideale Hinweisgebersystem nichts nützt, wenn es einfach nur installiert wird. An dieser Stelle! In zwei Wochen!

>>>>> english version >>>>>

Part 3 of the blog series on the EU Whistleblower Directive: Practical tips for corporate decision-makers

How companies can find their whistleblowing system

Even if the Whistleblower Protection Act is on ice for the time being – sooner or later, small and medium-sized companies in Germany will not be able to avoid setting up a reporting system for whistleblowers. Not only does the EU Whistleblower Directive provide for such regulations, but so does the Supply Chain Act, which has come into force in the meantime. The question is therefore not whether a whistleblower system is needed. Companies should rather focus on which system is the right one for their own concerns. In our blog series Part 3, Dr Buchert and I present the advantages and disadvantages of the different systems.

Everything used to be better in the old days: cleaners could finish work sooner if they simply swept dust and dirt under the carpet. A few decades ago, some companies still held the same view when it came to unpleasant truths about their business practices. Their credo was often: where there’s no plaintiff, there’s no judge. Corruption agreements or cartel arrangements always remained a well-kept secret of the top management or middle management. Annoying enquiries by employees were gladly answered with dismissals. In addition, until the turn of the millennium, for example, financial bribes paid to business partners abroad were still recognised by the tax office as special business expenses and could be claimed against taxes.

Clever distributors as calculation wizards

At that time, internal experts who could – and wanted to – do the math were in high demand. They made calculations as to whether, for example, bribe payments would still pay off for companies even if they were caught. This is because the bribery offences that were previously punishable under regulatory offences law provide for fines of up to a maximum of ten million euros. In the past, many companies could only smile wearily at this, as the business gained through bribes paid off many times over. And not every public prosecutor’s office was quite as firm in applying the regulations on asset recovery as the main public prosecutor’s office for white-collar crime in Munich. The entrepreneurs‘ equation therefore looked something like this: The additional turnover X leads to profit Y minus penalty Z minus reputational damage R – and the whole thing considered in the light of the possible exposure to detection risk E. Only if the calculation resulted in a negative amount, which was seldom the case, did the management start to ponder whether it would be better to behave like an honourable businessman in the tendering process after all.

No whistleblower system is not a good idea

Since about ten to 15 years, a lot has changed in German companies. For example, there have been a number of decisions in German jurisdiction according to which larger companies in particular are obliged to set up an organisation geared towards preventing damages. As a result, the establishment of a compliance management system including guidelines, training, due diligence checks of third parties, internal investigations, compliance controls, elimination of weaknesses in processes and controls, sanctioning of misconduct and, last but not least, a whistleblower system became „state of the art“. The discussion was therefore no longer about the „whether“ of a compliance management system, but only about the „how“. In this respect, the corresponding EU Whistleblower Directive only confirms another component of the compliance measures expected by German courts anyway.

Also new is the definition of the size of the company required to have a whistleblower system: Companies with more than 250 employees are required to install a whistleblower system within the next two years. Companies with more than 50 employees will have another two years to do so. Currently, however, the draft bill on the Whistleblower Protection Act does not provide for any penalties for companies that do not set up a whistleblower system. It remains to be seen whether this will remain the case after a revision or new edition in the new legislative period. Nevertheless… not setting up a whistleblower system is not a good idea.

Agony of choice …

When it comes to the question which whistleblowing system companies should choose, there are clear exclusion criteria and some freedom of choice. Here is our overview:

The suggestion box: The cheap toy

We don’t know if it was a smart controller who simply installed a letterbox as a reporting system for cost reasons. Our real-life case: an employee was caught on CCTV dropping in a tip. His identity was traced, he was inquisitorially interrogated, dismissed, and is still unemployed today. But even without a camera, it is true that such a suggestion box is not a reporting system. Whistleblowers do not trust such a letterbox solution because they do not know who receives the information in the company. It is also not possible to ask questions to clarify the facts. Our conclusion: This is saving money at the wrong end and the company may be depriving itself of the opportunity to obtain important information at an early stage.

The internal e-mail address: Big brother is watching you!

More modern than the letterbox – just not better: an e-mail address for reporting irregularities and misconduct. Our case from practice: The IT administrator received instructions from a senior employee to redirect all mails with the sender ID of the reporting system and the mention of his department directly to him. This notice was to be swept under the carpet electronically, so to speak. The head of department was dismissed after the administrator revealed himself. But the mail address also has real systemic disadvantages: The whistleblower does not know where the mail ends up. Trust cannot develop as a result.

The hotline: Who is calling?

The first „whistleblower“ hotlines were set up by companies in the United States. The term „cold line“ would have described it better. Callers did not know who answered their call. For cost reasons, they were call centre employees who, of course, had no idea about the company, the industry and its business activities, nor about fact-finding or compliance aspects. Essential information that can often only be asked for in an initial conversation is lost as a result. Conclusion: Hotlines to so-called call centres may be suitable as a distribution channel but are not suitable as a whistleblowing system.

The externally installed electronic reporting system: safety first

The first qualified electronic reporting system, which was specifically designed as a whistleblowing system, was first offered about 20 years ago. Since then, the systems have been continuously developed and the number of providers has grown significantly. Especially for companies with numerous subsidiaries abroad, this solution certainly offers advantages: It is available in almost all languages and is easily accessible worldwide around the clock. Disadvantage: Here, the whistleblower can only ask questions in a detoured way and not in a personal conversation. Good systems are state-of-the-art. And – very important: under no circumstances should the provider of such a technical solution have access to the data. After all, the same applies here: The user should know who receives his or her message. Disadvantage: Good systems often have their price. This is certainly worth it for companies with several thousand employees.

Low-threshold electronic reporting systems also lead to useless tips being received – especially if there are no explanations beforehand pointing out that the system should not be used for complaints about increased room temperatures in the office, unfriendly superiors or the broken lighting in the stairwell. Don’t smirk – we speak from experience here, too. Conclusion: Special electronic reporting systems can be a good option worth considering for globally operating companies with a correspondingly large number of employees. Small and medium-sized companies in particular should keep an eye on the costs for licences and adapting the IT landscape so that these do not exceed the benefits.

The ombudsperson: a lawyer of trust with a personal touch

In 2000, Deutsche Bahn AG was the first company to appoint two lawyers as ombudspersons. One of them was Dr. Rainer Buchert. A short time later, Volkswagen AG also decided to have two ombudspersons and also mandated Dr. Rainer Buchert. The „ombudsman“ model soon set a precedent and other companies followed suit.

The advantage: The ombudsperson can answer questions from whistleblowers directly – which is used in two thirds of all cases. Whistleblowers often want to know what their report triggers, what the next steps are or whether he/she is liable to prosecution. It is important to know that an ombudsperson may also advise the whistleblower to a limited extent – hence the term „lawyer of trust“. Whistleblowers are informed, for example, that this is initially a confidential conversation between two people and that the whistleblower decides at the end whether and which of the information given may be passed on by the ombudsperson. Experienced ombudspersons can immediately ask relevant questions, which noticeably simplifies a later clarification on the part of the company.

This possibility of direct dialogue is a great advantage over a purely web-based whistleblowing system. Here, the whistleblower is often no longer reachable after submitting his or her report. A qualified electronic system allows such contact by default. However, the whistleblower often does not log in later, so that questions no longer reach him. The consequence: The clarification of the matter cannot be continued because important information is missing.

Furthermore, because of the personal contact, the ombudsperson can usually better judge whether the tip is credible and to be taken seriously and advise the company accordingly. Many companies have now ensured that both men and women can be contacted as ombudspersons. This can be of enormous importance for the victim, especially in cases of sexual harassment where women are predominantly affected: The willingness to disclose to an ombudswoman is often significantly higher than to an ombudsman.

Conclusion: The use of an ombudsperson offers many advantages for companies that are considering setting up a whistleblower system. The function of the ombudsperson can be carried out by an experienced lawyer with expertise in the areas of compliance and internal investigations.

The issue of costs: The ombudsperson usually charges a monthly flat rate for his or her regular availability to receive tips. In addition, there are expenses if the ombudsperson takes specific action, talks to whistleblowers, prepares reports, advises the company. This is charged according to the hourly tariff of a lawyer.

In the meantime, there are also providers of web-based systems that provide the company with a link with the help of which employees can contact an ombudsperson directly while maintaining their identity. The costs here are manageable for companies with fewer than 1,000 employees. (More on the topic of „ombudsperson“ follows in Part 5 of our blog series).

The hybrid solution: half human, half machine

Large companies with several thousand employees in many countries combine the advantages of the electronic reporting system with those of the ombudsperson and thus offer their employees two channels of communication. This hybrid solution is an option especially for internationally positioned corporations, but is usually not absolutely necessary for medium-sized companies right from the start.

Have you found the ideal whistleblowing system for your company? Very good. Continue to follow our blog and learn why even the ideal whistleblowing system is of no use if it is simply installed. In this space! In a fortnight!