Compliance wird gebaut, nicht gekauft
Die meisten Organisationen entdecken Compliance auf die harte Tour — als Feuer, das gelöscht werden muss, wenn ein Handelspartner, ein Marktplatz oder eine Behörde Nachweise verlangt. Ein Werkzeug zu kaufen behebt das nicht; Compliance wird erst dann belastbar, wenn sie in die Art eingebaut ist, wie das Unternehmen entscheidet, Personal einsetzt, seine Daten strukturiert und den Alltag betreibt. Dieses Paper ist ein praktisches Playbook, um genau das zu tun.
Es folgt dem Implementierungsbogen, den erfolgreiche Programme teilen — von der Führungsentscheidung über den Business Case, die Menschen und die Daten bis zum Betrieb — und stützt sich auf die anerkannten Standards des Fachs: das Compliance-Managementsystem-Modell der ISO 37301 und das Three-Lines-Modell des IIA für die Governance. Durchgehend finden Sie Modelle zum Übernehmen und Vorlagen zum Ausfüllen.
Modelle & Vorlagen in diesem Paper
- Modelle: der Implementierungsbogen · das Three-Lines-Governance-Modell · das Compliance-Datenmodell · der Loop kontinuierlicher Compliance (PDCA) · ein Reifegradmodell · eine Priorisierungsmatrix.
- Vorlagen: Compliance-Richtlinie · Business Case · RACI-Matrix · Produktdatenfelder · Compliance-Anfrage an Lieferanten · Implementierungs-Roadmap · KPI-Scorecard · Compliance-Register.
Der Implementierungsbogen
Compliance-Programme, die Bestand haben, durchlaufen fünf verbundene Stufen. Lassen Sie eine aus, und die anderen geraten ins Wanken: Ein Werkzeug ohne Mandat wird ignoriert; ein Mandat ohne Daten hat nichts, worauf es wirken kann; Daten ohne Betriebsrhythmus veralten.
Der Implementierungsbogen — fünf verbundene Stufen, vom Führungsmandat bis zum Tagesbetrieb.
Der Rest dieses Papers nimmt jede Stufe der Reihe nach. Eine Anmerkung zur Sprache: Wir verwenden Compliance-Managementsystem (CMS) im Sinne der ISO 37301 — die Gesamtheit der Richtlinien, Rollen, Daten und Prozesse, mit denen eine Organisation ihre Pflichten erfüllt — nicht ein einzelnes Stück Software.
Stufe 1 — Die Führungsentscheidung
Compliance beginnt an der Spitze, oder sie beginnt gar nicht. ISO 37301 stellt Führung, Governance und Kultur aus gutem Grund ins Zentrum des Managementsystems: Ohne klares Mandat, ausgesprochene Risikobereitschaft und sichtbare Schirmherrschaft ist Compliance-Arbeit immer die Aufgabe, die gegen die nächste Deadline verliert.
Was die Führung entscheiden muss
- Ein Mandat und ein Sponsor. Benennen Sie eine Führungskraft, die für Compliance verantwortlich ist, und geben Sie dem Programm ausdrückliche Autorität und Budget.
- Risikobereitschaft. Sagen Sie klar, wie viel Nichtkonformitätsrisiko das Unternehmen toleriert — je Markt, Kanal und Produktkategorie.
- Eine Compliance-Richtlinie. Eine kurze, vom Leitungsorgan gebilligte Erklärung zu Verpflichtung, Geltungsbereich, Rollen und Berichtswegen — die Verfassung, an der alles andere hängt.
Das Governance-Modell
Nutzen Sie das Three-Lines-Modell des IIA, um zuzuweisen, wer was tut. Die erste Linie (Produkt, Beschaffung und Betrieb) besitzt und steuert Compliance in der täglichen Arbeit. Die zweite Linie (eine Compliance-/Qualitätsfunktion) setzt Richtlinien, Rahmenwerke und Monitoring. Die dritte Linie (Interne Revision) liefert unabhängige Prüfungssicherheit. Das Leitungsorgan steht über allen dreien, rechenschaftspflichtig gegenüber den Stakeholdern; externe Stellen — Behörden, Handelspartner und notifizierte Stellen — stehen außerhalb.
Vorlage — Compliance-Richtlinie (eine Seite). Zweck: warum sich die Organisation zur Produktkonformität verpflichtet. Geltungsbereich: welche Produkte, Marken, Märkte und Kanäle die Richtlinie abdeckt. Verpflichtung: die Erklärung, dass die Organisation alle anwendbaren EU-Produktanforderungen erfüllt und bei Verstößen handelt. Rollen & Verantwortlichkeiten: Sponsor, Compliance-Verantwortlicher, Pflichten der ersten/zweiten/dritten Linie (siehe RACI). Risikobereitschaft: das tolerierte Risikoniveau, je Kategorie und Markt. Berichtswege & Eskalation: wie Probleme gemeldet werden, an wen und wie schnell. Überprüfung: Turnus der Überprüfung (z. B. jährlich) und Auslöseereignisse. Freigabe: gebilligt durch [Leitungsorgan] am [Datum]; Verantwortlicher [Name].
Stufe 2 — Die Geschäftsentscheidung
Mit dem Mandat wird Compliance zu einem Business Case wie jeder andere: den Umfang festlegen, priorisieren, die Ressourcierung wählen und definieren, wie Erfolg aussieht.
Priorisieren Sie, wo es zählt
Sie können nicht alles auf einmal tun. Ordnen Sie Produkte und Märkte nach Exposition — regulatorisches/Rückrufrisiko kombiniert mit dem gefährdeten Umsatz — und beginnen Sie dort, wo beides hoch ist.
| Hoher Umsatz | Geringerer Umsatz | |
|---|---|---|
| Hohes Risiko | Zuerst priorisieren — am meisten zu verlieren. Jetzt validieren und dokumentieren. | Als Nächstes einplanen — wesentliches Risiko, proaktiv absichern. |
| Geringeres Risiko | Quick Wins — leichte Abdeckung, sichtbarer Fortschritt. | Beobachten — automatisieren und periodisch überprüfen. |
Aufbauen, kaufen oder auslagern
Drei Ressourcierungsmodelle, meist kombiniert: eine interne Funktion aufbauen (Kontrolle, aber langsam und teuer zu besetzen); eine Plattform kaufen, die Klassifizierung, Validierung und Dokumentation automatisiert (schnell, skalierbar); oder an einen Managed Service auslagern (Fähigkeit ohne Headcount). Die meisten Marken kaufen die Plattform und ergänzen Managed Support, wo Urteilsvermögen gefragt ist.
| Feld (Compliance-Business-Case) | Was festzuhalten ist |
|---|---|
| Ziel | Das Ergebnis (z. B. handelsfähig in den Top-3-Märkten in 90 Tagen). |
| Im Geltungsbereich | Produkte, Marken, Märkte und Kanäle, die zuerst abgedeckt werden. |
| Geprüfte Optionen | Intern aufbauen · Plattform kaufen · auslagern (Managed). |
| Empfohlene Option | Die Wahl und die Begründung. |
| Budget | Einmalige und laufende Kosten (Capex / Opex). |
| Erwarteter Nutzen | Schnelleres Onboarding, weniger Delistings/Rückrufe, Vertrauensbonus. |
| Erfolgskennzahlen | Siehe KPI-Scorecard. |
| Risiken & Annahmen | Zentrale Risiken und wie sie gemindert werden. |
| Entscheidung & Verantwortlicher | Gebilligt durch [Name] am [Datum]. |
Stufe 3 — Menschen & Verantwortlichkeiten
Compliance scheitert leise, wenn jeder annimmt, jemand anderes sei zuständig. Machen Sie die Zuständigkeit explizit, geben Sie den Menschen die Fähigkeiten, und bauen Sie eine Kultur, in der das Melden eines Problems belohnt wird, nicht bestraft.
Zuständigkeit mit einer RACI-Matrix zuweisen
Eine RACI-Matrix ordnet jeder Aktivität zu, wer Responsible, Accountable, Consulted und Informed ist. Passen Sie die Vorlage unten an Ihre Struktur an — worauf es ankommt: Jede Zeile hat genau ein Accountable.
| Aktivität | Sponsor | Compliance | Produktteam | Revision |
|---|---|---|---|---|
| Richtlinie & Risikobereitschaft festlegen | A | R | I | I |
| Produkte den Regeln zuordnen | I | A | R | — |
| Gegen Anforderungen validieren | I | A | R | — |
| Lücken beheben | I | C | R | — |
| Dokumentation erzeugen | I | A | R | — |
| Verantwortliche Person benennen | A | R | C | I |
| Regulatorische Änderungen überwachen | I | A | C | I |
| Unabhängige Prüfungssicherheit | I | I | I | A/R |
R = Responsible (durchführend) · A = Accountable (rechenschaftspflichtig) · C = Consulted (konsultiert) · I = Informed (informiert). Wo interne Kapazität fehlt, kann eine Plattform oder ein Managed Service die Responsible-Rolle übernehmen, während Ihr Team Accountable bleibt.
Fähigkeiten & Kultur
- Schulen Sie Produkt- und Beschaffungsteams in den Grundlagen: was eine Konformitätserklärung ist, was eine verantwortliche Person tut, was eine Verordnung auslöst.
- Machen Sie den Compliance-Status in den Werkzeugen sichtbar, die die Menschen ohnehin nutzen, damit er Teil des Arbeitsablaufs ist — keine separate Pflichtübung.
- Belohnen Sie das frühe Melden von Lücken. Eine Kultur, die Probleme versteckt, ist das größte Einzelrisiko jedes Compliance-Systems.
Stufe 4 — Daten & Systeme
Compliance ist im Kern ein Datenproblem. Sie können nicht nachweisen, was Sie nicht beschreiben können. Das Fundament ist eine Single Source of Truth, die jedes Produkt mit den Märkten verbindet, in denen es verkauft wird, mit den geltenden Regeln, den Anforderungen, die den Nachweis führen, und den Belegen dahinter.
Das Compliance-Datenmodell — ein Produkt, verknüpft mit seinen Märkten, Regeln, Anforderungen, Belegen, seinem Lieferanten und der verantwortlichen Person.
Die Produktdaten richtig aufsetzen
Die Klassifizierung ist die Stelle, an der die meisten Programme ins Stocken geraten. Erfassen Sie je Produkt einen konsistenten Feldsatz, damit das System jede SKU den geltenden Verordnungen und harmonisierten Normen zuordnen kann.
| Produktdatenfeld | Beispiel / Anmerkung |
|---|---|
| Produkt-ID / SKU | Interne Kennung |
| Modellname & GTIN/EAN | Für Rückverfolgbarkeit und Kennzeichnung |
| Kategorie & TARIC-Code | Bestimmt, welche Regeln gelten |
| Zielmärkte | Welche der 27 EU-Länder |
| Komponenten & Materialien | Stückliste |
| Stoffe | Für REACH-/RoHS-Screening |
| Lieferant | Quelle der vorgelagerten Belege |
| Verantwortliche Person | Wirtschaftsakteur in der EU |
| Anwendbare Verordnungen | Automatisch zugeordnet (GPSR, REACH, …) |
| Status & Belege | % vollständig; Links zu Konformitätserklärung, Prüfungen |
Senden Sie beim Onboarding eine Compliance-Anfrage an den Lieferanten; bevorzugen Sie durch Dritte verifizierte Dokumente gegenüber Selbsterklärungen.
| Beim Lieferanten anzufordern | Erforderlich? |
|---|---|
| Konformitätserklärung (DoC) | Ja |
| Prüfberichte (akkreditiertes Labor) | Ja, risikobasiert |
| Materialerklärungen (REACH/RoHS) | Ja |
| Stückliste | Ja |
| Konformität mit harmonisierten Normen | Ja |
| Ursprungsland / EUDR-Daten | Falls anwendbar |
| Angaben zur verantwortlichen Person | Ja |
| Kennzeichnungs- & Markierungsvorlagen | Ja |
Stufe 5 — Betrieb & kontinuierliche Compliance
Compliance ist kein Projekt, das endet; sie ist ein Betriebsrhythmus. ISO 37301 baut auf dem Plan-Do-Check-Act-Zyklus auf, und ein funktionierendes Programm lässt denselben Loop kontinuierlich für jedes Produkt laufen.
Der Loop kontinuierlicher Compliance — von der Aufnahme bis zum Monitoring, ausgerichtet am Plan-Do-Check-Act der ISO 37301.
Den Loop betreiben
- Aufnehmen & klassifizieren. Jedes neue oder geänderte Produkt kommt ins System und wird den anwendbaren Regeln zugeordnet.
- Validieren & beheben. Gegen die Anforderungen prüfen, die Lücken sehen und schließen.
- Dokumentieren. Konformitätserklärung, technische Unterlagen und einen teilbaren Compliance-Status erzeugen — bereit, bevor ein Handelspartner fragt.
- Überwachen. Regulatorische Änderungen verfolgen und automatisch revalidieren, damit eine neue Anforderung ein Hinweis ist, kein Notfall.
Führen Sie ein lebendes Compliance-Register, damit der Status jederzeit auditierbar ist.
| Produkt | Markt | Verordnung | Status | Verantwortlich |
|---|---|---|---|---|
| Schreibtischleuchte (SKU-1042) | DE | Niederspannungsrichtlinie / RoHS / GPSR | Konform | Produkt |
| Nachtlicht (SKU-3391) | FR | GPSR / EN 71 | Lücke — Kennzeichnung | Produkt |
Für den schlechten Tag bereit sein
Betrieb heißt auch Bereitschaft: ein definierter Prozess für einen Rückruf oder eine Safety-Gate-Meldung, mit verantwortlicher Person, Dokumentation und Korrekturmaßnahmen-Schritten, die bereits stehen. Die Marken, die einen Vorfall überstehen, sind die, die sich darauf vorbereitet haben, bevor er eintrat. (Siehe das begleitende White Paper How to handle product recalls in the EU.)
Wissen, wo Sie stehen
Bevor Sie planen, verorten Sie sich. Der Sprung, der am meisten zählt, ist der von Konform zu Handelsfähig — der Punkt, an dem Compliance aufhört, ein Engpass zu sein, und zum Verkaufsinstrument wird.
| Stufe | Wie es aussieht | Ergebnis |
|---|---|---|
| 1 · Reaktiv | Von Krise zu Krise; Spreadsheets und Last-Minute-Anrufe. | Blockierte Listings, Überraschungskosten, Exposition. |
| 2 · Konform | Produkte erfüllen die Regeln, aber der Nachweis ist manuell und langsam. | Übersteht Audits; Compliance ist ein Engpass. |
| 3 · Handelsfähig | Vollständige, aktuelle Dokumentation je Produkt und Markt. | Schnelleres Onboarding, weniger Blockaden, verlässlicher Ruf. |
| 4 · Im Vorteil | Kontinuierlich, datengetrieben; Transparenz im Marketing genutzt. | Speed-to-Shelf, Vertrauensbonus, First Mover bei neuen Regeln. |
Die Roadmap
Eine pragmatische Abfolge bringt eine Marke in etwa einem Quartal von reaktiv zu handelsfähig und danach in die kontinuierliche Verbesserung. Passen Sie das Timing an Größe und Katalog an.
| Phase | Timing | Fokus | Ergebnis |
|---|---|---|---|
| 0 · Mobilisieren | Woche 0–2 | Mandat, Sponsor, Richtlinie, Umfang, Risikobereitschaft. | Gebilligte Richtlinie; benannter Verantwortlicher. |
| 1 · Fundament | Woche 2–6 | Datenmodell, Produktimport, RACI, Lieferantenanfragen. | Single Source of Truth; Rollen gesetzt. |
| 2 · Operationalisieren | Woche 6–12 | Prioritätsprodukte validieren, Lücken schließen, Dokumente erzeugen. | Prioritätskatalog handelsfähig. |
| 3 · Optimieren | Laufend | Änderungen überwachen, auditieren, Abdeckung ausweiten, im Vertrieb nutzen. | Kontinuierliche Compliance; KPIs verfolgt. |
Erfolg messen
Was gemessen wird, wird getan. Verfolgen Sie einen kleinen Satz von KPIs, die Compliance mit dem Geschäft verknüpfen.
| KPI | Definition | Ziel |
|---|---|---|
| Abdeckung | Anteil des Katalogs, der gegen die anwendbaren Regeln validiert ist. | 100 % → |
| Time-to-Documentation | Ø Tage bis zu einem handelsfähigen Paket. | < 2 Tage |
| Offene Lücken | Zahl der ungelösten Anforderungslücken. | Tendenz 0 |
| Audit-Bestehensquote | Anteil der Produkte, die interne/externe Audits bestehen. | > 95 % |
| Speed-to-Shelf | Ø Tage von der Einkäuferanfrage bis zur Listungsreife. | Sinkend |
| Bearbeitete Änderungen | Regulatorische Änderungen, die innerhalb der SLA bewertet wurden. | 100 % |
Fallstricke & Erfolgsfaktoren
Vermeiden
- Ein Werkzeug kaufen ohne Mandat, Verantwortlichen oder Betriebsrhythmus dahinter.
- Den ganzen Katalog auf einmal abdecken wollen, statt nach Risiko und Umsatz zu priorisieren.
- Dokumentation als Einmalaufgabe behandeln statt als lebendes, überwachtes Register.
Tun
- An der Spitze beginnen, den Umfang eng schneiden und schnell einen handelsfähigen Erfolg zeigen.
- Für jede Aktivität eine Person Accountable machen und den Status sichtbar halten.
- Die wiederholbare Arbeit automatisieren, damit Menschen ihre Zeit für Urteilsvermögen einsetzen, nicht für Verwaltung.
Von der Pflicht zur Fähigkeit
Eine Compliance-Strategie zu implementieren ist eine Veränderung des Betriebsmodells, kein Einkauf. Entscheiden Sie sie an der Spitze, bauen Sie den Business Case, weisen Sie klare Zuständigkeit zu, legen Sie das Datenfundament und betreiben Sie den Loop. Tun Sie das, und Compliance hört auf, das zu sein, was Sie bremst — und wird das, was Sie ins Regal bringt, dort hält und jede neue Verordnung in ein Feature verwandelt, das Sie bereits haben.
Wie Conphora hilft
Conphora ist die Plattform und der Managed Service hinter diesem Playbook. Sie erhalten das Compliance-Datenmodell einsatzbereit, validieren Ihren Katalog gegen 48 EU-Verordnungen in 27 Ländern, betreiben den Loop kontinuierlicher Compliance und erzeugen die Dokumentation und den teilbaren Status, den Handelspartner verlangen. Nutzen Sie es im Self-Service, oder lassen Sie unser Team es für Sie betreiben. Mehr unter conphora.com.
Quellen & Verweise
- ISO 37301:2021 — Compliance-Managementsysteme: Anforderungen mit Anleitung zur Anwendung (PDCA; ersetzt ISO 19600:2014).
- The Institute of Internal Auditors — The Three Lines Model (Aktualisierung 2020 der Three Lines of Defense).
- Verordnung (EU) 2023/988 über die allgemeine Produktsicherheit (GPSR). EUR-Lex.
- Verordnung (EU) 2024/1781 — Ökodesign-Verordnung für nachhaltige Produkte (ESPR) & digitaler Produktpass. EUR-Lex.
- Europäische Kommission — Safety Gate Rapid Alert System (Jahresbericht).
Dieses White Paper dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Die Rahmenwerke sind zusammengefasst; ziehen Sie vor der Implementierung die Primärstandards und -verordnungen heran. © 2026 Conphora.