Compliance wird aufgebaut, nicht gekauft
Die meisten Unternehmen lernen Compliance auf die harte Tour kennen — als Brand, den es zu löschen gilt, sobald ein Handelspartner, ein Marktplatz oder eine Marktüberwachungsbehörde Nachweise verlangt. Ein Tool zu kaufen löst das nicht; Compliance trägt erst dann dauerhaft, wenn sie in die Art und Weise eingebaut ist, wie das Unternehmen entscheidet, Stellen besetzt, seine Daten strukturiert und den Alltag organisiert. Dieses Whitepaper ist ein praxistaugliches Playbook für genau diesen Aufbau.
Es folgt dem Umsetzungspfad, den erfolgreiche Programme gemeinsam haben — von der Entscheidung der Geschäftsleitung über den Business Case, die Menschen und die Daten bis in den Betrieb — und stützt sich auf die anerkannten Standards des Fachgebiets: das Modell für Compliance-Management-Systeme nach ISO 37301 und das Three Lines Model des IIA für die Governance. Durchgehend finden Sie Modelle zum Übernehmen und Vorlagen zum Ausfüllen.
Modelle und Vorlagen in diesem Whitepaper
- Modelle: der Umsetzungspfad · das Three-Lines-Governance-Modell · das Compliance-Datenmodell · die Schleife der kontinuierlichen Compliance (PDCA) · ein Reifegradmodell · eine Priorisierungsmatrix.
- Vorlagen: Compliance-Richtlinie · Business Case · RACI-Matrix · Produktdatenfelder · Lieferanten-Compliance-Anfrage · Umsetzungsfahrplan · Kennzahlen-Scorecard · Compliance-Register.
Der Umsetzungspfad
Compliance-Programme, die Bestand haben, durchlaufen fünf miteinander verbundene Stufen. Lassen Sie eine aus, geraten die übrigen ins Wanken: Ein Tool ohne Mandat wird ignoriert; ein Mandat ohne Daten hat nichts, worauf es sich stützen kann; Daten ohne festen Betriebsrhythmus veralten.
Der Umsetzungspfad — fünf miteinander verbundene Stufen, vom Mandat der Geschäftsleitung bis zum Tagesgeschäft.
Die folgenden Abschnitte nehmen sich jede Stufe der Reihe nach vor. Eine Anmerkung zur Begrifflichkeit: Wir verwenden Compliance-Management-System (CMS) im Sinne von ISO 37301 — also die Gesamtheit der Richtlinien, Rollen, Daten und Prozesse, mit denen eine Organisation ihre Pflichten erfüllt — und nicht als Bezeichnung für eine einzelne Software.
Stufe 1 — Die Führungsentscheidung
Compliance beginnt an der Spitze, oder sie beginnt gar nicht. ISO 37301 rückt Führung, Governance und Kultur aus gutem Grund in den Mittelpunkt des Managementsystems: Ohne klares Mandat, festgelegte Risikobereitschaft und sichtbare Rückendeckung ist Compliance-Arbeit immer die Aufgabe, die gegen die nächste Deadline verliert.
Was die Geschäftsleitung entscheiden muss
- Mandat und Sponsor. Benennen Sie ein Mitglied der Geschäftsleitung, das für Compliance rechenschaftspflichtig ist, und statten Sie das Programm mit ausdrücklicher Befugnis und einem Budget aus.
- Risikobereitschaft. Legen Sie unmissverständlich fest, wie viel Risiko der Nichtkonformität das Unternehmen zu tragen bereit ist — je Markt, Vertriebskanal und Produktkategorie.
- Eine Compliance-Richtlinie. Eine kurze, vom Aufsichtsorgan freigegebene Erklärung zu Selbstverpflichtung, Geltungsbereich, Rollen und Berichtswegen — die Verfassung, an der alles Weitere hängt.
Das Governance-Modell
Nutzen Sie das Three Lines Model des IIA (Drei-Linien-Modell), um festzulegen, wer was tut. Die erste Linie (Produkt, Beschaffung und Betrieb) trägt die Verantwortlichkeit für Compliance im Tagesgeschäft und steuert sie dort. Die zweite Linie (eine Compliance- oder Qualitätsfunktion) setzt Richtlinien, Rahmenwerke und Überwachung auf. Die dritte Linie (die Interne Revision) liefert eine unabhängige Prüfung. Das Aufsichtsorgan steht über allen drei Linien und ist den Beteiligten gegenüber rechenschaftspflichtig; externe Akteure — Marktüberwachungsbehörden, Handelspartner und notifizierte Stellen — stehen außerhalb.
Vorlage — Compliance-Richtlinie (eine Seite). Zweck: warum sich die Organisation der Produktkonformität verpflichtet. Geltungsbereich: welche Produkte, Marken, Märkte und Vertriebskanäle die Richtlinie abdeckt. Selbstverpflichtung: die Zusage, alle einschlägigen EU-Produktanforderungen zu erfüllen und bei Verstößen zu handeln. Rollen und Zuständigkeiten: Sponsor, Compliance-Verantwortliche, Pflichten der ersten, zweiten und dritten Linie (siehe RACI). Risikobereitschaft: das tolerierte Risikoniveau je Kategorie und Markt. Berichtswege und Eskalation: wie Probleme gemeldet werden, an wen und wie schnell. Überprüfung: Turnus der Überprüfung (z. B. jährlich) und auslösende Ereignisse. Freigabe: freigegeben durch [Aufsichtsorgan] am [Datum]; Verantwortliche [Name].
Stufe 2 — Die unternehmerische Entscheidung
Steht das Mandat, wird Compliance zu einem Business Case wie jeder andere: Sie grenzen ihn ab, priorisieren, entscheiden über die Ressourcen und definieren, woran sich der Erfolg messen lässt.
Dort priorisieren, wo es zählt
Alles auf einmal geht nicht. Bewerten Sie Produkte und Märkte nach ihrer Exponierung — aus dem regulatorischen Risiko bzw. dem Rückrufrisiko und dem Umsatz, der auf dem Spiel steht — und beginnen Sie dort, wo beides hoch ist.
| Hoher Umsatz | Geringerer Umsatz | |
|---|---|---|
| Hohes Risiko | Zuerst priorisieren — hier steht am meisten auf dem Spiel. Jetzt validieren und dokumentieren. | Als Nächstes einplanen — spürbares Risiko, vorausschauend absichern. |
| Geringeres Risiko | Schnelle Erfolge — leicht abzudecken, sichtbarer Fortschritt. | Beobachten — automatisieren und regelmäßig überprüfen. |
Selbst aufbauen, einkaufen oder auslagern
Drei Ressourcenmodelle, meist in Kombination: eine eigene Funktion aufbauen (volle Kontrolle, aber langwierig und teuer in der Personalgewinnung); eine Plattform einkaufen, die Klassifizierung, Validierung und Dokumentation automatisiert (schnell, skalierbar); oder an einen Managed Service auslagern (Leistungsfähigkeit ohne eigene Stellen). Die meisten Marken kaufen die Plattform und ergänzen sie um betreute Unterstützung dort, wo fachliches Urteil gefragt ist.
| Feld (Business Case für Compliance) | Was zu erfassen ist |
|---|---|
| Ziel | Das angestrebte Ergebnis (z. B. Compliance-Status in den drei wichtigsten Märkten innerhalb von 90 Tagen erreicht). |
| Im Geltungsbereich | Produkte, Marken, Märkte und Vertriebskanäle, die zuerst abgedeckt werden. |
| Geprüfte Optionen | Selbst aufbauen · Plattform einkaufen · auslagern (Managed Service). |
| Empfohlene Option | Die Wahl und ihre Begründung. |
| Budget | Einmalige und laufende Kosten (Capex/Opex). |
| Erwarteter Nutzen | Schnelleres Onboarding, weniger Auslistungen und Rückrufe, Vertrauensvorsprung. |
| Erfolgskennzahlen | Siehe Kennzahlen-Scorecard. |
| Risiken und Annahmen | Wesentliche Risiken und ihre Minderung. |
| Entscheidung und Verantwortliche | Freigegeben durch [Name] am [Datum]. |
Stufe 3 — Menschen und Verantwortlichkeiten
Compliance scheitert leise, wenn jeder annimmt, jemand anderes sei zuständig. Machen Sie die Verantwortlichkeit ausdrücklich, vermitteln Sie die nötigen Kompetenzen und schaffen Sie eine Kultur, in der es belohnt und nicht bestraft wird, ein Problem anzusprechen.
Verantwortlichkeit mit einer RACI-Matrix zuweisen
Eine RACI-Matrix ordnet jeder Aktivität zu, wer Responsible (durchführend), Accountable (rechenschaftspflichtig), Consulted (konsultiert) und Informed (informiert) ist. Passen Sie die Vorlage unten an Ihre Struktur an — entscheidend ist, dass jede Zeile genau ein A trägt.
| Aktivität | Sponsor | Compliance | Produktteam | Revision |
|---|---|---|---|---|
| Richtlinie und Risikobereitschaft festlegen | A | R | I | I |
| Produkte den Vorschriften zuordnen | I | A | R | — |
| Gegen Anforderungen validieren | I | A | R | — |
| Lücken schließen | I | C | R | — |
| Dokumentation erzeugen | I | A | R | — |
| Verantwortliche Person benennen | A | R | C | I |
| Regulatorische Änderungen verfolgen | I | A | C | I |
| Unabhängige Prüfung | I | I | I | A/R |
R = Responsible · A = Accountable · C = Consulted · I = Informed. Wo eigene Kapazität fehlt, kann eine Plattform oder ein Managed Service die Rolle des Responsible übernehmen, während Ihr Team Accountable bleibt.
Kompetenzen und Kultur
- Schulen Sie Produkt- und Beschaffungsteams in den Grundlagen: was eine Konformitätserklärung ist, was eine verantwortliche Person tut, was eine Vorschrift auslöst.
- Machen Sie den Compliance-Status in den Werkzeugen sichtbar, die ohnehin genutzt werden, damit er Teil des Arbeitsablaufs ist — und keine gesonderte Pflichtübung.
- Belohnen Sie das frühe Melden von Lücken. Eine Kultur, die Probleme verdeckt, ist das größte Risiko für jedes Compliance-System.
Stufe 4 — Daten und Systeme
Compliance ist im Kern ein Datenproblem. Beweisen lässt sich nur, was sich beschreiben lässt. Das Fundament ist eine verbindliche Datenquelle, die jedes Produkt mit den Märkten verbindet, in denen es verkauft wird, mit den Vorschriften, die gelten, mit den Anforderungen, die es belegen, und mit den Nachweisen dahinter.
Das Compliance-Datenmodell — ein Produkt, verknüpft mit seinen Märkten, Vorschriften, Anforderungen, Nachweisen, dem Lieferanten und der verantwortlichen Person.
Die Produktdaten richtig aufsetzen
An der Klassifizierung bleiben die meisten Programme hängen. Erfassen Sie je Produkt einen einheitlichen Satz an Feldern, damit das System jede SKU den einschlägigen Vorschriften und harmonisierten Normen zuordnen kann.
| Produktdatenfeld | Beispiel/Hinweis |
|---|---|
| Produkt-ID/SKU | Interne Kennung |
| Modellbezeichnung und GTIN/EAN | Für Rückverfolgbarkeit und Kennzeichnung |
| Kategorie und TARIC-Code | Bestimmt, welche Vorschriften gelten |
| Zielmärkte | Welche der 27 EU-Länder |
| Bauteile und Materialien | Stückliste |
| Stoffe | Für das Screening nach REACH/RoHS |
| Lieferant | Quelle der vorgelagerten Nachweise |
| Verantwortliche Person | Wirtschaftsakteur in der EU |
| Einschlägige Vorschriften | Automatisch zugeordnet (GPSR, REACH, …) |
| Status und Nachweise | Fertigstellungsgrad in %; Verweise auf DoC, Prüfberichte |
Senden Sie beim Onboarding eine Lieferanten-Compliance-Anfrage; ziehen Sie von Dritten geprüfte Unterlagen Eigenerklärungen vor.
| Beim Lieferanten anzufordern | Erforderlich? |
|---|---|
| Konformitätserklärung (DoC) | Ja |
| Prüfberichte (akkreditiertes Prüflabor) | Ja, risikobasiert |
| Materialerklärungen (REACH/RoHS) | Ja |
| Stückliste | Ja |
| Konformität mit harmonisierten Normen | Ja |
| Ursprungsland/EUDR-Daten | Falls zutreffend |
| Angaben zur verantwortlichen Person | Ja |
| Druckvorlagen für Kennzeichnung und Markierung | Ja |
Stufe 5 — Betrieb und kontinuierliche Compliance
Compliance ist kein Projekt, das endet; sie ist ein Betriebsrhythmus. ISO 37301 baut auf dem Plan-Do-Check-Act-Zyklus auf, und ein funktionierendes Programm durchläuft dieselbe Schleife fortlaufend für jedes Produkt.
Die Schleife der kontinuierlichen Compliance — von der Aufnahme bis zur Überwachung, im Einklang mit Plan-Do-Check-Act nach ISO 37301.
Die Schleife betreiben
- Aufnehmen und klassifizieren. Jedes neue oder geänderte Produkt kommt ins System und wird den einschlägigen Vorschriften zugeordnet.
- Validieren und nachbessern. Gegen die Anforderungen prüfen, die Lücken sehen und sie schließen.
- Dokumentieren. EU-Konformitätserklärung, technische Unterlagen und einen teilbaren Compliance-Status erzeugen — fertig, bevor ein Handelspartner danach fragt.
- Überwachen. Regulatorische Änderungen verfolgen und automatisch neu validieren, damit eine neue Anforderung ein Hinweis ist und kein Notfall.
Führen Sie ein lebendes Compliance-Register, damit der Status jederzeit prüfbar ist.
| Produkt | Markt | Vorschrift | Status | Verantwortlich |
|---|---|---|---|---|
| Schreibtischlampe (SKU-1042) | DE | LVD / RoHS / GPSR | Konform | Produktteam |
| Nachtlicht (SKU-3391) | FR | GPSR / EN 71 | Lücke — Kennzeichnung | Produktteam |
Auf den schlechten Tag vorbereitet sein
Zum Betrieb gehört auch die Bereitschaft: ein festgelegter Prozess für einen Rückruf oder eine Safety-Gate-Meldung, bei dem verantwortliche Person, Dokumentation und Korrekturmaßnahmen bereits feststehen. Die Marken, die einen Vorfall überstehen, sind die, die sich vorher darauf vorbereitet haben. (Siehe das begleitende Whitepaper Produktrückrufe in der EU richtig handhaben.)
Wissen, wo Sie stehen
Bevor Sie planen, verorten Sie sich. Der Sprung, auf den es ankommt, führt von konform zum Compliance-Status — an den Punkt, an dem Compliance aufhört, ein Engpass zu sein, und zum Vertriebsargument wird.
| Stufe | Wie es aussieht | Ergebnis |
|---|---|---|
| 1 · Reaktiv | Von Krise zu Krise bearbeitet; Tabellen und Anrufe in letzter Minute. | Blockierte Listungen, unerwartete Kosten, offene Risiken. |
| 2 · Konform | Produkte erfüllen die Vorschriften, doch der Nachweis ist manuell und langsam. | Übersteht Audits; Compliance ist ein Engpass. |
| 3 · Compliance-Status | Vollständige, aktuelle Dokumentation je Produkt und Markt. | Schnelleres Onboarding, weniger Verzögerungen, verlässlicher Ruf. |
| 4 · Im Vorteil | Fortlaufend und datengetrieben; Transparenz wird im Marketing genutzt. | Schnell ins Regal, Vertrauensvorsprung, Vorreiter bei neuen Vorschriften. |
Der Fahrplan
Eine pragmatische Abfolge bringt eine Marke in rund einem Quartal von reaktiv zum Compliance-Status und danach in die kontinuierliche Verbesserung. Passen Sie den Zeitrahmen an Ihre Größe und Ihr Sortiment an.
| Phase | Zeitraum | Schwerpunkt | Ergebnis |
|---|---|---|---|
| 0 · Mobilisieren | Woche 0–2 | Mandat, Sponsor, Richtlinie, Geltungsbereich, Risikobereitschaft. | Freigegebene Richtlinie; benannte Verantwortliche. |
| 1 · Fundament | Woche 2–6 | Datenmodell, Produktimport, RACI, Lieferantenanfragen. | Eine verbindliche Datenquelle; Rollen stehen. |
| 2 · Operationalisieren | Woche 6–12 | Vorrangige Produkte validieren, Lücken schließen, Unterlagen erzeugen. | Vorrangiges Sortiment auf Compliance-Status. |
| 3 · Optimieren | Laufend | Änderungen überwachen, auditieren, Abdeckung ausweiten, im Vertrieb nutzen. | Kontinuierliche Compliance; Kennzahlen im Blick. |
Erfolg messen
Was gemessen wird, wird getan. Verfolgen Sie einen knappen Satz an Kennzahlen (KPI), die Compliance mit dem Geschäft verbinden.
| Kennzahl | Definition | Zielwert |
|---|---|---|
| Abdeckung | Anteil des Sortiments, der gegen die einschlägigen Vorschriften validiert ist. | 100 % → |
| Zeit bis zur Dokumentation | Durchschn. Tage bis zu einem vollständigen Compliance-Unterlagenpaket für einen Handelspartner. | < 2 Tage |
| Offene Lücken | Anzahl ungelöster Anforderungslücken. | Tendenz gegen 0 |
| Audit-Erfolgsquote | Anteil der Produkte, die interne/externe Audits bestehen. | > 95 % |
| Zeit bis ins Regal | Durchschn. Tage von der Anfrage des Einkaufs bis zur Listungsreife. | Sinkend |
| Bearbeitete Änderungen | Regulatorische Änderungen, die innerhalb des SLA bewertet werden. | 100 % |
Fallstricke und Erfolgsfaktoren
Vermeiden
- Ein Tool zu kaufen, hinter dem weder Mandat noch Verantwortliche noch ein Betriebsrhythmus stehen.
- Das gesamte Sortiment auf einmal abdecken zu wollen, statt nach Risiko und Umsatz zu priorisieren.
- Dokumentation als einmalige Übung zu behandeln statt als lebendes, überwachtes Register.
Tun
- Oben anfangen, den Geltungsbereich eng halten und schnell eine erste Produktlinie auf den Compliance-Status bringen.
- Für jede Aktivität genau eine Person Accountable machen und den Status sichtbar halten.
- Die wiederkehrende Arbeit automatisieren, damit die Mitarbeitenden ihre Zeit für fachliche Beurteilung und nicht für Verwaltungsarbeit aufwenden.
Von der Pflicht zur Fähigkeit
Eine Compliance-Strategie umzusetzen ist eine Veränderung im Betrieb, kein Einkauf. Entscheiden Sie sie an der Spitze, begründen Sie den Business Case, weisen Sie klare Verantwortlichkeiten zu, bauen Sie das Datenfundament und betreiben Sie die Schleife. Tun Sie das, dann hört Compliance auf, Sie zu bremsen — und wird zu dem, was Sie ins Regal bringt, Sie dort hält und jede neue Vorschrift in eine Fähigkeit verwandelt, die Sie längst haben.
Wie Conphora unterstützt
Conphora ist die Plattform und der betreute Service hinter diesem Playbook. Conphora liefert das Compliance-Datenmodell von Anfang an, validiert Ihr Sortiment gegen 49 EU-Vorschriften in 27 Ländern, betreibt die Schleife der kontinuierlichen Compliance und erzeugt die Dokumentation und den teilbaren Status, den Handelspartner verlangen. Nutzen Sie es im Self-Service oder lassen Sie es von unserem Team für Sie betreiben. Mehr dazu auf conphora.com.
Quellen und Verweise
- ISO 37301:2021 — Compliance-Managementsysteme: Anforderungen mit Anleitung zur Anwendung (PDCA; ersetzt ISO 19600:2014).
- The Institute of Internal Auditors — The Three Lines Model (Aktualisierung der Three Lines of Defense von 2020).
- Verordnung (EU) 2023/988 über die allgemeine Produktsicherheit (GPSR). EUR-Lex.
- Verordnung (EU) 2024/1781 — Ökodesign-Verordnung für nachhaltige Produkte (ESPR) und digitaler Produktpass. EUR-Lex.
- Europäische Kommission — Safety Gate, das Schnellwarnsystem der EU (Jahresbericht).
Dieses Whitepaper dient der allgemeinen Information und stellt keine Rechtsberatung dar. Rahmenwerke sind zusammengefasst; ziehen Sie vor der Umsetzung die Originalnormen und -vorschriften zurate. © 2026 Conphora.