Compliance ist längst Pflichtaufgabe der Unternehmensleitung, auch im Rettungsdienst. Gesetzliche Vorgaben, Vergabeverfahren, Gemeinnützigkeitsrecht und IT-Sicherheitsanforderungen wie NIS-2 machen ein strukturiertes Compliance-Management-System (CMS) unverzichtbar. Wir zeigen, welche Anforderungen gelten und worauf Rettungsdienst-Organisationen beim Aufbau eines wirksamen CMS besonders achten müssen.
Compliance-Management als Unternehmensstandard.
Compliance bedeutet Regelkonformität. Die Regeln können für Unternehmen „von außen“ vor allem durch Gesetze und „von innen“ durch Unternehmensrichtlinien gelten. Da in Unternehmen viele Beschäftige in unterschiedlichen Unternehmensbereichen tätig sind, ist es für die Leitung von Unternehmen schwierig, diese Regelkonformität zu überwachen. Das wiederum ist aber ihre Leitungspflicht. Um annähernd eine Chance zu haben, dieser Pflicht nachkommen zu können, etablieren Unternehmen Compliance-Management-Systeme (CMS). Mit diesen Systemen kann strukturiert eine Regelkonformität hergestellt werden. Bei Verstößen wirkt sich ein effektives CMS sowohl für die Geschäftsleitung als auch das Unternehmen selbst mildernd auf mögliche Rechtsfolgen aus.
Compliance-Management bei Rettungsdienst-Organisationen.
Viele Rettungsdienst-Organisationen widmen sich seit einiger Zeit dem Thema Compliance. In Bayern ist das CMS sogar vorgeschrieben, wenn Ausschreibungen an Rettungsdienste erfolgen. Da die Organisationen typischerweise mehrgliedrig aufgebaut sind, können Synergien durch gemeinsame Konzepte genutzt werden. Dabei muss man stets auf die Besonderheiten von Rettungsdiensten achten. Denn jeder Sektor hat seine eigenen Gesetze (Rettungsdienstgesetze, mögliche Rettungsdienstreform, Telemedizin, etc.) und Besonderheiten. In jüngerer Vergangenheit gab es bspw. ein viel beachtetes Strafverfahren zum Abrechnungsbetrug im Rettungsdienst, auch die Umsetzung der NIS-2-Richtlinie zur IT-Sicherheit beschäftigt den Rettungsdienst aktuell.
Aufbau eines Compliance-Management-Systems.
Die Etablierung eines CMS ist eine Daueraufgabe, wobei die erste Initiierungsphase auf aufwändigsten ist. Wichtig ist, dass die Geschäftsleitung stets die Letztverantwortung für das CMS trägt, auch wenn Aufgaben delegiert werden, etwa an einen Compliance Officer.
Startpunkt eines CMS ist eine Risikoanalyse speziell für das Unternehmen, welche Risiken mit welcher Gewichtung und Dringlichkeit bestehen. Anhand der erstellten Risikomatrix können dann verschiedene Prozesse initiiert werden, um Risiken zu beherrschen. Hierzu zählen etwa Compliance-Leitfäden oder Schulungen zu Sensibilisierung von Mitarbeitenden.
Da sich Compliance-Verstöße nie gänzlich vermeiden lassen, müssen Unternehmen sich hierauf einstellen. Für bestimmte Verstöße sind Hinweisgebersysteme gesetzlich vorgeschrieben, für andere Verstöße auch ohne die Verankerung im Gesetz der Goldstandard. An das Unternehmen herangetragene Verstöße werden mittels einer Internen Untersuchung aufgeklärt und anschließend abgestellt.
Herausforderungen im Rettungsdienst.
Unternehmen ist nicht gleich Unternehmen. Für Rettungsdienste gibt es besondere Herausforderungen bei der Etablierung eines CMS. Das gilt schon deshalb, weil steuerrechtliche Grenzen für Verwaltungsaufgaben einzuhalten sind. Insgesamt ist der steuerrechtliche Gemeinnützigkeitsstatus ein hohes Gut, das bei sämtlichen Compliance-Prozessen mitgedacht werden muss. Eine weitere Herausforderung kommt durch die Angewiesenheit auf ehrenamtliche Kräfte. Diese sitzen in den Aufsichtsgremien und müssen mit ihrer begrenzten Zeit die Geschäftsleitung und ihre Umsetzung des CMS überwachen. Und die ehrenamtlichen Kräfte sind „auf der Straße unterwegs“ und üben rettungsdienstliche Tätigkeiten aus. Für sie muss die Bedeutung von Compliance anders vermittelt werden als für Beschäftigte. Sinnvoll kann auch ein spezieller Ansprechpartner für die ehrenamtlichen Kräfte sein. Denn einerseits müssen die Risiken durch ehrenamtliche Kräfte im Einsatz berücksichtigt werden, andererseits mindern zu viele Vorgaben die Motivation, sich ehrenamtlich zu betätigen. Die Organisationen müssen also ausgewogene Maßnahmen ergreifen.
Dr. Tilmann Dittrich ist Teil der Praxisgruppe Data, Digital & Governance. Seine Beratungsschwerpunkte liegen insbesondere an der Schnittstelle von Datenrecht, Cybersecurity, NIS-2-Compliance sowie im Healthcare- und Life-Sciences-Bereich.
