Inzwischen besteht Einigkeit, dass der Einsatz eines Compliance-Management-Systems eine Pflicht darstellt, deren Verletzung Schadensersatz und sogar strafrechtliche Sanktionen nach sich zieht. Kommt es in einem Unternehmen zu einem Rechtsverstoß, wird dies mit dem Unterlassen eines Compliance-Management-Systems begründet. Diese unumstrittene Rechtslage spricht für ein Compliance-Management-System.

Dagegen spricht nach verbreiteter Ansicht der Compliance-Aufwand. Die Einhaltung aller einschlägigen Vorschriften im Unternehmen schafft mehr Aufwand, der nicht etwa durch einen eingetretenen Schaden, sondern nur durch drohende Schäden zu rechtfertigen ist. In der unternehmensinternen Diskussion um den Compliance-Aufwand und seinen Nutzen sind Argumente erforderlich, um den Compliance-Aufwand zu rechtfertigen. Ein interessantes Argument liefert ein Vertreter der BaFin in einem Artikel in der Börsenzeitung vom 2. Juni 2018, das nicht für Banken und Finanzdienstleister, sondern für alle Unternehmen gilt. Kommt es zu einem Rechtsverstoß, muss die Aufsichtsbehörde prüfen, ob ein Ahndungsbedürfnis besteht und in welchem Umfang sanktioniert werden muss. Wird ein effizientes Compliance-Management-System im Unternehmen unterhalten, lässt sich zur Verteidigung argumentieren, dass der festgestellte Rechtsverstoß eigentlich nicht hätte vorkommen dürfen und als Ausreißer zu bewerten ist, der nicht ahnungsbedürftig ist. Dieses Argument hat der BGH in seinem Urteil vom 9. Mai 2017 erstmals zum Ausdruck gebracht. Sowohl vor als auch nach einem Rechtsverstoß gilt der Betrieb eines Compliance-Management-Systems als sanktionsmindernd. Der BGH hat den Instanzgerichten aufgegeben, bei der Bemessung der Sanktion als Bußgeld oder Strafe den Einsatz eines Compliance-Management-Systems zu berücksichtigen (BGH 1 StR 265/16 - Urteil vom 9. Mai 2017 (LG München I). Selbst nach einem Rechtsverstoß kann ein Unternehmen Sanktionen mindern, indem es auf glaubhafte, nachvollziehbare Einführung eines Compliance-Management-Systems verweist. Ein Compliance-Management-System begründet die Erwartung, dass Rechtsverstöße in Zukunft vermieden werden. Entsprechend dieser Rechtsprechung des BGH äußert sich die Bafin als Aufsichtsbehörde und Ahndungsinstanz in gleicher Weise. Der zuständige Regierungsdirektor vertritt unter der Überschrift „Es zahlt sich aus“ die Ansicht, dass ein Rechtsverstoß der trotz eines vorhandenen und praktizierten Compliance-Management-Systems in Unternehmen vorkommt, als „Einmalversagen“ ohne Ahndungsbedürfnis gewertet werden kann. Eine Behörde wie die BaFin hat die Aufgabe, die Unternehmen zu kontrollieren und durch diese Kontrollen Rechtsverstöße zu vermeiden. Kommt es trotz allem zu einem Rechtsverstoß und einem Schaden etwa bei betrogenen Anlegern, setzt sich die BaFin ebenfalls der Kritik aus, nicht ausreichend genug kontrolliert zu haben. Je besser die unternehmensinternen Kontrollen zur präventiven Vermeidung von Rechtsverstößen funktioniert, umso geringer ist der Kontrollaufwand der Aufsichtsbehörde. Effiziente präventive Kontrollen in Unternehmen sind das gemeinsame Interesse an Unternehmen und Aufsichtsbehörden, die sich beide vor dem Vorwurf schützen müssen, nicht ausreichend kontrolliert zu haben.

Bei unternehmensinternen Diskussionen zur Rechtfertigung des Compliance-Aufwands sollte dieses Argument auf jeden Fall zur Begründung des Compliance-Aufwands genutzt werden. Der Nutzen aus dem Compliance-Aufwand besteht in der präventiven Vermeidung von Schäden durch Rechtsverstöße. Die Dieselaffäre macht es deutlich.