Definition
Internationale Norm für Compliance-Managementsysteme. Definiert Anforderungen zur Identifizierung, Bewertung und Steuerung von Compliance-Verpflichtungen — gesetzlich wie freiwillig. Folgt der harmonisierten High-Level-Structure und integriert sich nahtlos mit ISO 9001, 14001 und 27001. Praxis-Pflichtfelder: Compliance-Risiko-Inventar, regelmäßige Bewertung, Schulungen, Verstoßmeldewege, Wirksamkeitsprüfung. Ablöser des älteren ISO 19600-Leitfadens.
In der Praxis
Viele Compliance-Managementsysteme bestehen aus einem Verhaltenskodex und einer jährlichen E-Learning-Folie — das ist Dekoration, kein System. Der Kern der ISO 37301 ist das Verpflichtungsinventar: Sie müssen wissen, welchen Pflichten Sie überhaupt unterliegen — Gesetze, Genehmigungen, Verträge, freiwillige Selbstverpflichtungen — und dieses Inventar aktuell halten. Genau daran scheitert es meistens: Niemand bemerkt die neue Verordnung, bis die Behörde fragt. Zweiter Stolperstein: Die Compliance-Risiken werden nicht bewertet, sondern pauschal behauptet. Dritter: Der Meldeweg für Verstöße existiert auf dem Papier, aber niemand kennt ihn und niemand traut sich. Der große Vorteil der Norm: Sie folgt der Harmonisierten Struktur — wer ISO 9001, 14001 oder 45001 fährt, integriert Kontextanalyse, interne Audits und Managementbewertung, statt ein Paralleluniversum aufzubauen. Und seit 2021 ist das Ganze zertifizierbar — die alte ISO 19600 war nur ein Leitfaden.
Verwandte Begriffe
Häufige Fragen zu ISO 37301
Was ist der Unterschied zwischen ISO 37301 und der älteren ISO 19600?
Die ISO 19600 war ein Leitfaden: Sie beschrieb Empfehlungen für ein Compliance-Managementsystem, enthielt aber keine Anforderungen — eine Zertifizierung dagegen war unmöglich. Die ISO 37301 hat sie 2021 abgelöst und ist eine echte Anforderungsnorm mit „muss"-Formulierungen, gegen die ein Zertifizierungsaudit möglich ist. Inhaltlich baut sie auf denselben Bausteinen auf — Verpflichtungen identifizieren, Risiken bewerten, Schulen, Meldewege, Wirksamkeit prüfen —, ordnet sie aber in die Harmonisierte Struktur der Managementsystem-Normen ein. Für die Praxis heißt das: Wer mit ISO 19600 gearbeitet hat, findet alles wieder, muss aber die Nachweis- und Verbindlichkeitslogik nachziehen. Und wer mehrere Managementsysteme betreibt, kann die 37301 in dasselbe integrierte System hängen wie Qualität, Umwelt und Arbeitsschutz.
Welche konkreten Gesetze gehören bei uns ins Compliance-Verpflichtungsinventar — gibt es ein Beispiel?
Nehmen Sie den Hinweisgeberschutz: Nach § 12 des Hinweisgeberschutzgesetzes müssen Beschäftigungsgeber mit in der Regel mindestens fünfzig Beschäftigten eine interne Meldestelle einrichten und betreiben, über die Verstöße gegen geschützte Rechtsbereiche gemeldet werden können — für Bund, Länder und Gemeinden gelten besondere Organisationsregeln, und für Unternehmen des Finanzsektors gilt die Pflicht unabhängig von der Beschäftigtenzahl. Das ist eine typische Compliance-Verpflichtung im Sinne der ISO 37301: gesetzlich verbindlich, mit Prozess- und Dokumentationsanforderungen, und sie gehört mit Verantwortlichem, Fristenlogik und Vertraulichkeitsregeln ins Inventar. Dieselbe Logik gilt für Ihre übrigen Pflichten — aus Arbeitsschutz, Umweltrecht, Datenschutz, Produktsicherheit, Vertragswesen. Der normative Kern der 37301 ist, dass Sie diese Pflichten systematisch ermitteln, ihre Erfüllung in geplanten Abständen bewerten und den Compliance-Status dokumentiert vorhalten. Ein Rechtskataster mit Update-Service ist dafür das pragmatischste Werkzeug (Hinweisgeberschutzgesetz, § 12 Abs. 1 bis 3).
Wie bauen wir das Compliance-Verpflichtungsinventar pragmatisch auf?
Beginnen Sie mit vier Quellenkategorien: Gesetze und behördliche Anforderungen, Genehmigungen und Auflagen, Vertragsverpflichtungen mit Kunden und Versicherern sowie freiwillige Selbstverpflichtungen wie Verhaltenskodizes oder Branchenstandards. Tragen Sie je Verpflichtung ein, wen sie betrifft, wer intern dafür verantwortlich ist und wie die Erfüllung nachgewiesen wird — das ist Ihr Inventar, keine Doktorarbeit. Zweitens der Aktualisierungsprozess: Legen Sie fest, wer Gesetzesänderungen verfolgt und wie sie ins Inventar fließen; ein Abo auf ein Rechtskataster oder einen Fachinformationsdienst schlägt jede manuelle Recherche. Drittens die Bewertung: Prüfen Sie in festem Rhythmus — jährlich ist üblich — je Pflicht den Erfüllungsstatus und dokumentieren Sie Lücken mit Maßnahmen. Viertens die Verbindung ins System: Das Inventar ist Eingang für Risikobewertung, Schulungsplanung und interne Audits. Ohne diese Schleife bleibt es eine Excel-Liste.