Das Compliance Management System in der Exportkontrolle (CMS/ICP) unter den Maßgaben des IDW PS 980 n.F.

Politische Hintergründe in der Außenwirtschaft und Ihre Auswirkungen für deutsche Unternehmen

Die Europäische Union hat allein 2025 bereits vier Sanktionspakete, zuletzt das 19. Sanktionspaket am 23. Oktober, gegen Russland und Belarus auf den Weg gebracht. Damit einhergehend wurden zahlreiche zusätzliche Maßgaben mit Auswirkungen auf den Außenwirtschaftsverkehr beschlossen.

Für deutsche Unternehmen spielt hierfür die konzernweite Compliance-Dimension eine entscheidende Rolle: Sie müssen sich mittlerweile auch bemühen, sicherzustellen, dass bei ihren (ausländischen) Tochtergesellschaften keine Verstöße gegen europäische Sanktionen entstehen. Zudem stellt das Thema indirekte bzw. mittelbare Sanktionsumgehung eine besondere Compliance-Herausforderung für europäische Unternehmen dar.

Ein weiterer maßgeblicher Compliance-Treiber ist die sog. „EU-Sanktionsstrafrechts-Richtlinie“ (RL (EU) 2024/1226). Diese sieht nur eine Strafrahmenanpassung bei Verstößen gegen Exportkontroll- und Sanktionsvorschriften vor. Sie stellt auch fahrlässig begangene Verstöße zunehmend unter Strafe. Unternehmen sind daher auch in diesem Kontext gut beraten, ihre Exportkontrollprozesse rechtskonform und belastbar zu gestalten.

Veränderungen in der Exportkontrolle Zuletzt befindet sich auch die Exportkontrolle im ständigen Wandel. So geraten durch technologische Entwicklungen immer mehr Güter in den Fokus der Exportkontrolle und werden damit zu sog. Dual-Use-Gütern nach der Verordnung (EU) 2021/821 („Dual-Use-VO“). Dies spiegelt vor allem die dynamische Entwicklung im sog. „Hochtechnologie-Sektor“ wider. Besonders betroffen sind dabei

• Quanten-Technologien,
• Güter der Halbleiterfertigung und -prüfung,
• hochentwickelte Elektronik, sowie
• Chemie- und Biotechnologien 

Unternehmen müssen daher kontinuierlich darüber Kenntnis haben, ob ihre Produkte vom Anwendungsbereich der Dual-Use-VO erfasst sind und daher Genehmigungen für einen Export zu beantragen sind.

Empfehlung des BAFA zur Implementierung eines innerbetrieblichen Compliance-Programms (ICP)

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) empfiehlt als zuständige deutsche Exportkontrollbehörde in diesem Zusammenhang die Implementierung eines innerbetrieblichen Compliance-Programms („ICP“). So sollten Unternehmen, die am Außenwirtschaftsverkehr teilnehmen und deren Produktpalette unter anderem Dual-Use-Güter oder Rüstungsgüter beinhalten, ein innerbetriebliches Compliance-Programm zur Einhaltung der Vorschriften des Außenwirtschaftsrechts implementieren.

Darüber hinaus kann, so das BAFA, die Erteilung von „Exportgenehmigungen“ auch von sachlichen und persönlichen Voraussetzungen der jeweiligen Unternehmen abhängig gemacht werden. An dieser Stelle spielt insbesondere die Zuverlässigkeit des betroffenen Unternehmens eine zentrale Rolle. Die Zuverlässigkeit lässt sich insbesondere durch ein angemessenes und wirksames Compliance-System nachweisen. Umgekehrt kann das Fehlen eines solchen Systems sowie daraus resultierende Verstöße gegen das Außenwirtschaftsrecht der Zuverlässigkeit eines Unternehmens erheblichen Schaden zufügen.

Wer ist von den rechtlichen Vorgaben der Exportkontrolle betroffen?

Grundsätzlich sind alle Unternehmen, die am Außenwirtschaftsverkehr teilnehmen, verpflichtet, die rechtlichen Vorgaben der Exportkontrolle auf nationaler und europäischer Ebene einzuhalten. Darüber hinaus müssen alle Unternehmen die Einhaltung geltender Sanktionen sicherstellen.

Innerbetriebliches Compliance-Programm (ICP) als Schlüssel

Das BAFA empfiehlt Unternehmen die Implementierung eines ICP, um damit den regulatorischen Anforderungen des Außenwirtschaftsrechts gerecht zu werden. Zwar besteht keine generelle Rechtspflicht zur Einführung eines ICP, jedoch ergibt sich eine faktische Verpflichtung aus § 8 Abs. 2 S. 1 AWG: Die Erteilung einer Ausfuhrgenehmigung kann von der Zuverlässigkeit des Ausführers abhängig gemacht werden. Maßgeblich für diese behördliche Prognoseentscheidung ist unter anderem das Bestehen einer funktionierenden Compliance-Organisation. Auch die Dual-Use-VO greift das Thema ICP auf und definiert es in Art. 2 Nr. 21 Dual-Use-VO als laufende, wirksame, geeignete und verhältnismäßige Strategien und Verfahren, die von Ausführern angenommen werden, um die Einhaltung der Bestimmungen und Ziele der Dual-Use-VO und der Bedingungen der gemäß dieser Verordnung erteilten Genehmigungen, zu fördern.

Ein wirksames ICP bildet daher das Fundament für die rechtskonforme Umsetzung exportkontrollrechtlicher Anforderungen. Es dient nicht nur der Einhaltung gesetzlicher Vorgaben, sondern auch dem Schutz vor Reputations- und Haftungsrisiken. Das ICP ist dabei weit mehr als ein formales Regelwerk – es ist Ausdruck gelebter Compliance-Kultur und organisatorischer Resilienz. Es gibt Unternehmen erst die Möglichkeit, auch auf (kurzfristige) Veränderungen im Außenwirtschaftsrecht unmittelbar zu reagieren.

Die neun zentralen Komponenten eines Innerbetrieblichen Compliance-Programms

Ein vollständiges ICP umfasst laut BAFA die neun zentralen Komponenten:

1. Bekenntnis der Unternehmensleitungzu den Zielen der Exportkontrolle
2. Risikoanalyse
3. Aufbauorganisation/ Verteilung von Zuständigkeiten / Berichtswege
4. Personelle und technische Mittel sowie sonstige Arbeitsmittel
5. Ablauforganisation
6. Führen von Aufzeichnungen und Aufbewahrung von Unterlagen
7. Personalauswahl, Schulungen und Sensibilisierungen
8. Prozessbezogene Kontrollen / Systembezogene Kontrollen (ICP-Audit) / Korrekturmaßnahmen / Hinweisgebersystem
9. Physische und technische Sicherheit

Die Verantwortung für die Implementierung liegt beim sogenannten Ausfuhrverantwortlichen, der als Teil der Unternehmensleitung agiert. Damit wird deutlich: Exportkontrolle ist keine isolierte Fachaufgabe, sondern ein integraler Bestandteil der Unternehmensführung.

Integration in das Compliance Management System (CMS)

Besonders wirkungsvoll wird das ICP, wenn es in ein bestehendes Compliance Management System nach IDW PS 980 n.F. („CMS“) integriert wird. Die ICP-Komponenten lassen sich direkt mit den Grundelementen des CMS – etwa Compliance-Kultur, Kommunikation, Überwachung und Verbesserung – verknüpfen. So entsteht ein ganzheitliches System, das nicht nur regulatorische Anforderungen erfüllt, sondern auch zur strategischen Steuerung von Risiken beiträgt.

Die Integration ermöglicht zudem eine konsistente Governance-Struktur, in der Schulungen, Audits und Monitoring-Maßnahmen systematisch ineinandergreifen. Unternehmen profitieren von erhöhter Transparenz, effizienteren Prozessen und einer belastbaren Nachweisbarkeit gegenüber Behörden und Geschäftspartnern.

Die ICP-Elemente werden mit den Grundelementen des CMS verknüpft und in die Prozesslandschaft eingebettet. Dadurch entsteht ein konsistentes Governance-Modell, das nicht nur regulatorischen Anforderungen gerecht wird, sondern auch Haftungsrisiken minimiert und Vertrauen bei Stakeholdern schafft.

Unsere Unterstützung für Ihr ICP

Ob Sie bereits ein ICP oder CMS implementiert haben oder am Anfang stehen – wir begleiten Sie von der ersten Gap-Analyse bis zur erfolgreichen Prüfung Ihres Systems. Gemeinsam mit Ihnen definieren wir den erforderlichen Umfang und die Maßnahmen für ein auf Ihr Unternehmen zugeschnittenes ICP und sorgen für eine nahtlose Integration in Ihre bestehenden Strukturen.

IDW PS 980 n.F. als Prüfungsmaßstab

Der Prüfungsstandard IDW PS 980 n.F. hat sich als Best Practice etabliert und bietet Unternehmen die Möglichkeit, ihr CMS im Rahmen einer Angemessenheits- oder Wirksamkeitsprüfung objektiv bewerten zu lassen. Eine erfolgreiche Prüfung kann im Fall eines Verstoßes entlastend wirken und die Compliance-Leistung transparent dokumentieren.