AKD als Erste in Kroatien mit ISO-37301-Zertifikat und neuem Standard der Compliance-Überwachung in staatlichen Unternehmen

AKD als Erste in Kroatien mit ISO-37301-Zertifikat: Compliance als neues Maß für die Verantwortung staatlicher Unternehmen

Die Agentur für kommerzielle Tätigkeit (AKD) gab am 26. Februar 2026 bekannt, dass sie das Zertifizierungsaudit nach der internationalen Norm ISO 37301 – Compliance Management System (CMS) abgeschlossen hat und die erste Organisation in Kroatien ist, die nach dieser Norm zertifiziert wurde.
Laut Unternehmensmitteilung handelt es sich um ein strategisches Projekt, das im September 2024 begonnen hat und auf die Stärkung der Corporate Governance, der Integrität und der Transparenz der Geschäftstätigkeit ausgerichtet ist – mit der klaren Botschaft, dass sich ein Compliance-System nicht auf Form beschränkt, sondern auf messbare Prozesse. AKD betont, dass es mit der Einrichtung eines Compliance-Management-Systems auch die gesetzliche Pflicht zur Einführung einer Compliance-Überwachungsfunktion erfüllt hat, die im neuen Rahmen der Verwaltung des staatlichen Vermögens den Status einer verpflichtenden internen Kontrolle erhalten hat. In der Praxis bedeutet das, dass Nachweisbarkeit erwartet wird: wie Verpflichtungen erkannt werden, wie Risiken gemessen werden, wer für das Handeln verantwortlich ist und wie Abweichungen gesteuert werden. In staatlichen Unternehmen ist dieses Thema besonders sensibel, weil Versäumnisse nicht nur als Kosten in der Bilanz enden, sondern oft zu einer Frage des öffentlichen Vertrauens, der politischen Verantwortung und der Nachhaltigkeit zentraler öffentlicher Dienstleistungen werden. Der Zertifikatserwerb kann daher als Versuch gelesen werden, Compliance zu einem Bestandteil des täglichen Managements zu machen und nicht zu einer Reaktion erst nach Problemen.

Was ist ISO 37301 und warum ist sie für Organisationen im öffentlichen Interesse wichtig

ISO 37301 ist eine internationale Norm, die Anforderungen festlegt und Leitlinien für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Compliance-Management-Systems in Organisationen unterschiedlicher Profile – von privat über öffentlich bis gemeinnützig – gibt. Ihr Zweck ist es, einen Rahmen zu schaffen, der einer Organisation ermöglicht, Compliance-Verpflichtungen zu erkennen und zu steuern: von Gesetzen und untergesetzlichen Akten über regulatorische Anforderungen bis hin zu internen Richtlinien, ethischen Standards und vertraglichen Verpflichtungen gegenüber Partnern. Die Norm verlangt mehr als allgemeine Aussagen zur „Nulltoleranz“: Sie verlangt nachweisbare Prozesse zur Risikobewertung, zur Beschlussfassung und Umsetzung von Richtlinien, zu Mitarbeiterschulungen, zur Berichterstattung an die Geschäftsleitung und Aufsichtsorgane sowie zu Korrekturmaßnahmen, wenn Unregelmäßigkeiten festgestellt werden. In einem Umfeld mit hohem Reputationsrisiko und hohen öffentlichen Erwartungen hilft ein solcher Rahmen einer Organisation zu zeigen, dass sie „nach den Regeln“ arbeitet, auch wenn Prozesse komplex sind und Verantwortlichkeiten auf mehrere Führungsebenen verteilt sind. Ein zusätzlicher Wert liegt in der Vergleichbarkeit: ISO-Standards schaffen eine gemeinsame Sprache, die die Kommunikation mit externen Prüfern, Regulierern, Banken, Lieferanten und internationalen Partnern erleichtert. Für den öffentlichen Sektor und staatliche Unternehmen ist dies besonders wichtig, weil von ihnen erwartet wird, zugleich das öffentliche Interesse zu schützen, Marktdisziplin zu wahren und Situationen zu vermeiden, in denen Nichtkonformität zu einem systemischen Risiko wird.

Gesetz, Leitlinien und Verordnung: wie der Staat die Compliance-Überwachungsfunktion standardisiert

Die gesetzliche Grundlage für die Compliance-Überwachungsfunktion wurde durch die Verabschiedung des Gesetzes über juristische Personen im Eigentum der Republik Kroatien, veröffentlicht in den „Narodnim novinama“, zusätzlich gefestigt; es trat am 1. Oktober 2025 in Kraft und schreibt im Kapitel über interne Kontrolle ausdrücklich die Pflicht zur Einrichtung einer Compliance-Überwachungsfunktion vor. Das Gesetz definiert, dass diese Funktion Aufgaben der Angleichung des Funktionierens und der Geschäftstätigkeit der juristischen Person an geltende Vorschriften und allgemeine Akte umfasst, mit zusätzlichen Aufgaben, die durch eine Verordnung des Finanzministers zu regeln sind; damit wird Raum für detailliertere Standards zu Unabhängigkeit, Berichterstattung und Arbeitsumfang eröffnet. In den Übergangsbestimmungen ist vorgesehen, dass bis zum Erlass der Verordnung die Regierungsentscheidung aus dem Jahr 2019 über die Pflicht zur Einführung der Funktion zur Überwachung der Compliance der Geschäftstätigkeit in juristischen Personen in mehrheitlichem Staatseigentum in Kraft bleibt, was die Kontinuität der Politik zeigt: Die Pflicht besteht seit Jahren, wird nun aber von der Entscheidungsebene auf die Gesetzesebene verlagert. Das Finanzministerium veröffentlichte im Juni 2024 umfangreiche Leitlinien zur Organisation dieser Funktion und betonte die Grundsätze der Proportionalität, Unabhängigkeit und Dauerhaftigkeit sowie die Notwendigkeit eines systematischen Managements des Compliance-Risikos durch Prävention, Warnungen und Kontrollen. Parallel dazu wurde im e-Konsultationsverfahren ein Entwurf einer Verordnung veröffentlicht, der die Gesetzesbestimmung operationalisieren und die Praxis in juristischen Personen im Staatseigentum vereinheitlichen soll, einschließlich Regeln zur Organisation, zum Zuständigkeitsbereich und zur Berichterstattungsweise. In einem solchen Rahmen wird die Zertifizierung nach ISO 37301 wichtig, weil sie dem Unternehmen eine Methodik und eine externe Überprüfung gibt, ihm aber zugleich den Nachweis erleichtert, dass es die Erwartungen der nationalen Vorschriften erfüllt.

Warum gerade AKD im Fokus steht: Status „von besonderem Interesse“ und sensible Tätigkeiten

AKD ist in der geltenden Entscheidung über juristische Personen von besonderem Interesse für die Republik Kroatien unter den Subjekten genannt, denen der Staat besondere Bedeutung beimisst – was auch ein höheres Maß an Erwartungen an Management, Aufsicht und öffentliche Verantwortung nach sich zieht. In der Begründung der Entscheidung wird angeführt, dass es sich um ein Unternehmen im 100-prozentigen Eigentum der Republik Kroatien handelt, mit Tätigkeiten im Zusammenhang mit der Erbringung von Dienstleistungen für Behörden der öffentlichen Verwaltung, der Herstellung amtlicher Dokumente und der IT-Sicherheit. Der Inhalt der Entscheidung beschreibt zusätzlich den Arbeitsumfang: AKD produziert und personalisiert Personalausweise, Reisepässe, Visa, Führerscheine, Aufenthaltstitel und andere geschützte Druckerzeugnisse und beteiligt sich an Tätigkeiten, die Zertifikate und qualifizierte Vertrauensdienste betreffen. Wenn die Geschäftstätigkeit mit Identität, Dokumenten und sicherheitssensiblen Prozessen verbunden ist, erhält die Compliance-Frage auch eine Sicherheitsdimension: wichtig sind kontrollierte Zugänge, Nachverfolgbarkeit, Zuverlässigkeit der Lieferanten, Datenschutz und die Integrität der IT-Systeme, die die Ausstellung und Nutzung von Dokumenten unterstützen. In einem solchen Umfeld ist ein Compliance-Management-System nicht nur ein „Rechtsthema“, sondern auch eine organisatorische Disziplin, die Geschäftsleitung, Aufsichtsrat, IT, Beschaffung, Sicherheit und operative Teams verbindet. Die Zertifizierung nach ISO 37301 kann daher auch als Instrument zur Stärkung interner Kontrollen in einem Bereich betrachtet werden, den die Öffentlichkeit oft erst sieht, wenn ein Vorfall passiert oder wenn Institutionen auf Unregelmäßigkeiten reagieren.

Was das Zertifizierungsaudit verlangt haben könnte: Schlüsselelemente eines wirksamen CMS

AKD führt in der Mitteilung an, dass die Zertifizierung das Vorhandensein aller Schlüsselelemente eines wirksamen Compliance-Management-Systems bestätigt: von der Identifikation und dem Management von Compliance-Risiken über klare Richtlinien und Verfahren bis hin zu einem System aus Schulungen, Berichterstattung und kontinuierlicher Verbesserung. Solche Elemente bedeuten in der Praxis, dass die Organisation einen Überblick über Verpflichtungen und Risiken haben muss, aber auch eine nachvollziehbare Spur des Handelns: dokumentierte Bewertungen, Schulungsnachweise, Verfahren zur Meldung von Unregelmäßigkeiten sowie klare Mechanismen für Korrekturmaßnahmen. In Compliance-Management-Systemen wird besonders darauf geachtet, wie „papiermäßige“ Compliance verhindert wird, also wie sichergestellt wird, dass Mitarbeitende die Regeln verstehen und dass Abweichungen entdeckt werden, bevor sie zum Problem werden. Die Leitlinien des Finanzministeriums betonen, dass das Ziel der Compliance-Überwachungsfunktion darin besteht, Risiken von Strafen, Gerichtsverfahren und Reputationsschäden durch ein wirksames System der Feststellung, des Managements, der Warnung, der Prävention und der Kontrollen zu reduzieren – was der Logik der ISO 37301 sehr nahekommt. AKD hob zusätzlich die Übereinstimmung mit internationalen Leitlinien hervor: Generaldirektor Jure Sertić erklärte, das System sei „mit den höchsten internationalen Standards und Leitlinien“ abgestimmt, unter Verweis auf OECD-Empfehlungen und die bevorstehende Verordnung des Finanzministeriums. In der Praxis bedeutet eine solche Aussage, dass das Unternehmen versucht, sich über die minimale gesetzliche Schwelle hinaus zu positionieren und sich auf Standards auszurichten, die auch außerhalb des nationalen Rahmens anerkannt sind – ein wichtiges Signal sowohl für Partner als auch für die Öffentlichkeit.

• Management des Compliance-Risikos: Kartierung von Verpflichtungen, Risikobewertung und Definition von Kontrollen für Bereiche wie Beschaffung, Vertragsgestaltung, Interessenkonflikte und Datenschutz.
• Richtlinien und Verfahren: klare Regeln, Verantwortlichkeiten und Protokolle für Entscheidungen, mit Genehmigungsmechanismen und Überwachung der Umsetzung.
• Schulungen und Kommunikation: Pläne zur Qualifizierung und Beratung der Mitarbeitenden, mit Überprüfung des Verständnisses und Dokumentation der Teilnahme.
• Meldung von Unregelmäßigkeiten und Vorgehen: Meldekanäle, Schutz von Hinweisgebern, Bearbeitung von Meldungen und Einführung von Korrekturmaßnahmen.
• Berichterstattung und Aufsicht: regelmäßige Berichte an die Geschäftsleitung und Aufsichtsorgane sowie Wirksamkeitskennzahlen, damit das System ein Steuerungsinstrument ist und keine Formalität.

OECD-Leitlinien und internationaler Kontext: Integrität als Voraussetzung moderner Unternehmensführung

Die OECD veröffentlichte 2024 überarbeitete Leitlinien zur Corporate Governance staatseigener Unternehmen, die als internationaler Referenzrahmen für die Professionalisierung der Eigentümerfunktion, die Transparenz der Ziele und die Stärkung der Integrität in staatlichen Unternehmen dienen. Die Leitlinien betonen unter anderem die Trennung der Rolle des Staates als Eigentümer von seiner regulatorischen Rolle, klare Ziele und Verantwortlichkeiten sowie robuste Systeme interner Kontrollen, die den Spielraum für Unregelmäßigkeiten, Missbrauch und politischen Einfluss reduzieren, der nicht auf öffentlich erklärten Kriterien beruht. Im kroatischen Kontext ist die Verbindung zwischen ISO 37301 und den OECD-Erwartungen klar: ISO liefert ein auditierbares System, während die OECD institutionelle Reife und Vergleichbarkeit von Governance-Standards zwischen Staaten fordert. Wenn ein staatseigenes Unternehmen ein zertifizierbar überprüfbares Compliance-System einführt, sendet es ein Signal der Bereitschaft zur externen Prüfung und zu einer Governance-Kultur, die auf Belegen basiert und nicht auf ad hoc Interpretationen. Das bedeutet nicht, dass ein Zertifikat automatisch das Ausbleiben von Unregelmäßigkeiten garantiert, aber es bedeutet, dass es eine Struktur gibt, die das Erkennen, Dokumentieren und Korrigieren von Versäumnissen erleichtert. Genau deshalb wird im öffentlichen Sektor immer häufiger die Systemdisziplin betont: periodische Prüfungen, kontinuierliche Verbesserung und Messung der Wirksamkeit von Kontrollen.

Breitere Botschaft an andere staatliche Unternehmen: von der gesetzlichen Pflicht zur funktionalen Praxis

AKD betont, dass es sich mit diesem Schritt als Vorreiter guter Praxis und als Referenzpunkt für andere Unternehmen bei der Einführung von Compliance-Systemen, der Stärkung von Integrität sowie transparenter, verantwortlicher Unternehmensführung positioniert. In den Monaten nach Inkrafttreten des Gesetzes wird der Druck auf Dokumentation und Messbarkeit interner Kontrollen vermutlich steigen, insbesondere wenn untergesetzliche Akte verabschiedet werden, die die Compliance-Überwachungsfunktion detaillierter regeln. Geschäftsleitungen werden entscheiden müssen, wo die Compliance-Funktion organisatorisch angesiedelt ist, wem sie berichtet, welche Ressourcen sie hat und wie Interessenkonflikte in stark exponierten Bereichen wie öffentlicher Beschaffung, Vertragsmanagement oder sicherheitskritischen IT-Systemen verhindert werden. Die Leitlinien des Finanzministeriums lassen Spielraum für das Prinzip der Proportionalität, verlangen aber zugleich, dass jede juristische Person überzeugend erklären kann, warum sie genau dieses Modell gewählt hat und wie sie Unabhängigkeit und Wirksamkeit sicherstellt. Zusätzlich sieht der Entwurf der Verordnung die Anwendung auch auf bestimmte Tochtergesellschaften vor, was die Frage eröffnet, wie Compliance-Standards durch staatliche Unternehmensgruppen „durchsickern“ und wie sichergestellt wird, dass Tochtergesellschaften nicht das schwächere Glied bleiben. In einem solchen Rahmen kann die ISO-37301-Zertifizierung ein Instrument sein, das die Angleichung der Praxis beschleunigt, aber auch ein Maßstab, anhand dessen Fortschritte leichter vergleichbar sind.

Was folgt: Umsetzung, Aufsicht und die reale Wirksamkeit des Systems

Für AKD kann die ISO-37301-Zertifizierung mehr Folgen haben als einen Reputationsgewinn: Als Unternehmen, das mit Dokumenten, Identität und IT-Lösungen arbeitet, ist es den Erwartungen verschiedener Regulierer und Vertragspartner ausgesetzt, und ein Compliance-Management-System kann helfen, diese Anforderungen in einem einheitlichen Rahmen zu bündeln. Zugleich setzt die Zertifizierung die Pflege des Systems, periodische Prüfungen und die Bereitschaft zu Korrekturen voraus, was entscheidend ist, um Situationen zu vermeiden, in denen der Standard zu einem „Einmalprojekt“ wird. Für das System staatlicher Unternehmen ist das größere Bild klar: Nach dem 1. Oktober 2025, den Leitlinien aus 2024 und der Vorbereitung der Verordnung wird ein stärkerer Fokus auf Nachweisbarkeit der Unternehmensführung und auf die Rolle der Compliance-Überwachungsfunktion als zweite Verteidigungslinie im Kontrollsystem erwartet. Zugleich bleibt die Frage offen nach der Dynamik der Verabschiedung und Umsetzung untergesetzlicher Akte sowie nach der Art der Aufsicht über ihre Anwendung – was in der Praxis entscheiden wird, ob Standards vereinheitlicht werden oder zwischen Unternehmen uneinheitlich bleiben. In jedem Fall ist die Richtung gesetzt: Compliance wird immer weniger als administrative Formalität verstanden und immer mehr als ein System, das Aufsicht, Audit und öffentlicher Prüfung standhalten muss.

Quellen:
- AKD – offizielle Mitteilung zur ISO-37301-Zertifizierung ( akd.hr )
- Narodne novine – Gesetz über juristische Personen im Eigentum der Republik Kroatien (tritt am 1. Oktober 2025 in Kraft; Art. 52 zur Compliance-Überwachungsfunktion) ( narodne-novine.nn.hr )
- Finanzministerium der Republik Kroatien – Leitlinien für die Funktion der Überwachung der Compliance der Geschäftstätigkeit in juristischen Personen in Mehrheitsbesitz der Republik Kroatien (Juni 2024.) ( mfin.gov.hr )
- Finanzministerium der Republik Kroatien – Entscheidung über juristische Personen von besonderem Interesse für die Republik Kroatien (die Liste enthält AKD und die Begründung der Tätigkeiten) ( mfin.gov.hr )
- OECD – OECD Guidelines on Corporate Governance of State-Owned Enterprises (überarbeitete Ausgabe 2024.) ( oecd.org )
- ISO – ISO 37301:2021 Compliance management systems — Requirements with guidance for use (Beschreibung der Norm) ( iso.org )
- e-Konsultationen – Entwurf der Verordnung über die Compliance-Überwachungsfunktion in juristischen Personen im Eigentum der Republik Kroatien (Text des Entwurfs) ( esavjetovanja.gov.hr )