Compliance-Reglement Schweiz (OR Art. 716a; FINMA-RS 17/1; GwG)

Das Compliance-Reglement ist ein in der Schweiz nach Schweizer Obligationenrecht (OR) Art. 716a Abs. 1 Ziff. 5 (SR 220) geregeltes rechtsverbindliches schriftliches Dokument. Der Begriff Compliance bezeichnet die systematische Einhaltung geltender Gesetze, regulatorischer Vorgaben und interner Richtlinien. In der Schweiz sind die relevanten Rechtsquellen breit gestreut: Obligationenrecht (OR, SR 220) für allgemeine Gesellschaftspflichten, Geldwäschereigesetz (GwG, SR 955.0) für Finanzintermediäre, Finanzmarktinfrastrukturgesetz (FinfraG, SR 958.1) für den Marktintegrität, Finanzinstitutsgesetz (FINIG, SR 954.1) und Bankengesetz (BankG, SR 952.0) für regulierte Finanzinstitute sowie das revidierte Bundesgesetz über den Datenschutz (revDSG, SR 235.1), das seit 01. September 2023 in Kraft ist.

Die FINMA — Eidgenössische Finanzmarktaufsicht — hat im FINMA-Rundschreiben 2017/1 (FINMA-RS 17/1) detaillierte Vorgaben zur Corporate Governance, Risikomanagement und Compliance erlassen. Für der FINMA unterstellte Finanzinstitute ist das Compliance-Reglement keine freiwillige Best-Practice, sondern eine regulatorische Pflicht. FINMA-RS 17/1 Rz. 19 ff. verlangt eine unabhängige Compliance-Funktion mit direkter Berichtslinie an die Geschäftsleitung oder den Verwaltungsrat.

Das Compliance-Reglement Schweiz enthält typischerweise folgende Kernelemente: Definition der Compliance-Funktion und des Chief Compliance Officers (CCO); Aufzählung der Hauptpflichtenbereiche (AML, Sanktionen, Datenschutz, Marktintegrität); interne Meldewege und Whistleblower-Schutz; Schulungspflichten; Eskalationsmechanismen bei Verdachtsfällen; Berichtsrhythmus an den Verwaltungsrat. Auf forms-legal.com finden Unternehmen ein vollständiges Muster, das unmittelbar nach Anpassung an die eigene Gesellschaft durch den Verwaltungsrat verabschiedet werden kann.

Wichtiger Unterschied zum deutschen Recht: Die Schweiz kennt — anders als Deutschland — kein eigenständiges Gesetz zur Compliance-Pflicht oder zur Unternehmensstrafbarkeit bei Compliance-Versagen. Die Pflicht zur Einrichtung einer Compliance-Organisation ergibt sich bei allgemeinen AG aus OR Art. 716a, bei Finanzintermediären zusätzlich aus GwG, BankG, FINIG, FinfraG und den entsprechenden FINMA-Rundschreiben. Die Staatsanwaltschaft kann jedoch juristische Personen nach Strafgesetzbuch Art. 102 (StGB, SR 311.0) bestrafen, wenn Organisationsmängel Straftaten wie Geldwäscherei ermöglicht haben — ein zentrales Argument für ein nachweislich funktionierendes Compliance-Reglement.

In der Schweizer Unternehmenspraxis hat sich das Compliance-Reglement als unverzichtbarer Bestandteil guter Corporate Governance etabliert. Der Swiss Code of Best Practice for Corporate Governance von economiesuisse empfiehlt kotierten Gesellschaften die Einrichtung einer unabhängigen Compliance-Funktion. Institutionelle Investoren — Pensionskassen nach BVG (SR 831.40), Versicherungen nach VAG, Anlagestiftungen nach BVG Art. 53g — prüfen bei ihren Portfoliounternehmen zunehmend das Vorhandensein und die Qualität des Compliance-Reglements. Auch Kreditinstitute und Banken fordern bei der Kreditvergabe und im Zahlungsverkehr Nachweise zur Compliance-Organisation. Das Fehlen eines formellen Compliance-Reglements kann als Governance-Schwäche qualifiziert werden und Zinszuschläge bei der Kreditvergabe zur Folge haben.

International agierende Schweizer Unternehmen müssen ihr Compliance-Reglement zudem an extraterritoriale Anforderungen anpassen: US Foreign Corrupt Practices Act (FCPA) für Unternehmen mit US-Bezug; UK Bribery Act 2010 für Unternehmen mit Aktivitäten in Grossbritannien; EU-Geldwäsche-Richtlinien (AMLD) für Unternehmen mit EU-Tochtergesellschaften. Das Schweizer Compliance-Reglement ist die nationale Grundlage — es muss durch internationale Elemente ergänzt werden.

Das Compliance-Reglement Schweiz wird in verschiedenen unternehmerischen Situationen zwingend oder dringend empfohlen. Folgende Situationen machen ein formelles Compliance-Reglement unerlässlich.

Situation 1: Beaufsichtigte Finanzinstitute. Banken (BankG), Finanzinstitute nach FINIG (Vermögensverwalter, Anlageberater, Fondsleiter, Broker), Versicherungen (VAG, SR 961.01) und Finanzmarktinfrastrukturen (FinfraG) benötigen zwingend ein FINMA-konformes Compliance-Reglement. Die FINMA prüft die Compliance-Organisation im Rahmen der ordentlichen Aufsicht. Fehlendes oder unvollständiges Compliance-Reglement begründet regulatorische Mängelfeststellungen nach FINMAG Art. 31 ff. und kann zur Entzug der Bewilligung führen.

Situation 2: GwG-Finanzintermediäre. Alle dem Geldwäschereigesetz (GwG, SR 955.0) unterstellten Finanzintermediäre — auch solche, die nicht direkt der FINMA unterstellt sind, sondern einer Selbstregulierungsorganisation (SRO) angeschlossen sind — benötigen ein internes Compliance-Reglement, das die Sorgfaltspflichten nach GwG Art. 3 ff. (KYC, Identifizierung, wirtschaftlich Berechtigte), die Verdachtsmeldepflicht nach GwG Art. 9 und die Schulungspflichten nach GwG Art. 8 abdeckt. MROS (Meldestelle für Geldwäscherei, fedpol) und SROs prüfen die Umsetzung.

Situation 3: Kotierte Gesellschaften an der SIX Swiss Exchange. Kotierte Gesellschaften unterliegen dem Kotierungsreglement der SIX Swiss Exchange sowie den Regeln betreffend Marktmissbrauch, Adhoc-Publizität und Insiderrecht nach FinfraG Art. 142 ff. Ein formelles Compliance-Reglement ist Grundlage für die Einhaltung dieser Pflichten und eine Voraussetzung für die Kotierung.

Situation 4: Grosse AG und GmbH nach OR Art. 727. Gesellschaften, die zwei der drei Schwellenwerte nach OR Art. 727a überschreiten — Bilanzsumme CHF 20 Mio., Umsatz CHF 40 Mio., 250 Vollzeitstellen — unterliegen der ordentlichen Revisionspflicht und haben erhöhte Governance-Anforderungen. Ein formelles Compliance-Reglement stärkt die Corporate Governance und erleichtert die Revisionsprüfung.

Situation 5: Internationale Tätigkeiten mit OFAC / EU-Sanktionsbezug. Schweizer Unternehmen, die mit Partnern aus sanktionierten Ländern in Kontakt kommen könnten, benötigen ein Sanktions-Screening-Programm als Teil des Compliance-Reglements. Das Embargogesetz (EmbG, SR 946.231) ermächtigt den Bundesrat, Wirtschaftssanktionen zu erlassen. Verletzungen können nach EmbG Art. 10 strafrechtlich verfolgt werden.

Situation 6: Unternehmen mit erhöhtem Reputationsrisiko. Auch KMU, die keiner spezifischen Aufsicht unterstehen, aber in Branchen mit Reputationsrisiko tätig sind — Immobilien, Rohstoffe, internationale Handelsfinanzierung — profitieren von einem klaren Compliance-Reglement. Banken verlangen bei der Kreditvergabe und im Zahlungsverkehr zunehmend Nachweise zur Compliance-Organisation.

Ein vollständiges und wirksames Compliance-Reglement Schweiz nach OR Art. 716a und FINMA-RS 17/1 enthält folgende unverzichtbare Kernelemente.

1. Compliance-Funktion und Unabhängigkeit: Das Reglement muss die Compliance-Funktion klar definieren und ihre organisatorische Unabhängigkeit sicherstellen. FINMA-RS 17/1 Rz. 19 verlangt, dass die Compliance-Funktion direkt an das leitende Organ oder die Geschäftsleitung berichtet. Der Chief Compliance Officer (CCO) muss ausreichende Ressourcen und Befugnisse haben, um seine Aufgaben unabhängig wahrnehmen zu können. Interessenkonflikte des CCO sind offenzulegen.

2. Geltungsbereich: Das Reglement muss klar definieren, für wen es gilt — alle Organe, Direktion, Mitarbeitende, Temporärangestellte und bevollmächtigte Dritte. Bei Unternehmensgruppen ist die Reichweite auf Tochtergesellschaften und Niederlassungen zu klären.

3. AML / Geldwäschereibekämpfung (GwG SR 955.0): Bei GwG-unterstellten Gesellschaften muss das Reglement die Sorgfaltspflichten nach GwG Art. 3 (Identifizierung Vertragspartei), Art. 4 (wirtschaftlich Berechtigte), Art. 5 (Wiederholung bei Zweifeln) und Art. 6 (PEP — politisch exponierte Personen) abdecken. GwG Art. 9 regelt die Verdachtsmeldepflicht an MROS (goaml.admin.ch); GwG Art. 11 schützt den gutgläubig Meldenden vor Strafverfolgung. Die Dokumentationspflicht nach GwG Art. 7 (10-jährige Aufbewahrung) ist aufzunehmen.

4. Sanktions-Screening: Das Reglement muss das Screening-Programm gegen SECO-Sanktionslisten (EmbG; seco.admin.ch/sanktionen), OFAC-SDN-List und EU-Sanktionslisten (EUR-Lex) beschreiben — Screening-Frequenz, eingesetzte Systeme und Verantwortlichkeiten bei Treffern.

5. Marktintegrität / FinfraG: Für kotierte Gesellschaften und regulierte Finanzintermediäre müssen Regeln zu Insiderinformationen (FinfraG Art. 142 ff.), Marktmanipulation (FinfraG Art. 143), Meldepflichten für Beteiligungen (FinfraG Art. 120 ff.) und Sperrfristen für Organtransaktionen aufgenommen werden.

6. Datenschutz (revDSG SR 235.1): Das Reglement muss die Grundsätze der Datenbearbeitung nach revDSG Art. 6 (Verhältnismässigkeit, Zweckbindung, Richtigkeit), die Pflicht zur Datenschutz-Folgenabschätzung (DSFA) nach revDSG Art. 22 sowie das Verzeichnis der Bearbeitungstätigkeiten nach revDSG Art. 12 abdecken. Der DSB (Datenschutzbeauftragte nach revDSG Art. 10) und seine Aufgaben sind zu nennen.

7. Internes Meldewesen: Ein wirksamer interner Meldekanal — E-Mail, Hotline oder externe Ombudsperson — muss beschrieben sein. Das Reglement garantiert Vertraulichkeit und verbietet Vergeltungsmassnahmen (OR Art. 328; Persönlichkeitsschutz). Dieser Bereich wird oft als separate Whistleblower-Policy ausgestaltet.

8. Schulung: Das Reglement legt Schulungsfrequenz, Inhalte und Pflicht zur Teilnahme fest. FINMA-RS 17/1 Rz. 24 verlangt regelmässige Mitarbeiterschulung. GwG Art. 8 schreibt Schulung für dem GwG unterstellte Mitarbeitende vor. Das Schulungsprotokoll dient als Nachweis bei Prüfungen durch FINMA, SRO oder Revisionsgesellschaft.

9. Berichterstattung an den Verwaltungsrat: Das Reglement muss den Turnus der Compliance-Berichte an den VR festlegen — mindestens jährlich nach FINMA-RS 17/1 Rz. 23. Bei materiellen Vorfällen sind Ad-hoc-Berichte vorgeschrieben. forms-legal.com bietet das vollständige Muster-Compliance-Reglement für Schweizer Gesellschaften.

10. Sanktions- und Eskalationsrahmen: Das Reglement muss die Konsequenzen bei Compliance-Verstössen regeln — interne Disziplinarmassnahmen (OR-Arbeitsrecht), Meldung an Behörden bei gesetzlicher Pflicht, externe Rechtsberatung. Eine klare Eskalationskette verhindert, dass Verstösse unentdeckt bleiben.

11. Krypto-Assets und DLT-spezifische Compliance: Mit dem Inkrafttreten des DLT-Gesetzes (SR 958.1, DLT-Gesetz 2021) und der FINMA-Wegleitung zu Blockchain-Projekten haben Schweizer Unternehmen im Krypto-Bereich zusätzliche Compliance-Anforderungen. Das Compliance-Reglement muss bei Unternehmen mit Krypto-Aktivitäten die Virtual Asset Service Provider (VASP)-Pflichten nach GwG Art. 2 Abs. 3 und die FATF Travel Rule für Krypto-Transfers abbilden. Wallet-Screening-Tools und Blockchain-Analytics sind als Compliance-Instrument zu erwähnen.

12. Drittpartei-Risikomanagement (Third-Party Due Diligence): Das Compliance-Reglement soll auch das Risikomanagement bei Geschäftspartnern und Lieferanten ansprechen. KYC-Prüfungen für Kunden und Gegenparteien nach GwG Art. 3 ff., Lieferanten-Compliance-Erklärungen und periodische Überprüfungen der Geschäftsbeziehungen sind Kernelemente eines umfassenden Drittpartei-Compliance-Rahmens.

Das Compliance-Reglement Schweiz wird in mehreren Schritten erarbeitet und verabschiedet. Folgendes Vorgehen hat sich in der Praxis bewährt.

Schritt 1: Risikoinventar erstellen. Vor dem Entwurf des Reglements muss die Gesellschaft ihre Compliance-Risiken inventarisieren: Welchen Gesetzen und Regulierungen ist die Gesellschaft unterstellt? Was sind die grössten Risikobereiche (AML, Sanktionen, Datenschutz, Marktintegrität)? Ein Risk Assessment nach FINMA-RS 17/1 Rz. 17 ist Ausgangspunkt. Konkrete Fragen: Ist die Gesellschaft dem GwG unterstellt? Ist sie an der SIX kotiert? Bearbeitet sie Personendaten im grossen Umfang?

Schritt 2: Formular ausfüllen. Im wizard von forms-legal.com geben Sie die Gesellschaftsdaten ein: vollständige Firma und Sitz, Rechtsform und Branche. Dann die Compliance-Organisation: Name des CCO und seine Berichtslinie (VR oder CEO), Name der Geldwäscherei-Meldestelle (MROS-Kontakt nach GwG Art. 9), Name des Datenschutzbeauftragten nach revDSG Art. 10. Schliesslich die Risikobereiche: GwG-Status (direkte FINMA-Aufsicht oder SRO-Anschluss), ob Sanktions-Screening aktiv ist, ob Börsenmeldepflichten bestehen, wie oft Schulungen stattfinden.

Schritt 3: Inhalt an eigene Situation anpassen. Das Muster enthält Standardformulierungen, die an das konkrete Risikoprofil und die Branche der Gesellschaft anzupassen sind. Finanzinstitute nach FINIG ergänzen FINIG-spezifische Pflichten (Liquiditäts-Compliance, Eigenkapital-Compliance). Banken nach BankG ergänzen FINMA-RS 15/1 (Liquiditätsrisiken) und FINMA-RS 08/24 (Marktrisiken). Kotierte Gesellschaften ergänzen die Regeln zu Sperrfristen (Windows-Period) und Insider-Meldepflichten.

Schritt 4: Juristisches Review. Das fertige Reglement sollte von einem auf Schweizer Finanzmarktrecht spezialisierten Anwalt oder einem Compliance-Berater geprüft werden — insbesondere bei FINMA-unterstellten Instituten, da FINMA-RS 17/1 detaillierte Vorgaben enthält, die im Reglement widerzuspiegeln sind.

Schritt 5: VR-Beschluss. Das Compliance-Reglement muss vom Verwaltungsrat nach OR Art. 716a Abs. 1 Ziff. 5 formell verabschiedet werden. Der VR-Beschluss ist zu protokollieren. Das Reglement tritt am Beschlussdatum in Kraft.

Schritt 6: Kommunikation und Schulung. Nach Verabschiedung ist das Reglement allen Mitarbeitenden schriftlich (E-Mail, Intranet) zugänglich zu machen. Für neue Mitarbeitende ist das Reglement Teil der Onboarding-Unterlagen. Bei jeder Revision ist eine Schulung durchzuführen.

Schritt 7: Jährliche Revision. Das Compliance-Reglement muss mindestens jährlich auf Aktualität geprüft werden. Änderungen der Rechtslage (neue FINMA-Rundschreiben, revDSG-Revision), neue Risikobereiche (Krypto-Assets, neue Produkte) oder Vorfälle im Unternehmen sind Anlass für eine sofortige Revision.

Schritt 8: Laufendes Monitoring und KPIs. Nach Verabschiedung des Reglements sollte die Compliance-Funktion laufend überwachen, ob die definierten Massnahmen eingehalten werden. Typische Compliance-KPIs: Anzahl der gemeldeten Verdachtsfälle pro Quartal; Schulungsabdeckungsrate (Ziel: 100 % der relevanten Mitarbeitenden); Anzahl der offenen Compliance-Pendenzen; Zeit bis zur Erledigung gemeldeter Verstösse. Diese Kennzahlen sind Teil des jährlichen Compliance-Berichts an den Verwaltungsrat nach FINMA-RS 17/1 Rz. 23.

Das Compliance-Reglement Schweiz muss verschiedenen Rechtsquellen entsprechen, deren Anforderungen je nach Gesellschaftstyp variieren.

OR Art. 716a (SR 220): Die Oberleitung der AG (Verwaltungsrat) trägt gemäss OR Art. 716a Abs. 1 Ziff. 5 die Verantwortung für die Ausgestaltung des Rechnungswesens, der Finanzkontrolle und der Finanzplanung. Daraus leitet Rechtslehre und FINMA die Pflicht zur Einrichtung eines Compliance-Systems ab. Der VR darf diese Verantwortung zwar an den CCO delegieren, trägt aber die Letzt-verantwortung.

FINMA-RS 17/1 (FINMA-Rundschreiben 2017/1 «Corporate Governance — Banken»): Dieses Rundschreiben gilt primär für Banken und bankenähnliche Finanzintermediäre. Es verlangt nach Rz. 19: unabhängige Compliance-Funktion; nach Rz. 20: direkte Berichtslinie an Geschäftsleitung oder VR; nach Rz. 23: mindestens jährlicher Compliance-Bericht. Ähnliche Anforderungen bestehen für Versicherungen (FINMA-RS 17/2) und Fondsleitungen (FINMA-RS 13/3).

GwG Art. 8 und Art. 9 (SR 955.0): Das Geldwäschereigesetz schreibt für unterstellte Finanzintermediäre vor: interne Weisungen zur Umsetzung der Sorgfaltspflichten (GwG Art. 8 Abs. 1); Schulung der Mitarbeitenden (GwG Art. 8 Abs. 2); Verdachtsmeldepflicht an MROS bei Verdacht auf Geldwäscherei (GwG Art. 9). GwG-Verstösse können nach GwG Art. 37 ff. gebüsst werden.

revDSG (SR 235.1): Das seit 01. September 2023 geltende revidierte Datenschutzgesetz verlangt: Verzeichnis der Bearbeitungstätigkeiten (revDSG Art. 12); Datenschutz-Folgenabschätzung (DSFA) bei hohen Risiken (revDSG Art. 22); Information der betroffenen Personen (revDSG Art. 19 ff.); Meldung von Datenschutzverletzungen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bei erheblichem Risiko (revDSG Art. 24). Verstösse gegen revDSG können nach revDSG Art. 60 ff. gebüsst werden (bis CHF 250'000).

StGB Art. 102 (SR 311.0): Ist innerhalb eines Unternehmens eine Straftat begangen worden, die wegen mangelhafter Organisation der Unternehmensleitung nicht einer bestimmten natürlichen Person zugerechnet werden kann — namentlich Geldwäscherei (StGB Art. 305bis), aktive Bestechung (StGB Art. 322ter ff.) oder Terrorismusfinanzierung (StGB Art. 260quinquies) — so kann das Unternehmen selbst mit Busse bis CHF 5 Mio. bestraft werden. Ein wirksames Compliance-Reglement und nachgewiesene Compliance-Massnahmen sind zentrale Entlastungsargumente im Strafverfahren.

EmbG (SR 946.231): Das Embargogesetz ermächtigt den Bundesrat, Wirtschaftssanktionen gegen Länder, Personen und Organisationen zu erlassen. SECO (Staatssekretariat für Wirtschaft) veröffentlicht die aktuellen Sanktionslisten. Verletzungen von Embargomassnahmen können nach EmbG Art. 10 mit Freiheitsstrafe oder Busse bestraft werden.

Bei der Erstellung von Compliance-Reglementen in der Schweiz treten regelmässig folgende Fehler auf, die zu regulatorischen Mängeln und Haftungsrisiken führen.

Fehler 1: Compliance-Reglement ohne VR-Beschluss. Das Compliance-Reglement muss nach OR Art. 716a formal vom Verwaltungsrat verabschiedet worden sein. Reglemente, die nur von der Geschäftsführung oder dem CCO unterzeichnet wurden, genügen den Anforderungen an die VR-Oberleitung nicht. FINMA und SROs verlangen bei Prüfungen den VR-Beschluss als Nachweis.

Fehler 2: Fehlende Unabhängigkeit des CCO. Ein CCO, der gleichzeitig der Geschäftsführung unterstellt ist und keine direkte Berichtslinie an den VR hat, ist nach FINMA-RS 17/1 Rz. 19 nicht unabhängig. Die häufige Praxis, den CCO gleichzeitig zum CFO oder COO zu machen, ohne eigenständige Compliance-Berichtslinie zu schaffen, ist riskant.

Fehler 3: Fehlende GwG-Meldeprozesse. Wenn das Reglement die Verdachtsmeldepflicht nach GwG Art. 9 und den Meldeprozess an MROS (goaml.admin.ch) nicht explizit beschreibt, fehlt die Grundlage für die interne AML-Compliance. Im Prüfungsfall einer SRO wird die fehlende Meldeprozess-Beschreibung als Organisationsmangel festgestellt.

Fehler 4: Veraltetes Reglement nach revDSG-Inkrafttreten. Viele Gesellschaften haben ihr Compliance-Reglement nach dem Inkrafttreten des revDSG am 01. September 2023 nicht angepasst. Das alte DSG (DSG 1992) enthielt andere Anforderungen. Reglemente, die noch auf das alte DSG verweisen, sind veraltet und bieten keinen Schutz nach neuem Recht.

Fehler 5: Unvollständiges Sanktions-Screening. Das Compliance-Reglement nennt SECO-Sanktionslisten-Screening, aber nicht OFAC- oder EU-Sanktionslisten. Schweizer Unternehmen, die USD-Transaktionen abwickeln oder US-Vertragspartner haben, unterliegen extraterritorial OFAC-Regeln. Ein unvollständiges Screening-Programm erhöht das Sanktionsrisiko erheblich.

Fehler 6: Fehlende Schulungsnachweise. Das Reglement schreibt Schulungen vor, aber die Gesellschaft dokumentiert die Schulungsteilnahme nicht. Bei Prüfungen durch FINMA, SRO oder Revisionsstelle können fehlende Schulungsprotokolle nicht nachträglich erstellt werden. Führen Sie von Anfang an ein Schulungsregister.

Fehler 7: Generisches Reglement ohne Branchenanpassung. Ein Compliance-Reglement, das nicht auf die spezifischen Risiken der Branche und Tätigkeiten der Gesellschaft zugeschnitten ist, ist regulatorisch wertlos. Ein Vermögensverwalter nach FINIG hat andere Pflichten als eine Exporthandelsfirma. forms-legal.com bietet das Muster-Reglement — dieses muss stets an die konkrete Situation angepasst werden.