Organismo di vigilanza - ein Überblick über das italienische Compliance-Board

Compliance-Boards können sehr unterschiedlich gestaltet werden. In Italien gibt es hierzu gesetzliche Vorgaben durch die sog. Legge 231, die die Unternehmensstrafbarkeit regelt. Das dortige Compliance-Board heißt "Organismo di Vigilanza" (kurz: OdV). In diesem Blogartikel werden die Wesenszüge dieses Compliance-Organs vorgestellt.

(Bildnachweis: ChatGPT o3)

Das Organismo di Vigilanza (OdV) ist das Herzstück des italienischen Compliance-Systems nach dem Decreto Legislativo 231/2001: Es überwacht, ob das Compliance‑Modell („Modello 231“) im Unternehmen wirklich gelebt wird und trägt damit wesentlich dazu bei, strafrechtliche Risiken der Gesellschaft zu reduzieren. Für ausländische Unternehmen, die in Italien tätig sind, ist das Verständnis dieses Gremiums praktisch Pflicht, weil das OdV in vielen 231‑Verfahren über Haftung oder Haftungsbefreiung des Unternehmens mitentscheidet.

Das Decreto Legislativo 231/2001 begründet eine eigene, quasi‑strafrechtliche Verantwortung juristischer Personen für bestimmte Katalogtaten (z.B. Korruption, Umwelt‑ und Arbeitsunfälle), wenn diese „im Interesse oder zum Vorteil“ des Unternehmens begangen werden. Das Unternehmen kann sich entlasten, wenn es ein wirksames Organisations‑ und Kontrollsystem eingeführt hat – das „Modello di organizzazione, gestione e controllo“ (kurz: Modello 231). Dieses Modell umfasst typischerweise:

• Risikoanalyse zu den relevanten 231‑Delikten.
• Verhaltensregeln, Prozesse und Kontrollen (z.B. Vier‑Augen‑Prinzip, Genehmigungslimits).
• Ein System von Schulungen und Meldemechanismen (Whistleblowing)
• Die Einrichtung eines eigenständigen Überwachungsorgans – des Organismo di Vigilanza (kurz OdV).

Was das Organismo di Vigilanza (OdV) genau ist

Das OdV ist ein internes Überwachungsorgan mit „autonomen Befugnissen zu Initiative und Kontrolle“, das ausdrücklich vom Gesetz als Voraussetzung für ein wirksames Modello 231 verlangt wird. Es ist damit nicht einfach ein „Compliance Officer“, sondern ein eigenes Gremium mit klar umrissener Rolle: Es soll unabhängig prüfen, ob das Modell funktioniert, angewendet und laufend aktualisiert wird.

Rechtlich gesprochen ist das OdV ein Organ der Gesellschaft, das zwischen operativem Management und Verwaltungsorgan (z.B. Verwaltungsrat) steht. Es greift nicht selbst in operative Entscheidungen ein, hat aber ein Informations‑ und Vorschlagsrecht gegenüber der Unternehmensleitung, wenn es Defizite im Modell erkennt.

Zentrale Aufgaben des Organismo di Viglianza (OdV)

Die Aufgaben lassen sich auf wenige Kernfunktionen herunterbrechen, die in Gesetz, Leitlinien und Rechtsprechung konkretisiert werden. Typische OdV‑Aufgaben sind:

• Überwachung der Wirksamkeit des Modello 231: Prüfen, ob Regeln und Kontrollen in der Praxis eingehalten werden.​
• Kontrolle der Anwendung: Stichproben, Dokumentenprüfungen, Interviews, On‑site‑Kontrollen in Risiko‑Bereichen.​
• Analyse von Meldungen und Hinweisen (Whistleblowing, interne Berichte) zu möglichen Verstößen.​
• Vorschläge zur Aktualisierung des Modells bei Gesetzesänderungen, neuen Geschäftsaktivitäten oder festgestellten Schwächen.​
• Sicherstellung, dass Schulung und Kommunikation zum Modell stattfinden und verstanden werden.​
• Regelmäßiger Bericht an Verwaltungsrat und ggf. Aufsichtsorgane (Collegio sindacale, Vorstand, Gesellschafterversammlung).

Das OdV führt keine Strafverfahren und verhängt keine staatlichen Sanktionen. Es bleibt im Rahmen der internen Kontroll‑ und Berichtsfunktion und überlässt disziplinarische oder organisatorische Maßnahmen den Leitungsorganen.

Wer im Organismo di Viglianza (OdV) sitzen darf

Das Gesetz selbst ist bewusst offen und schreibt keine starre Zusammensetzung vor, die Praxis und die Confindustria‑Leitlinien haben aber klare Anforderungen herausgearbeitet. Als Mindestvoraussetzungen gelten:

• Autonomie und Unabhängigkeit: Keine operative Verantwortung für die überprüften Bereiche; direktes Berichtsrecht an das Leitungsorgan; angemessene Ressourcen.​
• Professionalität: Kompetenzen in Strafrecht/231, Governance/Organisation, Risikomanagement, ggf. Arbeitssicherheit oder Datenschutz je nach Risikoprofil.​
• Kontinuität der Tätigkeit: Das OdV muss seine Überwachungsaufgaben dauerhaft und nicht nur punktuell ausüben.

In der Praxis finden sich verschiedene Modelle:

• Monokratisches OdV (eine Person), typisch bei kleineren Gesellschaften.​
• Kollegiales OdV (mehrere Mitglieder), Standard bei mittleren und großen Unternehmen, oft mit gemischter interner und externer Besetzung.​
• Spezielle Lösungen für Konzerne: zentrales Konzern‑OdV plus lokale OdV oder abgestufte Strukturen.​

Externe Mitglieder (z.B. Rechtsanwälte, Wirtschaftsprüfer, Compliance‑Berater) erhöhen die Unabhängigkeit und bringen Spezialwissen, interne Mitglieder bringen Kenntnis der Organisation. Wichtig ist, dass Interessenkonflikte vermieden werden – etwa CFO oder Leiter Legal sind wegen ihrer operativen Rolle oft problematisch.

Plichten, Befugnisse und Informationszugang

Damit das OdV seine Aufgabe glaubhaft erfüllen kann, braucht es nicht nur Pflichten, sondern auch echte Befugnisse.​ Typische OdV‑Befugnisse sind:

• Unbeschränkter Zugang zu relevanten Unterlagen (Richtlinien, Verträge, Buchhaltungsunterlagen, HR‑Daten im rechtlichen Rahmen).​
• Recht auf Durchführung von Stichprobenprüfungen, Interviews und Site‑Visits ohne vorherige Einmischung des Managements.​
• Empfang und Auswertung von Meldungen aus der Organisation, teils über Whistleblowing‑Kanäle, die spezifisch ans OdV adressiert sind.​
• Möglichkeit, externe Experten hinzuzuziehen, wenn Spezialwissen erforderlich ist.

Auf der Pflichtenseite stehen u.a.:

• Erstellung eines jährlichen (oder halbjährlichen) Tätigkeitsplans und eines Berichts an die Organe.​
• Dokumentation der durchgeführten Kontrollen (Protokolle, Checklisten, Berichte), um im Ernstfall nachweisen zu können, dass überwacht wurde.​
• Vertrauliche Behandlung sensibler Informationen und Schutz von Hinweisgebern im Rahmen der gesetzlichen Vorgaben.

Haftung der OdV‑Mitgliedern

Ein Dauerbrenner in der italienischen Diskussion ist die Frage, ob und wie Mitglieder des OdV persönlich haften. Die herrschende Meinung und Rechtsprechung betonen:

• Das OdV ist nicht „Mit‑Täter“ der 231‑Delikte, weil es keine operative Steuerungsbefugnis hat.
• Gleichwohl kann bei grober Vernachlässigung der Überwachungspflichten eine zivilrechtliche Haftung gegenüber der Gesellschaft in Betracht kommen.
• In extremen Fällen diskutiert die Literatur eine strafrechtliche Verantwortung wegen Unterlassung, wenn ein rechtlich relevantes „Garantenstellung“ besteht und das OdV trotz klarer Hinweise untätig bleibt.

Vertraglich wird die Rolle oft durch Ernennungsbeschluss und Mandatsvertrag (lettera d’incarico) abgesichert, der Aufgaben, Vergütung, Haftungsgrenzen und Versicherungen (D&O) regelt. Für Unternehmen mit grenzüberschreitender Struktur ist es üblich, diese Themen eng mit Compliance‑Richtlinien, internen Untersuchungsprozessen und Datenschutzanforderungen zu verzahnen.

Was ein „gutes“ OdV auszeichnet

Aus der aktuellen Praxis und Leitlinien lassen sich einige Erfolgsfaktoren herausarbeiten. Ein funktionsfähiges OdV zeichnet sich aus durch:

• Klare schriftliche Mandatierung, direkte Berichtslinie an das Leitungsorgan und geregelte Sitzungs‑ und Berichtszyklen.​
• Unabhängige, fachlich breit aufgestellte Besetzung mit internen und externen Mitgliedern.
• Jährlichen Prüf‑ und Überwachungsplan, abgestimmt auf die 231‑Risikoanalyse.​
• Etablierte Meldekanäle, die tatsächlich genutzt werden (inkl. Whistleblowing‑System nach den neuen EU‑Anforderungen).​
• Gute Vernetzung mit Compliance, HR, Legal, HSE und Internal Audit, ohne die eigene Rolle aufzugeben.

Für deutschsprachige Unternehmen mit italienischen Tochtergesellschaften lohnt sich gerade an dieser Stelle eine bewusste Verzahnung mit bestehenden CMS‑Strukturen (IDW PS 980, ISO 37301 etc.), statt ein völlig paralleles „italienisches“ System aufzubauen.

Wie dokumentiert das OdV seine Überwachungsaktivitäten effektiv?

Das OdV dokumentiert seine Überwachungstätigkeit im Kern über einen klar strukturierten „Papiertrail“: Jahresplan, Arbeitsunterlagen zu den einzelnen Prüfungen, Sitzungsprotokolle und periodische Berichte an die Unternehmensorgane. Diese Dokumentation muss zugleich nachvollziehbar und vertraulich sein, weil sie später im 231‑Verfahren als Beleg für die tatsächliche Tätigkeit des OdV dient.

Effektive Dokumentation folgt dem klassischen Dreischritt Planung, Ausführung und Kommunikation der Ergebnisse.

• In der Planungsphase erstellt das OdV einen schriftlichen Jahres‑ oder Halbjahresplan mit den vorgesehenen Prüfungen, Prioritäten und Methoden; dieser Plan wird beschlossen und in der OdV‑Akte abgelegt.
• In der Durchführungsphase werden für jede Prüfung Arbeitsunterlagen (Checklisten, Stichprobenlisten, Interview‑Notizen, erhaltene Dokumente) gesammelt und so geordnet, dass der Ablauf später nachvollzogen werden kann.
• In der Ergebnisphase fasst das OdV seine Feststellungen, festgestellten Schwächen und Empfehlungen strukturiert zusammen, typischerweise in Form von Reports und Protokollen.

Die Praxis und die Leitlinien nennen einige „Kernstücke“ der OdV‑Dokumentation. Protokolle der OdV‑Sitzungen mit Datum, Teilnehmern, behandelten Punkten, Beschlüssen und ggf. abweichenden Meinungen gelten als interne, vertrauliche Dokumentation, die die Tätigkeit des Gremiums belegt. Dokumente (Kontrollprogramme und -berichte), die geplante Kontrollen, deren Durchführung und Ergebnisse (inkl. etwaiger Abweichungen und Follow‑up‑Maßnahmen) nachzeichnen. Nach den Confindustria‑Leitlinien soll das OdV mindestens halbjährlich einen ausführlichen Bericht zu den durchgeführten Kontrollen, festgestellten kritischen Punkten, vorgeschlagenen Korrekturen und geplanten Aktivitäten erstellen. Schließlich bedarf es eines Archivs, nämlich der Sammlung der eingegangenen Meldungen, internen Informationsschreiben, Antworten der Organe sowie der vom OdV veranlassten Rückmeldungen.

Damit die Dokumentation im Ernstfall trägt, kommt es weniger auf „schöne Formulare“ an als auf Klarheit und Vollständigkeit. Aus den Unterlagen muss ersichtlich sein, welche Risiken geprüft wurden, wie geprüft wurde und zu welchen Ergebnissen man gelangt ist. Deutliche Unterscheidung zwischen Tatsachen (Beobachtungen, Zahlen), Bewertungen (Risikoeinschätzung) und Empfehlungen. Kontinuierliche, nicht nur anlassbezogene Dokumentation (z.B. Jahresplan, Halbjahresberichte, laufende Protokolle). Behandlung als interne, geschützte Unterlagen; Leitlinien betonen, dass OdV‑Protokolle interne und reservierte Dokumentation sind, die primär der Verteidigung des Unternehmens und dem Schutz der OdV‑Mitglieder dient.

Gerichte akzeptieren im Grundsatz alle üblichen Dokumente des OdV – vor allem Protokolle, Prüfberichte und Jahresberichte –, prüfen aber sehr genau, ob daraus eine tatsächlich gelebte, kontinuierliche Überwachungstätigkeit hervorgeht. Entscheidend ist weniger die Dokumentart als deren Konkretheit, Nachvollziehbarkeit und Übereinstimmung mit dem übrigen Beweismaterial im Verfahren.

Welche Sanktionen drohen bei Versagen des OdV nach Rechtsprechung?

Bei einem „Versagen“ des OdV drohen in erster Linie Sanktionen für das Unternehmen (Geld‑ und Verbandssanktionen), während die Mitglieder des OdV vor allem zivil‑ und disziplinarrechtlich, nur in Extremfällen auch strafrechtlich persönlich betroffen sein können. Die Rechtsprechung verknüpft das schlechte Funktionieren des OdV vor allem mit der „colpa di organizzazione“, also der Organisationspflichtverletzung, die Grundlage für die Haftung des Unternehmens nach 231 ist.

Wenn das OdV seine Überwachungsaufgabe nur formal oder faktisch gar nicht wahrnimmt, sieht die Rechtsprechung darin ein starkes Indiz für ein ineffektives Modell – mit unmittelbaren Folgen für die Sanktionen gegen das Unternehmen selbst. So können erhebliche „sanzioni pecuniarie“ (Geldbußen) nach D.Lgs. 231/2001 verhängt werden, deren Höhe sich nach Schwere des Delikts und Organisationsverschulden richtet; ein OdV „pro forma“ kann hier ausdrücklich zulasten des Unternehmens gewertet werden. Interdiktionssanktionen wie Ausschluss von öffentlichen Aufträgen, Betriebsverbote, Aussetzung oder Widerruf von Genehmigungen sowie Publikation des Urteils, wenn die Mängel des Modells und der Überwachung gravierend sind. Fehlt eine ernsthafte Tätigkeit des OdV, lässt sich gegenüber dem Gericht schlechter argumentieren, das Modell sei lediglich „betrügerisch umgangen“ worden; die Entlastung nach Art. 6 231 scheitert dann regelmäßig.

Für interne Mitglieder (z.B. Manager im OdV) sieht die Literatur und Praxis vor allem zivil‑ und arbeitsrechtliche Konsequenzen, die aus der Verletzung des Mandats bzw. arbeitsvertraglicher Pflichten folgen. Typische Sanktionen sind:

• Disziplinarmaßnahmen im Unternehmen: Abmahnung, Abberufung aus dem OdV, ggf. auch Beendigung des Arbeitsverhältnisses bei gravierender Pflichtverletzung.​
• Zivilrechtliche Haftung gegenüber der Gesellschaft: Bei grober Fahrlässigkeit oder vorsätzlicher Untätigkeit kann die Gesellschaft Schadensersatzansprüche geltend machen (z.B. wegen gezahlter 231‑Sanktionen oder Verteidigungskosten), wenn nachweisbar ist, dass ein pflichtgemäß handelndes OdV das Risiko hätte reduzieren können.​

Die aktuelle Diskussion betont, dass ein OdV‑Mitglied nur haftet, wenn sein Verhalten deutlich hinter dem erwartbaren Standard zurückbleibt; nicht jedes Fehlurteil oder jede „Übersehens‑Lücke“ begründet schon eine Haftung.

Die Rechtsprechung ist bei eigenständiger strafrechtlicher Haftung des OdV sehr zurückhaltend, schließt sie aber in Extremkonstellationen nicht aus.

Wesentliche Punkte:

• Kein Automatismus: Allein der Umstand, dass unter der „Aufsicht“ eines OdV eine 231‑Tat begangen wurde, begründet noch keine Strafbarkeit der Mitglieder.​
• Konkurrenz durch Unterlassen: Diskutiert wird eine strafrechtliche Verantwortlichkeit nach Art. 40 Abs. 2 StGB („nicht verhindern, was man rechtlich zu verhindern verpflichtet ist“), wenn dem OdV konkrete, gravierende Risiken bekannt sind und es trotz klarer Pflicht zur Intervention völlig untätig bleibt.​
• Abgrenzung nach jüngerer Rechtsprechung: Entscheidungen – u.a. zur Arbeitssicherheit – stellen klar, dass eine strafbare „Garantenstellung“ des OdV nur dann in Betracht kommt, wenn dem Gremium tatsächlich eine rechtlich relevante Verhinderungspflicht für das konkrete Delikt zukommt; das wird eher eng ausgelegt.​

In der Praxis stehen deshalb nicht Strafverfahren gegen OdV‑Mitglieder im Vordergrund, sondern die verschärfte Haftung des Unternehmens und zivilrechtliche Konsequenzen für die Personen im Fall einer nur formalen oder klar unzureichenden Kontrolltätigkeit.