Vorlagen und Aufzeichnungen · ISO 37301 · Abschnitt 4.6

Vorlage für die Compliance-Risikobewertung nach ISO 37301

Die Beurteilung, die jede Pflicht mit der Tätigkeit verknüpft, bei der sie verletzt werden könnte, und Bereich für Bereich entscheidet, welche Kontrollen nötig sind.

In einem Satz

Die Compliance-Risikomatrix ermittelt jedes Risiko, indem sie eine Pflicht mit den Tätigkeiten verknüpft, bei denen sie verletzt werden könnte, analysiert es nach Wahrscheinlichkeit und Folgen, bewertet es vor dem Hintergrund der bestehenden Kontrollen und legt die Maßnahmen fest; ISO 37301 verpflichtet, diese Beurteilung und die Maßnahmen zur Risikobehandlung aufzubewahren (4.6) und sie regelmäßig sowie bei Änderungen zu wiederholen.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 37301 · Abschnitt 4.6 Die Abschnitte folgen ISO 37301:2021, der gültigen Ausgabe, die den Leitfaden ISO 19600 abgelöst hat.
Art der Information: Pflichtaufzeichnung Aufzubewahrende dokumentierte Information (4.6)
Wer sie ausfüllt: Compliance-Funktion mit jedem Bereich Die Bereichsverantwortlichen bringen ein, wie tatsächlich gearbeitet wird; Compliance bringt die Methode ein
Wann: Mindestens einmal jährlich Und bei Rechtsänderungen, neuen Tätigkeiten oder Märkten sowie relevanten Verstößen
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO 37301 nennt keine Fristen. In Spanien empfiehlt es sich, die Verjährungsfristen der Straftaten zu berücksichtigen, die das System verhindern soll, denn die Aufzeichnung ist der Nachweis der gebotenen Sorgfalt.

Was die Norm verlangt

Was ISO 37301 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt, Compliance-Risiken zu identifizieren, zu analysieren und zu bewerten. Die Methode der Identifizierung ist konkret: die Pflichten aus 4.5 mit den Tätigkeiten, Produkten, Dienstleistungen und betrieblichen Aspekten verknüpfen. Eine Matrix, die nicht von den Pflichten ausgeht, erfüllt die Anforderung nicht.

Die Beurteilung wird in geplanten Abständen und bei Änderungen der Umstände oder der Organisation wiederholt. Aufbewahrt werden die Beurteilung und die beschlossenen Maßnahmen, sodass die Entwicklung der Risiken erkennbar ist.

Es ist nicht die Matrix der Risiken und Chancen nach ISO 9001: Hier besteht das Risiko darin, eine Pflicht zu verletzen, und zu den Folgen gehören Sanktionen, strafrechtliche Haftung und Reputationsschäden.

Im Zusammenhang lesen: Planung, in der Akademie zu ISO 37301

Aufbau

Felder, die die Vorlage enthalten sollte

Pflicht, aus der das Risiko entsteht
Tätigkeit, Prozess oder Bereich, in dem sie verletzt werden könnte
Beschreibung des Risikos und Ursachen
Wahrscheinlichkeit und Folgen (verwaltungsrechtlich, strafrechtlich, reputationsbezogen)
Bestehende Kontrollen und ihre Wirksamkeit
Restrisikoniveau
Beschlossene Maßnahmen, Verantwortlicher und Frist
Datum der Beurteilung und nächste Überprüfung

Beispiel

Beispiel: Bestechungsrisiko im Vertrieb

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Pflicht	Rahmenvertrag mit einem öffentlichen Krankenhaus und Branchen-Ethikkodex (fiktiv): Verbot von Geschenken an das Einkaufspersonal
Bereich	Vertriebsleitung · Verkauf an öffentliche Einrichtungen
Risiko	Einladungen oder Geschenke an Personal mit Entscheidungsbefugnis bei Ausschreibungen
Ursachen	An Zuschläge gekoppelte Vertriebsziele; keine schriftlichen Grenzen
Bewertung	Wahrscheinlichkeit mittel · Folgen sehr hoch (strafrechtlich und Ausschluss von öffentlichen Aufträgen)
Bestehende Kontrollen	Von der Belegschaft unterzeichneter Ethikkodex
Maßnahmen	Register für Geschenke und Bewirtungen mit vorheriger Genehmigung · Gezielte Schulung des Vertriebsteams · Compliance · 31. Dezember
Datum	Jährliche Beurteilung, 15. September 2026

Im Audit

Fehler, die Auditoren häufig feststellen

Allgemeine Risiken („Rechtsverstoß“) ohne konkrete Pflicht oder Tätigkeit.
Die Beurteilung wird nach einem Verstoß oder einer Untersuchung nicht wiederholt.
Beim Aktualisieren wird die frühere Beurteilung gelöscht.
Kontrollen als wirksam markiert, die niemand überprüft hat.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Compliance-Risikomatrix wird mit Verantwortlichem und zugehöriger Maßnahme geführt.
2Jedes Compliance-Risiko ist nach Bereich identifiziert und priorisiert.
3Nach jedem relevanten Verstoß wird die Risikolandkarte direkt aus der Untersuchung heraus aktualisiert.

Häufige Fragen

Was man uns vor dem Start fragt

Ist das dasselbe wie die strafrechtliche Risikolandkarte?

Die strafrechtliche Risikolandkarte konzentriert sich auf die Straftaten, die nach Art. 31 bis des spanischen Código Penal eine Haftung der juristischen Person begründen können. Die Matrix nach ISO 37301 ist umfassender: Sie deckt jede Pflicht ab, auch wenn deren Verletzung keine Straftat ist.

Und die steuerliche Risikolandkarte nach UNE 19602?

Sie ist eine spezialisierte Teilmenge. Wer beide Systeme führt, kann eine einzige Matrix haben, in der die Steuerrisiken detaillierter ausgearbeitet sind und ein eigenes zuständiges Organ haben.

Führen Sie die Aufzeichnungen zu ISO 37301 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO 37301:2021 — Compliance-Managementsysteme. Anforderungen mit Leitlinien zur Anwendung ISO · April 2021
Ley Orgánica 10/1995, Código Penal (spanisches Strafgesetzbuch), Art. 31 bis BOE-A-1995-25444 · Konsolidierte Fassung