Vorlagen und Aufzeichnungen · ISO 37301 · Abschnitt 4.5
Vorlage für das Register der Compliance-Pflichten nach ISO 37301
Die lebendige Liste all dessen, was das Unternehmen einhalten muss oder freiwillig einzuhalten zugesagt hat – mit Quelle, Betroffenen und der Person, die Änderungen im Blick behält.
In einem Satz
Das Register der Compliance-Pflichten erfasst die Anforderungen, die die Organisation erfüllen muss – Gesetze, Verordnungen, Genehmigungen, behördliche Entscheidungen –, und die Verpflichtungen, die sie freiwillig eingeht – Verträge, Branchenkodizes –, jeweils mit Quelle, betroffenem Bereich und Verantwortlichem; ISO 37301 verlangt, sie systematisch zu ermitteln und dokumentiert zu halten (4.5).
- Wo die Norm es verlangt
- ISO 37301 · Abschnitt 4.5 Die Abschnitte folgen ISO 37301:2021, der gültigen Ausgabe, die den Leitfaden ISO 19600 abgelöst hat.
- Art der Information
- Pflichtdokument Aufrechtzuerhaltende dokumentierte Information (4.5)
- Wer sie ausfüllt
- Compliance-Funktion Mit der Rechtsabteilung und den Bereichsverantwortlichen, die ihre branchenspezifischen Pflichten kennen
- Wann
- Fortlaufend Mit einer vollständigen Überprüfung mindestens einmal jährlich und bei Rechts- oder Tätigkeitsänderungen
- Wie lange sie aufbewahrt wird
- Stets aktuell Es wird fortlaufend gepflegt; frühere Versionen zeigen, seit wann jede Pflicht bekannt war
Was die Norm verlangt
Was ISO 37301 fordert und was Ihrem Ermessen überlassen bleibt
Die Norm verlangt, die aus Tätigkeiten, Produkten und Dienstleistungen entstehenden Verpflichtungen systematisch zu ermitteln und ihre Auswirkungen auf den Betrieb zu bewerten. Sie unterscheidet Anforderungen, die erfüllt werden müssen, von Verpflichtungen, die man freiwillig eingeht, und beide gehören ins Register.
Zudem fordert sie einen Prozess, um neue oder geänderte Verpflichtungen zu erkennen und die Auswirkungen der Änderung zu bewerten. Ein Register, bei dem niemand die Rechtsentwicklung beobachtet, veraltet binnen Monaten.
Es ist der Ausgangspunkt der Risikobeurteilung nach 4.6: Jedes Compliance-Risiko wird ermittelt, indem man eine Verpflichtung mit der Tätigkeit verknüpft, bei der sie verletzt werden könnte.
Aufbau
Felder, die die Vorlage enthalten sollte
- Pflicht und Art: Anforderung oder freiwillige Verpflichtung
- Quelle: Vorschrift, Artikel, Vertrag, Kodex oder Genehmigung
- Betroffene Tätigkeiten, Prozesse oder Bereiche
- Für die Erfüllung Verantwortlicher
- Wie sie erfüllt wird: Kontrolle oder Verfahren
- Folgen bei Nichterfüllung
- Datum der Ermittlung und der letzten Überprüfung
- Festgestellte Änderungen und ihre Auswirkungen
Beispiel
Beispiel: vier Pflichten eines Großhändlers für Medizinprodukte
Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.
| Feld | Inhalt |
|---|---|
| Organisation | Auwald Medizinhandel GmbH (fiktiv) · 220 Personen |
| Ley 2/2023 | Anforderung · internes Hinweisgebersystem · Systemverantwortlicher · Meldekanal im Mitarbeiterportal |
| Verordnung (EU) 2016/679 | Anforderung · Schutz der Daten von Kunden und Patienten · Datenschutzbeauftragte |
| Ethikkodex eines Branchenverbands der Gesundheitswirtschaft (fiktiv) | Freiwillige Verpflichtung · Grenzen für Bewirtung von Fachkreisen · Vertriebsleitung |
| Rahmenvertrag mit einem öffentlichen Krankenhaus | Vertragliche Anforderung · Verbot von Geschenken an das Einkaufspersonal · Vertriebsleitung |
| Letzte Überprüfung | 30. Juni 2026 |
Im Audit
Fehler, die Auditoren häufig feststellen
- Eine Liste von Gesetzen, ohne zu sagen, welche konkrete Pflicht jedes wem auferlegt.
- Die freiwilligen Verpflichtungen fehlen: Branchen-Ethikkodizes und Vertragsklauseln.
- Niemand ist mit der Beobachtung von Rechtsänderungen betraut.
- Pflichten, die sich in keinem Risiko der Matrix wiederfinden.
In Kimobox
So wird diese Aufzeichnung in Kimobox geführt
- 1Die Compliance-Pflichten werden als versionierter Datensatz geführt.
- 2Die interessierten Parteien und ihre Compliance-Erwartungen werden im selben System erfasst.
- 3Die Prozesslandkarte kennzeichnet das Compliance-Risiko jedes Prozesses, verknüpft mit seinen Pflichten.
Häufige Fragen
Was man uns vor dem Start fragt
Ist das dasselbe wie das Register rechtlicher Anforderungen nach ISO 14001 oder ISO 27001?
Es ist umfassender. Jene beschränken sich auf Umwelt oder Informationssicherheit; dieses erfasst sämtliche Compliance-Pflichten. Bei mehreren Systemen empfiehlt sich ein einziges Register mit Filtern nach Bereich.
Gehören die steuerlichen Pflichten dazu?
Wenn sie im Anwendungsbereich des Systems liegen, ja. Wer zusätzlich UNE 19602 anwendet, führt die steuerlichen Pflichten meist in einem eigenen, detaillierteren Register mit Kalender.
Führen Sie die Aufzeichnungen zu ISO 37301 ohne verstreute Vorlagen
Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.
Weiter entdecken
Verwandte Seiten
Register gesetzlicher und vertraglicher Sicherheitsanforderungen
Gesetzliche, behördliche und vertragliche Sicherheitsanforderungen nach ISO 27001 dokumentieren: DSGVO…
Kontext der Organisation
Ein Compliance-System beginnt mit der Bestandsaufnahme: Welche gesetzlichen, regulatorischen und…
Vorlage für die Compliance-Risikobewertung nach ISO 37301
So dokumentieren Sie die Compliance-Risikobeurteilung nach ISO 37301: Pflicht, Tätigkeit, Ursachen…
Vorlage für die Compliance-Richtlinie nach ISO 37301
Was die Compliance-Richtlinie nach ISO 37301 enthalten muss: Verpflichtungen, Unabhängigkeit der Funktion…
Quellen
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.