Governance im Unternehmen: Pflichten, Haftung und praktische Umsetzung

Governance beschreibt im rechtlichen Unternehmenskontext nicht nur gute Organisation, sondern die nachvollziehbare Steuerung und Kontrolle eines Unternehmens. Gemeint sind Strukturen, Zuständigkeiten, Entscheidungswege, Überwachungsmechanismen und Dokumentationspflichten, mit denen Geschäftsleitung, Aufsichtsorgan und verantwortliche Führungskräfte Risiken erkennen, Entscheidungen vorbereiten und Pflichtverletzungen vermeiden sollen.

Für Geschäftsführer, Vorstände, Gesellschafter, Aufsichtsräte und Investoren ist Governance deshalb kein abstraktes Managementthema. Sie berührt Haftung, Compliance, Risikomanagement, Berichterstattung, interne Kontrollen und zunehmend auch Nachhaltigkeits- und Lieferkettenpflichten. Welche Anforderungen konkret gelten, hängt jedoch stark von Rechtsform, Größe, Branche, Finanzierung, Konzernstruktur und Risikoprofil ab.

Dieser Beitrag ordnet Governance juristisch ein, grenzt sie von ähnlichen Begriffen ab und zeigt typische Konfliktfelder in der Praxis. Im Mittelpunkt stehen nicht Leitbilder, sondern belastbare Fragen: Wer muss was organisieren? Welche Nachweise sind sinnvoll? Welche Fehler führen zu persönlicher Haftung? Und wie lässt sich ein Governance-System pragmatisch prüfen, ohne schematisch überzuregulieren?

Inhaltsverzeichnis

1. Was bedeutet Governance im rechtlichen Sinn?
2. Gesetzliche Grundlagen: Pflichten von Geschäftsleitung und Aufsicht
3. Governance, Compliance und Risikomanagement: Wo liegen die Unterschiede?
4. Praxisrelevante Fallkonstellationen und typische Auslöser
5. Risiken, Haftung und typische Fehler bei unzureichender Governance
6. Fristen, Berichts- und Verjährungsfragen
7. Beweisfragen und Dokumentation: Was im Streitfall zählt
8. Handlungsschritte: Governance systematisch prüfen und verbessern
9. Governance im Mittelstand, in Start-ups und in regulierten Unternehmen
10. FAQ zu Governance
11. Fazit: Governance als rechtlich belastbare Führungsstruktur

Was bedeutet Governance im rechtlichen Sinn?

Governance bezeichnet die Gesamtheit der Regeln, Prozesse und Verantwortlichkeiten, nach denen ein Unternehmen geleitet und überwacht wird. Im engeren Sinne geht es um Corporate Governance, also um die Ordnung der Unternehmensführung, die Kontrolle der Leitungsorgane, den Umgang mit Interessenkonflikten und die transparente Rechenschaft gegenüber Gesellschaftern, Aktionären, Gläubigern, Beschäftigten und Behörden.

Rechtlich ist Governance kein einzelnes Gesetz mit einem abschließenden Pflichtenkatalog. Vielmehr ergibt sich der Maßstab aus verschiedenen Normen, aus gesellschaftsrechtlichen Treue- und Sorgfaltspflichten, aus spezialgesetzlichen Organisationspflichten und aus anerkannten Standards. Für Aktiengesellschaften sind insbesondere das Aktiengesetz und der Deutsche Corporate Governance Kodex bedeutsam. Für GmbHs folgen zentrale Pflichten aus dem GmbH-Gesetz, aus der Rechtsprechung zur Geschäftsführerhaftung und aus allgemeinen Organisationspflichten.

Der Kern ist dabei vergleichbar: Die Unternehmensleitung darf sich nicht darauf beschränken, auf akute Probleme zu reagieren. Sie muss grundsätzlich eine Organisation schaffen, die rechtmäßiges Handeln ermöglicht, wesentliche Risiken erkennbar macht und Zuständigkeiten klar verteilt. Je größer und risikogeneigter das Unternehmen ist, desto höher sind regelmäßig die Anforderungen an Struktur, Kontrolle und Dokumentation.

Governance ist daher auch ein Haftungspräventionsinstrument. Eine Entscheidung kann sich später als wirtschaftlich falsch erweisen, ohne automatisch pflichtwidrig zu sein. Entscheidend ist häufig, ob die Entscheidung auf angemessener Informationsgrundlage, frei von sachfremden Interessen und im Rahmen zulässigen unternehmerischen Ermessens getroffen wurde. Gute Governance schafft genau dafür den organisatorischen Rahmen.

Gleichzeitig darf Governance nicht mit Formalismus verwechselt werden. Ein umfangreiches Regelwerk hilft wenig, wenn Verantwortlichkeiten unklar bleiben oder Vorgaben nicht gelebt werden. Umgekehrt kann ein kleineres Unternehmen mit überschaubarem Risikoprofil auch mit schlanken, aber nachvollziehbaren Prozessen rechtlich angemessen aufgestellt sein.

Gesetzliche Grundlagen: Pflichten von Geschäftsleitung und Aufsicht

Die rechtlichen Grundlagen von Governance unterscheiden sich je nach Rechtsform. Bei der Aktiengesellschaft leitet der Vorstand die Gesellschaft eigenverantwortlich. Er hat nach § 76 AktG die Leitungsfunktion und muss die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters beachten. § 93 AktG regelt die Sorgfaltspflichten und die Haftung der Vorstandsmitglieder. Für die Überwachung ist der Aufsichtsrat zuständig; seine Aufgaben ergeben sich insbesondere aus §§ 107, 111 AktG.

Eine zentrale Vorschrift für die Risikosteuerung ist § 91 Abs. 2 AktG. Danach hat der Vorstand geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Für börsennotierte Gesellschaften sind zusätzliche Anforderungen an interne Kontroll- und Risikomanagementsysteme zu beachten. Außerdem müssen börsennotierte Aktiengesellschaften jährlich erklären, ob sie den Empfehlungen des Deutschen Corporate Governance Kodex entsprechen oder welche Abweichungen bestehen.

Für die GmbH stehen § 35 GmbHG zur Vertretung und § 43 GmbHG zur Geschäftsführerhaftung im Vordergrund. Geschäftsführer müssen die Sorgfalt eines ordentlichen Geschäftsmannes anwenden. Daraus folgt keine identische Kodexbindung wie bei börsennotierten Aktiengesellschaften, aber auch eine GmbH benötigt eine rechtlich angemessene Organisation. Das gilt besonders bei mehreren Geschäftsführern, komplexen Zahlungsströmen, regulierten Tätigkeiten, Auslandsgeschäften, hohen Datenschutzrisiken oder erheblicher Fremdfinanzierung.

Neben dem Gesellschaftsrecht wirken zahlreiche Spezialgesetze in die Governance hinein. Beispiele sind das Geldwäschegesetz, Datenschutzrecht, Kartellrecht, Hinweisgeberschutzrecht, Arbeitsschutzrecht, Steuerrecht, Außenwirtschaftsrecht, Produktsicherheitsrecht und branchenspezifische Aufsichtsregeln. Das Lieferkettensorgfaltspflichtengesetz kann für größere Unternehmen eigene Risikoanalyse-, Präventions- und Beschwerdepflichten begründen. Nachhaltigkeitsberichterstattung und ESG-Anforderungen beeinflussen ebenfalls Governance-Strukturen, auch wenn Umfang und Umsetzungsstand im Einzelfall sorgfältig geprüft werden müssen.

Wichtig ist: Governance-Pflichten lassen sich nicht allein aus dem Gesetzestext ablesen. Gerichte prüfen häufig, ob die Unternehmensleitung bei erkennbaren Risiken organisatorisch angemessen reagiert hat. Branchenüblichkeit, Unternehmensgröße, interne Warnhinweise, frühere Vorfälle und externe Prüfungsberichte können dabei eine Rolle spielen.

Governance, Compliance und Risikomanagement: Wo liegen die Unterschiede?

In der Praxis werden Governance, Compliance, Risikomanagement und internes Kontrollsystem häufig gleichgesetzt. Das ist verständlich, aber rechtlich ungenau. Governance ist der übergeordnete Ordnungsrahmen. Compliance betrifft vor allem die Einhaltung von Recht, internen Regeln und ethischen Mindeststandards. Risikomanagement richtet den Blick auf die systematische Identifikation, Bewertung, Steuerung und Überwachung von Risiken. Das interne Kontrollsystem soll Prozesse so absichern, dass Fehler, Manipulationen oder unzulässige Abweichungen erkannt oder verhindert werden.

Diese Begriffe überschneiden sich. Ein Hinweisgebersystem ist beispielsweise ein Compliance-Instrument, zugleich aber Teil der Governance, weil es der Überwachung und Eskalation dient. Eine Zahlungsfreigaberichtlinie ist Teil des internen Kontrollsystems und kann zugleich Korruptions- oder Untreuerisiken begrenzen. Entscheidend ist daher weniger die Bezeichnung als die Frage, ob die Funktionen im Unternehmen tatsächlich erfüllt werden.

Die Abgrenzung hat praktische Folgen. Wer nur ein Compliance-Handbuch erstellt, hat damit noch keine belastbare Governance. Es muss geklärt sein, wer Regeln erlässt, wer Verstöße prüft, wie Risiken an die Geschäftsleitung berichtet werden und welche Konsequenzen aus Feststellungen folgen. Ebenso genügt ein Risikobericht nicht, wenn keine Verantwortlichen für Maßnahmen benannt sind oder das Aufsichtsorgan wesentliche Risiken nicht erhält.

Gerade im Mittelstand zeigt sich häufig ein hybrides Modell. Geschäftsführung, kaufmännische Leitung, Personal, IT, Datenschutz und externe Berater übernehmen einzelne Governance-Funktionen. Das kann zulässig und sinnvoll sein. Problematisch wird es jedoch, wenn niemand den Gesamtüberblick hat oder kritische Informationen zwischen Abteilungen verloren gehen.

Ein rechtlich tragfähiger Ansatz beginnt deshalb mit einer nüchternen Bestandsaufnahme. Welche Risiken sind wesentlich? Welche gesetzlichen Pflichten bestehen? Welche Entscheidungen sind zustimmungspflichtig? Welche Berichte erhält die Geschäftsleitung? Welche Kontrollen sind dokumentiert? Erst danach sollte entschieden werden, ob zusätzliche Richtlinien, Gremien oder technische Systeme erforderlich sind.

Praxisrelevante Fallkonstellationen und typische Auslöser

Governance-Fragen werden selten abstrakt gestellt. Meist entstehen sie aus konkreten Konflikten: Ein Gesellschafter verlangt Auskunft, ein Investor prüft das Unternehmen, eine Behörde fragt Prozesse ab, ein interner Hinweis betrifft Korruption, oder eine Krise zeigt, dass Risiken nicht frühzeitig eskaliert wurden. In solchen Situationen wird sichtbar, ob Verantwortlichkeiten nur informell bestanden oder rechtlich nachvollziehbar geregelt waren.

Ein häufiger Fall betrifft schnell wachsende Unternehmen. In der Anfangsphase treffen Gründer viele Entscheidungen unmittelbar. Das kann funktionieren, solange Verträge, Zahlungen, Personalentscheidungen und Kundenbeziehungen überschaubar sind. Mit steigenden Umsätzen, mehreren Standorten oder externen Finanzierungsrunden entstehen jedoch neue Anforderungen. Investoren fragen nach Gesellschafterbeschlüssen, IP-Rechten, Datenschutzprozessen, Arbeitsverträgen, Steuerstrukturen und Berichtspflichten. Fehlen belastbare Unterlagen, kann dies Transaktionen verzögern oder Bewertungsabschläge auslösen.

Auch Familienunternehmen sind betroffen. Dort überlagern sich Gesellschaftsrecht, Erbrecht, Arbeitsbeziehungen und persönliche Loyalitäten. Governance kann helfen, Rollen zu trennen: Wer ist Gesellschafter, wer Geschäftsführer, wer Mitglied eines Beirats, wer nur Familienangehöriger ohne Organfunktion? Ohne klare Regeln entstehen Konflikte etwa bei Entnahmen, Nachfolge, Investitionen oder der Beschäftigung von Angehörigen.

Bei Konzernen und Unternehmensgruppen stellt sich die Frage, wie Vorgaben der Muttergesellschaft in Tochtergesellschaften umgesetzt werden. Die Leitung der Tochter darf ihre eigenen Organpflichten nicht vollständig an Konzerninteressen abgeben. Gleichzeitig kann die Konzernleitung ein berechtigtes Interesse an einheitlichen Compliance-, Bericht- und Risikoprozessen haben. Hier braucht es klare Delegation, Berichtslinien und Eskalationsmechanismen.

Weitere praxisnahe Auslöser sind:

• Ein Verdacht auf Untreue, Bestechung, Kick-back-Zahlungen oder Scheingeschäfte.
• Unklare Zuständigkeiten bei Datenschutzverletzungen oder IT-Sicherheitsvorfällen.
• Fehlerhafte oder verspätete Berichte an Gesellschafter, Aufsichtsrat, Banken oder Behörden.
• Interessenkonflikte bei Verträgen mit nahestehenden Personen oder verbundenen Unternehmen.
• Liquiditätskrisen, bei denen Frühwarnsysteme und Sanierungspflichten relevant werden.
• Unzureichende Dokumentation von Vorstandssitzungen, Geschäftsführungsbeschlüssen oder Zustimmungsvorbehalten.
• Due-Diligence-Prüfungen im Rahmen von Unternehmenskauf, Beteiligung oder Finanzierung.

In allen Fällen gilt: Governance wird im Nachhinein häufig daran gemessen, ob ein Risiko erkennbar war und ob die Organisation angemessen reagiert hat. Es genügt daher nicht, Zuständigkeiten erst nach einem Vorfall zu behaupten. Entscheidend ist, ob Prozesse, Beschlüsse, Berichte und Kontrollen nachvollziehbar dokumentiert sind.

Risiken, Haftung und typische Fehler bei unzureichender Governance

Unzureichende Governance kann unterschiedliche rechtliche Folgen haben. Für Organmitglieder stehen zivilrechtliche Haftungsansprüche der Gesellschaft im Vordergrund. Geschäftsführer und Vorstände können persönlich haften, wenn sie ihre Sorgfaltspflichten verletzen und der Gesellschaft dadurch ein Schaden entsteht. Ob eine Pflichtverletzung vorliegt, hängt jedoch vom konkreten Informationsstand, von der Risikolage und vom Entscheidungsspielraum ab.

Daneben kommen Bußgelder und aufsichtsrechtliche Maßnahmen in Betracht. Organisationsmängel können nach dem Ordnungswidrigkeitenrecht relevant werden, insbesondere wenn Leitungspersonen erforderliche Aufsichtsmaßnahmen unterlassen. In bestimmten Konstellationen drohen auch strafrechtliche Risiken, etwa bei Untreue, Bestechung, Insolvenzverschleppung, Steuerhinterziehung oder Vorenthalten von Sozialversicherungsbeiträgen. Nicht jeder Governance-Fehler führt automatisch zu Strafbarkeit; die Grenze hängt von Vorsatz, Fahrlässigkeit, Pflichtenkreis und Schaden ab.

Für das Unternehmen selbst entstehen zusätzliche Risiken. Dazu gehören Reputationsschäden, Verlust von Finanzierungsmöglichkeiten, Ausschluss von Ausschreibungen, gestörte Geschäftsbeziehungen und interne Konflikte. Gerade bei Transaktionen kann mangelnde Governance zu Kaufpreisanpassungen, Garantieforderungen oder Abbruch der Verhandlungen führen. In regulierten Branchen können Defizite außerdem Aufsichtsverfahren auslösen.

Typische Fehler sind besonders häufig dort zu finden, wo Wachstum, Zeitdruck und informelle Entscheidungswege zusammentreffen:

• Entscheidungen werden ohne ausreichende Informationsgrundlage getroffen und später nicht dokumentiert.
• Zuständigkeiten zwischen Geschäftsführung, Bereichsleitung, Beirat und Gesellschaftern bleiben unklar.
• Compliance-Regeln existieren nur als Dokument, werden aber nicht geschult, kontrolliert oder aktualisiert.
• Interessenkonflikte werden nicht offengelegt, obwohl Verträge mit nahestehenden Personen geschlossen werden.
• Risikoberichte erreichen die Geschäftsleitung oder das Aufsichtsorgan verspätet oder unvollständig.
• Zahlungs-, Einkaufs- oder Provisionsprozesse haben keine wirksamen Kontrollmechanismen.
• Hinweise von Beschäftigten, Prüfern oder Geschäftspartnern werden nicht strukturiert untersucht.
• Krisenanzeichen werden nicht mit insolvenz-, steuer- und arbeitsrechtlichen Pflichten abgeglichen.

Ein weiterer Fehler besteht darin, Governance ausschließlich als Aufgabe der Rechtsabteilung zu betrachten. Rechtliche Prüfung ist wichtig, ersetzt aber keine Führungsverantwortung. Die Leitung muss entscheiden, welche Risiken akzeptiert, reduziert oder eskaliert werden. Umgekehrt sollte Governance nicht allein der Geschäftsführung überlassen bleiben, wenn Aufsichtsrat, Beirat oder Gesellschafterversammlung gesetzliche oder satzungsmäßige Kontrollrechte haben.

Bei der Haftungsprüfung ist die sogenannte Business Judgment Rule bedeutsam. Danach kann eine unternehmerische Entscheidung haftungsfrei sein, wenn das Organmitglied vernünftigerweise annehmen durfte, auf Grundlage angemessener Information zum Wohl der Gesellschaft zu handeln. Diese Regel schützt jedoch nicht vor Pflichtverletzungen außerhalb unternehmerischen Ermessens, etwa bei Gesetzesverstößen, fehlender Zuständigkeit oder bewusster Missachtung zwingender Pflichten.

Fristen, Berichts- und Verjährungsfragen

Governance ist nicht nur eine Frage der richtigen Struktur, sondern auch der richtigen Zeitpunkte. Viele Pflichten sind fristgebunden oder erfordern unverzügliches Handeln. Welche Fristen gelten, hängt von Rechtsform, Branche und Anlass ab. Deshalb sollte jedes Unternehmen zumindest die wiederkehrenden Berichts-, Prüfungs-, Melde- und Beschlussfristen erfassen.

Bei Kapitalgesellschaften spielen Jahresabschluss, Lagebericht, Feststellung, Offenlegung und gegebenenfalls Prüfungspflichten eine zentrale Rolle. Kapitalmarktorientierte oder regulierte Unternehmen haben zusätzliche Publizitäts- und Meldepflichten. Auch steuerliche Erklärungspflichten, Sozialversicherungsbeiträge, Datenschutzmeldungen bei Verletzungen des Schutzes personenbezogener Daten und Hinweise nach spezialgesetzlichen Regelungen können zeitkritisch sein.

Besonders sensibel sind Krisen- und Insolvenzfristen. Geschäftsleiter müssen fortlaufend überwachen, ob Zahlungsunfähigkeit oder Überschuldung drohen oder bereits eingetreten sind. Das Unternehmensstabilisierungs- und -restrukturierungsgesetz enthält Pflichten zur Krisenfrüherkennung. Tritt Insolvenzreife ein, sind insolvenzrechtliche Antragspflichten zu prüfen. Fehler in dieser Phase können zu persönlicher Haftung und strafrechtlichen Risiken führen. Eine allgemeine Fristangabe ersetzt hier keine Prüfung des konkreten Liquiditätsstatus.

Auch Verjährungsfristen sind für Governance relevant. Ansprüche gegen Geschäftsführer einer GmbH unterliegen regelmäßig besonderen gesellschaftsrechtlichen Verjährungsregeln; bei Aktiengesellschaften gelten für Organhaftungsansprüche ebenfalls besondere Fristen. Daneben können allgemeine zivilrechtliche Verjährungsfristen, arbeitsrechtliche Ausschlussfristen, steuerliche Festsetzungsfristen oder strafrechtliche Verjährungsregeln relevant sein. Welche Frist maßgeblich ist, hängt vom Anspruch, vom Zeitpunkt der Kenntnis und von möglichen Hemmungen ab.

Praktisch wichtig ist außerdem die Aufbewahrung. Handels- und steuerrechtliche Unterlagen müssen regelmäßig für mehrere Jahre aufbewahrt werden. Bei Organentscheidungen, Risikoberichten, internen Untersuchungen und Transaktionsunterlagen kann eine längere Dokumentation sinnvoll sein, wenn Haftungs- oder Gewährleistungsrisiken absehbar sind. Dabei sind Datenschutz, Löschkonzepte und arbeitsrechtliche Grenzen mitzudenken.

Eine Governance-Struktur sollte deshalb einen Fristenkalender enthalten. Erfasst werden sollten wiederkehrende Organtermine, Berichtspflichten, Vertragsfristen, Genehmigungen, Versicherungsfristen, regulatorische Meldungen und Eskalationsfristen bei Vorfällen. Entscheidend ist nicht nur die Erfassung, sondern auch die Verantwortlichkeit: Wer überwacht die Frist, wer erhält eine Erinnerung, und wer entscheidet bei Abweichungen?

Beweisfragen und Dokumentation: Was im Streitfall zählt

Im Streitfall entscheidet sich die rechtliche Bewertung häufig an der Dokumentation. Organmitglieder müssen nicht jede Entscheidung umfassend begründen. Bei wesentlichen, risikobehafteten oder ungewöhnlichen Vorgängen sollte aber erkennbar sein, welche Informationen vorlagen, welche Alternativen geprüft wurden und warum die Entscheidung vertretbar erschien. Das gilt besonders bei Investitionen, Kreditaufnahmen, größeren Verträgen, Restrukturierungen, Geschäften mit nahestehenden Personen und Reaktionen auf Compliance-Hinweise.

Dokumentation bedeutet nicht, nachträglich eine Rechtfertigung zu formulieren. Sie soll den tatsächlichen Entscheidungsprozess nachvollziehbar machen. Nachträglich erstellte Unterlagen können hilfreich sein, ersetzen aber nicht die zeitnahe Protokollierung. Ebenso kann eine übermäßige, ungeordnete Aktenlage die Verteidigung erschweren, wenn wesentliche Entscheidungen nicht auffindbar oder widersprüchlich dokumentiert sind.

Zu den wichtigen Nachweisen zählen insbesondere:

• Gesellschaftsvertrag, Satzung, Geschäftsordnungen und Zuständigkeitsregelungen.
• Protokolle von Geschäftsführungs-, Vorstands-, Aufsichtsrats-, Beirats- und Gesellschaftersitzungen.
• Beschlussvorlagen, Entscheidungsmemos, Risikoberichte und Finanzplanungen.
• Compliance-Richtlinien, Schulungsnachweise, Freigabeprozesse und Kontrollberichte.
• Hinweisgebermeldungen, Untersuchungspläne, Interviewvermerke und Maßnahmenberichte.
• Verträge mit nahestehenden Personen, Marktvergleichsdaten und Konfliktoffenlegungen.
• Kommunikation mit Banken, Behörden, Wirtschaftsprüfern, Steuerberatern und Rechtsberatern.
• Fristenkalender, Aufgabenlisten, Eskalationsvermerke und Nachweise über Umsetzungskontrollen.

Beweisfragen betreffen auch die Verantwortungsverteilung. Wenn ein Geschäftsführer Ressorts unter mehreren Geschäftsführern aufteilt, kann dies entlasten, aber nur unter bestimmten Voraussetzungen. Die Ressortverteilung sollte klar, sachgerecht, bekannt gemacht und überwacht sein. Eine vollständige Enthaftung gibt es regelmäßig nicht, weil eine Gesamtverantwortung für wesentliche Angelegenheiten verbleibt.

Bei internen Untersuchungen ist besondere Sorgfalt erforderlich. Arbeitsrechtliche Beteiligungsrechte, Datenschutz, Vertraulichkeit, Aussagefreiheit und mögliche Strafverfolgungsrisiken können Grenzen setzen. Unternehmen sollten daher früh klären, wer die Untersuchung führt, welche Daten ausgewertet werden dürfen, wie Ergebnisse gesichert werden und wer über Maßnahmen entscheidet.

Handlungsschritte: Governance systematisch prüfen und verbessern

Ein Governance-Review muss nicht mit einem umfassenden Konzernprogramm beginnen. Sinnvoller ist oft ein risikoorientierter Ansatz. Zunächst werden die wesentlichen Pflichtenkreise und Schwachstellen erfasst. Danach wird entschieden, welche Maßnahmen kurzfristig erforderlich sind und welche mittel- oder langfristig umgesetzt werden können. Ziel ist eine Organisation, die zum Unternehmen passt und im Streitfall nachvollziehbar zeigt, dass Leitung und Aufsicht ihre Verantwortung ernst genommen haben.

Die folgenden Schritte können als praktische Checkliste dienen. Sie ersetzen keine Einzelfallprüfung, helfen aber bei der strukturierten Vorbereitung:

• Rechtsform und Organstruktur klären: Prüfen Sie, welche Organe bestehen, welche Kompetenzen sie haben und welche Vorgaben aus Satzung, Gesellschaftsvertrag oder Geschäftsordnung folgen.
• Risikoprofil erfassen: Dokumentieren Sie wesentliche rechtliche, finanzielle, operative, IT-, Datenschutz-, Lieferketten-, Steuer- und Reputationsrisiken.
• Zuständigkeiten festlegen: Ordnen Sie Risiken und Pflichten konkreten Personen oder Funktionen zu und halten Sie Vertretungsregelungen schriftlich fest.
• Fristenkalender einrichten: Erfassen Sie Abschluss-, Melde-, Steuer-, Genehmigungs-, Vertrags- und Eskalationsfristen mit verantwortlicher Person und Kontrolltermin.
• Entscheidungsprozesse dokumentieren: Legen Sie fest, ab welchen Schwellenwerten Beschlussvorlagen, rechtliche Prüfungen, Marktvergleiche oder Zustimmungsvorbehalte erforderlich sind.
• Kontrollen prüfen: Bewerten Sie, ob Zahlungsfreigaben, Einkaufsprozesse, Provisionsmodelle, Zugriffsrechte und Vertragsabschlüsse ausreichend abgesichert sind.
• Hinweis- und Eskalationswege schaffen: Stellen Sie sicher, dass Verdachtsmeldungen vertraulich, dokumentiert und ohne unzulässige Benachteiligung bearbeitet werden.
• Berichtslinien definieren: Legen Sie fest, welche Informationen Geschäftsleitung, Aufsichtsrat, Beirat oder Gesellschafter in welchen Abständen erhalten.
• Schulungen und Kommunikation nachweisen: Bewahren Sie Einladungen, Teilnehmerlisten, Inhalte und Aktualisierungen auf, damit die Umsetzung belegbar ist.
• Dokumente regelmäßig aktualisieren: Überprüfen Sie Richtlinien, Vollmachten, Geschäftsordnungen und Risikomatrizen mindestens anlassbezogen, etwa nach Wachstum, Vorfällen oder Gesetzesänderungen.
• Versicherungsschutz überprüfen: Prüfen Sie D&O-Versicherung, Eigenschadenkomponenten, Ausschlüsse, Selbstbehalte und Meldeobliegenheiten.
• Maßnahmen nachverfolgen: Halten Sie fest, welche Feststellungen erledigt sind, wer verantwortlich ist und bis wann offene Punkte abgeschlossen werden sollen.

Besonders wichtig ist die Priorisierung. Nicht jedes Unternehmen benötigt dieselben Gremien oder dieselbe Dokumentationstiefe. Ein kleiner Dienstleister hat andere Risiken als ein internationaler Hersteller, ein Finanzdienstleister oder ein Unternehmen mit öffentlichen Auftraggebern. Dennoch sollten Kernfragen überall beantwortet sein: Wer entscheidet? Wer kontrolliert? Wer berichtet? Wer dokumentiert? Und wer reagiert, wenn ein Risiko sichtbar wird?

Bei akuten Vorfällen sollte die Reihenfolge angepasst werden. Dann stehen Sicherung von Beweisen, rechtliche Erstbewertung, Fristenprüfung, Schutz von Beschäftigten, Kommunikationskontrolle und mögliche Meldungen im Vordergrund. Eine spätere Governance-Verbesserung ist wichtig, darf aber nicht dazu führen, dass unmittelbare Pflichten versäumt werden.

Governance im Mittelstand, in Start-ups und in regulierten Unternehmen

Governance-Anforderungen dürfen nicht schematisch übertragen werden. Ein börsennotierter Konzern benötigt andere Strukturen als eine inhabergeführte GmbH mit 30 Beschäftigten. Gleichwohl wäre es ein Fehler, Governance nur als Thema großer Aktiengesellschaften zu verstehen. Gerade mittelständische Unternehmen tragen häufig erhebliche Risiken, ohne über formalisierte Rechts-, Compliance- oder Revisionsabteilungen zu verfügen.

Im Mittelstand steht häufig die Trennung von Eigentum, Leitung und Kontrolle im Vordergrund. Wenn Gesellschafter zugleich Geschäftsführer sind, erscheinen Beschlüsse und Berichte manchmal entbehrlich. Rechtlich kann dennoch Dokumentation erforderlich oder zumindest ratsam sein, etwa bei außergewöhnlichen Geschäften, Darlehen an Gesellschafter, Gewinnausschüttungen, Grundstücksgeschäften oder Investitionen außerhalb des gewöhnlichen Geschäftsbetriebs. Kommen Minderheitsgesellschafter hinzu, steigt die Bedeutung transparenter Information und ordnungsgemäßer Beschlussfassung.

Start-ups haben andere Schwerpunkte. Dort sind Beteiligungsverträge, Vesting-Regelungen, IP-Rechte, Datenschutz, Plattformregulierung, Arbeits- und Scheinselbstständigkeitsfragen sowie Investorenberichte relevant. Governance sollte Innovation nicht blockieren, aber die wichtigsten Entscheidungs- und Freigabeprozesse sichern. Spätestens vor einer Finanzierungsrunde werden fehlende Unterlagen, unklare Rechte oder informelle Zusagen regelmäßig sichtbar.

Regulierte Unternehmen, etwa im Finanz-, Gesundheits-, Energie- oder Telekommunikationsbereich, müssen zusätzlich aufsichtsrechtliche Vorgaben beachten. Hier können Anforderungen an Geschäftsleiterqualifikation, Auslagerungsmanagement, interne Kontrollen, Meldewesen oder IT-Sicherheit bestehen. Governance-Verstöße können deshalb nicht nur gesellschaftsrechtliche Haftung, sondern auch Maßnahmen der Aufsichtsbehörden auslösen.

Für Unternehmensgruppen stellt sich außerdem die Frage nach einheitlichen Standards. Konzernrichtlinien können sinnvoll sein, müssen aber zur lokalen Rechtslage und zur Organverantwortung der jeweiligen Gesellschaft passen. Die Geschäftsleitung einer Tochtergesellschaft sollte nicht blind Konzernvorgaben befolgen, wenn diese mit eigenen Pflichten kollidieren. Umgekehrt darf sie sich nicht hinter der Konzernmutter verstecken, wenn lokale Risiken bekannt sind.

FAQ zu Governance

Fazit: Governance als rechtlich belastbare Führungsstruktur

Governance ist kein Selbstzweck und keine bloße Formalie. Sie schafft den Rahmen, in dem Geschäftsleitung, Aufsicht und Gesellschafter rechtssicherer entscheiden, Risiken erkennen und Verantwortlichkeiten nachvollziehbar zuordnen können. Priorität haben klare Zuständigkeiten, ein realistisches Risikobild, dokumentierte Entscheidungsprozesse, funktionierende Kontrollen und ein verlässlicher Fristenkalender.

Wer Governance prüfen möchte, sollte zunächst wesentliche Risiken und Pflichtenkreise erfassen. Danach lassen sich fehlende Beschlüsse, unklare Vollmachten, schwache Kontrollprozesse oder lückenhafte Berichte gezielt angehen. Bei akuten Vorfällen stehen Beweissicherung, Fristenprüfung und rechtliche Erstbewertung im Vordergrund.

Welche Governance-Struktur angemessen ist, bleibt einzelfallabhängig. Rechtsform, Branche, Unternehmensgröße, Finanzierung, Konzernbindung und konkrete Risikolage bestimmen den Maßstab. Eine nüchterne rechtliche Prüfung hilft, Überregulierung zu vermeiden und zugleich haftungsrelevante Lücken zu schließen.