ISO 37301 vs IDW PS 980

Zwei Standards, ein Ziel: Das wirksame CMS

Wer ein Compliance Management System aufbauen will, stößt schnell auf zwei Namen: IDW PS 980 und ISO 37301. Beide definieren Anforderungen an ein wirksames CMS. Beide sind anerkannt. Und beide haben ihre Berechtigung.

Trotzdem gibt es wesentliche Unterschiede – in Herkunft, Zielgruppe und Konsequenzen. Dieser Artikel liefert eine neutrale Entscheidungshilfe. Kein Verkaufsgespräch für Zertifizierungsdienstleister, sondern ein pragmatischer Vergleich für Compliance-Verantwortliche.

IDW PS 980 im Überblick

Herkunft: Institut der Wirtschaftsprüfer (IDW), Deutschland. Erstfassung 2011, grundlegende Neufassung im September 2022 (IDW PS 980 n.F.). Seit dem 1. Januar 2023 ist die Neufassung für alle neu beauftragten Prüfungen verbindlich.

Zweck: Prüfungsstandard für Wirtschaftsprüfer. Er definiert, wie ein CMS aufgebaut sein muss, damit ein Wirtschaftsprüfer dessen Angemessenheit oder Wirksamkeit prüfen und bestätigen kann.

Struktur: 7 Grundelemente – Compliance-Kultur, Ziele, Risiken, Programm, Organisation, Kommunikation, Überwachung. Diese sieben Elemente sind der Kern und bilden den Bauplan für jedes CMS nach diesem Standard. Eine ausführliche Erläuterung finden Sie im Artikel zu den 7 Grundelementen nach IDW PS 980.

Prüfung: Keine Zertifizierung möglich. Stattdessen: Prüfungsbericht eines Wirtschaftsprüfers über die Angemessenheit oder Wirksamkeit des CMS. Die Neufassung hat die Konzeptionsprüfung gestrichen – es gibt nur noch die Angemessenheits- und die Wirksamkeitsprüfung.

Stärken:

• Pragmatisch und DACH-spezifisch – entwickelt für den deutschen Rechtsraum

• Hohe Akzeptanz bei Gerichten und Aufsichtsbehörden in Deutschland

• Kosteneffizient – keine laufenden Zertifizierungskosten

• Detailliert – die Neufassung bietet erheblich gesteigerte Detailtiefe gegenüber der Erstfassung

ISO 37301 im Überblick

Herkunft: International Organization for Standardization (ISO). Veröffentlicht im April 2021 als Nachfolger der ISO 19600:2014. Erarbeitet durch das Normenkomitee ISO/TC 309.

Zweck: Internationaler Standard für CMS mit der Möglichkeit zur Zertifizierung. Als Typ-A-Norm (Anforderungsnorm) ersetzt sie die ISO 19600, die lediglich eine Leitlinie war und keine Zertifizierung erlaubte.

Struktur: 10 Kapitel gemäß Harmonized Structure (ehemals High Level Structure, HLS). Dieselbe Grundstruktur wie ISO 9001 (Qualität), ISO 14001 (Umwelt) und ISO 27001 (Informationssicherheit). Das macht die Integration in bestehende Managementsysteme deutlich einfacher.

Prüfung: Zertifizierung durch akkreditierte Zertifizierungsstellen möglich. Externe Audits nach ISO 19011. Zertifikate sind in der Regel drei Jahre gültig mit jährlichen Überwachungsaudits.

Stärken:

• International anerkannt – wichtig bei grenzüberschreitendem Geschäft

• Zertifizierbar – externer Nachweis der CMS-Wirksamkeit

• Harmonized Structure – nahtlose Integration mit anderen ISO-Managementsystemen

• PDCA-Zyklus (Plan-Do-Check-Act) als Verbesserungslogik eingebaut

Vergleich: 5 Entscheidungskriterien

Die Wahl zwischen den beiden Standards hängt von Ihrem Unternehmen ab, nicht von abstrakten Qualitätsurteilen. Hier die fünf Fragen, die zur Entscheidung führen:

Kann man beide Standards kombinieren?

Ja. Und in der Praxis ist das sogar sinnvoll.

Die 7 Grundelemente des IDW PS 980 lassen sich auf die Kapitelstruktur der ISO 37301 mappen. Es gibt keine inhaltlichen Widersprüche – beide Standards verfolgen dasselbe Ziel mit unterschiedlichem Aufbau.

Ein pragmatischer Ansatz: Bauen Sie Ihr CMS nach IDW PS 980 auf – die 7 Grundelemente sind intuitiv und gut dokumentiert. Wenn Sie später eine ISO-Zertifizierung anstreben, ergänzen Sie die ISO-37301-spezifischen Anforderungen (Kontext der Organisation, Führung, Planung nach HLS). Der Aufwand für die Erweiterung ist überschaubar, weil die inhaltliche Basis bereits steht.

Umgekehrt funktioniert es genauso: Wer bereits ISO-Managementsysteme betreibt, baut sein CMS nach ISO 37301 auf und kann die Systematik des IDW PS 980 für die Prüfung durch einen Wirtschaftsprüfer heranziehen.

Unsere Empfehlung für KMU

Für die meisten KMU im DACH-Raum ist IDW PS 980 der richtige Einstieg. Drei Gründe:

1. Pragmatischer: Die 7 Grundelemente sind klar, handhabbar und erfordern keine ISO-Infrastruktur.

2. Kostengünstiger: Kein Zertifizierungsbudget nötig. Eine WP-Prüfung ist optional und kann gezielt beauftragt werden.

3. DACH-relevant: Deutsche Gerichte und Aufsichtsbehörden kennen und akzeptieren IDW PS 980. Für den inländischen Rechtsschutz ist das der relevante Standard.

Wann ISO 37301? Wenn Sie international tätig sind und Kunden oder Partner ein zertifiziertes CMS erwarten. Oder wenn Sie bereits nach ISO 9001/14001/27001 zertifiziert sind und die HLS-Kompatibilität nutzen wollen.

Wie Sie ein CMS im KMU pragmatisch aufbauen – mit 6-Monats-Plan und realistischem Budget – erfahren Sie im separaten Artikel.

Die Standards auf einen Blick

Nächster Schritt: Bestandsaufnahme starten

Bevor Sie sich für einen Standard entscheiden, klären Sie eine wichtigere Frage: Wo steht Ihr CMS heute? Das Reifegrad-Assessment bewertet alle 7 Grundelemente mit automatischer Auswertung und Ampelsystem. Ihr Ausgangspunkt für den CMS-Aufbau – unabhängig vom gewählten Standard.

Den kompletten Fahrplan für den CMS-Aufbau finden Sie in unserem Leitfaden: Compliance Management System aufbauen.