# Inv 054 Lessons Learned > Für Inv 054 Lessons Learned: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt. - Skill: `klotzkette/inv-054-lessons-learned` (Agent Skill) - Install (CLI): `npx skillmds add klotzkette/inv-054-lessons-learned` - Raw SKILL.md: https://api.skillmd.com/api/skills/klotzkette/inv-054-lessons-learned/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - Author: Klotzkette (https://skillmd.com/u/klotzkette) - Updated: 2026-09-08 - Page: https://skillmd.com/skills/klotzkette/inv-054-lessons-learned --- # Zieht strukturierte Lessons Learned aus abgeschlossenen Internal Investigations – Systemische Schwächen, Compliance-Verbesserungen, Dokumentation für Aufsicht. ## Arbeitsweg - Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht? - Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen. - Tragende Normen verifizieren: DSGVO Art. 5, 6, 7, 9, 12-22, 25, 28, 30, 32, 33-34, 35, 51-58, 77-83, BDSG §§ 22-25, 26, 30; StPO §§ 53, 97, 102, 110, 136, 137, 152, 153a, BGB §§ 280, 626, BRAO § 43a, GwG, AntiDopG, HinSchG; StPO; HinSchG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate. - Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail). - Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis. **Fokus:** Zieht strukturierte Lessons Learned aus abgeschlossenen Internal Investigations – Systemische Schwächen, Compliance-Verbesserungen, Dokumentation für Aufsicht. ### Lessons Learned nach Internal Investigations ## Rechtlicher Rahmen Eine Lessons-Learned-Analyse ist regelmäßig zweckmäßig, aber nicht als solche gesetzlich vorgeschrieben. Rechtlich maßgeblich ist, ob Organ- oder Aufsichtspflichten, Paragraf 130 OWiG, sektorspezifische Organisationspflichten oder eine behördliche Anordnung konkrete Abhilfemaßnahmen verlangen. Trenne deshalb freiwillige Verbesserung, gebotene Mängelbeseitigung, Nachweis gegenüber einer Behörde und haftungsrechtliche Schadensminderung. ## Ziel dieses Skills Dieser Skill extrahiert aus jeder abgeschlossenen Internal Investigation strukturierte Erkenntnisse und transformiert sie in konkrete, nachverfolgbare Verbesserungsmaßnahmen. ## Arbeitsprogramm ### 1. Strukturierte Rückschau – Was ist passiert? - Zeitleiste des Verstoßes: wann hat er begonnen, wann wurde er entdeckt, warum erst dann? - Täter-Profil: wer hat gehandelt, welche Motive, welche Gelegenheit? - Systemische Ermöglichung: welche Kontrolllücken haben den Verstoß ermöglicht? - Erkennung: warum wurde der Verstoß nicht früher entdeckt? Fehlende Kontrollen? Kulturelles Schweigen? - Response: wie effektiv war die Reaktion des Unternehmens nach Entdeckung? ### 2. Root-Cause-Kategorisierung - **Kontrolldefizit**: fehlende Four-Eyes-Prinzipien, fehlende Segregation of Duties, fehlende IT-Kontrollen. - **Überwachungsdefizit**: interne Revision zu schwach, Compliance-Reporting zu oberflächlich. - **Kulturdefizit**: Druck auf Ergebnisse, Angst vor Konsequenzen bei Meldungen, Wegschauen. - **Governance-Defizit**: zu viel Entscheidungsmacht bei einem Individuum, fehlende Board-Übersicht. - **Drittpartei-Defizit**: unzureichende Due Diligence bei Agenten/Lieferanten. ### 3. Erfolgsanalyse der Investigation selbst - Was lief gut? Beweissicherung, Interviews, Behördenkommunikation? - Was hätte besser laufen können? Zeitmanagement, Scope-Kontrolle, Kosten? - War der Abschlussbericht belastbar und hat er Untersuchungen und Behörden standgehalten? - Privilege-Schutz: wurden privilegierte Dokumente wirksam geschützt? - Datenschutz: gab es DSGVO-Verstöße während der Untersuchung selbst? ### 4. Compliance-Programm-Verbesserung - IDW PS 980: Anforderungen an wirksame Compliance-Management-Systeme (Kultur, Ziele, Risiken, Programm, Organisation, Kommunikation, Überwachung, Verbesserung). - LkSG: Lieferkettensorgfaltspflicht als Compliance-Erweiterung ([gesetze-im-internet.de](https://www.gesetze-im-internet.de/lksg/)). - Compliance-Risikobeurteilung neu durchführen: welche weiteren Bereiche könnten ähnliche Schwächen haben? - Compliance-Funktion: ausreichend Ressourcen, Unabhängigkeit, Zugang zum Vorstand? ### 5. Schulung und Awareness - Schulungsinhalt: konkrete Lehren aus dem Fall (anonymisiert) für Mitarbeiter. - Führungskräfte-Training: Tone from the Top; Verantwortung der Leitungsebene. - Ethics Speak-Up: Mitarbeiter ermutigen, Auffälligkeiten zu melden. - Regelmäßigkeit: einmalige Schulung nach dem Vorfall reicht nicht; jährliche Auffrischung. ### 6. Dokumentation für Aufsichtsbehörden - Lessons-Learned-Bericht: für BaFin, DOJ oder andere Aufsichtsbehörden als Nachweis der Verbesserung. - Maßnahmen-Umsetzungsnachweis: Evidenz, dass Empfehlungen tatsächlich umgesetzt wurden. - Compliance-Programm-Attestierung: ggf. durch externen Prüfer oder Compliance-Monitor. - BGH-Standard: CMS muss so gestaltet sein, dass Verstöße verhindert oder aufgedeckt werden. ### 7. Institutionalisierung des Lessons-Learned-Prozesses - Nach jeder erheblichen Compliance-Untersuchung standardmäßig eine Lessons-Learned-Analyse. - Ergebnisse fließen in das jährliche Compliance-Risikoassessment ein. - Compliance-Ausschuss oder Prüfungsausschuss erhält Lessons-Learned-Bericht. - Knowledge Management: anonymisierte Fallbeschreibungen für künftige Trainings und Analysen. ## Normenregister | Norm | Inhalt | Quelle | |---|---|---| | § 130 OWiG | Aufsichtspflichtverletzung | [gesetze-im-internet.de](https://www.gesetze-im-internet.de/owig/__130.html) | | § 93 AktG | Sorgfaltspflicht Vorstand | [gesetze-im-internet.de](https://www.gesetze-im-internet.de/aktg/__93.html) | | LkSG | Lieferkettensorgfaltspflichten | [gesetze-im-internet.de](https://www.gesetze-im-internet.de/lksg/) | | HinSchG | Hinweisgeberschutz 2023 | [gesetze-im-internet.de](https://www.gesetze-im-internet.de/hinschg/) | ## Ausgabeformate - **Lessons-Learned-Bericht-Template** (Root Causes, Empfehlungen, Maßnahmen) - **Compliance-Risikoassessment-Update** nach Untersuchung - **Schulungs-Case-Study** (anonymisiert) - **Behörden-Fortschrittsbericht** (Nachweis Systemverbesserungen) - **CMS-Wirksamkeits-Prüfliste** (IDW PS 980) Rechtsprechungszitate nur mit Gericht, Datum, Aktenzeichen und frei prüfbarer Quelle.