Organverantwortung und Delegation: Warum Governance kein Formalismus ist

Eine Geschäftsführerin überträgt die IT-Sicherheit vollständig auf den IT-Leiter. Es gibt kein formelles Reporting, keine regelmäßige Befassung auf Geschäftsführungsebene. Schließlich handelt es sich um einen Experten, und man vertraut auf dessen fachliche Entscheidungen.

Nach einem Sicherheitsvorfall stellt sich die Frage: Reicht diese Delegation zur Entlastung?

Die Antwort lautet meistens: Nein. Denn Delegation ohne Governance ist rechtlich betrachtet ein Risiko, das viele Geschäftsführer unterschätzen.

Was bedeutet Organverantwortung eigentlich?

Governance, Compliance, Organisationspflichten – das sind Themen, mit denen sich die Geschäftsführung typischerweise nicht aus Begeisterung beschäftigt. Sie wirken sperrig, formalistisch, komplex und konkurrieren mit operativen Prioritäten. Gleichzeitig sind sie im Haftungsfall so relevant wie ein guter Anwalt – nur eben vorher.

Der Ausgangspunkt liegt in der Organstellung selbst. Geschäftsführung oder Vorstand sind nicht nur eine Leitungsfunktion. Juristisch betrachtet sind sie das Handlungsorgan der Gesellschaft. Eine Geschäftsführerin handelt nicht bloß für das Unternehmen – sie handelt sozusagen als Unternehmen.

Daraus folgt eine besondere Verantwortungsstruktur:

• Entscheidungen binden die Gesellschaft im Außenverhältnis.

• Im Innenverhältnis bestehen eigenständige Pflichten gegenüber der Gesellschaft.

• Verantwortung knüpft an die Stellung an – nicht nur an einzelne Fehlentscheidungen.

Das bedeutet: Auch wenn die Geschäftsführerin selbst keine IT-Expertin ist, bleibt sie für die Organisation der IT-Sicherheit verantwortlich. Diese Verantwortung kann sie nicht einfach wegdelegieren.

Delegation ist möglich – aber nicht grenzenlos

Natürlich darf und soll eine Geschäftsführung Aufgaben delegieren. Kein Organ kann alle Fachbereiche selbst steuern. Delegation ist daher ein notwendiges und legitimes Instrument der Unternehmensführung.

Allerdings entlastet Delegation nur dann, wenn drei Voraussetzungen erfüllt sind:

1. Sorgfältige Auswahl

Die Person, an die delegiert wird, muss fachlich geeignet sein. Das klingt selbstverständlich, wird aber im Haftungsfall genau geprüft. Hat die Geschäftsführung sich vergewissert, dass der IT-Leiter über die notwendige Qualifikation und Erfahrung verfügt? Wurde die Auswahl dokumentiert?