Um Compliance-Risiken für das Unternehmen zu erkennen, zu analysieren und zu bewerten sowie daraus risikoorientiert Maßnahmen zur Prävention von Rechts- und Regelverstößen abzuleiten, steuert das zentrale Compliance-Management jährlich eine übergeordnete Compliance-Risikoerhebung (Compliance Risk Assessment, CRA). Sie umfasst auch Beteiligungen der Deutschen Telekom. Hierfür haben wir einen Compliance-Risiko-Assessment-Prozess etabliert, Verantwortlichkeiten festgelegt und Bewertungskriterien definiert. Die einzelnen Schritte werden nachvollziehbar dokumentiert. Im Einzelnen verlief das Compliance Risk Assessment 2022 wie folgt:

• Die Gesellschaften, die am CRA teilnehmen, wurden nach einem risiko- und reifegradorientierten Modell und in Abhängigkeit von der Governance ausgewählt.
• Im Jahr 2022 durchliefen 69 Einheiten (61 Gesellschaften und 8 Einheiten der Konzernzentrale) diesen Prozess. Dies entspricht einer Abdeckungsquote von 93,6 Prozent (nach FTE/Vollzeitäquivalenten der vollkonsolidierten Gesellschaften und Zentralbereiche; Stand: 31. Dezember 2021). Die T-Mobile US führt ein Risk Assessment nach einer anderen Systematik durch.
• In einer Konzern-Risikolandkarte werden die für unser Unternehmen potenziell möglichen Risiken aufgeführt. Dies ermöglicht den verschiedenen Gesellschaften der Deutschen Telekom mit ihren unterschiedlichen Geschäftsmodellen, eine systematische Risikoanalyse vorzunehmen. Die Risikofelder wurden 2022 überarbeitet und teilweise zusammengefasst. Im Jahr 2022 umfasste die Risikolandkarte 22 Risikofelder, dazu gehörten beispielsweise Korruption, Kartellrechtsverstöße und Verstöße gegen die Menschenrechte. Alle Landesgesellschaften können geschäftsspezifisch und anlassbezogen weitere Kategorien definieren. Für jedes Risiko wird bestimmt, welche konkrete Bedrohung für die jeweilige Landesgesellschaft besteht und welche Schritte bereits eingeleitet wurden, um das Risiko möglichst auszuschließen. Sofern erforderlich, werden weitere Maßnahmen entwickelt, um die Risiken auf ein vertretbares Niveau zu senken.
• Die Durchführung des CRA liegt in der Verantwortung der jeweiligen Gesellschaft oder Konzerneinheit. Auf Grundlage der Ergebnisse des CRA und der Erkenntnisse aus weiteren Compliance Prozessen beschließt die Geschäftsführung für das jeweilige Folgejahr ein Compliance-Programm mit entsprechenden lokalen Maßnahmen und Verantwortlichkeiten. Die zentrale Compliance-Organisation unterstützt sie hierbei und stellt eine einheitliche Methodik zur Verfügung. So lassen sich die Erkenntnisse aus dem CRA nutzen, um risikoorientiert konzernweite Maßnahmen abzuleiten.
• Der Vorstand und der Prüfungsausschuss des Aufsichtsrats der Deutschen Telekom werden über die Ergebnisse des Compliance Risk Assessments informiert.
• Die zentrale Compliance-Abteilung monitort die Durchführung der Maßnahmen aus dem Compliance-Programm.