SC-02 | Lieferkette, Produkt & Nachhaltigkeit | Aktiv bei relevanter Lieferanten- oder Dienstleisterbasis
Auch weit unterhalb der Lieferkettenschwelle gilt: Wenn ein Lieferant gegen Sanktionen verstößt, Bestechungsgelder zahlt oder Deine Daten verliert, ist das Dein Problem - rechtlich, wirtschaftlich und gegenüber Deinen Kunden.
GILT DAS FÜR DICH?
Für jedes Unternehmen mit nennenswerter Beschaffung oder ausgelagerten Leistungen. Das ist keine gesetzliche Einzelpflicht, sondern die Ausprägung Deiner Organisationspflicht nach § 130 OWiG - und in mehreren Bereichen inzwischen sogar ausdrücklich gefordert.
Konkret verlangen Dir andere Baselines das Lieferantenmanagement ohnehin ab: die Auswahlpflicht bei Auftragsverarbeitern nach Art. 28 DSGVO, die Lieferkettensicherheit unter NIS2, das Sanktionslisten-Screening und die Prüfung von Vermittlern in der Korruptionsprävention.
DAS MUSST DU TUN
- Erstelle eine Liste Deiner wesentlichen Lieferanten und Dienstleister. Wesentlich heißt: hoher Einkaufswert, schwer ersetzbar, Zugang zu Daten oder Systemen, oder Tätigkeit in einem Risikoland.
- Segmentiere nach Risiko. Ein Bürobedarfslieferant braucht keine Tiefenprüfung, ein IT-Dienstleister mit Systemzugriff oder ein Zulieferer in einem Hochrisikoland schon.
- Verankere Mindeststandards vertraglich. Ein Lieferanten-Verhaltenskodex, auf den der Vertrag verweist, ist der pragmatischste Weg: Einhaltung von Arbeits- und Umweltstandards, Korruptionsverbot, Sanktionskonformität, Informationssicherheit, Auskunfts- und Prüfrechte.
- Prüfe kritische Lieferanten risikobasiert - Selbstauskunft, Sanktionslisten-Abgleich, Zertifikate (ISO 27001, ISO 14001), bei besonders kritischen Partnern ein Audit.
- Prüfe vor Vertragsschluss, nicht danach. Nimm die Prüfung fest in den Beschaffungsprozess auf.
- Definiere einen Eskalationsweg bei Auffälligkeiten: Wer entscheidet über Nachbesserung, Nachverhandlung oder Beendigung der Geschäftsbeziehung?
- Überprüfe jährlich, ob sich Volumen, Kritikalität oder Länderrisiko verändert haben.
GRÜN IST ES, WENN ...
Es gibt eine aktuelle Liste der wesentlichen Lieferanten mit Risikoeinstufung, vertraglich verankerte Mindeststandards und eine dokumentierte Prüfung der kritischen Partner.
DIESE NACHWEISE BRAUCHST DU
Lieferantenliste mit Risikoklassen, Lieferanten-Verhaltenskodex, Vertragsklauseln, Selbstauskünfte und Screening-Nachweise, Auditberichte, Eskalationsdokumentation.
DIE RECHTSGRUNDLAGE
- § 130 OWiG - Verletzung der Aufsichtspflicht: Deine Organisationspflicht endet nicht am Werkstor. Wer kritische Leistungen auslagert, muss den Dienstleister auswählen und überwachen.
- Art. 28 Abs. 1 DSGVO - Auswahl des Auftragsverarbeiters: Du darfst nur mit Dienstleistern arbeiten, die hinreichende Garantien bieten - und musst das prüfen und belegen können.
- BSI-Gesetz (BSIG) - Sicherheit der Lieferkette: Für NIS2-betroffene Unternehmen ist die Sicherheit der Lieferkette ausdrücklich Teil der Risikomanagementmaßnahmen.
- EU-Sanktionen - Übersicht der Europäischen Kommission: Das Bereitstellungsverbot gilt auch gegenüber Lieferanten und Dienstleistern, nicht nur gegenüber Kunden.
TYPISCHE STOLPERFALLEN
- Keine Mindeststandards im Vertrag. Ohne Klausel hast Du bei Verstößen keinen Hebel.
- Einmalige Prüfung beim Onboarding. Risiken entstehen später - durch neue Eigentümer, neue Standorte, neue Sanktionen.
- Alle Lieferanten gleich behandeln. Wer alle prüft, prüft keinen richtig. Risikobasiert heißt: wenige gründlich.
- Keine Eskalation. Auffälligkeiten werden dokumentiert und dann nicht weiterverfolgt.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Lieferantenmanagement scheitert selten am Willen und fast immer daran, dass die Informationen über Partner verteilt in Mailpostfächern liegen.
Compliance.Trust: Vendor-Management mit Risikoeinstufung, Selbstauskünften, Zertifikaten und NDA-Verwaltung - eine Liste statt zwölf Ordner.
Compliance.Policies: Den Lieferanten-Verhaltenskodex verteilen und die Bestätigung dokumentieren.
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
