Dritte · 4 Min. Lesezeit
Einstufung, gezielte Fragebögen, Scoring und laufende Überwachung: eine praktische Methode, um die Lieferanten und Partner, von denen Ihr Unternehmen abhängt, wirklich zu kennen.
Jedes Unternehmen ist auf Lieferanten, Berater, Vertriebspartner und Technologiepartner angewiesen. Viele von ihnen haben Zugang zu kritischen Daten, Systemen oder Prozessen, und ihre Probleme werden schnell zu Ihren: ein Cybervorfall, ein Lieferausfall, ein Fehlverhalten, das mit dem Namen des Kunden in den Schlagzeilen landet.
Neuere Vorschriften tragen dem ausdrücklich Rechnung. NIS2 verlangt ein Management der Sicherheit in der Lieferkette, die DSGVO fordert Auftragsverarbeiter, die hinreichende Garantien bieten, und Regeln zu Korruptionsprävention und Nachhaltigkeit erweitern den Blick auf Geschäftspartner. Due Diligence bei Dritten ist keine freiwillige Prüfung des Einkaufs mehr, sondern ein Prozess, an dem Compliance, IT, Rechtsabteilung und Geschäftsleitung beteiligt sind.
Der häufigste Fehler besteht darin, alle Lieferanten gleich zu behandeln und denselben langen Fragebogen an den Büromateriallieferanten wie an den Betreiber Ihrer Server zu schicken. Das Ergebnis ist ein enormer Aufwand, hastig ausgefüllte Antworten und keinerlei zusätzliche Sorgfalt dort, wo sie wirklich nötig wäre.
Beginnen Sie stattdessen mit einer Einstufung nach wenigen Kriterien: Zugang zu personenbezogenen Daten oder Unternehmenssystemen, Bedeutung der Leistung für die Betriebskontinuität, Länder, in denen der Lieferant tätig ist, Wert und Dauer der Geschäftsbeziehung sowie die Möglichkeit, ihn kurzfristig zu ersetzen. Einige wenige Fragen bei der Erfassung genügen, um jeden Dritten einer Risikoklasse zuzuordnen.
Jede Risikoklasse erfordert eine andere Prüftiefe. Bei Lieferanten mit geringem Risiko kann eine einfache Dokumentenprüfung reichen; kritische Lieferanten brauchen einen vollständigen Fragebogen, geprüfte Nachweise und in manchen Fällen ein Audit vor Ort.
Ein guter Due-Diligence-Fragebogen ist kurz und auf die Risikoklasse zugeschnitten. Typische Themen sind die Identität des Unternehmens und der wirtschaftlich Berechtigten, Informationssicherheit und Datenschutz, Zertifizierungen, Betriebskontinuität, Ethik und Korruptionsprävention, Nachhaltigkeit sowie der Einsatz von Unterauftragnehmern. Jede Frage sollte einen klaren Zweck haben: Würde die Antwort die Entscheidung nicht verändern, kann die Frage entfallen.
Anschließend sind die Antworten zu überprüfen. Zu einer angegebenen Zertifizierung gehört das Zertifikat mit Ablaufdatum, zu einer Sicherheitsrichtlinie das freigegebene Dokument, zu einer Angabe über die wirtschaftlich Berechtigten ein aktueller Registerauszug. Externe Quellen wie Sanktionslisten und öffentliche Register runden das Bild ab, ohne vom Lieferanten zusätzlich etwas zu verlangen.
Es lohnt sich auch, vorab festzulegen, wer was bewertet. Antworten zur Cybersicherheit brauchen den Blick der IT, Antworten zum Datenschutz die Einschätzung der Datenschutzverantwortlichen und Antworten zu Ethik und Korruptionsprävention die Compliance-Funktion. Ein Workflow, der jeden Abschnitt der richtigen Fachperson zuweist, verhindert, dass der Fragebogen auf einem einzigen Schreibtisch liegen bleibt.
Der Kernfragebogen
Antworten und Prüfungen fließen in einen Risiko-Punktwert ein, die nach transparenten und für alle gleichen Kriterien berechnet wird. Der Punktwert entscheidet nicht allein: Er macht unterschiedliche Lieferanten vergleichbar und bringt die Schwachstellen ans Licht, über die es zu sprechen gilt.
Es gibt mehr als zwei mögliche Entscheidungen. Neben Freigabe oder Ablehnung ist eine Freigabe unter Auflagen möglich: spezifische Vertragsklauseln, ein Verbesserungsplan mit Fristen, Einschränkungen beim Datenzugriff, eine vorgezogene Neubewertung. Jede Entscheidung ist zu begründen und zu dokumentieren, zusammen mit der Person, die sie getroffen hat.
Die Auflagen aus der Due Diligence müssen bis in den Vertrag gelangen. Eine Sicherheitsanforderung, die in der Vereinbarung fehlt, lässt sich gerade dann schwer durchsetzen, wenn es darauf ankommt.
Due Diligence endet nicht mit dem Onboarding. Zertifizierungen laufen ab, Eigentumsverhältnisse ändern sich, ein Lieferant kann einen Vorfall erleiden oder auf einer Sanktionsliste landen. Regelmäßige Neubewertungen in einem risikogerechten Rhythmus, Warnungen zu ablaufenden Dokumenten und die Möglichkeit, eine Bewertung bei wichtigen Ereignissen neu zu öffnen, halten das Bild aktuell.
Das Modul Third Party Due Diligence von Regulate begleitet den gesamten Zyklus: Ersteinstufung, nach Risikoklasse differenzierte Fragebögen, Sammlung von Nachweisen, Risiko-Scoring und laufende Überwachung mit Warnmeldungen. Verknüpft mit den Lieferantenstammdaten im CRM, bündelt es Daten, Dokumente, Bewertungen und Verträge in einer einzigen Ansicht und belegt jederzeit, wie das Unternehmen die Risiken steuert, die von außen kommen.
Weiterlesen
Intelligente Automatisierung verändert grundlegend, wie Unternehmen ihre täglichen Abläufe steuern. Strategien, um wiederkehrende Aufgaben zu digitalisieren, die Genauigkeit zu erhöhen und Ressourcen freizusetzen.
Wie intelligente Chatbots und interaktives Lernen das Richtlinienmanagement zugänglicher, ansprechender und messbarer machen.
Innovaq befindet sich in der Startphase.