Lieferantenrisiko: eine verhältnismäßige Bewertung

Nicht alle Lieferanten sind gleich

Alle Lieferanten gleich zu behandeln, wirkt auf den ersten Blick am gerechtesten, ist aber am wenigsten wirksam. Wenden Sie auf alle die Prüfungen an, die für die kritischsten Lieferanten gedacht sind, wird der Prozess langsam und teuer. Wenden Sie auf alle nur Mindestprüfungen an, bleiben die echten Risiken unbemerkt.

Eine verhältnismäßige Bewertung geht von einem einfachen Gedanken aus: Der Aufwand, den Sie von einem Lieferanten verlangen, sollte davon abhängen, wie stark dieser Lieferant Ihr Unternehmen beeinflussen kann. Ein Lieferant von Verbrauchsmaterial und einer, der die Daten Ihrer Kunden verarbeitet, verdienen weder denselben Fragebogen noch denselben Prüfrhythmus.

Verhältnismäßig heißt nicht nachlässig. Es heißt, vorab festzulegen, wo die Zeit der Prüfenden am besten eingesetzt ist, und dies ausdrücklich festzuhalten. So bleibt das Vorgehen von Lieferant zu Lieferant konsistent und lässt sich begründen, wenn jemand fragt, warum eine Prüfung durchgeführt wurde oder nicht.

Die Kriterien, auf die es ankommt

Für die Einstufung genügen wenige Kriterien, sofern sie klar und überprüfbar sind. Am aussagekräftigsten sind der Zugriff auf personenbezogene oder vertrauliche Daten, der Zugang zu Ihren IT-Systemen, die betrieblichen Folgen eines Leistungsausfalls, die Austauschbarkeit des Lieferanten und der Einsatz von Unterlieferanten.

Jedes Kriterium sollte geschlossene Antworten haben, etwa ja, nein oder eine dreistufige Skala, und die Gesamtbewertung sollte nachvollziehbar berechnet werden. Eine Bewertung, die niemand erklären kann, hält keinem Audit stand und überzeugt auch diejenigen nicht, die sie anwenden müssen.

Die Risikostufe wird zu Beginn der Erfassung festgelegt, denn genau davon hängt ab, welche Informationen Sie anschließend anfordern.

Bewertungskriterien

• Zugriff auf personenbezogene Daten
• Zugang zu Systemen
• Folgen eines Ausfalls
• Austauschbarkeit
• Einsatz von Unterlieferanten

Von der Risikostufe zu den angeforderten Informationen

Steht die Stufe fest, sollte sich der Erfassungsvorgang entsprechend anpassen. Bei einem Lieferanten mit niedrigem Risiko reichen rechtliche Identität, Kontakte sowie Bank- und Steuerdaten. Bei mittlerem Risiko kommen Datenschutzunterlagen und Angaben zu den erbrachten Leistungen hinzu.

Von Lieferanten mit hohem Risiko verlangen Sie mehr: Sicherheitsmaßnahmen, Zertifizierungen, Notfallpläne, eine Liste der Unterlieferanten und, wo nötig, einen Auftragsverarbeitungsvertrag. So fließt der Aufwand dorthin, wo er echten Nutzen bringt, und kleinere Lieferanten werden nicht durch unverhältnismäßige Anforderungen abgeschreckt.

Niedriges Risiko

• Rechtliche Identität
• Kontakte
• Bank- und Steuerdaten

Hohes Risiko

• Sicherheitsmaßnahmen
• Zertifizierungen
• Unterlieferanten
• Auftragsverarbeitungsvertrag

Über die erste Ebene hinausblicken

Viele Risiken gehen nicht vom direkten Lieferanten aus, sondern von denen, die für ihn arbeiten. Ein IT-Dienstleister kann den Nachtsupport an ein anderes Unternehmen vergeben, ein Softwareanbieter kann Daten bei einem externen Provider hosten. Ist diese Kette unbekannt, bleibt selbst die sorgfältigste Bewertung lückenhaft.

Deshalb lohnt es sich, die kritischsten Lieferanten zu bitten, ihre relevanten Unterlieferanten mit der erbrachten Leistung und dem Land der Tätigkeit anzugeben und jede Änderung mitzuteilen. Es geht nicht darum, die gesamte Lieferkette zu kontrollieren, sondern zu wissen, wer mit den Daten und Prozessen Ihres Unternehmens in Berührung kommt.

Auch hier gilt die Verhältnismäßigkeit: Von Lieferanten mit niedrigem Risiko brauchen Sie nichts anzufordern. Kritische Lieferanten sollten die Liste bei der Erfassung vorlegen und bei jeder regelmäßigen Überprüfung bestätigen, wobei Sie prüfen, ob die angegebenen Unterlieferanten Anforderungen erfüllen, die mit denen des Hauptlieferanten vereinbar sind.

Eine Bewertung, die lebendig bleibt

Risiken verändern sich. Ein Randlieferant kann zentral werden, eine Leistung kann sich auf neue Daten ausweiten, eine Zertifizierung kann ablaufen. Eine Bewertung, die einmal erstellt und nie wieder angesehen wird, verliert schnell ihre Aussagekraft. Legen Sie einen Prüfrhythmus fest, der sich nach der Risikostufe richtet und bei kritischen Lieferanten kürzer ist, und bewerten Sie neu, sobald sich der Leistungsumfang ändert.

Im CRM von Innovaq bündelt der Erfassungsvorgang die Reiter Risiko, Datenschutz, Sicherheit und Unterlieferanten in derselben Akte. So bleibt die Bewertung mit den Daten und Dokumenten verknüpft, die sie begründen, und Prüftermine werden zu Erinnerungen, die einer verantwortlichen Person zugewiesen sind.

Der Aufwand, den Sie von einem Lieferanten verlangen, sollte davon abhängen, wie stark er Ihr Unternehmen beeinflussen kann.