Sie sind hier: Home » Fachartikel » Entscheidungshilfen

Sich für das Lieferkettengesetz wappnen

Auf den ersten Blick wirken die Anforderungen des Lieferkettengesetzes komplex
Lieferkettengesetz: Der Gesetzgeber habe den Unternehmen zwar eine "Bemühenspflicht", aber keine "Verhinderungspflicht" auferlegt

Von Lukas Leist

Das Lieferkettengesetz bereitet vielen Unternehmen Kopfzerbrechen – vor allem, weil sie nicht wissen, wie sie seine Anforderungen erfüllen sollen, ohne dass der bürokratische Aufwand und die Kosten aus dem Ruder laufen. Ab dem 1. Januar 2023 treten die Vorschriften des Lieferkettengesetzes stufenweise in Kraft. Danach müssen fast 3.000 Unternehmen in Deutschland mit mehr als 1.000 Beschäftigten sicherstellen, dass ihre nationalen und internationalen Lieferanten keine Menschenrechte verletzen, die Grundsätze der Arbeitssicherheit beachten und die Auflagen des Umweltschutzes erfüllen. Hierfür gilt es in den nächsten Monaten die Voraussetzungen zu schaffen.

Das Lieferkettengesetz: kein Grund zur Panik
Doch wie soll das in der Praxis funktionieren? Soll zum Beispiel der deutsche Einkaufsleiter künftig regelmäßig überprüfen, ob die Produktionsmitarbeiter des chinesischen Zulieferers Schutzkleidung tragen, oder soll die Leiterin des Supply Chain Management Gewässerproben am Abflussrohr eines kanadischen Zulieferers entnehmen?

"Selbstverständlich nicht", lautet die beruhigende Antwort von Dr. Jens-Uwe Meyer, CEO der Innolytics AG in Leipzig, die unter anderem Qualitäts- und Risikomanagement-Software entwickelt. Seine Erachtens sind die Anforderungen des Lieferkettengesetzes erfüllbar – sogar für kleine und mittlere Unternehmen (KMU), die zwar nicht unmittelbar die gesetzlichen Regelungen erfüllen müssen, "aber oft von ihren großen Kunden hierzu verpflichtet werden". Eine Voraussetzung hierfür ist: Die Unternehmen müssen sich systematisch auf die Einführung des Gesetzes vorbereiten.

Die Risiken aktiv managen
Auf den ersten Blick wirken die Anforderungen des Lieferkettengesetzes komplex und bei der Lektüre seines Textes gewinnt man schnell den Eindruck: Wenn ein Unternehmen künftig nicht für seine Lieferanten garantieren kann, muss es ein hohes Bußgeld bezahlen. "Dem ist nicht so", betont Meyer, der sich mit einem Expertenteam von Juristen und Risk-Managern, Einkaufsmanagern und IT-Experten intensiv mit dem Lieferkettengesetz befasst hat, denn: Der Gesetzgeber habe den Unternehmen zwar eine "Bemühenspflicht", aber keine "Verhinderungspflicht" auferlegt.

Was Unternehmen aber brauchen, "ist ein Risikomanagement, mit dem sie die wichtigsten Risiken in ihrer Lieferkette erkennen und managen", betont Meyer, denn ihr Bemühen muss dem Lieferkettengesetz zufolge nachweislich "angemessen" und "wirksam" sein.

Die Lieferanten kategorisieren
Was diese beiden Begriff juristisch bedeuten, ist höchstrichterlich noch nicht geklärt. Bis dies der Fall sein wird, werden voraussichtlich noch Jahre vergehen. Bis dahin können sich Unternehmen, wenn es darum geht, die Anforderungen des Lieferkettengesetzes zu erfüllen, an folgender Kategorisierung ihrer Lieferanten orientieren.

• >> A-Lieferanten: Dies sind die Lieferanten, von denen das Unternehmen strategisch bzw. existenziell abhängig ist – zum Beispiel, weil es ohne deren (Vor-)Produkte und Support seine Leistungen nicht erbringen kann. Die Zahl dieser Lieferanten, die entweder nicht oder nur mit einem extrem hohen Aufwand austauschbar sind, ist bei fast allen Unternehmen klein. Bei ihnen müssen die Unternehmen regelmäßig sogenannte Audits durchführen. Sie müssen also Vertreter von sich oder externe Beauftragte zum Lieferanten entsenden, die vor Ort überprüfen, ob die Lieferkettengesetz-Anforderungen erfüllt werden.

• >> B-Lieferanten: Diese Lieferanten haben für die Unternehmen zwar auch eine hohe Relevanz – zum Beispiel, weil sie wichtige Komponenten oder strategisch relevante Dienstleistungen zuliefern. Von ihnen sind sie aber nicht abhängig, weil sie diese bzw. deren Problemlösungen im Bedarfsfall mit einem überschaubaren Aufwand durch andere ersetzen können. Bei diesen Lieferanten ist es angemessen und wirksam, sogenannte digitale Lieferantenaudits durchzuführen.

• >> C-Lieferanten: Bei diesen Lieferanten kaufen die Unternehmen zum Teil zwar auch regelmäßig ein, doch die von ihnen gelieferten Leistungen haben für ihre Leistungserbringung eine geringe Relevanz. Der zentrale Grund bzw. einer der zentralen Gründe, warum zu diesen Unternehmen eine Kunden-Lieferanten-Beziehung besteht, ist vielmehr der Preis bzw. die gute Kosten-Nutzen-Relation. Diese Lieferanten können Unternehmen zumeist sehr einfach austauschen. Deshalb können sie diese, wenn es um das Erfüllen der Anforderungen des Lieferkettengesetzes geht, weitgehend ignorieren.

Mit dieser Kategorisierung ihrer Lieferanten im Kopf und einer hieraus abgeleiteten Vorgehensweise können Unternehmen nach Einführung des Lieferkettengesetzes problemlos agieren, prognostiziert Meyer. "Denn auch die kontrollierende Behörde, das BAFA, muss erst noch Erfahrung sammeln." Deshalb ist laut seiner Einschätzung, für Unternehmen, sofern sie ein ernsthaftes Bemühen nachweisen können, die Gesetzesanforderungen zu erfüllen, "die Gefahr faktisch gleich null, dass gegen sie ein Bußgeld verhängt wird".

Digitale Audits helfen bei der Umsetzung
Die Mehrzahl der Lieferanten von Unternehmen fällt in der Regel in die Kategorie B. Hier setzen die Unternehmen in der Praxis denn auch meist solche digitale Lieferantenaudits ein, wie sie zum Beispiel Innolytics mit Hilfe seines Expertengremiums entwickelt hat. Diese funktionieren wie folgt:

• >> Das Unternehmen schickt seinen Lieferanten per Mail einen Fragebogen zur Selbstauskunft zu. Die so erhaltenen Infos wertet es dann entweder manuell bezüglich bestehender Risiken aus oder mit Hilfe einer Software, die vollautomatisch Risikoanalysen erstellt.

• >> Zeigen sich dabei bei einzelnen Lieferanten Auffälligkeiten starten die Verantwortlichen eine vertiefende Diskussion. Das heißt, sie fragen beim Lieferanten nach. Sie fordern von ihm zum Beispiel Dokumente an, die seine Angaben belegen und überprüfen stichpunktartig die Bereiche, in denen dieser sich Bestnoten gab.

Dabei kämpfen Unternehmen oft mit einem Sprachenproblem – sogar wenn ein Lieferant in Europa seinen Standort hat. So zum Beispiel, wenn er in Frankreich oder Polen ansässig ist und sein zuständiger Sachbearbeiter nur rudimentär Englisch spricht. Die Innolytics AG hat dieses Problem wie folgt gelöst:

• >> Die vertiefenden Interviews werden mit Hilfe von künstlicher Intelligenz automatisch in sieben Sprachen übersetzt – darunter auch polnisch und chinesisch.
• >> Die Software dokumentiert jeden Arbeitsschritt. Ähnlich wie bei einer Buchhaltungssoftware lässt sich kein Eintrag revidieren. Damit sind alle Aktivitäten des Unternehmens und des Lieferanten revisionssicher und unveränderbar aufgezeichnet.

Einen Zeitplan bis zur Einführung erstellen
Theoretisch haben die Unternehmen noch viel Zeit zum Erfüllen der Forderungen des Lieferkettengesetzes. Ab dem 01. Januar 2023 sind Unternehmen ab 3.000 Beschäftigte verpflichtet, seine Anforderungen umzusetzen. Unternehmen mit 1.000 bis 2.999 Beschäftigten haben noch ein Jahr länger Zeit.

Trotzdem steigt der Handlungsdruck. Unternehmen, die im ersten Quartal 2023 ein wirksames Risikomanagement eingeführt haben wollen, sollten bis Mitte 2022 die Grundstrukturen hierfür geschaffen haben, rät Meyer, "damit dann die konkrete Umsetzung beginnen kann". Hierzu zählt auch die Aufgabe, den Lieferanten zu vermitteln, welche neuen Anforderungen und Verfahren auf sie zukommen."

Zu den Lieferanten zählen nicht selten auch KMU. Diese sind aktuell zwar nur mittelbar vom Gesetz betroffen, doch nicht wenige von ihnen haben Großunternehmen als Kunden und diese werden wiederum oft die Anforderungen des Lieferkettengesetzes an sie durchreichen. Denn im Gesetz steht, dass auch Unternehmen, "die nur mittelbar einkaufen, dessen Bestimmungen erfüllen müssen", erklärt Meyer. "Ansonsten könnten sie leicht umgangen werden – zum Beispiel, indem ein Konzern seine Einkäufe künftig über eine Einkaufsgesellschaft abwickelt. Oder indem er Produkte, die bisher selbst einkaufte, fortan von Lieferanten beschaffen lässt."

Deshalb werden die Großunternehmen künftig vermehrt auch kleine und mittlere Unternehmen in die Pflicht nehmen. Das kann auch schon mal einen Handwerker vor Ort betreffen, der zum Beispiel Luftfilter eines chinesischen Herstellers im Firmengebäude installiert. Denn dann hat das Großunternehmen zwei Möglichkeiten:

• >> Es kann die Luftfilter selbst direkt einkaufen und den Handwerker diese nur einbauen lassen oder
• >> es kann dem Handwerker den Komplettauftrag erteilen.
Im zweiten Fall ist der Handwerker möglicherweise vom Lieferkettengesetz betroffen.

In vielen Unternehmen laufen Pilotprojekte
Viele (Groß-)Unternehmen verspüren inzwischen einen wachsenden Zeitdruck, wenn es um das Umsetzen des Lieferkettengesetzes geht, den sie haben oft Tausende von Lieferanten. Deshalb laufen in vielen schon entsprechende Pilotprojekte. Dabei sammeln die Unternehmen meist die Erfahrung: Ohne digitale Lösungen wie die der Innolytics AG wird das Umsetzen des Lieferkettengesetzes schnell zu einem bürokratischen Alptraum. Zudem ufern die Verwaltungskosten aus. Mit Hilfe moderner digitaler Tools lässt sich jedoch nicht nur die scheinbare Herkulesaufgabe lösen, "auch der Aufwand sinkt um bis zu achtzig Prozent", verspricht Meyer. Dies wäre ganz im Sinne des Gesetzgebers, denn er möchte zwar, dass die deutschen Unternehmen ein wachsames Auge auf ihre Lieferanten haben, er will aber keine neue Wirtschaftspolizei etablieren.

Zum Autor:
Lukas Leist, Darmstadt, ist Wirtschaftsinformatiker. Er ist als (Fach-)Journalist unter anderem auf Management- und IT-Themen spezialisiert.
(Innolytics: ra)

eingetragen: 18.03.22
Newsletterlauf: 20.05.22

Innolytics: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Administration

Erfüllung der hohen Compliance-Anforderungen
Die Implementierung von IT-Compliance-Vorgaben kann sich als wahre Mammutaufgabe erweisen. Dell erläutert fünf Best Practices, mit denen die Umsetzung gelingt. Die Einhaltung gesetzlicher Bestimmungen, regulatorischer Vorschriften, Standards und nicht zuletzt interner Regeln ist heute für alle Unternehmen ein zentrales Thema - seien es Behörden, Organisationen im Gesundheitswesen, Automobil- oder Maschinenbauer, Finanzdienstleister oder Einzelhändler. Eine wichtige Rolle spielen dabei Maßnahmen wie die Förderung eines Sicherheitsbewusstseins unter den Mitarbeitern inklusive fortlaufender Schulungen, klarer Regeln für die Zugriffe auf Daten sowie eine regelmäßiger Überprüfung und Anpassung der Sicherheitsregeln. Der folgende Fünf-Stufen-Plan von Dell ebnet Unternehmen den Weg zur Erfüllung der hohen Compliance-Anforderungen.
Schritthalten mit der Compliance
Wir möchten alle glauben, dass unsere Netzwerke vollständig sicher sind und unsere Verfahren und Richtlinien voll und ganz den Vorschriften entsprechen, die unsere Branche regeln. Doch die Sicherheitslandschaft verändert sich viel zu schnell, als dass Organisationen jederzeit gegen alle Bedrohungen geschützt sein könnten. Im Jahr 2012 führten wir eingehende Sicherheitsprüfungen bei Netzwerken von 900 Organisationen weltweit durch und fanden heraus, dass 63 Prozent mit Bots infiziert waren, von denen sie nichts wussten. Diese kommunizierten mindestens alle zwei Stunden mit ihren externen Steuerungszentren - und zogen dabei aktiv Daten von den infizierten Netzwerken der Unternehmen ab.
PIM-Lösung: Fluch oder Segen?
Die Vorteile einer zentralen Lösung zur automatischen Verwaltung privilegierter Accounts sind umfassend. Für das Unternehmen reichen sie von der Prozessoptimierung über die Einhaltung von Compliance-Anforderungen bis hin zu einer generellen Erhöhung der Sicherheit. Auch der einzelne Administrator profitiert von einer deutlichen Reduzierung seines Verwaltungsaufwandes.
Compliance bei der Softwarelizenzierung
Erfolgreiche Geschäftsbeziehungen beruhen auf dem Vertrauen zwischen Käufern und Verkäufern. Für die Softwarebranche sind die Themen Vertrauen und faire Gegenleistungen traditionell eher schwierige Themen. Denn viele Unternehmen verstoßen trotz bester Absichten immer wieder gegen geltende Nutzungsbestimmungen. Anwendungshersteller stellen ihren Kunden Anwendungen im Rahmen bestimmter Berechtigungen zur Verfügung. Dieser Rahmen gibt vor, wie das Produkt unternehmensweit genutzt werden darf. Diese Nutzungsberechtigungen werden üblicherweise mit einem Lizenzierungsmodell durchgesetzt, das das geistige Eigentum der Softwareapplikationsshersteller gleichzeitig schützt und monetarisiert. Im Laufe der Zeit und je nach avisierten Märkten und Segmenten stellt der Hersteller bisweilen auf ein anderes Lizenzierungsmodell um, das den geänderten Kundenanforderungen besser gerecht wird. Möglicherweise werden auch mehrere Lizenzierungsmodelle zur Wahl gestellt. Diese Dynamik erschwert ein einwandfreies Compliance-Management erheblich.
Compliance und Software-Audits
Software-Audits gelten seit langem als notwendiges "Übel", um sicherzustellen, dass Endkunden nicht gegen Lizenzrechte verstoßen. Denn Softwarehersteller setzen nach wie vor hauptsächlich auf diese Methode, damit Kunden nicht irrtümlich oder vorsätzlich mehr Softwarelizenzen nutzen, als sie erworben haben. In manchen Marktsegmenten werden Kunden von den jeweiligen Herstellern allerdings stärker geprüft als von anderen. Schon die Vorstellung, sich einem Audit unterziehen zu müssen, veranlasst die meisten Endkunden dazu, angemessene Vorkehrungen zur Einhaltung der Lizenzbestimmungen zu treffen.

Moderne Banken-IT-Sicherheit Betriebsrente jenseits BetrAVG