Lieferanten-Onboarding: Vorlage für das Prozessdiagramm

Was ist lieferanten-onboarding: vorlage für das?

Lieferanten-Onboarding ist der Weg eines neuen Lieferanten von der ersten fachlichen Anfrage bis zu einem aktiven Stammsatz in Ihrem Finanzsystem, der rechtmäßig bezahlt werden kann. In der Regel kreuzt er fünf Funktionen: den Bedarfsträger, der den Lieferanten braucht, den Einkauf, der den Prozess führt, das Recht, das den Vertrag prüft und unterzeichnet, die Finanzen, die Bonität prüfen und die Zahlung einrichten, sowie Sicherheit beziehungsweise Compliance, die entscheiden, wie viel Risiko der Lieferant mitbringt. Die meiste Verzögerung entsteht in den Übergaben zwischen diesen Gruppen, nicht in den Prüfungen selbst.

Zwei Teile des Ablaufs tragen die eigentliche Last. Der erste ist die Risikoeinstufung. Statt jeden Lieferanten durch dieselbe Prüfung zu schicken, klassifizieren Sie ihn nach Datensensibilität, Volumen, Systemzugang und Geschäftskritikalität und behalten die erweiterte Due Diligence der hohen Klasse vor. Der zweite ist die Verifizierung der Bankdaten: die praktische Kontrolle gegen Zahlungsumleitungsbetrug. Das Konto durch einen Rückruf unter einer Nummer aus dem unterzeichneten Vertrag zu bestätigen und jede spätere Änderung der Bankdaten als neue Verifizierung statt als schnelle Korrektur zu behandeln, ist das, was verhindert, dass Zahlungen bei einem Angreifer landen.

Diese Vorlage legt den Prozess als bereichsübergreifendes Swimlane-Diagramm aus, sodass jede Übergabe sichtbar wird: wo der Einkauf an das Recht übergibt, wo die Sicherheit eine Risikoklasse zurückmeldet, wo die Finanzen für Zahlungseinrichtung und Stammdaten übernehmen. Sie geht über den Punkt hinaus, an dem viele dokumentierte Prozesse enden, und schließt beim Eintrag in der Liste freigegebener Lieferanten mit hinterlegtem Wiedervorlagedatum ab, denn eine Liste, die nie erneut geprüft wird, beschreibt schon nach etwa einem Jahr nicht mehr, bei wem Sie tatsächlich einkaufen.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Fünf Swimlanes (Bedarfsträger, Einkauf, Recht, Finanzen sowie Sicherheit und Compliance) über sechs Phasen: Anfrage, Due Diligence, Risikoeinstufung, Vertrag, Zahlungsdaten und Aktivierung
• Der Einstieg in der Bahn Bedarfsträger: Bedarf für einen neuen Lieferanten erkennen und die Lieferantenanfrage einreichen, mit fachlicher Begründung, geschätztem Volumen, betroffenen Daten oder Systemen und einem namentlich benannten internen Verantwortlichen
• Die Dublettenprüfung „Bestehender Lieferant deckt den Bedarf?“ vor jeder Prüfarbeit, die solche Anfragen direkt zur Bestellung beim bestehenden Lieferanten leitet
• Drei aufeinanderfolgende Prüfungen in getrennten Bahnen: Das Recht prüft Vertragsbedingungen und Klauseln, die Finanzen führen Bonitäts- und Finanzprüfung durch, und Sicherheit und Compliance prüfen Informationssicherheit und Datenschutz
• Eine Risikoeinstufung mit echter Verzweigung: „Risikoklasse festlegen“ führt auf „Hohe Risikoklasse?“, der Ja-Zweig durchläuft die erweiterte Due Diligence, und beide Wege münden wieder in die Entscheidung „Due Diligence bestanden?“, die entweder zum Vertrag führt oder den Lieferanten ablehnt und den Bedarfsträger informiert
• Verhandlung, Unterzeichnung und Ablage der Vertragsausfertigung in der Bahn Recht, danach die Verifizierung der Bankdaten per Rückruf in den Finanzen mit Rückschleife bei fehlgeschlagener Prüfung, das Anlegen des Lieferantenstammsatzes, die Aufnahme in die Liste freigegebener Lieferanten und ein gesetztes Wiedervorlagedatum, bevor der Lieferant aktiv gesetzt wird

Wann Sie diese Vorlage verwenden sollten

• Sie schreiben oder überarbeiten eine Einkaufsrichtlinie und wollen Schritte und Übergaben abgestimmt haben, bevor jemand den Text formuliert
• Lieferantenanfragen bleiben immer wieder liegen, weil niemand sagen kann, welche Funktion die Akte gerade hält
• Sie sollen darlegen, wie Lieferanten bewertet und freigegeben werden: für einen Sicherheitsfragebogen eines Kunden, eine interne Revision oder die Vorbereitung auf ISO 27001 oder SOC 2
• Ein Betrugsversuch oder Beinahe-Schaden bei einer Zahlung hat eine Überprüfung ausgelöst, wie Bankdaten erfasst, verifiziert und geändert werden
• Sie bringen neue Mitarbeitende in Einkauf oder Finanzen auf Stand und wollen ein einseitiges Bild statt eines zwanzigseitigen Verfahrens

So funktioniert es

1. Passen Sie die Bahnen an Ihre Organisation an

   Benennen Sie die fünf Bahnen nach den Funktionen um, die es bei Ihnen tatsächlich gibt. Kleinere Teams führen das Recht häufig mit dem Einkauf zusammen oder besetzen Sicherheit und Compliance als Teilrolle in der IT. Löschen Sie eine Bahn lieber, als sie leer stehen zu lassen, und achten Sie darauf, dass jeder Kasten in der Bahn liegt, die die Arbeit wirklich verantwortet, nicht in der, die dafür verantwortlich gemacht wird.

2. Schreiben Sie Ihre Kriterien für die Risikoeinstufung auf

   Ersetzen Sie „Hohe Risikoklasse?“ durch den Test, den Ihr Unternehmen tatsächlich anwendet. Die meisten Organisationen stufen danach ein, ob der Lieferant personenbezogene oder regulierte Daten verarbeitet, nach dem Jahresvolumen, danach, ob er Zugang zu internen Systemen oder Standorten erhält, und wie störend sein Ausfall wäre. Hinterlegen Sie die Schwellen an der Entscheidung, damit sie unabhängig davon reproduzierbar ist, wer gerade zuständig ist.

3. Definieren Sie, was die erweiterte Due Diligence verlangt

   Legen Sie fest, was der Zweig der hohen Risikoklasse praktisch fordert: einen SOC-2-Bericht oder die Zusammenfassung eines Penetrationstests, eine Liste der Unterauftragsverarbeiter, wirtschaftlich Berechtigte und Sanktionsprüfung, Referenzen oder einen Vor-Ort-Besuch. Benennt der Zweig keine konkreten Nachweise, wird er unter Zeitdruck übersprungen.

4. Ordnen Sie die Bankdatenprüfung einer benannten Rolle zu

   Entscheiden Sie, wer den Rückruf durchführt, und stellen Sie sicher, dass es nicht dieselbe Person ist, die den Lieferantenstammsatz anlegt oder ändert. Diese Funktionstrennung ist der eigentliche Zweck der Kontrolle. Halten Sie außerdem die Quelle der Telefonnummer fest: der unterzeichnete Vertrag oder eine unabhängig ermittelte Nummer, niemals die Rechnung oder die E-Mail, die die Änderung verlangt.

5. Ergänzen Sie Systeme, Verantwortliche und Bearbeitungszeiten

   Setzen Sie echte Systemnamen an die Schritte: wo das Anfrageformular liegt, welches ERP die Lieferantenstammdaten führt, wo die Liste freigegebener Lieferanten geführt wird. Ergänzen Sie die verantwortliche Rolle je Kasten und eine Zielbearbeitungszeit je Bahn, damit der Prozess messbar wird und nicht nur beschrieben ist.

6. Legen Sie den Prüfrhythmus fest und geben Sie das Diagramm in Umlauf

   Wählen Sie Intervalle für die erneute Bewertung je Risikoklasse und hinterlegen Sie das Datum in der Lieferantenliste selbst statt in einem persönlichen Kalender. Teilen Sie das Diagramm mit Einkauf, Recht, Finanzen und Sicherheit zur Kommentierung und führen Sie es unter Versionskontrolle, damit freigegebenes Diagramm und schriftliches Verfahren nicht auseinanderlaufen.

Häufig gestellte Fragen

Wie lange sollte ein Lieferanten-Onboarding dauern?

Für einen Lieferanten geringer Risikoklasse zu Standardbedingungen sind drei bis fünf Arbeitstage realistisch, sobald die Due-Diligence-Unterlagen vollständig sind. Lieferanten hoher Risikoklasse brauchen typischerweise zwei bis sechs Wochen, weil erweiterte Prüfung, verhandelte Vertragsbedingungen und Sicherheitsnachweise auf dem kritischen Pfad liegen und oft in die Freigabezyklen des Lieferanten selbst laufen. Die größte einzelne Verzögerung ist meist das Warten auf Unterlagen des Lieferanten: Deshalb stehen Anfrageformular und Due-Diligence-Unterlagen in diesem Flussdiagramm ganz vorn, vor jeder Prüfarbeit. Liegt Ihr Median deutlich darüber, messen Sie, wie lange jede Bahn die Akte hält, statt nur den Prozess von Anfang bis Ende.

Was ist eine Risikoeinstufung von Lieferanten, und wie viele Klassen braucht man?

Die Risikoeinstufung klassifiziert einen Lieferanten, damit die Prüftiefe zur Exponierung passt. Drei Klassen (hoch, mittel, niedrig) genügen den meisten Unternehmen; mehr erzeugt eher Diskussionen über die Zuordnung als bessere Entscheidungen. Übliche Eingangsgrößen sind, ob der Lieferant personenbezogene oder regulierte Daten verarbeitet, das Jahresvolumen, ob er Zugang zu internen Systemen oder Standorten erhält und wie störend sein kurzfristiger Ausfall wäre. Die Klasse sollte zwei getrennte Dinge steuern: welche Nachweise Sie vor der Freigabe verlangen und wie oft der Lieferant danach erneut bewertet wird.

Warum ist die Verifizierung der Bankdaten als eigener Schritt mit Entscheidung dargestellt?

Zahlungsumleitungsbetrug funktioniert über eine plausibel wirkende Bitte, das Bankkonto eines Lieferanten zu ändern, meist von einer täuschend ähnlichen Domain oder aus einem tatsächlich kompromittierten Postfach. Die Abwehr ist organisatorisch, nicht technisch: Bestätigen Sie das Konto durch einen Rückruf unter einer Nummer aus dem unterzeichneten Vertrag oder einer unabhängig ermittelten Nummer (nie unter einer, die in der E-Mail steht oder auf der Rechnung gedruckt ist) und dokumentieren Sie, wer wann verifiziert hat. Eine eigene Entscheidung mit Rückschleife macht ausdrücklich klar, dass die Zahlungseinrichtung mit einem unverifizierten Konto nicht weiterläuft, und dieselbe Prüfung muss für jede Änderung der Bankdaten nach dem Onboarding gelten.

Wo sollte die Liste freigegebener Lieferanten geführt werden?

Wo auch immer sie liegt, sie braucht einen einzigen Verantwortlichen und ein Wiedervorlagedatum je Lieferant. Eine Tabelle funktioniert in kleinem Maßstab, sofern Änderungen datiert und zuordenbar sind; ab einigen hundert Lieferanten ist ein Einkaufs- oder Third-Party-Risk-Werkzeug klar überlegen. Das Fehlerbild ist in beiden Fällen dasselbe: Lieferanten werden aufgenommen und nie entfernt, sodass die Liste allmählich nicht mehr abbildet, bei wem Sie tatsächlich einkaufen. Genau das verhindern die erneute Bewertung im Takt der Risikoklasse und das konsequente Schließen nicht mehr genutzter Lieferanten.