Lieferanten-Onboarding: Vorlage für das Prozessdiagramm

So funktioniert es

1. Passen Sie die Bahnen an Ihre Organisation an

   Benennen Sie die fünf Bahnen nach den Funktionen um, die es bei Ihnen tatsächlich gibt. Kleinere Teams führen das Recht häufig mit dem Einkauf zusammen oder besetzen Sicherheit und Compliance als Teilrolle in der IT. Löschen Sie eine Bahn lieber, als sie leer stehen zu lassen, und achten Sie darauf, dass jeder Kasten in der Bahn liegt, die die Arbeit wirklich verantwortet — nicht in der, die dafür verantwortlich gemacht wird.

2. Schreiben Sie Ihre Kriterien für die Risikoeinstufung auf

   Ersetzen Sie „Hohe Risikoklasse?“ durch den Test, den Ihr Unternehmen tatsächlich anwendet. Die meisten Organisationen stufen danach ein, ob der Lieferant personenbezogene oder regulierte Daten verarbeitet, nach dem Jahresvolumen, danach, ob er Zugang zu internen Systemen oder Standorten erhält, und wie störend sein Ausfall wäre. Hinterlegen Sie die Schwellen an der Entscheidung, damit sie unabhängig davon reproduzierbar ist, wer gerade zuständig ist.

3. Definieren Sie, was die erweiterte Due Diligence verlangt

   Legen Sie fest, was der Zweig der hohen Risikoklasse praktisch fordert: einen SOC-2-Bericht oder die Zusammenfassung eines Penetrationstests, eine Liste der Unterauftragsverarbeiter, wirtschaftlich Berechtigte und Sanktionsprüfung, Referenzen oder einen Vor-Ort-Besuch. Benennt der Zweig keine konkreten Nachweise, wird er unter Zeitdruck übersprungen.

4. Ordnen Sie die Bankdatenprüfung einer benannten Rolle zu

   Entscheiden Sie, wer den Rückruf durchführt, und stellen Sie sicher, dass es nicht dieselbe Person ist, die den Lieferantenstammsatz anlegt oder ändert. Diese Funktionstrennung ist der eigentliche Zweck der Kontrolle. Halten Sie außerdem die Quelle der Telefonnummer fest: der unterzeichnete Vertrag oder eine unabhängig ermittelte Nummer, niemals die Rechnung oder die E-Mail, die die Änderung verlangt.

5. Ergänzen Sie Systeme, Verantwortliche und Bearbeitungszeiten

   Setzen Sie echte Systemnamen an die Schritte: wo das Anfrageformular liegt, welches ERP die Lieferantenstammdaten führt, wo die Liste freigegebener Lieferanten geführt wird. Ergänzen Sie die verantwortliche Rolle je Kasten und eine Zielbearbeitungszeit je Bahn, damit der Prozess messbar wird und nicht nur beschrieben ist.

6. Legen Sie den Prüfrhythmus fest und geben Sie das Diagramm in Umlauf

   Wählen Sie Intervalle für die erneute Bewertung je Risikoklasse und hinterlegen Sie das Datum in der Lieferantenliste selbst statt in einem persönlichen Kalender. Teilen Sie das Diagramm mit Einkauf, Recht, Finanzen und Sicherheit zur Kommentierung und führen Sie es unter Versionskontrolle, damit freigegebenes Diagramm und schriftliches Verfahren nicht auseinanderlaufen.

Häufig gestellte Fragen

Wie lange sollte ein Lieferanten-Onboarding dauern?

Für einen Lieferanten geringer Risikoklasse zu Standardbedingungen sind drei bis fünf Arbeitstage realistisch, sobald die Due-Diligence-Unterlagen vollständig sind. Lieferanten hoher Risikoklasse brauchen typischerweise zwei bis sechs Wochen, weil erweiterte Prüfung, verhandelte Vertragsbedingungen und Sicherheitsnachweise auf dem kritischen Pfad liegen und oft in die Freigabezyklen des Lieferanten selbst laufen. Die größte einzelne Verzögerung ist meist das Warten auf Unterlagen des Lieferanten — deshalb stehen Anfrageformular und Due-Diligence-Unterlagen in diesem Flussdiagramm ganz vorn, vor jeder Prüfarbeit. Liegt Ihr Median deutlich darüber, messen Sie, wie lange jede Bahn die Akte hält, statt nur den Prozess von Anfang bis Ende.

Was ist eine Risikoeinstufung von Lieferanten, und wie viele Klassen braucht man?

Die Risikoeinstufung klassifiziert einen Lieferanten, damit die Prüftiefe zur Exponierung passt. Drei Klassen — hoch, mittel, niedrig — genügen den meisten Unternehmen; mehr erzeugt eher Diskussionen über die Zuordnung als bessere Entscheidungen. Übliche Eingangsgrößen sind, ob der Lieferant personenbezogene oder regulierte Daten verarbeitet, das Jahresvolumen, ob er Zugang zu internen Systemen oder Standorten erhält und wie störend sein kurzfristiger Ausfall wäre. Die Klasse sollte zwei getrennte Dinge steuern: welche Nachweise Sie vor der Freigabe verlangen und wie oft der Lieferant danach erneut bewertet wird.

Warum ist die Verifizierung der Bankdaten als eigener Schritt mit Entscheidung dargestellt?

Zahlungsumleitungsbetrug funktioniert über eine plausibel wirkende Bitte, das Bankkonto eines Lieferanten zu ändern, meist von einer täuschend ähnlichen Domain oder aus einem tatsächlich kompromittierten Postfach. Die Abwehr ist organisatorisch, nicht technisch: Bestätigen Sie das Konto durch einen Rückruf unter einer Nummer aus dem unterzeichneten Vertrag oder einer unabhängig ermittelten Nummer — nie unter einer, die in der E-Mail steht oder auf der Rechnung gedruckt ist — und dokumentieren Sie, wer wann verifiziert hat. Eine eigene Entscheidung mit Rückschleife macht ausdrücklich klar, dass die Zahlungseinrichtung mit einem unverifizierten Konto nicht weiterläuft, und dieselbe Prüfung muss für jede Änderung der Bankdaten nach dem Onboarding gelten.

Wo sollte die Liste freigegebener Lieferanten geführt werden?

Wo auch immer sie liegt, sie braucht einen einzigen Verantwortlichen und ein Wiedervorlagedatum je Lieferant. Eine Tabelle funktioniert in kleinem Maßstab, sofern Änderungen datiert und zuordenbar sind; ab einigen hundert Lieferanten ist ein Einkaufs- oder Third-Party-Risk-Werkzeug klar überlegen. Das Fehlerbild ist in beiden Fällen dasselbe: Lieferanten werden aufgenommen und nie entfernt, sodass die Liste allmählich nicht mehr abbildet, bei wem Sie tatsächlich einkaufen. Genau das verhindern die erneute Bewertung im Takt der Risikoklasse und das konsequente Schließen nicht mehr genutzter Lieferanten.