Lieferanten-Risikobewertung: Entscheidungsbaum-Vorlage

So funktioniert es

1. Vorlage öffnen und die Entscheidungsbahnen umbenennen

   Ersetzen Sie Fachbereich, Sicherheit und Compliance, Einkauf und Finanzen sowie Risikogremium für Dritte durch die Rollen, die diese Fragen bei Ihnen tatsächlich beantworten. Halten Sie die Bahnen auf die Personen mit Entscheidungsbefugnis begrenzt, statt jede Abteilung abzubilden — sonst wird aus dem Entscheidungsbaum wieder eine Prozesslandkarte.

2. Wesentlichkeitsgrenze an den Knoten schreiben

   Legen Sie einen Betrag in Ihrer eigenen Währung fest, stimmen Sie ihn mit den Finanzen ab und tragen Sie ihn in den Kommentar zu „Volumen über der Wesentlichkeitsgrenze?“ ein. Wenden Sie ihn auf das zugesagte Jahresvolumen an und nicht auf die erste Bestellung, und halten Sie fest, was passiert, wenn ein bestehender Lieferant die Grenze unterjährig überschreitet.

3. Definieren, was ein Land oder eine Branche zum Hochrisiko macht

   Benennen Sie die Quellen, statt es dem Ermessen zu überlassen: Korruptions- und Sanktionsindizes, Ihre eigene Liste eingeschränkter Länder, besonders regulierte Branchen. Verfahren Sie ebenso bei der Sanktions- und Negativpresseprüfung und halten Sie fest, welche Listen abgeglichen werden und wer die Recherche durchführt.

4. Festlegen, welche Zertifizierungen anerkannt werden — und wo ihre Grenzen liegen

   Listen Sie die Nachweise auf, mit denen ein Lieferant den Zweig „Zertifiziert“ nehmen darf: ein gültiges ISO-27001-Zertifikat, dessen Geltungsbereich die eingekaufte Leistung abdeckt, ein aktueller SOC-2-Type-II-Bericht oder eine akkreditierte Branchenzertifizierung. Schreiben Sie ausdrücklich hin, dass ein abgelaufenes Zertifikat oder eines für eine andere Rechtseinheit nicht zählt.

5. Ausfüllen, was jede Risikoklasse konkret verlangt

   Die vier Freigabe-Endpunkte nützen nur etwas, wenn es die Prüfpakete dahinter wirklich gibt. Halten Sie fest, was der kurze Fragebogen abfragt, was die Standard-Sorgfaltsprüfung enthält, was vertiefte Prüfung und Audit praktisch bedeuten und wie ein tragfähiger Kontinuitäts- und Ausstiegsplan für einen kritischen Lieferanten aussieht.

6. Auslöser für die Neubewertung setzen und abstimmen lassen

   Hinterlegen Sie je Risikoklasse ein Prüfintervall und ergänzen Sie Ereignisauslöser, die einen Lieferanten erneut durch den Baum schicken: Eigentümerwechsel, Meldung einer Datenschutzverletzung, ein neuer Datenfluss, das Überschreiten der Wesentlichkeitsgrenze. Teilen Sie das Diagramm mit Sicherheit, Einkauf und Finanzen, holen Sie die Freigabe ein und halten Sie es unter Versionskontrolle, damit Diagramm und schriftliche Richtlinie nicht auseinanderlaufen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Lieferanten-Risikobewertung und einem Lieferanten-Onboarding?

Sie beantworten unterschiedliche Fragen. Das Onboarding ist eine Prozesslandkarte: Es zeigt, was als Nächstes passiert und wer es tut — von der ersten Anfrage über die Prüfung durch Recht und Finanzen, die Vertragsunterzeichnung und die Verifizierung der Bankdaten bis zum Eintrag in die freigegebene Lieferantenliste. Eine Lieferanten-Risikobewertung ist ein Entscheidungsbaum: Sie zeigt, welche Option gewählt wird und wer sie wählen darf, nimmt die Fakten über einen Lieferanten entgegen und gibt eine Risikoklasse samt der dazugehörigen Prüftiefe zurück. In den meisten Organisationen ist die Bewertung ein einzelner Knoten innerhalb des Onboarding-Ablaufs. Beides getrennt zu dokumentieren hält das Onboarding-Diagramm lesbar und zwingt dazu, die Einstufungskriterien aufzuschreiben, statt sie in einer Box namens „Risiko bewerten“ zu verstecken.

Welche Kriterien sollte eine Lieferanten-Risikobewertung verwenden?

Sechs Prüfungen decken die meisten Fälle ab — genau die aus diesem Baum: ob der Lieferant personenbezogene oder regulierte Daten verarbeitet, ob er Zugriff auf Systeme, Standorte oder geistiges Eigentum erhält, wie das Jahresvolumen zur Wesentlichkeitsgrenze steht, ob er Single Source oder schwer ersetzbar ist, ob Land oder Branche ein erhöhtes Risiko tragen und ob gültige, im Geltungsbereich passende Zertifizierungen vorliegen. Halten Sie die Liste kurz genug, dass ein Prüfer sie aus dem Erfassungsdatensatz beantworten kann, und schreiben Sie jeden Schwellenwert direkt an seine Frage. Kriterien, die in einem separaten Richtliniendokument leben, werden aus dem Gedächtnis angenähert — genau so kommen zwei Prüfer aus denselben Fakten zu unterschiedlichen Klassen.

Wie viele Risikoklassen für Lieferanten brauchen wir?

Drei Klassen plus eine eigene Kennzeichnung „kritisch“ funktionieren für die meisten Organisationen — so ist es auch hier aufgebaut: gering, mittel, hoch sowie kritisch für Lieferanten, die Sie nicht ohne Weiteres ersetzen können. Mehr Klassen erzeugen Diskussionen über die Einordnung statt bessere Entscheidungen. „Kritisch“ lohnt sich als eigene Kategorie neben „hoch“, weil es von der Abhängigkeit getrieben wird und nicht von der Exposition: Ein Lieferant ohne Daten, mit kleinem Volumen und ohne qualifizierte Alternative braucht einen Kontinuitäts- und Ausstiegsplan, keinen längeren Sicherheitsfragebogen. Die Risikoklasse sollte zwei Dinge steuern: welche Nachweise vor der Freigabe verlangt werden und wie oft der Lieferant danach neu bewertet wird.

Kann eine Zertifizierung die vertiefte Sorgfaltsprüfung ersetzen?

Teilweise — und nur, wenn Sie sie richtig prüfen. Ein gültiges ISO-27001-Zertifikat oder ein aktueller SOC-2-Type-II-Bericht ist ein unabhängiger Nachweis dafür, dass ein Kontrollumfeld geprüft wurde; in diesem Baum senkt der Zweig „Zertifiziert“ einen Lieferanten von der vertieften Prüfung auf das Standardpaket. Drei Punkte entscheiden, ob er zählt: Der Geltungsbereich muss die tatsächlich eingekaufte Leistung abdecken, die Zertifizierungsstelle muss akkreditiert sein, und das Datum muss aktuell sein. Ein SOC-2-Type-II-Bericht hat zudem einen Prüfzeitraum und eine Liste von Abweichungen — lesen Sie die Abweichungen und nicht das Deckblatt. Bei personenbezogenen Daten ersetzt keine Zertifizierung einen Auftragsverarbeitungsvertrag.

Wer sollte die Entscheidung über die Lieferanten-Risikobewertung verantworten?

Teilen Sie sie nach Fragen auf, statt einem Team die ganze Bewertung zu geben. Sicherheit und Compliance beantworten die Fragen zu Daten, Zugriff, Land und Zertifizierung am besten, weil dort die Nachweise liegen. Einkauf und Finanzen beantworten Volumen und Ersetzbarkeit. Die daraus resultierende Risikoklasse sollte eine Rechnung aus diesen Antworten sein und keine Verhandlung. Reservieren Sie das Risikogremium für die zwei Stellen, an denen wirklich Ermessen liegt: die Annahme eines Lieferanten mit hohem Risiko nach vertiefter Prüfung und die Freigabe des Kontinuitätsplans, der einen kritischen Lieferanten vertretbar macht. Wer die Prüfung durchgeführt hat, sollte nicht derjenige sein, der das Restrisiko übernimmt.