Lieferanten-Risikobewertung: Entscheidungsbaum-Vorlage

Was ist lieferanten-risikobewertung: entscheidungsbaum?

Die meisten Dokumente zum Drittparteienrisiko beschreiben eine Abfolge: Anfrage, Prüfung, Vertrag, Eintrag ins Register. Dieses hier beschreibt eine Beurteilung. Das Diagramm unten ist ein Entscheidungsbaum und keine funktionsübergreifende Prozesslandkarte. Es beantwortet eine einzige Frage (welche Risikoklasse dieser Lieferant nach dem, was wir über ihn wissen, hat, wie viel Sorgfaltsprüfung daraus folgt und wer das entscheiden darf), und jeder Weg endet in einem benannten Ergebnis, statt in einen gemeinsamen Idealpfad zurückzuführen.

Diese Unterscheidung ist wichtig, weil die beiden Dokumente unterschiedlich scheitern. Eine Prozesslandkarte scheitert an einer undokumentierten Übergabe: Der Vorgang liegt bei niemandem. Ein Entscheidungsbaum scheitert an ungeschriebenen Prüfkriterien: Derselbe Lieferant wird von einem Prüfer hoch und von einem anderen niedrig eingestuft, und das Register hält am Ende fest, wer die Bewertung durchgeführt hat, statt was der Lieferant ist. Wenn Sie stattdessen den durchgängigen Ablauf brauchen (Anfrageformular, Prüfung durch Recht und Finanzen, Vertragsunterzeichnung, Verifizierung der Bankdaten und Eintrag in die Lieferantenliste), nutzen Sie die Vorlage zum Lieferanten-Onboarding, die dasselbe Feld als Swimlane-Prozess abbildet. Die verwandte Frage, wofür ein Lieferant überhaupt freigegeben ist, klärt die Vorlage zur Lieferantenfreigabe.

Der Baum enthält neun Entscheidungen über vier Bahnen mit Entscheidungsbefugnis. Sicherheit und Compliance beantworten die Fragen zu Daten, Zugriff, Land und Nachweisen; Einkauf und Finanzen die zu Abhängigkeit und Volumen; das Risikogremium für Dritte hält das letzte Tor und das Ergebnis „kritischer Lieferant“. Fünf Endpunkte kommen dabei heraus: Freigabe mit geringem Risiko nach kurzem Fragebogen, Freigabe mit mittlerem Risiko nach der Standard-Sorgfaltsprüfung, Freigabe mit hohem Risiko nach vertiefter Prüfung und Audit, Freigabe als kritischer Lieferant mit vereinbartem Kontinuitäts- und Ausstiegsplan oder die Ablehnung. An den vier entscheidenden Prüfungen stehen Kriterienkommentare, denn ein Entscheidungsbaum mit undokumentierten Schwellenwerten ist nur eine Meinung mit Pfeilen.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Vier Bahnen mit Entscheidungsbefugnis (Fachbereich, Sicherheit und Compliance, Einkauf und Finanzen sowie Risikogremium für Dritte) über fünf Phasen: Erfassung, Daten und Zugriff, Volumen und Abhängigkeit, Land und Nachweise sowie Risikoklasse und Ergebnis.
• Die erste Verzweigung bei „Personenbezogene oder regulierte Daten?“: „Ja“ führt zu „Auftragsverarbeitung akzeptiert?“, wo „Abgelehnt“ unmittelbar bei „Lieferanten ablehnen“ endet; „Nein“ führt zu „Zugriff auf Systeme, Standorte oder IP?“, der Frage, ob der Lieferant Ihre Systeme, Standorte oder Ihr geistiges Eigentum erreicht, auch wenn keine Daten fließen.
• Der Zweig geringer Exposition, beantwortet von Einkauf und Finanzen: „Single Source oder schwer ersetzbar?“ schickt „Ja“ zum Kontinuitäts- und Ausstiegsplan und zur Freigabe als kritischer Lieferant, „Nein“ dagegen zu „Volumen über der Wesentlichkeitsgrenze?“, wo „Darüber“ die Standard-Sorgfaltsprüfung auslöst und „Darunter“ nur den kurzen Lieferantenfragebogen.
• Der sensible Zweig, beantwortet von Sicherheit und Compliance: „Land oder Branche hohes Risiko?“ leitet „Hohes Risiko“ auf „Treffer bei Sanktionen oder Negativpresse?“ („Treffer“ endet in der Ablehnung, „Unauffällig“ in der vertieften Prüfung), während „Standard“ zu „Gültige Zertifizierungen vorhanden?“ führt, wo „Zertifiziert“ auf die Standardprüfung zurückfällt und „Keine“ zu vertiefter Prüfung und Audit eskaliert.
• Ein abschließendes Tor, „Vertiefte Prüfung bestanden?“, das „Bestanden“ zur Freigabe mit hohem Risiko und „Nicht bestanden“ zum selben Ablehnungsendpunkt führt. Damit ist die vertiefte Prüfung eine echte Prüfung und keine Formalie.
• Fünf unterschiedliche Endpunkte (Freigabe mit geringem, mittlerem oder hohem Risiko, Freigabe als kritischer Lieferant sowie Ablehnung des Lieferanten), dazu Kriterienkommentare an den Prüfungen zu Daten, Abhängigkeit, Volumen und Zertifizierung.

Wann Sie diese Vorlage verwenden sollten

• Zwei Personen stufen denselben Lieferanten unterschiedlich ein, und Sie brauchen die Prüfkriterien schriftlich, statt sie jedes Mal neu auszudiskutieren.
• Sie wollen die Tiefe der Sorgfaltsprüfung nach tatsächlicher Exposition bemessen, statt jedem Lieferanten denselben vierzigseitigen Fragebogen zu schicken.
• Ein Sicherheitsfragebogen eines Kunden oder die Vorbereitung auf ISO 27001 oder SOC 2 hat gefragt, wie Sie Dritte klassifizieren und was jede Risikoklasse auslöst.
• Sie klären Entscheidungsbefugnisse: welche Fragen die Sicherheit beantwortet, welche Einkauf und Finanzen, und ab wann das Risikogremium einzubinden ist.
• Sie haben bereits einen Onboarding- oder Freigabeprozess für Lieferanten, und die Risikoeinstufung darin ist eine einzige unerklärte Box.

So funktioniert es

1. Vorlage öffnen und die Entscheidungsbahnen umbenennen

   Ersetzen Sie Fachbereich, Sicherheit und Compliance, Einkauf und Finanzen sowie Risikogremium für Dritte durch die Rollen, die diese Fragen bei Ihnen tatsächlich beantworten. Halten Sie die Bahnen auf die Personen mit Entscheidungsbefugnis begrenzt, statt jede Abteilung abzubilden. Sonst wird aus dem Entscheidungsbaum wieder eine Prozesslandkarte.

2. Wesentlichkeitsgrenze an den Knoten schreiben

   Legen Sie einen Betrag in Ihrer eigenen Währung fest, stimmen Sie ihn mit den Finanzen ab und tragen Sie ihn in den Kommentar zu „Volumen über der Wesentlichkeitsgrenze?“ ein. Wenden Sie ihn auf das zugesagte Jahresvolumen an und nicht auf die erste Bestellung, und halten Sie fest, was passiert, wenn ein bestehender Lieferant die Grenze unterjährig überschreitet.

3. Definieren, was ein Land oder eine Branche zum Hochrisiko macht

   Benennen Sie die Quellen, statt es dem Ermessen zu überlassen: Korruptions- und Sanktionsindizes, Ihre eigene Liste eingeschränkter Länder, besonders regulierte Branchen. Verfahren Sie ebenso bei der Sanktions- und Negativpresseprüfung und halten Sie fest, welche Listen abgeglichen werden und wer die Recherche durchführt.

4. Festlegen, welche Zertifizierungen anerkannt werden, und wo ihre Grenzen liegen

   Listen Sie die Nachweise auf, mit denen ein Lieferant den Zweig „Zertifiziert“ nehmen darf: ein gültiges ISO-27001-Zertifikat, dessen Geltungsbereich die eingekaufte Leistung abdeckt, ein aktueller SOC-2-Type-II-Bericht oder eine akkreditierte Branchenzertifizierung. Schreiben Sie ausdrücklich hin, dass ein abgelaufenes Zertifikat oder eines für eine andere Rechtseinheit nicht zählt.

5. Ausfüllen, was jede Risikoklasse konkret verlangt

   Die vier Freigabe-Endpunkte nützen nur etwas, wenn es die Prüfpakete dahinter wirklich gibt. Halten Sie fest, was der kurze Fragebogen abfragt, was die Standard-Sorgfaltsprüfung enthält, was vertiefte Prüfung und Audit praktisch bedeuten und wie ein tragfähiger Kontinuitäts- und Ausstiegsplan für einen kritischen Lieferanten aussieht.

6. Auslöser für die Neubewertung setzen und abstimmen lassen

   Hinterlegen Sie je Risikoklasse ein Prüfintervall und ergänzen Sie Ereignisauslöser, die einen Lieferanten erneut durch den Baum schicken: Eigentümerwechsel, Meldung einer Datenschutzverletzung, ein neuer Datenfluss, das Überschreiten der Wesentlichkeitsgrenze. Teilen Sie das Diagramm mit Sicherheit, Einkauf und Finanzen, holen Sie die Freigabe ein und halten Sie es unter Versionskontrolle, damit Diagramm und schriftliche Richtlinie nicht auseinanderlaufen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Lieferanten-Risikobewertung und einem Lieferanten-Onboarding?

Sie beantworten unterschiedliche Fragen. Das Onboarding ist eine Prozesslandkarte: Es zeigt, was als Nächstes passiert und wer es tut: von der ersten Anfrage über die Prüfung durch Recht und Finanzen, die Vertragsunterzeichnung und die Verifizierung der Bankdaten bis zum Eintrag in die freigegebene Lieferantenliste. Eine Lieferanten-Risikobewertung ist ein Entscheidungsbaum: Sie zeigt, welche Option gewählt wird und wer sie wählen darf, nimmt die Fakten über einen Lieferanten entgegen und gibt eine Risikoklasse samt der dazugehörigen Prüftiefe zurück. In den meisten Organisationen ist die Bewertung ein einzelner Knoten innerhalb des Onboarding-Ablaufs. Beides getrennt zu dokumentieren hält das Onboarding-Diagramm lesbar und zwingt dazu, die Einstufungskriterien aufzuschreiben, statt sie in einer Box namens „Risiko bewerten“ zu verstecken.

Welche Kriterien sollte eine Lieferanten-Risikobewertung verwenden?

Sechs Prüfungen decken die meisten Fälle ab, genau die aus diesem Baum: ob der Lieferant personenbezogene oder regulierte Daten verarbeitet, ob er Zugriff auf Systeme, Standorte oder geistiges Eigentum erhält, wie das Jahresvolumen zur Wesentlichkeitsgrenze steht, ob er Single Source oder schwer ersetzbar ist, ob Land oder Branche ein erhöhtes Risiko tragen und ob gültige, im Geltungsbereich passende Zertifizierungen vorliegen. Halten Sie die Liste kurz genug, dass ein Prüfer sie aus dem Erfassungsdatensatz beantworten kann, und schreiben Sie jeden Schwellenwert direkt an seine Frage. Kriterien, die in einem separaten Richtliniendokument leben, werden aus dem Gedächtnis angenähert. Genau so kommen zwei Prüfer aus denselben Fakten zu unterschiedlichen Klassen.

Wie viele Risikoklassen für Lieferanten brauchen wir?

Drei Klassen plus eine eigene Kennzeichnung „kritisch“ funktionieren für die meisten Organisationen, so ist es auch hier aufgebaut: gering, mittel, hoch sowie kritisch für Lieferanten, die Sie nicht ohne Weiteres ersetzen können. Mehr Klassen erzeugen Diskussionen über die Einordnung statt bessere Entscheidungen. „Kritisch“ lohnt sich als eigene Kategorie neben „hoch“, weil es von der Abhängigkeit getrieben wird und nicht von der Exposition: Ein Lieferant ohne Daten, mit kleinem Volumen und ohne qualifizierte Alternative braucht einen Kontinuitäts- und Ausstiegsplan, keinen längeren Sicherheitsfragebogen. Die Risikoklasse sollte zwei Dinge steuern: welche Nachweise vor der Freigabe verlangt werden und wie oft der Lieferant danach neu bewertet wird.

Kann eine Zertifizierung die vertiefte Sorgfaltsprüfung ersetzen?

Teilweise, und nur, wenn Sie sie richtig prüfen. Ein gültiges ISO-27001-Zertifikat oder ein aktueller SOC-2-Type-II-Bericht ist ein unabhängiger Nachweis dafür, dass ein Kontrollumfeld geprüft wurde; in diesem Baum senkt der Zweig „Zertifiziert“ einen Lieferanten von der vertieften Prüfung auf das Standardpaket. Drei Punkte entscheiden, ob er zählt: Der Geltungsbereich muss die tatsächlich eingekaufte Leistung abdecken, die Zertifizierungsstelle muss akkreditiert sein, und das Datum muss aktuell sein. Ein SOC-2-Type-II-Bericht hat zudem einen Prüfzeitraum und eine Liste von Abweichungen: Lesen Sie die Abweichungen und nicht das Deckblatt. Bei personenbezogenen Daten ersetzt keine Zertifizierung einen Auftragsverarbeitungsvertrag.

Wer sollte die Entscheidung über die Lieferanten-Risikobewertung verantworten?

Teilen Sie sie nach Fragen auf, statt einem Team die ganze Bewertung zu geben. Sicherheit und Compliance beantworten die Fragen zu Daten, Zugriff, Land und Zertifizierung am besten, weil dort die Nachweise liegen. Einkauf und Finanzen beantworten Volumen und Ersetzbarkeit. Die daraus resultierende Risikoklasse sollte eine Rechnung aus diesen Antworten sein und keine Verhandlung. Reservieren Sie das Risikogremium für die zwei Stellen, an denen wirklich Ermessen liegt: die Annahme eines Lieferanten mit hohem Risiko nach vertiefter Prüfung und die Freigabe des Kontinuitätsplans, der einen kritischen Lieferanten vertretbar macht. Wer die Prüfung durchgeführt hat, sollte nicht derjenige sein, der das Restrisiko übernimmt.