Lieferanten-Due-Diligence mit hinterlegten Nachweisen bestehen

Sie bestehen die Lieferanten-Due-Diligence, indem Sie dem Käufer überprüfbare Nachweise vorlegen, nicht nur Antworten auf seinen Fragebogen. Banken, Versicherer und Großunternehmen verlangen Belege für jede Antwort. Deshalb muss jede Antwort durch ein datiertes Dokument belegt sein, das der Käufer prüfen und zu seinen Unterlagen nehmen kann und für dessen Aktualität eine verantwortliche Person sorgt. Dieser Leitfaden folgt den Arbeitsschritten in ihrer Reihenfolge: die dem Fragebogen zugrunde liegende Pflicht ermitteln, prüfen, was der Käufer angemessenerweise verlangen darf, das Nachweispaket zusammenstellen, mit Nachweisen antworten, Lücken mit einem Plan schließen, Nachweise aktuell halten und schließlich klären, was sich ändert, wenn der Käufer eine öffentliche Stelle ist.

Wer für die Antworten verantwortlich ist und was Sie bereithalten sollten

Benannte Themenverantwortliche im gesamten Unternehmen sind für die Antworten zuständig. Dieser Leitfaden richtet sich an das Bid-Team, das sie koordiniert, wenn ein Anbieter Due-Diligence-Fragebögen von Banken, Versicherern, institutionellen Anlegern und Großunternehmen beantwortet, unabhängig davon, ob die Prüfung vor einem ersten Vertrag, einer Verlängerung oder der Aufnahme in eine Liste zugelassener Anbieter erfolgt. Diese Fragebögen umfassen häufig Hunderte regulatorisch relevanter Fragen. Die umfassendere Bearbeitung wird unter DDQ-Response behandelt. Kein Bid-Manager kann sie allein beantworten.

Die meisten Antworten liegen bei Personen außerhalb des Bid-Teams. Legen Sie für jedes Thema eine namentlich benannte verantwortliche Person fest, bevor der nächste Fragebogen eingeht: Finanzen für Jahresabschlüsse und Versicherungen, Recht für Eigentumsverhältnisse, Sanktionen, Korruptionsbekämpfung und Vertragsbedingungen, Informationssicherheit für Zertifizierungen und Kontrollen, Personal für Belegschafts- und Menschenrechtsrichtlinien sowie Nachhaltigkeit für Umwelt- und Lieferkettenrisiken. Jede verantwortliche Person liefert die Nachweise für ihr Thema und steht dafür ein. Die abschließende Freigabe bleibt beim Bid-Manager.

Halten Sie Folgendes bereit, bevor Sie beginnen:

• Ihre zuletzt ausgefüllten Fragebögen mit den dazugehörigen Anhängen
• die aktuelle Fassung aller Zertifikate, Richtlinien und Berichte, die Sie voraussichtlich als Quelle angeben werden
• eine Liste der Themenverantwortlichen mit jeweils einer Stellvertretung
• der Fragebogen des Käufers, das zugehörige Anschreiben und jeder Verhaltenskodex, den Sie unterzeichnen sollen

Ermitteln Sie die Pflicht hinter dem Fragebogen

Prüfen Sie den Fragebogen, das Begleitschreiben und etwaige beigefügte Verhaltenskodizes auf das Gesetz oder die Aufsichtsbehörde, das beziehungsweise die der Anfrage zugrunde liegt. Denn diese Pflicht bestimmt, welche Unterlagen der Käufer vorhalten muss und welche Nachweise sie erfüllen. Ein Fragebogen, der sich auf ein Lieferkettengesetz oder eine Branchenaufsicht bezieht, verlangt Nachweise, keine bloßen Zusicherungen. Wie der Käufer die Prüfung aus seiner Sicht einordnet, erfahren Sie unter Lieferanten-Due-Diligence.

Die EU-Richtlinie über die Sorgfaltspflichten von Unternehmen im Hinblick auf Nachhaltigkeit, Richtlinie (EU) 2024/1760, geändert durch die Richtlinie (EU) 2026/470, gilt erst ab dem 26. Juli 2029 und nur für Unternehmen mit mehr als 5.000 Beschäftigten und einem weltweiten Nettoumsatz von mehr als 1,5 Milliarden EUR. Verstehen Sie eine Anfrage, die sich darauf beruft, daher als Vorbereitung und nicht als aktuelle gesetzliche Anforderung.

Halten Sie den Auslöser im Projekt fest, bevor jemand einen Entwurf erstellt. Daraus geht hervor, ob eine Unterschrift zur Klärung einer Frage ausreichen könnte oder ob der Käufer ein Dokument benötigt, das er prüfen und aufbewahren kann.

Prüfen Sie, was der Käufer berechtigterweise verlangen darf

Hinterfragen Sie jede Anforderung, die angesichts des von Ihrem Unternehmen ausgehenden Risikos nicht gerechtfertigt ist. Denn ein Fragebogen, der unterschiedslos an alle Anbieter versandt wird, kann weit mehr verlangen, als bei Ihrem Unternehmen angemessen ist.

Prüfen Sie jede unverhältnismäßig wirkende Anforderung anhand von vier Fragen:

1. Auf welches Gesetz oder welche Richtlinie beruft sich der Käufer, und fällt er in deren Geltungsbereich?
2. Betrifft die Frage ein Risiko, das in Ihrem Unternehmen plausibel auftreten könnte?
3. Kann der Käufer die Informationen einem öffentlichen Register oder einem von Ihnen bereits veröffentlichten Bericht entnehmen?
4. Würde die Antwort ein Geschäftsgeheimnis offenlegen?

Wenn der Käufer nicht unter das von ihm angeführte Gesetz fällt, die Frage kein Risiko betrifft, das Ihr Unternehmen plausibel tragen könnte, oder die Informationen bereits in einem öffentlichen Register oder einem von Ihnen veröffentlichten Bericht stehen, beantworten Sie die Frage so weit wie möglich, verweisen Sie auf die andere Quelle und fragen Sie, welches Risiko mit der Frage abgedeckt werden soll. Würde die Antwort ein Geschäftsgeheimnis offenlegen, beantworten Sie die Frage so weit wie möglich, ohne es preiszugeben, und erläutern Sie, warum Sie diese Information zurückhalten. Trifft keiner der vier Fälle zu, beantworten Sie die Anfrage vollständig.

Stellen Sie das Nachweispaket zusammen, bevor es angefordert wird

Stellen Sie zu jedem Thema ein aktuelles Dokument zusammen, bevor ein Fragebogen eingeht. Jedes Dokument sollte einen namentlich benannten Verantwortlichen, ein Ausgabedatum sowie ein Ablauf- oder Überprüfungsdatum enthalten, denn der Käufer prüft anhand des Dokuments und nicht anhand Ihrer Formulierung. Nutzen Sie dies als Vorlage:

Halten Sie jedes Dokument in einer Form vor, die ein Käufer ablegen kann: final, unterzeichnet und datiert, niemals als Arbeitsentwurf. Benennen Sie jede Datei nach Thema, Dokument und Datum, damit eine Antwort genau darauf verweisen kann.

Wenn Sie sich an einer Brancheninitiative oder einer Multi-Stakeholder-Initiative beteiligen, nehmen Sie deren aktuellen Bericht in die Unterlagen auf und verweisen Sie darauf, wenn eine Frage Inhalte wiederholt, die darin bereits behandelt werden.

Antworten Sie mit Nachweisen, nicht mit Zusicherungen

Verknüpfen Sie jede Antwort mit einem konkret benannten und datierten Dokument sowie der entsprechenden Klausel, denn ein Käufer, der die Angaben prüfen muss, kann „Ja, wir erfüllen die Anforderungen“ nicht einfach ablegen. Ein kurzes Muster deckt die meisten Fragen ab: „Ja. [Name der Richtlinie], Version [x], genehmigt am [Datum], Abschnitt [y]. [Zertifikat] beigefügt, gültig bis [Datum].“ Die Antwort nennt den Sachverhalt, und anhand der Referenz kann der Käufer ihn prüfen, ohne erneut bei Ihnen nachfragen zu müssen. Insbesondere zu Sicherheitsfragen siehe belastbare Antworten auf Security-Questionnaires.

Schreiben Sie so, als würde die Antwort noch lange nach dem Versand gelesen. Möglicherweise öffnet jemand Ihre Antwort erst Jahre später und hat nur den Anhang vorliegen. Lassen Sie daher Formulierungen wie „wie besprochen“ weg und verweisen Sie niemals auf ein Dokument, das Sie nicht mitgesendet haben.

Halten Sie Ihre Antworten konsistent. Der Käufer kann Ihre Antwort mit Ihren Angaben bei der letzten Verlängerung und mit Ihren öffentlichen Berichten vergleichen. Beantworten Sie dieselbe Frage bei verschiedenen Käufern auf dieselbe Weise, sofern sich die Fakten nicht geändert haben. Falls doch, geben Sie an, was sich wann geändert hat.

Prüfen Sie jeden Entwurf, der mithilfe allgemein einsetzbarer KI erstellt wurde. Gartner prognostiziert, dass bis 2028 70% der Organisationen und Anbieter GenAI einsetzen werden, um Fragebögen zu Cyberrisiken durch Dritte auszufüllen und zu analysieren. Gartner zufolge werden die Ergebnisse dadurch weniger brauchbar. Das Unternehmen empfiehlt, dass menschliche Analysten die Arbeit von GenAI bei kritischen Dritten validieren. Lassen Sie die jeweiligen Themenverantwortlichen ihre Antworten vor der Freigabe mit dem zitierten Dokument abgleichen. Eine flüssig formulierte Antwort, die auf die falsche Version verweist, schadet mehr als eine kurze.

In SEQUESTO: erstellt Ihr Team jede Antwort in SEQUESTO aOS mit einer Quellenangabe zum zugrunde liegenden Richtliniendokument und der entsprechenden Klausel, fügt Nachweise wie einen SOC 2-Bericht direkt an die Antwort an und lässt sie vor dem Export von dem für diese Frage benannten Prüfer freigeben.

Schließen Sie eine Lücke mit einem Maßnahmenplan

Beantworten Sie eine Lücke mit einem datierten Maßnahmenplan, niemals mit Schweigen oder einer vagen Zusicherung. Denn gerade eine unbelegte Aussage gibt einem prüfenden Käufer Anlass für Rückfragen. Prüfen Sie vor dem Absenden auf drei Arten von Antworten, die beim Käufer Fragen offenlassen: eine Aussage ohne Belegdokument, ein abgelaufenes Dokument und eine Antwort, die einer anderen Antwort oder einer früheren Einreichung widerspricht. Klären Sie den zweiten und dritten Fall vor dem Absenden. Im ersten Fall, wenn der Nachweis noch nicht vorliegt, ist der Plan Ihre Antwort.

Nehmen Sie diese Punkte in jeden Plan auf:

• die Anforderung, die Sie noch nicht erfüllen, in den Worten des Käufers
• was Sie dagegen unternehmen und wer dafür verantwortlich ist
• das Datum, an dem jeder Schritt abgeschlossen sein wird
• der Nachweis, der die Erledigung belegt, und der Zeitpunkt, zu dem der Käufer ihn erhält

Ein Käufer, der eine Lücke feststellt, braucht einen glaubwürdigen Plan, der es rechtfertigt, Sie als Anbieter zu behalten. Sobald Sie diesen übermittelt haben, berichten Sie unaufgefordert über die Einhaltung der darin genannten Termine.

Halten Sie die Nachweise zwischen den Prüfungen aktuell

Versehen Sie jedes Dokument mit einem Prüfdatum und einer Liste von Ereignissen, die eine vorzeitige Prüfung auslösen. Denn eine Antwort, die bei der Unterzeichnung zutraf, kann später im Widerspruch zu dem stehen, was der Käufer sieht. Wenn ein Käufer laufend Kontrollen durchführt, kann ein abgelaufenes Zertifikat lange vor Ihrem nächsten Fragebogen auffallen.

Legen Sie Prüftermine nach Dokumenttyp fest:

• Prüfen Sie Dokumente mit Ablaufdatum, etwa einen Versicherungsnachweis oder ein ISO 27001-Zertifikat, vor Ablauf. Planen Sie dafür mindestens so viel Zeit ein, wie die Erneuerung benötigt.
• Verwenden Sie für eine Richtlinie den dafür vorgesehenen Genehmigungszyklus.
• Prüfen Sie Abschlüsse bei jeder neuen Einreichung.
• Bei Eigentums- und Kontrollverhältnissen ist jede Änderung im Register zu prüfen.

Prüfen Sie frühzeitig, sobald eines dieser Ereignisse eintritt: eine Änderung der Eigentumsverhältnisse, der Kontrolle oder der Geschäftsführung; ein Zertifikat läuft ab oder sein Geltungsbereich wird eingeschränkt; eine Richtlinie wird aktualisiert; oder es kommt zu einem Vorfall. Aktualisieren Sie zuerst das Dokument. Ermitteln Sie dann alle Antworten, die auf der alten Version beruhten, und entscheiden Sie gemeinsam mit dem jeweiligen Verantwortlichen, ob ein potenzieller Kunde über die Änderung informiert werden muss. Dieser Schritt funktioniert nur, wenn sich die Verantwortlichen und Versionen in der Bibliothek hinter dem Unterlagenpaket nachvollziehen lassen. Wie das gelingt, zeigt eine auditierbare Bibliothek.

In SEQUESTO: Für jeden Eintrag im Knowledge Hub sind der zuständige Verantwortliche, der Prüfzyklus und das Ablaufdatum hinterlegt. So wird abgelaufenes Material gekennzeichnet, bevor es in einen Entwurf einfließt. Wird eine Richtlinie aktualisiert, wird jede daraus abgeleitete Antwort zur Prüfung durch Ihr Team gekennzeichnet.

Wenn der Auftraggeber eine öffentliche Stelle ist

Bei einer öffentlichen Ausschreibung läuft die Prüfung in umgekehrter Reihenfolge ab: Sie geben zunächst eine Eigenerklärung ab und reichen die Nachweise später ein.

EU-Ausschreibungen und die EEE

Bei öffentlichen Ausschreibungen in der EU ist die Einheitliche Europäische Eigenerklärung eine Selbstauskunft. Die Nachweise werden erst später angefordert. Füllen Sie die EEE anhand der Nachweisunterlagen aus, nicht aus dem Gedächtnis, und gleichen Sie jede Erklärung mit dem Dokument ab, das Sie im Fall eines Zuschlags vorlegen müssten.

Britische Ausschreibungen nach dem Procurement Act 2023

In England, Wales und Nordirland gilt der Procurement Act 2023 seit dem 24. Februar 2025 für neue öffentliche Vergabeverfahren. Anbieter hinterlegen auf Find a Tender einen Datensatz mit grundlegenden Angaben, Abschlüssen aus den letzten Geschäftsjahren, verbundenen Personen wie Personen mit maßgeblicher Kontrolle sowie Angaben zu Ausschlussgründen gemäß den Anhängen 6 und 7 des Gesetzes. Das GOV.UK-Faktenblatt zur Central Digital Platform besagt, dass der Anbieter für die Richtigkeit seiner Angaben verantwortlich ist, die Plattform keine Gewähr bietet und die ausschreibende Organisation die Angaben im Rahmen ihrer eigenen Due Diligence prüft. Behandeln Sie den Datensatz als Teil der Unterlagen: Wenn sich Eigentumsverhältnisse, Abschlüsse oder Ihre Ausschlusssituation ändern, aktualisieren Sie ihn am selben Tag wie das Dokument.

Checkliste für die Lieferanten-Due-Diligence

• Das dem Fragebogen zugrunde liegende Gesetz oder die zuständige Aufsichtsbehörde ist im Projekt dokumentiert.
• Jede umfangreiche Anfrage wurde auf Umfang, Relevanz, alternative Quellen und Geschäftsgeheimnisse geprüft, und alle Rückfragen wurden an den Käufer gerichtet.
• Für jedes Thema im Nachweispaket gibt es ein aktuelles Dokument, einen namentlich benannten Verantwortlichen, ein Ausstellungsdatum sowie ein Ablauf- oder Überprüfungsdatum.
• Jede Antwort nennt das zugehörige Dokument, die Version, das Datum und die Klausel und wurde vom zuständigen Themenverantwortlichen geprüft.
• Für jede Lücke gibt es einen Maßnahmenplan mit einem Verantwortlichen, Terminen und den Nachweisen, mit denen sie geschlossen wird.
• Jedes Dokument enthält ein Prüfdatum und eine Liste von Ereignissen, die eine vorzeitige Prüfung auslösen.
• Bei einer öffentlichen Ausschreibung entspricht jede ESPD-Erklärung und jeder Eintrag bei Find a Tender dem Dokument, das Sie erstellen würden.

Beginnen Sie mit dem Fragebogen, den Sie zuletzt beantwortet haben. Ordnen Sie jeder Antwort das zugrunde liegende Dokument zu. Antworten ohne Beleg zeigen Ihnen, wo Sie das Dokumentenpaket zuerst überarbeiten müssen.