Was ist ein Compliance-Fragebogen?

Ein Compliance-Fragebogen (englisch: compliance questionnaire) dient als schriftliche Überprüfung: Der Anbieter beantwortet jede Frage im Format des Kunden, und eine Führungskraft gibt die Response frei. Im Lieferantenrisikomanagement und im Bid-Management ist er das Instrument, mit dem ein Kunde einen Anbieter prüft, auf den er sich verlässt. Innerhalb der unternehmenseigenen Compliance-Funktion bezeichnet derselbe Begriff einen jährlichen Fragebogen, in dem Mitarbeiter oder Mitglieder der Geschäftsleitung bestätigen, dass sie die Regeln des Unternehmens einhalten. Er geht üblicherweise vor der Vertragsunterzeichnung oder bei einer anstehenden Vertragsverlängerung ein.

Was ein Compliance-Fragebogen abfragt

Compliance-Fragebögen decken die Gesetze, Standards und Richtlinien ab, für deren Einhaltung ein Kunde verantwortlich ist und die er an die Lieferanten weitergibt, auf die er sich verlässt. Typische Abschnitte enthalten Fragen zu Datenschutz, Informationssicherheit, der Bekämpfung von Bestechung und Korruption, Sanktionen und Exportkontrollen, moderner Sklaverei und Geschäftskontinuität. Viele fragen auch danach, ob der Anbieter den Verhaltenskodex für Lieferanten des Kunden akzeptiert, also das Regelwerk, dessen Einhaltung der Kunde von jedem Lieferanten erwartet.

Der OECD Responsible Business Outlook 2026 zeigt, wie verbreitet öffentliche Selbstverpflichtungen großer Unternehmen zu einigen dieser Themen sind. Dem Bericht zufolge veröffentlichen 69% der größten börsennotierten Unternehmen eine Selbstverpflichtung, die mindestens einen der folgenden Bereiche abdeckt: Menschenrechte, Kinderarbeit, Zwangsarbeit, Vereinigungsfreiheit, Treibhausgasemissionen, Biodiversität oder Korruption. Ein Kunde, der eine solche Selbstverpflichtung eingegangen ist, hat Anlass, seine Lieferanten zu denselben Themen zu befragen.

Er liegt in einer von zwei Formen vor. Viele Kunden senden eine eigene Tabelle oder bitten Anbieter, einen Fragebogen in einem Onlineportal auszufüllen, also auf einer Website, auf der der Anbieter seine Antworten eingibt und Dateien hochlädt. Andere verwenden ein Standardformular, etwa den SIG-Fragebogen (Standardized Information Gathering) von Shared Assessments, der die Erstbewertung von Lieferanten und anderen Drittparteien durch einen Kunden vereinheitlichen soll.

Viele Fragen verlangen sowohl ein Dokument als auch eine Antwort. Eine Frage zur Geschäftskontinuität kann den entsprechenden Plan verlangen, eine Frage zur Informationssicherheit ein Zertifikat wie ISO 27001. Antwort und Dokument müssen übereinstimmen, da der Kunde beide miteinander abgleicht. Ein Anbieter, der viele solcher Fragebögen erhält, kann freigegebene Antworten für verschiedene Kunden wiederverwenden. Diese Arbeit beschreibt der Bereich Fragebogen-Response.

Warum Kunden Compliance-Fragebögen versenden

Ein Kunde versendet einen Compliance-Fragebogen, weil er nachweisen muss, dass er die Lieferanten überprüft, auf die er sich verlässt. Große Unternehmen verpflichten sich öffentlich zu bestimmten Grundsätzen für ihre Geschäftstätigkeit, und diese Selbstverpflichtungen reichen bis in ihre Lieferketten. Derselbe OECD-Bericht stellt fest, dass rund 40% der 10.000 größten börsennotierten Unternehmen Selbstverpflichtungen zu verantwortungsvollem unternehmerischem Handeln in ihren Lieferketten offengelegt haben.

Eine Selbstverpflichtung einzugehen ist das eine, sie umzusetzen das andere. Der Bericht stellt außerdem fest, dass nur eine Minderheit der Unternehmen über Maßnahmen berichtet, die negative Auswirkungen wirksam ermitteln und angehen, also die Schäden, die ihre Geschäftstätigkeit für Menschen oder die Umwelt verursachen kann. Bei den Menschenrechten und in der Lieferkette ist diese Lücke am größten. Das Versprechen eines Lieferanten trägt wenig zu diesem Bild bei. Deshalb fragt ein Compliance-Fragebogen für Lieferanten danach, was der Lieferant tut und nachweisen kann, nicht nur, was er beabsichtigt.

Dieselbe Logik gilt, wenn eine Bank, ein Versicherer oder ein Investor, der sich auf einen Lieferanten verlässt, einen solchen Fragebogen versendet. Verstößt ein Lieferant gegen die Regeln, setzt er die Organisation, die ihn ausgewählt hat, Risiken aus. Bei der Vertragsverlängerung wird anhand des Fragebogens geprüft, ob das, was bei Vertragsabschluss galt, weiterhin gilt.

Wie ein Anbieter einen Compliance-Fragebogen beantwortet

Einen Compliance-Fragebogen zu beantworten bedeutet, jeden Abschnitt an die Person weiterzuleiten, die die Fakten kennt, Nachweise zusammenzutragen und die gesamte Response von einer verantwortlichen Person freigeben zu lassen. Angenommen, ein kleiner Softwareanbieter erhält einen solchen Fragebogen von einem Kunden, kurz bevor der Vertrag zur Verlängerung ansteht. Ein Koordinator, der die Bearbeitung der Response vorantreibt, teilt die Tabelle des Kunden nach Abschnitten auf.

Datenschutz und Informationssicherheit übernimmt die für die IT verantwortliche Person. Korruptionsbekämpfung, Sanktionen und der Verhaltenskodex für Lieferanten gehen an die Finanz- oder Rechtsabteilung. Für die Geschäftskontinuität ist der operative Bereich zuständig. Jede Person beantwortet ihren Abschnitt und liefert das zugehörige Nachweisdokument.

Dann folgt die Freigabe, die abschließende Zustimmung, bevor etwas versendet wird. Bei einem Anbieter mit Bid-Team erteilt sie der Bid-Manager, der für die Response verantwortlich ist. In einem kleinen Unternehmen ohne Bid-Team übernimmt dies oft der Inhaber. Die freigebende Person gleicht jede Antwort mit den zugehörigen Nachweisen ab, denn jede Antwort ist eine Tatsachenaussage darüber, wie der Anbieter aktuell arbeitet, und der Kunde kann sich bei seiner Entscheidung über eine Vertragsverlängerung darauf stützen.

Eine Antwort, die nicht durch Nachweise gestützt ist, ist eine Falschangabe, unabhängig von der Absicht. Gibt es für einen Abschnitt keine gute Antwort, gehört zu einer ehrlichen Antwort eine Erklärung. Bei einer öffentlichen Ausschreibung in der EU wird jede Antwort vor der Abgabe anhand ihrer Quelle überprüft, denn nach den EU-Vergabevorschriften kann eine schwerwiegende Falschangabe zum Ausschluss des Anbieters führen.

Abgrenzung zu ähnlichen Fragebögen

Ein Security-Questionnaire ist enger gefasst, ein DDQ breiter. Ein ESG-Fragebogen folgt einem Berichtsrahmen, und ein PQQ gehört zu einer bestimmten Phase einer Ausschreibung. Eine einzelne Kundenanfrage kann Elemente mehrerer Fragebogentypen enthalten.

Security-Questionnaire

Ein Security-Questionnaire bezieht sich ausschließlich auf Maßnahmen zur Informationssicherheit. Seine Fragen betreffen die Zugriffsverwaltung, den Datenschutz, den Umgang mit Sicherheitsvorfällen und die Wiederherstellung der Systeme des Anbieters. Ein Compliance-Fragebogen enthält in der Regel einen Abschnitt zur Sicherheit, geht aber darüber hinaus und behandelt auch Bestechung, Sanktionen, Arbeitspraktiken und den Verhaltenskodex des Kunden.

Due-Diligence-Fragebogen (DDQ)

Ein Due-Diligence-Fragebogen (DDQ) ist noch umfassender. Banken, Investoren und Unternehmenskunden bewerten damit einen Anbieter als Ganzes. Deshalb fragt er neben Compliance auch Eigentumsverhältnisse, Finanzen, Unternehmensführung und operative Abläufe ab. Ein Compliance-Fragebogen konzentriert sich auf die Regeln, die der Anbieter einhält.

ESG-Fragebogen

Ein ESG-Fragebogen zur Leistung in den Bereichen Umwelt, Soziales und Unternehmensführung folgt in der Regel einem veröffentlichten Berichtsrahmen und fragt sowohl Daten, etwa Emissionswerte, als auch Richtlinien ab. Eine Anfrage über CDP ist ein Beispiel dafür: Der Anbieter beantwortet den Hauptfragebogen von CDP und zusätzlich Lieferkettenfragen, die sich auf den anfragenden Kunden beziehen. Ein Compliance-Fragebogen greift einige derselben Themen auf, etwa Arbeitspraktiken, fragt jedoch nach der Einhaltung von Regeln durch den Anbieter statt nach Leistungsdaten.

Präqualifikationsfragebogen (PQQ)

Ein Präqualifikationsfragebogen (PQQ) gehört zu einer bestimmten Phase einer bestimmten Ausschreibung: der Eignungsprüfung, in der der Auftraggeber entscheidet, welche Anbieter ein vollständiges Angebot abgeben dürfen. Ein PQQ fragt neben Compliance auch die finanzielle Leistungsfähigkeit, Erfahrung und Kompetenzen ab. Einige Fragen sind Ausschlusskriterien: Eine falsche oder fehlende Antwort führt zum Ausschluss des Anbieters, bevor sein Angebot gelesen wird. Ein Compliance-Fragebogen ist nicht an eine Ausschreibungsphase gebunden und kann zu jedem Zeitpunkt einer Geschäftsbeziehung eingehen.