Was ist ein DDQ?

Ein Due-Diligence-Fragebogen ist eine formelle, schriftliche Informationsanfrage. Darin wird der Empfänger aufgefordert, anhand von Belegen darzulegen, wie seine Organisation strukturiert, geführt, finanziert, betrieben und kontrolliert wird. Im Gegensatz zu einer informellen Informationsanfrage ist er strukturiert, wiederholbar und darauf ausgelegt, eine dokumentierte Grundlage statt eines Gesprächs zu schaffen. Die versendende Organisation, ob institutioneller Investor, Käufer oder betriebliche Einkaufsfunktion, nutzt den DDQ, um eine belastbare Entscheidungsgrundlage für eine bevorstehende Entscheidung oder eine bestehende Geschäftsbeziehung zu schaffen.

Was ein DDQ ist

Definition und Hauptzweck

Ein DDQ dient dazu, die internen Verhältnisse einer Organisation, ihre Eigentümerstruktur, ihre Finanzlage, ihr Compliance-Programm und ihre operativen Kontrollen in einer schriftlichen, überprüfbaren Dokumentation festzuhalten, die eine andere Partei bewerten kann. Das ist sein Kernzweck: nicht Überzeugung, sondern Nachweise.

Der Ablauf ist klar. Ein Absender übermittelt eine feste Liste von Fragen, häufig zusammen mit einer Aufstellung der erforderlichen Dokumente. Der Empfänger muss jede Frage sachlich beantworten und Nachweise statt Beschreibungen beifügen. Ein Due-Diligence-Fragebogen ist ein formelles Dokument mit Fragen, anhand derer geprüft wird, ob ein Dritter die für das prüfende Unternehmen relevanten Branchenstandards, Gesetze, Vorschriften und Cybersicherheitspraktiken einhält.

Für Empfänger haben vage oder unbelegte Antworten konkrete Folgen. Eine DDQ-Antwort ohne beigefügtes Zertifikat, einen Auszug aus einer Richtlinie oder einen Auditbericht gilt als nicht verifiziert. Nicht verifizierte Antworten verzögern oder verhindern die zugrunde liegende Entscheidung. Deshalb wird die Bearbeitung von DDQs zunehmend als eigenständige Disziplin betrachtet, die sich von der allgemeinen Angebotserstellung unterscheidet.

Was ein DDQ vom umfassenderen Due-Diligence-Prozess unterscheidet

Ein DDQ ist ein Instrument im Rahmen der Due Diligence, nicht der Prozess selbst. Zur Due Diligence gehören auch Vor-Ort-Besuche, Interviews, unabhängige Recherchen und Referenzprüfungen. Das DDQ bildet das dokumentarische Rückgrat, das diese Aktivitäten miteinander verbindet.

Diese Unterscheidung ist wichtig, denn ein ausgefüllter DDQ enthält, so gründlich er auch sein mag, Selbstauskünfte. Ein DDQ ist ein strukturierter Fragenkatalog, den eine Organisation an eine andere richtet, um deren Arbeitsweise zu prüfen, bevor sie Kapital bereitstellt, einen Auftrag vergibt oder eine Geschäftsbeziehung fortführt. Der ausgefüllte Fragebogen wird Teil der formalen Due-Diligence-Dokumentation des Absenders. Analysten und Risikoteams betrachten ihn als Ausgangspunkt für die Überprüfung, nicht als die Überprüfung selbst.

In der Praxis bedeutet das: Auch auf eine überzeugende DDQ-Response können noch ein Vor-Ort-Besuch, ein Referenzgespräch oder ein unabhängiges Audit folgen. Wer als Empfänger davon ausgeht, dass das Questionnaire die gesamte Prüfung darstellt und nicht lediglich den Einstieg in eine weitergehende Prüfung, schätzt falsch ein, was tatsächlich bewertet wird.

Wo DDQs eingesetzt werden

Due Diligence institutioneller Investoren

Institutionelle Anleger nutzen DDQs, um Fondsmanager zu bewerten, bevor sie Kapital zusagen. Standardisierte Vorlagen geben diesem Verfahren einen formalen Rahmen. Laut ILPA soll ein standardisierter Anleger-DDQ für Privatmärkte die zentralen Themen vereinheitlichen, die Anleger bei der Due-Diligence-Prüfung von Fondsmanagern untersuchen, und einen Rahmen für die laufende Überwachung der Fortschritte in Bereichen wie Vielfalt, Chancengerechtigkeit und Inklusion schaffen.

Der entscheidende Mechanismus ist hier die Vergleichbarkeit. Wenn viele Manager denselben standardisierten Fragenkatalog beantworten, können Investoren und Berater die Antworten der engeren Auswahl vergleichen, statt individuelle Formate der einzelnen Manager abzugleichen. Der weit verbreitete Private-Equity-DDQ der ILPA deckt zahlreiche Themen der Fondsprüfung ab, darunter auch die bisherige Erfolgsbilanz. So können Investoren den Managern systematisch einheitliche Fragen stellen.

Eine wichtige Einschränkung: Standardisierung verringert den Abstimmungsaufwand, ersetzt jedoch nicht die Notwendigkeit einer fundierten Beurteilung. Zwei Manager können dieselben standardisierten Fragen korrekt beantworten und dennoch wesentlich unterschiedliche Risikoprofile aufweisen, wenn ein Investor die Antworten anhand seines eigenen Mandats bewertet.

Fusionen und Übernahmen

Bei M&A legt ein Käufer dem Zielunternehmen einen DDQ vor, um vor Abschluss einer Transaktion Informationen zu Eigentumsverhältnissen, finanzieller Leistung, Verträgen, Rechtsstreitigkeiten und dem regulatorischen Status offenzulegen. Er ergänzt die rechtlichen, finanziellen und operativen Workstreams, statt sie zu ersetzen.

Der Mechanismus besteht darin, dass die Antworten des Zielunternehmens und die beigefügten Dokumente direkt in die Bewertung, die Verhandlungen über Garantien sowie die Vollzugsbedingungen einfließen. Eine Lücke oder Unstimmigkeit in einer DDQ-Antwort kann weitere Untersuchungen, eine Kaufpreisanpassung oder eine spezifische Freistellung im Transaktionsvertrag auslösen.

Lieferanten- und Drittparteien-Risikomanagement

Unternehmensweite Einkaufs- und Drittparteirisikofunktionen nutzen DDQs, um potenzielle und bestehende Anbieter sowohl vor dem Onboarding als auch danach regelmäßig zu bewerten. Im Anbieterkontext ist ein Due-Diligence-Fragebogen in vielen Programmen des Drittparteirisikomanagements das zentrale Instrument zur Risikobewertung vor Vertragsabschluss. Darin wird ein potenzieller Anbieter aufgefordert, seine Sicherheitskontrollen, Zertifizierungen, bisherige Sicherheitsvorfälle, Beziehungen zu Unterauftragsverarbeitern sowie Verfahren zur Datenverarbeitung zu beschreiben.

Der Umfang dieser Tätigkeit ist beträchtlich. In den DQ-Leitfäden zitierte Umfragedaten zeigen, dass Unternehmen Dritten durchschnittlich 55 Fragebögen mit jeweils 101 bis 350 Fragen zusenden. Das verdeutlicht, warum Bid- und Compliance-Teams auf Anbieterseite DDQ-Antworten als laufende operative Belastung und nicht als einmalige Aufgabe betrachten.

Ein strukturierter Due-Diligence-Fragebogen für das Lieferantenrisikomanagement umfasst in der Regel 100 bis 200 Fragen zu Unternehmenshintergrund, finanzieller Stabilität, Rechts- und Compliance-Status, Informationssicherheit, Betriebskontinuität und ESG. Damit kann eine einzige Response nahezu jeden Funktionsbereich eines Anbieters betreffen.

Was ein DDQ typischerweise abdeckt

Eigentumsverhältnisse, Governance und Finanzdaten

Die meisten DDQs beginnen mit Fragen zu Rechtsform, Eigentumsverhältnissen, Zusammensetzung des Vorstands oder der Geschäftsführung sowie zur finanziellen Lage. Denn damit wird zunächst geklärt, wer die Vertragspartei ist, bevor operative Details bewertet werden. Dieser Abschnitt beantwortet eine grundlegende, aber entscheidende Frage: Wer trägt die Verantwortung, und ist diese Partei zahlungsfähig?

Der Mechanismus besteht darin, dass Angaben zu Eigentumsverhältnissen und Governance, Interessenkonflikten, Vereinbarungen mit nahestehenden Parteien und finanziellen Risiken offenlegen, die bei einer rein operativen Betrachtung sonst verborgen blieben. Jahresabschlüsse, Bestätigungsvermerke von Wirtschaftsprüfern und Organigramme dienen üblicherweise als Nachweise.

Ein Due-Diligence-Fragebogen ist ein umfassender Fragebogen zur Bewertung einer potenziellen Investitionsmöglichkeit, einer Geschäftspartnerschaft oder eines Übernahmeziels. Dazu werden detaillierte Informationen über den Geschäftsbetrieb, die finanzielle Leistungsfähigkeit sowie die Einhaltung rechtlicher und regulatorischer Vorgaben erhoben. Deshalb steht dieser Abschnitt nur selten für sich allein, sondern meist im Zusammenhang mit den nachfolgenden Compliance-Abschnitten.

Compliance und regulatorische Positionierung

Compliance-Abschnitte fragen ab, ob die Organisation die Gesetze, Vorschriften und Branchenstandards einhält, die für die Rechtsordnung und Branche des Absenders relevant sind. Damit wird geklärt, ob die Gegenpartei im Rahmen der vorgesehenen Geschäftsbeziehung rechtmäßig und zuverlässig handeln kann.

Der Mechanismus stützt sich auf dokumentarische Nachweise: Lizenzen, regulatorische Meldungen, Ergebnisse von Sanktionsprüfungen, die Prozesshistorie sowie Bestätigungen der Einhaltung von Richtlinien. Ein Due-Diligence-Fragebogen ist ein formelles Dokument mit Fragen, anhand derer geprüft wird, ob ein Dritter die für das bewertende Unternehmen maßgeblichen Branchenstandards, Gesetze und Vorschriften einhält. Antworten ohne Belege gelten in der Regel als unvollständig.

Eine praktische Grenze liegt in unterschiedlichen Rechtsordnungen: Ein Compliance-Rahmenwerk, das für ein bestimmtes regulatorisches Umfeld entwickelt wurde, lässt sich möglicherweise nicht eindeutig auf eine Gegenpartei übertragen, die in mehreren Rechtsordnungen tätig ist. Deshalb enthalten grenzüberschreitende DDQs häufig ergänzende, marktspezifische Fragen.

Informationssicherheit und operative Resilienz

Fragen zu Sicherheit und Resilienz prüfen, wie die Gegenpartei Daten schützt, Vorfälle bewältigt und die Servicekontinuität sicherstellt. Inzwischen machen sie einen großen Teil der DDQs der meisten Anbieter aus. Dieser Abschnitt klärt, ob eine Betriebsstörung bei der Gegenpartei auch den Absender beeinträchtigt.

Der Mechanismus umfasst Zertifizierungen, Zusammenfassungen von Penetrationstests, Aufzeichnungen über die Reaktion auf Sicherheitsvorfälle sowie Pläne zur Geschäftskontinuität, die zusammen mit ausformulierten Antworten als Nachweise eingereicht werden. Ein Due-Diligence-Fragebogen im Anbieterkontext fordert einen potenziellen Anbieter auf, vor dem Onboarding seine Sicherheitskontrollen, Zertifizierungen, bisherige Sicherheitsvorfälle, Beziehungen zu Unterauftragsverarbeitern sowie Verfahren zur Datenverarbeitung zu beschreiben.

Da sich dieser Bereich rasch verändert, werden Sicherheitsabschnitte bei der Aktualisierung am ehesten als veraltet gekennzeichnet. Empfänger müssen Nachweise zwischen DDQ-Zyklen meist aktualisieren, statt frühere Antworten einfach erneut einzureichen.

DDQ im Vergleich zu verwandten Instrumenten

DDQ versus RFP

Ein DDQ prüft, wie eine Organisation arbeitet. Ein RFP fragt, wie sie ein konkretes Problem lösen will. Beide Instrumente kommen in unterschiedlichen Phasen einer Geschäftsbeziehung zum Einsatz und werden häufig verwechselt, da sie jeweils aus langen, strukturierten Fragenkatalogen bestehen.

Ein RFP wird in der Regel früh im Kaufzyklus veröffentlicht, um Lösungen, Preise und Vorgehensweisen konkurrierender Anbieter zu vergleichen. Ein DDQ konzentriert sich auf Risiken und Compliance und wird versendet, sobald ein Anbieter, Fonds oder Zielunternehmen in die engere Auswahl kommt. Anhand sachlicher Antworten mit Audit-Trail statt überzeugender Angebote werden grundlegende Kontrollen, die operative Bereitschaft sowie die Einhaltung regulatorischer Vorgaben geprüft.

Die praktische Konsequenz: Teams, die beides beantworten, müssen unterschiedlich vorgehen. RFP-Antworten können den geplanten Ansatz angemessen beschreiben. DDQ-Antworten müssen den aktuellen, belegten Stand wiedergeben. Wer beides gleich behandelt, erstellt DDQ-Antworten, die eher wie Marketing als wie Nachweise wirken.

DDQ im Vergleich zu Security-Questionnaires für einzelne Bereiche

Ein DDQ ist umfassender als ein Security-Questionnaire und deckt das gesamte Unternehmen statt nur eines Kontrollbereichs ab. Diese Unterscheidung ist wichtig, denn wer bislang nur Nachweise zur Informationssicherheit zusammengestellt hat, wird auch nach Eingang eines vollständigen DDQ weiterhin Lücken haben.

Security-Questionnaires, etwa solche, die auf Frameworks wie SIG oder auf CAIQ-artige Formate basieren, konzentrieren sich eng auf technische und organisatorische Sicherheitskontrollen. Ein DDQ umfasst neben einem Abschnitt zur Sicherheit in der Regel auch Abschnitte zu Eigentumsverhältnissen, Finanzen, Recht und Governance. Damit ist es ein Instrument auf Unternehmensebene und nicht auf der Ebene einer einzelnen Kontrolldomäne.

Organisationen, die ihre Nachweisbibliothek für Security-Questionnaires als ausreichend für die Beantwortung von DDQs betrachten, stellen häufig mitten im Prozess fest, dass die Abschnitte zu Finanzen und Governance eine völlig separate Nachweiskette erfordern, die sie noch nicht zentralisiert haben.

Standardisierte DDQ-Vorlagen

Von Verbänden veröffentlichte Vorlagen

Mehrere Branchenverbände veröffentlichen standardisierte DDQ-Vorlagen. So können Investoren einheitliche Fragen stellen und Manager einen einzigen, wiederverwendbaren Antwortsatz erstellen. Laut AIMA halfen die von Verbänden veröffentlichten DDQs Investoren dabei, potenzielle Fondsinvestitionen zu bewerten. Fondsmanager konnten damit Dienstleister, Direktoren und Verwaltungsorgane für diese Fonds auswählen.

Der Mechanismus beruht auf Effizienz auf Netzwerkebene: Sobald eine Vorlage breite Anwendung findet, kann ein Manager große Teile der Antworten für mehrere Investorenbeziehungen wiederverwenden und muss nur die Änderungen aktualisieren. Das reduziert den doppelten Aufwand auf beiden Seiten des Austauschs.

Eine Einschränkung besteht darin, dass standardisierte Vorlagen allgemeine Themen gut abdecken, individuelle Rückfragen jedoch selten überflüssig werden. Das gilt insbesondere, wenn das Mandat, die Rechtsordnung oder die Risikobereitschaft eines Investors über den standardmäßig vorgesehenen Umfang der Vorlage hinausgeht.

Anpassung an die Fondsstruktur

Standardisierte DDQs werden zunehmend auf bestimmte Fondsstrukturen zugeschnitten, statt als einheitliches Formular ausgegeben zu werden. Das Rahmenwerk von INREV für nicht börsennotierte Immobilienanlagen umfasst drei maßgeschneiderte Questionnaires: eines für nicht börsennotierte Immobilienvehikel, eines für Dachfonds- und Multi-Manager-Strukturen und eines für Immobilienkreditvehikel. So werden die Anforderungen unterschiedlicher Fondsstrukturen Rechnung getragen und zugleich ein hohes Prüfungsniveau gewahrt.

Diese Anpassung trägt der Tatsache Rechnung, dass Fremd- und Eigenkapitalvehikel unterschiedliche Risikotreiber aufweisen. Ein einheitlicher Fragenkatalog würde daher entweder wesentliche Fragen auslassen oder die Befragten dazu zwingen, irrelevante Fragen zu beantworten. Der DDQ von INREV für nicht börsennotierte Immobilienanlagen hilft Investoren und Beratern, die Struktur, Strategie und Geschäftstätigkeit eines Fondsmanagers sowie die Strategie, Risikoprozesse und Bedingungen eines bestimmten Anlagevehikels zu verstehen.

Für die Befragten bedeutet dies, dass sich ein Fondsmanager, der mehrere Vehikeltypen verwaltet, nicht auf einen einzigen ausgefüllten DDQ stützen kann. Jede Struktur erfordert in der Regel eine eigene, individuell zugeschnittene Version, selbst wenn sich ein Großteil der zugrunde liegenden Nachweise überschneidet.

Einen DDQ beantworten

Nachweis- und Dokumentationspraktiken

Eine wirksame DDQ-Response setzt voraus, dass jeder Antwort aktuelle, überprüfbare Nachweise beigefügt werden, statt sich allein auf Erläuterungen zu stützen. Diese Vorgehensweise entscheidet am stärksten darüber, ob eine Response die Prüfung zügig durchläuft oder Rückfragen auslöst.

Spezialisierte Leitfäden für die Bearbeitung von DDQs betonen, dass das gesamte Dokument vor der Beantwortung gelesen, die Abschnitte am ersten Tag den jeweils Verantwortlichen zugewiesen, die Antworten auf Grundlage der aktuellen Dokumentation statt früherer Einreichungen erstellt und jeder Antwort Nachweise beigefügt werden sollten. Fachliche Empfehlungen zum Aufbau entsprechender Kompetenzen heben zudem hervor, Nachweise in einem sicheren, versionskontrollierten Repository zu zentralisieren und Kontrollen direkt den zugehörigen Nachweisen zuzuordnen.

Eine konkrete Folge: Wird ein Abschnitt zur Sicherheit auf Grundlage einer veralteten oder abgelaufenen Richtlinie beantwortet, gilt dies als falsche oder irreführende Antwort und nicht als geringfügiges Versehen, da DDQ-Nachweise den aktuellen Stand widerspiegeln müssen.

Regelmäßige Aktualisierung und laufende Überwachung

Ein ausgefüllter DDQ ist selten ein einmaliges Dokument. Die meisten institutionellen Risikoprogramme und Programme für Anbieterrisiken erfordern regelmäßige Aktualisierungen, damit die Due-Diligence-Dokumentation des Absenders bei Änderungen der Gegenpartei stets auf dem neuesten Stand bleibt.

Fortschrittliche DDQ-Nachweisbibliotheken basieren auf Prinzipien wie Unveränderlichkeit und Versionskontrolle. Jedes Dokument, jeder Screenshot und jede Richtlinie verfügen über einen eindeutigen Versionsverlauf. Aktualisierungen werden archiviert statt gelöscht. So entsteht ein Audit-Trail, der den Compliance-Status im Zeitverlauf dokumentiert. Dadurch kann der Absender genau nachvollziehen, welche Angaben eine Gegenpartei bei jeder Aktualisierung gemacht hat, und nicht nur, welche sie heute macht.

Für die Empfänger hat das operative Folgen: Ohne eine gepflegte Evidenzbibliothek beginnt die Bearbeitung bei jeder Aktualisierung praktisch von vorn. Genau diesen Aufwand sollen versionskontrollierte, zentral verwaltete Evidenz-Repositories vermeiden.