Lieferantenprüfung: So sichern Sie Ihre Lieferkette ab

Eine Lieferantenprüfung ist ein systematischer Prozess zur Bewertung aktueller und potenzieller Lieferanten nach definierten Kriterien (z. B. Qualität, Preis, Liefertreue) sowie zur Prüfung rechtlicher Risiken wie Sanktions- und Exportkontrollen; das Ziel ist, Risiken sichtbar zu machen, Geschäftsentscheidungen zu belegen und Prüfpflichten gegenüber Behörden nachzuweisen (auditfester Nachweis).

Definition und Zweck der Lieferantenprüfung

Eine Lieferantenprüfung ist ein formalisierter Ablauf, mit dem ein Unternehmen systematisch die Eignung, Leistungsfähigkeit und Rechtskonformität eines Lieferanten bewertet. Dabei werden dokumentierte Daten erhoben, automatisierte Abgleiche gegen behördliche Listen durchgeführt (Sanktionslistenscreening) und Entscheidungen mit Nachweis archiviert. Sanktionslistenscreening (Abgleich von Geschäftspartnerdaten mit behördlich geführten Listen) ist kein Optionalprogramm für EU-Firmen, sondern kann unmittelbar rechtliche Folgen auslösen^[1][2].

Rechtliche Pflichten nach EU‑Sanktionsverordnungen und AWG

EU‑Verordnungen etwa VO (EU) 269/2014 und VO (EU) 833/2014 regeln Einfrieren von Vermögenswerten und sektorale Beschränkungen sowie das Bereitstellungsverbot wirtschaftlicher Ressourcen; diese Verordnungen gelten unmittelbar für alle Personen und Unternehmen in der EU^[1]. In Deutschland sind Sanktionen und Verstöße gegen Ausfuhr‑/Sanktionspflichten in nationalen Vorschriften verankert, namentlich im Außenwirtschaftsgesetz (AWG)^[2]. Behörden wie der Rat der EU und nationale Stellen zeigen die relevanten Listungen an^[3][4].

Praktische Umsetzungsschritte für die Lieferantenprüfung

1. Datenerhebung: Standardformular oder digitale Schnittstelle zur Erfassung von Firmendaten, UBO‑Hinweisen und Identifikationsmerkmalen (Rechtsform, Registernummer, IMO/Ship-ID bei Schifffahrt).
2. Erstmalscreening: Vor Vertragsabschluss automatischer Abgleich gegen EU/UN/UK/OFAC/CH-Listen sowie nationale Hinweise^[6][3].
3. Entscheidung & Dokumentation: Treffer bewerten, Entscheidung protokollieren, auditfestes Dokument ablegen.
4. Laufende Überwachung: Trigger‑Events (z. B. neues EU‑Paket) und regelmäßige Intervalle (Risikoabhängig, mindestens bei Vertragsverlängerung).
5. Eskalation: Definierte Verantwortliche (Einkauf, Compliance, Geschäftsführung) und SLAs für Prüf‑ und Freigabeprozesse.

Diese Schritte lassen sich als Standard‑Operating‑Procedure (SOP) verankern und in P2P/ERP‑Abläufe integrieren.

False Positives und Match‑Unschärfen im Screening managen

Treffer sind Hinweise, keine automatische Sanktion. Ein geeignetes Verfahren umfasst: automatisches Scoring, dedizierte Reviewer (menschliche Prüfung), Standard‑Checks (Geburtsdatum, ORG‑IDs, Anschrift) und dokumentierte Entscheidung. Legen Sie Thresholds und SLAs fest (z. B. 24–72 Stunden für Erstprüfung) und erfassen Sie Begründung und Prüfer in einem Decision Log, damit bei Behördenprüfungen die Sorgfalt sichtbar ist.

DSGVO‑konforme Verarbeitung bei Sanktionsscreenings

Sanktions‑Screenings verarbeiten personenbezogene Daten; daher gelten DSGVO‑Grundsätze: Zweckbindung, Datenminimierung, Löschfristen und technisches/sorganisatorisches Schutzniveau. Falls automatisierte Profile oder KI‑gestützte Matching‑Algorithmen eingesetzt werden, prüfen Sie, ob eine Datenschutz-Folgenabschätzung (DSFA/DPIA) erforderlich ist. Klären Sie Rechtsgrundlage (z. B. rechtliche Verpflichtung) und dokumentieren Sie Verarbeitungsprozesse in einem Verzeichnis von Verarbeitungstätigkeiten.

Kriterien für die Auswahl von Screening‑Software

Achten Sie auf: Quelle und Abdeckung der Listen (EU, UN, OFAC, UK, CH, nationale), Update‑Frequenz, Matching‑Methodik (Deterministisch vs. Fuzzy, erklärbare Metriken), Audit‑Trail (auditfeste PDF/Prüf‑URL), API/ERP‑Integration, Multi‑jurisdictional Reporting, Support‑SLA und Nachweis zur DSGVO‑Konformität^[7]. Anbieter sollten klarstellen, dass Ergebnisse Informationscharakter haben und keine Rechtsberatung ersetzen.

Verantwortungszuweisung im Unternehmen für Compliance

Primärer Verfahrensverantwortlicher ist die Compliance/Exportkontrolle in Kooperation mit Einkauf und Rechtsabteilung. Geschäftsführung bleibt haftungsrechtlich relevant – deutsche Pflichten können persönliche Sanktionen auslösen; die Geschäftsführung muss wirksame Kontrollen sicherstellen und dokumentieren^[2]. Legen Sie eine Verantwortlichkeitsmatrix (RACI) fest.

Typische Compliance‑Fehler in mittelständischen Unternehmen

• Kein standardisiertes Onboarding oder fehlende Schnittstellen zum ERP.
• Screening nur einmalig statt laufend.
• Fehlende Dokumentation der Entscheidungslogik bei Treffern.
• Ungeprüfte Annex‑Listen (nur EU prüfen statt EU+UN+UK+CH+OFAC).
• Keine Klärung der Datenschutz‑Rechtsgrundlage und keiner DSFA bei komplexen Profilierungsverfahren.

In der Praxis fehlt in vielen mittelständischen Einkaufsorganisationen weniger das Screening selbst als die verbindliche Eskalationsmatrix und die dokumentierte Löschfrist – legen Sie beides schriftlich fest, bevor der erste Treffer auftritt.

FAQ – Häufig gestellte Fragen

Was ist der Unterschied zwischen Lieferantenprüfung und Lieferantenaudit?
Eine Lieferantenprüfung ist ein formalisierter Bewertungsablauf mit Datenabgleich und Risikoanalyse; ein Audit ist meist ein vertiefter Prüftermin vor Ort oder remote mit Inspektion konkreter Prozesse und Nachweisen.

Wie oft sollte ein Lieferant gescreent werden?
Das Intervall ist risikobasiert; kritische Lieferanten oder solche mit Auslandskontakten sollten kontinuierlich oder bei Trigger‑Events geprüft werden, andere mindestens bei Vertragsverlängerung.

Muss jedes EU‑Unternehmen Sanktionslisten prüfen?
Ja; die EU‑Verordnungen gelten unmittelbar und das Bereitstellungsverbot bindet alle Wirtschaftsteilnehmer in der EU^[1][3].

Ersetzt eine Screening‑Plattform die Rechtsberatung?
Nein. Plattformen liefern Rechercheergebnisse und Auditnachweise; die rechtliche Bewertung und Entscheidung bleiben beim Unternehmen und ggf. dem Rechtsbeistand^[7].

Kann ich Screening‑Prozesse in mein ERP integrieren?
Ja. Prüfen Sie Anbieter auf API‑Funktionen und P2P‑Integrationen; eine Integration reduziert manuelle Schritte und dokumentiert Prüfungen systematisch.