Reduzieren Sie Risiken Dritter Sie sind nur so stark wie das schwäch­ste Glied in Ihrem Netzwerk

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Das Lieferkettensorgfaltspflichtengesetz (LkSG) stellt immer mehr Unternehmen vor die Berichtspflicht – und vor große Herausforderungen. Das Gesetz deckt auf, wie weitreichend die unternehmensbezogenen Lieferketten eigentlich sind und welche Risiken seitens Drittparteien damit einhergehen. Wie Führungskräfte ihre Verantwortlichkeiten managen und die Reputation des Unternehmens aufrechterhalten können, lesen Sie nachfolgend.

Fokusthema für viele Compliance-Manager ist seit einigen Monaten, wie sie das Risikomanagement Dritter und die Sorgfaltsprüfung der Lieferkette im Rahmen des LkSG handhaben können. Ein Beispiel: Unternehmen sind für die ethische und ökologische Beschaffung der Garnelen in den in ihren Geschäften verkauften Sandwiches verantwortlich. Aber wie sieht es mit der Futterquelle für diese Garnelen aus – ist das Unternehmen auch für dessen Herkunft verantwortlich? Die kurze Antwort: Ja. Wo endet diese Verantwortlichkeit also und wie setzen Führungskräfte Systeme ein, um diese zuverlässig zu managen?

Unternehmen heute haben zum Teil mit einer Vielzahl an Drittparteien und Lieferanten zu tun – und das wöchentlich. Entsprechend sind die Player auf dem heutigen Markt mehr denn je miteinander verflochten. Das bedeutet gleichzeitig, dass die Risiken Dritter oder der Lieferanten zwangsläufig zu den eigenen werden und im Zweifel die eigene Reputation auf dem Spiel steht. Für Führungskräfte ist es daher unabdingbar, auf ein System bauen zu können, welches dabei unterstützt, den Überblick über diverse Daten und Vorgänge zu behalten.

Reduzieren Sie Risiken Dritter

Hier kommt das Third-Party-Risikomanagement (TPRM) zum Tragen und erfordert Zusammenarbeit und Aufmerksamkeit, um Risiken zu identifizieren. Dies kann Türen zu neuen Produkten und Märkten öffnen, Wachstum vorantreiben und die Kundenbindung erhöhen. Dies gilt für alle Organisationen, unabhängig von ihrer Größe – ob kleine Bio-Lebensmittelkette oder multinationaler Technologiekonzern.

Risiken Dritter, zum Beispiel Datenlecks bei externen Dienstleistern oder Lieferanten, mit denen ein Unternehmen zusammenarbeitet, sind ebenso weit verbreitet und vielfältig wie interne Risiken, aber eben auch unvorhersehbarer, da die Komplexität der Bedrohung mit den Handlungen einer externen Einheit verknüpft ist. Auch in die Abläufe und Prozesse anderer Geschäftspartner ist wenig oder gar keine Sichtbarkeit gegeben.

Ein Menschenrechtsvorfall, der beispielsweise in einer ausländischen Fabrik, die die Waren eines Unternehmens herstellt, beobachtet wird, könnte sich indirekt negativ auf das gesamte Unternehmen auswirken. Daher ist ein klarer und aussagekräftiger Überblick über die Lieferkette zu erhalten.

Heute und auch zukünftig erwarten Regulierungsbehörden, Kunden, Mitarbeiter und Investoren zunehmend von Unternehmen, dass diese nicht nur für ihr eigenes Handeln, sondern auch für das ihrer Lieferketten Verantwortung übernehmen. Immer mehr junge und innovative Unternehmen nutzen ihre Kompetenzen und ihre Strenge in diesem Bereich als Differenzierungspunkte in einem Markt, der Wert auf Transparenz und Ethik legt. Doch insbesondere für größere, etablierte Unternehmen ist es nicht einfach, die Risiken und Compliance ihres komplexen und mehrstufigen Netzwerks von Lieferanten und Dritten zu verfolgen.

Um diese Herausforderungen zu meistern, gibt es Systeme, Prozesse und Prinzipien, die Unternehmen dabei helfen können, sich bestmöglich aufzustellen.

Risikoarten

Unternehmen können verschiedensten Gefahren und Risiken ausgesetzt sein, was es erschwert, einen einheitlichen Ansatz für die Risikobewältigung Dritter aufzusetzen. Dennoch gibt es einige Kernrisikobereiche, die dazu beitragen, die gravierende Bedeutung eines effektiven Risikomanagements für Dritte zu verdeutlichen:

• IT-Sicherheit: Die Bedrohungslandschaft wächst ständig, was bedeutet, dass selbst die besten Krisenmanagement­prozesse der Welt keine Prävention von Risiken garantieren können, die von Partnern oder der Lieferkette übertragen werden. Unternehmen sollten daher ihre Mitarbeiter regelmäßig in bewährten Verfahren zur IT-Sicherheit schulen, sicherstellen, dass die Software der Partner nicht veraltet ist und die notwendigen Tools und Technologien zur Unterstützung ihres Playbooks implementieren.

• Compliance: Regulatorische Fallstricke sind unvermeidbar, daher müssen Drittpartner alle lokalen, regionalen und internationalen Standards einhalten, die Sie befolgen, um kollaterale Schäden zu vermeiden.

• Finanziell: Wenn Lieferanten oder Verkäufer in finanzielle Schwierigkeiten geraten und/oder in Konkurs gehen, kann sich dies direkt auf das Unternehmen auswirken. Daher ist es unerlässlich, regelmäßige Überprüfungen der finanziellen Gesundheit der Drittparteien durch Kreditberichte, Audits und andere finanzielle Bewertungen durchzuführen.

Prozess und Priorisierung

Verbände von Drittparteien ohne geeignete Screenings und Audits können in weniger als einer Minute zu einer Schwachstelle werden. Es ist daher unerlässlich, Risikobereiche zu identifizieren, diese laufend zu bewerten und Sicherheits­maßnahmen wie die des eigenen Unternehmens zu bewerten.

Das kann erreicht werden, indem ein klares Playbook erstellt wird, das den Umgang mit eintretenden Risiken beschreibt und Beispiele gibt, wie darauf reagiert werden kann und sollte.

Berücksichtigen Führungskräfte einige Tipps, lässt sich die Komplexität des TPRM besser begreifen und steuern:

Identifikation und Klassifizierung des Risikoniveaus Dritter:

• Hohes Risiko: Diese Unternehmen erfordern umfangreiche Audits und häufige Check-ins. Ein Beispiel ist eine Organisation, die eine Schlüsselkomponente des Gesamtprodukts eines Unternehmens liefert, oder ein Auftragnehmer, der Zugriff auf geschäftsbeeinflussende Systeme hat.

• Mittleres Risiko: Eine angemessene Due-Diligence-Prüfung ist ausreichend; dies würde kleine oder mittlere Unternehmen einschließen, die Produkte oder Dienstleistungen anbieten, die einen unwesentlichen Einfluss auf den Betrieb haben.

• Geringes Risiko: Für Unternehmen wie zum Beispiel Bürozulieferer, Druckereien und Landschaftsgärtner ist eine minimale Aufsicht erforderlich.

Durchführung einer Sorgfaltsprüfung: Tools wie Hintergrundprüfungen, Kreditberichte und Compliance-Zertifikate einsetzen, um Anmeldedaten zu überprüfen und Partner auf geschäftsrelevante Bedenken zu überprüfen.

Überwachung und Überprüfung: Basierend auf Zero-Trust-Prinzipien sollten alle Parteien stetig verifiziert und überwacht werden. Parallel sollten automatisierte Steuerungs-, Risiko- und Compliance-Lösungen implementiert werden, um Leistungskennzahlen zu verfolgen und Risiken und Anomalien zu kennzeichnen.

Reagieren und überarbeiten: Sobald ein Risiko identifiziert wurde, sollte eine gründliche Untersuchungen der Grundursache durchgeführt werden. Es gilt, vorbeugende Maßnahmen zu entwickeln, um zukünftige und weitere Schäden, Eskalationen oder Verluste für das Unternehmen zu vermeiden.

Es gibt eine Vielzahl von Lösungen, die diese Aufgaben erleichtern und intelligentere, effektivere Strategien ermöglichen. Dazu gehören KI-basierte Analyse­plattformen, Risiko­manage­ment­software, Vertrags­management­systeme, Kollaborations­portale und Prüfungslösungen.

Unternehmen, die wissen, wie sie ihr Risiko für Dritte erfolgreich mindern und schnell reagieren können, haben einen Wettbewerbsvorteil – sie werden für Stakeholder und Mitarbeiter als attraktiver angesehen. In unserem digitalen Zeitalter fordern institutionelle Investoren alle Standards und Zertifizierungen, um zu beweisen, dass das Unternehmen nachhaltig und grün ist.

Über den Autor: Florian Haarhaus ist International General Manager bei NAVEX.

(ID:50015804)