Als Teil des Risikomanagements hat das Unternehmen eine dem Gesetz oder der Richtlinie entsprechende Risikoanalyse durchzuführen, um die menschenrechtlichen und umweltbezogenen Risiken zu ermitteln, die aus dem eigenen Geschäftsbereich sowie von den unmittelbaren Zulieferern herrühren. In diesem Sinne trägt das Unternehmen gegenüber seinen unmittelbaren Zulieferern eine große Verantwortung.
Umfang, Priorisierung und Wiederholung der Analyse
Missbraucht das Unternehmen die Beziehung zum unmittelbaren Zulieferer oder umgeht es das Gesetz, um den Anforderungen der auf den unmittelbaren Zulieferer bezogenen Sorgfaltspflicht auszuweichen, so gelten auch mittelbare Zulieferer als unmittelbare Zulieferer.
Die in den Risikoanalysen ermittelten menschenrechtlichen und umweltbezogenen Risiken sind in angemessener Weise nach ihrer Gewichtung zu bewerten und zu priorisieren.
Das Unternehmen ist verpflichtet, dafür zu sorgen, dass die Ergebnisse der Risikoanalyse im Unternehmen denjenigen mitgeteilt werden, die zur Entscheidung befugt sind, etwa dem Vorstand oder der Einkaufsabteilung.
Die Risikoanalyse ist einmal jährlich zu überprüfen sowie anlassbezogen dann, wenn in der Lieferkette des Unternehmens mit einer wesentlich veränderten oder erweiterten Risikolage zu rechnen ist, etwa weil neue Produkte, neue Projekte oder ein neues Geschäftsfeld hinzukommen. Die Erkenntnisse aus der Bearbeitung von Hinweisen nach § 8 Abs. 1 LkSG sind dabei zu berücksichtigen.
Wie ist die regelmäßige Risikoanalyse in der Praxis anzugehen?
Bei der regelmäßigen Risikoanalyse zählt eine vertretbare Methode mehr als der Umfang. Im ersten Schritt werden die Zulieferer nach Länderrisiko, Branchenrisiko und der Art der bezogenen Waren oder Dienstleistungen gruppiert. Abstrakte Risikowerte werden anschließend mit unternehmenseigenen Informationen konkretisiert – mit Auditergebnissen, Zertifikaten, Medienberichten und eingegangenen Beschwerden. Die Erkenntnisse sind zu gewichten und zu priorisieren; das Gesetz erwartet nicht, dass jedes Risiko gleichzeitig bearbeitet wird, wohl aber, dass sich die Priorisierung begründen lässt.
Neben der jährlichen Routine darf auch die anlassbezogene Analyse nicht vernachlässigt werden: Neue Produkte, neue Beschaffungsmärkte oder Veränderungen beim Zulieferer machen einen erneuten Blick auf den betroffenen Teil der Lieferkette erforderlich. Dass jede Analyse mit ihrer Methode, ihren Quellen, ihren Erkenntnissen und ihren Entscheidungen dokumentiert wird, ist die Grundlage dafür, dass das Unternehmen seine Compliance gegenüber der zuständigen Behörde belegen kann. Für den Aufbau dieses Zyklus bietet unsere Leistung LkSG-/CSDDD-Compliance-Programm einen strukturierten Rahmen.
Welche Fragen sind in der Analyse zu stellen?
In der Praxis ist die Zahl der Fragen, die die Analyse leiten, begrenzt: In welchen Ländern und mit welchen Herstellungs- oder Dienstleistungsprozessen arbeiten wir? Wer sind unsere unmittelbaren Zulieferer, und welche dieser Beziehungen sind neu? Gibt es eine Erkenntnis aus früheren Audits, aus eingegangenen Beschwerden oder aus öffentlich zugänglichen Quellen? Wer ist betroffen, wenn sich ein Risiko verwirklicht, und in welchem Maß hat das Unternehmen Einfluss auf dieses Risiko? Sind die Antworten schriftlich festgehalten, wird aus der Analyse statt einer Tabellenarbeit eine Entscheidungskette, die sich später nachvollziehen lässt.
Wenn beim Zulieferer Informationen angefordert werden
Die Informationsanfrage ist der heikelste Schritt der Analyse. Ihr Umfang muss dem ermittelten Risiko entsprechen; die beim Zulieferer bereits vorhandenen Unterlagen – Auditberichte, Zertifikate, interne Richtlinien – sind zuerst auszuwerten, und dieselbe Information darf nicht von verschiedenen Abteilungen immer wieder angefordert werden. Die gestellten Fragen, die erhaltenen Antworten und die Schritte, die unternommen werden, wenn keine Antwort kommt, sind aufzuzeichnen: Was das Unternehmen später vorweisen kann, ist weniger die Antwort des Zulieferers als die eigene Methode.
Was bedeutet das für die Zulieferer in der Türkei?
Das Gesetz erreicht die außerhalb Deutschlands ansässigen Zulieferer nicht unmittelbar, sondern mittelbar über das einkaufende Unternehmen (Stand: Juli 2026). Für die Zulieferer in der Türkei bedeutet das: Die Anforderung kommt nicht als Gesetzestext, sondern in Gestalt von Vertragsklauseln, Verhaltenskodizes und jährlichen Lieferantenfragebögen. Die Vorbereitung verläuft auf derselben Ebene: Wer die voraussichtlich abgefragten Informationen vorab zusammenstellt, eine für das Thema verantwortliche Person benennt und dafür sorgt, dass die Antworten von Jahr zu Jahr konsistent bleiben, verringert die Zahl wiederkehrender Fragerunden.
Dieser Schritt steht in der Mitte der Kette der Sorgfaltspflichten: Ein eingerichtetes Risikomanagement bildet das Fundament der Analyse, die Dokumentation und Berichterstattung der Erkenntnisse ihre Fortsetzung.
