Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand ACFE Swiss Chapter
Lange Zeit galt Compliance als interne Funktion. Richtlinien wurden erstellt, Kontrollen implementiert und die Verantwortung lag klar innerhalb der Grenzen einer einzelnen Organisation.
Im Jahr 2026 ist dieses Modell nicht mehr gültig.
In einer wachsenden Zahl von EU-Verordnungen erstreckt sich Compliance über einzelne Unternehmen hinaus auf die Lieferketten, von denen sie abhängen. Dieser Wandel ist nicht immer ausdrücklich geregelt, verändert aber bereits die Arbeitsweise von Unternehmen, insbesondere von KMU.
Ein struktureller Wandel in der Funktionsweise der Lieferketten-Compliance
Jüngste regulatorische Entwicklungen weisen in dieselbe Richtung. Ob es um Umweltauswirkungen, Cybersicherheit oder Finanzkriminalität geht, der Mechanismus ist zunehmend ähnlich.
Nach der EU-Entwaldungsverordnung (EUDR) müssen Unternehmen, die Produkte auf den Markt bringen, nachweisen, dass die Waren verantwortungsvoll beschafft wurden. Diese Anforderung kann ohne detaillierte Angaben der Lieferanten nicht erfüllt werden. Nach der NIS2-Richtlinie (EU) 2022/2555 müssen Organisationen Cybersicherheitsrisiken managen, einschließlich jener, die von Anbietern und Dienstleistern ausgehen. Sanktionsregelungen verlangen von Unternehmen zu wissen, mit wem sie Geschäfte machen, nicht nur intern, sondern auch im gesamten Partnernetzwerk.
In jedem Fall mag die Verantwortung bei einem Unternehmen liegen, die Umsetzung hängt jedoch von vielen ab.
Darin liegt der Kern der Lieferketten-Compliance für KMU: Auch wenn sie nicht primär im Fokus der Regulierung stehen, sind sie Teil des Systems, das Compliance erst ermöglicht.
Wie sich dies in der Praxis zeigt
Für viele KMU sind die Auswirkungen bereits sichtbar, auch wenn sie nicht als Regulierung bezeichnet werden.
Informationsanfragen werden häufiger und strukturierter. Unternehmen werden gebeten, Details zur Beschaffung, Eigentumsverhältnissen, Betriebsabläufen oder Risikobereitschaft anzugeben. Diese Anfragen kommen oft von Kunden, Partnern oder Vermittlern und nicht von den Regulierungsbehörden selbst.
Was sich geändert hat, ist nicht nur das Volumen dieser Anfragen, sondern auch die Erwartung dahinter. Es reicht nicht mehr aus, informell oder nach bestem Wissen und Gewissen zu antworten. Zunehmend wird erwartet, dass Informationen genau, konsistent und bei Bedarf verfügbar sind.
Dies erzeugt eine neue Art von operativem Druck. Die Herausforderung besteht nicht darin, Gesetzestexte zu interpretieren, sondern darin, zuverlässig und wiederholbar antworten zu können.
Das verborgene Problem: Fragmentierung
Die meisten KMU führen bereits eine Form der Due Diligence durch, sei es durch Onboarding-Prüfungen, Fragebögen oder interne Überprüfungen. Die Schwierigkeit besteht darin, dass diese Aktivitäten selten miteinander verbunden sind.
Informationen sind oft über Tabellen, E-Mails und Dokumente verteilt. Prozesse variieren je nachdem, wer die Anfrage bearbeitet. Im Laufe der Zeit führt dies zu einer Fragmentierung, bei der dieselben Daten mehrfach auf leicht unterschiedliche Weise gesammelt werden und es keine zentrale, verlässliche Datenquelle gibt.
Dieser Ansatz kann funktionieren, wenn Anfragen gelegentlich erfolgen. Er wird jedoch viel schwieriger zu handhaben, wenn die Erwartungen steigen und die Fristen kürzer werden.
In diesem Zusammenhang ist das eigentliche Risiko nicht die Nichteinhaltung im streng rechtlichen Sinne, sondern Inkonsistenz. Wenn Informationen nicht einfach abgerufen oder überprüft werden können, wird es schwierig zu beweisen, dass angemessene Prüfungen durchgeführt wurden.
Vom einmaligen Aufwand zum fortlaufenden Prozess
Eine weitere wichtige Änderung ist die Abkehr von einmaligen Prüfungen. Compliance wird zunehmend als fortlaufender Prozess und nicht als einmalige Aktivität behandelt.
Ein Lieferant wird nicht einfach einmal überprüft. Sein Status muss möglicherweise im Laufe der Zeit überwacht, aktualisiert und neu bewertet werden. Die Dokumentation muss gepflegt und nicht nur erstellt werden. Dasselbe gilt für Bereiche wie Sanktionsexposition, ESG-Indikatoren oder Cybersicherheitsrisiken.
Für KMU bedeutet dies nicht unbedingt mehr Arbeit. Es bedeutet, bestehende Aktivitäten so zu organisieren, dass sie wiederholt und gepflegt werden können, ohne jedes Mal bei Null anfangen zu müssen.
Hier beginnen viele Unternehmen, die Belastung zu spüren. Ohne eine klare Struktur können selbst einfache Prozesse zeitaufwendig werden.
Wie ein praktischer Ansatz aussieht
Lieferketten-Compliance für KMU erfordert keine komplexen Systeme oder große Teams. Sie erfordert Klarheit im Umgang mit Informationen.
Auf einer grundlegenden Ebene müssen Unternehmen wissen, mit wem sie zusammenarbeiten, relevante Informationen strukturiert sammeln und auf Anfragen reagieren können, ohne den Prozess jedes Mal neu aufbauen zu müssen. Ebenso wichtig ist es, eine Aufzeichnung dessen zu führen, was getan wurde, damit es bei Bedarf nachgewiesen werden kann.
Dies kann verhältnismäßig angewendet werden. Nicht jede Beziehung birgt das gleiche Risikoniveau, und nicht jede Anfrage erfordert die gleiche Tiefe der Antwort. Der Schlüssel ist Konsistenz, nicht Komplexität.
Wo KMU die Auswirkungen spüren
In den meisten Fällen ist die Herausforderung nicht das Bewusstsein. KMU verstehen, dass sich die Erwartungen ändern.
Die Schwierigkeit liegt in der Umsetzung. Informationen sind nicht zentralisiert, Prozesse sind nicht standardisiert und die Dokumentation ist bei Bedarf nicht immer zugänglich. Diese Lücken bleiben oft unsichtbar, bis sie auf die Probe gestellt werden, zum Beispiel während eines Beschaffungsprozesses oder einer Prüfung.
An diesem Punkt wird die Fähigkeit, schnell und klar zu reagieren, zu einem Wettbewerbsfaktor.
Fazit
Lieferketten-Compliance für KMU ist kein zukünftiges Problem. Sie prägt bereits, wie Unternehmen Informationen anfordern, teilen und überprüfen.
Der Wandel betrifft nicht die Komplexität, sondern die Struktur. Von informellen, einmaligen Antworten hin zu einfachen, wiederholbaren Prozessen.
Genau dieser Wandel macht Compliance für KMU handhabbar.
Häufig gestellte Fragen
EU-Vorschriften wie die Entwaldungsverordnung, die NIS2-Richtlinie und Sanktionsrahmen legen die Verantwortung bei einem Unternehmen fest, hängen jedoch von Informationen seiner Lieferanten ab, sodass die Anfragen eher von Kunden und Partnern als von Regulierungsbehörden kommen.
Die Fragmentierung. Due-Diligence-Informationen befinden sich in Tabellenkalkulationen, E-Mails und Dokumenten, Prozesse variieren je nach Person und dieselben Daten werden mehrfach ohne eine zentrale Informationsquelle erhoben.
Nein. Compliance wird zunehmend als fortlaufender Prozess behandelt: Der Status eines Lieferanten muss im Laufe der Zeit überwacht, aktualisiert und neu bewertet werden, und die Dokumentation muss gepflegt und nicht nur einmalig erstellt werden.
Wissen, mit wem man zusammenarbeitet, die relevanten Informationen einmal strukturiert erfassen, jede Anfrage auf Basis dieses Datensatzes beantworten und Nachweise über die durchgeführten Maßnahmen führen, wobei dies verhältnismäßig zum Risiko der jeweiligen Geschäftsbeziehung erfolgt.
SCREENING VON DRITTPARTEIENRISIKEN
QuickScreen360: Prüfen Sie Lieferanten und Partner auf Compliance-Risiken. Versenden Sie Sorgfaltsprüfungsanfragen, weisen Sie Schulungen zu und überwachen Sie Ergebnisse auf einer einzigen Plattform.