15. Mai 2026
Einführung
Lieferkettensorgfalt lässt sich nur dann verlässlich dokumentieren, wenn ein Unternehmen nachvollziehen kann, welcher Lieferant bewertet wurde, welches Risiko festgestellt wurde, welche Maßnahme daraus folgt und wer die Entscheidung freigegeben hat. Eine Unterschrift allein beantwortet diese Fragen nicht.
Für Einkauf und Compliance ist deshalb vor allem die Zuordnung entscheidend. Risikobewertung, Maßnahme und Freigabe sollten als getrennte Informationen geführt und mit demselben Lieferantenvorgang verbunden werden. So lässt sich später erkennen, worauf eine Entscheidung beruhte und ob eine vereinbarte Maßnahme tatsächlich weiterverfolgt wurde.
Dieser Leitfaden beschreibt einen praktikablen digitalen Ablauf für die Lieferantendokumentation: Lieferant und Prüfungsumfang festlegen, Risiken mit ihren Quellen erfassen, Maßnahmen und Folgetermine dokumentieren und anschließend die geprüfte Fassung freigeben. Welche gesetzlichen Sorgfaltspflichten im Einzelfall gelten, hängt vom Unternehmen, vom Sachverhalt und vom anwendbaren Recht ab.
Nota Sign kann in einem solchen Prozess die elektronische Freigabe und Signatur einer finalen Dokumentfassung unterstützen. In entsprechend konfigurierten Signaturprozessen stehen auch fortgeschrittene elektronische Signaturen (AES) und qualifizierte elektronische Signaturen (QES) im eIDAS-Kontext zur Verfügung. Das gewählte Signaturniveau ersetzt jedoch weder die Risikobewertung noch die fachliche oder rechtliche Prüfung.
Lieferant und Prüfungsumfang eindeutig festlegen
Am Anfang sollte klar sein, auf welchen Lieferanten und welchen konkreten Beschaffungsvorgang sich die Dokumentation bezieht. Name, relevante Gesellschaft oder Betriebsstätte, Lieferumfang sowie eine interne Lieferanten-, Vertrags- oder Bestellkennung schaffen diese Verbindung.
Ebenso wichtig ist der Prüfungsumfang. Statt eine pauschale „Lieferantenpflicht“ zu hinterlegen, sollte das Team festhalten, welche interne oder externe Anforderung für den konkreten Vorgang geprüft wird. Dadurch bleibt erkennbar, ob sich die Bewertung etwa auf einen bestimmten Lieferumfang, ein Land, eine Warengruppe oder eine definierte Risikokategorie bezieht.
Die Dokumentation gewinnt zusätzlich an Aussagekraft, wenn Verantwortlichkeit und Prüfdatum festgehalten werden. Diese Angaben sind Prozessnachweise; sie sollten nicht mit dem Ergebnis der Risikobewertung verwechselt werden.
Risiken mit Quelle und Kontext dokumentieren
Eine belastbare Risikodokumentation beschreibt nicht nur, dass ein Risiko besteht. Sie sollte auch zeigen, worauf die Einschätzung beruht und in welchem Kontext sie getroffen wurde.
Dazu können je nach internem Verfahren beispielsweise Risikokategorie, Beschreibung, Bewertungsstufe, Quelle und Datum gehören. Entscheidend ist, dass die Quelle mit dem Lieferantenvorgang verknüpft bleibt. So kann ein späterer Prüfer nachvollziehen, ob die Einschätzung auf Lieferantenangaben, internen Erkenntnissen oder anderen verfügbaren Nachweisen beruhte.
Eine Risikostufe ist dabei eine Bewertung, keine Maßnahme. Diese Trennung verhindert, dass ein hohes Risiko automatisch als erledigt gilt, nur weil bereits eine Reaktion dokumentiert wurde. Umgekehrt sollte eine Maßnahme nicht nachträglich als Begründung für die ursprüngliche Risikoeinschätzung dienen.
Maßnahmen aus dem festgestellten Risiko ableiten
Nachdem das Risiko dokumentiert ist, folgt die Entscheidung über die Reaktion. Eine Maßnahme sollte so beschrieben sein, dass sich später prüfen lässt, was passieren sollte, wer dafür verantwortlich war und bis wann ein Ergebnis erwartet wurde.
Statt nur „Lieferant informieren“ oder „Nachweis anfordern“ zu vermerken, ist eine konkrete Beschreibung hilfreicher: Welche Information oder Änderung wird verlangt? Wer verfolgt sie nach? Welcher Termin gilt? Woran erkennt das Team, dass die Maßnahme abgeschlossen ist?
Risiko und Maßnahme bleiben dabei getrennte Felder. Die Verbindung entsteht über den Lieferantenvorgang. Das ermöglicht auch den Fall, dass zu einem Risiko mehrere Maßnahmen gehören oder eine Maßnahme nach einer erneuten Bewertung angepasst werden muss.
Ein Folgetermin ist besonders wichtig, wenn die Maßnahme nicht sofort abgeschlossen werden kann. Ohne Wiedervorlage wird aus einer dokumentierten Reaktion schnell ein offener Punkt ohne überprüfbares Ergebnis.
Die geprüfte Fassung elektronisch freigeben
Die Signatur sollte sich auf eine klar definierte, finale Fassung der Sorgfaltsdokumentation beziehen. Vor der Freigabe sollte deshalb geprüft werden, ob Lieferant, Risikobewertung, Maßnahme, Verantwortlichkeiten und Folgetermine vollständig und dem richtigen Vorgang zugeordnet sind.
Die elektronische Signatur oder Freigabe dokumentiert anschließend, wer diese Fassung bestätigt hat. Sie bestätigt nicht automatisch, dass die Risikobewertung sachlich richtig ist oder dass eine gesetzliche Pflicht erfüllt wurde. Diese fachliche Entscheidung bleibt beim zuständigen Unternehmen und seinen verantwortlichen Stellen.
Für die spätere Nachvollziehbarkeit sollten die signierte Fassung und die im Signaturprozess erzeugten Zeit- und Signaturinformationen gemeinsam mit dem Lieferantenvorgang abgelegt werden. Eine bearbeitbare Arbeitsvorlage sollte davon getrennt bleiben, damit nicht unklar wird, welche Version tatsächlich freigegeben wurde.
Welche Nachweise im Lieferantenvorgang zusammengehören
Ein sinnvoll strukturierter Lieferantenvorgang verbindet die wesentlichen Informationen, ohne sie in einem einzigen Freitextfeld zu vermischen. Je nach interner Ausgestaltung kann die Dokumentation beispielsweise enthalten:
- Lieferanten- und Vorgangskennung;
- Prüfungsumfang und verantwortliche Stelle;
- Risikobeschreibung, Bewertungsstufe und Quelle;
- beschlossene Maßnahme, Verantwortlichen und Folgetermin;
- finale freigegebene Dokumentfassung;
- Signatur- oder Freigabeinformationen;
- Ergebnis einer späteren Nachkontrolle, sofern vorgesehen.
Diese Struktur erleichtert nicht nur interne Prüfungen. Sie hilft auch bei Änderungen: Wird ein Risiko neu bewertet oder eine Maßnahme angepasst, kann das Team erkennen, welche frühere Entscheidung ersetzt wurde und welche Fassung aktuell gilt.
Welche Nachweise erforderlich sind und wie lange sie aufbewahrt werden müssen, richtet sich nach den jeweils anwendbaren Vorgaben und der internen Dokumentations- und Aufbewahrungspraxis.
Freigabe und Nachkontrolle als getrennte Schritte behandeln
Die Freigabe schließt die Dokumentation einer Entscheidung ab, nicht zwingend die Maßnahme selbst. Deshalb sollte ein Lieferantenprozess zwischen Freigabe des aktuellen Stands und späterer Kontrolle des Ergebnisses unterscheiden.
Vor der Freigabe wird geprüft, ob Risiko und Maßnahme schlüssig zugeordnet sind und die Dokumentfassung vollständig ist. Nach Ablauf des vereinbarten Termins kann anschließend kontrolliert werden, ob der Lieferant den angeforderten Nachweis erbracht, eine Änderung umgesetzt oder eine andere vereinbarte Voraussetzung erfüllt hat.
Ein Einkaufsteam kann den Prozess beispielsweise so standardisieren: Es legt für einen Lieferanten einen Vorgang an, dokumentiert eine Risikoeinschätzung mit Quelle, ordnet eine konkrete Maßnahme und einen Folgetermin zu und lässt die geprüfte Fassung elektronisch freigeben. Die spätere Nachkontrolle wird als neuer Status im selben Vorgang dokumentiert. Dadurch bleibt die Entwicklung vom ersten Risiko bis zum Ergebnis nachvollziehbar.
Lieferantendokumentation im Einkauf standardisieren
Wiederkehrende Lieferantenprüfungen lassen sich effizienter steuern, wenn Risiko, Maßnahme, Verantwortlichkeit, Freigabe und Nachkontrolle in einem einheitlichen Workflow geführt werden. Entscheidend ist nicht möglichst viel Dokumentation, sondern eine klare Verbindung zwischen Entscheidung, Begründung und aktuellem Status.
Weitere Informationen zu digitalen Beschaffungsabläufen finden Sie auf der Nota Sign Lösungsseite Beschaffung. Wiederverwendbare Ausgangsdokumente lassen sich über die Vorlagenübersicht organisieren.
