Compliance Bootcamp – Lieferkettensorgfalt in der Praxis

Herzlich willkommen zu unserem ersten Compliance Bootcamp bei Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Wir starten heute mit der ersten Solo-Folge unserer Compliance-Bootcamps. Solo-Folge, das heißt, in Wahrheit gibt es heute nur mich. Und die Idee dahinter ist, dass wir in dieser Bootcamp-Folge oder dass ich in dieser Bootcamp-Folge spreche über … eigene Erfahrungen, über Herausforderungen, über praktische Umsetzungstipps, über Erfolge, ja, über Ideen im Zusammenhang mit Compliance. Das klingt jetzt möglicherweise ein bisschen wie eine Therapie. Nein, es ist keine Compliance-Therapie, sondern …

Das Bootcamp hat die Idee und hat auch den Anspruch, anzustupsen, Impulse zu setzen und auch zum Nachdenken anzuregen. Wenn wir nämlich jetzt an ein Bootcamp [00:01:30] denken und wenn wir da ein Bild kreieren von einem Bootcamp, dann macht ein Bootcamp etwas Neues, ganz Besonderes, und zwar: Ein Bootcamp schafft, dass sich jemand bewegt. Also ein Bootcamp bringt Menschen in Bewegung, ins Tun. Und genau dieses Tun und genau diese Bewegung, genau dieses Anpacken, das ist etwas, was uns Compliance Officer ausmacht. Das ist unsere natürliche DNA. Wir tun, wir übernehmen Verantwortung, und wir tun. Und das erste Tun [00:02:00] ist ja tatsächlich schon eine Einladung an alle Zuhörerinnen und Zuhörer, mir auch weiterhin Fragen zu schicken, Geschichten zu erzählen, Feedback zu geben.

Ich habe vor einigen Wochen auf LinkedIn, und zwar auf dem Kanal von Code of C, aufgerufen, eingeladen, mir tatsächlich Fragen aus der Praxis zu schicken, als Grundlage für diese Bootcamp-Folgen. Und ich muss sagen, vielen lieben Dank für die zahlreichen Zusendungen, vielen lieben Dank für das zahlreiche Feedback. Bitte weiterhin mir diese Impulse [00:02:30] schicken. Zum einen entweder per E-Mail unter podcast@loupe.at oder direkt über LinkedIn, entweder über meinen eigenen LinkedIn-Kanal oder über den .LOUPE-Kanal oder über den LinkedIn-Kanal von Code of C. So, und aufmerksame Hörerinnen und Hörer, die … wissen, dass jetzt an dieser Stelle immer so ein Hinweis auf unser wiederkehrendes Element kommt, nämlich unseren Mutmacher.

Und ich habe im Zusammenhang mit der Konzeption dieser [00:03:00] Solo-Folgen lange überlegt, ob ich mir denn in diesen Solo-Folgen auch Alkohol gönne. Das kommt mir nur persönlich jetzt ein bisschen komisch vor, wenn ich mir für Selbstgespräche Mut antrinken müsste. Das ist auch der Grund, warum ich es nicht mache, warum wir in den Solo-Folgen auf den Mutmacher verzichten.

Ich trinke heute Wasser und ein bisschen Red Bull. Aber nichtsdestotrotz gibt es ein neues, wiederkehrendes Element. Und zwar gibt es, bevor wir in [00:03:30] das heutige Bootcamp-Motto nämlich einsteigen, und zwar, das Motto ist „Lieferkettensorgfalt in der Praxis“, gibt es unsere neue Code-of-C-Empfehlungsrunde. In den Bootcamp-Folgen gibt es nämlich statt dem Check-in immer eine kleine persönliche Empfehlung von mir. Meine heutige Empfehlung, die betrifft die Jahrestagung [00:04:00] Compliance von ARS. Am 10. April 2025 findet in Wien die Jahrestagung Compliance von ARS mit und von Andrea Pilecky und Roman Sartor vom rosa elefant statt. Die Jahrestagung von ARS ist sicher eine der wichtigsten und besten, inhaltlich besten Veranstaltungen im Bereich Compliance in Österreich.

Es sind ganz viele Expertinnen und Experten, ganz viele Praktikerinnen und Praktiker, und alle vor Ort. Ich habe das Glück [00:04:30] und diesmal auch die Ehre, einen Workshop zu leiten. Es würde mich daher ganz besonders freuen, wenn wir uns vor Ort in Wien am 10. April persönlich treffen und kennenlernen. Unser heutiges Motto in dieser Bootcamp-Folge ist ja „Lieferkettensorgfalt in der Praxis“. Wir haben diesbezüglich, oder ich habe diesbezüglich mit meinem Gast Thomas Baumgartner von [00:05:00] Haslinger Nagele Rechtsanwälte in der achten Folge ja schon über die Chancen und über die Herausforderungen bei der Umsetzung der Lieferkettensorgfalt gesprochen. Im Nachgang haben mich dann tatsächlich sehr viele Nachrichten erreicht, wie denn ich das Thema in der Praxis umsetze, wie ich herangehe, was ich mache, welche Systeme ich verwende, welche Prozesse ich entwickelt habe, wie wir in dem Unternehmen, in dem ich tätig bin, tatsächlich Lieferkettensorgfalt auch gewährleisten.

Und weil dieses Bootcamp ja immer auch so ein bisschen ganz, oder den Fokus hat auf [00:05:30] ganz viel Praxis und wir auch wirklich ins Tun kommen wollen, sprechen wir heute über die Lieferkettensorgfalt in der Praxis, nämlich in meiner eigenen Praxis. Und wichtig, bevor wir das tun, bevor wir jetzt quasi inhaltlich nochmal in dieses Thema einsteigen, sollte man bei der Lieferkettensorgfalt wissen, in a nutshell: Es geht um die Wahrung der Menschenrechte, und es geht um den Schutz der Umwelt. So, für mich gibt es bei der praktischen Umsetzung zur Lieferkettensorgfalt, gibt es für mich fünf Schritte. Das sind fünf Schritte, die wir tatsächlich [00:06:00] in dem Unternehmen, in dem ich als Compliance Officer tätig bin, auch selbst so umgesetzt haben.

Der erste und vermutlich der wichtigste Schritt bei dem Thema Lieferkettensorgfalt ist tatsächlich: Die Lieferkettensorgfalt muss in die DNA des Unternehmens einfließen. Und wenn ich von der DNA des Unternehmens spreche, dann spreche ich ja insbesondere von der Governance. Es geht darum, einen rechtlichen Rahmen oder überhaupt einen Rahmen zu schaffen, einen Rahmen zu gewährleisten, zum Ziel eines

sorgfältigen Unternehmertums. Und wenn die Lieferkettensorgfalt eine rechtliche [00:06:30] Verpflichtung ist und das Ziel, nämlich die Wahrung der Menschenrechte und der Schutz der Umwelt, auch etwas ist, wo man eigentlich eine intrinsische Motivation auch haben müsste, etwas, was uns als Mensch auch in Wahrheit ausmacht, dann ist das Erste, was man tut: Man schaut einmal, welche Regelungen zu diesem Thema habe ich denn eigentlich bei dem wohl wichtigsten Dokument, nämlich dem Code of Conduct. Der Code of Conduct ist das wichtigste Compliance-Dokument, und Compliance ist, und das wissen wir, Teil der Governance. Das heißt, im ersten [00:07:00] Schritt, was haben wir gemacht? Wir haben uns unseren Code of Conduct angeschaut und haben überprüft: Wie haben denn wir die Wahrung der Menschenrechte und den Schutz der Umwelt verankert?

Wie ist das bei uns im Dokument verankert? Und mittlerweile ist es, wenn man sich nämlich jetzt andere Dokumente oder auch Code of Ethics, Verhaltensgrundsätze, Code of Conducts anderer Unternehmen anschaut, auch unseren eigenen, wenn man sich das anschaut, dann kommt man darauf, dass, Gott sei Dank, diese beiden Punkte, die Wahrung der Menschenrechte, Schutz der Umwelt, eigentlich eh Standard sind. Und jetzt haben wir aber gelernt, dass [00:07:30] wir, wir haben quasi nur den Verweis gehabt, wir haben gesagt, wir wahren die Menschenrechte, wir schützen die Umwelt. Im Glauben, dass das eigentlich ausreicht und dass das eigentlich genau das aussagt, was uns und unser Unternehmen auch ausmacht. Wir haben aber dann gelernt, dass insbesondere mit der Umsetzung damals des deutschen Lieferkettensorgfaltspflichtengesetzes das Thema auch sehr formalistisch betrieben wird.

Wir haben ganz viele Fragebögen von Unternehmen bekommen, mit denen wir Vertragsbeziehungen gehabt haben, mit denen wir in einer Partnerschaft waren, die uns natürlich gefragt haben: [00:08:00] Schickt uns einmal euren Code of Conduct, wie schauen bei euch die Themen Menschenrechte und Umweltschutz aus? Und jetzt ist in unserem Code of Conduct dringestanden: Wir wahren die Menschenrechte, wir schützen die Umwelt. Für uns völlig logisch, dass wir damit natürlich genau die Zielsetzung abgedeckt haben. Jetzt sind zwei Dinge zurückgekommen, und ich muss sagen, nicht nur von einem Vertragspartner. Der erste Punkt war: Wir finden das Wort „Grundsatzerklärung“ nicht. So. Das zeigt tatsächlich den formalistischen Ansatz oder dieses eher [00:08:30] formalistische Problem.

Auch wenn drinnen steht, für was steht man als Unternehmen, wer sind wir als Unternehmen, was ist für uns wichtig, dass es trotzdem darauf ankommt, offensichtlich bei einer Prüfung, ob „Grundsatzerklärung“ draufsteht oder nicht. Das heißt, das war unser erstes Learning. Sinnerfassendes Lesen ist scheinbar eine Kunst, die nicht jeder beherrscht. Aus dem Grund haben wir gesagt, wenn das so wichtig ist, dann ergänzen wir unseren Code of Conduct um das Wort „Grundsatzerklärung“. Das war der erste Punkt. Der zweite

Punkt war, dass der Verweis [00:09:00] nicht ausreichend war. Vielmehr wollte man, dass genau die Dinge, die geregelt sind in der EMRK, in der Grundrechtecharta, auch explizit angeführt werden. Es hat nicht ausgereicht, dass man gesagt hat, wir wahren die Menschenrechte, sondern wir mussten tatsächlich aufführen, anführen, was wir darunter verstehen. Auch da könnte man sagen, es ist ein sinnerfassendes Lesen, aber das war für uns tatsächlich ein noch größeres Learning, weil wir haben uns dann Gedanken darüber gemacht, [00:09:30] wie können wir dieses Thema tatsächlich viel sichtbarer machen und mit unserem eigenen Verständnis, wer wir als Unternehmen sind, verbinden. Und wir haben damals in diesem Zusammenhang beschlossen, dass wir als Compliance den Beitritt des Unternehmens zum UN Global Compact vorantreiben möchten und dass wir das vorschlagen.

Warum? Weil das zehn Prinzipien umfasst, oder der UN Global Compact umfasst zehn Prinzipien, die wir als Unternehmen ja sowieso umsetzen, zu denen wir uns ja sowieso [00:10:00] verpflichten. Da steht ja jetzt nichts drinnen, was verwerflich wäre, sondern das ist tatsächlich etwas, was ein wertebasiertes, ein integres Unternehmen ja sowieso macht. Und aus dem Grund war es für uns nur denklogisch, dass wir als Compliance das auch vorantreiben. Das heißt, wir sind als Unternehmen … dem UN Global Compact beigetreten und haben uns diesen Prinzipien, diesen zehn Prinzipien, auch verschrieben. Das haben wir dann in den Code of Conduct mit aufgenommen. Wir haben auch die Grundprinzipien zum Beispiel der [00:10:30] ILO mit aufgenommen, denen wir uns auch verpflichtet fühlen, und haben die Menschenrechte oder auch diese einzelnen Punkte, die für andere Unternehmen so wichtig waren, wie das Verbot der Kinderarbeit, das Verbot von Folter und Sklaverei, das haben wir mit aufgenommen, um ein runderes Bild zu schaffen und uns quasi …

Oder das Werteverständnis von dem Unternehmen, in dem ich tätig bin, auch tatsächlich sichtbar nach außen zu tragen. Das war das erste Learning. Wir mussten am Wording etwas ändern. Wir hatten zwar das richtige [00:11:00] Verständnis, wir mussten aber im Rahmen der Governance, im Rahmen der Bearbeitung unserer wichtigsten Dokumente, diese Punkte anpassen. Die nächste Diskussion in dem Zusammenhang, wenn wir schon beim Code of Conduct sind, war die Diskussion: Belassen wir es bei einem Code of Conduct, oder machen wir einen zweiten Code of Conduct, nämlich einen für Lieferanten? Vielleicht ein kleiner Praxistipp an dieser Stelle: Wir haben es tatsächlich getrennt. Wir haben einen Code of Conduct für Mitarbeiterinnen und Mitarbeiter, und wir haben einen Code of Conduct für [00:11:30] Lieferanten.

Warum? Weil die Zielgruppe ja eine andere ist. Die Zielgruppe der Lieferanten, da habe ich ganz andere Regelungen drinnen und auch ganz andere Mechanismen drinnen. Ich möchte in einem Code of Conduct für meine Lieferanten mein Werteverständnis, meine Verhaltensgrundsätze natürlich auch in meiner Lieferkette sichergestellt wissen.

Das heißt, ich muss in Wahrheit in dieses Dokument auch mit aufnehmen, oder zumindest war das unser Verständnis, mit aufnehmen, welche Rechte und Pflichten gehen damit einher. [00:12:00] Nämlich auch die Pflicht, an Assessments teilzunehmen, das Recht für uns als Unternehmen, auch Kontrollen und Audits durchzuführen, und möglicherweise auch gesonderte Kündigungsrechte oder auch tatsächlich die Konsequenzen schon darin beschrieben, mit Sanktionen, Anzeigen bei den Behörden, Auflösung von Vertragsbeziehungen, Schadenersatz und Sonstiges. Das heißt, wir haben ein rundes Bild geschaffen, sowohl für Unternehmen, für die Businesspartner, als auch für die Mitarbeiterinnen und [00:12:30] Mitarbeiter. Das war für uns wesentlich.

Wir haben den bestehenden Code of Conduct überarbeitet und haben einen neuen Code of Conduct für Lieferanten geschaffen. Als nächsten Schritt haben wir unsere Verträge überarbeitet. Jetzt habe ich das Glück, dass ich nicht nur die Compliance verantworte, sondern auch die Rechtsabteilung verantworte und somit auch verantwortlich bin für die Templates. Wir haben uns unsere Einkaufsbedingungen angeschaut und haben in diese Einkaufsbedingungen einen Verweis auf diesen neu geschaffenen Code of Conduct für Supplier gemacht, um [00:13:00] den Code of Conduct auch zu einem integrierten Bestandteil unseres Vertragswerkes zu machen, und haben aber zusätzlich in das Vertragsdokument Sonderkündigungsrechte, Sonderaudit- und Kontrollrechte mit aufgenommen.

Wir hatten überlegt, auch Vertragsstrafen mit aufzunehmen bei der Verletzung dessen, was im Code of Conduct vereinbart wurde. Auf das haben wir dann verzichtet. Wir haben aber diese Kündigungsrechte bzw. diese Rücktrittsrechte, die verteidigen wir ganz streng, weil es für uns ein wichtiges [00:13:30] Instrument ist. Insbesondere, weil für uns Integrität nicht verhandelbar ist. Also die Verletzung der Menschenrechte ist etwas, das ist nicht verhandelbar, weil es ist auch kein Business Case. Und aus dem Grund sind genau diese Dinge, dass wir auch aus diesen Verträgen wieder rauskommen, das war für uns ganz wichtig. Also im ersten Schritt vielleicht ganz einfach: Es muss in die DNA des Unternehmens, es muss in der Governance stattfinden.

Das war für uns der Code of Conduct: den überarbeiten, einen neuen Code of Conduct schaffen und unsere Verträge anpassen. [00:14:00] Nachdem wir dann quasi die Grundlagen geschaffen haben für uns selbst und für unsere Vertragspartner, sind die ersten Ideen gekommen mit: Wir müssen jetzt eine Datenbank anschaffen, damit wir tatsächlich auch ein rundes Bild über die Risiken erhalten. An dieser Stelle vielleicht ein kurzer … Hinweis von mir, wie ich das handhabe oder wie ich das Thema Lieferkettensorgfalt auch verstehe. Die Lieferkettensorgfalt ist etwas, wo ich mir tatsächlich mein subjektives Risiko in meiner Lieferkette anschauen muss. [00:14:30] Da ist das Sich-darauf-Verlassen, was in einer Datenbank drinnen steht, nicht wichtig …

Ausreichend, aus meiner persönlichen Sicht. Es ist nicht ausreichend, sich nur darauf zu verlassen, was mir irgendeine Datenbank als objektiviertes Risiko auswirft. Weil

objektiviertes Risiko kann mir nie sagen: Betrifft das mich im Detail, und wenn es mich betrifft, wie hoch betrifft mich denn dieses Risiko? Das heißt, es bleibt ja sowieso nicht aus, dass ich mich als Unternehmen mit diesem tatsächlichen Risiko auch [00:15:00] auseinandersetze. Das heißt, dieses „Kaufen wir uns oder lizenzieren wir uns eine Datenbank“, als in Wahrheit auch als erster Hilfeschrei, um diesem Thema auch gerecht zu werden oder Herr zu werden, das haben wir dann unterbunden, weil wir gesagt haben, nein, das werden wir nicht machen, das ist in Wahrheit ein Blödsinn. Für uns war zu diesem Zeitpunkt nämlich klar, wir müssen es nach einer gewissen Schrittkette machen. Diese Schrittkette ist: People, Process, Software.

Das heißt, wenn wir uns jetzt um People kümmern und wenn der erste Schritt das Thema [00:15:30] People ist, dann kann der zweite Schritt, erster Schritt Governance und DNA, zweiter Schritt nur sein: Wer ist denn für das Thema verantwortlich? Und diese Diskussion, wer verantwortet denn diese Supplier Due Diligence, wer macht denn das, diese ganze Überprüfung, wer geht denn in den Kontakt, wer verantwortet denn das ganze Thema Verantwortung in der Wertschöpfung oder in der Lieferkette, das war der nächste Punkt, den wir zu klären hatten. Und es gibt ganz viele Unternehmen, und ich bin im Austausch mit ganz vielen Compliance Officern, die sagen: [00:16:00] Bei uns ist das Thema Lieferkettensorgfalt natürlich eine Aufgabe des Einkaufs.

So. Und dem halte ich tatsächlich ein bisschen entgegen, dass ich die Compliance in der Verantwortung sehe. Weil eine Stärke der Compliance ist natürlich, dass wir vernetzt denken, dass wir Brücken bauen und dass wir alleine nicht erfolgreich sind. Niemand ist alleine erfolgreich. Aus dem Grund sind wir es ja gewohnt, mit Verbündeten zu arbeiten und auch Verantwortung zu übertragen. Wir als Compliance, wir übernehmen Verantwortung, wir übertragen aber auch [00:16:30] Verantwortung, nachdem wir sichergestellt haben, dass dort, wo wir die Verantwortung hingeben, auch ein entsprechender Kompetenzaufbau stattgefunden hat. Natürlich können wir dieses Thema Lieferkettensorgfalt ohne den Einkauf nicht bewältigen.

Das heißt, man braucht natürlich den Einkauf. Aber was für uns schon ganz wichtig war und was für mich persönlich sehr wichtig ist, ist: Wir müssen dieses Thema, wir müssen dieses Spannungsfeld auflösen, weil jetzt sind die Kolleginnen und Kollegen im Einkauf tagtäglich mit den Lieferanten in Kontakt. Das heißt, [00:17:00] da gibt es natürlich Beziehungen. Da gibt es Beziehungen, und da gibt es natürlich Verbindungen. Das ist völlig natürlich. Und jetzt kommen wir mit unserer Überprüfung und würden plötzlich feststellen, dass es da Verstöße gibt. Wir würden plötzlich feststellen, dass es Punkte gibt, die für uns nicht passen. Und dann müsste ich die Person, die … tagtäglich mit dem Lieferanten zusammenarbeitet, auch das Thema abklären lassen: Wie gehen wir denn da jetzt damit um, wenn irgendein Punkt, irgendein Thema nicht passt?

Und um die Kolleginnen oder den Kollegen im [00:17:30] Einkauf aus diesem Spannungsfeld zu nehmen und auch diese Interessenkonflikte gar nicht zuzulassen, war es für uns, oder ist es auch für mich persönlich, nur klar, dass das gilt, dass man das nur schafft, wenn die Compliance-Abteilung, die Compliance-Organisation auch tatsächlich den Lead übernimmt für die Gewährleistung der Lieferkettensorgfalt, also für diesen Prozess. Nur: Wir brauchen den Einkauf, weil der Einkauf muss in Wahrheit die erste Risikoanalyse vornehmen. Die Punkte für die Risikoanalyse … die kommen von der Compliance-Organisation: Was ist denn für uns ein [00:18:00] Risiko? Den Prozess verantworten tut die Compliance. Den Integrity Check, das heißt, wenn einmal Lieferanten als kritisch oder als etabliert identifiziert worden sind, das Sich-wirklich-Auseinandersetzen mit dem Lieferanten, das Wirklich-ins-Gespräch-Gehen, das wirklich aktive Überprüfen, das macht die Compliance.

Und wenn wir dann noch … sagen, wir wollen wirklich auditieren, wir wollen wirklich uns das vor Ort anschauen, wir wollen wirklich ins Detail gehen, dann bedienen wir uns unserer Quality-Abteilung, nämlich die, die [00:18:30] sowieso standardmäßig zu den Lieferanten fahren, um Produktionsanlagen, Prozesse und Sonstiges zu auditieren. Das heißt, die nehmen das Thema mit. Das Thema Lieferkettensorgfalt ist also eine gemeinsame Verantwortung. Das ist ein Teamprojekt unter dem Lead der Compliance-Organisation. Das heißt, beim Thema People haben wir in Schritt 2: Wer ist verantwortlich? Festgelegt: Die Compliance ist im Lead, der Einkauf unterstützt und macht die Risikoanalyse, quasi die initiale Risikoanalyse, und die [00:19:00] Quality-Abteilung unterstützt uns.

Und nachdem wir gewusst haben, wer die Verantwortung übernimmt und wie auch da die Prozesskette sein soll, haben wir angefangen, ein Dokument zu schaffen, nämlich eine Richtlinie zur Verantwortung in der Wertschöpfung, wo wir genau diesen Prozess betrachten, wo wir ihn niedergeschrieben haben und wo wir auch die Risiken definiert haben. Und da kommen wir schon zum Schritt 3. Erster Schritt die DNA, zweiter Schritt: Wer ist verantwortlich? Dritter Schritt: die Risikoanalyse. Es ist in der Risikoanalyse bei uns wichtig gewesen, zu [00:19:30] identifizieren: Welche Lieferanten sind denn für uns kritisch? Und ich kann gleich beruhigen, auch dieser Aufschrei mit „Das ist ein Aufwand, den man nicht bewältigen kann“:

Es ist ein Aufwand, den man bewältigen kann, weil es sind auch nicht alle Lieferanten zu prüfen. Es sind nur die Lieferanten zu prüfen, die tatsächlich auch wesentlich für die Wertschöpfung sind. Das heißt, dieses klassische Beispiel mit „Muss ich denn jetzt den Lieferanten prüfen, bei dem ich das Klopapier beziehe?“: Wenn das für deine Wertschöpfung relevant ist, dann ja, wenn es nicht für deine Wertschöpfung relevant ist, musst du den nicht [00:20:00] aktiv prüfen. Wenn du irgendwo aus den Medien oder sonst wo identifizierst, dass es dort ein Thema gibt, dann wirst du sowieso, oder zum Beispiel die Verletzung von Menschenrechten, dann wirst du eh darauf reagieren, aber primär im

Sinne eines Risk-based Approachs muss man nur die Lieferanten prüfen, die tatsächlich für die Wertschöpfung relevant sind. So, und das sind dann auf einmal keine 5.000 mehr. Und was wir dann gemacht haben: Wir haben in dieser Richtlinie auch identifiziert, wie finden wir denn raus, wer von diesen Lieferanten, die für die Wertschöpfung relevant sind, [00:20:30] auch tatsächlich kritisch ist. Da braucht man nur keine Datenbank zukaufen. Weil genau diese Informationen, die habe ich ja eigentlich alle bei mir im Haus. Wenn ich jetzt ein ERP-System habe, zum Beispiel SAP, dann finde ich genau die Daten und genau diese Risikopunkte, die ich jetzt dann sage, die finde ich alle bei mir in der Datenbank.

Die finde ich alle bei mir in meinen eigenen Systemen. Und wenn ich sie nicht finde, habe ich wahrscheinlich an der einen oder anderen Stelle meine Hausaufgaben nicht gemacht. So, der Einkauf identifiziert die [00:21:00] kritischen Lieferanten nach folgenden Risiken. Das Erste ist, wir nennen es zum Beispiel etablierte Geschäftsbeziehung. Das ist für uns eine Geschäftsbeziehung, die länger ist als zwölf Monate. Das heißt, wir haben einen zeitlichen Bezug, also einen Zeitbezug. Dann fragen wir: Wie hoch ist denn der Anteil an der Wertschöpfung? Das heißt, wir schauen uns auch einen Umsatz an. Wir schauen uns an das Länderrisiko: Wo sind denn die Lieferanten? Das heißt, wir haben Länder identifiziert, die wir als kritisch erachten. Haben wir ein Länderrisiko, haben wir ein [00:21:30] Branchenrisiko, ist der Lieferant in einer kritischen Branche, haben wir mit dem Lieferanten möglicherweise ein Produkt- oder ein Rohstoffrisiko, ist es etwas, wo Rohstoffe zum Beispiel auch aus der POP-Liste möglicherweise bezogen werden, wo sich das Risiko durch unsere Lieferanten erhöht, das heißt ein Produkt- oder Rohstoffrisiko. Und was für uns natürlich ein zusätzliches Risiko war, ist: Ist es ein Lieferant, der Single Source ist?

Also ist es ein Lieferant, der eine wesentliche Komponente zur Verfügung stellt, aber verbunden damit, dass er unser [00:22:00] einziger Lieferant ist. Und da muss man sagen, diese Punkte, es sind sechs Punkte, also etablierte Geschäftsbeziehung, der Zeitbezug, umsatzbezogen, Länderrisiko, Branchenrisiko, Produkt-/Rohstoffrisiko und Single Source, das sind die Punkte, nach denen unser Einkauf identifiziert: Ist ein Lieferant kritisch oder nicht? Und wenn ein Lieferant als kritisch identifiziert wird, heißt das immer noch nicht, dass er tatsächlich ein Risiko für uns ist, aber es bedeutet in einem vierten [00:22:30] Schritt, und somit jetzt der vierte Schritt, dass diese Lieferanten in den Integrity Check müssen.

Erst da, ab diesem Zeitpunkt, setzen wir auf eine Software. Den Integrity Check, den machen wir softwareunterstützt. Wir arbeiten bei diesem Schritt mit .LOUPE. Bei .LOUPE erhalten die Lieferanten ein eigenes Compliance-Profil zugewiesen, und in diesem Softwareprofil, im Compliance-Profil, haben wir als Compliance-Organisation die Möglichkeit, unsere Standarddokumente zu hinterlegen.

Das [00:23:00] heißt, da ist der Code of Conduct für Supplier hinterlegt, da ist auch die Richtlinie hinterlegt, damit der Prozess auch transparent für den Lieferanten ist. Da ist auch die POP-Liste hinterlegt, damit die Lieferanten, die jetzt nicht so firm sind mit einer POP-Liste, diese auch sofort finden. Das heißt, wir stellen dort unsere Dokumente zur Verfügung. Wir haben in diesem Profil … aber auch unsere Fragebögen drinnen, wir haben, in diesen Fragebögen geht es zum Beispiel um die Menschenrechte, es geht um Arbeitssicherheit, es geht um Compliance, es geht um Umweltschutz, und diese Fragebögen werden [00:23:30] automatisiert durch das System gestaltet, ausgeschickt, aber nicht gesondert, sondern es wird der Link zum Profil ausgeschickt, und der Lieferant wird eingeladen, sein Compliance-Profil zu befüllen und in diesem Zuge auch die Fragebögen zu beantworten.

Die Fragebögen, die haben alle einen Score, also jede Frage hat eine Bewertung, und jeder Fragebogen hat einen Score, und bei der Beantwortung der Fragen hat der Lieferant die Möglichkeit, seine Dokumente hochzuladen, seinen Code of Conduct, seinen Nachhaltigkeitsbericht, seine ISO-Zertifikate und Sonstiges. Das wird im Profil sofort [00:24:00] ausgewiesen. Wenn die Fragebögen beantwortet sind, kriegen wir als Compliance-Organisation pro Fragebogen sofort die Auswertung. Als Kriterien haben wir Professional, das ist, wenn der Fragebogen grün ist. Wir haben Advanced, das ist eine Stufe darunter, das ist quasi auf einer Ampel, würde ich mal sagen, gelb. Wir haben Beginner, das ist rot. Und wir haben Tiefrot, das ist Declined, also abgelehnt.

Das System macht pro Fragebogen eine Bewertung, das System macht aber [00:24:30] auch eine Gesamtbewertung. Das heißt, ich kriege ein Gesamtbild über diese Punkte, die wichtig sind, die wir durch diese Fragebögen abbilden. Der Lieferant hat aber auch die Möglichkeit, dass er zusätzlich zum Beispiel ein EcoVadis-Rating einträgt. Bei uns in der Branche ist es üblich, dass Lieferanten ein EcoVadis-Rating haben. Aus dem Grund haben wir gesagt, es ist uns wichtig, dass die Lieferanten auch ein bestehendes EcoVadis-Rating eintragen können, als zusätzliche, als zusätzliche Quelle für uns oder als zusätzliche Grundlage für uns, eine Entscheidung zu treffen: [00:25:00] Gehen wir mit einem Lieferanten, ja oder nein, ist er kritisch oder ist er nicht kritisch?

Und man muss jetzt an der Stelle auch tatsächlich sagen, es gibt Lieferanten, denen ist es egal, wenn wir Fragebögen schicken, die schicken uns einfach nur das EcoVadis-Rating. Das heißt, irgendeine Grundlage für eine Entscheidung brauche ich, und dann habe ich zumindest, wenn ich keine Gesamtbewertung habe, habe ich zumindest das EcoVadis-Rating drinnen. Und als dritte Entscheidungsgrundlage haben wir noch den CPI, also den Corruption Perceptions Index, hinterlegt. Der, verbunden mit dem Ländercode, uns auswirft: Ist [00:25:30] es ein Land, das ein hohes Korruptionsrisiko hat? Damit ich zusätzlich im Integrity Check noch ein gewisses Länderrisiko mit abfragen kann. So, diese drei Punkte sind meine Entscheidungsgrundlage.

Wenn der Lieferant jetzt irgendwelche Fragen hat oder wenn ich als Compliance-Organisation Fragen habe, dann ist im Compliance-Profil auch tatsächlich gleich ein Chatfenster drinnen. Das heißt, über dieses Chatfenster können wir kommunizieren, können Rückfragen stellen, können Dokumente hin und her schicken, und wenn sich dann herausstellen würde … dass bei einem Lieferanten [00:26:00] Korrekturmaßnahmen notwendig sind, dann ist auch im System sofort ein Bearbeitungsfeld drinnen, wo ich als Auftraggeber Korrekturmaßnahmen eintragen kann, die durch den Lieferanten auch verwaltbar sind. Das heißt, er kann sagen: Das ist identifiziert, das ist in Bearbeitung, der Status ist abgeschlossen. Das heißt, auch der Lieferant hat die Möglichkeit, hier einzuwirken, mir mitzuteilen, dass er die Korrekturmaßnahmen umgesetzt hat, innerhalb einer Frist, oder dass eine Fristverlängerung notwendig ist, das schreibt er mir über den Chat, aber auf jeden Fall kriege ich die Information.

Das heißt, ich verwalte in [00:26:30] Wahrheit den gesamten Prozess in einer Plattform oder zumindest auf einer Seite. Das ist, wie wenn der Lieferant und wir einen gemeinsamen Schreibtisch hätten, über den wir diese gesamte Überprüfung auch machen, abbilden. Bei uns ist es so, dass wir in unserer Richtlinie auch drinnen stehen haben: Wie gehen wir denn vor mit den Freigaben? Weil eines macht das System auch, und das war uns ganz wichtig: dass die Gesamtbewertung immer das schlechteste Rating der Fragebögen auswirft. Warum ist das [00:27:00] wichtig? Weil was ist, wenn ein Lieferant bei all den Fragebögen auf Professional ist, grün, nur bei dem Fragebogen, wo es um die Menschenrechte geht, da ist er Declined, weil er die Menschenrechte verletzt?

Dann kann ich ja nicht sagen: Du bist eh überall super, Gott sei Dank recycelst du. In Summe würde sich dann ein Gelb ausgehen, weil du bist überall grün, und grün und rot ergibt gelb, das heißt, das geht eh. Nein. Wenn jemand die Menschenrechte verletzt, ist es unerheblich, ob er auch recycelt. Das war die Idee dahinter. Und darum haben wir gesagt, wenn ein Fragebogen schlecht ist, dann ist auch die [00:27:30] Gesamtbewertung schlecht. Sie richtet sich immer nach der schlechtesten Bewertung. Also, wir haben zu diesem Zeitpunkt, wenn ein Fragebogen Declined wäre, die verpflichtende Einbindung der Geschäftsführung. Das heißt, wir als Compliance-Organisation, wir teilen dann dieses Profil mit der Geschäftsleitung, mit einer entsprechenden Handlungsempfehlung.

Das heißt, wir würden, wenn Korrekturmaßnahmen hinterlegt sind, auch der Geschäftsführung die Information geben und die Handlungsempfehlung durchführen, mitteilen, dass vorbehaltlich der Umsetzung der Korrekturmaßnahme diesem [00:28:00] Lieferanten in der Zwischenzeit die Freigabe zu erteilen ist, und diese Info geben wir dann weiter an den Einkauf. Es sagt auch das Gesetz nicht, dass ich sofort die Geschäftsbeziehung beenden muss. Das ist das absolut letzte Mittel, das ist die absolute Eskalation. Für uns ist es wichtig, dass wir da auch einen Kompetenzaufbau schaffen, weil wir wollen ja in Wahrheit einen

gleichwertigen Standard auch bei unseren Lieferanten und bei uns in der Lieferkette wissen. Wenn wir, ich habe es ja vorhin schon gesagt, auch die Quality-Abteilung arbeitet damit, wenn die vor Ort Audits [00:28:30] machen, dann laden die uns auch diese ganzen Protokolle im System hoch. Das heißt, ich habe als Compliance-Organisation tatsächlich ein rundes Bild, was die Integrität des Lieferanten betrifft. Und ich bin sehr dankbar, dass der Rücklauf sehr gut ist. Ich bin sehr dankbar, dass wir Lieferanten haben, die verstehen, wie wichtig uns das ist, die auch verstehen, dass es eine gesetzliche Notwendigkeit ist, die tatsächlich auch mit uns in den Austausch gehen, was uns natürlich in der Compliance hilft, das Leben irrsinnig erleichtert, weil wir auf die Informationen, die wir zurückbekommen, auf [00:29:00] die Gespräche, die wir führen, wir darauf vertrauen können, dass wir tatsächlich eine sehr integre Lieferkette haben.

Wie gehen wir damit um, dass wir die Lieferanten unserer Lieferanten ja auch noch prüfen müssen im nächsten Schritt? Wie sind wir das überhaupt angegangen? Das habe ich vorher noch nicht gesagt. Wir sind in Tranchen vorgegangen. Wir haben jetzt auch nicht alle identifizierten Lieferanten auf einmal eingeladen, auf ihr Compliance-Profil einzusteigen und die Fragen zu befüllen, sondern wir haben es in Tranchen gemacht. Wir sind quasi Schritt für Schritt vorgegangen, warum: Irgendjemand muss es auch abarbeiten. Aus dem Grund haben wir [00:29:30] das in Tranchen gemacht, und das werden wir auch bei den Lieferanten unserer Lieferanten machen. Wir bedienen uns hier aber auch der Unterstützung der Außenhandelsstellen und der Wirtschaftskammern, weil gerade dort, wo wir nicht direkt einen Zugriff haben auf die Lieferanten unserer Lieferanten, holen wir uns schlichtweg Informationen, und da muss man wirklich sagen, die Außenhandelsstellen sind eine wirklich, wirklich großartige Unterstützung für die Unternehmen in diesem Land.

Hilft uns ungemein, ist wirklich, wirklich ganz, ganz toll. So, das [00:30:00] heißt, wir haben diesen Schritt in Wahrheit auch abgebildet, und somit haben wir den ersten, den zweiten, den dritten, den vierten. Und im fünften Schritt, da geht es nur um den Beschwerdemechanismus. Der Beschwerdemechanismus, das war für uns einfach nur der Hinweis mit dem Hinweisgebersystem. Wir hatten das Hinweisgebersystem ja sowieso schon. Jetzt haben wir das Glück, dass wir auch beim Hinweisgebersystem .LOUPE verwenden. Und wir haben den Zugang zum Hinweisgebersystem, den haben wir auf die Homepage gegeben. Auf der [00:30:30] Website ist das Hinweisgebersystem gespeichert. Das ist uns nicht nur wichtig für unsere Mitarbeiterinnen und Mitarbeiter, für die Kolleginnen und Kollegen, sondern insbesondere auch für die Lieferkette.

Also diese fünf Schritte waren bei uns wichtig, so sind wir dieses Thema angegangen. Das war unser Prozess, absolut in a nutshell, ein Schnelldurchlauf durch die praktische Umsetzung der Lieferkettensorgfalt. Grundsätzlich, ja, es ist ein Aufwand, er ist

bewältigbar, er ist nachhaltig. Also [00:31:00] wichtig: Man lernt ganz viel über seine Lieferanten, man identifiziert möglicherweise Risiken, die man vorher gar nicht am Schirm gehabt hat. Auch ökonomisch und kommerziell, muss man sagen, ist es an der einen oder anderen Stelle tatsächlich ein Aha-Erlebnis, wenn man sagt: Warum muss ich das eigentlich dort beziehen, wenn ich es viel näher vielleicht auch beziehen könnte? Gerade im Zusammenhang mit den politischen, geopolitischen Änderungen, die jetzt im Moment auch unser tagtägliches Leben beschäftigen, die werden auch [00:31:30] Auswirkungen haben. Und da ist es gut, wenn ich meine Lieferkette kenne, wenn ich weiß, wie integer ist meine Lieferkette, wenn ich weiß, wie funktioniert meine Lieferkette, wer sind meine Ansprechpartner, und wenn ich eigentlich ein gesundes Bild meiner Lieferkette auch habe, dann bin ich gewappnet für genau diese Herausforderungen, oder Herausforderungen, größtmöglich gewappnet für diese Herausforderungen.

Und es zeigt an dieser Stelle wieder so schön, dass Compliance ein Wettbewerbsvorteil ist. Wir wirken unmittelbar auf den [00:32:00] Erfolg und auf eine gute Wertschöpfung, auf eine nachhaltige Wertschöpfung ein. Das heißt, wir haben einen absolut unmittelbaren Einfluss auf den Erfolg des Unternehmens, alleine durch den Umstand, dass wir Verantwortung übernehmen. Zum Abschluss gibt es bei Code of C, und auch das Bootcamp ist ja ein Teil von Code of C, gibt es bei uns immer das Code-of-C-Wort, also das C-Wort, Compliance in einem Wort. Und mein Wort für Compliance [00:32:30] im Zusammenhang mit der Lieferkettensorgfalt ist Verantwortung. Compliance bedeutet für mich Verantwortung. So, vielen lieben Dank fürs Zuhören.

Wenn Ihnen jetzt die Folge gefallen hat, wenn Ihnen Code of C generell gefällt, dann freue ich mich natürlich über eine positive Bewertung auf LinkedIn, auf den Podcast-Plattformen, wo Sie Ihren Podcast auch konsumieren. Aktivieren Sie die Glocke, folgen Sie dem Podcast, folgen Sie gern mir auf LinkedIn, [00:33:00] folgen Sie .LOUPE auf LinkedIn, folgen Sie Code of C auf LinkedIn. Kommentieren Sie, liken Sie, schicken Sie mir Nachrichten. Und wenn Sie Fragen zur Software von .LOUPE haben, dann bitte einfach unter www.loupe.at Kontakt mit uns aufnehmen. Unser Versprechen ist immer: aus der Praxis für die Praxis. Compliance-Software, das können andere auch. Aber Compliance-Software mit Praxiserfahrung verbinden, nämlich mit echter Praxiserfahrung, das können nicht sehr viele.

Die Infos hierzu gibt es [00:33:30] natürlich in den Shownotes. Das wären heute lange Shownotes. Wir haben die Verweise auf die Podcasts, wir haben diese Informationen, die Verweise auf meinen und auf unsere LinkedIn-Kanäle. Da haben Sie ein bisschen was zum Lesen. Dann holen wir für die nächste Folge in 14 Tagen unser nicht mehr ganz so weißes Blatt Papier und somit auch unsere Skizze unseres Compliance-Management-Systems wieder hervor.

Und in 14 Tagen beginnen wir gemeinsam, die Skizze auch mit Leben zu befüllen. Und bis [00:34:00] dahin bleiben Sie compliant und bleiben Sie vor allem ein guter Mensch. Ihr Martin Reichetseder.