LieferkettengesetzLieferkettengesetz und Risikoanalyse

Alle Unternehmen, für die das Gesetz über die unternehmerischen Sorgfaltspflichten in Lieferketten (kurz: Lieferkettengesetz oder LkSG) gilt, müssen ein Risikomanagement einrichten und eine Risikoanalyse durchführen. Die Risikoanalyse muss

• mindestens einmal pro Jahr erfolgen oder
• wenn es einen Anlass dafür gibt.

Die Risikoanalyse soll zeigen, wo es besonders hohe Risiken gibt und wo die Folgen für Betroffene schwerwiegend sein können. Darauf sollen dann die Aktivitäten des Unternehmens zum Risikomanagement und zur Verbesserung der Situation ausgerichtet werden.

Die Lieferkette im Sinne des Gesetzes bezieht sich auf alle Produkte und Dienstleistungen eines Unternehmens. Sie umfasst alle Schritte im In- und Ausland, die zur Herstellung der Produkte und zur Erbringung der Dienstleistungen erforderlich sind. Die Lieferkette beginnt bei der Gewinnung der Rohstoffe und reicht bis zur Lieferung an den Endkunden. Sie erfasst

• das Handeln eines Unternehmens im eigenen Geschäftsbereich,
• das Handeln eines unmittelbaren Zulieferers und
• das Handeln eines mittelbaren Zulieferers.

Dazu gehört auch die Inanspruchnahme von notwendigen Dienstleistungen, wie zum Beispiel der Transport oder die Zwischenlagerung von Waren sowie die Lieferung der Produkte des Unternehmens durch Dienstleister (Transport und Handel) an Endkunden.

Im Fokus der Risikoanalyse stehen dabei:

• menschenrechtsbezogenen Risiken und
• umweltbezogenen Risiken.

Unternehmen müssen analysieren, wo es in ihrem eigenen Geschäftsbereich und in ihrer Lieferkette, also bei direkten Zulieferern und bei deren Lieferanten, zu Verletzungen von Menschenrechten oder zur Schädigung von Umwelt und Natur kommt oder kommen kann. Diese Risiken müssen erfasst und bewertet werden.

Kommt es im Rahmen des Beschwerdeverfahrens zu konkreten Beschwerden oder Hinweisen zu Pflichtverletzungen in der Lieferkette, müssen diese berücksichtigt und verfolgt werden.

Welche Auswirkungen die Risiken auf Ihr Unternehmen haben können, ist nicht Teil der Lieferketten-Risikoanalyse. Es geht also nicht darum, mögliche Kosten, Schadensersatz, Verluste oder Imageschaden für Ihr Unternehmen zu bewerten.

Die Risikoanalyse betrachtet ausschließlich Risiken und die möglichen Folgen aus der Perspektive der:

• Mitarbeitenden Ihres Unternehmens,
• der Beschäftigten bei Ihren unmittelbaren und mittelbaren Zulieferern,
• Menschen, die vom Handeln Ihres Unternehmens außerdem betroffenen sein können,
• Umwelt und Natur.

Das Lieferkettengesetz unterscheidet die unmittelbaren und die mittelbaren Zulieferer in der Lieferkette.

Die unmittelbaren Zulieferer haben mit Ihrem Unternehmen eine direkte vertragliche Beziehung und liefern Rohstoffe, Teile, Baugruppen oder erbringen Dienstleistungen. Sie müssen regelmäßig, mindestens einmal pro Jahr, im Rahmen der Risikoanalyse betrachtet werden. Zudem kann eine anlassbezogene Risikoanalyse notwendig sein.

Die mittelbaren Zulieferer haben mit Ihrem Unternehmen keine vertragliche Beziehung. Sie liefern oder leisten an Ihre Zulieferer, sind also die Lieferanten Ihrer Lieferanten. Hier ist nur eine anlassbezogene Risikoanalyse notwendig – zum Beispiel dann, wenn es zu einer Beschwerde oder offensichtlichen Pflichtverletzung kommt.

Einen Anlass für eine Risikoanalyse bei unmittelbaren und mittelbaren Zulieferern gibt es, wenn:

• eine Beschwerde über das Beschwerdeverfahren eingeht, die auf Pflichtverletzungen hinweist,
• es Hinweise auf entsprechende Pflichtverletzungen in den Medien gibt,
• in einem zivilgesellschaftlichen Bericht auf mögliche Risiken hingewiesen wird,
• im Rahmen einer Brancheninitiative Risiken und mögliche Pflichtverletzungen diskutiert werden.

Außerdem muss eine Risikoanalyse durchgeführt werden, wenn das Unternehmen seine Geschäftsbereiche erweitert, weitere Beschaffungs- oder Absatzländer erschließt, in anderen Ländern aktiv wird, neue Lieferanten aufnimmt.

Schließlich sind auch Naturkatastrophen oder Kriege in einem Land Anlass dafür, Risiken in Bezug auf Menschenrechte und Umweltschutz neu zu analysieren.

Die Ergebnisse der Risikoanalyse sollen zeigen:

• welche Risiken identifiziert wurden (als öffentlicher Bericht),
• wie diese bewertet, gewichtet und priorisiert werden,
• welche Maßnahmen für mehr Sorgfalt und zur Verbesserung der Situation durchgeführt werden sollten,
• wofür welche Ressourcen eingesetzt werden,
• mit welchen Prozessen die Maßnahmen umgesetzt werden,
• welche Stellen und Bereiche in Ihrem Unternehmen dafür zuständig sind,
• wer im Unternehmen dafür die Verantwortung trägt,
• welche Maßnahmen wirksam sind,
• wie sich die Situation im Zeitverlauf verbessert hat.

Auf den Ergebnissen der ersten Risikoanalyse baut auch die Grundsatzerklärung des Unternehmens auf, die nach dem Lieferkettengesetz formuliert werden muss. In der Erklärung können dann gezielt die Aspekte adressiert werden, die mit der Risikoanalyse identifiziert wurden.

Im ersten Schritt führen Sie eine Bestandsaufnahme im Hinblick auf den Anwendungsbereich des Lieferkettengesetzes durch. Das bedeutet, Sie erfassen, beschreiben und erläutern:

Ihr Unternehmen und Ihre Geschäftsaktivitäten

• Merkmale des Unternehmens und aller Tochtergesellschaften: Name, Geschäftsleitung, Standort, Zahl der Mitarbeitenden, Umsatz,
• Betriebsstätten Ihres Unternehmens
• Art der Produkte und Dienstleistungen Ihres Unternehmens
• die wichtigen Prozesse oder Hauptprozesse in den einzelnen Betrieben
• Länder, in denen Ihr Unternehmen aktiv ist (Beschaffung und Absatz)

Beschaffungsstruktur

• Beschaffungskategorien: Rohstoffe, Betriebs- und Hilfsstoffe, Produkte (Teile, Baugruppen), Investitionsgüter, Dienstleistungen
• beschaffte Produkte pro Beschaffungskategorie
• Beschaffungsländer für die einzelnen Beschaffungskategorien
• Anzahl unmittelbare Lieferanten je Land und Beschaffungskategorie
• Auftragsvolumen je Beschaffungskategorie

Genauere Darstellung der Geschäftsaktivitäten

Für die umsatzstärksten Produkte und Leistungen Ihres Unternehmens zeigen Sie die jeweiligen Lieferketten auf und visualisieren diese in Prozesslandkarten. Erstellen Sie dazu:

• eine Liste der Produktgruppen, mit denen Sie insgesamt rund 70 Prozent Ihres Umsatzes erzielen (Hauptprodukte)
• für jede Produktgruppe eine grafische Darstellung der Lieferkette mit unmittelbaren und mittelbaren Zulieferern
• eine Liste der Länder, in denen Ihre Betriebe sowie die unmittelbaren und mittelbaren Zuliefererbetriebe für Ihre Hauptprodukte angesiedelt sind (Absatz- und Beschaffungsmärkte)
• besonders (negativ) betroffene Beschäftigtengruppen bei Ihren unmittelbaren und mittelbaren Lieferanten

Hochrisiko-Zulieferer sind Zulieferer, bei denen das Unternehmen Risiken priorisiert oder Verletzungen von menschenrechtlichen oder umweltbezogenen Pflichten festgestellt hat. Letztere können beispielsweise durch risikobasierte Kontrollen oder andere Präventionsmaßnahmen identifiziert werden.

Hochrisiko-Zulieferer markieren

Wenn Sie im Rahmen der ersten Bestandsaufnahme bereits wissen oder ahnen, dass sich Hochrisiko-Zulieferer in der Lieferkette befinden, sollten Sie diese markieren und besonders erläutern. Halten Sie zu diesen Lieferanten fest:

• Name des Unternehmens
• gegebenenfalls Mutterkonzern
• Produkttyp
• Betriebsstätten des Lieferanten
• Anzahl der Mitarbeitenden
• Vorhandensein von Mitarbeitervertretungen
• bei unmittelbaren Zulieferern: Ihr Auftragsvolumen

Sämtliche Maßnahmen zum Lieferkettengesetz sollten im ersten Schritt auf diese Hochrisiko-Zulieferer ausgerichtet sein. Dort sollten Sie erste Verbesserungen erzielen, die dann bei weiteren Risikoanalysen überprüft werden.

Alle Daten, die zu den genannten Aspekten wichtig sind, müssen im Unternehmen zunächst gesammelt und dokumentiert werden. Klären Sie dazu, wo in Ihrem Unternehmen entsprechende Daten vorliegen und tragen Sie diese zusammen. Anlaufstellen sind:

• Einkaufsabteilung
• Entwicklungsabteilung
• Beschaffung und Materialwirtschaft
• Produktmanagement
• Vertrieb

Befragen Sie dann Ihre Lieferanten und bitten Sie darum, dass diese entsprechende Daten zur Verfügung stellen. Halten Sie in einer Liste fest, welche Quellen Sie für Ihre Risikoanalyse nutzen und welche Daten Sie von dort auswerten.

Gibt es einen begründeten Verdacht auf ein Risiko, kann vom Unternehmen erwartet werden, dass es sich „vor Ort“ informiert und ein eigenes Bild verschafft. Dazu gehören dann:

• Inspektionen vor Ort
• persönliche Gespräche mit Arbeitnehmern und deren Vertretung
• Gespräche mit Anwohnern und deren Interessenvertretungen

Liegen Informationen oder Daten, die für die Risikoanalyse wichtig wären, nicht vor, wird dies dokumentiert. Das Unternehmen erläutert, was es tun will, um diese Informationen zu beschaffen. Das betrifft vor allem Informationen über mittelbare Zulieferer und über Länder, in denen entsprechende Informationen nicht vorliegen.

Das Ergebnis der Bestandsaufnahme ist eine Liste möglicher Risiken in Bezug auf Menschenrechte und Umweltschutz: das Risikoinventar. Halten Sie in der Liste fest:

• Bezeichnung und Erläuterungen zum Risiko
• davon betroffene Menschen (zum Beispiel Beschäftigte in den Unternehmen, Anwohner)
• mögliche Umweltfolgen
• Verweis auf die Länder, in denen diese Risiken bestehen
• Verweis auf eigene Geschäftsbereiche, Betriebe sowie Zulieferer, die von diesen Risiken betroffen sind
• Erläuterungen zu den Verursachungsbeiträgen durch das eigene Unternehmen
• Verantwortliche Stelle im Unternehmen, die sich um diesen Risikoaspekt kümmert
• Bewertung der Risiken anhand einer festgelegten Bewertungsskala (entspricht der Gewichtung der Risiken)
• Festhalten von Eintrittswahrscheinlichkeit und Schwere der Folgen je Risiko
• Wenn bekannt: Auflisten der Fälle, bei denen es bereits zur Verletzung von Menschenrechten und zur Schädigung der Umwelt kommt
• Prioritätenliste mit den Risiken, um die sich das Unternehmen vorrangig kümmern wird
• geplante oder durchgeführte Maßnahmen zur Verbesserung der Transparenz, mehr Prävention oder Abhilfe

Die Kriterien, die der Bewertung zugrunde liegen, müssen genannt und erläutert werden. Sie sollten plausibel, nachvollziehbar und angemessen sein. Außerdem müssen sie einheitlich angewendet werden und als Bewertungsskala nutzbar sein.

Die Bewertung der menschenrechtlichen und umweltbezogenen Risiken in der Lieferkette ist eine besonders schwierige Aufgabe. Das Lieferkettengesetz fordert, dass Unternehmen dafür eine nachvollziehbare und zuverlässige Systematik haben.

Die Systematik muss auch erlauben, daraus eine Skala zur Bewertung der einzelnen Risiken zu erstellen. Diese Bewertung ist Grundlage für die verpflichtende Prioritätenbildung.

Halten Sie deshalb genau fest, welche Systematik und welche Skala zur Risikobewertung Sie nutzen. Nutzen Sie dazu beispielsweise:

• Leitfäden Ihres Branchenverbandes
• Gütesiegel einer Branche
• Methoden von spezialisierten Dienstleistern (zum Beispiel Ratingagenturen, Wirtschaftsprüfern)
• Methoden von unabhängigen Institutionen oder wissenschaftlichen Einrichtungen

Grundsätzlich haben Sie dabei aber auch einen Ermessensspielraum. Sie müssen insbesondere begründen, warum Sie Ihre Maßnahmen auf ein bestimmtes Risiko richten – und nicht auf andere.

Dies erläutern und begründen Sie mit:

• Art und Umfang der Geschäftstätigkeit des Unternehmens: das Einkaufs- oder Auftragsvolumen ist besonders hoch
• den Einfluss Ihres Unternehmens auf den Verursacher eines Risikos: die Machtposition, die Sie gegenüber Lieferanten oder Ländern haben
• der zu erwartenden Schwere der Verletzung: welche Schaden bei Menschen und Umwelt entstehen können, wenn das Risiko eintritt
• der Umkehrbarkeit der Schäden und Verletzung: inwiefern der Schaden für die Betroffenen wiedergutgemacht werden kann
• der Wahrscheinlichkeit der Verletzung einer menschenrechtsbezogenen oder einer umweltbezogenen Pflicht: wie wahrscheinlich wird das Risiko eintreten, Anzeichen für bestehende Verletzungen
• nach der Art des Verursachungsbeitrags Ihres Unternehmens: was Ihr Unternehmen zur Existenz des Risikos oder zur Verletzung der Pflichten selbst beiträgt

Im Allgemeinen wird von den Unternehmen nicht erwartet, dass sie eine umfassende, vollständige und detaillierte Bestandsaufnahme zur Risikoanalyse durchführen. Unternehmen sollen zunächst zeigen:

• Wir sorgen uns um mehr Transparenz.
• Wir kennen besonders hohe Risiken und offensichtliche Pflichtverletzungen.
• Wir kümmern uns im Rahmen der Möglichkeiten und des Zumutbaren um Verbesserungen.

Dementsprechend müssen nach der Bestandsaufnahme die regelmäßigen, weiteren Risikoanalysen bei unmittelbaren Zulieferern zeigen:

• Die Transparenz wird jedes Mal besser.
• Aufgrund von Beschwerden und anderen Hinweisen (siehe oben) wurden neue Risiken oder Pflichtverletzungen erkannt und dokumentiert.
• Haben sich Änderungen bei den eigenen Geschäftsbereichen ergeben, wird die Risikoanalyse entsprechend erweitert.
• Risiken, die durch interne oder externe Veränderungen hinzugekommen sind, werden neu bewertet und priorisiert.
• Es wurden Maßnahmen ergriffen.
• Durch die Maßnahmen haben sich (erste) Verbesserungen gezeigt.

Dies gilt auch für anlassbezogene Risikoanalysen, wenn aufgrund von Beschwerden oder anderen konkreten Hinweisen eine Risikoanalyse durchgeführt wird.

Dabei müssen Unternehmen nur dort Maßnahmen ergreifen, wo sie selbst durch ihre Aktivitäten zu den Verursachern zählen. Wenn sie sich nicht zu den Verursachern zählen, müssen Sie begründen, warum das so ist.

Es gibt keine abschließende Liste von Maßnahmen, die Unternehmen durchführen müssen oder können, um die Situation in ihrer Lieferkette zu verbessern, wenn es um Menschenrechte und Umweltschutz geht. Maßgeblich ist, was möglich und zumutbar ist unter Berücksichtigung von:

• Verträge und Machtposition gegenüber unmittelbaren Zulieferern
• Durchgriff und Einflussnahme auf mittelbare Zulieferer
• Einfluss der unmittelbaren Zulieferer auf die mittelbaren, also die Lieferanten der Lieferanten
• politische Situation in den jeweiligen Ländern
• Vorhandensein internationaler Verträge und Verpflichtungen, die in den jeweiligen Ländern gelten und beachtet werden

Beispiele: Wie Unternehmen ihre Lieferketten verbessern können

Einige Beispiele, was Unternehmen zur Verbesserung der Situation tun können:

• Schulung und Training der eigenen Mitarbeiterinnen und Mitarbeiter, die auf Aspekte der Menschenrechte und des Umweltschutzes in ihrem Bereich achten sollen; zum Beispiel Einkauf, Produktentwicklung, Produktmanagement, Key-Account-Management, Vertrieb und natürlich die Geschäftsleitung
• Information der Beschäftigten und der Öffentlichkeit über die Möglichkeiten zur Beschwerde und zum Ablauf des Beschwerdeverfahrens
• Reduzierung des Auftragsvolumens an die unmittelbaren Zulieferer, wenn mit diesen ein großes Risiko verbunden ist
• Wechsel zu anderen Zulieferern, die keine Pflichtverletzungen begehen
• Anpassung der Lieferverträge und der Einkaufsbestimmungen um die Aspekte Menschenrechte und Umweltschutz
• Nutzung von allgemeinen Zertifizierungen bei der Auswahl von Lieferanten
• Befragung der Zulieferer zum Thema Menschenrechte und Umweltschutz – für mehr Transparenz in der Lieferkette
• Prüfen der Situation vor Ort
• Trainingsprogramme zu den Themen Menschenrechte und Umweltschutz, die bei unmittelbaren und mittelbaren Lieferanten angeboten und durchgeführt werden
• mit Partnern zusammenarbeiten, die in den Risikoländern Menschenrechte und Umweltschutz fördern
• aktive Mitarbeit bei Brancheninitiativen

Schließlich sollte das Unternehmen deutlich machen, dass es nach und nach weitere Geschäftsbereiche und Zulieferer unter die Lupe nimmt – bis alle Geschäftsbereiche in die Risikoanalyse eingehen. Zudem muss die Transparenz über Zustände in der Lieferkette besser werden und es sollte Fortschritte bei Menschenrechten und Umweltschutz geben.