Lieferanten Compliance

Eine Richtlinie liegt unterschrieben im Einkauf, Schulungslisten verteilen sich auf E-Mails und beim Audit lässt sich der Status einzelner Standorte nicht erklären. Dann fehlt selten guter Wille. Es fehlt die durchgängige Verbindung zwischen Risiko, vertraglicher Erwartung, tatsächlicher Befähigung und belastbarem Nachweis.

• Lieferanten Compliance beginnt mit einer risikobasierten Segmentierung, nicht mit einem identischen Pflichtkurs für alle.
• Ein Code of Conduct schafft Erwartungen; Schulungen übersetzen diese Erwartungen in konkretes Handeln.
• Lieferanten lassen sich nicht über HR-Prozesse und arbeitsrechtliche Weisungen steuern. Vertrag, Einkauf und Lieferantenorganisation übernehmen diese Funktion.
• Ein Abschlussnachweis muss Person oder Rolle, Lieferantenunternehmen, Kursversion, Ergebnis und Gültigkeit eindeutig verbinden.
• Das LkSG nennt Schulungen bei unmittelbaren Zulieferern als mögliche Präventionsmaßnahme, verbietet aber eine pauschale Weitergabe der eigenen Sorgfaltspflichten.
• Audit-Reporting zeigt neben Abschlussquoten auch Lücken, Ausnahmen, ablaufende Nachweise, Abhilfemaßnahmen und die Wirksamkeit des Gesamtprozesses.

Lieferanten gehören zu einer eigenständigen Organisation. Ihr Unternehmen hat meist kein arbeitsrechtliches Weisungsrecht, keine vollständigen Personaldaten und keinen direkten Zugriff auf interne Kommunikationswege. Die Verpflichtung entsteht deshalb über Liefervertrag, Einkaufsbedingungen, Code of Conduct oder konkrete Sicherheitsanforderungen. Der Lieferant bestimmt wiederum, welche Beschäftigten eine Tätigkeit ausführen und wer intern für Schulungen verantwortlich ist.

Bei Mitarbeiterschulungen kommen Identitäten aus dem HR-System, Vorgesetzte verfolgen Fristen und interne Richtlinien gelten unmittelbar. Kundenschulungen zielen vor allem auf Nutzungserfolg und Akzeptanz. Partnerschulungen verbinden Kompetenz häufig mit Zertifizierung, Marke oder Vertriebszielen. Lieferantenschulung folgt einer anderen Logik: Sie steuert den Zugang zu Aufträgen, Standorten, Daten oder kritischen Prozessen anhand eines dokumentierten Risikos.

Erstens zählt neben der lernenden Person immer die juristische Einheit: Welches Lieferantenunternehmen, welcher Standort und welcher Vertrag gehören zum Nachweis? Zweitens wechseln Lieferantenpersonal und Subunternehmer oft, ohne dass Ihr HR-System davon erfährt. Drittens muss der Prozess mehrsprachig und mit wenig internem Kontext funktionieren. Viertens benötigt jede Anforderung eine vertraglich geklärte Konsequenz, falls Nachweise fehlen oder ein Test nicht bestanden wird.

Ein Extended Enterprise LMS bildet diese Trennung durch Mandanten, externe Administratoren, eigene Rollen und getrennte Berichte ab. Genau darin liegt der Unterschied zu einem internen Kurskatalog, der lediglich für Gäste geöffnet wird.

Es gibt keine allgemeine Pflicht, jeden Lieferanten zu jedem Compliance-Thema zu schulen. Umfang und Nachweis richten sich nach Anwendungsbereich, Vertragsrolle, Tätigkeit und Risiko. Deshalb beginnt rechtssichere Lieferanten Compliance mit einer dokumentierten Begründung: Warum erhält genau diese Zielgruppe genau diese Anforderung?

Das Lieferkettensorgfaltspflichtengesetz nennt Schulungen und Weiterbildungen ausdrücklich als Präventionsmaßnahme gegenüber unmittelbaren Zulieferern. Voraussetzung ist ein zuvor festgestelltes menschenrechtliches oder umweltbezogenes Risiko. Die Maßnahme soll vertragliche Zusicherungen durchsetzbar machen und muss angemessen sowie wirksam sein.

Die BAFA-Handreichung zur Zusammenarbeit in der Lieferkette konkretisiert diese Grenze: Verpflichtete Unternehmen bleiben selbst verantwortlich, sollen Inhalte und Adressaten am Risiko ausrichten und können die Organisation sowie Kostentragung vertraglich regeln. Eine pauschale Übertragung aller LkSG-Pflichten auf Zulieferer erfüllt diese Logik nicht.

Auch die DSGVO begründet keine pauschale Datenschutzschulung für jeden Lieferanten. Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, verlangt Artikel 28 DSGVO hinreichende Garantien, dokumentierte Weisungen und einen passenden Vertrag. Schulungen sind dann ein sinnvoller Teil der organisatorischen Maßnahmen für Personen mit Datenzugriff. Ein Rohstofflieferant ohne Datenbezug benötigt dagegen keinen allgemeinen DSGVO-Kurs allein aufgrund seines Lieferantenstatus.

Für besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG dokumentierte, verhältnismäßige Risikomanagementmaßnahmen. Dazu zählen Lieferkettensicherheit sowie grundlegende Schulungen und Sensibilisierung. Das Gesetz macht daraus nicht automatisch eine identische Schulungspflicht für sämtliche Lieferantenbeschäftigten. Entscheidend bleibt, welche Anbieter auf Systeme, Komponenten, Daten oder kritische Dienste einwirken.

Der Code of Conduct beschreibt Erwartungen, ersetzt aber weder Risikoanalyse noch Umsetzungskontrolle. Legen Sie deshalb zuerst fest, welche Fassung für welche Lieferantenkategorie gilt und wie sie Vertragsbestandteil wird. Die Bestätigung muss erkennen lassen, wer für welches Unternehmen und in welcher Vertretungsrolle zugestimmt hat. Zeitstempel, Sprachfassung, Dokumentversion und Vertragsbezug gehören in denselben Datensatz.

Danach übersetzen Einkauf, Compliance und Fachbereich abstrakte Regeln in beobachtbares Verhalten. Aus „Informationssicherheit gewährleisten“ entstehen zum Beispiel Meldewege für Vorfälle, Regeln für privilegierte Zugänge und ein verbindlicher Umgang mit Schwachstellen. Aus menschenrechtlichen Erwartungen entstehen Verfahren zur Risikoerkennung, Eskalation und Weitergabe relevanter Anforderungen an eingesetzte Subunternehmer.

Die Bestätigung darf kein folgenloser Klick bleiben. Verträge müssen klären, wer Teilnehmer meldet, Schulungen organisiert, Kosten trägt, Nachweise bereitstellt und Abweichungen behebt. Inhalt und Prozess stimmen Sie mit Legal und Datenschutz auf den konkreten Fall ab. Digitale Compliance-Schulungen liefern dabei die Lern- und Nachweislogik; die rechtliche Grundlage entsteht außerhalb des LMS.

Eine Trainingsmatrix verbindet Lieferantenrisiko, Tätigkeit und Zielrolle. Ein IT-Dienstleister mit Administratorzugang erhält andere Inhalte als ein Logistikunternehmen, eine Reinigungsfirma am Standort oder ein Produzent in einem Hochrisikoland. Innerhalb desselben Lieferanten unterscheiden sich Geschäftsleitung, Compliance-Verantwortliche, lokale Führungskräfte und operatives Personal ebenfalls.

Typische Themenfelder sind Menschenrechte und Umweltanforderungen nach LkSG, Datenschutz, Informationssicherheit, Arbeitssicherheit, Qualität, Produktsicherheit, Hygiene, Exportkontrolle, Antikorruption und Hinweisgebersysteme. Aus dieser Auswahl folgt keine automatische Pflicht. Jede Zuweisung benötigt einen dokumentierten Auslöser wie Risikoklasse, Datenzugriff, Tätigkeit, Standort, Vertragsart oder regulatorischen Anwendungsbereich.

Ein Basismodul erklärt Erwartungen und Meldewege. Rollenmodule trainieren konkrete Entscheidungen: Wie reagiert ein Lieferant bei Verdacht auf Zwangsarbeit? Welche Frist gilt bei einem IT-Sicherheitsvorfall? Wer darf personenbezogene Daten abrufen? Szenarien und kurze Wissenstests prüfen Handlungsfähigkeit besser als die bloße Bestätigung, eine PDF geöffnet zu haben.

Gute Pflichtschulungen stehen in den notwendigen Sprachen bereit, funktionieren mobil und berücksichtigen geringe Bandbreite. Für Beschäftigte ohne eigenen Account eignen sich sichere Einladungen, Gruppenregistrierung oder beaufsichtigte Sessions. Der Lieferant meldet Rollenwechsel und Austritte; Ihr System zieht daraus neue Zuweisungen oder sperrt nicht mehr benötigte Zugänge.

Ein Zertifikat allein beantwortet im Audit zu wenige Fragen. Der Nachweis muss zeigen, warum eine Schulung erforderlich war, wer sie in welchem Kontext absolviert hat und ob der Status zum Prüfzeitpunkt gültig war. Das erfordert eine nachvollziehbare Kette vom Risikodatensatz über die Zuweisung bis zum Ergebnis und zu möglichen Abhilfemaßnahmen.

Mindestens relevant sind Lieferanten-ID und juristische Einheit, Standort oder Vertrag, eindeutige Person oder definierte Rolle, Kurs- und Richtlinienversion, Sprache, Zuweisungsgrund, Start und Abschluss, Testergebnis, Bestätigung, Gültigkeitsende sowie Änderungsprotokoll. Bei extern ausgestellten Zertifikaten dokumentieren Sie zusätzlich Aussteller, Prüfkriterien, Datei und Verifikationsstatus.

Die Aufbewahrung folgt keiner universellen Frist. Für die Erfüllung der LkSG-Sorgfaltspflichten verlangt § 10 LkSG eine fortlaufende interne Dokumentation und mindestens sieben Jahre Aufbewahrung. Für personenbezogene Lerndaten gelten zugleich Zweckbindung, Datenminimierung und Speicherbegrenzung. Ein Lösch- und Berechtigungskonzept muss deshalb Nachweisinteresse und Datenschutz je Datensatz austarieren.

Ein gutes Dashboard beantwortet drei Ebenen getrennt: Ist der einzelne Nachweis gültig? Erfüllt der Lieferant seine vereinbarte Quote und Frist? Deckt das Programm die priorisierten Risiken wirksam ab? Eine reine Abschlussquote vermischt diese Fragen und kann trotz grüner Ampel kritische Lücken verdecken.

Filtern Sie Berichte nach Risikoklasse, Lieferant, Standort, Vertrag, Rolle und Anforderung. Zeigen Sie offene, überfällige und bald ablaufende Nachweise, fehlgeschlagene Tests, genehmigte Ausnahmen und laufende Abhilfemaßnahmen. Das schafft ein belastbares auditsicheres Schulungsmanagement und verkürzt die Vorbereitung interner sowie externer Prüfungen.

Automatisierung beginnt bei Ereignissen: neuer Vertrag, neue Person, Rollenwechsel, Zertifikatsablauf, Richtlinienänderung, Vorfall oder veränderte Risikoklasse. Das System weist passende Inhalte zu und erinnert zunächst die Person, dann den Lieferantenadministrator und schließlich Einkauf oder Compliance. Eine Auftragssperre erfolgt nur, wenn Vertrag, Risikobewertung und Freigaberegel sie tragen.

Messen Sie außerdem Wirksamkeit. Stichproben, Auditfeststellungen, Vorfälle, Meldungen und Korrekturzeiten zeigen, ob Menschen die Inhalte anwenden. Das LkSG verlangt eine jährliche und anlassbezogene Wirksamkeitsprüfung der Präventionsmaßnahmen. Lernstatistiken liefern dafür einen Baustein, aber nie den alleinigen Beleg.

Wenn Sie prüfen möchten, welche Rollen-, Mandanten-, Integrations- und Reportingfunktionen Ihre Lieferantenprozesse abbilden, bietet der LMS-Finder eine strukturierte erste Orientierung.

Starten Sie mit einem begrenzten Risikofeld, etwa IT-Dienstleistern mit privilegiertem Zugriff oder unmittelbaren Zulieferern einer kritischen Warengruppe. So testen Sie Governance und Technik unter realen Bedingungen, bevor weitere Länder, Standorte und Lieferantenkategorien folgen.

1. Benennen Sie Verantwortliche in Einkauf, Compliance, Legal, Datenschutz, IT und Fachbereich.
2. Segmentieren Sie Lieferanten nach Risiko, Tätigkeit, Zugriff, Standort und Vertragsbezug.
3. Ordnen Sie jeder Anforderung Rechtsgrundlage, Zielrolle, Nachweis und Gültigkeit zu.
4. Verankern Sie Code of Conduct, Schulung, Kosten, Kontrolle und Eskalation im Vertrag.
5. Automatisieren Sie Registrierung, Zuweisung, Test, Zertifikat und Erinnerung in einer externen Lernumgebung.
6. Verbinden Sie Lernstatus mit Lieferantenmanagement, Freigaben und Abhilfemaßnahmen.
7. Prüfen Sie jährlich und anlassbezogen, ob Inhalte, Zielgruppen und Kontrollen wirksam bleiben.

Ein Pilot benötigt klare Erfolgskriterien: vollständige Zuordnung kritischer Rollen, weniger manuelle Nachfragen, fristgerechte Rezertifizierung und kürzere Auditvorbereitung. Danach lässt sich die Lernarchitektur auf weitere externe Zielgruppen ausweiten. Der Beitrag zu Extended Enterprise Learning zeigt, wie Plattform, Inhalte und Governance dabei zusammenspielen.

_{Titelbild: KI-generiert}