Wonach sucht der Einkäufer einer Software für Lieferantenrisiken in einer Ausschreibung?
Der Einkäufer einer Software zum Management von Lieferantenrisiken will eine wachsende Pflicht erfüllen: Er wird für seine Kette von Drittparteien verantwortlich gemacht und muss von Lieferanten Nachweise verlangen, die selbst keine Pflicht haben, sie zu erbringen. Die ihn dazu verpflichtenden Texte sind öffentlich: NIS2 für die Cybersicherheit, DORA für die operationelle Resilienz der Finanzakteure, die Sorgfaltspflicht für Großunternehmen, die Norm ISO/IEC 27036 für die Sicherheit der Lieferantenbeziehungen. NIS2 ist eine EU-Richtlinie, in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz; DORA gilt als EU-Verordnung unmittelbar in der Europäischen Union; die Sorgfaltspflicht in der Lieferkette richtet sich in Deutschland nach den geltenden Sorgfaltspflichtregelungen. Seine Sorge ist, das Risiko einer Drittpartei nicht kommen zu sehen und nicht beweisen zu können, dass er gehandelt hat.
Für einen Anbieter ist die Folge direkt: Die Antwort, die einen weiteren Lieferantenfragebogen verkauft, verliert, weil der Einkäufer bereits einen hat; die Antwort, die zeigt, wie man das Risiko durchgängig abdeckt, die Nachweiserhebung automatisiert und die Konformität dokumentiert, gewinnt.
Welche Dimensionen muss eine Software für Lieferantenrisiken belegen?
Eine Antwort wird anhand von vier Dimensionen beurteilt, denn sie entscheiden, ob der Einkäufer seine Pflicht wirklich erfüllt.
| Dimension | Was der Einkäufer befürchtet | Was der Anbieter belegen muss |
|---|---|---|
| Risikoabdeckung | einen blinden Fleck bei einer Art von Drittrisiko | Cyber, finanziell, operationell, nichtfinanziell |
| Automatisierte Erhebung | den Lieferanten hinterherlaufen | die Erinnerung, die Erhebung und die Bewertung der Antworten |
| Dokumentierte Konformität | das Handeln nicht beweisen zu können | die gegenüber einem Regulator belastbare Nachvollziehbarkeit |
| Mehrstufigkeit | nur die unmittelbare Stufe zu sehen | die Sichtbarkeit auf die Lieferanten der Lieferanten |
Eine Antwort, die diese vier Dimensionen belegt, spricht die Pflicht des Einkäufers an; eine auf den Versand von Fragebögen ausgerichtete Antwort deckt nur einen Teil davon ab.
Wie wird eine Antwort auf eine Ausschreibung zum Lieferantenrisiko bewertet?
Die Antwort wird anhand eines nach Risikobereich und Fähigkeit gewichteten Fragebogens beurteilt, oft gefolgt von einer Vorführung an echten Drittfällen. Drei Folgen für den Anbieter: Die Gewichtung folgt den vorrangigen Pflichten des Einkäufers (Cyber und Finanzen an erster Stelle für regulierte Branchen); Nachvollziehbarkeit und belastbarer Nachweis wiegen schwer; die Vorführung muss die Erhebung und Bewertung an echten Lieferanten zeigen.
Die Konzession, die alles klärt
Für eine kleine Struktur mit wenigen unkritischen Lieferanten genügt eine Nachverfolgung per Tabelle, und die Ausschreibung ist überdimensioniert. Die hier beschriebene Methode dient Organisationen, die NIS2, DORA oder der Sorgfaltspflicht unterliegen, wo die Pflicht real und der Nachweis einforderbar ist.
Die Fehler, die eine Ausschreibung zum Lieferantenrisiko verlieren lassen
- Einen weiteren Fragebogen verkaufen: Der Einkäufer will das Risiko abdecken und das Handeln beweisen, nicht mehr sammeln.
- Einen blinden Fleck beim Risiko lassen: Eine nicht abgedeckte Art von Drittrisiko fällt im Raster auf.
- Die Nachvollziehbarkeit vernachlässigen: Der Einkäufer muss einem Regulator beweisen können, dass er gehandelt hat.
- Die Mehrstufigkeit ignorieren: Das Risiko kommt oft vom Lieferanten des Lieferanten.
- An fiktiven Fällen vorführen: Die Vorführung gewinnt man an echten Drittparteien des Einkäufers.
Auf der Plattform Optivalue.ai, die diese Website herausgibt, mahnt Optivalue Reach Drittparteien an und erhebt ihre Antworten, die die Plattform bewertet und benotet, mit belastbarer Nachvollziehbarkeit; jede Antwort auf den Fragebogen nennt ihre Quelle.
Häufig gestellte Fragen
Welche Texte zitiert man in einer Antwort zum Lieferantenrisiko? NIS2 für die Cybersicherheit, DORA für die operationelle Resilienz der Finanzakteure, die Sorgfaltspflicht für Großunternehmen und die Norm ISO/IEC 27036 für die Sicherheit der Lieferantenbeziehungen. Das sind öffentliche Referenzen, die der Einkäufer anerkennt.
Wie belegt man die durchgängige Risikoabdeckung? Indem man die Behandlung des Cyber-, Finanz-, operationellen und nichtfinanziellen Risikos beschreibt, und nicht nur den Versand von Fragebögen. Die Abdeckung ist ein Kriterium, kein Versprechen.
Was ist das Mehrstufenrisiko, und warum sollte man es behandeln? Das Mehrstufenrisiko ist jenes, das von den Lieferanten Ihrer Lieferanten kommt. Es zu behandeln zeigt, dass die Lösung über die unmittelbare Stufe hinaussieht, dort, wo der Einkäufer die meisten blinden Flecken hat.
Wie beantwortet man die Anforderung der Nachvollziehbarkeit? Indem man beschreibt, wie jede Bewertung, Erinnerung und Entscheidung zeitgestempelt und dokumentiert wird, in einer gegenüber einem Regulator oder Auditor belastbaren Weise. Die Nachvollziehbarkeit ist oft das ausschlaggebende Kriterium.
Wie bereitet man sich auf die Vorführung vor? Indem man echte Drittfälle des Einkäufers erhält und daran die Erhebung, die Bewertung und die Nachvollziehbarkeit zeigt.
Einen echten Fragebogen zum Lieferantenrisiko anhand Ihrer eigenen Dokumente bearbeiten
Bringen Sie eine echte Ausschreibung zum Management von Lieferantenrisiken mit. Sie sehen die Abdeckung der Anforderungsextraktion, die seitengenau zitierten Quellen und die Abweichungsanalyse an Ihrer Antwort, keine vorbereitete Vorführung.
Zitierte Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Sicherheit von Netz- und Informationssystemen; in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz (das das BSIG ändert).
- Verordnung (EU) 2022/2554 (DORA), digitale operationelle Resilienz des Finanzsektors.
- In Deutschland geltende Sorgfaltspflichtregelungen in der Lieferkette.
- ISO/IEC 27036, Informationssicherheit in Lieferantenbeziehungen.