Compliance-Lexikon · CRA
Supply Chain Risk – Praxis
Supply Chain Risk wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert eine systematische Risikobewertung aller kritischen Lieferanten und Software-Abhängigkeiten, nicht nur eine informelle Einschätzung?
Häufige Fehler in der Praxis
- Lieferkettenrisiko wird nur bei großen Vertragspartnern bewertet, kleinere aber kritische Zulieferer bleiben unberücksichtigt
- Konzentrationsrisiko durch mehrere Abhängigkeiten von demselben Anbieter wird nicht erkannt
- Risikobewertung erfolgt einmalig bei Vertragsschluss und wird nie aktualisiert
Praxis-Tipp
Lieferkettenrisiko ist nicht nur eine Frage der Vertragsgröße. Ein kleiner Zulieferer mit Zugriff auf kritische Systeme kann ein höheres Risiko darstellen als ein großer, aber isolierter Dienstleister.
Vom Einzelrisiko zum Gesamtbild
Eine wirksame Bewertung des Lieferkettenrisikos betrachtet nicht nur einzelne Lieferanten isoliert, sondern auch Konzentrationsrisiken, etwa wenn mehrere kritische Komponenten vom selben Hersteller oder über dieselbe Cloud-Infrastruktur bezogen werden.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Risikobewertung je kritischem Lieferanten oder Abhängigkeit, Nachweis regelmäßiger Aktualisierung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Supply Chain Risk über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.