Ein Lieferant besteht die Due-Diligence-Prüfung. Die Akte ist vollständig, korrekt und freigegeben. Achtzehn Monate später steht derselbe Lieferant im Zentrum einer Compliance-Untersuchung.
In der Akte war nichts falsch. Die beschriebene Eigentümerstruktur war zum Zeitpunkt der Einreichung korrekt. Das bewertete Risikoprofil entsprach dem Lieferanten zum damaligen Zeitpunkt. Was sich geändert hat, ist der Lieferant selbst. Er hat seine Eigentümerstruktur umgestaltet. Er hat einen neuen Vermittler für einen bestimmten Markt hinzugezogen. Keine dieser Änderungen erreichte das Compliance-Team, da das Programm nicht darauf ausgelegt war, sie zu bemerken.
Due Diligence genehmigt einen Moment, keine Beziehung
Die Due-Diligence-Anforderungen der ISO 37001 verlangen von einem Unternehmen, einen Geschäftspartner vor Beginn der Beziehung zu bewerten: die Art der Beziehung, das Risikoprofil der Jurisdiktion, die Identität der wirtschaftlich Berechtigten und etwaige Warnsignale in der Historie des Partners. Diese Bewertung liefert eine Momentaufnahme, die zum Zeitpunkt der Erstellung korrekt ist.
Die darauf folgende Beziehung ist jedoch keine Momentaufnahme. Sie ist fortlaufend und verändert sich auf eine Weise, die mit der ursprünglichen Akte nicht erfasst werden kann. Ein bei der Aufnahme geprüfter Lieferant ist vertraglich nicht dazu verpflichtet, über die gesamte Vertragslaufzeit unverändert zu bleiben, und in der Praxis tun dies viele auch nicht.
Was sich nach der Genehmigung tatsächlich ändert
Die entscheidenden Änderungen wirken von außen betrachtet selten dramatisch. Ein wirtschaftlich Berechtigter verkauft Anteile an einen neuen Investor. Der Lieferant zieht einen lokalen Partner hinzu, um regulatorische Anforderungen in einem neu erschlossenen Markt zu erfüllen. Ein Subunternehmer übernimmt einen Teil der Leistungen, die zuvor direkt erbracht wurden. Der Zahlungsweg ändert sich, um eine neue Bankverbindung zu berücksichtigen.
Jeder dieser Punkte kann dazu führen, dass ein Lieferant ein Risikoprofil annimmt, das nie geprüft wurde. Nichts davon verpflichtet den Lieferanten dazu, das Unternehmen, das ihn zugelassen hat, zu informieren, und nur wenige Compliance-Programme verfügen über einen Prozess, um dies unabhängig in Erfahrung zu bringen.
Stellen Sie sich einen Logistikdienstleister vor, der vor zwei Jahren für den regionalen Vertrieb zugelassen wurde. Seine Eigentümerstruktur war damals überschaubar: zwei Gründer, keine externen Investoren, keine Aktivitäten außerhalb des Landes, in dem der Vertrag unterzeichnet wurde. In der Zwischenzeit hat ein Private-Equity-Fonds eine Mehrheitsbeteiligung erworben, der Lieferant hat zur Unterstützung eines größeren Kunden den Betrieb in zwei neuen Ländern aufgenommen und leitet nun einen Teil seiner Zahlungen über eine regionale Tochtergesellschaft ab, die zum Zeitpunkt der Zulassung noch gar nicht existierte. Nichts davon erforderte eine Benachrichtigung des Unternehmens, das ihn zugelassen hatte. Auf dem Papier ist es immer noch der Lieferant, der vor zwei Jahren die Due-Diligence-Prüfung bestanden hat. In der Praxis ist es ein anderes Unternehmen, das unter demselben Namen agiert.
Warum die meisten Programme keine erneute Prüfung auslösen
Die meisten Due-Diligence-Programme erneuern sich nach einem Kalender: jährlich oder alle zwei Jahre, unabhängig davon, was in der Zwischenzeit mit dem Lieferanten geschehen ist. Dieser Rhythmus funktioniert bei Lieferanten, die sich tatsächlich nicht verändern. Er bewirkt jedoch nichts bei denjenigen, die es tun, da das Erneuerungsdatum in keinem Zusammenhang mit dem Zeitpunkt steht, an dem sich die Eigentümerstruktur tatsächlich geändert hat.
Hinter dem kalenderbasierten Ansatz steckt eine ressourcenorientierte Logik, die für sich genommen nicht unvernünftig ist. Jede Lieferantenbeziehung kontinuierlich zu überprüfen, würde die meisten Compliance-Teams überfordern, und eine vollständige Neubewertung jeder Beziehung jedes Quartal wäre teurer als das Risiko, das damit gemanagt wird. Das Problem ist nicht, dass Programme den Prüfaufwand rationieren. Das Problem ist, dass sie ihn nach Datum statt nach Relevanz rationieren und einen Lieferanten, der sich im letzten Monat drastisch verändert hat, genauso behandeln wie einen, der seit einem Jahrzehnt stabil ist – einfach nur, weil bei beiden das Erneuerungsdatum noch nicht erreicht ist.
Das Ergebnis ist eine Lücke, die sich in Zeit bemisst, nicht in der Beurteilung. Ein Lieferant kann sich erheblich von seinem genehmigten Risikoprofil entfernen und auf dem Papier monate- oder jahrelang ein freigegebener Lieferant bleiben, nur weil die nächste geplante Überprüfung noch nicht ansteht.
Wichtige Erkenntnis: Die Akte kann korrekt und dennoch falsch sein
Wenn ein Vorfall auf einen lange zugelassenen Lieferanten zurückzuführen ist, liegt der Instinkt nahe, zu fragen, ob die ursprüngliche Due-Diligence-Prüfung gründlich genug war. Oft war sie das. Die Akte beschrieb den Lieferanten zum damaligen Zeitpunkt korrekt.
Das Versagen liegt nicht darin, was in der Akte stand. Es liegt im Fehlen jeglicher Mechanismen, die den Moment markiert hätten, in dem die Akte nicht mehr der Wahrheit entsprach. Ein Compliance-Programm, das daran gemessen wird, ob seine Due-Diligence-Akten vollständig sind, wird immer gesund aussehen, selbst während sich die Beziehungen, die diese Akten beschreiben, immer weiter von dem entfernen, was tatsächlich genehmigt wurde.
Praktische Auswirkungen
Für Compliance- und Risikoverantwortliche ergeben sich aus der Betrachtung der Due Diligence als Lebenszyklus-Problem statt als einmalige Hürde vier Konsequenzen.
Erstens: Identifizieren Sie die Ereignisse, die eine neue Prüfung auslösen sollten, und verlassen Sie sich nicht nur auf ein Datum. Eine Änderung der wirtschaftlich Berechtigten, ein neuer Treffer auf einer Sanktions- oder Beobachtungsliste, Rechtsstreitigkeiten mit dem Lieferanten oder eine wesentliche Änderung der Vertragsstruktur oder des Zahlungsvermittlers sind allesamt relevanter als ein kalendarischer Jahrestag.
Zweitens: Betrachten Sie öffentliche und halböffentliche Signale als Teil des Programms und nicht als Hintergrundrauschen. Register über wirtschaftlich Berechtigte, Gerichtsakten und Aktualisierungen in Unternehmensregistern sind oft verfügbar, bevor ein Anbieter freiwillig Informationen offenlegt. Ein Programm, das sich nur direkt an den Anbieter wendet, erfährt nur das, was dieser preiszugeben bereit ist.
Drittens: Passen Sie den Umfang der Überprüfung an die Änderung an, nicht an das ursprüngliche Onboarding. Ein kleinerer Wechsel bei einem Subunternehmer erfordert keine vollständige Neubewertung. Eine Änderung bei den wirtschaftlich Berechtigten hingegen schon. Wenn jeder Auslöser gleich behandelt wird, überfordert dies entweder das Team oder führt dazu, dass Signale ignoriert werden.
Viertens: Weisen Sie die Verantwortung für die Überwachungsfunktion explizit zu und trennen Sie diese von dem Team, das die ursprüngliche Genehmigung erteilt hat. Ein Due-Diligence-Team, das daran gemessen wird, wie viele neue Anbieter es freigibt, hat kaum einen Anreiz, darauf hinzuweisen, dass ein bereits genehmigter Anbieter nun anders aufgestellt ist. Überwachung funktioniert besser als eigenständige Aufgabe mit eigenen Signalen und Eskalationswegen, anstatt sie als nachträglichen Zusatz in den Onboarding-Prozess zu integrieren.
ISO 37001 bietet Unternehmen eine solide Struktur für die Bewertung von Drittparteirisiken zum Zeitpunkt des Onboardings. Diese Struktur war jedoch nie darauf ausgelegt, die Entwicklung eines Anbieters nach Abschluss der Akte zu verfolgen, und die meisten Programme haben keine Mechanismen entwickelt, um diese Lücke zu schließen.
Die Unternehmen, die ihre Risiken durch Drittparteien in den kommenden Jahren reduzieren werden, sind nicht diejenigen mit den gründlichsten Onboarding-Akten. Es sind diejenigen, die wissen, wann aus einem von ihnen genehmigten Anbieter ein anderer geworden ist – noch bevor ein Verlängerungsdatum oder ein Vorfall sie dazu zwingt.
.png)
