Lieferketten-Audit

Was ist ein Audit?

Ein Lieferkettenaudit betrachtet nicht einen einzelnen Lieferanten, sondern mehrere Stufen der Kette. Auch Unterlieferanten jenseits des direkten Lieferanten und die Rohstoffquelle werden einbezogen.

Warum wird sie durchgeführt?

Ziel ist, den Ort zu finden, an dem das Risiko verborgen liegt. Probleme entstehen meist nicht beim direkten Lieferanten, sondern bei dessen Unterlieferanten; ein auf die erste Stufe beschränktes Audit erkennt dieses Risiko nicht.

Wer beauftragt es?

Marken mit mehrstufigen Lieferketten
Unternehmen im Anwendungsbereich menschenrechtlicher Sorgfaltspflichten
Hersteller mit Abhängigkeit von einem kritischen Rohstoff
Organisationen im Anwendungsbereich von Entwaldungs- und Konfliktmineralien-Vorschriften
Konzerne, die das Kontinuitätsrisiko der Lieferkette steuern

Auditkriterien

Die Kriterien sind die Lieferkettenpolitik und der Verhaltenskodex des Käufers; hinzu kommen Branchensysteme, Chain-of-Custody-Anforderungen und einschlägige Rechtsvorschriften (Sorgfaltspflichtvorschriften).

Auditumfang

Lieferketten-Mapping und Sichtbarkeit der Stufen
Auswahl- und Freigabeprozesse für Unterlieferanten
Verbreitung des Verhaltenskodex entlang der Kette
Rückverfolgbarkeit der Rohstoffquelle
Chain-of-Custody-Aufzeichnungen und Massenbilanz
Kritische Abhängigkeiten und Abhängigkeiten von Einzelquellen
Soziale und ökologische Risiken in der Kette
Nicht offengelegte Nutzung von Lohnfertigung
Geschäftskontinuität und alternative Beschaffungspläne
Abweichungsmanagement entlang der gesamten Kette

Zugehörige Normen

ISO 19011
ISO 28000
ISO 20400
OECD-Leitfaden zur Sorgfaltspflicht

Auditablauf

1Festlegung von Umfang und KriterienWas wonach auditiert wird, wird schriftlich festgehalten: Verhaltenskodex des Kunden, Spezifikation, Norm oder Fragenkatalog.
2Erhebung von VorabinformationenGröße und Tätigkeit der zu auditierenden Seite, ihre Audithistorie und offene Abweichungen werden gesichtet.
3AuditplanAudittag, Team und Zeitplan werden vorbereitet; zu besuchende Bereiche und zu befragende Funktionen werden geplant.
4EröffnungsbesprechungZweck, Umfang, Methode und Berichtsform des Audits werden erläutert; Vertraulichkeit und Unparteilichkeit werden bestätigt.
5Audit vor OrtProduktions- bzw. Dienstleistungsbereiche werden begangen, Aufzeichnungen geprüft und Mitarbeitende befragt. Feststellungen werden sofort dokumentiert.
6Klassifizierung der FeststellungenDie Feststellungen werden nach der Klassifikation des jeweiligen Programms eingestuft (kritisch / Haupt- / Neben- / Beobachtung).
7AbschlussbesprechungDie Feststellungen werden der Leitung vorgestellt, begründet und die Erwartung an Korrekturmaßnahmen dargelegt.
8Bericht und NachverfolgungDer Auditbericht wird erstellt; ein Korrekturmaßnahmenplan wird eingeholt und dessen Abschluss verfolgt. Erforderlichenfalls erfolgt ein Nachaudit.

Feststellungen

Die schwerwiegendsten Feststellungen betreffen den Verlust der Sichtbarkeit: die Unkenntnis einer Kettenstufe, die nicht offengelegte Nutzung eines Subunternehmers und eine Unterbrechung der Rückverfolgbarkeitskette. Diese Feststellungen machen die gesamte Lieferabsicherung des Käufers hinfällig.

Auditbericht

Angaben zu Auditstelle, Auditor und auditierter Seite
Datum, Dauer und Umfang des Audits
Angewandte Kriterien oder Fragenkatalog
Auditierte Bereiche und Prozesse
Feststellungen und deren Klassifizierung
Nachweise und Fotos zu den Feststellungen
Bewertung oder Einstufung, sofern das Programm dies verlangt
Korrekturmaßnahmenplan und Stand der Erledigung

Grenzen des Ergebnisses

Dieses Audit dokumentiert den zum Auditzeitpunkt und im auditierten Umfang beobachteten Zustand. Auditieren beruht auf Stichproben: Die geprüften Aufzeichnungen und begangenen Bereiche werden repräsentativ ausgewählt, was nicht bedeutet, dass jede Aufzeichnung geprüft wurde. Der Bericht ist weder Garantie noch Zertifikat und entbindet die auditierte Seite nicht von ihrer Verantwortung.

Akkreditierung

Die Akkreditierung hängt von der Auditart ab. Drittparteienaudits als Grundlage der Managementsystemzertifizierung erfolgen nach ISO/IEC 17021-1, solche für die Produktzertifizierung nach ISO/IEC 17065; diese Bereiche unterliegen der Akkreditierung. Erst- und Zweitparteienaudits sowie Audits nach eigenen Regeln eines Programmeigners (etwa SMETA oder amfori BSCI) fallen nicht unter akkreditierte Zertifizierung; sie folgen dem Leitfaden ISO 19011 und erzeugen einen Bericht. EUROLAB verfügt über international anerkannte Akkreditierungen nach ISO/IEC 17021-1 und ISO/IEC 17065 von Unterzeichnerstellen der IAF-Vereinbarung; welches Audit im akkreditierten Umfang angeboten werden kann, wird im Angebotsstadium schriftlich bestätigt.

Geltungsbereich und Befugnisse

Zugehörige Audits

Häufige Fragen

Bin ich verpflichtet, meine Unterlieferanten zu auditieren?

Das hängt von den Vorschriften und Kundenanforderungen ab. Sorgfaltspflichtgesetze erwarten, dass man bis zu der Stufe vordringt, in der das Risiko liegt; mit einem risikobasierten Ansatz werden zunächst hochriskante Stufen auditiert. Es wird nicht erwartet, die gesamte Kette in derselben Tiefe zu auditieren.

Basiert das Audit auf Stichproben?

Ja. Der Auditor kann nicht jede Aufzeichnung und jedes Produkt prüfen; die Stichprobe wird so gewählt, dass sie das Ganze repräsentiert. Dass ein Audit keine Feststellungen ergibt, bedeutet daher nicht, dass überhaupt keine Abweichung vorliegt; ein Audit bietet eine Zusicherung, keinen absoluten Beweis.

Wird der Audittermin im Voraus angekündigt?

Das hängt vom System und der Käuferpolitik ab. Angekündigte, halb angekündigte (mit einem Zeitfenster) und unangekündigte Audits können angewendet werden. Ein unangekündigtes Audit soll verhindern, dass Aufzeichnungen für das Audit vorbereitet werden, und wird zunehmend häufiger eingesetzt.