CSDDD und CSRD: Sorgfaltspflichten in der Lieferkette im Überblick

Introduction

Es gilt als Geheimnis unter Compliance-Experten, dass die akribischste Befolgung von Vorschriften nicht immer die besten Ergebnisse bringt. Im Angesicht der immer strenger werdenden Compliance-Anforderungen, wie etwa der Corporate Sustainability Due Diligence Directive (CSDDD) und der Corporate Sustainability Reporting Directive (CSRD), ist es an der Zeit, auf zu überdenken, wie wir unsere Lieferketten überwachen und verwalten. In Europa ist dies besonders für von Bedeutung, wo die Einhaltung solcher Vorschriften nicht nur moralische und gesetzliche Pflichten darstellt, sondern auch strategische Vorteile bietet. Das Fehlen oder Versagen dieser Sorgfaltspflichten kann zu hohen Bußgeldern, scheiternden Audits, operativen Störungen und einem schwerwiegenden Schaden an der Unternehmensreputation führen. Diese Übersicht bietet einen tiefgründigen Einblick in die CSDDD und CSRD und zeigt, warum es dringend notwendig ist, Ihren Ansatz zur Due Diligence zu überdenken.

The Core Problem

Jenseits der oberflächlichen Beschreibung, dass Unternehmen Verantwortung für ihre Lieferketten übernehmen müssen, gibt es reale Kosten, die mit Nichtbeachtung dieser Pflichten verbunden sind. Einer Studie zufolge gehen Unternehmen durch mangelnde Compliance jährlich bis zu 50 Milliarden EUR an potenziellem Umsatz verloren. Dies entspricht einer durchschnittlichen Geldstrafe von 10 Millionen EUR pro Unternehmen, dasVerstößt gegen die Vorschriften. Diese finanziellen Verluste sind nur die Spitze des Eisbergs; betriebliche Störungen können das Geschäftsmodell untergraben und das Risiko von Reputations- und Vertrauensverlusten erhöhen. In einer Zeit, in der die Compliance zu einem entscheidenden Wettbewerbsfaktor geworden ist, besteht das Risiko, dass Nicht-Einhaltung dieser Vorschriften ein Unternehmen einem unfairen Wettbewerbsvorteil gegenüber seinen Einhaltungskonformen Konkurrenten aussetzen kann.

Die meisten Organisationen irren sich darüber, dass sie ihre Lieferketten nur auf offensichtliche Compliance-Risiken überwachen müssen. Sie übersehen jedoch, dass die CSDDD und der CSRD auch die Sorgfaltspflichten in Bezug auf Menschenrechte, Umweltschutz und soziale Verantwortung umfassen. Dies bedeutet, dass Unternehmen die gesamte Lieferkette von der Rohstoffgewinnung bis hin zur Endverwendung beurteilen und nicht nur die offensichtlichen Compliance-Risiken in der eigenen Organisation beheben müssen.

Regelmäßige Beispiele für Compliance-Verstöße sind Sklaverei und kinderliche Arbeit in der Textilindustrie oder Umweltverschmutzung durch die landwirtschaftliche Produktion. Wie viele Organisationen jedoch die gesetzlichen Referenzen und spezifischen Anforderungen dieser Vorschriften übersehen, führt dies zu einem erheblichen Risiko von Bußgeldern und Reputationsschäden. Artikel 3 der CSDDD verlangt von Unternehmen, eine Due-Diligence-Pflicht einzurichten, die die gesamte Lieferkette abdeckt, während Artikel 4 der CSRD spezifische Anforderungen an den Berichterstattungsinhalt stellt.

Why This Is Urgent Now

Die jüngsten regulatorischen Veränderungen und Handlungen zeigen, warum die Einhaltung der Sorgfaltspflichten in der Lieferkette dringend notwendig ist. Die Einführung der CSDDD und des CSRD bedeutet, dass die EU eine neue Ära der Unternehmensverantwortung eingeläutet hat. Unternehmen, die sich nicht an diese Vorschriften halten, sind einer Reihe von Sanktionen ausgesetzt, die von hoheitlichen Geldbußen bis hin zu Betriebsunterbrechungen reichen können. Aufgrund dieser strengen Folgen müssen Unternehmen ihre Compliance-Strategien überdenken und schnell handeln.

Außerdem wächst der Markt Druck, dass Kunden immer häufiger Zertifizierungen und Nachweis der Einhaltung solcher Sorgfaltspflichten verlangen. Eine Studie des BSI ergab, dass mehr als 80% der Verbraucher bereit sind, für nachweislich nachhaltige Produkte höhere Preise zu zahlen. Dies bedeutet, dass Unternehmen, die die Anforderungen der CSDDD und des CSRD erfüllen, einen signifikanten Wettbewerbsvorteil auf dem europäischen Markt erlangen können.

Des Weiteren besteht die Gefahr, dass Unternehmen, die nicht konform gehen, einen Wettbewerbsnachteil gegenüber denen aufweisen, die dies tun. Ein Nicht-Einhalten der Vorschriften kann nicht nur zu hohen Bußgeldern und operativen Störungen führen, sondern auch dazu beitragen, dass Kunden und Investoren das Vertrauen in das Unternehmen verlieren. In einer Zeit, in der die Transparenz und Integrität zu entscheidenden Faktoren für erfolgreiches Wachstum geworden sind, besteht die Notwendigkeit, die Compliance mit den Sorgfaltspflichten in der Lieferkette ernst zu nehmen.

Zusammenfassend besteht die Notwendigkeit, die Sorgfaltspflichten in der Lieferkette in Übereinstimmung mit der CSDDD und dem CSRD ernst zu nehmen, aus der Fähigkeit, potenzielle finanzielle Verluste zu vermeiden, operative Störungen zu minimieren und das Risiko von Reputationsschäden zu verringern. Die Einhaltung dieser Vorschriften ist nicht nur gesetzlich vorgeschrieben, sondern bietet auch strategische Vorteile im Wettbewerb. Sie sind das Fundament für zukünftiges Wachstum und Erfolg in einer sich ständig verändernden Welt. In der nächsten Ausgabe werden wir tiefer in die spezifischen Anforderungen und Strategien zur Umsetzung dieser Vorschriften einsteigen und praktische Schritte zur Compliance und zum Schutz Ihres Unternehmens vor den potenziellen Risiken erörtern.

Die Lösungsstruktur

Die Umsetzung der Sorgfaltspflichten gemäß CSDDD und CSRD erfordert einen schrittweisen Ansatz. Bei diesem Prozess sollten Sie sich stets an die jeweiligen gesetzlichen Anforderungen halten, insbesondere wenn es um die Menschenrechte Ihrer Lieferanten geht. Die folgende Liste enthält eine Reihe von handlungsorientierten Empfehlungen mit spezifischen Implementierungsdetails, die auf die relevantesten Bestimmungen der Vorschriften Bezug nehmen.

Schritt 1: Identifizieren Sie Ihre Lieferanten

Zunächst sollten Sie eine vollständige Liste Ihrer Lieferanten erstellen, einschließlich aller Unterauftragsnehmer. Diese Auflistung sollte alle relevanten Informationen beinhalten, wie den Namen, die Adresse, das Land und alle detaillierten Informationen über Ihre Geschäftsbeziehungen. Artikel 4 des Lieferkettensorsgaltspflichtengesetzes (CSDDD) fordert eine Prüfung der Lieferkette an, um Risiken in Bezug auf Menschenrechte und Umweltschutz zu identifizieren.

Schritt 2: Risikobewertung durchführen

Nachdem Sie Ihre Lieferanten identifiziert haben, müssen Sie eine Risikobewertung für jede Lieferbeziehung durchführen. Dies sollte sich auf potenzielle Verletzungen von Menschenrechten und Umweltverstoßnahmen beziehen. Im Falle von Unternehmen, die von der Anwendung des CSDDD ausgenommen sind, müssen Sie Ihre Entscheidung begründen und dokumentieren, beispielsweise gemäß Artikel 7 der Verordnung.

Schritt 3: Maßnahmen zur Risikominderung entwickeln und implementieren

Wenn Risiken identifiziert wurden, sollten Sie spezifische Maßnahmen zur Risikominderung entwickeln und umsetzen. Dies kann Verträge, Audits, Verhaltenskodexe oder Schulungen umfassen, die darauf abzielen, die Einhaltung der Sorgfaltspflichten zu gewährleisten. Diese Maßnahmen sollten dokumentiert und regelmäßig überprüft werden, um ihre Wirksamkeit zu beurteilen.

Schritt 4: Transparenz und Berichterstattung

Transparenz ist ein wesentlicher Bestandteil der Sorgfaltspflichten. Sie müssen sicherstellen, dass Sie über ein Verfahren verfügen, um interne und externe Berichte über die Umsetzung Ihrer Sorgfaltspflichten zu erstellen. Artikel 11 der CSRD-Verordnung fordert die Bereitstellung von Non-Finanzberichten, die Informationen über die Politiken, Risiken, Ergebnisse und Wechselwirkungen bezüglich der nachhaltigen Entwicklung enthalten.

Schritt 5: Aufrechterhaltung und Fortschreibung

Die Sorgfaltspflichten sind kein einmaliges Ereignis. Sie müssen kontinuierlich überwacht und angepasst werden. Sie sollten regelmäßig die Ergebnisse der Risikobewertungen und die Wirksamkeit der getroffenen Maßnahmen überprüfen und ggf. anpassen. Dies umfasst auch die kontinuierliche Überprüfung und Aktualisierung Ihrer Lieferlisten und Risikobewertungen.

Was "gute" Umsetzung aussieht im Gegensatz zu "nur über den Zaun":

• "Gute" Umsetzung umfasst eine proaktive und systematische Herangehensweise an die Erfüllung der gesetzlichen Anforderungen. Sie müssen ihre Lieferkette gründlich analysieren und spezifische Maßnahmen zur Risikominderung ergreifen. Darüber hinaus sollten Sie stets auf der Suche nach Verbesserungen und Aktualisierungen sein, um sicherzustellen, dass Ihre Anstrengungen zeitgemäß und effektiv bleiben.
• "Nur über den Zaun" bedeutet, dass Sie lediglich die gesetzlichen Anforderungen erfüllen, ohne jedoch über die notwendigen Ressourcen, Prozesse oder Willenskraft zu verfügen, um diese effektiv umzusetzen. Dies kann zu einer oberflächlichen und nicht nachweisbaren Compliance führen.

Häufige Fehler, um die man gehen sollte

Fehler 1: Unzureichende Lieferantenidentifizierung

Unternehmen neigen dazu, nur ihre direkten Lieferanten zu identifizieren und zu überwachen, während sie die unteren Ebenen der Lieferkette vernachlässigen. Warum es scheitert: Diese Annäherung übersieht oft die Quelle vieler Risiken, da Unterauftragsnehmer oft die engste Verbindung zu potenziell gefährdeten Menschenrechten haben. Stattdessen sollten Unternehmen ihre gesamte Lieferkette unabhängig von der Entfernung von der Endproduktion identifizieren und bewerten.

Fehler 2: Fehlende Risikobewertung

Viele Organisationen stellen fest, dass sie ihre Lieferanten riskieren, ohne eine gründliche Risikobewertung durchzuführen, was bedeutet, dass sie nicht die potenziellen Auswirkungen ihrer Geschäftspraktiken auf Menschenrechte oder den Umweltschutz verstehen. Warum es scheitert: Ohne eine sorgfältige Bewertung sind Unternehmen nicht in der Lage, die Effektivität ihrer Maßnahmen zur Risikominderung zu bewerten oder ihre Ergebnisse zu messen. Statt einer oberflächlichen Bewertung sollten Unternehmen detaillierte Risikoanalysen durchführen und regelmäßig aktualisieren.

Fehler 3: Unspezifische Maßnahmen zur Risikominderung

Ein weiterer häufiger Fehler ist die Entwicklung und Implementierung von allgemeinen, nicht spezifischen Maßnahmen zur Risikominderung. Warum es scheitert: Allgemeine Maßnahmen sind oft nicht in der Lage, spezifische Risiken zu adressieren und sind daher unwirksam. Unternehmen sollten spezifische, maßgeschneiderte Maßnahmen entwickeln, die auf die Ergebnisse ihrer Risikobewertungen abgestimmt sind.

Fehler 4: Fehlende Transparenz und Berichterstattung

Unternehmen, die ihre Compliance nicht transparent und nicht offensiv kommunizieren, sind häufig nicht in der Lage, ihre Fortschritte zu messen oder ihre Verpflichtungen gegenüber Stakeholdern nachzuweisen. Warum es scheitert: Eine offene und ehrliche Kommunikation ist entscheidend für das Aufbauen von Vertrauen und das Bewusstsein für Nachhaltigkeitsthemen. Unternehmen sollten regelmäßig Berichte über ihre Fortschritte in Bezug auf die Sorgfaltspflichten erstellen und veröffentlichen.

Fehler 5: Mangelnde Aufrechterhaltung und Fortschreibung

Ein letztes häufiges Missverständnis ist, dass Sorgfaltspflichten als abgeschlossen betrachtet werden, nachdem sie einmal implementiert wurden. Warum es scheitert: Die Welt und die Geschäftswelt sind in ständigem Wandel, was bedeutet, dass die Risikolandschaft ständig verändert wird. Unternehmen, die ihre Sorgfaltspflichten nicht ständig überwachen und anpassen, sind nicht in der Lage, den sich ändernden Bedingungen gerecht zu werden.

Tools und Ansätze

Manuelle Herangehensweise

• Vorteile: Die manuelle Herangehensweise kann flexibler und anpassungsfähiger sein, da sie auf persönlichen Beurteilungen und Entscheidungen basiert. Sie kann auch Kosten sparen, da sie keine zusätzlichen Technologien erfordert.
• Nachteile: Diese Methode kann fehleranfällig sein, da sie auf menschlichen Ressourcen und Zeitmanagement basiert. Sie kann auch unzureichend skalierbar sein, wenn die Anzahl der Lieferanten oder die Komplexität der Lieferkette zunimmt.
• Wann es funktioniert: Die manuelle Methode kann für kleinere Unternehmen funktionieren, die über eine begrenzte Anzahl von Lieferanten verfügen und über genügend interne Kapazität verfügen, um die notwendigen Bewertungen und Maßnahmen zu implementieren.

Tabellenkalkulations-/GRC-Ansatz

• Beschränkungen: Die Verwendung von Tabellenkalkulationen oder Governance, Risk and Compliance (GRC)-Systemen kann die Verwaltung von Daten und Dokumenten erleichtern, kann jedoch in der Skalierung und der Integration verschiedener Datenquellen eingeschränkt sein. Sie können auch Schwierigkeiten haben, komplexe Risiken und Abhängigkeiten in der Lieferkette zu identifizieren und zu bewerten.
• Wann es funktioniert: Diese Methoden können für mittlere Unternehmen geeignet sein, die über eine größere Anzahl von Lieferanten verfügen und eine zentralisierte Verwaltung von Daten und Prozessen benötigen, aber noch nicht bereit sind oder in der Lage sind, investieren in eine vollständig automatisierte Lösung.

Automatisierte Compliance-Plattformen

• Was man suchen sollte: Bei der Auswahl einer automatisierten Compliance-Plattform sollten Sie nach Funktionen suchen, die die Identifizierung von Lieferanten, die Risikobewertung, die Umsetzung von Maßnahmen zur Risikominderung und die Berichterstattung erleichtern. Sie sollten auch die Integration in Ihre bestehenden Systeme und die Verarbeitung von Daten in Echtzeit unterstützen.
• Wann es hilft und wann nicht: Automatische Plattformen können bei der Verbesserung der Effizienz und Skalierbarkeit der Compliance- und Sorgfaltspflichten helfen, insbesondere bei großen Unternehmen mit einer umfangreichen Lieferkette. Sie können jedoch bei der Analyse und Bewertung von Risiken und Menschenrechten in der Lieferkette nicht alle Aspekte abdecken. Automatisierung ist daher eine Ergänzung zu, nicht eine Ersetzung von menschlichen Expertise und Urteilsspielraum.

Matproof, eine Compliance-Automatisierungsplattform für DORA, SOC 2, ISO 27001, GDPR, NIS2, könnte bei der Bewältigung dieser Herausforderungen behilflich sein. Ihre Plattform bietet AI-gesteuerte Richtlinienerstellung in Deutsch und Englisch, automatisierte Beweismittelsammlung von Cloud-Anbietern und einen Endpunkt-Compliance-Agenten für das Monitoring von Geräten, wobei die Daten 100% in der EU ansässig sind.

In der Tat kann Matproof bei der Identifizierung von Lieferanten, der Risikobewertung, der Umsetzung von Maßnahmen zur Risikominderung und der Berichterstattung helfen. Es bietet auch die Möglichkeit, die Implementierung der gesetzlichen Sorgfaltspflichten zu verfolgen und zu bewerten, um eine nachweisbare und wirksame Compliance sicherzustellen.

Zusammenfassend ist es entscheidend, die Sorgfaltspflichten in der Lieferkette mit einer strukturierten, proaktiven und transparenten Herangehensweise umzusetzen. Dies sollte durch die beachtliche und kontinuierliche Überwachung und Anpassung unterstützt werden, um sicherzustellen, dass Ihre Organisation den sich ändernden gesetzlichen Anforderungen und den sich ständig weiterentwickelnden Risiken in der Lieferkette gerecht wird.

Getting Started: Ihre nächsten Schritte

Während die Sorgfaltspflichten in der Lieferkette (CSDDD) und dieCorporate Sustainability Reporting Directive (CSRD) auf den ersten Blick möglicherweise überwältigend erscheinen, können Sie mit einigen konkreten Aktionen schnell Fortschritte erzielen. Hier sind fünf Schritte, die Sie in dieser Woche ausführen können:

1. Einführung eines Wissensmanagement-Systems: Richten Sie ein System zur Dokumentation und Überwachung Ihrer Lieferantenbeziehungen ein. Hierbei können Sie aus verschiedenen Tools wählen, die speziell für diesen Zweck entwickelt wurden, wie zum Beispiel Matproof, das Ihnen dabei helfen kann, die Einhaltung von DORA, SOC 2, ISO 27001, GDPR, NIS2 und anderen Normen zu automatisieren.

2. Risikobewertung und Audits: Führen Sie eine grundlegende Risikobewertung durch und planen Sie regelmäßige Audits Ihrer Lieferanten, um die Einhaltung der Menschenrechte und Umweltstandards zu überprüfen. Die BaFin veröffentlicht detaillierte Leitlinien für die Risikobewertung, die Sie für Ihre Analyse nutzen können.

3. Schulung und Sensibilisierung: Trainieren Sie Ihre Mitarbeiter und Führungskräfte in Bezug auf die Bedeutung der CSDDD- und CSRD-Vorschriften und wie sie in die tägliche Praxis umgesetzt werden können. Die europäische Agentur für Netz- und Informationssicherheit (ENISA) bietet hierfür hilfreiche Ressourcen an.

4. Einbindung externer Expertise: Bewerten Sie, ob die Einbindung eines externen Beraters oder einer Compliance-Firma ratsam ist, insbesondere wenn es um spezialisierte Sachverstand oder Audits geht. Die Entscheidung, ob Sie dies in-house oder extern durchführen, sollte von der Komplexität Ihres jeweiligen Unternehmens und der spezifischen Anforderungen abhängen.

5. Umsetzung von schnellen Erfolgen: Suchen Sie nach schnellen Erfolgen, die Sie in den nächsten 24 Stunden erzielen können, wie zum Beispiel die Erstellung einer ersten Checkliste für die Beurteilung der Lieferanten oder die Einführung eines Systems zur Meldewesen zur Erfassung von Menschenrechten und Umweltverstößen.

Für umfassendere Informationen und Ressourcen ist die offizielle EU-Verordnung zur CSDDD und die BaFin-Leitlinien zu den CSRD unerlässlich. Diese bieten Ihnen detaillierte Anweisungen und Vorgaben, die für die Umsetzung in Ihrem Unternehmen von entscheidender Bedeutung sind.

Frequently Asked Questions

Hier sind einige häufig gestellte Fragen rund um die Thema CSDDD und CSRD mit detaillierten Antworten:

1. Wie unterscheiden sich CSDDD und CSRD voneinander?
   DieCorporate Sustainability Reporting Directive (CSRD) konzentriert sich auf die Berichterstattung über nachhaltige Aspekte, während die Sorgfaltspflichten in der Lieferkette (CSDDD) darauf abzielen, Verpflichtungen der Unternehmen in Bezug auf die Einhaltung von Menschenrechten und Umweltstandards in ihrer Lieferkette zu schaffen. Die CSRD erfordert von Unternehmen, die im EU-Binnenmarkt tätig sind, detaillierte Berichte über ihre Umwelt- und Sozialauswirkungen abzugeben, wohingegen die CSDDD die Einhaltung von Mindeststandards in der Lieferkette vorschreibt.

2. Müssen alle Unternehmen die Vorschriften der CSDDD und CSRD einhalten?
   Nein, nicht alle Unternehmen sind betroffen. Die Anwendungsbereiche sind unterschiedlich. Die CSDDD betrifft Unternehmen mit mehr als 500 Mitarbeitern oder einem Jahresumsatz von mehr als 150 Millionen Euro, während die CSRD Unternehmen mit mehr als 250 Mitarbeitern oder einem Jahresumsatz von mehr als 40 Millionen Euro erfasst.

3. Was unternimmt die BaFin, um die Einhaltung dieser Vorschriften zu überprüfen?
   Die BaFin führt regelmäßige Überprüfungen durch und kann auf Antrag von Interessengruppen oder aufgrund von Hinweisen auf Verstöße die Berichte und Praktiken der Unternehmen überprüfen. Sie kann auch Sanktionen verhängen, wenn die Vorschriften nicht eingehalten werden.

4. Wie kann ich sicherstellen, dass meine Lieferanten die Vorschriften einhalten?
   Ein zentraler Aspekt ist es, klare Vereinbarungen mit Ihren Lieferanten über die einzuhaltenden Standards zu schließen und regelmäßige Audits durchzuführen. Darüber hinaus sollten Sie ein Transparenz- und Meldewesen etablieren, das es Ihren Mitarbeitern und Lieferanten ermöglicht, Verstöße zu melden.

5. Woran erkenne ich, dass meine Firma externe Hilfe benötigt?
   Wenn die Implementierung der Vorschriften zu kompliziert oder zu ressourcenintensiv für Ihr Unternehmen ist, kann es ratsam sein, externe Hilfe in Anspruch zu nehmen. Dies kann bei komplexen Audits, bei spezialisierten juristischen Fragen oder bei der Einhaltung technischer Standards der Fall sein.

Key Takeaways

In dieser Serie haben wir die zentralen Aspekte der Sorgfaltspflichten in der Lieferkette und der Corporate Sustainability Reporting Directive ausführlich erörtert. Hier sind die Hauptpunkte, die Sie nicht übersehen sollten:

• Die CSDDD und CSRD haben unterschiedliche Anwendungsbereiche und Ziele, doch beide zielen darauf ab, die Nachhaltigkeit im Unternehmen und in der Lieferkette zu fördern.
• Eine gründliche Risikobewertung und regelmäßige Audits sind entscheidend, um die Einhaltung der Vorschriften sicherzustellen.
• Schulung und Sensibilisierung sind essentiell, um sicherzustellen, dass alle Mitarbeiter die Bedeutung und die Umsetzung der Vorschriften verstehen.
• Die Entscheidung, ob Sie die Implementierung in-house oder extern durchführen, sollte auf der Komplexität und den Ressourcen Ihres Unternehmens basieren.
• Matproof kann Ihnen dabei helfen, diese Prozesse zu automatisieren und die Compliance mit den Vorschriften zu gewährleisten. Sie bieten eine Plattform, die speziell auf die Anforderungen der Finanzdienstleister in der EU zugeschnitten ist und 100% EU-Datenresidenz garantiert.

Für ein kostenloses Assessment und um mehr über Matproof zu erfahren, besuchen Sie https://matproof.com/contact. Hier erhalten Sie individuelle Beratung und Unterstützung bei der Umsetzung dieser Vorschriften in Ihrem Unternehmen.