Lieferkettenrisiken in Österreich: Wie Unternehmen ihre Geschäftspartner systematisch prüfen

Ein neuer Lieferant bietet passende Konditionen, die erste Lieferung ist bereits eingeplant. Kurz vor der Anzahlung trifft eine Nachricht ein: Das Geld soll auf ein anderes Konto überwiesen werden, dessen Inhaber nicht mit dem Vertragspartner übereinstimmt. Für den Einkauf entsteht eine konkrete Frage: Gibt es dafür eine nachvollziehbare Erklärung oder muss die Zahlung zunächst intern zurückgestellt werden?

Das hypothetische Beispiel zeigt, weshalb Geschäftspartnerprüfungen mehr sein sollten als das Ablegen eines Fragebogens. Entscheidend ist, Informationen zusammenzuführen, Widersprüche zu erkennen und Zuständigkeiten für weitere Schritte festzulegen. Für österreichische Unternehmen mit grenzüberschreitenden Lieferbeziehungen gehört dazu auch die Unterscheidung zwischen gesetzlichen Pflichten, vertraglichen Erwartungen und freiwilliger Vorsorge.

Lieferkettenrisiken haben unterschiedliche Ursachen

Bei der Prüfung eines Lieferanten geht es zunächst darum, welche Risiken für die konkrete Geschäftsbeziehung relevant sind. Kann der Betrieb zuverlässig liefern? Wie abhängig ist das eigene Unternehmen von seinen Produkten? Sind Identität, Ansprechpartner und Zahlungswege nachvollziehbar?

Daneben können Betrugs- und Korruptionsrisiken, menschenrechtliche oder umweltbezogene Risiken sowie mögliche Sanktionsbeschränkungen eine Rolle spielen. Diese Aspekte verlangen unterschiedliche Informationen. Ein Nachweis über ein Umweltmanagementsystem beantwortet beispielsweise nicht die Frage, ob eine geänderte Bankverbindung tatsächlich zum Lieferanten gehört.

Auch Geschäftspartnerprüfungen sind nicht einheitlich: Bei einem Produktionslieferanten stehen andere Fragen im Vordergrund als bei einem Vertriebsvermittler oder einem IT-Dienstleister mit Zugang zu sensiblen Daten. Der Prüfprozess sollte diese Unterschiede abbilden.

Welche Anforderungen österreichische Unternehmen unterscheiden müssen

Nicht jede Nachhaltigkeitsanfrage eines Kunden ist eine unmittelbare gesetzliche Pflicht des angefragten Betriebs. Für die Einordnung sind drei Ebenen wichtig: Welche Vorschriften gelten für das eigene Unternehmen? Welche Anforderungen wurden vertraglich vereinbart? Welche zusätzlichen Prüfungen sind aus betrieblicher Sicht sinnvoll?

Die europäische Lieferkettenrichtlinie CSDDD wurde durch die Richtlinie (EU) 2026/470 geändert. Ihr unmittelbarer Anwendungsbereich konzentriert sich auf sehr große Unternehmen. Nach dem im Oktober 2026 geltenden europäischen Zeitplan müssen die Mitgliedstaaten die entsprechenden nationalen Umsetzungsvorschriften bis zum 26. Juli 2028 erlassen und ab dem 26. Juli 2029 anwenden. Für bestimmte Berichtspflichten gilt ein späterer Beginn. Eine bereits bestehende allgemeine CSDDD-Prüfpflicht für sämtliche österreichischen KMU ergibt sich daraus nicht.

Davon zu unterscheiden sind Nachhaltigkeitsberichterstattung, produktspezifische Vorschriften und vertragliche Informationsanforderungen. Der Sammelbegriff ESG, also Umwelt, Soziales und Unternehmensführung, beschreibt noch keine bestimmte Rechtspflicht.

Auch Deutschland, Österreich und die Schweiz bilden keinen einheitlichen Rechtsraum. Eine Kundenanfrage mit Verweis auf deutsche Vorschriften macht diese nicht automatisch zu österreichischem Recht. Zu klären bleibt, auf welcher Grundlage welche Information verlangt wird und ob eine entsprechende Verpflichtung besteht.

Externe Unterstützung: Prüfauftrag und Verantwortung klar abgrenzen

Externe Fachleute können Prüfabläufe strukturieren, Sachverhalte untersuchen oder abgegrenzte Kontrollaufgaben übernehmen. Voraussetzung ist ein klarer Auftrag: Wird ein Geschäftspartner geprüft, das eigene Kontrollsystem untersucht oder eine laufende Compliance-Funktion besetzt?

Die Beratungsgesellschaft S+P Compliance betont in ihrer Darstellung zur Auslagerung von Compliance-Aufgaben eine klare Verantwortungsgrenze: Die vereinbarten Tätigkeiten können extern übernommen werden, während Steuerung, Entscheidungshoheit und Letztverantwortung beim beauftragenden Unternehmen verbleiben. Für interne Audits beschreibt sie die Prüfung von Governance, Risikomanagement und Prozessen. Auf die Organisation der Geschäftspartnerprüfung übertragen bedeutet dieser Ansatz: Informationsbeschaffung, Kontrolle und Freigabe müssen nachvollziehbar zugeordnet sein.

Dabei ist der Prüfgegenstand entscheidend. Ein Lieferantenaudit untersucht festgelegte Sachverhalte beim Lieferanten. Ein Audit des eigenen Compliance-Systems prüft dagegen beispielsweise, ob Freigaben, Kontrollen und Eskalationswege angemessen gestaltet sind und angewendet werden. Diese Prüfungen beantworten unterschiedliche Fragen und sind nicht ohne Weiteres austauschbar.

Ein aussagekräftiger Prüfauftrag benennt Gegenstand, Kriterien, Zeitraum und Grenzen der Untersuchung. Bei einer Prüfung von Lieferantenfreigaben könnte etwa anhand ausgewählter Vorgänge untersucht werden, ob erforderliche Nachweise vorlagen und Ausnahmen genehmigt wurden. Die bloße Existenz einer schriftlichen Richtlinie belegt noch nicht deren Anwendung. Für festgestellte Mängel sollten Verantwortliche, Maßnahmen und Fristen festgelegt werden. Anschließend ist zu überprüfen, ob die vereinbarten Verbesserungen umgesetzt wurden und die Mängel tatsächlich beheben.

Ebenso unterscheidet sich ein zeitlich begrenztes Audit von einem externen Compliance Officer, der vereinbarte Aufgaben fortlaufend wahrnimmt. Welche Funktion geeignet ist, welche Unabhängigkeit sie benötigt und welche Tätigkeiten kombiniert werden dürfen, hängt vom Auftrag und den einschlägigen Vorschriften ab. Entscheidend sind ein klar abgegrenzter Leistungsumfang, ausreichende Informationsrechte und geregelte Berichtswege zur Unternehmensleitung.

Risikoorientiert prüfen statt alle gleich behandeln

Eine systematische Prüfung muss nicht für jede Geschäftsbeziehung denselben Umfang haben. Für die Planung empfiehlt sich vielmehr, Bedeutung und Risiken nachvollziehbar zu bewerten.

Ein leicht ersetzbarer Standardartikel erfordert eine andere Betrachtung als ein speziell gefertigtes Bauteil, dessen Ausfall die Produktion unterbrechen könnte. Bei einem Vermittler können ungewöhnliche Vergütungen und die Rolle gegenüber Auftraggebern besondere Aufmerksamkeit verdienen.

Relevante Kriterien sind deshalb neben Art und Umfang der Leistung auch Abhängigkeiten, Zahlungswege, Transparenz der Unternehmensstruktur und konkrete Auffälligkeiten. Länder- und Brancheninformationen können die Bewertung ergänzen. Sie beweisen für sich genommen jedoch kein Fehlverhalten eines einzelnen Unternehmens.

Fachlich sind zwei Perspektiven zu trennen: Betriebswirtschaftliches Risikomanagement betrachtet mögliche Schäden für das eigene Unternehmen. Menschenrechtliche und umweltbezogene Sorgfalt fragt dagegen auch nach negativen Auswirkungen auf Beschäftigte, andere Betroffene und die Umwelt. Ein Lieferant mit geringem Einkaufsvolumen kann deshalb trotz geringer wirtschaftlicher Bedeutung eine vertiefte Prüfung erfordern. Bei solchen Auswirkungen zählen insbesondere Schwere, Reichweite, mögliche Unumkehrbarkeit und Eintrittswahrscheinlichkeit. Bei Menschenrechtsrisiken hat die Schwere besonderes Gewicht. Eine reine Umsatzrangliste reicht als Priorisierung nicht aus.

Geschäftspartner in fünf Schritten prüfen

1. Identität und Zuständigkeiten feststellen

Am Anfang stehen der genaue Unternehmensname, Sitz, Rechtsform, gegebenenfalls Registernummer und nachvollziehbare Vertretungsverhältnisse. Diese Angaben sollten mit Vertrag, Rechnung und vorgelegten Unterlagen abgeglichen werden.

Für eingetragene österreichische Rechtsträger ist das Firmenbuch eine amtliche Informationsquelle. Abfragen können aktuelle und historische Eintragungen zugänglich machen. Bei ausländischen Partnern sind die jeweils einschlägigen Register und deren Aussageumfang zu berücksichtigen.

Ein Registerauszug belegt allerdings nicht automatisch Lieferfähigkeit, wirtschaftliche Stabilität oder die Echtheit einer einzelnen Zahlungsanweisung. Jede Quelle beantwortet nur bestimmte Fragen.

2. Geschäft und Risikoprofil beschreiben

Danach sollte festgehalten werden, welche Leistung bezogen wird, welche Bedeutung sie hat und welche besonderen Risiken geprüft werden sollen. Auch der Zugang zu Informationen, eingesetzte Unterauftragnehmer und schwer ersetzbare Bezugsquellen können relevant sein.

Wenn Eigentums- und Kontrollverhältnisse für die Prüfung erforderlich sind, reicht eine oberflächliche Gesellschafterübersicht möglicherweise nicht aus. Das österreichische Register der wirtschaftlichen Eigentümer enthält hierzu zusätzliche Informationen; die Einsicht unterliegt jedoch gesetzlichen Voraussetzungen. Es ist keine uneingeschränkt offene Recherchedatenbank für jeden beliebigen Zweck.

3. Nachweise bewerten und Widersprüche klären

Selbstauskünfte, Zertifikate und Berichte sollten auf Aktualität, Geltungsbereich und Bezug zum Vertragspartner geprüft werden. Gilt ein Nachweis für den betroffenen Standort? Welche Tätigkeit wurde untersucht? Was bleibt ausdrücklich außerhalb der Prüfung?

Für menschenrechtliche oder umweltbezogene Fragen sollte außerdem erkennbar sein, welcher konkrete Sachverhalt bewertet werden soll. Ein umfangreicher Fragebogen ohne Bezug zur Leistung schafft Unterlagen, aber noch keine belastbare Einordnung.

Sanktionsfragen sind gesondert zu behandeln. Je nach Geschäft können beteiligte Personen, Eigentums- und Kontrollverhältnisse, Güter, Verwendungszweck und Bestimmungsland relevant sein. Ein unauffälliger Firmenname reicht nicht als Entwarnung: Auch die Eigentümerschaft oder Kontrolle durch gelistete Personen kann sanktionsrechtlich relevant sein. Umgekehrt beweist eine bloße Namensähnlichkeit keinen Treffer. Erforderlich ist eine eindeutige Zuordnung anhand zusätzlicher Merkmale und der einschlägigen Regelung.

4. Entscheidung und offene Punkte dokumentieren

Die Prüfakte sollte erkennen lassen, welche Informationen vorlagen, wie Auffälligkeiten bewertet wurden und wer über die Geschäftsbeziehung entschieden hat. Auch offene Fragen und vereinbarte Maßnahmen gehören dazu.

Eine hilfreiche Dokumentation ist nachvollziehbar, ohne unnötige Daten anzusammeln. Bei personenbezogenen Angaben sind insbesondere Zweck, Zugriffsberechtigungen und Aufbewahrung zu klären.

5. Bei Veränderungen erneut hinsehen

Eine Erstprüfung bleibt eine Bewertung auf Grundlage der damaligen Informationen. Neue Eigentümer, geänderte Zahlungswege, erhebliche Lieferprobleme oder konkrete Hinweise können eine Aktualisierung auslösen.

Für die betriebliche Organisation empfiehlt sich deshalb festzulegen, wer solche Veränderungen aufnimmt und wann eine erneute Freigabe erforderlich wird. Ein universeller Prüfturnus für sämtliche Partner lässt sich daraus nicht ableiten. Zusätzlich sollte erkennbar sein, wer offene Maßnahmen verfolgt und wie überfällige Klärungen eskaliert werden. Eine einmalige Freigabe darf nicht dazu führen, dass später eingehende Hinweise unbearbeitet bleiben.

Warnsignale sind Prüfhinweise, keine Schuldbeweise

Ungewöhnlicher Zeitdruck, widersprüchliche Angaben oder fehlende Unterlagen rechtfertigen Rückfragen. Sie belegen allein jedoch weder Betrug noch einen anderen Verstoß. Eine abweichende Kontoinhaberschaft kann beispielsweise mit einer nachvollziehbaren Forderungsabtretung zusammenhängen.

Prüfanlass	Mögliche Rückfrage	Nächster Schritt
Neue Bankverbindung	Wer hat die Änderung veranlasst?	Über einen bereits verifizierten Kontakt unabhängig bestätigen lassen
Abweichender Zahlungsempfänger	Welche rechtliche und geschäftliche Beziehung besteht?	Grundlage und Nachweise intern prüfen lassen
Unklarer Zertifikatsumfang	Welche Gesellschaft und welcher Standort sind erfasst?	Geltungsbereich und gegebenenfalls ergänzende Nachweise klären

Die Reaktion sollte zum Befund passen. Zusätzliche Unterlagen, eine fachliche Bewertung oder eine interne Eskalation kommen je nach Situation infrage. Bestätigte rechtliche Verbote sind dabei anders zu behandeln als noch ungeklärte organisatorische Unstimmigkeiten.

Praxisbeispiel: Eine abweichende Zahlung vor der ersten Lieferung

Ein hypothetischer österreichischer Maschinenbaubetrieb bestellt Bauteile bei einem neuen Lieferanten aus einem anderen EU-Staat. Vor der vereinbarten Anzahlung erhält der Einkauf eine Kontoverbindung auf den Namen einer dritten Gesellschaft.

Die zuständige Mitarbeiterin hält die Abweichung fest und stimmt mit der Buchhaltung ab, die Zahlungsfreigabe zunächst zurückzustellen. Über eine zuvor verifizierte Telefonnummer fragt sie beim Lieferanten nach. Dieser erklärt, die Forderung sei an eine Finanzierungsgesellschaft abgetreten worden.

Für die weitere Prüfung wären nun die Identität des Zahlungsempfängers, die Zuordnung zur konkreten Forderung und die vorgelegten Nachweise relevant. Die zuständige interne Stelle könnte anschließend entscheiden, ob die Erklärung ausreichend belegt ist oder zusätzliche Klärung benötigt wird.

Das Beispiel endet bewusst nicht mit einer pauschalen Entwarnung. Selbst wenn sich die Zahlungsfrage klären lässt, bleiben Lieferfähigkeit und Qualität gesondert zu beurteilen. Eine erfolgreich abgeschlossene Einzelprüfung deckt nicht sämtliche Risiken ab.

Aus Prüfergebnissen müssen nachvollziehbare Maßnahmen werden

Je nach Ergebnis können Informationen ergänzt, Verbesserungsmaßnahmen vereinbart oder zusätzliche Kontrollen vorgesehen werden. Bei kritischen Abhängigkeiten kommt die Vorbereitung alternativer Bezugsquellen in Betracht. Ob eine Geschäftsbeziehung eingeschränkt oder beendet werden muss beziehungsweise darf, ist anhand des konkreten Sachverhalts und der rechtlichen sowie vertraglichen Rahmenbedingungen zu beurteilen.

Für österreichische Unternehmen liegt der praktische Wert einer Geschäftspartnerprüfung deshalb nicht in möglichst vielen Dokumenten. Entscheidend ist ein Prozess, der passende Fragen stellt, belastbare Informationen beschafft und Entscheidungen zuordnet. Dazu gehört auch festzuhalten, welche Unsicherheiten bestehen bleiben und wer deren weitere Behandlung verantwortet.