Lieferketten-Compliance-Check: Welche Fragen wirklich etwas über Audit-Readiness sagen

Wenn ein Großkunde einen Compliance-Fragebogen schickt, prüft er selten, ob Sie den Gesetzestext zitieren können. Er prüft, ob Ihre Lieferkette steuerbar ist. Die Frist ist oft knapp. Der Einkauf öffnet die bekannte Excel-Datei, sucht den richtigen Reiter und findet drei Versionen desselben Zertifikats plus eine Mail aus dem Vorjahr mit dem Betreff „ISO bitte anhängen“.

Auf dem Papier wirkt das geordnet. Entscheidend ist eine andere Frage: Können Sie in 15 Minuten belegen, wer wann welche Maßnahme für welchen Lieferanten ergriffen hat?

Genau das trennt „gut in Excel dokumentiert“ von audit-ready. Viele mittelständische Unternehmen halten sich für vorbereitet, weil sie Zertifikate in Ordnern haben und irgendwann einen Lieferantenfragebogen verschickt haben. Beides ist nützlich. Beides sagt aber wenig darüber aus, ob der Prozess im Ernstfall trägt.

Dieser Beitrag erklärt, welche Fragen ein seriöser Lieferketten-Compliance-Check tatsächlich stellt, warum gerade diese Fragen etwas über Audit-Readiness verraten - und wo die Grenze einer Fünf-Minuten-Standortbestimmung liegt. Der kostenlose Compliance-Check auf Catenis ist dabei das konkrete Instrument, nicht der eigentliche Gegenstand. Es geht um die Betriebslogik dahinter.

Eine Abgrenzung vorweg, weil sie oft überlesen wird: Der Check betrifft das Lieferkettensorgfaltspflichtengesetz. Abgefragt wird die operative Reife des Lieferantenmanagements unter dem LkSG: Risiken, Übersicht, Nachweise, Fristen, Audit-Trail. ISO 9001 kommt nur vor, weil viele dieser Nachweise im Qualitätsalltag laufen - nicht weil der Check eine Zertifizierung oder ein anderes Regelwerk bewertet.

Was ein Compliance-Check leisten kann - und was nicht

Der Check ist eine operative Standortbestimmung zum LkSG. Er dauert etwa fünf Minuten, umfasst 21 Fragen in sechs Kapiteln und verlangt keine Registrierung. Sie beantworten, wie Sie Lieferantenrisiken identifizieren, wie vollständig Ihre Übersicht ist, ob Nachweise auffindbar sind und wie schnell Sie Entscheidungen belegen können. Am Ende steht ein Reifegradbild mit Kategorien, nicht ein Rechtsgutachten.

Das ist Absicht. Ein Fragebogen, der in wenigen Minuten ausgefüllt werden kann, ersetzt keine individuelle Rechtsberatung. Sein Gegenstand ist das LkSG: ob Sie Lieferantenrisiken systematisch bearbeiten, Nachweise finden und Maßnahmen belegen können.

Was er abbilden kann, ist die Schicht, an der die meisten Audits und Kundenanfragen in der Praxis scheitern: nicht am fehlenden Wissen über Paragrafen, sondern an verstreuten Nachweisen, unklaren Zuständigkeiten und einem Alltag, in dem niemand zuverlässig sagen kann, welcher Stand der gültige ist.

Die knappe Einordnung lautet deshalb: Der Check misst, wie belastbar Ihr Lieferantenmanagement heute dokumentiert und steuerbar ist - entlang der Sorgfaltspflichten des LkSG. Er bewertet nicht, ob Sie „compliant“ im rechtlichen Sinn sind. Er zeigt, ob Ihr Betrieb die Voraussetzungen mitbringt, das überhaupt nachweisen zu können.

Warum gerade diese Fragen etwas verraten

LkSG-Risiken entstehen selten im Gesetzestext. Meist entstehen sie im Alltag. Zertifikate liegen in Postfächern, Freigaben in persönlichen Ordnern, Maßnahmen in Protokollen, die niemand mehr findet. Kurz vor einem Kundenaudit oder einer internen Prüfung wird dann gesucht, kopiert und nachgefasst. Das Team kennt die Lieferanten. Es kann sie nur nicht schnell genug belegen.

Genau deshalb fragt ein brauchbarer LkSG-Check nicht zuerst: „Kennen Sie § 4?“ Er fragt: Haben Sie einen Prozess zur Identifikation von Lieferantenrisiken? Liegt eine zentrale Übersicht vor? Können Sie Maßnahmen pro Lieferant nachweisen? Laufen Zertifikate mit Ablaufdatum? Gibt es einen Audit-Trail?

Diese Fragen klingen operativ, weil sie operativ sind. Sie haben trotzdem einen rechtlichen Kern. Das LkSG verlangt ein angemessenes Risikomanagement: Risiken ermitteln, gewichten, mit Prävention und Abhilfe bearbeiten und intern dokumentieren. Das läuft ins Leere, wenn die zugrunde liegenden Lieferantendaten unvollständig, veraltet oder nicht auffindbar sind.

Die LkSG-Novelle vom September 2025 hat die formale Außenberichterstattung gegenüber dem BAFA reduziert. Die interne Dokumentationspflicht ist davon nicht entfallen. § 10 Absatz 1 LkSG verlangt weiterhin, die Erfüllung der Sorgfaltspflichten fortlaufend festzuhalten und die Unterlagen mindestens sieben Jahre aufzubewahren. Weniger Bericht nach außen heißt nicht weniger Nachweis nach innen. Darauf haben sowohl die BAFA-Hinweise als auch die Einordnung in unserem Beitrag zu CSDDD und LkSG hingewiesen.

Zuerst der Kontext: direkte und indirekte LkSG-Betroffenheit

Die ersten beiden Fragen zählen nicht zum Score. Sie sortieren nur, aus welcher Lage Sie den Rest beantworten.

Die erste Frage lautet: Ist Ihr Unternehmen direkt vom Lieferkettensorgfaltspflichtengesetz betroffen? Die Antwortoptionen unterscheiden direkte Betroffenheit (in der Regel ab 1.000 Beschäftigten im Inland), indirekte Betroffenheit über Kunden, Vorbereitung ohne direkte Pflicht und bloßes Interesse.

Für den Mittelstand ist die zweite Gruppe oft die entscheidende. Viele Unternehmen unterhalb der Schwelle erleben das LkSG nicht als eigenes Gesetz, sondern als Kundenanforderung: Selbstauskunft, Code of Conduct, Vertragszusatz, Nachweis innerhalb von 14 Tagen. Das kann inhaltlich stimmen und praktisch trotzdem binden. Wer glaubt, ohne direkte Pflicht entfalle jeder Handlungsbedarf, unterschätzt, wie Sorgfaltspflichten entlang der Kette weitergereicht werden. Die Abgrenzung unmittelbarer und mittelbarer Zulieferer verschärft das zusätzlich; sie hängt an der Vertragsbeziehung, nicht am Warenfluss. Dazu ausführlich: Unmittelbare und mittelbare Zulieferer im LkSG.

Die zweite Kontextfrage betrifft ISO 9001: zertifiziert, in Vorbereitung, in Planung oder nicht vorgesehen. Auch sie wird nicht bewertet. Sie erklärt nur den betrieblichen Rahmen. Viele LkSG-Nachweise laufen über denselben Einkaufs- und QM-Alltag, in dem bereits Lieferanten bewertet werden. Der Check macht daraus keinen ISO-Audit. Er nutzt den vorhandenen Rahmen, um zu sehen, ob die Sorgfaltspflichten des LkSG dort überhaupt andocken können.

Nehmen wir ein durchgängiges Beispiel. Ein Maschinenbauer mit rund 400 Beschäftigten und etwa 60 direkten Lieferanten ist nicht direkt LkSG-pflichtig. Drei Großkunden sind es. ISO 9001 ist vorhanden. Im ERP stehen 80 Kreditoren, darunter ruhende Nummern. In Excel pflegt der Einkauf 40 „aktive“ Lieferanten.

Zertifikate liegen verteilt in Mails und im QM-Ordner. Dieses Unternehmen würde die Intro-Fragen ehrlich mit „indirekt betroffen“ und „zertifiziert“ beantworten - und trotzdem in den bewerteten Kapiteln Lücken zeigen. Genau das ist der Sinn der Trennung.

Risikomanagement: Wissen reicht nicht, der Prozess muss tragen

Das erste bewertete Kapitel fragt nach vier Dingen: Gibt es einen systematischen Prozess zur Identifikation von Lieferantenrisiken? Wird die Leistung der Lieferanten regelmäßig bewertet? Sind Maßnahmen für kritische Risiken definiert? Werden Risiken und Maßnahmen dokumentiert?

Im LkSG liegt der Kern in der Risikoanalyse. Unternehmen müssen Risiken nicht nur kennen, sondern ermitteln, gewichten und priorisieren - regelmäßig und bei Anlass. Wie das methodisch aussehen kann, steht in der BAFA-Handreichung zur Risikoanalyse und, praxisnäher für den Einkauf, in unserem Beitrag zur abstrakten Risikoanalyse.

ISO 9001:2015 verlangt in Kapitel 6.1, Risiken und Chancen zu bestimmen, und in Kapitel 8.4, extern bereitgestellte Prozesse zu steuern. Das ist der betriebliche Unterbau, auf dem viele Häuser bereits arbeiten. Für den Check zählt trotzdem nicht die Normtreue, sondern ob dieser Unterbau die LkSG-Sorgfalt trägt: dieselben Kriterien, nachvollziehbare Ergebnisse, erkennbare Konsequenzen.

Die Antwortskala ist deshalb bewusst gestuft. „Ja, vollständig dokumentiert“ bedeutet: Es gibt festgelegte Kriterien, einen Rhythmus, Verantwortliche und eine Ablage, die ein Dritter nachvollziehen kann. „Ja, teilweise“ bedeutet oft: Der strategische Einkauf kennt die kritischen Teile, der Rest hängt an Erfahrung. „Nein, aber wir kennen die wichtigsten Risiken“ klingt vernünftig und ist der häufigste Selbstbetrug. Wissen in Köpfen ist kein Prozess. Fällt die Person aus oder kommt ein Auditor, bleibt das Wissen unsichtbar.

Maßnahmen ohne Dokumentation sind intern oft vorhanden: Zweitquelle für ein Teil, zusätzliche Wareneingangsprüfung, Lieferantengespräch nach Reklamation. Nach außen wirken sie wie Zufall, wenn niemand zeigen kann, warum gerade diese Maßnahme gewählt wurde und ob sie gewirkt hat. Das LkSG verlangt keine Erfolgsgarantie. Es verlangt ein System, das nachvollziehbar funktioniert.

Lieferantenmanagement: Ohne Übersicht bleibt jede Pflicht abstrakt

Das zweite bewertete Kapitel beginnt mit einer Frage, die nicht in die Punktzahl eingeht: Wie viele direkte Lieferanten haben Sie? Die Optionen reichen von unter 10 über 10-50, 51-100 und über 100 bis zu „unbekannt“.

„Unbekannt“ ist selbst ein Befund. Wer die Größe seines Portfolios nicht benennen kann, kann Risiken nicht priorisieren, Fristen nicht steuern und Kundenanfragen nicht zuverlässig beantworten. Die Zahl muss nicht auf den letzten Kreditor genau sein. Sie muss aber intern dieselbe sein, egal ob Einkauf, QM oder Controlling gefragt wird.

Danach folgen die eigentlichen Reifefragen: Gibt es eine zentrale, aktuelle Übersicht? Werden Zertifikate, Kontakte, Lieferzeiten und Qualitätsbewertungen systematisch erfasst - für alle oder nur für kritische Lieferanten? Gibt es dokumentierte Auswahlkriterien für neue Lieferanten? Finden regelmäßige Bewertungen statt?

Hier trifft die Präventionspflicht des LkSG auf den Beschaffungsalltag. Wer neue Lieferanten ohne festgelegte Kriterien aufnimmt, kann später schwer erklären, warum gerade dieser Partner freigegeben wurde. Wer nur kritische Lieferanten bewertet, muss begründen können, nach welcher Logik die übrigen außen vor bleiben. Angemessenheit erlaubt Priorisierung. Sie erlaubt keine Beliebigkeit.

Im Beispielunternehmen stehen 80 Nummern im ERP, 40 in Excel, Zertifikate in Mails. Drei Listen, drei Wahrheiten. Der strategische Gießereilieferant ist in allen drei enthalten. Ein Oberflächenbeschichter, der nur sporadisch beauftragt wird, fehlt in Excel, obwohl er für bestimmte Baugruppen notwendig ist. Ein Logistikdienstleister gilt intern nicht als „Lieferant“, obwohl er vertraglich gebunden und für die Leistungserbringung erforderlich ist. Genau solche Lücken machen aus einer formal vorhandenen Lieferantenliste eine unzuverlässige Steuerungsgrundlage - und damit eine schwache Basis für jede LkSG-Risikoanalyse.

Dokumentation: Hier entscheidet sich Audit-Readiness unter dem LkSG

Dieses Kapitel trägt im Check das größte Gewicht, und das zu Recht. Es fragt fünf Dinge: Werden Lieferantenbeziehungen und Compliance-Aktivitäten dokumentiert - digital, teilweise digital, papierbasiert oder gar nicht? Gibt es einen Audit-Trail, also die Spur, wer wann was festgehalten hat? Können Sie Maßnahmen für einen bestimmten Lieferanten schnell nachweisen? Erfassen Sie Zertifikate mit Ablaufdatum? Gibt es einen definierten Prozess für Compliance-Verstöße?

Das ist der Unterschied zwischen Ablage und Nachweis. Ablage bedeutet: Irgendwo existiert ein Dokument. Nachweis bedeutet: Sie finden es, Sie können seine Gültigkeit belegen, und Sie können zeigen, was daraus gefolgt ist. Genau das meint die interne Dokumentationspflicht nach § 10 Absatz 1 LkSG, unabhängig davon, ob ein öffentlicher Bericht noch verlangt wird.

Ein Audit-Trail klingt nach Großunternehmen. Praktisch reicht oft schon die Frage nach einer Ausnahme. Ein Lieferant liefert weiter, obwohl das Zertifikat seit sechs Wochen abgelaufen ist, weil ein Ersatzteil die Linie hält. Wer hat das freigegeben? Wann? Mit welcher Befristung? Mit welcher Auflage? Wenn die Antwort „das hat der Einkauf mit QM kurz abgestimmt“ lautet und niemand das schriftlich findet, ist der Prozess im Ernstfall nicht steuerbar. Genau solche Freigaben werden in Audits und bei Kundenrückfragen nachgefragt, nicht die makellosen Standardfälle.

Zertifikatsfristen sind der häufigste operative Bruch. Ein gültiges Zertifikat in einem Ordner hilft nicht, wenn niemand das Ablaufdatum überwacht. 90, 60 und 30 Tage vor Ende muss jemand erinnert werden - und jemand muss eskalieren, wenn keine Reaktion kommt. Ohne Ablaufdatum ist ein Zertifikatsregister nur eine Dateisammlung.

Der Verstoßprozess schließt den Kreis zur Abhilfe. Ein Fragebogen allein ist keine Sorgfalt. Wenn ein Hinweis, eine Auditabweichung oder eine Kundenreklamation mit menschenrechtlichem oder umweltbezogenem Bezug eingeht, muss klar sein, wer prüft, wer entscheidet und was dokumentiert wird. Ob das über einen Supplier Code of Conduct plus Vertragsklauseln läuft oder über eine interne Eskalationsregel: Entscheidend ist, dass der Weg existiert, bevor der Fall da ist.

Praxisfolge: Fragen Sie sich nicht, ob Sie „dokumentieren“. Fragen Sie, wie lange es dauert, für einen benannten Lieferanten die letzte Maßnahme, das aktuelle Zertifikat und die letzte Bewertung auf den Tisch zu legen. Unter einer Viertelstunde ist der Prozess belastbar. Über einem Tag ist er es in der Regel nicht, auch wenn irgendwo alles vorhanden ist.

Risikobewertung und Kontinuität: Sorgfalt und Lieferfähigkeit treffen sich

Das nächste Kapitel wirkt auf den ersten Blick wirtschaftlicher als rechtlich. Es fragt nach geografischen Risiken, nach der finanziellen Stabilität kritischer Lieferanten und nach Maßnahmen zur Risikoreduktion.

Für das LkSG sind Länder- und Branchenrisiken Teil der abstrakten Analyse. Politische Lage, Durchsetzung von Arbeits- und Umweltrecht, typische Prozessrisiken einer Warengruppe: Das sind keine weichen Zusatzthemen, sondern der Stoff, aus dem Priorisierung entsteht. Gleichzeitig sind dieselben Faktoren klassische Kontinuitätsrisiken. Eine Gießerei in einer Region mit instabiler Energieversorgung oder ein Single-Source-Teil mit langer Wiederbeschaffungszeit gefährdet die Linie, unabhängig davon, ob gerade ein Auditor im Haus ist.

Finanzielle Stabilität gehört in beide Logiken. Ein kritischer Lieferant, der in Schieflage gerät, erzeugt Qualitäts-, Liefer- und oft auch Sorgfaltsfolgen: weniger Investitionen in Arbeitsschutz, höherer Druck auf Subunternehmer, brüchige Nachweise. Wer Bonität nur prüft, wenn die Buchhaltung zufällig eine Auskunft einholt, steuert nicht. Wer sie regelmäßig für A-Lieferanten prüft und das Ergebnis mit der Risikoeinstufung verknüpft, schon.

Im Beispielunternehmen hängt ein Kernbauteil an einer einzigen Gießerei. Alternative Quellen wurden vor Jahren diskutiert und wegen Werkzeugkosten verworfen. Eine formelle Single-Source-Bewertung mit Notfallplan existiert nicht. Geografische Risiken werden implizit mitgedacht („die sitzen in Europa, das ist unkritisch“) und nicht hergeleitet. Genau das kritisiert die BAFA-Logik: Land als Etikett statt als begründete Hypothese.

Warum der Check auch nach Zeit und Aufwand fragt

Die letzten beiden Fragen haben keinen direkten Rechtsbezug. Sie fragen, wie schnell fundierte Lieferantenentscheidungen möglich sind, wenn aktuelle Informationen gebraucht werden - sofort digital, in Stunden, in Tagen oder nur mit großem Aufwand. Und sie fragen, wie viele Stunden pro Woche ins manuelle, wiederkehrende Lieferantenmanagement gehen.

Das ist kein Marketinganhängsel. Es ist die Stelle, an der gut gemeinte LkSG-Prozesse im Alltag kippen. Ein Risikoprozess, der jährlich zwölf Stunden extra kostet und sonst niemand pflegt, wird vor dem nächsten Kundenfragebogen improvisiert. Eine Zertifikatsliste, die nur lebt, wenn eine Person daran denkt, stirbt in der Urlaubsvertretung.

Wenn Informationen erst in Tagen zusammengetragen werden, ist das Unternehmen nicht „ein bisschen langsam“. Es hat kein System of Record. Die Wahrheit liegt verteilt. Jede Kundenanfrage wird zum Sonderprojekt. Genau das beschreibt auch der Beitrag LkSG 2026: Der Mittelstand gerät unter Druck, weil Großkunden Nachweise brauchen, nicht weil ihm der Gesetzestext unbekannt wäre.

Wie das Ergebnis zu lesen ist

Der Check rechnet die bewerteten Kapitel auf 180 Punkte um und zeigt einen Gesamtprozentwert plus Kategorien. Ab 80 Prozent gilt der Stand als sehr gut, ab 60 Prozent als gut, ab 40 Prozent als verbesserungswürdig, darunter als Handlungsbedarf. Die Intro-Fragen und die Lieferantenanzahl fließen nicht ein.

Wichtig ist die Kategorie, nicht die Gesamtzahl. Ein Haus mit starkem Lieferantenregister und schwachem Verstoßprozess ist anders aufgestellt als eines mit sauberer Risikomatrix und Zertifikaten in Mailanhängen. Der Gesamtprozentwert glättet das. Die Ampel pro Kapitel zeigt, wo Sie als Nächstes arbeiten sollten.

Lesen Sie das Ergebnis als Reifegrad unter dem LkSG, nicht als Note und nicht als Rechtsfeststellung. 55 Prozent bedeuten nicht „nicht gesetzeskonform“. Sie bedeuten: Wesentliche Teile des Betriebs sind vorhanden, aber nicht systematisch, nicht aktuell oder nicht belegbar. 85 Prozent bedeuten nicht, dass ein Auditor oder ein Kunde nichts findet. Sie bedeuten, dass die Grundmechanik trägt und eher Feinschliff fehlt: Frühwarnung, Rhythmus, Automatisierung.

Optional lässt sich ein Report per E-Mail sichern. Das ist ein Angebot, kein Pflichtschritt. Der Check selbst bleibt ohne Registrierung nutzbar. Wer den Report anfordert, bekommt die Kategorien und konkrete nächste Schritte; das ersetzt weiterhin keine Beratung.

Typische Missverständnisse

Wer mit Einkauf, QM und Geschäftsführung über solche Checks spricht, hört oft dieselben Sätze.

„Wir sind gar nicht direkt betroffen.“

Das kann stimmen und praktisch trotzdem irrelevant sein. Kundenanforderungen, Vertragsklauseln und Nachweisfristen wirken unabhängig von der eigenen Beschäftigtenzahl. Indirekte Betroffenheit ist für viele Mittelständler der Normalfall, nicht die Ausnahme.

„Das ist doch dasselbe wie PPWR oder NIS-2.“

Nein. PPWR betrifft Verpackung und Material. NIS-2 betrifft Cybersicherheit und Meldewege. Der Check fragt keines von beiden ab. Er bleibt beim LkSG: Sorgfalt in der Lieferkette, Nachweise, Risikoanalyse, Abhilfe. Wer die Regime vermischt, erzeugt Fragebögen, die alles anfassen und nichts belastbar machen.

„Wir haben ISO 9001, damit sind wir fein.“

ISO 9001 schafft eine nützliche Grundordnung für Lieferantenbewertung. Sie ersetzt weder eine LkSG-Risikoanalyse noch einen Audit-Trail für Sorgfaltsmaßnahmen. Viele zertifizierte Unternehmen scheitern genau dort, wo der Alltag in Excel und Mail weiterläuft.

„Wir haben einen Lieferantenfragebogen eingeführt.“

Fragebögen sind ein Werkzeug. Sie sind kein System. Ohne Priorisierung, ohne Frist, ohne Eskalation und ohne Ablage, die später auffindbar ist, erzeugen sie vor allem Rücklaufchaos. Dasselbe gilt für einen Code of Conduct, der nicht in Auswahl, Vertrag und Verstoßprozess übersetzt wird.

„Die Zertifikate liegen im QM-Ordner.“

Dann ist die nächste Frage: Mit Ablaufdatum, Verantwortlichem und Erinnerung - oder als Dateihaufen? Ein Ordner ohne Steuerung ist Ablage. Ablage ist kein Nachweis.

„Ein kurzer Check kann unser Setup nicht bewerten.“

Was der Check bewusst nicht abfragt

Der Fragebogen ist ein LkSG-Check. Er ist kein PPWR-Check und kein NIS-2-Check.

Er enthält keinen Block zu Cybersicherheit in der Lieferkette, keine Abfrage zu Verpackung, Material oder Kennzeichnung und keine CSDDD-Aktivitätenkette. Auch das Beschwerdeverfahren nach § 8 LkSG wird nicht im Detail geprüft. Diese Themen haben eigene Tiefe. Sie in 21 Fragen zu pressen, würde den Check unbrauchbar machen.

ISO 9001 erscheint nur als Kontext, weil Risikomanagement und Lieferantensteuerung dort oft schon angelegt sind. Bewertet wird trotzdem nicht die Normtreue, sondern die Nachweisbarkeit, die das LkSG im Alltag verlangt.

Wer PPWR oder NIS-2 braucht, findet dazu eigene Fachbeiträge und Module. Für die Abgrenzung von deutschem Sorgfaltsrecht und europäischer Richtlinie bleibt EU-CSDDD vs. deutsches LkSG die richtige Einordnung. Der Compliance-Check selbst bleibt beim LkSG.

Was nach dem Check sinnvoll ist

Nach dem Ergebnis hilft eine einfache Reihenfolge.

Erst die schwächste Kategorie schließen, nicht alle gleichzeitig. Fehlt die Übersicht, bringt ein neuer Verstoßprozess wenig. Fehlen Fristen, bringt eine schönere Risikomatrix wenig.

Dann die Liste bereinigen, bevor ein Tool eingeführt wird. Software verdoppelt unsaubere Stammdaten, sie heilt sie nicht. 20 kritische Lieferanten vollständig sind der bessere Start als 200 unvollständige Zeilen.

Danach den Nachweisalltag so legen, dass Audit-Trails aus der laufenden Arbeit entstehen statt aus der Nacht vor dem Kundentermin. Erinnerungen, Status, Ablage pro Lieferant: Das ist der Punkt, an dem Catenis als System of Record gemeint ist - zentral, nachvollziehbar, ohne Enterprise-Projekt.

Wenn Sie den Stand erst einmal sehen wollen, reicht der kostenlose Compliance-Check. Er bleibt unverbindlich und bleibt ein LkSG-Check. Die Funktionen werden erst relevant, wenn aus dem Befund ein laufender Prozess werden soll.

Fazit

Audit-Readiness unter dem LkSG ist keine Frage des richtigen Zitats. Sie ist eine Frage, ob Risiken, Lieferanten, Nachweise und Maßnahmen im Alltag dieselbe Wahrheit teilen. Ein brauchbarer Compliance-Check fragt deshalb nach Prozess, Übersicht, Belegbarkeit, Fristen und Aufwand - nicht nach dem Wortlaut des Gesetzes und nicht nach PPWR oder NIS-2.

Für direkt Betroffene ist das die interne Nachweispflicht, die auch ohne BAFA-Bericht fortgilt. Für indirekt Betroffene ist es die Fähigkeit, Kundenanfragen zu bestehen, ohne jedes Mal ein Sonderprojekt aufzusetzen.

Die knappe Antwort lautet: Wenn Sie in einer Viertelstunde belegen können, wer wann was für welchen Lieferanten getan hat, sind Sie näher an audit-ready, als es die meisten Excel-Dateien nahelegen. Wenn nicht, wissen Sie wenigstens, an welcher Stelle der Alltag das LkSG einholt.