Lieferantenaudit-Checkliste DACH: Vorlage, Prüfschritte, Nachweis

Nach ISO 9001:2015 Abschnitt 8.4 und ISO/IEC 27001:2022 Control A.5.19 müssen Unternehmen externe Anbieter steuern und das Ergebnis dokumentiert nachweisen. In der DACH-Region kommen häufig zusätzliche Anforderungen aus dem Lieferkettensorgfaltspflichtengesetz (LkSG, § 4 ff.) sowie branchenspezifische Vorgaben wie IATF 16949 für Automotive oder EU-GMP für Pharma hinzu. Eine Audit-Checkliste ist damit kein nice-to-have, sondern der zentrale Nachweis, dass Ihr Unternehmen Lieferantenrisiken systematisch bewertet, dokumentiert und steuert. Die Vorlage ist gleichzeitig Arbeitsmittel für den Auditor, Beweismittel im Zertifizierungsaudit und Grundlage für die jährliche LkSG-Berichterstattung beim Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA), die für berichtspflichtige Unternehmen seit dem Geschäftsjahr 2023 verbindlich ist.

Dieser Beitrag zeigt, wie eine belastbare Lieferantenaudit-Vorlage für den DACH-Raum aufgebaut ist: von der risikobasierten Vorauswahl über die On-Site-Prüfung bis zum Maßnahmen-Tracking und zur revisionssicheren Ablage. Sie erfahren, welche 37 Prüfpunkte sich in der Praxis bewährt haben, wie Abweichungen nach Wesentlichkeit klassifiziert werden, welche Fristen je Schweregrad gelten und wie sich die gesamte Dokumentation in einem System zusammenführen lässt, das einem Wirtschaftsprüfer, einem ISO-Zertifizierer und einer BAFA-Anfrage gleichzeitig standhält. Der Beitrag richtet sich an Einkaufsleiter, Qualitätsmanager, Compliance-Verantwortliche und externe Auditoren, die ihre bisherige Excel-basierte Vorgehensweise auf ein revisionsfestes Niveau heben wollen. Audit-fest, dokumentiert, § 4 LkSG-fest.

Lieferantenaudits in der DACH-Region unterliegen einer dichten Regelungslage, die sich nicht ohne Weiteres aus einer englischsprachigen Standardvorlage abbilden lässt. Auf Konzernebene greift die ISO 9001:2015 mit Abschnitt 8.4 zur Steuerung externer Anbieter. Hinzu kommen ISO/IEC 27001:2022 Control A.5.19 für IT-Lieferanten, das deutsche Lieferkettensorgfaltspflichtengesetz (LkSG, in Kraft seit 1. Januar 2023) und branchenspezifische Standards wie IATF 16949 für Automotive, EU-GMP für Pharma oder die EU-Verordnung 2017/745 (MDR) für Medizinprodukte. Eine generische Audit-Vorlage aus dem englischsprachigen Raum bildet diese Schichtung selten ab und führt regelmäßig zu Nachforderungen im Zertifizierungsaudit.

Eine DACH-spezifische Vorlage berücksichtigt zudem rechtliche Besonderheiten: die Schriftform nach § 126 BGB für bestimmte Vereinbarungen, die handelsrechtliche Aufbewahrungspflicht von zehn Jahren nach § 257 HGB, die DSGVO-konforme Verarbeitung personenbezogener Auditdaten sowie die Vorgaben des Geschäftsgeheimnisgesetzes (GeschGehG) zur Behandlung schutzwürdiger Informationen des Lieferanten. Wer eine internationale Vorlage einfach übersetzt, läuft Gefahr, Nachweise unvollständig zu führen, Aufbewahrungsfristen falsch zu setzen und im Folgeaudit eine wesentliche Abweichung zu erhalten, die wiederum Eskalationspflichten gegenüber Kunden auslösen kann.

CIVAC stellt die Lieferantenaudit-Vorlage als eine von 490 einsatzbereiten Audit-Vorlagen im Workspace bereit. Die Vorlage ist mit den Rollen Lieferanten-Auditor und LkSG-Beauftragter verknüpft, sodass Vorbereitung, Durchführung und Nachbereitung in einer einzigen Berichtslinie laufen und die Ergebnisse automatisch in den jährlichen LkSG-Bericht einfließen, der spätestens vier Monate nach Geschäftsjahresende bei der BAFA einzureichen ist. Der Prüfer ruft an, der Nachweis liegt bereit. Die Vorlage berücksichtigt ferner die in Deutschland, Österreich und der Schweiz unterschiedlichen Anforderungen an Geheimhaltungsvereinbarungen, die ohne lokale Anpassung schnell unwirksam werden, sowie die jeweils national geltenden Aufbewahrungsfristen, die sich für steuerlich relevante Unterlagen zwischen sieben und zehn Jahren bewegen.

Eine professionelle Lieferantenaudit-Vorlage gliedert sich in vier Phasen, die in einem zusammenhängenden Dokumentenstrang abgelegt werden und sich gegenseitig referenzieren. Phase 1 (Vorbereitung) umfasst die Risikoeinstufung des Lieferanten nach Volumen, Kritikalität und geografischer Lage, den Auditplan mit Geltungsbereich und Normenbezug, die formale Anfrage an den Lieferanten und den Versand der Vorab-Unterlagen, mindestens zehn Werktage vor dem Termin. Phase 2 (Durchführung) deckt Opening Meeting, On-Site-Begehung, Stichproben aus Prozessen und Closing Meeting ab. Phase 3 (Berichterstellung) erfasst Abweichungen, Korrekturmaßnahmen und Fristen. Phase 4 (Nachverfolgung) prüft die Umsetzung, dokumentiert den Nachweis und schließt den Auditzyklus.

Jede Phase erzeugt eigene Artefakte: Auditplan und Risikoeinstufung (Phase 1), Auditprotokoll mit Zeitstempel je Prüfpunkt und Anwesenheitsliste (Phase 2), Abweichungsbericht mit Klassifizierung und Maßnahmenplan (Phase 3), Wiedervorlage und Reauditbericht mit Nachweis-Dateien (Phase 4). Diese Artefakte müssen referenzierbar verbunden sein: ein Abweichungsbericht ohne Verweis auf den Auditplan und das Protokoll ist im Folgeaudit angreifbar, weil der Zusammenhang zwischen Beobachtung und Bewertung nicht nachvollziehbar ist. Die CIVAC-Vorlage erzwingt diese Verknüpfung über eindeutige Audit-IDs und automatische Querverweise zwischen den Dokumenten.

Wichtig ist die Trennung zwischen Pflicht- und Kürfeldern. Pflichtfelder (Auditnummer, Datum, Auditor, Lieferantenname, Geltungsbereich, Normenbezug, Auditart) dürfen nicht leer bleiben und werden technisch erzwungen. Kürfelder (Anwesenheitsliste mit Foto, Übersetzungsbedarf, Begleitperson aus Einkauf) werden je nach Audittyp aktiviert. Ein Stage-2-Zertifizierungsaudit hat andere Pflichtfelder als ein Überwachungsaudit beim Bestandslieferanten oder ein Trigger-Audit nach einem Qualitätsvorfall. Die Vorlage erkennt den Audittyp aus dem Auditplan und aktiviert die passende Feldmenge automatisch, sodass der Auditor nicht mit irrelevanten Pflichtfeldern arbeiten muss und gleichzeitig keine relevanten Felder vergisst. Diese kontextsensitive Steuerung ist einer der Gründe, weshalb Excel als Audit-Werkzeug im DACH-Raum zunehmend durch dedizierte Plattformen abgelöst wird.

Die CIVAC-Lieferantenaudit-Vorlage umfasst 37 Prüfpunkte, gegliedert in sieben Cluster, die sich an den Anforderungen der relevanten Normen orientieren. Cluster 1 (Unternehmensdaten, 4 Punkte) erfasst Rechtsform, UStID, Geschäftsführung und Mitarbeiterzahl mit Stichtag. Cluster 2 (Qualitätsmanagement, 6 Punkte) prüft ISO-9001-Zertifikat mit Geltungsbereich, Managementreview-Frequenz, Reklamationsquote der letzten zwölf Monate, Wirksamkeit der Korrektur- und Vorbeugemaßnahmen, Durchführung interner Audits und Schulungsnachweise der Schlüsselpersonen. Cluster 3 (Informationssicherheit, 5 Punkte) bewertet ISO/IEC-27001-Status, Zugriffskonzept nach Need-to-know, Backup-Strategie, Incident-Response-Plan und die Steuerung der eigenen Lieferantenkette.

Cluster 4 (LkSG und Menschenrechte, 5 Punkte) erfasst Risikoanalyse nach § 5 LkSG, Beschwerdemechanismus nach § 8 LkSG, Schulungsstand der Beschäftigten, Verhaltenskodex und die Steuerung von Sub-Lieferanten. Cluster 5 (Umwelt und ESG, 4 Punkte) prüft ISO-14001-Status, CO2-Bilanz nach Scope 1 und 2, Abfallmanagement nach Kreislaufwirtschaftsgesetz und Gefahrstoffhandhabung nach Gefahrstoffverordnung. Cluster 6 (Arbeitsschutz, 4 Punkte) bewertet Gefährdungsbeurteilung nach § 5 ArbSchG, regelmäßige Unterweisungen, persönliche Schutzausrüstung und Notfallplan. Cluster 7 (vertragliche Pflichten, 9 Punkte) prüft Lieferzeit, Preisstabilität, Pönale-Regelungen, Geheimhaltung nach GeschGehG, DSGVO-Auftragsverarbeitung nach Art. 28, Versicherungsdeckung, Force-Majeure-Klausel, Exit-Klausel und Audit-Recht.

Für jeden der 37 Prüfpunkte gibt es drei Felder: Soll-Anforderung (was wird erwartet, mit Normenbezug), Ist-Befund (was wurde vorgefunden, mit Beleg) und Bewertung (konform, geringfügig, wesentlich, kritisch). Die Bewertung ist normbezogen begründet, nicht subjektiv. Beispiel: Fehlt eine Risikoanalyse nach § 5 LkSG, ist das eine wesentliche Abweichung mit Frist von 30 Tagen, nicht eine geringfügige nach Auditor-Gutdünken. Diese Strenge ist gewollt und schützt im Folgeaudit, weil die Bewertung jederzeit reproduzierbar bleibt. Sie schützt zugleich vor dem Vorwurf der Willkür, falls ein Lieferant die Bewertung anficht oder ein Wirtschaftsprüfer die Wirksamkeit des Lieferantenmanagements in Frage stellt.

Die Bewertung von Abweichungen ist der heikelste Teil eines Lieferantenaudits. Eine zu milde Einstufung gefährdet die eigene Compliance und führt im Zertifizierungsaudit zur Frage, warum der Sub-Lieferant nicht gesteuert wurde. Eine zu strenge Einstufung belastet die Lieferantenbeziehung und kann zu Ausweichreaktionen führen, etwa zur Verlagerung kritischer Produktionsschritte zu nicht auditierten Sub-Lieferanten. Die CIVAC-Vorlage arbeitet daher mit vier klar abgegrenzten Stufen, die sich an ISO 19011:2018 (Leitfaden zur Auditierung von Managementsystemen) orientieren und in den letzten Jahren durch Praxisfälle weiter geschärft wurden.

Stufe 1 (kritisch) bezeichnet eine Abweichung, die ein unmittelbares Risiko für Menschen, Umwelt oder die eigene Produktqualität darstellt, etwa eine fehlende Gefährdungsbeurteilung an einer aktiv betriebenen Maschine, eine offene Sicherheitslücke ohne Patch in einem produktionsnahen System oder eine fehlende Genehmigung nach Bundes-Immissionsschutzgesetz. Frist: 24 bis 72 Stunden, Sofortmaßnahme dokumentiert mit Foto oder Logfile. Stufe 2 (wesentlich) bezeichnet eine systematische Nichteinhaltung einer Normanforderung, etwa eine fehlende ISO-9001-Zertifizierung trotz Vertragspflicht oder eine fehlende Risikoanalyse nach § 5 LkSG. Frist: 30 Tage, Korrekturmaßnahmenplan vorgelegt und Wirksamkeit binnen 90 Tagen nachgewiesen.

Stufe 3 (geringfügig) bezeichnet eine punktuelle Abweichung ohne systematischen Charakter, etwa eine veraltete Verfahrensanweisung, eine fehlende Unterschrift auf einem ansonsten konformen Protokoll oder eine abgelaufene Zertifikatskopie bei vorhandener Erneuerung. Frist: 90 Tage. Stufe 4 (Beobachtung) ist formal keine Abweichung, sondern ein Hinweis auf Verbesserungspotenzial, der im nächsten Audit wieder vorgelegt wird. Jede Abweichung wird mit Frist, Verantwortlichem auf Lieferantenseite, Verantwortlichem auf eigener Seite und Nachweisform (Foto, Zertifikat, Protokoll, Logfile) hinterlegt. Das ist die Voraussetzung dafür, dass die Wiedervorlage funktioniert und der Auditzyklus nicht im Postfach versandet.

Ein häufiger Fehler in DACH-Unternehmen besteht darin, alle Lieferanten gleich zu behandeln und entweder pauschal jeden zu auditieren (Ressourcenverschwendung) oder pauschal keinen zu auditieren (Compliance-Risiko). Beides ist nicht normkonform. ISO 9001:2015 Abschnitt 8.4.1 fordert ausdrücklich eine risikobasierte Steuerung der externen Anbieter, ebenso ISO/IEC 27001:2022 Control A.5.19 für IT-Lieferanten. Die Lieferantenaudit-Vorlage von CIVAC integriert daher eine Vorauswahl nach drei Hauptkriterien: Beschaffungsvolumen pro Jahr, Kritikalität für das eigene Produkt oder die eigene Dienstleistung, Substituierbarkeit innerhalb eines definierten Zeithorizonts.

Lieferanten in Kategorie A (hohes Volumen, hohe Kritikalität, schwer ersetzbar innerhalb von zwölf Monaten) erhalten alle zwei Jahre ein Vor-Ort-Audit, dazwischen ein strukturiertes Self-Assessment per Fragebogen mit Stichprobe. Lieferanten in Kategorie B (mittlere Werte in mindestens zwei der drei Dimensionen) erhalten alle vier Jahre ein Vor-Ort-Audit, dazwischen ein Self-Assessment. Lieferanten in Kategorie C (geringe Werte in allen drei Dimensionen) werden über Self-Assessment und punktuelle Stichproben gesteuert. Diese Staffelung muss dokumentiert und im jährlichen Managementreview bestätigt sein, sonst gilt sie im Audit nicht und kann zu Beanstandungen führen.

Zusätzlich greifen Trigger-Audits, die unabhängig vom regulären Zyklus ausgelöst werden: bei Qualitätsvorfällen mit Reklamationsstatistik-Auffälligkeit, bei Datenschutzverletzungen beim Lieferanten nach Art. 33 DSGVO, bei Insolvenzantrag oder Restrukturierung, bei Eigentümerwechsel oder Verlagerung der Produktion in ein Hochrisikoland nach Transparency International CPI oder Heritage Foundation Index. Diese Trigger werden in der Vorlage als Eskalationspfad hinterlegt und automatisch beobachtet. Wer beispielsweise einen LkSG-Beauftragten bestellt hat, lässt diese Trigger automatisch im Workspace beobachten und erhält eine Benachrichtigung, sobald ein Lieferant in den Eskalationspfad fällt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Seit 2020 ist das Remote-Audit fester Teil des Methoden-Repertoires geworden und nicht mehr nur eine Notfall-Option. ISO 19011:2018 erlaubt es explizit, sofern die Wirksamkeit der Auditmethodik im konkreten Fall nachweisbar ist und die Auditziele erreicht werden können. Für Bestandslieferanten in Kategorie B oder C ist ein Remote-Audit mit Video-Begehung, elektronischer Dokumenten-Einsicht und Live-Interview eine valide Option, die Reisekosten und CO2-Emissionen spart und die Auditfrequenz erhöhen kann, ohne die Audit-Tage zu vervielfachen.

Für Erstaudits und für Kategorie-A-Lieferanten mit hoher Kritikalität bleibt das Vor-Ort-Audit jedoch der Standard. Bestimmte Prüfpunkte, etwa die Begehung von Produktionslinien zur Beurteilung der Hygienezonen, die Sichtung von Lagerbedingungen für Gefahrstoffe nach Gefahrstoffverordnung, die Prüfung der Zutrittskontrolle in Rechenzentren oder die Verifizierung physischer Trennung in Räumen mit Kundendaten, lassen sich remote nicht belastbar erfassen. Die CIVAC-Vorlage kennzeichnet daher pro Prüfpunkt, ob er remote-tauglich, eingeschränkt remote-tauglich oder nur vor Ort prüfbar ist. Der Auditor begründet jede Ausnahme von dieser Kennzeichnung im Auditplan.

Bei Hybrid-Audits, einer Kombination aus Vor-Ort-Tag und Remote-Vor- und Nachbereitung, muss die Methodik im Auditplan begründet sein. Auch die technische Ausstattung des Lieferanten (Bandbreite, Kameraqualität, Verfügbarkeit des Audit-Teams) ist Teil der Vorbereitung und wird vor dem Auditbeginn in einem Technik-Check verifiziert. Ein Remote-Audit, das wegen technischer Probleme abgebrochen werden muss, gilt als nicht durchgeführt und kann zu einer wesentlichen Abweichung im eigenen Zertifizierungsaudit führen, weil die zugesagte Frequenz nicht eingehalten wurde. Aus diesem Grund werden Remote-Audits in der CIVAC-Vorlage immer mit einem Backup-Termin geplant, der spätestens 14 Tage nach dem ursprünglichen Termin liegt und ohne erneute formale Anfrage genutzt werden kann.

Lieferantenaudits berühren regelmäßig personenbezogene Daten (Anwesenheitslisten, Schulungsnachweise, Beschäftigtenbefragungen im Rahmen von LkSG-Prüfungen, Fotos von Mitarbeitenden) und Geschäftsgeheimnisse (Rezepturen, Quellcode, Kundenlisten, Preisstrukturen, Verfahrensanweisungen). Beides ist rechtlich geschützt: personenbezogene Daten durch die DSGVO und das BDSG, Geschäftsgeheimnisse durch das Geschäftsgeheimnisgesetz (GeschGehG, in Kraft seit April 2019). Eine Auditmethodik, die diese beiden Schutzkreise nicht aktiv adressiert, ist angreifbar und kann zu Schadenersatzforderungen und im Extremfall zu strafrechtlichen Konsequenzen führen.

Die CIVAC-Vorlage verlangt vor Auditbeginn eine schriftliche Vereinbarung zur Geheimhaltung (NDA) mit klar definiertem Geltungsbereich, Aufbewahrungsfrist und Vertragsstrafe bei Verletzung, und, sofern personenbezogene Daten verarbeitet werden, eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO oder eine Joint-Controller-Vereinbarung nach Art. 26 DSGVO. Im Auditprotokoll werden personenbezogene Daten pseudonymisiert erfasst (Mitarbeiter A, Mitarbeiter B statt Vorname und Nachname). Fotos von Personen sind nur mit dokumentierter Einwilligung zulässig, die im Workspace zusammen mit dem Foto abgelegt wird. Bei Befragungen im LkSG-Kontext gilt zusätzlich der Schutz des Whistleblowers nach Hinweisgeberschutzgesetz (HinSchG), das eine vertrauliche Behandlung der Identität verlangt und im Auditprotokoll eine separate, zugriffsbeschränkte Ablage erfordert.

Die Aufbewahrung der Auditunterlagen folgt der Zehnjahresfrist nach § 257 HGB, sofern es sich um steuerlich relevante Unterlagen handelt, ansonsten der drei- bis sechsjährigen Aufbewahrung nach DSGVO-Grundsätzen der Speicherbegrenzung. Im CIVAC-Workspace mit EU-Datenresidenz wird die Aufbewahrungsfrist je Dokumenttyp automatisch gesetzt und beim Ablauf entweder gelöscht oder anonymisiert. Das eigene externe Datenschutzbeauftragte kann auf Anforderung Einsicht nehmen, ohne dass das Audit-Team manuell exportieren muss, was die Effizienz der DSGVO-Selbstauskünfte deutlich erhöht und gleichzeitig die Trennung der Verantwortlichkeiten zwischen Audit und Datenschutz sauber dokumentiert.

Die beste Auditdurchführung ist wertlos, wenn die Nachweisablage nicht standhält. Drei Prinzipien gelten und werden in jedem Zertifizierungsaudit, in jeder BAFA-Stichprobe und in jeder Wirtschaftsprüfung geprüft: Vollständigkeit, Unveränderbarkeit, Auffindbarkeit. Vollständigkeit heißt: jedes Pflichtfeld der Vorlage ist gefüllt, jede Abweichung hat einen dokumentierten Maßnahmen-Nachweis, jedes Wiedervorlage-Datum ist eingetragen und mit einem Verantwortlichen verknüpft. Unveränderbarkeit heißt: nach Closing Meeting werden alle Felder gesperrt, spätere Änderungen erfolgen ausschließlich als versionierte Nachträge mit Begründung und Verantwortlichem, die Vorversion bleibt erhalten und einsehbar.

Auffindbarkeit heißt: jeder Audit hat eine eindeutige ID, ist nach Lieferant, Datum, Auditor, Geltungsbereich und Norm filterbar und im Folgeaudit innerhalb von 60 Sekunden auffindbar, auch wenn der ursprüngliche Auditor das Unternehmen verlassen hat. Eine Excel-Tabelle im Outlook-Postfach eines einzelnen Mitarbeiters erfüllt diese Anforderung nicht. Ein Verzeichnis-Tree auf einem File-Server ohne Versionierung und ohne Zugriffsprotokoll erfüllt sie nicht. Eine Confluence-Seite mit Edit-Rechten für alle Auditoren ohne Sperrmechanismus nach Abschluss erfüllt sie ebenfalls nicht und führt regelmäßig zu Beanstandungen, weil sich die Frage nach der Manipulationssicherheit nicht beantworten lässt.

Im CIVAC-Workspace werden Audits in einer revisionssicheren Ablage mit Hash-Verifikation und vollständigem Audit-Trail gespeichert. Jede Änderung erzeugt eine neue Version mit Zeitstempel und Nutzer-ID, ohne dass die Vorversion gelöscht wird. Der Export für externe Prüfer (Wirtschaftsprüfung, ISO-Zertifizierer, Aufsichtsbehörde, Kundenaudit) erfolgt mit einem Klick und enthält automatisch die zugehörigen Dokumente: Auditplan, Protokoll, Abweichungsbericht, Maßnahmenstand, Nachweis-Dateien, Kommunikation mit dem Lieferanten. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Das ist der Unterschied zwischen einer guten Vorlage und einer Compliance-Plattform, die auch im fünften Folgeaudit noch nachvollziehbar bleibt und einen Wechsel der Auditverantwortlichen ohne Datenverlust übersteht.

Eine Audit-Vorlage allein macht noch kein funktionierendes Lieferantenmanagement. Es braucht die Kombination aus Vorlage, geschulter Rolle (Lieferanten-Auditor), klarer Berichtslinie in die Geschäftsleitung, revisionssicherer Ablage und einem Reaudit-Zyklus, der nicht im Tagesgeschäft untergeht. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service, die genau diese fünf Bausteine in einem einzigen System bündelt und mit den 24 weiteren Beauftragten-Rollen verknüpft, die in einem typischen mittelständischen Unternehmen relevant werden.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Modell erhalten Ihre eigenen Auditoren Zugriff auf die 490 einsatzbereiten Audit-Vorlagen, darunter die Lieferantenaudit-Checkliste DACH, sowie auf die Berichtslinie für 25 Beauftragten-Rollen, auf 93 Controls nach ISO/IEC 27001:2022 und auf die EU-Datenresidenz. Im zweiten Modell stellt CIVAC einen erfahrenen Lieferanten-Auditor, der Vorbereitung, Durchführung und Nachverfolgung übernimmt und in Ihre Berichtslinie integriert wird. Die Bestellurkunde wird in der CIVAC-SLA von zwei Werktagen ausgefertigt, statt der branchenüblichen zwei bis sechs Wochen.

Beide Modelle nutzen dieselbe Plattform, dieselbe Ablage, dieselben Vorlagen, dieselbe Bewertungslogik. Bei einem späteren Wechsel zwischen den Modellen, etwa weil eine interne Stelle nicht nachbesetzt werden kann, bleiben alle Auditdaten erhalten und der externe Auditor übernimmt nahtlos. Aus dem Lesen einen Auftrag machen: schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Eine erste Bewertung Ihres Lieferantenportfolios mit Kategorisierung in A, B und C und einem Vorschlag für die passende Auditfrequenz erhalten Sie innerhalb von fünf Werktagen, ohne dass eine Vertragsbindung besteht und ohne dass Sie Lieferantendaten in unsere Systeme exportieren müssen.