LkSG-Audit und BAFA-Berichtsformular: So füllen Sie den Pflichtbericht 2026 audit-fest aus

Nach § 10 LkSG sind verpflichtete Unternehmen jährlich bis spätestens 1. Juni gegenüber dem Bundesamt für Wirtschaft und Ausfuhrkontrolle berichtspflichtig. Das BAFA-Berichtsformular umfasst über 400 Fragen, verteilt auf neun Themenblöcke, von der Grundsatzerklärung bis zur Wirksamkeitskontrolle. Wer nicht fristgerecht oder unvollständig einreicht, riskiert nach § 24 LkSG Bußgelder bis 8 Mio. Euro oder 2 % des weltweiten Konzernumsatzes sowie den Ausschluss von öffentlichen Aufträgen bis zu drei Jahre. Hinzu kommt: Die BAFA prüft seit 2025 immer häufiger nachgelagert, fordert konkrete Belege an und veröffentlicht Bußgeldentscheidungen mit Reputationswirkung.

Dieser Beitrag erklärt, wie Sie das BAFA-Berichtsformular audit-fest ausfüllen, welche Belege je Frageblock vorgehalten werden müssen und wie das LkSG-Audit als interne Vorprüfung den Bericht absichert. Sie erfahren, welche Antworten die BAFA als ausreichend wertet, welche Formulierungen Rückfragen erzeugen und wie sich Lieferanten- und Risikodaten in einer Plattform so führen lassen, dass der Bericht zum Routinevorgang wird. Die Compliance-Plattform und Officer-as-a-Service CIVAC stellt dafür Workspace, Vorlagen und Officer in zwei Werktagen bereit, damit aus dem Lesen ein konkreter Berichtsentwurf wird. Wer einmal eine Architektur aufgebaut hat, die Lieferanten-, Risiko-, Beschwerde- und Schulungsdaten in einer Akte führt, verwandelt den jährlichen Bericht in einen Routinevorgang ohne Sonderaufwand und schützt die Geschäftsleitung gleichzeitig vor § 130 OWiG-Risiken.

Das Lieferkettensorgfaltspflichtengesetz gilt seit 1. Januar 2024 für Unternehmen ab 1.000 Beschäftigten mit Hauptverwaltung oder satzungsmäßigem Sitz in Deutschland. Damit sind rund 3.500 Unternehmen direkt erfasst, indirekt deutlich mehr über Lieferantenkaskaden. Die Berichtspflicht nach § 10 LkSG verlangt einen jährlichen Bericht, einzureichen bis spätestens 1. Juni des Folgejahres in elektronischer Form über das BAFA-Portal. Eine Verlängerung gibt es nicht, die Frist ist hart und wird konsequent überwacht.

Die Berichtspflicht knüpft an das abgelaufene Geschäftsjahr an. Für das Geschäftsjahr 2025 ist also bis 1. Juni 2026 zu berichten. Der Bericht ist im BAFA-Portal über ein Formular auszufüllen, das automatisch Pflicht- und Bedingungsfelder steuert. Antworten lassen sich speichern, müssen aber bis zur Einreichung freigegeben werden. Nach Einreichung ist nur eine eingeschränkte Berichtigung möglich, weshalb interne Freigabeprozesse vor der Einreichung notwendig sind.

Wer das LkSG-Audit als interne Vorprüfung führt, gewinnt zwei Wochen Vorlauf für Nachjustierung. Der LkSG-Beauftragte verantwortet das Verfahren, agiert mit fachlicher Weisungsfreiheit und berichtet direkt an die Geschäftsleitung. Diese Berichtslinie ist nach § 4 LkSG verpflichtend zu dokumentieren und gehört in jede Bestellurkunde. Frist läuft ab Kenntnis. Bestellurkunde, unterschrieben, abgelegt, belegbar. Wer das Berichtsformular zum ersten Mal ausfüllt, sollte mindestens vier Wochen Vorlauf einplanen, bei einer Plattformlösung mit Officer-as-a-Service reicht der Vorlauf deutlich kürzer. Erfahrungsgemäß brauchen interne Teams ohne Plattform zwölf bis zwanzig Personentage für den Erstbericht, beim Folgebericht halbiert sich der Aufwand bei sauberer Datenarchitektur. Ein vorgelagertes LkSG-Audit identifiziert dabei die größten Lücken. Damit ist ein klarer Fahrplan möglich. Plattform und Officer bilden zusammen die Beschleunigung.

Das Berichtsformular gliedert sich in neun Themenblöcke. Erstens allgemeine Angaben zum Unternehmen, Beschäftigtenzahl, Unternehmensgruppe und Tochtergesellschaften. Zweitens die Grundsatzerklärung nach § 6 Abs. 2 LkSG mit Festlegung von Menschenrechts- und Umweltzielen. Drittens das Risikomanagementsystem mit Risikoanalyse, präventiven Maßnahmen und Abhilfeprozessen. Viertens die Beschwerdeverfahren nach § 8 LkSG mit Zugänglichkeit, Vertraulichkeit und Verfahrensweg. Fünftens die Dokumentation der Risikoanalyse mit identifizierten Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern.

Sechstens präventive Maßnahmen mit Wirksamkeitsprüfung und konkreten Belegen wie Lieferantenschulungen, Vertragsklauseln und Audits. Siebtens Abhilfemaßnahmen nach festgestellten Verstößen mit Eskalationsbeispielen, Beendigungsentscheidungen und Maßnahmenfolgen. Achtens die Dokumentation der Wirksamkeitskontrollen mit Frequenz, Methodik und Resultaten. Neuntens die Berichterstattung mit interner Eskalation, Geschäftsleitungsbericht und Aufsichtsorganen. Jeder Block erwartet konkrete, prüfbare Aussagen.

Wer pauschal antwortet oder Formulierungen wie üblicherweise oder regelmäßig verwendet, erzeugt Rückfragen der BAFA. Konkrete Zahlen, Daten und Dokumentenverweise sind Pflicht. Im CIVAC-Workspace sind die neun Blöcke als Fragenkatalog mit Antwortvorlagen, Belegfeldern und Eskalationspfaden abgebildet. Die 490 Audit-Vorlagen umfassen Lieferantenfragebögen, Schulungsnachweise und Auditberichte. Audit-fest, dokumentiert, paragrafenfest. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der Wechsel zwischen den Themenblöcken verlangt im Formular eine zeitliche und logische Reihenfolge, die ohne Plattformsteuerung schnell zu Brüchen führt. Wer parallel an mehreren Blöcken arbeitet, verliert den Überblick über Konsistenzen, die später bei BAFA-Nachprüfungen auffallen. Eine zentrale Plattform mit konfigurierten Antwortbausteinen verhindert dieses Risiko und macht den Bericht prüfbar reproduzierbar. Auch bei einem späteren Auditor-Wechsel bleibt die Methodik nachvollziehbar. Genau hier liegt der praktische Mehrwert. Die Steuerung im Workspace folgt einer klaren Logik.

Die Grundsatzerklärung nach § 6 Abs. 2 LkSG ist das Herzstück des Sorgfaltspflichtenkonzepts. Sie muss konkret, unternehmensspezifisch und durch die Geschäftsleitung verabschiedet sein. Generische Bekenntnisse aus Vorlagen ohne Bezug zu Branche, Lieferantenstruktur und identifizierten Risiken werden von der BAFA als unzureichend gewertet. Die Erklärung muss insbesondere die menschenrechts- und umweltbezogenen Erwartungen an Beschäftigte und Lieferanten benennen, Zuständigkeiten festlegen und das Vorgehen bei Risiken beschreiben.

Die Risikoanalyse nach § 5 LkSG ist jährlich und anlassbezogen durchzuführen. Sie erfasst eigene Geschäftsbereiche und unmittelbare Zulieferer, in Ausnahmefällen auch mittelbare Zulieferer bei substantiierter Kenntnis. Die Methodik muss reproduzierbar dokumentiert sein, etwa anhand von Risikoindikatoren wie Land, Branche, Beschaffungsvolumen und Lieferantenhistorie. Das BAFA-Formular fragt explizit nach der Methodik und nach konkreten Beispielen identifizierter Risiken sowie der Priorisierung.

Wer Risiken erkennt, muss präventive und gegebenenfalls Abhilfemaßnahmen einleiten und Wirksamkeit prüfen. Der Bericht muss diese Wirkungskette nachvollziehbar darstellen. Im LkSG-Beauftragten-Profil bei CIVAC sind diese Schritte in Workflows abgebildet. Die EU-Datenresidenz schützt sensible Lieferantendaten vor Drittstaatentransfers. Der Prüfer ruft an, der Nachweis liegt bereit. Bestellurkunde, unterschrieben, abgelegt, belegbar, ohne dass mehrere Systeme parallel durchsucht werden müssen. Eine konsistente Methodik mit nachvollziehbarer Risikomatrix, identifizierten Schwerpunktländern, Stichprobenlogik und Wirkungspfaden ist daher zwingend. Wer die Risikoanalyse jedes Jahr neu erfindet, verliert Zeit und produziert Brüche im Bericht. Eine wiederverwendbare Methodik im Workspace mit klaren Versionen sichert die Konsistenz über die Jahre und reduziert den Erstellungsaufwand für jeden Folgebericht messbar. Die Methodikdokumentation wird zum Kernstück. Methodik schlägt Improvisation in jedem Berichtsjahr. Damit beginnt jede neue Berichtsphase auf solider Basis.

Präventive Maßnahmen nach § 6 Abs. 3 bis 5 LkSG umfassen Schulungen, Vertragsklauseln, Lieferantenfragebögen, Audits und kontinuierliche Risikobeobachtung. Die BAFA verlangt konkrete Belege: Schulungsteilnehmerlisten, Lieferantenfragebogen-Templates, Audit-Berichte mit Datum und Auditor, Vertragsklauselmuster und Auswertungen der Risikobeobachtung. Pauschale Verweise auf interne Prozesse ohne Belegnachweis werden als unzureichend gewertet und führen zu Nachprüfungsverfahren mit oft mehreren Monaten Bearbeitungszeit.

Abhilfemaßnahmen nach § 7 LkSG werden erforderlich, wenn ein Verstoß im eigenen Geschäftsbereich oder bei einem unmittelbaren Zulieferer festgestellt wurde. Das Gesetz verlangt einen Maßnahmenplan mit Frist, der die Beendigung oder Minimierung des Verstoßes anstrebt. Bei unmittelbaren Zulieferern kann die Beendigung der Geschäftsbeziehung in letzter Konsequenz notwendig werden. Der Bericht muss konkrete Beispiele angeben, ohne dabei Vertraulichkeitspflichten gegenüber Lieferanten zu verletzen.

Im CIVAC-Workspace sind Maßnahmen mit Frist, Verantwortlichem und Wirksamkeitskontrolle verknüpft. Die Schulungsmodule führen Teilnehmerlisten mit Quittungen, Lieferantenfragebögen werden automatisiert versendet und Rückläufer landen in der Lieferantenakte. Audit-Berichte werden mit Lieferantendaten verbunden. Die 490 Audit-Vorlagen decken Standardfälle ab, etwa Verdacht auf Zwangsarbeit, Kinderarbeit, unzulässige Arbeitsbedingungen oder Umweltschäden. Aus dem Lesen einen Auftrag machen, ist hier die operative Realität, weil jede Erkenntnis zur konkreten Aufgabe wird. Wer im laufenden Jahr Maßnahmenfortschritt nicht systematisch dokumentiert, steht am 1. Juni vor unlösbarer Aufgabenlast. Der Workspace verhindert dieses Risiko durch konsequente, kontinuierliche Dokumentation entlang definierter Ereignistypen, sodass am Berichtstag nur noch die Aggregation erfolgt. Damit wird der Bericht zur logischen Folge des Tagesgeschäfts und nicht zu einem Sonderprojekt mit eigener Vorlaufphase. Der Workspace verbindet alle Belege im Datenmodell. Auch externe Auditoren finden so schneller in die Akte.

§ 8 LkSG verpflichtet zur Einrichtung eines Beschwerdeverfahrens, das für interne Beschäftigte, externe Beschäftigte entlang der Lieferkette und mittelbare Lieferanten zugänglich ist. Das Verfahren muss Vertraulichkeit gewährleisten, Schutz vor Repressalien sicherstellen und einen klaren Verfahrensweg beschreiben. Die BAFA prüft im Berichtsformular, wie zugänglich das Verfahren ist, wie viele Beschwerden eingegangen sind, wie sie behandelt wurden und welche Maßnahmen folgten.

Eine Verzahnung mit dem Hinweisgeberschutzgesetz nach HinSchG ist sinnvoll, weil viele Unternehmen ohnehin eine interne Meldestelle führen müssen. Beide Verfahren können organisatorisch zusammengeführt werden, sofern die spezifischen LkSG-Anforderungen erfüllt bleiben, insbesondere die Erweiterung des Anwendungsbereichs auf externe Lieferanten und Betroffene. Die Schulung der Meldestelle muss beide Regulierungsregime abdecken, die Dokumentation muss getrennt geführt werden können.

Im CIVAC-Workspace ist das Beschwerde- und Hinweisgeberverfahren als gemeinsamer, aber kategorisierter Datenraum abgebildet. Die interne Meldestelle nach HinSchG kann von derselben Rolle wie der LkSG-Beauftragte oder von einer separaten Rolle geführt werden. Die EU-Datenresidenz stellt sicher, dass sensible Hinweise nicht in Drittstaaten gelangen, und mehrsprachige Vorlagen erleichtern die Zugänglichkeit für Lieferanten in unterschiedlichen Regionen. Die BAFA prüft im Berichtsformular, ob die Verfahrensregeln klar formuliert sind, ob Beschwerden anonym eingereicht werden können und wie viele Beschwerden pro Berichtsjahr eingegangen sind. Ein leerstehendes Verfahren ohne eingegangene Hinweise wird kritisch hinterfragt, weil es ein Hinweis auf mangelnde Zugänglichkeit oder fehlende Bekanntmachung sein kann. Mehrsprachige Vorlagen und niedrigschwellige Zugänge sind daher Pflicht. Der LkSG-Officer steuert die Zugangskanäle aktiv. Sprache und Erreichbarkeit entscheiden über Glaubwürdigkeit. Die Plattform unterstützt dabei mit mehrsprachigen Vorlagen.

Die Wirksamkeitskontrolle nach § 4 Abs. 4 LkSG ist jährlich und anlassbezogen durchzuführen. Sie prüft, ob die ergriffenen Maßnahmen die Risiken tatsächlich reduzieren. Der Bericht muss Frequenz, Methodik und Resultate dokumentieren. Pauschale Aussagen wie Maßnahmen wurden geprüft und für wirksam befunden reichen nicht aus. Erwartet werden konkrete KPIs, etwa Anzahl der durchgeführten Audits, Befundkategorien, Maßnahmenraten und Eskalationen mit Verantwortlichen.

Die Dokumentation muss nach § 10 Abs. 1 LkSG mindestens sieben Jahre aufbewahrt werden. Die BAFA kann jederzeit Belege anfordern, auch außerhalb der Berichtsperiode. Eine konsolidierte Plattform mit Versionierung, Audit-Trail und EU-Datenresidenz ist daher faktischer Standard. Wer Dokumente in mehreren Tools verteilt führt, riskiert bei Nachforderungen Lücken, Inkonsistenzen oder Fehlinterpretationen, die als Beleg für unzureichende Sorgfalt gewertet werden können.

Im CIVAC-Workspace sind 490 Audit-Vorlagen einsatzbereit, die Wirksamkeitskontrollen abbilden. Lieferantenscorecards, Schulungsraten, Beschwerdebearbeitungsquoten und Audit-Erkenntnisse fließen in standardisierte Dashboards. Die 25 Beauftragten-Rollen sind live, und der LkSG-Beauftragte kann mit dem Compliance- und ESG-Beauftragten kollaborieren, ohne dass parallele Datensilos entstehen. Audit-fest, dokumentiert, paragrafenfest. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Wer mit Plattform arbeitet, profitiert zusätzlich von automatisierten Erinnerungen für anlassbezogene Wirksamkeitskontrollen, etwa nach gemeldeten Vorfällen, größeren Lieferantenwechseln oder geopolitischen Veränderungen in Beschaffungsmärkten. Damit wird die Wirksamkeitskontrolle vom reaktiven Vorgang zum proaktiven Steuerungsinstrument und liefert gleichzeitig eine belastbare Spur für die nächste BAFA-Prüfung. Damit verändert sich die Rolle der Aufsicht spürbar. Anlassbezogene Wirksamkeitskontrollen werden so zur Routine. Die Geschäftsleitung erhält jederzeit verlässlichen Statusbericht über Maßnahmenwirkung. Diese Steuerung gibt Sicherheit gegenüber Aufsicht und Geschäftsleitung.

Der erste Fehler ist die Verwendung generischer Antworten ohne unternehmensspezifischen Bezug. Antworten wie Wir führen eine Risikoanalyse durch werden als unzureichend gewertet. Erwartet wird ein konkretes Vorgehen mit Methodik, Stichproben und Beispielen. Der zweite Fehler ist die fehlende Konsistenz zwischen Antworten und vorgelegten Belegen. Wenn die Grundsatzerklärung Schulungen für alle Lieferanten ankündigt, der Schulungsblock aber nur 30 % Teilnahmequote ausweist, wird die BAFA nachfragen oder einen Verstoß feststellen.

Der dritte Fehler ist die fehlende Quantifizierung. Die BAFA fragt nach konkreten Zahlen zu Lieferantenanzahl, Risikokategorien, Audits, Beschwerden und Maßnahmen. Wer nur prosaisch antwortet, wird nachjustieren müssen. Der vierte Fehler ist die unklare Verantwortlichkeit. Wenn das Berichtsformular keinen klaren LkSG-Beauftragten ausweist, wird die BAFA die Bestellurkunde anfordern und gegebenenfalls die Aufsichtsorganisation bemängeln. Eine § 130 OWiG-relevante Aufsichtspflichtverletzung kann daraus resultieren.

Der fünfte Fehler ist die fehlende Einbettung in andere Compliance-Prozesse. LkSG-Daten überschneiden sich mit ESG-Daten, Datenschutzdaten und Hinweisgeberdaten. Wer diese nicht verzahnt, pflegt Daten doppelt und produziert Inkonsistenzen. Die CIVAC FAQ dokumentiert die häufigsten Fehlermuster aus BAFA-Verfahren und verweist auf passende Workspace-Vorlagen, sodass die Berichtsqualität bereits im Entwurf hoch ist und nicht erst in einer späten Nachkorrektur entsteht. Ein systematischer Vergleich zwischen Antworten und Belegen vor der Einreichung verhindert die meisten dieser Fehler. Eine Plattform mit verknüpfter Beleglage führt diesen Vergleich automatisiert durch und blockiert die Freigabe, wenn Inkonsistenzen erkannt werden. Damit sinkt das Risiko von BAFA-Nachforderungen erheblich, und die Geschäftsleitung kann den Bericht mit ruhigem Gewissen freigeben, ohne Sorge vor späten Korrekturanträgen.

Wer den Bericht erstmals erstellt, sollte mit einem strukturierten Onboarding starten. Am ersten Tag erfolgt die Bestandsaufnahme: Welche Lieferantendaten liegen vor, welche Grundsatzerklärung existiert, welche Beschwerdeverfahren sind aktiv. Die Lücken werden identifiziert und priorisiert. Am zweiten Tag werden die fehlenden Bausteine ergänzt: Grundsatzerklärung-Vorlage anpassen, Risikoanalyse anhand der Lieferantenstammdaten neu aufsetzen, Wirksamkeitskontrollen definieren. Damit ist die Plattform berichtsfähig, auch wenn der erste Bericht noch nicht final formuliert ist.

Die Compliance-Plattform und Officer-as-a-Service CIVAC liefert dafür den vollständigen Stack. 25 Beauftragten-Rollen sind live, 490 Audit-Vorlagen einsatzbereit, der LkSG-Beauftragten-Workflow konfiguriert. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen dieselbe Aktenstruktur, was Wechsel ohne Datenverlust ermöglicht. Die CIVAC-SLA von zwei Werktagen ersetzt klassische Beschaffungswege von zwei bis sechs Wochen und schützt damit auch knappe Fristfälle vor dem 1. Juni.

Im Workspace sind Bestellurkunde, Berichtslinie, Risikoanalyse, Lieferantenstamm, Schulungen, Beschwerden und Audits in einer Akte verknüpft. Die EU-Datenresidenz schützt sensible Daten vor Drittstaatentransfers nach Art. 44 DSGVO. Versionierung sichert die Nachweislage über sieben Jahre nach § 10 Abs. 1 LkSG. Bei BAFA-Nachforderungen lässt sich der vollständige Beweispfad in wenigen Klicks öffnen. Der Prüfer ruft an, der Nachweis liegt bereit. Mit jedem Folgebericht sinkt der Aufwand zusätzlich, weil Stammdaten, Methodik und Belege bereits stehen. Im dritten Berichtsjahr ist die LkSG-Berichterstattung typischerweise auf einen halben Personentag plus zwei Werktage Plattformpflege reduziert. Das schafft Kapazität für strategische Themen wie CSDDD-Vorbereitung, ESG-Datenarchitektur und Lieferantentransformation, die das eigentliche Wertversprechen der Sorgfaltspflicht darstellen.

Der BAFA-Bericht ist kein Selbstzweck. Er ist Spiegel eines belastbaren Sorgfaltsprozesses. Wer den Bericht als Routinevorgang aufsetzt, gewinnt drei Effekte: belegbare Aufsichtspflichtverteidigung nach § 130 OWiG, glaubwürdige Argumentation gegenüber Großkunden und Banken sowie Vorbereitung auf die EU-Lieferkettenrichtlinie CSDDD, die ab 2027 schrittweise zusätzliche Anforderungen bringt. Wer den Bericht nur als Pflicht versteht, verschenkt die Investition in die Datenarchitektur.

Die Compliance-Plattform und Officer-as-a-Service CIVAC liefert die Architektur, die diese drei Effekte gleichzeitig erzeugt. 25 Beauftragten-Rollen sind live, 490 Audit-Vorlagen einsatzbereit, 93 Controls nach ISO/IEC 27001:2022 abgebildet, der NIS-2 24/72-Meldepfad konfiguriert. Bestellurkunden, Berichtslinien und Lieferantenakten liegen in EU-Datenresidenz. Die CIVAC-SLA von zwei Werktagen ersetzt klassische Beschaffungswege. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen denselben Berichtsstandard und sichern damit Konsistenz über Berichtsjahre.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Im ersten Gespräch klären wir Ihren Beschäftigtenbereich, ordnen die LkSG-Pflichten ein und zeigen, wie Sie das BAFA-Berichtsformular in zwei Werktagen audit-fest aufsetzen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Prüfer ruft an, der Nachweis liegt bereit. Genau dafür ist CIVAC gebaut. Wer den Bericht heute aufsetzt, ist morgen für CSDDD vorbereitet, weil die zentrale Datenarchitektur dort weitgehend übernommen werden kann. Die Investition in eine saubere LkSG-Berichtsarchitektur ist damit auch eine Investition in die Zukunftsfähigkeit der gesamten ESG-Compliance, weit über das aktuelle Berichtsjahr hinaus. Genau das ist der eigentliche operative Hebel. Der Schritt vom Bericht zur belastbaren Sorgfalt ist klein.