LkSG-Risikoanalyse durchführen: Beispiel, Vorlage und Sieben-Schritte-Plan

Das Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet seit 2024 Unternehmen ab 1.000 Beschäftigten zu jährlichen Sorgfaltspflichten. Im Zentrum steht die Risikoanalyse nach § 5 LkSG, die menschenrechtliche und umweltbezogene Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern erfasst. Der BAFA-Bericht ist bis zum 30. April des Folgejahres einzureichen.

Dieser Beitrag zeigt eine praxiserprobte Vorlage, ein Beispiel aus dem produzierenden Mittelstand und einen Sieben-Schritte-Plan, der die abstrakte und konkrete Risikoanalyse, den Maßnahmenkatalog und die Wirksamkeitsbewertung verbindet. Sie erfahren, wie Sie Findings vermeiden und die Analyse in den ESG-Berichtszyklus einbetten.

Das LkSG verpflichtet seit 1. Januar 2024 Unternehmen mit Hauptverwaltung, Hauptniederlassung oder satzungsmäßigem Sitz in Deutschland und mindestens 1.000 Beschäftigten. Konzernzugehörigkeit zählt mit. Etwa 4.800 Unternehmen sind direkt verpflichtet, viele weitere indirekt als Zulieferer.

Die Pflichten umfassen Risikomanagement, Beauftragtenbestellung, Risikoanalyse, Präventionsmaßnahmen, Abhilfemaßnahmen, Beschwerdeverfahren, Dokumentation und Berichterstattung. Diese acht Elemente sind in § 4 bis § 12 LkSG geregelt und bilden den Mindestrahmen.

Die Risikoanalyse ist nach § 5 LkSG jährlich und anlassbezogen durchzuführen. Sie umfasst den eigenen Geschäftsbereich und alle unmittelbaren Zulieferer. Mittelbare Zulieferer werden nur bei substantiierter Kenntnis von Risiken berücksichtigt.

Der Bericht an das BAFA ist nach § 10 Abs. 2 LkSG bis spätestens vier Monate nach Geschäftsjahresende einzureichen, regelmäßig bis 30. April. Das BAFA prüft die Vollständigkeit und führt im Einzelfall Tiefenprüfungen durch. Bußgelder nach § 24 LkSG reichen bis 8 Mio. Euro oder 2 Prozent Konzernumsatz.

Die persönliche Verantwortung der Geschäftsführung ist über § 130 OWiG eröffnet. Frist läuft ab Kenntnis. Wer Risiken bekannt nimmt und nicht angemessen reagiert, riskiert persönliche Sanktionen neben dem Unternehmensbußgeld.

Die CIVAC-Plattform und Officer-as-a-Service-Struktur bildet diese Pflichten in einem Workspace ab und stellt eine LkSG-Rolle mit Berichtslinie zur Geschäftsführung bereit.

Die abstrakte Analyse bewertet typische Risikomuster nach Branche, Land und Produkt. Sie ist die Vorstufe der konkreten Analyse und reduziert deren Aufwand erheblich. Statt 5.000 Lieferanten einzeln zu bewerten, werden Cluster mit ähnlichen Risikoprofilen gebildet.

Branchenrisiken ergeben sich aus typischen Arbeitsbedingungen, Lieferkettenstrukturen und Rohstoffabhängigkeiten. Textilien, Bauwirtschaft, Bergbau, Landwirtschaft und Elektronikfertigung gelten als hochrisikobehaftete Branchen. Diese Einstufung basiert auf öffentlichen Quellen wie ILO, OECD-Leitsätzen und NGO-Berichten.

Länderrisiken nutzen Indizes wie den ITUC Global Rights Index, den Corruption Perceptions Index, den Worldwide Governance Indicator oder die EITI-Liste. Eine Bewertung in drei oder fünf Stufen reicht für die meisten Analysen. Die Quellenwahl wird dokumentiert.

Produktrisiken betreffen Rohstoffe mit bekannten Risiken in der Vorkette: Kobalt, Zinn, Coltan, Glimmer, Baumwolle, Kakao, Palmöl. Diese sieben Gruppen führen die meisten Risikoanalysen an. Branchen-spezifische Listen erweitern den Katalog.

Die abstrakte Analyse wird in einer Matrix verdichtet, mit Lieferantenanzahl pro Risiko-Cluster und mit einer Heat-Map. Diese Visualisierung ist nicht Selbstzweck, sondern Grundlage der Priorisierung für die konkrete Analyse.

Bestellurkunde, unterschrieben, abgelegt, belegbar. Die CIVAC-Audit-Vorlagen enthalten eine Matrix für die abstrakte Analyse mit den 13 LkSG-Schutzgütern und einer vordefinierten Cluster-Logik.

Die konkrete Analyse bewertet einzelne Lieferanten innerhalb hochrisikobehafteter Cluster. Sie nutzt zusätzliche Informationen wie Selbstauskünfte, Zertifikate, Audits, NGO-Berichte und eigene Vor-Ort-Beobachtungen. Diese Tiefenanalyse trifft typisch fünf bis 20 Prozent der Lieferantenbasis.

Die Bewertung erfolgt nach Schwere, Umfang, Unumkehrbarkeit und Eintrittswahrscheinlichkeit. Die Schwere reicht von leichter Beeinträchtigung bis irreversibler Schädigung. Der Umfang erfasst die Zahl der Betroffenen. Die Unumkehrbarkeit unterscheidet behebbar und unbehebbar. Eintrittswahrscheinlichkeit ergibt sich aus historischen Daten und Indikatoren.

Selbstauskünfte sind Pflichtbaustein. Lieferanten werden zu Arbeitsbedingungen, Sicherheit, Umweltauflagen, Beschwerdesystemen und Lieferkettentiefe befragt. Eine Antwortquote unter 70 Prozent ist ein Warnsignal und sollte Anlass für Nachfragen sein.

Zertifikate sind Indizien, kein Beweis. Eine ISO 14001-Zertifizierung schließt Menschenrechtsrisiken nicht aus, ein SA8000-Audit deckt nicht alle LkSG-Schutzgüter ab. Die Bewertung kombiniert mehrere Quellen, statt einer einzelnen zu vertrauen.

Vor-Ort-Audits sind in Hochrisiko-Lieferketten unverzichtbar. Sie können durch Lieferanten-Auditoren durchgeführt werden, intern oder extern bestellt. Die Audit-Berichte fließen in die Risikobewertung ein und beeinflussen die Maßnahmenpriorisierung.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Im CIVAC-Workspace werden Selbstauskünfte, Zertifikate, Audits und Bewertungen am Lieferantenstammsatz gebündelt.

Das LkSG benennt in § 2 dreizehn menschenrechtliche und zwei umweltbezogene Schutzgüter. Diese Liste ist abschließend, dient aber als Mindeststandard, nicht als Obergrenze freiwilliger Sorgfalt. Jedes Schutzgut wird in der Risikoanalyse explizit adressiert.

Menschenrechtliche Schutzgüter umfassen unter anderem Kinderarbeit (§ 2 Abs. 2 Nr. 1), Zwangsarbeit (Nr. 3), Sklaverei (Nr. 4), Missachtung von Arbeitsschutz (Nr. 5), Vorenthalten angemessener Löhne (Nr. 8), Beeinträchtigung der Vereinigungsfreiheit (Nr. 6) und Diskriminierung (Nr. 7).

Hinzu kommen Verbot der Beschäftigung ohne Wahrung der Arbeitsschutzpflichten (Nr. 5), Vorenthalten gerechter Entlohnung (Nr. 8), widerrechtlicher Entzug von Land (Nr. 9) und Beauftragung privater oder staatlicher Sicherheitskräfte ohne Schutz der Menschenrechte (Nr. 10).

Umweltbezogene Schutzgüter beziehen sich auf Quecksilber (Minamata-Übereinkommen), persistente organische Schadstoffe (POPs-Übereinkommen) und gefährliche Abfälle (Basel-Übereinkommen). Diese drei sind eng begrenzt, im Vergleich zum Entwurf der CSDDD enger gefasst.

Jedes Schutzgut wird pro Lieferanten-Cluster bewertet. Eine Tabelle mit Lieferanten in der Zeile und 13 Schutzgütern in der Spalte ist die einfachste Darstellung. Die Bewertung erfolgt in drei oder fünf Stufen, mit Begründung und Quelle.

CIVAC liefert eine Vorlage mit allen 13 Schutzgütern, vorausgefüllten Indikatoren und einer Verknüpfung zu öffentlichen Datenquellen. Die Bewertung erfolgt strukturiert, statt jedes Jahr neu aus Excel-Vorlagen aufgebaut zu werden.

Nach der Risikoanalyse folgen Präventions- und Abhilfemaßnahmen. Prävention nach § 6 LkSG zielt auf die Vermeidung von Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern. Abhilfemaßnahmen nach § 7 LkSG greifen, wenn Verletzungen bereits eingetreten sind.

Präventionsmaßnahmen im eigenen Geschäftsbereich umfassen Grundsatzerklärung, Schulungen, Anpassung von Beschaffungspraktiken und kontrollbasierte Verfahren. Im Lieferantenbereich kommen vertragliche Zusicherungen, Schulungsangebote und Audit-Mechanismen hinzu.

Abhilfemaßnahmen orientieren sich an der Schwere der Verletzung. Bei mittelbaren Zulieferern reicht oft das Hinwirken auf Verbesserung. Bei unmittelbaren Zulieferern ist ein Konzept mit Zeitplan und Wirksamkeitskontrolle Pflicht. Beendigung der Geschäftsbeziehung ist Ultima Ratio.

Vertragliche Zusicherungen sind ein Klassiker, aber kein Allheilmittel. Eine reine Klausel ohne Audit oder Kontrolle ist nicht angemessen, eine Klausel mit Audit-Pflicht und Sanktionsmechanismus dagegen wirksam. Die Vertragsgestaltung muss zur Risikobewertung passen.

Schulungen für Mitarbeiter im Einkauf, in der Logistik und in der Geschäftsführung sind Pflicht. Das BAFA prüft im Bericht, wie viele Personen geschult wurden, mit welcher Inhalts- und Methodikgestaltung. Pauschalangaben reichen nicht, dokumentierte Teilnehmerlisten dagegen schon.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. CIVAC verbindet Maßnahmenkatalog, Schulungsnachweise und Wirksamkeitsbewertung in einem Workspace mit Berichtslinie zur Geschäftsführung.

§ 8 LkSG verlangt ein Beschwerdeverfahren, das Hinweisen auf menschenrechtliche und umweltbezogene Risiken zugänglich ist. Es muss vertraulich, unparteiisch und für betroffene Personen wirksam erreichbar sein, auch bei mittelbaren Zulieferern und in der Sprache der Betroffenen.

Das Verfahren überschneidet sich mit dem Hinweisgeberschutzgesetz (HinSchG), das seit 2023 eine interne Meldestelle für Unternehmen ab 50 Beschäftigten vorschreibt. Eine Kombination beider Pflichten in einem System ist zulässig und reduziert den Aufwand.

Anforderungen sind Zugänglichkeit, Vertraulichkeit, Unparteilichkeit, Schutz vor Benachteiligung und transparente Verfahrensregeln. Beschwerden werden dokumentiert, bearbeitet, an die Beauftragten weitergeleitet und im Bericht aggregiert dargestellt.

Die Wirksamkeit des Verfahrens wird jährlich überprüft. Indikatoren sind Anzahl der Beschwerden, Bearbeitungsdauer, Abschlussquote und Rückmeldungen der Beschwerdeführenden. Eine niedrige Beschwerdezahl ist nicht zwangsläufig ein gutes Signal, sondern oft ein Hinweis auf fehlende Bekanntheit.

Sprachversionen sind nicht optional. Wer in Ländern mit relevanter Lieferantenbasis aktiv ist, stellt das Verfahren in der jeweiligen Landessprache oder einer regionalen Lingua Franca bereit. Eine reine deutsche oder englische Fassung erfüllt § 8 LkSG nicht.

CIVAC bietet eine integrierte Meldestelle, die HinSchG, LkSG und Tarifrecht in einem Workflow bedient. Die Meldestelle nach HinSchG ist Bestandteil der Plattform und kann extern besetzt werden.

§ 9 LkSG verlangt die jährliche Wirksamkeitsbewertung aller Sorgfaltspflichten, sowie eine anlassbezogene Bewertung bei substantiierter Kenntnis neuer Risiken. Diese Bewertung ist ein eigenständiger Prozess, kein Anhängsel der Risikoanalyse.

Wirksamkeit wird an konkreten Indikatoren gemessen. Beispiele: Anzahl geschulter Personen, Anzahl auditierter Lieferanten, Anzahl Beschwerden, Anzahl behobener Findings, Quote vertraglich abgesicherter Zulieferer, Quote zertifizierter Rohstoffe. Diese Indikatoren werden je Maßnahme festgelegt.

Die Bewertung folgt einer einfachen Logik: Was wurde geplant, was wurde umgesetzt, was hat sich verbessert, was nicht? Diese vier Fragen werden je Maßnahme beantwortet und dokumentiert. Eine Pauschalantwort reicht nicht.

Bei fehlender Wirksamkeit folgt die Anpassung der Maßnahme. Eine Schulung mit 40 Prozent Teilnahmequote ist nicht wirksam und braucht Anpassung. Eine vertragliche Klausel ohne Audit-Rechte ist nicht wirksam und braucht Nachverhandlung. Diese Anpassung ist Teil der Sorgfalt.

Die Dokumentation der Wirksamkeitsbewertung gehört in den BAFA-Bericht. Das Berichtsformular fragt explizit nach Indikatoren, Ergebnissen und Anpassungen. Wer hier vage bleibt, riskiert Rückfragen oder Tiefenprüfungen.

Der Prüfer ruft an, der Nachweis liegt bereit. CIVAC verbindet Maßnahmen, Indikatoren, Ist-Werte und Wirksamkeitsbewertung am Maßnahmen-Datensatz, mit Jahres-Snapshot für den BAFA-Bericht.

Der BAFA-Bericht 2026 für das Geschäftsjahr 2025 ist bis 30. April 2026 einzureichen. Das Berichtsformular umfasst 24 Fragenkomplexe in sieben Abschnitten: Allgemeine Angaben, Risikomanagement, Risikoanalyse, Prävention, Abhilfe, Beschwerdeverfahren, Dokumentation.

Die Fragen sind teilweise quantitativ (Anzahl Lieferanten, Anzahl Schulungen, Anzahl Beschwerden), teilweise qualitativ (Beschreibung der Methode, Begründung der Schwellenwerte). Beide Antworttypen brauchen belastbare Grundlage in der laufenden Dokumentation.

Häufige Stolpersteine: ungenaue Lieferantenzahlen, fehlende Schulungsnachweise, generische Maßnahmenbeschreibungen, unklare Bewertung der Wirksamkeit, unzureichende Differenzierung zwischen unmittelbaren und mittelbaren Zulieferern. Diese Schwächen führen zu BAFA-Rückfragen oder Tiefenprüfungen.

Die Vorbereitung beginnt im November des Berichtsjahres mit der Konsolidierung aller Maßnahmen, Indikatoren und Beschwerden. Im Januar werden die Berichtsfragen durchgearbeitet, im Februar wird der Bericht intern abgestimmt, im März finalisiert, im April eingereicht.

Der Bericht wird parallel auf der Unternehmenswebsite veröffentlicht. Diese Pflicht nach § 10 Abs. 3 LkSG erhöht die öffentliche Sichtbarkeit der Sorgfaltspraxis. NGOs, Investoren und Geschäftspartner werten die Berichte aus und vergleichen Unternehmen einer Branche.

Audit-fest, dokumentiert, § 10-LkSG-fest. CIVAC liefert einen BAFA-Berichtsexport, der die 24 Fragenkomplexe aus der laufenden Dokumentation befüllt und einen prüffähigen Anhang erzeugt.

Eine Vorlage ersetzt keine Beauftragten und kein Risikomanagement, aber sie ist die schnellste Brücke zur strukturierten Umsetzung. Wer aus Excel-Stapeln in einen integrierten Workspace wechselt, gewinnt Zeit, Konsistenz und Belastbarkeit gegenüber BAFA und Kunden.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die CIVAC-Plattform bündelt LkSG-Risikoanalyse, Maßnahmenkatalog, Beschwerdeverfahren, Wirksamkeitsbewertung und BAFA-Bericht in einem Workspace mit EU-Datenresidenz.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Im Officer-as-a-Service-Modell übernehmen erfahrene LkSG-Beauftragte und Lieferanten-Auditoren die operative Steuerung. SLA für die Bestellung: zwei Werktage statt 2 bis 6 Wochen Suche.

Konkrete erste Schritte: Lieferanten-Inventar konsolidieren, abstrakte Risikoanalyse durchführen, Hochrisiko-Cluster identifizieren, Selbstauskünfte einholen, konkrete Risikoanalyse vertiefen, Maßnahmen ableiten, Wirksamkeit definieren, BAFA-Bericht aus der Dokumentation generieren.

Wer die Risikoanalyse mit dem ESG-Bericht verzahnt, gewinnt zusätzlich. ESRS S2 und LkSG teilen sich Datenobjekte und Indikatoren. Eine gemeinsame Datenbasis reduziert den Erhebungsaufwand und sichert konsistente Aussagen gegenüber Wirtschaftsprüfern, Investoren und BAFA.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir prüfen Ihre Ausgangslage, schlagen ein Vorgehen vor, benennen den passenden Beauftragten. Eine Übersicht der 25 Beauftragtenrollen finden Sie auf der Plattform.