Die Risikoanalyse als Kernelement des Lieferkettensorgfaltspflichtengesetzes

Am 17. August 2022 hat das Bundesamt für Wirtschaft und Ausfuhrkontrolle (nachfolgend „BAFA“)* , eine sog. „Handreichung zur Umsetzung der Risikoanalyse nach den Vorgaben des Lieferkettensorgfaltspflichtengesetz“ veröffentlicht. Das BAFA konkretisiert in dieser Leitlinie die Anforderungen des Lieferkettensorgfaltspflichtengesetzes zur Vorbereitung und Umsetzung einer Risikoanalyse und bietet den Unternehmen hierdurch eine wertvolle Hilfestellung zur Umsetzung des Lieferkettensorgfaltspflichtengesetzes (nachfolgend „LkSG“). Für Unternehmen, die in den Anwendungsbereich des LkSG fallen, bedeutet dies einerseits eine gewisse Klarheit hinsichtlich der Umsetzung der gesetzlichen Anforderungen. Andererseits bestätigt die Handreichung aber, dass die Implementierung einer LkSG-konformen Risikoanalyse einen erheblichen (Mehr-)Aufwand begründet und unerlässlich für ein angemessenes und wirksames Risikomanagement im Unternehmen ist.

Zum Hintergrund der BAFA-Handreichung / Inkrafttreten des LkSG ab dem 1. Januar 2023

Zum 1. Januar 2023 tritt das LkSG (auch unter dem Begriff „Lieferkettengesetz“ bekannt) in Kraft. Mit dem Gesetz wird auf nationaler Ebene erstmals die unternehmerische Verantwortung für die Einhaltung von Menschenrechten und umweltbezogenen Pflichten in den Lieferketten geregelt. Das LkSG verpflichtet ab dem 1. Januar 2023 zunächst in Deutschland ansässige Unternehmen mit mindestens 3.000 Mitarbeitern bestimmte Sorgfaltspflichten entlang ihrer Lieferketten einzuhalten. Ab dem 1. Januar 2024 erstreckt sich das Gesetz dann auch auf Unternehmen mit über 1.000 Mitarbeitern. Allerdings ist insoweit zu beachten, dass auch kleinere Unternehmen (sog. "SMEs“), die unter dieser Schwelle liegen, ebenfalls vom LkSG betroffen sein können. Denn es ist zu beobachten, dass die nach dem LkSG verpflichteten Unternehmen ihre gesetzlichen Pflichten vertraglich entlang ihrer Lieferketten weiterreichen (sog. „trickle-down-Effekt“). Auch kleine Unternehmen sollten daher ihre Kundenverträge entsprechend überprüfen und sich ggf. auf die Einhaltung weitergehender Pflichten vorbereiten.

Darüber hinaus hat am 23. Februar 2022 auch die EU-Kommission einen Vorschlag für eine Richtlinie zu Sorgfaltspflichten in der Wertschöpfungskette vorgelegt. Dieser Vorschlag der EU-Kommission sieht an vielen Stellen deutlich strengere Regelungen als das deutsche LkSG vor (insbesondere im Hinblick auf die Risikoanalyse hinsichtlich mittelbarer Zulieferer).

Die Risikoanalyse als Kernelement des LkSG

Ein wesentliches Element des LkSG bildet die Durchführung einer sog. Risikoanalyse, vgl. §§ 3 Abs. 1 Nr. 3, 5 LkSG. Nach dieser sind Unternehmen dazu verpflichtet, eine angemessene (jährliche bzw. anlassbezogene) Risikoanalyse durchzuführen. Ziel der Risikoanalyse ist es, Kenntnis über die menschenrechtlichen und umweltbezogenen Risiken im eigenen Geschäftsbereich und in der Lieferkette zu erlangen. Auf Basis der Risikoanalyse müssen Unternehmen sodann entsprechende Präventions- und Abhilfemaßnahmen ergreifen (vgl. §§ 6, 7 LkSG).

Das LkSG enthält jedoch keine spezifischen Vorgaben hinsichtlich der genauen Durchführung einer Risikoanalyse. Vielmehr überlässt das Gesetz die konkrete Ausgestaltung dem unternehmerischen Ermessen. Das Gesetz fordert bloß eine angemessene Gewichtung und Priorisierung der ermittelten Risiken (vgl. § 5 Abs. 2 LkSG). Zudem muss die Analyse dem Unternehmen ermöglichen, menschrenrechtliche und umweltbezogene Risiken zu erkennen (vgl. § 4 Abs. 2 LkSG). Angesichts des Fehlens klarer gesetzgeberischer Anforderungen an die Durchführung Risikoanalyse war bislang weitgehend unklar, welche genauen Maßnahmen erforderlich sind, um eine LkSG-konforme Risikoanalyse zu implementieren. Die Handreichung vom BAFA hat diesbezüglich (jedenfalls teilweise) „Licht ins Dunkle“ gebracht und gibt Unternehmen erstmals konkrete Anhaltspunkte für die Durchführung der Risikoanalyse an die Hand.

Wesentliche Inhalte und Hilfestellungen der Handreichung

Die BAFA Handreichung enthält verschiedene Informationen Hilfestellungen für Unternehmen zur Ermittlung, Gewichtung und Priorisierung von Risiken sowie zu den Schritten einer Risikoanalyse. Die wichtigsten Punkte der Handreichung sind dabei die Folgenden:

• Risikoanalyse elementar wichtig für Implementierung eines wirksamen Risikomanagementsystems: Die Handreichung betont, dass die Risikoanalyse das Fundament für die Erfüllung der Sorgfaltspflichten nach dem LkSG bildet und unerlässlich für die Einrichtung eines angemessenen und wirksamen Risikomanagements ist. Dies zeigt, welchen Wert das BAFA der Risikoanalyse beimisst und lässt den Schluss zu, dass das BAFA (als die mit der Durchsetzung des LkSG betraute Behörde) bei der Überprüfung der Einhaltung des LkSG insbesondere darauf achten wird, ob die Unternehmen eine angemessene Risikoanalyse implementiert haben.
• Hinweise für anlassbezogene Risikoanalyse / proaktives Handeln des Unternehmens: Das LkSG schreibt – neben einer jährlichen Risikoanalyse im eigenen Geschäftsbereich sowie bei unmittelbaren Zulieferern – in zwei Fällen auch eine anlassbezogene Risikoanalyse (Analyse mittelbarer Zulieferer, Veränderung der Geschäftstätigkeit) vor. In der Praxis wird vor allem die anlassbezogene Risikoanalyse hinsichtlich mittelbarer Zulieferer nach §§ 9 Abs. 3 Nr. 1, 5 LkSG relevant werden. Diese ist nach dem LkSG durchzuführen, wenn das Unternehmen „substantiierte Kenntnis“ von Sorgfaltspflichtverletzungen des mittelbaren Zulieferers erlangt. Bislang war insoweit unklar, was unter diesem unbestimmten Rechtsbegriff zu verstehen ist. Das BAFA liefert diesbezüglich nun einige Hinweise und setzt einen extrem niedrigen Maßstab für das Vorliegen „substantiierter Kenntnis“ an. So sollen bereits mediale Hinweise oder Problemdiskussionen in bestehenden Brancheninitiativen als „substantiierte Kenntnis“ und damit als Auslöser für eine anlassbezogene Risikoanalyse eines mittelbaren Zulieferers genügen. Dies kann unter Umständen so weit gehen, dass selbst Diskussionen in Internetforen, sozialen Netzwerken usw. einen hinreichenden Anlass bieten. Zudem empfiehlt das BAFA in diesem Zusammenhang, „proaktiv“ vorzugehen und die reguläre (jährliche) Risikoanalyse (ohne Vorliegen einer gesetzlichen Verpflichtung) auf mittelbare Zulieferer und „tiefere Lieferkette“ auszuweiten.
• "Perspektivwechsel" erforderlich / mögliche Reputationsschäden "keine Ausrede": Das BAFA empfiehlt Unternehmen, bei der Durchführung der Risikoanalyse einen „Perspektivwechsel“ vorzunehmen. Im Mittelpunkt der Risikoanalyse sollen die Interessen der eigenen Beschäftigten, der Beschäftigten innerhalb der Lieferkette und derjenigen Personen stehen, die in sonstiger Weise vom wirtschaftlichen Handeln des Unternehmens betroffen sein können. Unternehmen sollen daher im Rahmen ihrer Risikoanalyse auch solche Risiken zu adressieren, die unter Umständen den geschäftlichen Erfolg oder die Reputation des Unternehmens gefährden können.
• Mehrschrittige Durchführung der Risikoanalyse: Die Handreichung enthält zudem eine Vielzahl an konkreten Hilfestellungen zur Durchführung der Risikoanalyse. Hierfür hinaus gibt das BAFA Unternehmen verschiedene Übersichten und Schaubilder an die Hand, aus denen sich viele Informationen für die Risikoanalyse entnehmen lassen. Im Grundsatz empfiehlt das BAFA die Risikoanalyse (inklusive Vorbereitung) mehrschrittig vorzugehen:

• In einem vorgelagerten Schritt ("Vorbereitung der Risikoanalyse") soll sich das Unternehmen ein detailliertes Bild von den eigenen Geschäftsbeziehungen in der Lieferkette machen. Die Unternehmen sind daher dazu angehalten, grundlegende Informationen zur eigenen Unternehmensstruktur, Beschaffungsstruktur sowie zu den eigenen Lieferketten und Geschäftsbeziehungen zusammenzustellen und so Transparenz in der Lieferkette zu schaffen. Dies ist laut BAFA zweckdienlich, um festzustellen, in welchen Bereichen und in welcher Tiefe die eigentliche Risikoanalyse angestoßen werden muss. 
• Im ersten Schritt der eigentlichen Risikoanalyse (sog. "abstrakte Risikobetrachtung") soll sodann auf Grundlage der Vorbereitung eine abstrakte Betrachtung von Risiken durchgeführt werden. Dies kann zum Beispiel in Form eines sog. "Risikomappings" nach Geschäftsfeldern, Standorten, Produkten, Rohstoffen oder Herkunftsländern erfolgen. 
• Für den zweiten Schritt der eigentlichen Risikoanalyse (sog. "konkrete Risikobetrachtung") empfiehlt das BAFA sodann die abstrakt identifizierten Risiken individuell für die eigenen Lieferbeziehungen zu ermitteln, zu bewerten und, falls notwendig, die Risiken zu priorisieren. Zwar bestätigt somit auch die Handreichung die grundsätzliche Möglichkeit, innerhalb der Risikoanalyse Risiken zu priorisieren, soweit das Unternehmen nicht dazu in der Lage ist, alle Risiken gleichzeitig zu analysieren (sog. "risikobasierter Ansatz"). Das BAFA hebt allerdings ausdrücklich hervor, dass Unternehmen in ihrem eigenen Geschäftsbereich darauf hinzuarbeiten haben, die konkrete Risikobetrachtung und Risikobewertung auf alle Risiken im gesamten eigenen Geschäftsbereich auszuweiten. Darüber hinaus betont das BAFA, dass die "konkrete Risikobetrachtung" im eigenen Geschäftsbereich grundsätzlich zwingend durchzuführen ist und eine Betrachtung allein auf Basis einer "abstrakten Risikobetrachtung" nicht ausreichend ist, um die Sorgfaltspflichten des LkSG zu erfüllen. Angesichts der Zulässigkeit des risikobasierten Ansatzes dürfte das BAFA den Unternehmen hierfür jedoch eine gewisse Übergangszeit einräumen. 

• Ermessensspielraum des Unternehmens hinsichtlich einzelner (Analyse-)Maßnahmen: Auch wenn das BAFA in seiner Handreichung recht konkret die einzelnen Schritte der Risikoanalyse skizziert, finden sich weder im LkSG selbst noch in der Handreichung konkrete Hinweise dazu, welche genauen Maßnahmen (etwa zur Informationsbeschaffung) zulässig sind. Daher bleibt es dabei, dass den Unternehmen hinsichtlich der einzelnen durchzuführenden Maßnahmen ein großer Ermessensspielraum verbleibt, solange die Maßnahmen ermöglichen, menschenrechtliche und umweltbezogene Risiken zu erkennen und angemessen zu gewichten.
• Implementierung wirksamer Präventionsmaßnahmen: Hinsichtlich der Implementierung von Präventions- und Abhilfemaßnahmen nach §§ 6,7 LkSG, die sich unmittelbar an die eigentliche Risikoanalyse anschließen, enthält die Richtlinie ebenfalls einige (wenn auch wenige) Hinweise. Insbesondere hebt das BAFA diesbezüglich hervor, dass bei der Entwicklung von Präventionsmaßnahmen die Unternehmen auf die Ergebnisse ihrer Risikoanalyse aufbauen sollen. Zudem soll es laut BAFA ausreichen, wenn die Präventionsmaßnahmen solche Risiken adressieren, die das Unternehmen selbst verursacht hat oder zu denen es beigetragen hat. 

Fazit und Ausblick

Hohe Bedeutung der Risikoanalyse muss Rechnung getragen werden

Die Handreichung des BAFA betont ein weiteres Mal die hohe Bedeutung der Risikoanalyse innerhalb eines dem LkSG entsprechenden Risikomanagementsystems und liefert endlich (zumindest einige) Antworten auf dringende Fragen, die sich im Zusammenhang mit der Implementierung der Risikoanalyse nach § 5 LkSG stellen.

Inhalte der Handreichung prüfen und falls notwendig umsetzen

Auch wenn es sich bei der Handreichung lediglich um unverbindliche Empfehlungen der Kontrollbehörde und damit gerade nicht um ein Gesetz handelt, sollten Unternehmen die Handreichung sorgfältig prüfen und die Hinweise (bei Bedarf) in ihr eigenes Risikomanagementsystem integrieren. Zudem sollten Unternehmen überprüfen, ob eine Anpassung ihrer eigenen Standardvertragswerke (Code of Conduct, Allgemeine Geschäftsbedingungen etc.) erforderlich ist.

Risikoanalyse mittelbarer Zulieferer nicht vernachlässigen

Unternehmen sollten umgehend evaluieren, inwiefern sie verpflichtet sind, mittelbare Zulieferer anlassbezogen in ihre Risikoanalyse miteinzubeziehen. Insoweit ist vor allem rechtlich zu überprüfen, ob potentielle Informationen über einen mittelbaren Zulieferer als „substantiierte Kenntnis“ zu qualifizieren sind. Darüber hinaus sollten Unternehmen entscheiden, ob sie der (über das LkSG hinausgehende) Empfehlung des BAFA folgen und bereits jetzt mittelbare Zulieferer proaktiv in ihre jährliche (anlasslose) Risikoanalyse miteinbeziehen. Dies kann sich für einige Unternehmen (insbesondere im Hinblick auf die Inhalte des europäischen Richtlinienvorschlag vom 22. Februar 2022) durchaus anbieten.

Auch kleinere Unternehmen in der Pflicht

Auch wenn die Überarbeitung interner Compliance-Strukturen mit (erheblichen) finanziellen und personellen Mehrbelastungen verbunden sind, sollten sich auch kleinere Unternehmen / SMEs bereits jetzt mit der Implementierung eines LkSG-konformen Risikomanagements befassen. Denn wie erwähnt, ist seit längerem zu beobachten, dass sich größere Unternehmen und Konzerne durch verschiedene Regelungen in ihren Standardvertragswerken von ihren Vertragspartnern eine umfassende Einhaltung von Sorgfaltspflichten im Bereich der Menschenrechte und des Umweltschutzes zusichern lassen. Damit sind viele SMEs unabhängig von einer gesetzlichen Verpflichtung vertraglich verpflichtet, die Sorgfaltspflichten des LkSG zu wahren. Deshalb sollten sie ihre Kundenverträge in einem ersten Schritt auf entsprechende Pflichtenübernahmen prüfen.

Beobachtung des weiteren Geschehens

Unternehmen sollten das weitere Geschehen im Zusammenhang mit dem Inkrafttreten des LkSG ab dem 1. Januar 2023 weiter aufmerksam verfolgen. Insbesondere in den nächsten Wochen ist damit zu rechnen, dass das BAFA weitere Handreichungen, unter anderem zu den Themen „Angemessenheit zu Maßnahmen der Unternehmen im Sinne des LkSG“ und „Beschwerdeverfahren“ veröffentlichen wird. Dies hat das BAFA bereits angekündigt.

*Dem BAFA obliegt nach § 19 LkSG die Kontrolle und Durchsetzung der Sorgfaltspflichten nach dem LkSG. Zu diesem Zweck ist das BAFA mit umfangreichen Befugnissen ausgestattet. Beispielsweise kann das BAFA zur Durchsetzung der Sorgfaltspflichten Zwangsgelder einsetzen (§ 23 LkSG) und/oder Verstöße mit Bußgeldern ahnden (§ 24 LkSG). Vor diesem Hintergrund droht beispielsweise ein Bußgeld wenn die Risikoanalyse nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig durchgeführt wird (vgl. § 24 Abs. 1 Nr. 2 LkSG). Das BAFA ist nach § 20 S. 1LkSG aber ebenfalls dazu verpflichtet, mittels sog. Handreichungen, Hilfestellungen und Empfehlungen zur Einhaltung des LkSG zu geben. Dieser Pflicht ist das BAFA mit der Veröffentlichung der ersten Handreichung zum LkSG nun erstmals nachgekommen.