Wir haben den Standard zur Steuerung der unternehmensinternen Due-Diligence-Prüfung entwickelt.

Das Gesetz verlangt dies zunehmend. Bekämpfung von Bestechung und Geldwäsche, Zwangsarbeit, Sanktionen, Menschenrechte und Umweltrecht – fast jedes wichtige Compliance-Regelwerk der letzten zwei Jahrzehnte stützt sich auf die Sorgfaltspflicht als zentralen Mechanismus. Keines davon definiert jedoch wirklich präzise, was ein Unternehmen tatsächlich tun muss, um diese Anforderungen zu erfüllen.

Um dieses Vakuum zu füllen, setzten die meisten Unternehmen das ein, was am günstigsten und am schnellsten zu rechtfertigen war: einen Fragebogen, den die Gegenpartei über sich selbst ausfüllte, ein Abonnement für ein Screening-Tool, eine Bewertungsmatrix, die den einen entscheidenden Befund stillschweigend unter den Tisch fegte. Nichts davon war böswillig. Aber fast nichts davon war bei genauerer Betrachtung vertretbar.

Selbst wenn bei der Due Diligence etwas zutage tritt, wird dies oft ohnehin außer Acht gelassen – zugunsten des Preises, der Geschäftsbeziehung oder dessen, wer bis Freitag liefern kann. Die Akte bleibt unberührt in einem Ordner liegen. Ein Unternehmen, das auf die Prüfung verzichtet, ist zumindest ehrlich, wenn es sagt, dass es nicht hinschaut. Ein Unternehmen, das den gesamten Prozess durchläuft und die Ergebnisse anschließend ignoriert, hat eine Papierspur hinterlassen, die den Anschein erweckt, als sei das Risiko berücksichtigt worden – obwohl es in Wirklichkeit zwar zur Kenntnis genommen, aber ignoriert wurde.

Eine höhere Risikotoleranz ist eine legitime Entscheidung, die bewusst von den dafür zuständigen Personen getroffen wird. Eine geringe Risikotoleranz zu behaupten und diese dann im Einzelfall stillschweigend zu umgehen, ist kein Risikomanagement. Das ist nichts weiter als das Ankreuzen von Kästchen mit einer Unterschrift am Ende.

Die Standards ergänzen sich ausdrücklich: Die Bereichsstandards sorgen für Tiefe innerhalb der einzelnen ESG-Bereiche; SPK CSMS1000:2026 bildet die Governance-Architektur für alle Bereiche.

SPK DDMS2000:2026 umfasst die Sorgfaltspflicht in den Bereichen Korruptionsbekämpfung, Geldwäschebekämpfung/KYC, Exportkontrolle, Sanktionen, Menschenrechts- und Umweltsorgfaltspflicht bei Lieferanten, Zwangsarbeit und Einfuhrkonformität, Entwaldung und Konfliktmineralien, Personal und Einstellung, Marken- und Reputationsrisiken, Umwelt-, Gesundheits- und Sicherheitshaftung sowie Cyber- und Datenschutz – alles unter Einbeziehung einer gemeinsamen Risikomethodik, eines Kompetenzrahmens und einer Entscheidungsstruktur.

KI-gestützte Forschung, das Management von Drittanbietern und die Behebung von Mängeln werden durchgehend als eigene, spezifische Anforderungen behandelt.

Eine Richtlinie ohne Kompetenzanforderungen und ohne Entscheidungsrahmen ist ein Urteilsspruch, kein System. Eine Beziehung zu einem Anbieter ohne Kontrolle darüber, was dieser in Ihrem Namen abschließen darf, ist ein ausgelagerter blinder Fleck. Ein Workflow-Tool, das protokolliert, was geschehen ist, ist eine Aufzeichnung – es nimmt keine Stellung dazu, ob irgendetwas davon hätte geschehen sollen.

SPK DDMS2000:2026 ist eine echte Norm für Managementsysteme, die auf denselben Grundsätzen basiert, die die ISO in den Bereichen Qualität, Sicherheit und Korruptionsbekämpfung anwendet – und die hier erstmals auf die Sorgfaltspflicht als eigenständigen, in sich schlüssigen Bereich angewendet werden. Die Risikobereitschaft wird bewusst auf der Ebene des Leitungsgremiums festgelegt. Die Nachweisanforderungen skalieren entsprechend dem Risiko. Kompetenz wird nachgewiesen und nicht einfach vorausgesetzt. Jede Abweichung von einem Befund wird einem namentlich genannten Entscheidungsträger zugewiesen, wobei die Begründung dokumentiert wird.

In den meisten Unternehmen ruht die Due Diligence auf den Schultern von ein oder zwei Personen – und verschwindet an dem Tag, an dem diese das Unternehmen verlassen. SPK DDMS2000:2026 institutionalisiert sie stattdessen: als zentrale organisatorische Kompetenz, die in den Bereichen Beschaffung, Vertrieb, Transaktionsteams und Personalwesen verankert ist, und nicht als Hintergrundaufgabe, für die ein einzelnes Team stillschweigend zuständig ist.

Ein Unternehmen, das seiner eigenen Due-Diligence-Prüfung vertraut, handelt schneller, nicht langsamer. Es betritt einen neuen Markt mit Zuversicht. Es schließt ein Geschäft ab, ohne dass bleibende Zweifel darüber bestehen, mit wem es tatsächlich Geschäfte macht. Die Due-Diligence-Prüfung ist dann keine Bremse mehr, die das Unternehmen als Hindernis empfindet, sondern wird zu einer Fähigkeit, auf die es sich verlässt – um Risiken zu steuern und gleichzeitig Chancen zu nutzen.