Von Christian Ritz und Felix Werner*

Es ist so weit: Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt ab dem 1.1.2023 für Unternehmen mit mehr als 3 000 Beschäftigten in Deutschland. Zum 1.1.2024 wird die Schwelle auf 1 000 Beschäftige in Deutschland gesenkt. Für diesen Kreis an Unternehmen gilt es, die Umsetzung jetzt abzuschließen bzw. im neuen Jahr mit der Umsetzung zu beginnen. Aber auch kleinere Unternehmen bzw. ausländische Zulieferer werden bereits jetzt mittelbar mit den LkSG-Anforderungen konfrontiert. Denn das Gesetz sieht vor, dass Sorgfaltspflichten (teilweise) vertraglich an die Zulieferer weitergegeben werden.

Was bedeutet das konkret für die betroffenen Unternehmen und ihre Lieferketten? Die Sorgfaltspflichten sind als „Bemühenspflichten“ ausgestaltet. Das heißt, Unternehmen haften nicht automatisch, wenn in der Lieferkette geschützte Menschenrechte oder Umweltstandards verletzt werden. Vielmehr müssen sie angemessene und wirksame Maßnahmen zur Erfüllung der Sorgfaltspflichten ergreifen. Hierfür sollten Unternehmen geeignete Compliance-Maßnahmen einsetzen, um diesen Anforderungen gerecht zu werden.

Inhalt der Sorgfaltspflichten ist (i) die Einrichtung eines Risikomanagementsystems einschließlich der Benennung eines sog. Menschenrechtsbeauftragten, (ii) die Veröffentlichung einer Grundsatzerklärung zur Menschenrechtsstrategie, (iii) die Durchführung einer Risikoanalyse, (iv) das Ergreifen von Präventions- und Abhilfemaßnahmen, (v) die Einrichtung eines Beschwerdemechanismus sowie (vi) Dokumentation und Berichterstattung.

Was angemessen ist, müssen Unternehmen im Einzelfall selbst entscheiden. Hierbei können sie risikobasiert vorgehen. Um Unternehmen bei der Umsetzung zu unterstützen, hat das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) drei Handreichungen zur Risikoanalyse, zum Beschwerdeverfahren und zur Berichtspflicht veröffentlicht.

Die Sorgfaltspflichten stellen vielfältige organisatorische Anforderungen an Unternehmen, deren Umsetzung umfangreiche Anpassungsmaßnahmen erfordern kann. Auch wenn das LkSG keinen starren Zeitplan für die Umsetzung vorsieht und nicht verlangt, dass Unternehmen zum 1.1.2023 sämtliche Anforderungen des LkSG final umgesetzt haben müssen, sollte man die complianceseitige Umsetzung nicht auf die lange Bank schieben. Sowohl die Sanktionsandrohungen nach dem LkSG (Bußgelder bis zu 2 % des weltweiten Jahresumsatzes der wirtschaftlichen Einheit) als auch mögliche Reputationsschäden stellen für die Unternehmen erhebliche Risiken dar.

Um bei der Umsetzung möglichst effizient vorzugehen, sollten Unternehmen bestimmte Vorkehrungen schaffen bzw. geschaffen haben. Dies betrifft vor allem zentrale organisatorische Aspekte wie die Implementierung eines angemessenen und wirksamen Risikomanagements, damit zum 1.1.2023 alle erforderlichen organisatorischen Maßnahmen vorbereitet sind. Neben der Schaffung einer Projektstruktur mit klaren Zuständigkeiten für die Umsetzung der LkSG-Anforderungen gehört dazu insbesondere die Vorbereitung und Anpassung bzw. Implementierung der erforderlichen Prozesse.

Bei der Schaffung eines Risikomanagements sollte eine unternehmensspezifische Ausgestaltung gewählt werden, die sich an anerkannten Standards für Risikomanagement, insbesondere Compliance-Management-Systemen, orientieren kann. In bestehende Systeme kann das Risikomanagement nach LkSG integriert bzw. angedockt werden.

Die Verortung der Letztverantwortung für die Einhaltung des LkSG liegt im Ermessen des Unternehmens. Denkbar und in der aktuellen Umsetzungspraxis häufig ist eine Aufhängung in der Rechts- und Compliance-Abteilung, im Einkauf oder in der Nachhaltigkeits-Abteilung.

Auch eine geteilte Zuständigkeit verschiedener Abteilungen ist denkbar und durchaus üblich. Dabei sollte stets das Ziel einer angemessenen und wirksamen Umsetzung der Compliance-Anforderungen nach dem LkSG im Blick behalten werden.

Auch bei der konkreten Umsetzung der einzelnen Anforderungen sind klare Zuständigkeiten von entscheidender Bedeutung, um sicherzustellen, dass die Maßnahmen wirksam sind. Dies gilt insbesondere für den Menschenrechtsbeauftragten, dem eine zentrale Rolle bei der Überwachung des Risikomanagements und eine Bindegliedfunktion zwischen der Geschäftsleitung und den Geschäftseinheiten zukommt. Für die Risikoanalyse ist zu beachten, dass diese – anders als bisherige Business Partner Risikoanalysen – eine Inside-out-Betrachtung erfordert. Zur Vorbereitung sollten die Informationsbasis geschaffen und entsprechende Prozesse definiert werden. Dies sollte auch einen Plan für den Beginn der Risikoanalyse ab Januar 2023 beinhalten. Sind bereits Hochrisiko-Bereiche oder Zulieferer bekannt, sollten Maßnahmen priorisiert werden. Unternehmen sollten sich dabei an der BAFA-Handreichung orientieren, die konkrete Prozessschritte beschreibt.

Für die vom LkSG geforderten Präventions- und Abhilfemaßnahmen sollten die Anforderungen und Prozesse als wesentliche Bestandteile des Risikomanagements zumindest entwickelt sein, sodass sie zeitnah zum Jahresbeginn implementiert und kommuniziert werden können. Aus den Ergebnissen der Risikoanalyse sollten dann Anpassungen abgeleitet werden.

Dies gilt z. B. für die Menschenrechtsstrategie, die bereits Anfang 2023 kommuniziert und veröffentlicht werden sollte, um die Erwartungen des Unternehmens bzgl. Einhaltung der Menschenrechte und des Umweltschutzes zum Ausdruck zu bringen (tone from the top).

Da das LkSG die vertragliche Weitergabe von Sorgfaltspflichten an (unmittelbare) Zulieferer verlangt, sollten auch die AGB und Lieferantenkodizes zeitnah an die LkSG-Anforderungen angepasst werden. Dies gilt für bestehende sowie für Neuverträge.

Zum Jahresbeginn sollten verpflichtete Unternehmen einen funktionierenden LkSG-konformen Be­schwerdemechanismus implementiert haben. Dazu sollte eine Prozessbeschreibung für den Beschwerdemechanismus entworfen und auf der Unternehmenswebsite veröffentlicht werden. Mit Blick auf das nahende Hinweisgeberschutzgesetz liegt es nahe, einen integrierten Ansatz zu wählen.

Da das LkSG umfangreiche Be­richtspflichten enthält, ist die Dokumentation von zentraler Bedeutung. Der vom BAFA entwickelte Fragebogen verlangt detaillierte Angaben (48 Fragen mit insgesamt 437 Antwortoptionen). Da der Bericht spätestens vier Monate nach Ende des Geschäftsjahres 2023 zu erstatten ist, bleibt für den Bericht nach Abschluss des Geschäftsjahres wenig Zeit. Unternehmen sollten sich der Bedeutung einer korrekten Beantwortung bewusst sein: Die Plausibilität der Antworten wird Einfluss darauf haben, welche Unternehmen einer näheren Betrachtung durch das BAFA unterzogen werden.

Auch bei der Nachhaltigkeitsberichterstattung wird durch den verabschiedeten Entwurf der CSRD-Richtlinie der Kreis der verpflichteten Unternehmen und die Zahl der Berichtsthemen künftig (einschließlich lieferkettenbezogener Aspekte) stark erweitert. Unternehmen sollten sich rechtzeitig vorbereiten, eine konsistente Berichterstattung auf Grundlage einer sorgfältigen Dokumentation sicherzustellen.

Auch auf EU-Ebene zeichnen sich weitere Lieferketten-Compliance-Herausforderungen ab. Am 1.12.2022 hat der Rat seine Position für eine EU-Lieferketten-Richtlinie festgelegt. Diese weicht teilweise von den weitreichen­den Vorstellungen der EU-Kom­mission und des EU-Parlaments ab, geht aber über das LkSG hinaus. Das LkSG wird demnach verschärft werden müssen.

Unternehmen sollten die Entwicklungen verfolgen. Um entsprechende Prozesse und einen Rahmen zur Einhaltung der Vorgaben zu schaffen, ist ein wirksames Compliance-Management sowohl der Weg als auch das Ziel.

*) Christian Ritz ist Partner und Dr. Felix Werner Rechtsanwalt bei Hogan Lovells in München bzw. Berlin.