Was ist ein Lieferanten-Risikoregister?

Ein Lieferanten-Risikoregister ist eine Arbeitsliste der Risiken, die ein Unternehmen durch seine Lieferanten trägt. Es bringt die Lieferanten zusammen, die Lieferung, Kosten, Qualität, Compliance oder Kontinuität gefährden können, und ordnet sie nach Dringlichkeit, damit das Team weiß, wo es zuerst handeln muss.

Das Register ist nicht bloß eine Liste der größten Lieferanten. Ausgaben sind ein Faktor, aber Risiko entsteht auch aus Abhängigkeit. Ein kleiner Lieferant kann gefährlicher sein als die umsatzstärkste Position — wenn er einzige Bezugsquelle ist, schwer zu ersetzen, an einen bestimmten Prozess gebunden, überfällig für ein Audit oder auf einem Vertrag sitzt, der ausläuft, bevor ein Backup bereitsteht.

Ein brauchbares Register enthält in der Regel: Lieferantenname, Warengruppe, Ausgaben, verifizierter Bezugsstatus, Vertragslaufzeit, Audit-Aktualität, Ersetzbarkeit, Geschäftsauswirkung, aktuelle Gegenmaßnahmen, Verantwortlicher, Fälligkeitsdatum und nächste Maßnahme. Die genauen Spalten variieren je nach Unternehmen, doch der Test ist einfach: Kann eine Führungskraft die Zeile lesen und erkennen, was schiefgehen könnte, wie gravierend es ist und wer sich darum kümmert?

Das Wort „verifiziert“ ist hier entscheidend. Wenn das ERP einen Lieferanten als dual bezogen ausweist, ein Vermerk aber zeigt, dass der Backup-Vertrag erloschen ist, sollte das Register den verifizierten Status verwenden — nicht das Label. Wenn ein Kritikalitätsfeld vor Jahren gesetzt wurde und nicht mehr zum Prozess passt, sollte das Register die Abweichung kennzeichnen, statt sie zu wiederholen.

Es geht um Priorität. Ein Risikoregister hilft dem Team zu entscheiden, worauf begrenzte Aufmerksamkeit fließen soll: Vertragsverlängerung, Audit, Backup-Qualifizierung, Bestandspuffer, Datenkorrektur oder eine Eskalation an die Führungsebene.

Die Evidenz zählt genauso wie die Bewertung. Eine Zeile mit hohem Score, aber ohne Begründung lässt sich kaum in Maßnahmen umsetzen. Eine Zeile, die sagt „einzige Bezugsquelle, kein qualifiziertes Backup, Wiederbeschaffungszeit über zwölf Monate“, gibt dem Einkäufer einen konkreten nächsten Schritt.

Das Register muss leben. Ein Risikoregister ist kein vierteljährliches Pflichtdokument. Es braucht einen Verantwortlichen, einen Prüfrhythmus und laufende Feldkorrekturen — sonst erbt die nächste Version die gleichen veralteten Quelldaten.