Vorlagen und Aufzeichnungen · ISO 37301 · Abschnitt 8.1 y 8.2
Vorlage für die Due-Diligence-Prüfung von Dritten im Compliance
Die Prüfung vor und während der Geschäftsbeziehung, dass ein Vertreter, Händler oder Lieferant kein untragbares Compliance-Risiko ins Unternehmen bringt.
In einem Satz
Die Due-Diligence-Prüfung von Dritten bewertet das Compliance-Risiko von Geschäftspartnern, Vertretern und Lieferanten – wirtschaftliches Eigentum, Ruf, Sanktionen, Branche und Land –, wendet risikoangemessene Prüfungen an und dokumentiert die Entscheidung und die geforderten Klauseln; ISO 37301 nennt sie nicht als Pflichtaufzeichnung, doch über sie werden ausgegliederte Prozesse und Risiken durch Dritte gesteuert (8.1 und 8.2).
- Wo die Norm es verlangt
- ISO 37301 · Abschnitt 8.1 y 8.2 Die Abschnitte folgen ISO 37301:2021, der gültigen Ausgabe, die den Leitfaden ISO 19600 abgelöst hat.
- Art der Information
- Bewährte Praxis Bewährte Praxis, die die Kontrollen der Abschnitte 8.1 und 8.2 konkretisiert
- Wer sie ausfüllt
- Beauftragender Bereich, gemeinsam mit Compliance Compliance prüft die Hochrisikofälle und kann die Geschäftsbeziehung ablehnen
- Wann
- Vor der Beauftragung Und regelmäßig je nach Risiko oder bei Warnsignalen
- Wie lange sie aufbewahrt wird
- Legt die Organisation fest ISO 37301 nennt keine Fristen. In Spanien empfiehlt es sich, die Verjährungsfristen der Straftaten zu berücksichtigen, die das System verhindern soll, denn die Aufzeichnung ist der Nachweis der gebotenen Sorgfalt.
Was die Norm verlangt
Was ISO 37301 fordert und was Ihrem Ermessen überlassen bleibt
ISO 37301 verlangt, ausgegliederte Prozesse zu steuern und Kontrollen zur Handhabung der Compliance-Pflichten und -Risiken einzurichten. Entsteht das Risiko durch einen Dritten – einen Vertreter, der im Namen des Unternehmens verkauft, einen Händler im Ausland –, ist die Due Diligence die naheliegende Kontrolle.
Den Inhalt legt die Norm nicht fest. ISO 37001 führt ihn für Bestechung aus: Art und Umfang des Risikos jedes Geschäftspartners bewerten und angemessene Prüfungen anwenden. Sie ist die meistgenutzte Referenz, auch wenn diese Zertifizierung nicht angestrebt wird.
Es ist weder die Lieferantenbewertung nach ISO 9001 noch die Sicherheitsbewertung nach ISO 27001: Hier lautet die Frage, wer der Dritte tatsächlich ist und ob sein Verhalten das Unternehmen haftbar machen kann.
Aufbau
Felder, die die Vorlage enthalten sollte
- Dritter, Art der Beziehung und Leistung
- Risikoniveau: Land, Branche, Kontakt zu Amtsträgern, Zahlungsweise
- Wirtschaftlich Berechtigte und Geschäftsführer
- Prüfungen: Sanktionslisten, Presse, Referenzen, Zertifikate
- Festgestellte Warnsignale und wie sie geklärt wurden
- Geforderte Klauseln: Compliance, Audit, Kündigung
- Entscheidung, wer sie trifft und Bedingungen
- Nächste Überprüfung
Beispiel
Beispiel: Aufnahme eines Handelsvertreters im Ausland
Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.
| Feld | Inhalt |
|---|---|
| Dritter | Handelsvertreter (fiktiv) für Verkäufe an öffentliche Krankenhäuser in einem anderen Land · 8 % Provision |
| Risiko | Hoch: Kontakt zu öffentlichen Einkäufern und erfolgsabhängige Vergütung |
| Wirtschaftlich Berechtigter | Identifizierte natürliche Person; laut unterzeichneter Erklärung keine Verbindung zum öffentlichen Auftraggeber |
| Prüfungen | Sanktionslisten ohne Treffer · Presse ohne negative Meldungen · zwei überprüfte Referenzen |
| Warnsignal | Bat um Zahlung auf ein Konto in einem Drittland · abgelehnt: Zahlung nur auf ein Konto auf seinen Namen im Land der Leistung |
| Klauseln | Einhaltung der Antikorruptionsregeln, Auditrecht und fristlose Kündigung |
| Entscheidung | Unter Auflagen genehmigt von der Compliance-Verantwortlichen, 12. Mai 2026 |
| Überprüfung | Jährlich |
Im Audit
Fehler, die Auditoren häufig feststellen
- Dieselbe Prüfung für alle Dritten, ohne Abstufung nach Risiko.
- Warnsignale werden notiert, ohne dass über sie entschieden wird.
- Due Diligence nur bei der Aufnahme, danach nie wieder überprüft.
- Verträge mit Vertretern ohne Compliance- oder Kündigungsklausel.
In Kimobox
So wird diese Aufzeichnung in Kimobox geführt
- 1Die Due Diligence jedes relevanten Dritten wird über das Lieferantenportal erfasst.
- 2Die Unterlagen des Dritten werden mit überwachten Ablaufdaten gepflegt.
- 3Die Befugnismatrix legt fest, wer welche risikobehaftete Geschäftsbeziehung genehmigen darf.
Häufige Fragen
Was man uns vor dem Start fragt
Muss man bei allen Lieferanten eine Due Diligence durchführen?
Nicht mit derselben Intensität. Sinnvoll ist eine vorherige Einstufung nach Risiko: Lieferanten mit niedrigem Risiko durchlaufen eine Basisprüfung, solche mit hohem Risiko die vollständige mit regelmäßiger Überprüfung.
Wie hängt sie mit der steuerlichen Sorgfaltsprüfung nach UNE 19602 zusammen?
Es ist dieselbe Kontrolle mit anderer Brille: UNE 19602 richtet den Blick auf die Steuerrisiken von Geschäften mit Dritten. Wer beide Systeme führt, kann ein einziges Datenblatt mit beiden Abschnitten verwenden.
Führen Sie die Aufzeichnungen zu ISO 37301 ohne verstreute Vorlagen
Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.
Weiter entdecken
Verwandte Seiten
Vorlage für die Sicherheitsbewertung von Lieferanten nach ISO 27001
So bewerten und überwachen Sie Lieferanten nach den Maßnahmen 5.19 bis 5.22 der ISO 27001: Datenzugriff…
Betrieb
Im Betrieb wird die Richtlinie zu echten Kontrollen: Due Diligence bei Partnern und Lieferanten sowie…
Vorlage für das Register der Compliance-Pflichten nach ISO 37301
So dokumentieren Sie die von ISO 37301 verlangten Compliance-Pflichten: Pflichtanforderungen und freiwillige…
Vorlage für die Compliance-Risikobewertung nach ISO 37301
So dokumentieren Sie die Compliance-Risikobeurteilung nach ISO 37301: Pflicht, Tätigkeit, Ursachen…
Quellen
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.