Industrie · Oktober 2026 · Lesezeit 10 Minuten
Im Juni 2023 hat die DIHK rund 2.400 international aktive Unternehmen befragt, ob Geschäftspartner sie zu menschenrechts- und umweltbezogenen Risiken in der Lieferkette kontaktiert haben. Das Lieferkettengesetz galt damals nur für Konzerne mit mehr als 3.000 Beschäftigten. Trotzdem lag der Anteil bei den Betrieben mit bis zu 249 Beschäftigten bei 41 Prozent. Wer ein Zulieferer ist, bekommt also Post, ob das Gesetz ihn meint oder nicht. Meist kommt sie als Fragebogen, manchmal als Audit-Ankündigung, und selten zu einem Zeitpunkt, an dem im Betrieb Luft ist. Dieser Artikel sortiert, welche Audits es gibt, wie sie ablaufen, was Auditoren sehen wollen und welche Rolle ein kurzer Betriebsfilm spielen kann.
Drei, die Sie kennen sollten: das Systemaudit prüft Ihr Qualitätsmanagementsystem, etwa nach ISO 9001 oder IATF 16949, das Prozessaudit prüft einzelne Abläufe, in der Automobilindustrie meist nach VDA 6.3, und das Produktaudit prüft das fertige Teil gegen die Spezifikation. Der Kunde führt sie als Lieferantenaudit selbst durch. Das TÜV Nord Akademie QM-Lexikon führt diese Auditarten gemeinsam auf.
In vier Schritten: Planung, Durchführung mit Interviews, Rundgang und Dokumentenprüfung, Bewertung mit Bericht und danach Maßnahmen mit Nachaudit. Laut dem Beratungshaus Revis-1 sind üblicherweise zwei Tage vor Ort beim Lieferanten angesetzt, Vor- und Nachbereitung auf Seiten des Auditors kommen hinzu. Das Ergebnis lautet A, B oder C, also qualitätsfähig, bedingt qualitätsfähig oder nicht qualitätsfähig.
Weil das Lieferkettengesetz Unternehmen ab 1.000 Beschäftigten zur Risikoanalyse in ihrer Lieferkette verpflichtet und sie ihre Daten bei Zulieferern einholen. Nach der DIHK-Umfrage von 2023 kommt der Kontakt in 82 Prozent der Fälle von Auftraggebern oder Kunden. Das BAFA prüft seit dem 1. Oktober 2025 keine Berichte mehr, die Sorgfaltspflichten selbst gelten weiter.
Teilweise. Die ISO 19011:2018 behandelt Fernaudits als Methode, nicht als eigene Auditart. Dokumentenprüfung und Gespräche lassen sich per Video führen, Begehungen und physische Inspektionen bleiben laut Vorest AG oft vor Ort nötig. Fragen Sie bei der Ankündigung nach, welche Teile der Kunde remote prüfen will.
Nein. Ein Film gibt einem neuen Einkäufer vorab einen Eindruck von Halle, Ordnung und Menschen. Bewertet wird im Audit, was der Auditor selbst sieht, fragt und in den Unterlagen nachvollzieht. Als Vorab-Eindruck für neue Einkäufer ist er sinnvoll, als Prüfnachweis nicht.
Lieferantenaudit ist ein Sammelname. Im QM-Lexikon der TÜV Nord Akademie stehen Systemaudit, Prozessaudit, Verfahrensaudit, Produktaudit und Compliance-Audit nebeneinander, dazu die Einteilung nach dem, der prüft: das eigene Haus, der Kunde als zweite Partei oder eine unabhängige Stelle als dritte Partei. Beim Lieferantenaudit sitzt Ihr Kunde als zweite Partei am Tisch. Drei Formen sind für Zulieferer besonders wichtig.
Das Systemaudit fragt, ob Ihr Qualitätsmanagementsystem steht und gelebt wird. Maßstab ist meist die ISO 9001, in der Automobilindustrie die IATF 16949. Hier geht es um Zuständigkeiten, Dokumentation, interne Audits, Korrekturmaßnahmen. Wer ein gültiges Zertifikat hat, bringt dafür viel mit, ersetzt das Kundenaudit damit aber nicht.
Das Prozessaudit schaut auf einen konkreten Ablauf, zum Beispiel das Spritzgießen eines bestimmten Teils. In der Automobilbranche läuft das nach VDA 6.3, aktuell in der Ausgabe 2023. Es fragt nicht, ob es ein QM-System gibt, sondern ob der Prozess fähig und stabil ist.
Das Produktaudit prüft das fertige Teil gegen Zeichnung und Spezifikation, oft mit Stichproben aus der laufenden Fertigung. Hier gewinnt, wer Prüfpläne und Messergebnisse sofort vorlegt.
Dass Ihr Kunde Sie überhaupt auditiert, ist selten Schikane. Die ISO 9001 verlangt in Abschnitt 8.4 von jedem zertifizierten Unternehmen, Kriterien für die Beurteilung, Auswahl, Leistungsüberwachung und Neubeurteilung externer Anbieter festzulegen (so beschreibt es die Beratung SMCT). Wie diese Kriterien aussehen, bestimmt der Kunde selbst. Ein Audit beim Lieferanten ist eine von mehreren erlaubten Methoden, andere sind Wareneingangsprüfung, Zertifikatsprüfung und die Auswertung von Lieferdaten. Daraus folgt etwas Praktisches: Je besser Ihre Liefer- und Reklamationsdaten aussehen, desto weniger Grund hat der Kunde, vor Ort nachzusehen.
In der Automobilindustrie ist die Latte höher. Die IATF 16949 baut auf der ISO 9001:2015 auf, ihr Zertifikat gilt drei Jahre und wird jährlich bestätigt (Wikipedia, Artikel IATF 16949). Qualitätsrelevante Lieferanten müssen laut Abschnitt 8.4.2.3 mindestens ein ISO-9001-Managementsystem haben, wie ein Beitrag im Fachforum QZ-online zusammenfasst. Wer direkt an einen Hersteller oder an einen Systemlieferanten liefert, sollte deshalb früh klären, welche Zertifikate der Kunde erwartet und ob er eigene Zusatzanforderungen hat.
Ein Prozessaudit nach VDA 6.3 folgt einem festen Schema. Die Beratung GBN Experts nennt vier Phasen: Planung mit Festlegung von Umfang und Zielen, Durchführung mit Interviews, Begehung und Dokumentenprüfung, Bewertung samt Bericht sowie Maßnahmen und Nachaudit. Das Beratungshaus Revis-1 beziffert den Aufwand für den Auditor mit vier bis sechs Werktagen pro Lieferant, davon üblicherweise zwei Tage vor Ort. Für Sie heißt das: Der sichtbare Teil ist kurz, aber der Auditor liest die Unterlagen vorher.
Am Ende steht eine Einstufung in A, B oder C. Nach Angaben des Dienstleisters mobile2b kann eine Null bei einer Schlüsselfrage das Gesamtergebnis auf B oder C herabstufen, egal wie gut der Durchschnitt ist. Bei C folgt in der Regel ein Maßnahmenplan und ein Nachaudit. Für den Kunden ist das die Entscheidung, ob er Sie weiter beliefern lässt, unter Beobachtung hält oder Alternativen sucht. Den Maßnahmenplan nach einem B oder C sollten Sie deshalb als Chance lesen, beim Nachaudit besser abzuschneiden.
VDA 6.3 gliedert sich in die Prozesselemente P1 bis P7. Das Beratungshaus Revis-1 fasst sie so zusammen: P1 Potenzialanalyse vor der Vergabe, P2 Projektmanagement mit Meilensteinen, Risiken und Ressourcen, P3 Planung der Produkt- und Prozessentwicklung, P4 Realisierung mit FMEA und Control Plan, P5 Lieferantenmanagement bei den eigenen Vorlieferanten, P6 Prozessbeherrschung in der Serienfertigung und P7 Kundenbetreuung mit Reklamationsmanagement. Nicht jedes Audit prüft alle sieben Elemente. Bei einem Lieferanten, der bereits läuft, steht oft die Serienfertigung im Mittelpunkt.
Drei Dinge fallen aus dieser Liste heraus, weil sie viele kleine Betriebe überraschen. Erstens prüft der Auditor Ihre Vorlieferanten mit, denn P5 fragt, wie Sie Ihre eigenen Zulieferer bewerten und steuern. Zweitens zählt der Nachweis mehr als die Aussage: Eine FMEA, die erst am Auditmorgen entsteht, verrät sich durch Datum und fehlende Änderungshistorie. Drittens gehört die Reklamation zur Prüfung. Unsere Einschätzung: Wie Sie mit einer Beanstandung umgehen, sagt dem Kunden mehr über Sie als ein ruhiges Jahr.
Diese Zusammenstellung leiten wir aus den Prozesselementen und den Anforderungen des Abschnitts 8.4 ab. Sie ist keine Normvorgabe. Ihr Kunde kann eigene Formulare und Zusatzanforderungen haben, die in seinem Lieferantenhandbuch stehen.
Eine Zeile Praxis dazu: Legen Sie die Unterlagen nicht für den Auditor zusammen, sondern in der Form ab, in der Ihre Leute sie im Alltag benutzen. Unsere Einschätzung: Ein Auditor, der den Prozess prüft, redet mit den Leuten an der Maschine. Wer dort den Prüfplan nicht kennt, hat ein Problem, das auch der schönste Ordner nicht löst.
Das Lieferkettensorgfaltspflichtengesetz gilt seit 2023, zunächst für Unternehmen ab 3.000 Beschäftigten und seit 2024 ab 1.000 im Inland (BAFA, Überblick). Diese Unternehmen müssen Risiken in ihrer Lieferkette ermitteln und dafür Informationen einholen. Das trifft Sie als Zulieferer, auch wenn Sie unter der Schwelle liegen. Die DIHK spricht in ihrer Sonderauswertung von einem Kaskadeneffekt: Anforderungen der Großen werden an die Kleinen weitergereicht. In der Umfrage berichteten 41 Prozent der Unternehmen mit bis zu 249 Beschäftigten von solchen Anfragen, bei 250 bis 499 Beschäftigten waren es 52 Prozent. Dazu achten 41 Prozent aller befragten Unternehmen stärker auf Audits oder Zertifikate ihrer Zulieferer, bei den direkt betroffenen sind es 48 Prozent.
Der Stand 2026 ist in Bewegung. Das Bundeskabinett beschloss am 3. September 2025 ein Änderungsgesetz. Das BAFA hat daraufhin angekündigt, die Prüfung der Unternehmensberichte nach den Paragrafen 12 und 13 LkSG vollständig einzustellen; ein Bericht lässt sich über den Zugang des BAFA nicht mehr einreichen. Nach der Darstellung des Rechtsblogs lawcode.eu sieht der Entwurf vor, die Berichtspflicht ersatzlos und rückwirkend zu streichen und die Bußgeldtatbestände auf vier schwere Pflichtverletzungen zu reduzieren. Die Sorgfaltspflichten selbst und die interne Dokumentation bleiben unverändert. Am 2. Juli 2026 beschloss der Koalitionsausschuss weitere Pläne: Das Gesetz soll nur noch für Unternehmen mit mindestens 5.000 Beschäftigten und mehr als 1,5 Milliarden Euro Umsatz gelten, und Informationen von Geschäftspartnern mit weniger als 5.000 Beschäftigten sollen nur noch angefragt werden, wenn sie nicht anders zu beschaffen sind. Ein Gesetzentwurf dazu lag nach lawcode.eu noch nicht vor. Die EU-Richtlinie CSDDD soll nach dem Bundesarbeitsministerium bis zum 26. Juli 2027 umgesetzt werden.
Was heißt das für Sie? Der Fragebogen verschwindet nicht über Nacht. Solange das Änderungsgesetz nicht verkündet ist, bleibt es bei der Schwelle von 1.000 Beschäftigten, und die Anfragen der Kunden laufen weiter. Sie sind ihnen aber nicht schutzlos ausgeliefert. Die FAQ der Bundesregierung zum LkSG (Stand 21. November 2025) sagt klar, dass das Gesetz Unternehmen nicht erlaubt, ihre Pflichten auf kleine und mittlere Zulieferer abzuwälzen. Sie sollen pauschal nicht zusichern, alle LkSG-Standards in ihrer Lieferkette einzuhalten. Und wenn Ihre Tätigkeit kaum menschenrechtliche oder Umweltrisiken berührt, dürfen Sie den Kunden bitten, seine Fragen im Einzelfall zu begründen. Dafür reicht ein sachlicher Satz in einer E-Mail.
Fragt der Kunde, ob ein Teil des Audits per Videokonferenz laufen kann, lohnt sich ein Blick in die Norm. Nach der Darstellung der Vorest AG behandelt die ISO 19011:2018 Fernaudits im Anhang A.1 als Methode, nicht als eigene Auditart. Voraussetzungen sind eine stabile und abhörsichere Verbindung, Vertrautheit mit der Software und ein Auditor, der die Verhältnisse vor Ort kennt. Risikoreiche Tätigkeiten dürfen bei Audits durch Dritte nicht vollständig remote geprüft werden, Begehungen sind oft nötig. Revis-1 sieht typische Remote-Teile bei der Dokumentenprüfung vor dem Vor-Ort-Termin und bei Nachaudits, je nach Schwere der Feststellungen.
Praktisch heißt das: Klären Sie vorab, welche Teile remote laufen, und testen Sie die Technik am Vortag. Legen Sie Dokumente als geteilte Ansicht bereit, statt sie zu mailen. Und prüfen Sie, welche Zeichnungen oder Kundenteile Sie wegen Geheimhaltung nicht zeigen dürfen.
Ein Film besteht kein Audit. Das gilt auch umgekehrt: Ein Audit lässt einen neuen Einkäufer nicht in Ihren Betrieb hineinsehen, bevor er entscheidet, ob er Sie überhaupt einlädt. Genau dort hilft ein kurzer Betriebsrundgang, drei bis vier Minuten, ohne Sprecher und mit gutem Ton. Er zeigt Halle, Ordnung, Maschinenpark, Wareneingang und Prüfplatz, und er zeigt die Leute, die dort arbeiten. Das ist ein Vorab-Eindruck, den ein PDF nicht liefert. Wie Einkäufer Zulieferer finden und prüfen, steht im Ratgeber Neue Industriekunden gewinnen.
Die Grenzen kennen Sie selbst. Im Film kommt nichts vor, was unter Geheimhaltung steht, keine Kundenteile ohne Freigabe, keine Zeichnungen. Er ersetzt weder das Zertifikat noch die Prüfpläne, und er sollte nichts versprechen, was die Halle nicht hält. Wie ein Dreh in einer laufenden Halle abläuft, beschreibt der Ratgeber Industriefilm: Was beim Dreh in der Produktion wirklich zählt, und eine Übersicht der Filmformen finden Sie unter Imagefilm. Wer Besuchern lieber persönlich zeigt, was er kann, findet im Beitrag Betriebsbesichtigung anbieten Hinweise zu Recht und Ablauf.
Wenn das Audit angekündigt ist: Fragen Sie nach Art, Umfang und Termin. Klären Sie, ob remote geprüft wird. Gehen Sie die Checkliste durch und wählen Sie einen Prozess, den Sie live zeigen können, zum Beispiel eine Rückverfolgung vom Teil zur Charge. Lassen Sie die Leute an den Arbeitsplätzen mit dem Auditor reden. Und wenn die Einstufung nicht A lautet, behandeln Sie den Maßnahmenplan als Arbeitsauftrag mit Frist, nicht als Urteil.
Starkefilme kommt einmal pro Quartal für einen Drehtag in deinen Betrieb, egal wo in Deutschland du bist. Aus einem Drehtag entstehen acht bis zehn fertige Videos, darunter ein Betriebsrundgang für neue Einkäufer, mit Untertiteln und in allen Formatvarianten. Schnitt und Technik, auch der Ton, sind dabei.
499 Euro pro Monat. Kein Drehtag ohne Vorbereitung, keine Vertragslaufzeit, kein Setup-Aufwand.
Unverbindlich kennenlernen →Quellen: DIHK, „Das Lieferkettensorgfaltspflichtengesetz wirkt – aber vielfach nicht, wie gewünscht“, Sonderauswertung Going International, Juni 2023, Umfrage unter rund 2.400 international aktiven Unternehmen (dihk.de); BAFA, „Berichtspflicht“ und „Überblick“ zum LkSG (bafa.de); csr-in-deutschland.de, „Fragen und Antworten zum Lieferkettengesetz“, Stand 21.11.2025, Kapitel 17 (Auswirkungen für KMU); BMAS, „Gesetz zur Änderung des Lieferkettensorgfaltspflichtengesetzes“ (bmas.de); lawcode.eu, „Lieferkettensorgfaltspflichtengesetz“, Stand 2026 (Entwurf, Koalitionsausschuss 2.7.2026); TÜV Nord Akademie, QM-Lexikon; Revis-1, „VDA 6.3 erklärt“ (revis-1.com); mobile2b, „VDA 6.3 Process Audit“ (mobile2b.com); GBN Experts, „VDA 6.3 Audit“ (gbn-experts.de); SMCT Management Concept, „Steuerung von extern bereitgestellten Produkten, Prozessen und Dienstleistungen“ zu ISO 9001 Abschnitt 8.4 (smct-management.de); Wikipedia, „IATF 16949“; QZ-online, Forumsbeitrag „Anwendung IATF 8.4“ vom 27.11.2024 (Abschnitt 8.4.2.3); Vorest AG, „Was ist ein Remote Audit“ zu DIN EN ISO 19011:2018 (vorest-ag.com). Einordnungen zur Checkliste sind unsere eigene Zusammenstellung.