Bewertung und Priorisierung von individuellen Risiken

Die im Rahmen der abstrakten Risikobetrachtung identifizierten abstrakten (hohen) Risiken und Risikobereiche sind auf individueller Ebene zu plausibilisieren und anschließend zu bewerten. Hierdurch sollen eigene Geschäftsbereiche – beispielsweise Konzerngesellschaften nach § 2 Abs. 6 S. 2 LkSG, Standorte oder Filialen – mit einer tatsächlich erhöhten Risikolage sowie (Hoch-)Risiko-Zulieferer ermittelt werden. Dies ist insbesondere für Unternehmen mit einer weitläufigen und umfangreichen Lieferkette bedeutsam, die anhand dieser Bewertung eine Priorisierung von Risiken für die Ergreifung von Folgemaßnahmen vornehmen können, und gerade auch sollten. Die Priorisierung soll Unternehmen ermöglichen ihre Ressourcen zunächst auf die höchsten Risiken zu konzentrieren und weniger hohe Risiken herauszufiltern. Dieser Priorisierung höherer Risiken kommt für Unternehmen aus Compliance-Sicht eine erhebliche Bedeutung zu. Denn dadurch können Unternehmen bei entsprechender Dokumentation sicherstellen und nachweisen, dass ihr Vorgehen bei der Risikoanalyse und den Folgemaßnahmen einem klar definierten und nachvollziehbaren Prozess gefolgt ist.

Die geeigneten Methoden für die Bewertung und Priorisierung der Risiken liegen im Ermessen des Unternehmens und sollten dynamisch anhand des konkreten Risikos, der Branche und der Produktionsregion gewählt werden. Zur Feststellung arbeitsschutzbezogener Risiken können beispielsweise Gespräche mit Arbeitnehmerinnen und Arbeitnehmern oder deren gewerkschaftlicher Vertretung geführt werden. Bezüglich der Auswirkungen der unternehmerischen Tätigkeit auf Gesundheit oder Nutzungsmöglichkeiten von Wasser und Land kann auf den direkten Austausch mit Anwohnern und Anwohnerinnen oder deren Interessenvertretern gesetzt werden. Grundsätzlich gilt, dass die Informationsbasis umso breiter sein sollte, je höher das potentielle Risiko ist. Die Prüfung von Risiken und der dazugehörigen Informationsermittlung kann daher im Einzelfall auch vertieft werden müssen, um eine angemessene Bewertung und Priorisierung der Risiken zu ermöglichen und damit eine ausreichende Grundlage für die Ergreifung von Folgemaßnahmen zu schaffen.

Die Angemessenheitskriterien nach § 3 Abs. 2 LkSG

Die Bewertung und Priorisierung der Risiken richtet sich insbesondere nach den Angemessenheitskriterien des § 3 Abs. 2 LkSG, die als Regelbeispiele herangezogen werden können. Das BAFA hat in seiner Handreichung weiterführende Erläuterungen zu den jeweiligen Angemessenheitskriterien entworfen, die den Unternehmen bei der Bewertung und Priorisierung der Risiken Hilfestellung geben sollen. Nachfolgend sollen die jeweiligen Angemessenheitskriterien im Einzelnen erläutert werden.

1) Art und Umfang der Geschäftstätigkeit des Unternehmens

Die Art und der Umfang der Geschäftstätigkeit kann nach der Handreichung des BAFA in qualitativer sowie quantitativer Hinsicht beurteilt werden. In qualitativer Hinsicht kann sich die Art und der Umfang der Geschäftstätigkeit des Unternehmens nach

• der Komplexität der Beschaffenheit der betroffenen Produkte oder Dienstleistungen in der Lieferkette bzw. im Unternehmen;

• der Vielfalt der Leistungen und Geschäftsbeziehungen; sowie

• der überregionalen oder internationalen Ausrichtung richten.

In quantitativer Hinsicht wird auf die Unternehmensgröße und Anfälligkeit abgestellt. Anhaltspunkte für die Größe des Unternehmens stellen die Anzahl der Beschäftigten und deren Funktion, der Umsatz, das Anlage- und Betriebskapital und die Produktionskapazität dar. Die Anfälligkeit des Unternehmens bezieht sich auf die typische Häufigkeit des Auftretens bestimmter Risiken. Je höher die Bewertung der Anfälligkeit einer Geschäftstätigkeit für bestimmte, beispielsweise länderspezifische Risiken nach Art und Umfang ausfällt, desto umfassender sind etwaige Präventions- und Abhilfemaßnahmen durchzuführen.

Zu beachten ist, dass dieses Kriterium im Zusammenspiel mit den nachfolgenden Kriterien betrachtet werden muss, z.B. hat die Vielfalt der erbrachten Leistungen, die (technische) Komplexität der betroffenen Produkte und die Größe des Unternehmens regelmäßig maßgeblichen Einfluss auf die zu erwartende Schwere einer Verletzung. Auch kann die Art der Geschäftstätigkeit die Erforderlichkeit einer vertieften Risikoprüfung indizieren. Die Beurteilung von Risiken bei Zulieferern, die vielfältige Leistungen erbringen und komplexe Produkte liefern, wird sich grundsätzlich auch komplexer darstellen.

2) Art des Verursachungsbeitrags des Unternehmens

Bei der Art des Verursachungsbeitrags kann man zwischen der Alleinverursachung und der mittelbaren Verursachung bzw. dem "Beitragen" zu einem Risiko unterscheiden. Eine mittelbare Verursachung liegt nach der Handreichung des BAFA vor, wenn eine Handlung oder ein relevantes Unterlassen vorliegt, welches die Entstehung oder Verfestigung eines Risikos in irgendeiner Weise begünstigt hat. Nach der Handreichung des BAFA sollen die folgenden Faktoren bei der Bewertung eines mittelbaren Verursachungsbeitrags helfen:

• Das risikoerhöhende Moment eines mittelbaren Verursachungsbeitrags;

• Die Vorhersehbarkeit des Risikos; und

• Die Möglichkeit des Unternehmens das Risiko zu minimieren oder zu beenden.

Der Verursachungsbeitrag eines Unternehmens kann gerade auch in einer bloßen Verfestigung eines bereits entstandenen Risikos bestehen. Auch ein relevantes Unterlassen des Unternehmens kann als Mitverursachung angesehen werden. Insofern darf der Verursachungsbeitrag nicht statisch betrachtet werden.

Eine mittelbare Verursachung soll nach der Regierungsbegründung beispielsweise vorliegen, wenn ein Unternehmen die Produktanforderungen gegenüber seinem Zulieferer in letzter Minute ändert, ohne die Lieferzeiten oder den Einkaufspreis anzupassen, und der Zulieferer in der Folge gegen ILO-Kernarbeitsnormen verstößt, um den geänderten Anforderungen gerecht zu werden.

3) Einflussmöglichkeit des Unternehmens auf den unmittelbaren Verursacher eines Risikos oder einer Verletzung

Das Kriterium der Einflussmöglichkeit ist eng mit dem Kriterium des Verursachungsbeitrags verknüpft. Indikatoren für die Einflussmöglichkeit eines Unternehmens sind

• dessen Unternehmensgröße im Vergleich zum unmittelbaren Verursacher sowie die daraus folgende potentielle Marktdominanz;

• das Auftragsvolumen im Verhältnis zum daraus resultierenden Umsatz des unmittelbaren Verursachers  (liegt ggf. eine wirtschaftliche Abhängigkeit vor?); und

• die Nähe zum Risiko, die beispielsweise bei einer unmittelbaren Verursachung durch einen mittelbaren Zulieferer grundsätzlich weiter entfernt sein wird (anders hingegen, soweit die unmittelbare Verursachung durch eine Konzerngesellschaft im eigenen Geschäftsbereich des Unternehmens gem. § 2 Abs. 6 S. 2 LkSG erfolgt).

4) Typischerweise zu erwartende Schwere und Wahrscheinlichkeit eines Verletzungseintritts

Die typischerweise zu erwartende Schwere einer potentiellen Verletzung wird aufgrund von Erfahrungssätzen nach

• der Intensität und Tiefe der Beeinträchtigung der geschützten Rechtsposition;

• der Reichweite bzw. potentiellen Anzahl Betroffener; und

• der (Un-)Umkehrbarkeit bzw. Wiedergutmachungsmöglichkeit der Verletzung beurteilt.

Die Eintrittswahrscheinlichkeit kann durch eine Betrachtung verschiedener Faktoren bestimmt werden. Hierbei sollte ein Mix von abstrakten Informationen (sowie konkreten Informationen aus dem Unternehmen) herangezogen werden. Daher ist es auch entscheidend, dass Erkenntnisse aus vorangegangen Risikoanalysen und Zulieferer-Onboarding-Prozessen sowie (folgenden) Präventiv- und Abhilfemaßnahmen in der Lieferkette dokumentiert werden. Beispielsweise wird die Eintrittswahrscheinlichkeit niedriger zu bewerten sein, wenn festgestellt werden kann, dass bereits angemessene (Präventions-)Maßnahmen implementiert wurden. Dies kann auch dann gelten, wenn der Zulieferer grundsätzlich in einem Hochrisikosektor tätig ist. Umgekehrt können Probleme beim Onboarding von Zulieferern eine erhöhte Eintrittswahrscheinlichkeit indizieren. 

Für die Zusammenführung der Schwere und Eintrittswahrscheinlichkeit eines Verletzungseintritts bietet sich die Erstellung einer sog. „Heatmap“ an.

Dokumentation und Kommunikation

Unternehmen haben über die genannten Aspekte hinaus grundsätzlich einen weiten Spielraum bei der Aufsetzung und Durchführung eines konkreten Prozesses zur Risikoanalyse. Entscheidend ist, dass ein transparenter und nachvollziehbarer Prozess besteht, welcher dafür sorgt, dass plausibel und konsistent dargelegt werden kann, aus welchen Gründen ein bestimmtes Risiko priorisiert wurde. Die Dokumentation dieses Prozesses und seiner Umsetzung ist aus Compliance-Sicht und mit Blick auf eine zukünftige Verteidigung des Unternehmens von entscheidender Bedeutung. Dies kann erfahrungsgemäß z.B. gut anhand einer Risikomatrix erfolgen, die insbesondere gewährleistet, dass

• die Angemessenheitskriterien angewandt sowie plausibel und nachvollziehbar gewichtet werden (beispielsweise wird die Eintrittswahrscheinlichkeit und ein eigener, unmittelbarer Verursachungsbeitrag stärker zu gewichten sein) und
• die Risiken in klar definierte Prioritätsstufen unterteilt werden.

Dabei sollten die Prioritätsstufen nachvollziehbar und transparent gewählt werden und eine plausible Einstufung der Risiken für die weitere Adressierung im Rahmen des Risikomanagements ermöglichen.

Schließlich sind die Ergebnisse der Risikoanalyse an die maßgeblichen Entscheidungsträger im Unternehmen zu kommunizieren, um zu gewährleisten, dass diese als Grundlage für Präventions- und Abhilfemaßnahmen in das Risikomanagement einfließen.