Third Party Risk Management

Risiken durch Drittanbieter erkennen, bewerten und sicher steuern.


Startseite > Wissen > Compliance > Third Party Risk Management

Was ist Third Party Risk Management (TPRM)?

Unternehmen arbeiten mit zahlreichen externen Partnern zusammen – von Lieferanten über IT-Dienstleister bis hin zu Beratern. Jede dieser Beziehungen kann Risiken mit sich bringen, etwa Cyberangriffe, Datenschutzverstöße oder regulatorische Probleme.

Third Party Risk Management (TPRM) bezeichnet den strukturierten Ansatz, mit dem Unternehmen Risiken aus diesen Geschäftsbeziehungen identifizieren, bewerten, steuern und kontinuierlich überwachen.


Definition: Was bedeutet Third Party Risk Management?

Das Risikomanagement für Drittanbieter ist ein zentraler Bestandteil des unternehmensweiten Risikomanagements und gewinnt durch regulatorische Anforderungen (z. B. DORA oder ESG) zunehmend an Bedeutung. Je nach Kontext wird Third Party Risk Management auch als Lieferantenrisikomanagement bezeichnet, wobei der Begriff „Drittanbieter“ umfassender ist und alle externen Geschäftspartner einschließt.

Ein TPRM-Programm umfasst typischerweise:

  • Erfassung aller Drittanbieter
  • Bewertung und Priorisierung von Risiken
  • Definition von Kontrollmaßnahmen
  • Laufende Überwachung und Dokumentation

Welche Informationen werden im Third Party Risk Management erfasst?

Programme im Bereich Third Party Risk Management unterscheiden sich je nach Unternehmensgröße, Branche und regulatorischen Anforderungen. Dennoch gibt es bewährte Vorgehensweisen sowie bestimmte Informationen, die typischerweise erfasst werden.

Grundlegende Unternehmens- und Vertragsdaten

  • Stammdaten wie Name und Geschäftszweck
  • Art und Umfang der Zusammenarbeit
  • Verträge mit Lieferanten und Dienstleistern
  • Zertifizierungen und Sicherheitsnachweise

Dynamische Risikodaten und externe Signale

Ein modernes Risikomanagement für Drittanbieter berücksichtigt auch externe Entwicklungen, die das Risikoprofil beeinflussen können:

 

Zentrale Vorteile des Third Party Risk Managements

Mit zunehmender Auslagerung von Geschäftsprozessen steigt die Abhängigkeit von Drittanbietern. Ein effektives Risikomanagement hilft Unternehmen, Risiken frühzeitig zu erkennen und die Stabilität ihrer Lieferketten und Geschäftsbeziehungen zu sichern.

Mit geeigneter TPRM-Software behalten Unternehmen den Überblick über alle Lieferanten und Dienstleister und stellen sicher, dass Sicherheits- und Compliance-Anforderungen effizient erfüllt werden. Gleichzeitig ermöglicht die Automatisierung des Onboardings eine schnellere und strukturierte Aufnahme neuer Drittanbieter.

Transparenz über alle Drittanbieter

Ein strukturiertes Risikomanagement für Drittanbieter ermöglicht die kontinuierliche Überwachung von Lieferanten, Partnern und Dienstleistern über ihren gesamten Lebenszyklus hinweg.

Frühzeitige Risikoerkennung durch Daten und Monitoring

Moderne TPRM-Lösungen helfen dabei, Trends frühzeitig zu erkennen und potenzielle Probleme zu identifizieren, bevor sie eskalieren. Über zentrale Dashboards lassen sich Prozesse wie Due Diligence effizient steuern.

Effizientere Steuerung von Risiken

Durch die zentrale Zusammenführung relevanter Daten können Risiken schneller bewertet und gezielt gesteuert werden. Gleichzeitig lassen sich TPRM-Lösungen in bestehende Systeme wie CRM oder SCM integrieren.

 

Drittanbieterrisiken vorausschauend steuern

Ein wirksames Third Party Risk Management sollte nicht nur auf Vorfälle reagieren, sondern Risiken frühzeitig erkennen und aktiv steuern. Ein proaktiver Ansatz hilft Unternehmen, Probleme mit Drittanbietern zu identifizieren, bevor sie geschäftskritisch werden.

Risiken von Lieferanten systematisch bewerten

Nicht alle Drittanbieter haben den gleichen Einfluss auf Ihr Unternehmen. Deshalb sollten sie im Third Party Risk Management nach Risiko und strategischer Bedeutung klassifiziert werden. Viele TPRM-Tools unterstützen dabei, neue Lieferanten automatisch anhand ihres Einsatzbereichs und Risikoprofils einzuordnen.

Zur Bewertung sollten Unternehmen unter anderem folgende Fragen berücksichtigen:

  • Erbringt der Drittanbieter kritische Leistungen, deren Ausfall den Geschäftsbetrieb beeinträchtigen würde?
  • Hat der Lieferant Zugriff auf sensible oder personenbezogene Daten?
  • Besteht ein Vertrag mit hohem finanziellen oder strategischen Wert?

Typischerweise werden Risiken in drei Stufen unterteilt:

  • Stufe 1 – hohes Risiko, hohe Priorität
  • Stufe 2 – mittleres Risiko, mittlere Priorität
  • Stufe 3 – geringes Risiko, geringe Priorität

Drittanbieter der Stufe 1 unterliegen strengeren Sorgfaltspflichten und einer intensiveren Risikoprüfung.

Ganzheitliche Risikobewertung und kontinuierliches Monitoring

Eine ganzheitliche Risikobewertung im Third Party Risk Management geht über Cyberrisiken hinaus und berücksichtigt alle Faktoren, die Stabilität und Geschäftskontinuität beeinflussen. Durch automatisierte Überwachungsprozesse lassen sich Risiken kontinuierlich verfolgen, effizient steuern und Kosten reduzieren.

  • Onboarding von Lieferanten: Standardisierte Formulare und Systemintegrationen erleichtern die strukturierte Aufnahme neuer Anbieter.
  • Maßnahmen zur Risikominderung: Bei identifizierten Risiken können automatisch Verantwortliche benachrichtigt und Maßnahmen initiiert werden.
  • Regelmäßige Neubewertungen: Automatisierte Prüfzyklen stellen sicher, dass Drittanbieter dauerhaft den Anforderungen entsprechen. Bei Abweichungen kann ein strukturierter Offboarding-Prozess eingeleitet werden.

Häufige Risikofaktoren im Third Party Risk Management

Drittparteien können sowohl interne Prozesse als auch externe Wertschöpfungsketten erheblich beeinflussen. Die Risiken reichen von operativen Störungen bis hin zu regulatorischen und reputationsbezogenen Schäden.

Ein wirksames Third Party Risk Management hilft, diese Risiken systematisch zu identifizieren, zu bewerten und zu reduzieren – insbesondere auch im Hinblick auf Datenverarbeitung und -sicherheit.

Reputationsrisiken

Das Verhalten von Drittanbietern kann sich direkt auf die Wahrnehmung eines Unternehmens auswirken. Negative Medienberichte oder Verstöße gegen ethische Standards – etwa im Zusammenhang mit Zwangsarbeit, Korruption, Terrorismusfinanzierung oder Umweltverstößen – können erheblichen Schaden verursachen.

Ein strukturiertes Risikomanagement für Drittanbieter ermöglicht es, solche Risiken frühzeitig zu erkennen und geeignete Maßnahmen einzuleiten.

Compliance-Risiken

Drittparteien können regulatorische Risiken verursachen, insbesondere bei Verstößen gegen gesetzliche Vorgaben oder Sanktionsregelungen. Da sich regulatorische Anforderungen ständig weiterentwickeln, ist eine regelmäßige Überprüfung interner Kontrollen entscheidend.

Ein effektives TPRM-Tool erhöht die Transparenz und reduziert das Risiko von Bußgeldern und aufsichtsrechtlichen Maßnahmen.

Finanzielle Risiken

Finanzielle Risiken entstehen unter anderem durch Vertragsstrafen, Schadenersatzforderungen, Insolvenzen von Lieferanten oder unerwartete Betriebsunterbrechungen.

Kontinuierliches Monitoring im Risikomanagement für Drittanbieter hilft, finanzielle Risiken frühzeitig zu erkennen und die wirtschaftliche Stabilität zu sichern.

Strategische Risiken

Strategische Risiken ergeben sich beispielsweise aus langfristigen Abhängigkeiten, ESG- und CSR-Anforderungen oder Veränderungen im Marktumfeld.

Ein strategisch integriertes Third Party Risk Management stärkt die Resilienz von Unternehmen und unterstützt nachhaltige Entscheidungen entlang der gesamten Lieferkette.

Stärken Sie Ihr Third Party Risk Management mit LexisNexis

Mit den Lösungen von LexisNexis erhalten Sie die Daten und Einblicke, die Sie benötigen, um Risiken im Zusammenhang mit Drittanbietern frühzeitig zu erkennen und fundierte Entscheidungen zu treffen. Durch die Kombination aus globalen Datenquellen und intelligenten Analysefunktionen behalten Sie Ihr Risikoprofil jederzeit im Blick.

Mit Nexis Diligence+ profitieren Sie von einer umfassenden Datenbasis, darunter:

  • Globale Nachrichtenquellen
  • Sanktions- und PEP-Listen
  • Unternehmens- und Finanzdaten
  • Branchen- und Marktanalysen

Mit aktuellen, lizenzierten Daten stärken Sie Ihre Entscheidungsgrundlage und erfüllen gleichzeitig regulatorische Anforderungen sowie Sorgfaltspflichten gegenüber Stakeholdern.

Jetzt Beratung erhalten

Häufig gestellte Fragen

Die Verantwortung für Third Party Risk Management liegt meist bei mehreren Bereichen im Unternehmen. Dazu gehören insbesondere Risiko- und Compliance-Teams, Einkauf, IT-Sicherheit (CISO), Datenschutz sowie das Supply Chain Management. Entscheidend ist eine klare Aufgabenverteilung und enge Zusammenarbeit zwischen den beteiligten Funktionen.

Neben operativen Risiken können auch geopolitische, regulatorische, finanzielle und leistungsbezogene Risiken auftreten. Dazu zählen beispielsweise politische Instabilität, Lieferausfälle, gesetzliche Änderungen oder wirtschaftliche Schwierigkeiten von Partnern.

Die Häufigkeit hängt vom Risikoprofil des jeweiligen Drittanbieters ab. Kritische Anbieter sollten kontinuierlich überwacht werden, während Anbieter mit geringerem Risiko in regelmäßigen, aber größeren Abständen überprüft werden.

Im TPRM werden sowohl interne als auch externe Daten genutzt. Dazu gehören Unternehmens- und Vertragsdaten, Finanzinformationen, Sicherheits- und Compliance-Nachweise sowie externe Quellen wie Medienberichte, Marktanalysen oder Sanktionslisten.

TPRM lässt sich durch klare Prozesse, Risikoklassifizierung, Automatisierung und die Nutzung verlässlicher Datenquellen verbessern. Der Einsatz spezialisierter Tools hilft, Risiken schneller zu erkennen, effizienter zu steuern und fundierte Entscheidungen zu treffen.

Mehr zum Thema

4 Min Read
Nexis Diligence+Due DiligenceRisikomanagementComplianceKünstliche Intelligenz

Due Diligence 2026: Warum risikobasierte Intelligence zum Wettbewerbsvorteil wird

Due Diligence hat sich grundlegend verändert. Was einst vor allem als Compliance-Maßnahme zur Vermeidung von Bestechung und Korruption diente, hat sich zu einer vielschichtigen Risikodisziplin entwickelt. Heute umfasst sie Themen wie ESG-Risiken, KI-Governance, die zunehmende Fragmentierung von Sanktionsregimen und grenzüberschreitende Durchsetzungsmaßnahmen. Die Due Diligence Checkliste 2026 macht deutlich: Ein wirksames Management von Drittparteirisiken ist heute komplexer – und geschäftskritischer – als jemals zuvor in den vergangenen zehn Jahren. Für Führungskräfte ist dies weit mehr als eine Weiterentwicklung der Compliance. Es markiert einen strategischen Wendepunkt. Die Grenzen der Unternehmenshaftung verschieben sich Aufsichtsbehörden definieren die Grenzen unternehmerischer Verantwortung neu. Im Vereinigten Königreich erhöht der Straftatbestand des „Failure to Prevent Fraud“ die Haftungsrisiken für große Unternehmen, wenn diese keine angemessenen Maßnahmen zur Betrugsprävention bei verbundenen Personen nachweisen können. In der Europäischen Union verpflichtet die Corporate Sustainability Due Diligence Directive (CSDDD) Unternehmen dazu, menschenrechtliche und umweltbezogene Risiken entlang ihrer gesamten Wertschöpfungsketten zu identifizieren und zu minimieren. Auch das deutsche Lieferkettensorgfaltspflichtengesetz, das norwegische Transparenzgesetz sowie verschärfte ESG-Berichtsanforderungen senden eine klare Botschaft: Risiken enden nicht an den rechtlichen Grenzen eines Unternehmens. Vorstände und Geschäftsleitungen werden heute nicht nur für ihr eigenes Handeln verantwortlich gemacht, sondern auch für die Geschäftspartner, mit denen sie zusammenarbeiten. Warum kontinuierliches Sanktionsmonitoring unverzichtbar wird Die geopolitische Lage hat in den vergangenen Jahren zu einer deutlichen Zunahme von Sanktionen geführt. Gleichzeitig unterscheiden sich regulatorische Anforderungen zunehmend zwischen den USA, der Europäischen Union, dem Vereinigten Königreich, China und dem Nahen Osten. Für international tätige Unternehmen bedeutet das vor allem eines: Risiken müssen kontinuierlich überwacht werden. Besonders relevant sind dabei: Direkte Geschäftspartner Mutter- und Tochtergesellschaften Wirtschaftlich Berechtigte (Beneficial Owners) Politisch exponierte Personen (PEPs) Sanktionsscreening ist längst keine einmalige Maßnahme im Onboarding-Prozess mehr. Es hat sich zu einer dynamischen Monitoring-Aufgabe entwickelt, die aktuelle, präzise und global verfügbare Daten voraussetzt. ESG: Vom Reporting zur Durchsetzung ESG-Anforderungen haben sich von Offenlegungspflichten zu verbindlichen Sorgfalts- und Rechenschaftspflichten entwickelt. Themen wie Menschenrechte, Umweltkriminalität, Risiken von Zwangsarbeit, Biodiversität und Transparenz in Lieferketten gehören heute fest zum Aufgabenbereich von Compliance- und Risikoteams. Gleichzeitig verschwimmen die Grenzen zwischen unterschiedlichen Risikokategorien zunehmend. Neue regulatorische Ansätze verbinden ESG-Risiken mit Finanzkriminalität, Korruptionsprävention und Governance-Anforderungen. Brasiliens nationale Antikorruptionsstrategie verlangt beispielsweise die Berücksichtigung menschenrechtlicher und sozioökologischer Faktoren in Korruptionsrisikobewertungen. In Singapur werden Nachhaltigkeitsaspekte bereits systematisch in finanzielle Due-Diligence-Prozesse integriert. Die traditionellen Silos im Risikomanagement lösen sich auf. ESG-, Governance- und Finanzkriminalitätsrisiken wachsen zunehmend zusammen. KI-Governance schafft neue Anforderungen an die Due Diligence Künstliche Intelligenz ist längst nicht mehr nur Innovationstreiber. Sie entwickelt sich zunehmend zu einem eigenen Risikobereich. Mit dem EU AI Act, Singapurs Governance-Rahmenwerk für Agentic AI und Südkoreas AI Basic Act rücken nicht mehr nur KI-Anbieter in den Fokus der Regulierung. Auch Unternehmen, die KI-Systeme einkaufen und einsetzen, müssen neue Anforderungen erfüllen. Dadurch entsteht eine neue Form von Drittparteirisiken: die Due Diligence von KI-Anbietern. Unternehmen müssen bei der Auswahl von Technologiepartnern zunehmend bewerten: Herkunft und Qualität der Daten Transparenz der Modelle Maßnahmen zur Vermeidung von Verzerrungen (Bias) Governance-Strukturen Regulatorische Historie Unzureichende Prüfungen können nicht nur regulatorische Konsequenzen nach sich ziehen, sondern auch erhebliche Reputationsschäden verursachen. Damit wird Compliance zu einem wichtigen Bestandteil moderner Technologie-Governance. Das Ende der Checklisten-Compliance Die klassische, rein checklistenbasierte Due Diligence reicht in der heutigen Risikolandschaft nicht mehr aus. Regulatorische Anforderungen verlangen zunehmend einen risikobasierten Ansatz, der Faktoren wie geografische Risiken, Branchenspezifika, wirtschaftlich Berechtigte, die Beteiligung politisch exponierter Personen sowie negative Medienberichterstattung berücksichtigt, bevor Umfang und Intensität einer Prüfung festgelegt werden. Ein einheitlicher Standardansatz für alle Fälle ist nicht nur ineffizient, sondern lässt sich zunehmend auch regulatorisch kaum noch rechtfertigen. Stattdessen benötigen Unternehmen strukturierte, abgestufte Prüfmodelle, die auf hochwertigen globalen Daten basieren und Verhältnismäßigkeit, Transparenz sowie Nachvollziehbarkeit sicherstellen. Im Fall behördlicher Untersuchungen zählt nicht allein die Absicht eines Unternehmens – entscheidend ist auch, wie nachvollziehbar und belastbar die zugrunde liegenden Entscheidungen dokumentiert wurden. Gleichzeitig ist die Qualität der verwendeten Daten selbst zu einem kritischen Risikofaktor geworden. Mit dem rasanten Wachstum verfügbarer Informationen und dem Aufstieg generativer KI steigt auch das Risiko von Fehlinformationen. Deshalb müssen Due-Diligence-Prozesse auf verlässlichen, lizenzierten und überprüfbaren Datenquellen basieren. Technologie kann Erkenntnisse beschleunigen – ohne vertrauenswürdige Daten schafft sie jedoch neue Risiken. Im Jahr 2026 hängt eine belastbare Due Diligence nicht nur von den Prozessen ab, sondern ebenso von der Qualität und Integrität der zugrunde liegenden Daten. MEHR DAZU: Due Diligence 2026: Warum klassische Checklisten nicht mehr ausreichen Komplexität in einen Wettbewerbsvorteil verwandeln Für zukunftsorientierte Unternehmen stellt sich nicht länger die Frage, wie sie mit regulatorischen Veränderungen Schritt halten können. Vielmehr geht es darum, Compliance-Kompetenz in einen strategischen Wettbewerbsvorteil zu verwandeln. Ein modernes Due-Diligence-Programm sollte Unternehmen dabei unterstützen: Drittparteien kontinuierlich im Hinblick auf Sanktions-, ESG- und Finanzkriminalitätsrisiken zu überwachen Negative Medienberichte und relevante rechtliche Entwicklungen effizient zu identifizieren Eigentums- und Beteiligungsstrukturen transparent abzubilden Autoritative externe Daten in interne Risikomodelle zu integrieren Recherchen mithilfe verantwortungsvoll eingesetzter und transparenter KI zu beschleunigen Lösungen wie Nexis Diligence+ unterstützen strukturierte Prüfungen und die laufende Überwachung von Drittparteien im Einklang mit risikobasierten Anforderungen. Nexis Data+ ermöglicht die Integration lizenzierter globaler Nachrichten-, Rechts- und Unternehmensdaten in interne Compliance-Systeme und Analyseumgebungen. Gemeinsam eingesetzt unterstützen diese Lösungen Compliance-Teams dabei, von reaktiven Einzelprüfungen zu einer intelligenten, datengetriebenen Überwachung überzugehen. Due Diligence wird zum Thema auf Vorstandsebene Die Due Diligence Checkliste für 2026 zeigt, dass führende Unternehmen Due Diligence zunehmend nicht mehr nur als Schutzmechanismus betrachten, sondern als strategischen Erfolgsfaktor. Unternehmen, die Risiken ihrer Drittparteien transparent und kontinuierlich überwachen, profitieren von: Höherer regulatorischer Glaubwürdigkeit Stärkerem Vertrauen von Investoren Größerer Widerstandsfähigkeit gegenüber geopolitischen Krisen Einer klaren Differenzierung im Wettbewerb, insbesondere in stark regulierten Märkten In einer Welt zunehmender Haftungsrisiken und engerer internationaler Zusammenarbeit von Aufsichtsbehörden ist Due Diligence keine reine Backoffice-Funktion mehr. Sie ist zu einer strategischen Kernkompetenz geworden. Jetzt die Due Diligence Checkliste 2026 herunterladen Erhalten Sie einen umfassenden Überblick über die regulatorischen Entwicklungen und den risikobasierten Rahmen, der das Management von Drittparteirisiken im Jahr 2026 prägt. Jetzt downloaden

Jetzt lesen
4 Min Read
SanktionenNexis Diligence+Due DiligenceRisikomanagementESGCompliance

KI, ESG & Sanktionen: Neue Risiken in der Due Diligence

Im Jahr 2026 konzentrieren sich Regulierungsbehörden längst nicht mehr nur darauf, ob Unternehmen eine Drittpartei überprüft haben. Entscheidend ist heute vielmehr, ob Organisationen ESG-Faktoren in ihre Korruptions- und Risikoanalysen integriert haben, Governance-Strukturen und Datenherkunft von KI-Anbietern bewerten, wirtschaftlich Berechtigte über oberflächliche Unternehmensstrukturen hinaus identifizieren und kontinuierliches Monitoring statt einmaliger Prüfungen durchführen. Weltweit steigen sowohl der regulatorische Druck als auch die Anforderungen an Compliance-Frameworks. Dadurch geraten insbesondere drei Schwachstellen zunehmend in den Fokus der Aufsichtsbehörden: KI-Governance, ESG-Verifizierung und komplexe Eigentümerstrukturen im Zusammenhang mit Sanktionen. KI in der Compliance: Innovation ohne Kontrolle? Künstliche Intelligenz ist mittlerweile fest in Screening-, Monitoring-, Zusammenfassungs- und Reporting-Prozesse integriert. Neue regulatorische Entwicklungen machen jedoch deutlich: Der Einsatz von KI reduziert die Verantwortung nicht – er erhöht sie sogar. Der EU AI Act, der seit August 2024 in Kraft ist, verpflichtet Unternehmen dazu, Risiken von KI-Systemen zu klassifizieren und Due-Diligence-Prüfungen hinsichtlich Anbietern und Datensätzen durchzuführen. Parallel dazu verlangt der Digital Operational Resilience Act (DORA), dass Finanzinstitute Risiken im Zusammenhang mit Drittanbietern von Technologie aktiv steuern – andernfalls drohen Sanktionen. Auch international verschärfen sich die Anforderungen. Südkoreas AI Basic Act schreibt ab Januar 2026 menschliche Aufsicht für KI-Systeme mit hohem Einfluss vor. Singapur führte 2026 Governance-Regeln für Agentic AI ein und Brasilien plant KI-Regulierungen mit verpflichtenden Risikoanalysen und Transparenzanforderungen. Wenn KI Einfluss auf Due-Diligence-Entscheidungen nimmt, müssen Unternehmen nachvollziehen können, wie die Systeme funktionieren, woher die Daten stammen und wie Risiken wie Bias oder Halluzinationen minimiert werden. Die unzureichende Bewertung von KI-Anbietern gilt zunehmend selbst als Compliance- und Due-Diligence-Versäumnis. ESG unter Druck: Von Reporting zu echter Verantwortung Menschenrechte, Umweltauswirkungen, Klimarisiken und Governance-Standards sind heute fest in regulatorische Anforderungen integriert. Die EU-Richtlinie zur Nachhaltigkeits-Sorgfaltspflicht von Unternehmen (CSDDD) verpflichtet Unternehmen innerhalb der EU dazu, negative Auswirkungen auf Menschenrechte und Umwelt entlang ihrer gesamten Geschäfts- und Lieferketten zu identifizieren, zu verhindern und zu minimieren. Das deutsche Lieferkettensorgfaltspflichtengesetz verlangt umfassendes Risikomanagement und entsprechende Gegenmaßnahmen entlang der Lieferkette. Verstöße können erhebliche finanzielle Konsequenzen nach sich ziehen. Weitere internationale Entwicklungen verschärfen den Druck zusätzlich. Norwegens Transparenzgesetz verpflichtet Unternehmen zur öffentlichen Berichterstattung über menschenrechtliche Sorgfaltspflichten. Singapur verlangt die Integration von Umweltrisiken in Due-Diligence-Frameworks von Finanzinstituten. Brasiliens Anti-Korruptionsstrategie 2025–2027 fordert ausdrücklich die Einbindung von ESG-Aspekten in Korruptionsrisikoanalysen. ESG darf deshalb nicht länger isoliert im Nachhaltigkeitsbericht behandelt werden. Regulatoren erwarten zunehmend, dass ESG-Risiken vollständig in das Third-Party-Risk-Management integriert sind. Oberflächliche Richtlinienprüfungen reichen nicht mehr aus. Unternehmen müssen belastbare Risikoanalysen, Transparenz in der Lieferkette und kontinuierliches Monitoring nachweisen können. Sanktionen & Eigentümerstrukturen: Warum einfaches Screening nicht mehr reicht Sanktionsrisiken sind durch geopolitische Konflikte und unterschiedliche internationale Regulierungsansätze deutlich komplexer geworden. Ein reines Screening von Unternehmensnamen reicht heute nicht mehr aus. Eine risikobasierte Due Diligence umfasst inzwischen: Screening gegen globale Sanktionslisten (UN, OFAC, EU, UK) Watchlist- und PEP-Screening Untersuchungen zu Rechtsverfahren Umfassende Analysen wirtschaftlich Berechtigter Monitoring negativer Medienberichte in mehreren Sprachen Verdeckte Eigentümerstrukturen stellen dabei ein erhebliches Risiko dar – insbesondere im Zusammenhang mit Korruption, Betrug oder Geldwäsche. Regulierungsbehörden empfehlen deshalb kontinuierliches Monitoring statt statischer Prüfungen beim Onboarding. Wenn ein Compliance-Framework nicht nachvollziehbar dokumentieren kann, wie versteckte Eigentümerstrukturen identifiziert oder sich verändernde Sanktionsrisiken überwacht wurden, steigt das Risiko regulatorischer Beanstandungen erheblich. MEHR DAZU: Third Party Compliance: Mehr als Pflicht für den Mittelstand und Familienunternehmen Die gefährliche Schnittstelle von KI, ESG und Sanktionen Die größten Schwachstellen entstehen dort, wo mehrere Risiken gleichzeitig auftreten. Dazu gehören KI-Systeme, die auf unvollständigen Sanktionsdaten basieren, ESG-Risiken innerhalb komplexer Eigentümerstrukturen, Drittparteien in unterschiedlichen regulatorischen Umfeldern sowie getrennte Compliance-, ESG- und Procurement-Funktionen ohne ausreichende Integration. Regulierungsbehörden weltweit fordern zunehmend integrierte Due-Diligence-Ansätze. Die Richtung ist klar: Compliance-Frameworks müssen risikobasiert, dokumentiert, integriert und kontinuierlich überwacht sein. Risikobasierte Due Diligence statt reiner Checklisten Best Practice im Jahr 2026 bedeutet einen klar risikobasierten Ansatz. Dazu gehören vereinfachte Due Diligence für niedrig-riskante Geschäftspartner, Enhanced Due Diligence für risikoreiche Beziehungen, externe Untersuchungen bei erhöhtem Risiko sowie automatisiertes, kontinuierliches Monitoring und regelmäßige Reviews. Dafür benötigen Unternehmen Zugang zu hochwertigen, nachvollziehbaren globalen Datenquellen in Bereichen wie: Sanktionen PEPs Watchlists Gerichts- und Rechtsverfahren ESG-Daten Negative Media / Adverse Media Das regulatorische Umfeld wird nicht einfacher, sondern strenger. Behörden arbeiten zunehmend grenzüberschreitend zusammen, KI-Regulierung entwickelt sich rasant weiter und ESG-Due-Diligence-Anforderungen werden immer stärker rechtlich durchgesetzt. Die Folgen unzureichender Due Diligence gehen heute weit über Bußgelder hinaus. Sie reichen von operativen Störungen über Reputationsschäden bis hin zum Ausschluss von Geschäftsbeziehungen und Ausschreibungen. MEHR DAZU: Third-Party Due Diligence neu gedacht: Warum risikobasierte Ansätze immer wichtiger werden Jetzt handeln, bevor Regulierungsbehörden es tun Die entscheidende Frage im Jahr 2026 lautet nicht mehr, ob Unternehmen eine Checkliste haben, sondern ob diese risikobasiert ist, KI-, ESG- und Sanktionsrisiken integriert, auf belastbaren Daten basiert, kontinuierlich überwacht wird und revisionssicher dokumentiert ist. Denn Due Diligence ist heute keine administrative Pflicht mehr – sondern strategische Risiko-Intelligenz. Due Diligence 2026: Sind Sie vorbereitet? Laden Sie die „Due Diligence Checklist 2026“ herunter und prüfen Sie, ob Ihr Framework aktuellen regulatorischen Anforderungen rund um KI, ESG und Sanktionen standhält. Jetzt herunterladen

Jetzt lesen
4 Min Read
Nexis Diligence+Due DiligenceCompliance

Third-Party Due Diligence neu gedacht: Warum risikobasierte Ansätze immer wichtiger werden

Viele Unternehmen betrachteten die Due Diligence von Drittparteien lange Zeit vor allem als Pflichtaufgabe: Formulare ausfüllen, Standardprüfungen durchführen und ein Compliance-Häkchen setzen, bevor neue Geschäftsbeziehungen eingegangen werden. Doch dieses Vorgehen reicht heute nicht mehr aus – und lässt sich in vielen Fällen kaum noch rechtfertigen. Wie die Due Diligence Checkliste 2026 zeigt, verändert sich das regulatorische Umfeld weltweit deutlich. Aufsichtsbehörden wollen nicht mehr nur wissen, ob eine Prüfung durchgeführt wurde. Entscheidend ist vielmehr, ob sie risikobasiert, verhältnismäßig und kontinuierlich erfolgt. Genau darin liegt der Unterschied zwischen reiner Prozesserfüllung und modernem Risikomanagement. Die Grenzen standardisierter Due Diligence Herkömmliche Due Diligence Modelle neigen dazu, bei allen externen Parteien die gleichen Prüfungen durchzuführen. Jeder Anbieter erhält denselben Fragebogen. Jedes Onboarding folgt demselben Arbeitsablauf. Eine Überwachung, sofern sie überhaupt stattfindet, erfolgt eher in regelmäßigen Abständen als kontinuierlich. Das Problem ist, dass Risiken nicht einheitlich sind. Das Rahmenwerk für 2026 verdeutlicht, wie stark das Risiko je nach folgenden Faktoren variiert: Geografische Lage Branche Art der Transaktion Eigentümerstrukturen Beteiligung von PEPs ESG-Sensitivität Sanktionsrisiko Ein lokaler Lieferant in einer Region mit geringem Risiko weist nicht dasselbe Profil auf wie ein Vertriebspartner, der in einer sanktionssensiblen Region tätig ist, oder ein Partner, der in einem Hochrisikosektor wie Infrastruktur, öffentliches Beschaffungswesen oder Verteidigung tätig ist. Beide gleichermaßen zu prüfen, ist im besten Fall ineffizient – im schlimmsten Fall fahrlässig. Aufsichtsbehörden erwarten zunehmend von Unternehmen, dass sie nachweisen, dass ihr Maß an Sorgfaltspflicht dem Risikoniveau entspricht. MEHR DAZU: Due Diligence 2026: Warum klassische Checklisten nicht mehr ausreichen Risikomanagement neu gedacht Ein risikobasierter Ansatz beginnt nicht mit Formularen, sondern mit einer Risikobewertung. Die Checkliste skizziert einen strukturierten Prozess: Ermittlung der Geschäftsorte, Feststellung, ob ausländische Gesetze gelten, Identifizierung von Branchenrisiken, Bewertung der Beteiligung von PEPs, Analyse negativer Medienberichte und Ermittlung der wirtschaftlichen Eigentümer. Erst nach dieser ersten Bewertung entscheidet das Unternehmen, ob eine vereinfachte, erweiterte oder spezialisierte Sorgfaltsprüfung erforderlich ist. Dieses mehrstufige Modell spiegelt die regulatorischen Erwartungen in verschiedenen Rechtsordnungen wider. Im Vereinigten Königreich müssen Unternehmen, die sich auf die Einrede „angemessener Verfahren“ im Rahmen der Anti-Korruptionsgesetze berufen wollen, nachweisen, dass ihre Kontrollen dem Risiko angemessen sind. In der EU verlangen die Sorgfaltspflichten im Bereich Nachhaltigkeit von Unternehmen, dass sie schwerwiegende Auswirkungen in ihren Wertschöpfungsketten identifizieren und priorisieren. Der rote Faden ist die Verhältnismäßigkeit. Bei der risikobasierten Sorgfaltspflicht geht es nicht darum, möglichst viele Prüfungen durchzuführen. Es geht darum, die richtigen Prüfungen durchzuführen. Integration von ESG, Finanzkriminalität und Governance-Risiken Ein weiteres prägendes Merkmal des Jahres 2026 ist die Integration. In der Vergangenheit arbeiteten die Teams für Finanzkriminalität, ESG und Beschaffung oft getrennt voneinander. Heute verschwimmen diese Grenzen zunehmend. Die Checkliste zeigt, dass die regulatorischen Erwartungen hinsichtlich der Abstimmung von ESG- und Antikorruptions-Risikobewertungen steigen. Brasiliens Antikorruptionsstrategie fordert ausdrücklich, dass Menschenrechts- und Umweltfragen in Korruptionsrisikobewertungen einbezogen werden. Singapurs Leitlinien zum Umweltrisikomanagement wiederum integrieren Nachhaltigkeitsaspekte in die Prozesse der finanziellen Due Diligence. Diese Konvergenz erfordert von Unternehmen, über starre Prüfkriterien hinauszugehen. Ein Dritter, der in Umweltverstöße verwickelt ist, kann Reputations- und Haftungsrisiken mit sich bringen. Ein Lieferant, der in Regionen tätig ist, in denen das Risiko von Zwangsarbeit besteht, kann aufgrund neuer Menschenrechtsgesetze rechtliche Risiken verursachen. Ein KI-Anbieter, der keine Transparenz über seine Datenquellen bietet, könnte im Rahmen von KI-Governance-Rahmenwerken eine behördliche Überprüfung auslösen. Risiken sind miteinander verknüpft. Ein modernes risikobasiertes Rahmenwerk berücksichtigt, dass Finanzkriminalität, ESG-Risiken und Führungsversagen selten allein auftreten. Verbesserte Sorgfaltspflicht in der Praxis Wenn ein erhöhtes Risiko festgestellt wird, ist eine verbesserte Sorgfaltspflicht unerlässlich. Dies geht über eine einfache Identitätsprüfung oder oberflächliche Websuchen hinaus. Es erfordert eine strukturierte Überprüfung in folgenden Bereichen: Sanktionslisten Behördliche Beobachtungslisten Datenbanken zu politisch exponierten Personen Compliance-bezogene Listen Unternehmens- und wirtschaftlichen Eigentumsdaten Gerichtsverfahren Weltweite negative Medienberichterstattung Die Fähigkeit, negative Nachrichten effizient zu filtern, Muster zu erkennen und historische Vorwürfe zu verstehen, wird dabei zu einem entscheidenden Faktor. Durchsetzungsmaßnahmen der letzten Jahre zeigen, dass das Versäumnis, Warnsignale zu erkennen – insbesondere wenn darüber öffentlich berichtet wurde – die Position eines Unternehmens erheblich schwächen kann. In diesem Umfeld sind Datenabdeckung und ausgereifte Suchfunktionen keine Option mehr, sie sind unverzichtbar. Kontinuierliche Überwachung: Das fehlende Puzzlestück Die häufigste Schwachstelle herkömmlicher Due Diligence Programme liegt darin, dass eine kontinuierliche Überwachung fehlt. Die Checkliste weist darauf hin, dass nach der Prüfung bei der Kundenaufnahme regelmäßige Kontrollen und automatisierte Überwachungen erfolgen müssen. Das Risikoprofil eines Dritten kann sich schnell verändern – etwa durch neue Sanktionslisten, Gerichtsverfahren, ESG-Kontroversen oder Managementversäumnisse. Ohne ständige Überwachung kann ein Unternehmen lange nach der ersten Überprüfung einem Risiko ausgesetzt bleiben. Ein risikobasiertes Modell setzt daher auf automatisierte Batch-Prüfungen, regelmäßige Aktualisierungen der Sanktionsprüfungen sowie eine fortlaufende Beobachtung negativer Medienberichte. Es versteht Due Diligence als einen fortlaufenden Prozess und nicht als ein einmaliges Ereignis. Risikobasierte Due Diligence in großem Umfang ermöglichen Die Einführung eines risikobasierten Rahmens für Hunderte oder Tausende von Drittparteien erfordert mehr als nur die Aktualisierung von Richtlinien. Es erfordert eine entsprechende Infrastruktur. Unternehmen müssen in der Lage sein: Unternehmen in großer Zahl zu überprüfen Einheitliche Arbeitsabläufe anzuwenden Entscheidungsprozesse zu dokumentieren Hochwertige globale Daten zu integrieren Negative Medienberichte effizient zu identifizieren Prüfbare Berichte zu erstellen Lösungen wie Nexis Diligence+ wurden entwickelt, um strukturierte Drittparteienüberprüfungen und optimierte Due Diligence-Workflows zu unterstützen. Die Möglichkeit, Unternehmen in großen Mengen hochzuladen, ESG-Kriterien und negative Medienberichte fortlaufend zu überwachen sowie auf geführte Untersuchungsprozesse zuzugreifen, steigert die Konsistenz und Nachvollziehbarkeit. Für Unternehmen, die Compliance in interne Analyseumgebungen integrieren, liefert Nexis Data+ lizenzierte, globale Nachrichten, Unternehmens- und regulatorische Informationen über eine API – und schafft so die Grundlage für Risikobewertungsmodelle und kontinuierliche Überwachung. Gleichzeitig beschleunigt Nexis+ AI die Recherche und Zusammenfassung, indem es auf vertrauenswürdige, autorisierte Daten zurückgreift. Dies hilft Analysten, sich auf wesentliche Themen zu fokussieren, anstatt Dokumente manuell zu sichten. Technologie ersetzt zwar kein Urteilsvermögen, ermöglicht jedoch Verhältnismäßigkeit, Dokumentation und Effizienz in komplexen regulatorischen Umgebungen. Bringen Sie Ihre Due Diligence Prüfung auf den neuesten Stand! Finden Sie mithilfe der Due Diligence Checkliste 2026 heraus wie Sie Ihr Unternehmen noch besser vor Risiken durch Dritte schützen können. JETZT DOWNLOADEN

Jetzt lesen

Mehr Kontrolle über Drittanbieterrisiken

Sprechen Sie mit unseren Experten darüber, wie Sie Risiken durch Drittanbieter frühzeitig erkennen, bewerten und effektiv steuern können. Gemeinsam finden wir die passende Lösung für Ihre Anforderungen.

LexisNexis, a division of RELX Inc., may contact you in your professional capacity with information about our other products, services, and events that we believe may be of interest. You can manage your communication preferences via our Preference Center. You can learn more about how we handle your personal data and your rights by reviewing our Privacy Policy.