Lieferketten-Risikoplan: Verantwortliche, Auslöser und getestete Maßnahmen
Mache aus dem Risikoregister ausführbare Reaktionen mit Verantwortlichen, Qualifikationsstand, Kundenkommunikation und Abschlussnachweisen.
Was ist ein Risikomanagementplan für die Lieferkette?
Ein Risikomanagementplan für die Lieferkette definiert, wie dein Team produktionsgefährdende Lieferunterbrechungen erkennt, mindert und beantwortet. Er verbindet kritische Teile und Standorte mit Warnsignalen, Verantwortlichen, freigegebenen Wiederherstellungsoptionen, Kundenkommunikation und Abschlussnachweisen. Ein Risikoregister erfasst die Gefährdung; der Plan bestimmt die nächsten Schritte und macht deutlich, wer wann handeln und welche Ergebnisse belegen muss.
Das Ergebnis ist eine ausführbare Reaktion, bevor verwendbarer Bestand aufgebraucht ist. Der Plan unterstützt Resilienz, indem er Bewertungen in finanzierte Maßnahmen übersetzt und Einkauf, Planung, Qualität und Finanzen eine gemeinsame Aufgabenübersicht gibt. Beginne mit eigener Produktion und Kunden und ergänze geltende Vertrags- und Zertifizierungsanforderungen.
Welchen Geltungsbereich sollte der Plan haben?
Definiere Produkte, Produktionsstandorte, Lieferanten, vorgelagerte Prozesse und Kundenzusagen im Plan. Berücksichtige produktionskritische Teile und ihre Herstellungsabhängigkeiten. Dokumentiere Ausschlüsse und Schnittstellen zu anderen Plänen, damit eine Lieferantenstörung nicht zwischen dem Kontinuitätsplan des Einkaufs und der Notfallreaktion des Standorts verloren geht und die Zuständigkeit auch bei einer übergreifenden Störung eindeutig bleibt.
Beginne bei diskreter Fertigung mit Materialversorgung, qualifizierten Quellen, Fremdbearbeitung, kritischen Werkzeugen, Transport, Prüfung und Nachweisen zur Bestandsfreigabe. Interne Anlagen- und Personalrisiken können in einem anderen Kontinuitätsplan stehen, aber benenne die Schnittstellenverantwortlichen. Eine nicht verfügbare Warenannahme kann eine wiederbeschaffte Lieferung für die Produktion unbrauchbar machen.
Trenne Kundenanforderungen von empfohlenen Arbeitsweisen. Ein Automobilkunde kann Notfalltests und Meldungen über sein Portal verlangen. Ein anderer braucht Freigaben vor Quellen- oder Prozesswechseln. Ordne jede Vorgabe den betroffenen Teilen oder Programmen zu, statt jede Kundenregel auf jeden Lieferanten anzuwenden.
Wie wird aus einem Risikoregister ein Plan?
Definiere für jedes kritische Risiko einen messbaren Auslöser, Entscheidungsverantwortlichen, Reaktion und Abschlussnachweis. Ergänze die verbleibende Zeit bis zur ersten betroffenen Produktion und die Wiederherstellungsdauer. Dauert eine Absicherung länger als der Schutz durch deinen Bestand, brauchst du eine Zwischenmaßnahme oder eine ausdrückliche Akzeptanz des verbleibenden Risikos durch den zuständigen Verantwortlichen.
Beginne mit der Lieferantenrisikobewertung. Formuliere vage Risiken als handlungsfähige Szenarien. Aus „Kapazitätsrisiko“ wird „Der einzige freigegebene Wärmebehandlungsbetrieb schafft die nächste Charge nicht bis zum spätesten Freigabetermin“. Aus „Finanzrisiko“ wird „Die Kreditsperre des Materiallieferanten verhindert den Gussteilkauf für die nächste Produktion“.
Benenne Risiko- und Maßnahmenverantwortlichen. Der Risikoverantwortliche hält die Gefährdung aktuell und eskaliert Entscheidungen. Der Maßnahmenverantwortliche liefert ein konkretes Ergebnis, etwa Prozessfreigabe oder Chargenfreigabebestätigung. Dieselbe Person kann beides übernehmen, aber Aufgabe und Abschlussprüfung müssen klar bleiben.
Vom Risiko zur ausführbaren Maßnahme
Ein beispielhafter Maßnahmenablauf in vier Schritten beginnt mit verspäteter Gussfreigabe, nennt einen beobachtbaren Auslöser und den Einkaufsverantwortlichen, definiert Qualifikation und Zwischenabsicherung und endet erst mit dokumentierter Freigabe und Nachweisen verwendbarer Versorgung. Er enthält keine feste gesetzliche Frist oder zugesagte Wiederherstellungsdauer.
- 1
Gefährdete Abhängigkeit beschreiben
- Aufzubewahrender Datensatz
- Gussfreigabe verfehlt spätesten Termin für den nächsten Teilesatz
- 2
Auslöser und Verantwortlichen festlegen
- Aufzubewahrender Datensatz
- Einkauf prüft Freigabemeilenstein; Planung erkennt betroffene Produktion
- 3
Genehmigte Reaktion bestimmen
- Aufzubewahrender Datensatz
- Qualität bestätigt Alternativfreigabearbeit; Einkauf prüft Zwischenversorgung
- 4
Ergebnis verifizieren
- Aufzubewahrender Datensatz
- Freigabe und verwendbare Versorgung belegen; verbleibendes Risiko aktualisieren
Arbeitsvorlage: Definiere Ausfall, Auslöser, Reaktion und Abschlussnachweis.
Das Beispiel ist eine Arbeitsvorlage, kein vorgeschriebenes Formular. Übernimm die Struktur mit deinen Terminen, Kontakten, Kundenfreigaben und Abnahmekriterien. Verlinke Belege, statt Zeichnungen oder vertrauliche Abschlüsse in einer breit geteilten Tabelle abzulegen.
Wann ist eine Wiederherstellungsoption ausführbar?
Eine ausführbare Option hat eine qualifizierte Quelle, freie Kapazität, technische Informationen, genehmigte Geschäftsbedingungen und einen glaubwürdigen Termin für verwendbare Teile. Liste offene Schritte auf. „Zweite Quelle identifiziert“ ist keine Wiederherstellungsfähigkeit, wenn Erstmusterprüfung, Kundenfreigabe, Werkzeugbereitstellung oder Materialbeschaffung erst nach Ausfall der Hauptquelle beginnen und deshalb der benötigte Liefertermin ungeklärt bleibt.
Unterscheide identifizierten Kandidaten, geprüfte Fähigkeit, erhaltenes Angebot, laufende Qualifikation, Freigabe und tatsächliche Lieferfähigkeit. Erfasse offene Aufgaben und Verantwortlichen zu jeder Stufe. Die Freigabe einer Quelle ohne Kapazität schützt den Termin allein nicht.
Vergleiche den vollständigen Ersatzweg mit verwendbarem Bestand. Berücksichtige Transport, Wareneingang, erforderliche Zertifikate und Prüfung. Deckt der Bestand nur den Beginn, entscheide über mehr Absicherung, frühere Qualifikation oder einen anderen Wiederherstellungsweg. Clear-to-build erklärt, warum Prüf- oder Sperrbestand nicht einfach als Schutz zählt.
Prüfe gemeinsame vorgelagerte Abhängigkeiten. Eine zweite Werkstatt mit derselben Gießerei kann das Hauptrisiko unverändert lassen. Teste diese Annahme, bevor du Dual Sourcing als abgeschlossen erklärst.
Was verlangen Notfallpläne in der Automobilindustrie zusätzlich?
Für Organisationen im Anwendungsbereich von IATF 16949 umfasst Notfallplanung Lieferunterbrechungen und weitere Kontinuitätsrisiken, Kundenbenachrichtigung, regelmäßige Wirksamkeitstests und mindestens jährliche fachübergreifende Überprüfung mit oberster Leitung. Hinzu kommen Änderungsaufzeichnungen und Mitarbeitersensibilisierung. Dies sind Zertifizierungsanforderungen innerhalb ihres Geltungsbereichs, keine Vorgaben für jedes Fertigungsunternehmen unabhängig von dessen Kunden, Prozessen oder anwendbarer Zertifizierung.
Die öffentliche Sanctioned Interpretation 3 der IATF umfasst Lieferantenunterbrechungen, Anlagenausfall, Katastrophen, Feuer, Pandemien, Versorgungsausfall, Cyberangriffe, Personalmangel und Infrastrukturstörungen. Sie verlangt auch Vorkehrungen zur Produktkonformitätsprüfung nach Notfall-Wiederanlauf, wenn normale Abschaltprozesse nicht befolgt wurden. IATF 16949, SI 3, Abschnitt 6.1.2.3.
Ordne geltende kundenspezifische Anforderungen zu und nutze die aktuelle Norm zusammen mit ihren Sanctioned Interpretations. Der Lieferantenkontinuitätsplan kann nur einen Teil der erforderlichen Notfallvorsorge abdecken. Bezeichne ihn nicht als gesamte Zertifizierungsantwort, wenn Anlagen, Personal oder Informationssysteme andernorts behandelt werden.
Wie solltest du den Plan testen?
Teste ein konkretes Ausfallszenario mit den später handelnden Personen und erfasse, ob Maßnahmen innerhalb der verfügbaren Zeit funktionieren. Beginne mit einer Planspielübung und prüfe dann wesentliche Abhängigkeiten. Eine Probe, die nur Anwesenheit bestätigt, zeigt nicht, ob Ersatzteile ankommen, akzeptiert werden und die Produktion tatsächlich unterstützen können, bevor vorhandene Bestände ausgehen.
Gib dem Team ein konkretes Ereignis: Die Hauptquelle kann die nächste Gusscharge nicht freigeben, und der nächste Teilesatz hängt davon ab. Einkauf kontaktiert die Ersatzquelle mit hinterlegten Daten. Qualität identifiziert fehlende Freigaben. Planung berechnet betroffene Produktion. Der Kundenverantwortliche entwirft die geforderte Meldung.
Erfasse Fehlschläge: veralteter Kontakt, angenommene Freigabe, Werkzeug am falschen Standort oder Beschaffungszeit ohne Prüfung. Weise Korrekturen zu und teste den gescheiterten Teil erneut. Nutze einen risikobasierten Testplan; Zertifizierungs- oder Kundenvorgaben setzen weitere Grenzen.
IATF FAQ 29 erläutert, dass wirksame Notfallplanung Nachweise zu Überprüfung, regelmäßigen Tests und Validierung sowie die Einhaltung von Kundenanforderungen benötigt. Beispiele sind Ersatzquellen, vertraglich gesicherte Leistungen und Sicherheitsbestand; keines ersetzt die Prüfung, ob deine Reaktion funktioniert. IATF FAQ 29.
Lieferst du an US-Kunden?
Nach Prüfung am 26. September 2026 verlangt EO 14415 §3(c), dass vorgeschlagene Umsetzungsvorschriften Minderungsmaßnahmen, Verfolgung bis Abschluss, Meldungen, Korrekturpläne und Abschlussberichte nach Lieferantenprüfung vorsehen. Trenne diese künftigen Anforderungen von bestehenden Vertragspflichten; die Anordnung allein macht denselben Meldeplan nicht heute für jeden Lieferanten verbindlich. EO 14415 §3(c).
In der EU
Für Unternehmen im NIS2-Anwendungsbereich umfasst Artikel 21 Geschäftskontinuität, Krisenmanagement, Lieferkettensicherheit und Wirksamkeitsprüfung von Cybersicherheitsmaßnahmen. Koordiniere Lieferanten-Cyberreaktionen mit geltenden nationalen Anforderungen und dem Vorfallprozess. Das ist eine Cybersicherheitspflicht für erfasste Unternehmen, keine allgemeine Notfallnorm für physische Lieferungen. Richtlinie (EU) 2022/2555, Artikel 21. Geprüft am 26. September 2026.
Wie hältst du Minderungsmaßnahmen aktuell?
Prüfe offene Maßnahmen anhand von Fristen und Abschlussnachweisen. Aktualisiere den Plan bei geänderten Eigentums-, Bedarfs-, Prozess-, Standort- oder Wiederherstellungsannahmen. Bewahre Entscheidungen und Änderungen auf. Eine jährliche Freigabe bestätigt möglicherweise die Steuerung, ersetzt aber keine Prüfung einer zeitkritischen Absicherung, wenn die nächste Produktion davon abhängt und ein verfehlter Meilenstein sofortige Entscheidungen erfordert.
Führe unbeantwortete Lieferantenanfragen mit Datum. Fasse beim autorisierten Kontakt nach, erfasse Antworten und eskaliere fehlende Angaben an den Entscheidungsverantwortlichen. Trenne kommerzielle Versprechen von Qualifikationsbelegen. Eine Zusage, „helfen zu können“, ist keine Freigabe zur Lieferung deines konkreten Revisionsstands.
Nutze Bestellungsverfolgung für Liefermeilensteine und finanzielles Lieferantenrisiko für Finanzierungsänderungen. Diese Signale aktualisieren den Plan bei ungültigen Annahmen, statt ein zweites, unverbundenes Register zu erzeugen.
Was gehört in deine Planprüfliste?
Prüfe den Plan auf nutzbare Entscheidungen, aktuelle Abhängigkeiten, getestete Reaktionen und klare Verantwortliche. Leser sollten die erste gefährdete Produktion erkennen, richtige Kontakte finden und genehmigte Maßnahmen ohne Rekonstruktion der Bewertung aufrufen können. Halte Testnachweise, Änderungen, Akzeptanz des Restrisikos und Abschluss gemeinsam mit dem Plan fest, damit Entscheidungen später nachvollziehbar bleiben.
- Der Geltungsbereich nennt Produkte, Standorte, Lieferanten und Schnittstellen
- Kritische Teile haben datierte Nachweise und ein definiertes Ausfallszenario
- Auslöser benennen beobachtbare Ereignisse und Prüfer
- Maßnahmen haben Verantwortlichen, Termin, Finanzierungsentscheidung und Abschlussprüfung
- Alternative Quellen weisen offene Freigaben und Einschränkungen aus
- Die Absicherung durch Bestand nutzt verfügbares Material und realistischen Bedarf
- Kundenkommunikation nennt Kontakt und geltende Anforderung
- Tests erfassen Ergebnisse, Lücken, Korrekturen und nötige Wiederholung
- Änderungen nennen Freigebende und Gründe für geänderte Annahmen
Welche Fragen stellen Teams zu Lieferketten-Risikoplänen?
Der Plan muss für das Team funktionieren und tatsächlich geltende Anforderungen erfüllen. Verbinde Arbeitsregister, formelle Prüfung und Kundenpflichten. Diese Antworten klären den Nutzen eines Registers, die Grenzen einer Vorlage und das Verhältnis operativer Prüfungen zu Zertifizierungs- oder Kundenvorgaben, damit eine vollständige Tabelle nicht mit wirksamer Umsetzung verwechselt wird.
Ist ein Risikoregister schon ein Risikomanagementplan?
Ein Register erfasst Gefährdungen und Arbeitsdaten. Es wird zum nutzbaren Plan, wenn es auch Auslöser, Entscheidungen, Verantwortliche, Reaktionsschritte und Abschlussbelege festlegt. Halte die Verbindung ausdrücklich: Eine Hochrisikomarkierung sagt allein nicht, wer die Quelle qualifizieren soll oder wann Planung die Produktion ändern muss und welche Freigaben dafür noch fehlen.
Garantiert der Plan die Akzeptanz durch einen Auditor?
Nein. Akzeptanz hängt von geltender Norm, Kundenanforderungen, Umsetzung und Nachweisen ab. Erstelle den Plan entsprechend, bewahre Tests und Korrekturen auf und prüfe Ausführbarkeit. Eine Vorlage kann organisieren, aber weder ihr Titel noch eine ausgefüllte Checkliste beweist allein Zertifizierungskonformität oder ersetzt die Prüfung der tatsächlich eingeführten Maßnahmen im Betrieb.
Wie oft sollten wir ihn überprüfen?
Beachte Zertifizierungs- und Kundenvorgaben und ergänze Prüfungen bei geänderten Annahmen. IATF verlangt mindestens jährliche Überprüfung; ein kritisches Lieferantenereignis kann frühere Reaktion erfordern. Richte operative Prüfungen nach Gefährdung und Wiederherstellungszeit aus und gib offenen Maßnahmen eigene Folgetermine zwischen formellen Reviews, damit zeitkritische Arbeit nicht bis zur nächsten Jahresprüfung liegen bleibt.
Wenn Lieferantennachweise in deinem Reaktionsplan fehlen, sprich mit unserem Team über die Anfragen und Nachverfolgung, die dein Einkauf abschließen muss.
Dieser Artikel ist eine allgemeine Information, keine Rechts- oder Steuerberatung. Wie die Regeln für dein Unternehmen gelten, klärst du mit deiner Rechts- oder Steuerberatung.