Die Festlegung der betriebsinternen Zuständigkeiten ist ein Teil des Risikomanagements. Ebenso wichtig wie die Benennung der für das Risikomanagement verantwortlichen Person und die Steuerung der Risikoanalysen durch eben diese Person ist es zu wissen, wen sie im Unternehmen über die Risiken zu unterrichten hat.
Ausbau der Compliance-Funktion und die Berichtslinie
Der Ausbau der Compliance-Abteilungen der Unternehmen in diesem Sinne und die Einbindung derjenigen Personen, die die Lieferkettensorgfalt steuern sollen, in die Überwachungsmechanismen sind sowohl für die Einhaltung des deutschen Lieferkettensorgfaltspflichtengesetzes (LkSG) als auch für die der Richtlinie erforderlich. Auch dafür zu sorgen, dass die Ergebnisse der Risikoanalyse im Unternehmen denjenigen mitgeteilt werden, die zur Entscheidung befugt sind – etwa dem Vorstand oder der Einkaufsabteilung –, ist eine Pflicht. Wer diese Pflicht erfüllt, ist bei der Festlegung der betriebsinternen Zuständigkeiten zu bestimmen.
Art. 23 der Richtlinie: Voraussetzungen für die Bestellung einer bevollmächtigten Person in der EU
Art. 23 der Richtlinie verpflichtet die erfassten Unternehmen aus Drittstaaten außerhalb der Union, eine bevollmächtigte Person zu bestellen, die in einem der Mitgliedstaaten ansässig ist, in denen sie tätig sind; die bevollmächtigte Person wird ermächtigt, die Mitteilungen der Aufsichtsbehörden entgegenzunehmen. Die bevollmächtigten Personen sind von dem betreffenden Mitgliedstaat in einem Register zu führen. Die Voraussetzungen einer wirksamen Bestellung sind:
- Bevollmächtigt werden kann eine natürliche oder eine juristische Person.
- Sitz oder Wohnsitz der bevollmächtigten Person muss in einem der Mitgliedstaaten liegen.
- Die bevollmächtigte Person muss die Bestellung angenommen haben.
- Name, Anschrift, E-Mail-Adresse und Telefonnummer der bevollmächtigten Person müssen erfasst sein.
Mitteilung an die Aufsichtsbehörde
Diese bevollmächtigte Person ist demjenigen Staat mitzuteilen, in dem der größte Teil des maßgeblichen Umsatzes erzielt wird. Die Mitteilung hat in der Sprache des Mitgliedstaats zu erfolgen, der sie verlangt. Für die Unternehmen aus der Türkei, die in den Anwendungsbereich fallen, heißt das: Der Aufsichtsbehörde des Mitgliedstaats, in dem die bevollmächtigte Person ansässig ist, und – wenn davon verschieden – der nach Art. 24 Abs. 3 zuständigen Aufsichtsbehörde ist mitzuteilen, dass das Unternehmen ein Unternehmen im Sinne des Art. 2 Abs. 2 der Richtlinie ist (Art. 23 Abs. 3 der Richtlinie).
Der Umfang der Bevollmächtigung
In der Vollmacht ist zudem ausdrücklich anzugeben, dass die bevollmächtigte Person befugt ist, im Verkehr mit der Aufsichtsbehörde Zustellungen oder sämtliche Mitteilungen entgegenzunehmen und die Einhaltung sowie die Erfüllung der sich aus der Richtlinie ergebenden Pflichten sicherzustellen. Unternehmen müssen ihre bevollmächtigten Personen mit allen Befugnissen ausstatten, die die Zusammenarbeit mit der behördlichen Aufsicht ermöglichen.
Der praktische Maßstab bei der Verteilung der Zuständigkeiten
Bei der Festlegung der Zuständigkeiten gilt folgender praktischer Maßstab: Für jede Pflicht müssen die Fragen „wer führt aus, wer genehmigt, wem wird berichtet“ in einem schriftlichen Aufgabenplan beantwortet sein. Eine Struktur, in der die Ergebnisse der Risikoanalyse den Einkauf und die Leitungsebene nicht erreichen, genügt den Anforderungen der Sorgfaltspflicht auch dann nicht, wenn auf dem Papier eine verantwortliche Person benannt ist. Die Abstimmung zwischen den Bereichen Compliance, Recht, Einkauf und Nachhaltigkeit ist mit regelmäßigen Sitzungen und einer geordneten Protokollierung zu betreiben.
Vorbereitung für die Unternehmen aus der Türkei, die in den Anwendungsbereich fallen werden
Für die Unternehmen aus der Türkei, die in den Anwendungsbereich fallen werden, ist die wichtigste Vorbereitung die Bestellung der bevollmächtigten Person, die die Richtlinie (EU) 2024/1760 – geändert durch Omnibus I – in ihrem Art. 23 vorsieht: Wer die Bevollmächtigung übernimmt, welcher Aufsichtsbehörde sie mitgeteilt wird und mit welchen Befugnissen sie ausgestattet wird, ist vor dem Anwendungsbeginn am 26.07.2029 zu planen. Diese organisatorische Vorbereitung im Bereich der Lieferkettensorgfaltspflichten kostet weit weniger als eine später übereilt getroffene Benennung.
