SMETA 2-Pillar und 4-Pillar: Auditumfang nach Risiko und Kundenanforderungen festlegen

Der Unterschied zwischen SMETA 2-Pillar und 4-Pillar liegt nicht in der Anzahl der Fragen oder im Umfang der Dokumentation. 2-Pillar konzentriert sich auf Arbeitsstandards sowie Arbeits- und Gesundheitsschutz. 4-Pillar deckt dieselben Bereiche ab und ergänzt sie um Umweltpraktiken und Geschäftsethik. Mit dem erweiterten Auditumfang kommen zusätzliche Prozesse, Datenverantwortliche und Nachweisquellen hinzu. Deshalb muss der Umfang vor Beginn der Vorbereitung eindeutig bestätigt werden. Eine falsche Auswahl kann dazu führen, dass unzutreffende Bereiche bewertet oder Lücken erst sichtbar werden, für deren nachhaltige Behebung die verbleibende Zeit nicht ausreicht.

Zwei Auditumfänge, unterschiedliche Entscheidungen

SMETA ist eine Methodik für ethische und soziale Audits in der Lieferkette. Es handelt sich weder um eine Managementsystemnorm noch um eine Zertifizierung, die mit einer ISO-Zertifizierung vergleichbar wäre. Das Audit bewertet die Praxis und die Nachweise eines konkreten Standorts: Beschäftigungsbedingungen, Arbeitsorganisation, technische Schutzmaßnahmen, betriebliche Aufzeichnungen und die tatsächliche Anwendung festgelegter Regeln. Das Vorhandensein einer Richtlinie oder Verfahrensanweisung entscheidet noch nicht über das Ergebnis. Auch ein positives Auditergebnis führt nicht zu einem Zertifikat.

Ein breiterer Auditumfang ist nicht automatisch die bessere Wahl. Maßgeblich sind die Anforderungen des Kunden oder des Betreibers des Lieferantenprogramms sowie die vertraglichen Vereinbarungen. Ein Kunde kann 4-Pillar auch bei einem Standort mit geringem Umweltrisiko verlangen, wenn für die gesamte Lieferantengruppe einheitliche Kriterien gelten. Vor Beginn der Vorbereitung sind daher die zum Auditzeitpunkt gültige Version der Methodik, die geforderte Variante und die Abwicklung des Audits über die Sedex-Plattform zu bestätigen.

Ein Standort kann über geordnete Personalakten, eine nachvollziehbare Arbeitszeiterfassung und einen funktionierenden Arbeitsschutz verfügen, ohne zugleich konsistente Nachweise zu Abfällen, Ressourcenverbrauch, Interessenkonflikten oder Hinweisgebersystemen vorlegen zu können. Wird die Vorbereitung ausschließlich durch Personalwesen und Arbeitsschutz getragen, deckt sie nur einen Teil der Anforderungen von 4-Pillar ab. Die Erweiterung erfordert zusätzliche Prozessverantwortliche und eine Prüfung der betrieblichen Praxis. Es reicht nicht, zwei weitere Kapitel in eine Verfahrensanweisung aufzunehmen.

Festzulegen sind außerdem die bewerteten Standorte und Tätigkeiten, die Zahl der Beschäftigten sowie die einbezogenen Beschäftigungsformen. Dazu zählen, sofern relevant, Leiharbeit und Unterauftragsverhältnisse. Der Auditumfang ist aus Bestellung, Vertrag oder Kundenportal abzuleiten und nicht auf Grundlage eigener Annahmen festzulegen. Das ist besonders wichtig, wenn SMETA als Kundenaudit eingesetzt wird. Weiterführenden organisatorischen Kontext bietet der Beitrag Wie bereitet man ein Unternehmen auf ein Second-Party-Audit bei einem Schlüssellieferanten vor?

Was bei 2-Pillar geprüft wird

2-Pillar umfasst Arbeitsstandards sowie Arbeits- und Gesundheitsschutz, beschränkt sich aber nicht auf die Prüfung von Betriebsordnungen, Verfahrensanweisungen und Personalakten. Im Beschäftigungsbereich bewertet der Auditor unter anderem die Rechtmäßigkeit und Freiwilligkeit der Arbeit, Arbeitszeiten, Vergütung, Gleichbehandlung, Vereinigungsfreiheit, das Verbot von Kinderarbeit und unzulässige Disziplinarmaßnahmen. Entscheidend ist die tatsächliche Arbeitsorganisation: Wer führt welche Tätigkeit auf welcher Grundlage und zu welchen Zeiten aus, und nach welchen Regeln wird die Vergütung berechnet?

An einem polnischen Standort sind insbesondere Arbeitszeitaufzeichnungen, Überstunden und Ruhezeiten, Entgeltabzüge, Urlaub, zivilrechtliche Vertragsformen, Leiharbeit und die Rechtmäßigkeit der Beschäftigung ausländischer Arbeitskräfte sorgfältig zu prüfen. Personal-, Entgelt- und Produktionsdaten müssen denselben tatsächlichen Arbeitsablauf abbilden. Weisen Zutrittsdaten, Schichtpläne oder Produktionsmeldungen die Anwesenheit einer Person aus, die in der Arbeitszeiterfassung nicht erscheint, beseitigt die formale Richtigkeit eines Personaldokuments das Risiko nicht. Deshalb ist ein Verantwortlicher für Personal- und Entgeltdaten zu benennen. Ebenso sind Regeln für die Datenbereitstellung durch Personaldienstleister und andere personalstellende Unternehmen festzulegen.

Die Säule Arbeits- und Gesundheitsschutz umfasst sowohl die Organisation der Aufsicht als auch die am Arbeitsplatz sichtbaren Bedingungen. Bewertet werden unter anderem Aktualität und Angemessenheit der Gefährdungsbeurteilungen, Maschinensicherheit, Verwendung persönlicher Schutzausrüstung, freie Fluchtwege, Brandschutz, Erste Hilfe, Unterweisungen sowie der Umgang mit Unfällen und Beinaheunfällen. Auch Aufzeichnungen über die Prüfung von Schutzeinrichtungen und die Beseitigung festgestellter Mängel sind relevant. Dokumente, die eine wirksame Überwachung beschreiben, verlieren an Aussagekraft, wenn der Auditor beim Betriebsrundgang manipulierte Schutzeinrichtungen, blockierte Ausgänge oder nicht verwendete vorgeschriebene Schutzausrüstung feststellt.

Der Auditor zieht Dokumentenstichproben und gleicht diese mit Beobachtungen am Standort und Aussagen von Beschäftigten ab. Daten zu Arbeitszeit, Vergütung, Urlaub und Ruhezeiten können mit Zutrittsaufzeichnungen, Schichtplänen oder operativen Daten verglichen werden. Schulungs- und Prüfregister werden der tatsächlichen Praxis am Arbeitsplatz gegenübergestellt. Abweichungen zwischen den Quellen sind ein wesentliches Risikosignal, insbesondere wenn sie wiederholt auftreten oder Leiharbeitnehmer, ausländische Beschäftigte beziehungsweise über Vermittler eingesetzte Personen betreffen. Vor dem Audit sind zudem die Zugangsregeln des Auditors zu Dokumenten und Beschäftigten unter Berücksichtigung von Vertraulichkeit und Datenschutz festzulegen.

Die Vorbereitung auf 2-Pillar darf nicht allein dem Qualitätsbeauftragten übertragen werden. Sie erfordert die Zusammenarbeit von Personalwesen und Entgeltabrechnung, Arbeitsschutz, Produktion, Instandhaltung und Werkschutz sowie von Personaldienstleistern und anderen Unternehmen, die Arbeitskräfte bereitstellen. Die Prozessverantwortlichen sollten die Beschäftigtenstruktur nach Vertragsgrundlage und Vermittler abstimmen, die Verantwortung für die Vollständigkeit der Daten festlegen und den Umgang mit Abweichungen regeln. Eine vergleichbare Koordination ist erforderlich, wenn eine Organisation klärt, wie ein Team auf ein Kundenaudit mit Anforderungen an APQP, PPAP und Ursachenanalyse vorbereitet wird.

Welche Bereiche 4-Pillar ergänzt

4-Pillar erweitert das Audit um zwei eigenständige Bereiche: Umweltmanagement und Geschäftsethik. Es handelt sich nicht lediglich um zusätzliche Fragen an den Managementsystembeauftragten. Die Erweiterung erfordert weitere Prozessverantwortliche und den Zugang zu zusätzlichen Nachweisquellen. Die Vorbereitung muss sich am Tätigkeitsprofil des Standorts, an den Kundenanforderungen und an der tatsächlichen Verantwortungsverteilung orientieren. Eine mechanische Ergänzung der für 2-Pillar verwendeten Dokumentenliste genügt nicht.

Die Umweltsäule bewertet, wie der Standort relevante Anforderungen ermittelt und seine Umweltauswirkungen steuert. Abhängig von der Tätigkeit können Energie-, Wasser- und sonstiger Ressourcenverbrauch, Abfallmanagement, Emissionen, Abwasser, Chemikalien sowie die Reaktion auf Leckagen und andere umweltrelevante Ereignisse einbezogen werden. Ausgangspunkt sollte ein Register der für den Standort maßgeblichen Anforderungen sein. Dazu können Bescheide, Genehmigungen, Anzeigen, Messungen und Berichtspflichten gehören.

Das Vorhandensein der Dokumente belegt noch keine Konformität. Der Standort muss nachweisen, wie Auflagen aus Bescheiden, Fristen, Verantwortlichkeiten und Messergebnisse überwacht werden und welche Maßnahmen bei Abweichungen eingeleitet werden. Der Auditor kann Auflagen mit Abfallaufzeichnungen, Messergebnissen oder Verbrauchsdaten abgleichen und prüfen, wer Überschreitungen oder auffällige Veränderungen analysiert. Ein eingeführtes Umweltmanagementsystem kann diese Überwachung strukturieren, ersetzt aber nicht die Nachweise seiner wirksamen Anwendung.

Auch die Säule Geschäftsethik erschöpft sich nicht in einem Verhaltenskodex. Sie umfasst Mechanismen zur Prävention von Korruption, Interessenkonflikten, Betrug und Vergeltungsmaßnahmen sowie Meldekanäle, Untersuchungsverfahren und das Bewusstsein der Beschäftigten. Hinweise auf die tatsächliche Wirksamkeit liefern unter anderem Bearbeitungsstände von Meldungen, Schulungen, Erklärungen zu Interessenkonflikten und dokumentierte Untersuchungsschritte, jeweils unter Wahrung der Vertraulichkeit. Ein nur formal eingerichteter Meldekanal ohne Prozessverantwortlichen, Regeln zur Fallklassifizierung und Schutz der hinweisgebenden Personen ist ein schwacher Nachweis.

Grundlage der Bewertung sind die geltenden rechtlichen Anforderungen und die Bedingungen für den Betrieb am jeweiligen Standort. Zusätzlich kann das Audit Kundenerwartungen und die Wirksamkeit interner Mechanismen berücksichtigen. Die Vorbereitung auf 4-Pillar erfordert daher die Mitwirkung der Verantwortlichen für Umwelt, Einkauf, Finanzen, Vertrieb und Compliance, für die Bearbeitung von Meldungen und Untersuchungen sowie der Führungskräfte, die Konfliktfälle entscheiden. Für das Register der Umweltanforderungen und den Hinweisgeberprozess sind jeweils eindeutige Verantwortliche zu benennen. Ihre Befugnisse, Vertraulichkeitsregeln und Eskalationswege müssen festgelegt sein.

Wo Aufwand und Risiko steigen

Der Vorbereitungsaufwand für SMETA steigt nicht proportional zur Zahl der Säulen oder Fragen. Die größten Kosten entstehen dort, wo Daten über mehrere Abteilungen verteilt sind, Verantwortlichkeiten unklar bleiben oder die betriebliche Praxis von den festgelegten Verfahren abweicht. Vor der Auswahl des Auditors sollte daher nicht nur der Dokumentationsumfang bewertet werden. Ebenso wichtig sind die Zahl der beteiligten Prozesse und Prozessverantwortlichen, die Vollständigkeit und Konsistenz ausgewählter Nachweisstichproben sowie die Zeit, die zur Beseitigung der Ursachen von Abweichungen erforderlich ist.

4-Pillar erhöht die Zahl der Schnittstellen zwischen Personalwesen, Produktion, Arbeitsschutz, Umweltmanagement, Einkauf, Finanzen und Compliance. Wird die gesamte Vorbereitung dem Qualitätsmanagement übertragen, führt das häufig zu Verzögerungen oder zu formal vollständigen Nachweisen, die die Wirksamkeit der vorgesehenen Mechanismen nicht belegen.

Die Gap-Analyse sollte zwischen Mängeln unterscheiden, die sich durch klare Verantwortlichkeiten und geordnete Aufzeichnungen beheben lassen, und Problemen, die Änderungen an Arbeitsorganisation oder Infrastruktur erfordern. Besonders anspruchsvoll sind systematische Überstunden infolge unzureichender Kapazitätsplanung, Unstimmigkeiten bei der Entgeltabrechnung, ungeeignete Maschinenschutzeinrichtungen, Defizite im Brandschutz, unsachgemäßer Umgang mit Stoffen sowie die Nichteinhaltung umweltrechtlicher Auflagen. Solche Probleme lassen sich weder durch eine ergänzte Verfahrensanweisung noch durch eine einmalige Schulung lösen.

Die Geschäftsleitung sollte entscheiden, welche Lücken vor dem Audit wegen ihrer Bedeutung für Menschen, rechtliche Anforderungen oder Kundenvorgaben geschlossen werden müssen. Für andere Abweichungen kann – sofern die Art der Anforderung und die Position des Kunden dies zulassen – ein belastbarer Maßnahmenplan mit Termin, Verantwortlichem und gesicherter Finanzierung festgelegt werden.

Ein typisches Problem ist nicht das Fehlen von Dokumenten, sondern die mangelnde Integrität der auditrelevanten Daten. Ein Standort kann über vollständige Arbeitszeitverfahren verfügen, während Produktionspläne und Anlagenanlaufdaten nicht erfasste Arbeitszeiten erkennen lassen. Im Umweltbereich ist eine Abweichung zwischen dem Register erzeugter Abfälle, dem Lagerbestand und den Übergabenachweisen ein vergleichbares Signal. Der Auditor bewertet, ob sich der tatsächliche Prozessverlauf rekonstruieren lässt – nicht die optische Qualität eines Registers. Die Beseitigung solcher Abweichungen erfordert daher eine Analyse der Datenquellen, den Abgleich der Aufzeichnungen zwischen den Systemen und die Beseitigung des Mechanismus, der die Inkonsistenz verursacht.

Das Vorbereitungsbudget sollte in Gap-Analyse, organisatorische Maßnahmen, technische Anpassungen, Schulungen, Vervollständigung von Aufzeichnungen und eine Reserve für Korrekturmaßnahmen nach dem Audit gegliedert werden. Für 2-Pillar oder 4-Pillar lässt sich kein einheitlicher Preis ansetzen: Der technische Aufwand hängt vom Zustand des Standorts und seiner Prozesse ab, der organisatorische Aufwand von der Reife der Steuerung. Aussagekräftige Kennzahlen sind beispielsweise der Anteil vollständiger und untereinander konsistenter Aufzeichnungen in einer Stichprobe, die Dauer unbearbeiteter Abweichungen und die Zahl der Prozesse ohne eindeutig benannten Verantwortlichen. Eine vergleichbare Budgetlogik beschreibt der Beitrag Was kostet die Umsetzung von NIS2 und uKSC – wie lässt sich ein Budget für Audit, Dokumentation, Schulungen und Sicherheitsmaßnahmen ohne kostspielige Fehlentscheidungen aufbauen?. Bei SMETA ist diese Logik auf die tatsächlichen Lücken in den Bereichen Arbeitsbedingungen, Arbeitsschutz, Umwelt und Geschäftsethik zu übertragen.

Auditumfang und Vorbereitung richtig festlegen

Am Anfang steht die eindeutige Bestätigung des Auditziels, des Empfängers der Ergebnisse, der zu bewertenden Standorte und der Variante 2-Pillar oder 4-Pillar. Zusätzlich sind die gültige Version der Methodik, ergänzende Kundenanforderungen und die Regeln für die Weitergabe der Ergebnisse zu klären. Erst anschließend sollten ein Koordinator für die Vorbereitung, die Verantwortlichen der einzelnen Bereiche und messbare Bereitschaftskriterien festgelegt werden.

Verlangt der Kunde 4-Pillar, rechtfertigt die interne Einschätzung geringer Umwelt- oder Ethikrisiken keine Einschränkung des Umfangs. Überlässt der Kunde die Wahl dem Lieferanten, sollte die Entscheidung aus dem Tätigkeitsprofil und den tatsächlich vorhandenen Steuerungsfähigkeiten abgeleitet werden.

Im nächsten Schritt sind die Anforderungen den Prozessen, Standorten, Datenquellen und verantwortlichen Personen zuzuordnen. Eine Matrix kann jede Anforderung als erfüllt, teilweise erfüllt, nicht erfüllt oder nicht anwendbar einstufen. Die letzte Einstufung erfordert eine sachliche Begründung. Die Gap-Analyse darf sich nicht auf einen Selbstauskunftsbogen beschränken. Sie sollte die Prüfung von Dokumenten und Aufzeichnungen mit Beobachtungen am Standort und Gesprächen mit Beschäftigten und Prozessverantwortlichen verbinden. So lässt sich unterscheiden, ob lediglich ein einzelner Nachweis fehlt oder ob eine unwirksame Steuerung beziehungsweise eine den festgelegten Regeln widersprechende Praxis vorliegt.

Ein Probeaudit sollte den Ablauf des eigentlichen Audits realistisch nachbilden. Für einen ausgewählten Beschäftigten sind Arbeitsvertrag, Arbeitszeiterfassung, Schichtplan, Entgeltabrechnung und Zahlungsnachweis auf Konsistenz zu prüfen. Anschließend werden die Bedingungen am konkreten Arbeitsplatz bewertet. Bei 4-Pillar ist entsprechend ein bestimmter Umweltaspekt oder ein ethisches Risiko mit Verantwortung, Überwachungsmethode und Wirksamkeitsnachweis zu verknüpfen. Die Übereinstimmung von Dokumenten, Beobachtungen und Gesprächsaussagen ist aussagekräftiger als die bloße Vollständigkeit von Verfahrensanweisungen.

Vorbereitungsmaßnahmen sind nach Risikobedeutung, Problemursache und Umsetzbarkeit zu priorisieren. Jede Maßnahme benötigt einen Termin, einen Verantwortlichen und einen definierten Umsetzungsnachweis. Ein ausschließlich für das Audit erstelltes Dokument ersetzt weder die Umsetzung noch Aufzeichnungen aus dem Anwendungszeitraum. Der Zeitraum zwischen Gap-Analyse und Audit muss zur Art der Veränderung passen: Die Klärung einer Verantwortlichkeit benötigt einen anderen Vorlauf als der Umbau von Schutzeinrichtungen, eine Änderung der Arbeitszeitorganisation oder der Aufbau einer wirksamen Umweltüberwachung.

Maßnahmen und Nachweise sollten durch den jeweiligen Prozessverantwortlichen freigegeben werden. Bei wesentlichen Auswirkungen auf Risiken, Ressourcen oder rechtliche Anforderungen ist zusätzlich das zuständige Mitglied der Leitung einzubeziehen. Als Orientierung kann der Beitrag Vorbereitung auf ein ISO-Audit: Schritt-für-Schritt-Leitfaden dienen. Die SMETA-Vorbereitung darf jedoch nicht wie ein Zertifizierungsprojekt für ein Managementsystem behandelt werden.

Vor dem Audit sollte das Team den Zugriff auf Daten, die Auskunftsfähigkeit der Prozessverantwortlichen, die Organisation des Betriebsrundgangs und die Rahmenbedingungen für vertrauliche Beschäftigtengespräche erproben. Das Bereitschaftskriterium sollte nicht „Die Dokumentation ist vollständig“ lauten, sondern: „Die Anforderung ist wirksam umgesetzt, die verantwortliche Person kann sie nachvollziehbar erläutern, und Aufzeichnungen sowie Beobachtungen bestätigen dieselbe Praxis.“ Ergänzend kann der Beitrag Wie bereitet man ein Unternehmen auf ein Second-Party-Audit bei einem Schlüssellieferanten vor? genutzt werden, insbesondere zur Festlegung der Verantwortlichkeiten für den Besuchsablauf und die Bereitstellung von Nachweisen.

Der Auditumfang muss zu Anforderung und Risiko passen

2-Pillar ist die passende Variante, wenn sie der Anforderung des Empfängers und dem Bewertungsziel entspricht. Das bedeutet nicht, dass Umweltpflichten oder Grundsätze ethischer Unternehmensführung für die Organisation entfallen. Sie bleiben Gegenstand einer separaten Steuerung aus rechtlichen Vorgaben, vertraglichen Verpflichtungen und internen Regeln. 4-Pillar vermittelt dagegen ein breiteres Bild des Lieferantenrisikos, setzt aber die tatsächliche Einbindung von Umwelt-, Einkaufs-, Finanz- und Betrugspräventionsprozessen voraus.

Vor der Beauftragung des Audits sollte die Geschäftsleitung die Variante, den bewerteten Standort, die Prozessverantwortlichen, das Budget für technische Maßnahmen, die Eskalationsregeln und die Überwachung der Maßnahmen nach dem Audit freigeben. Die Entscheidung sollte auf drei Faktoren beruhen:

• Anforderungen des Kunden oder Lieferantenprogramms,
• operatives Risikoprofil des Standorts,
• Fähigkeit der Organisation, eine wirksame Steuerung nachzuweisen.

Als unterstützendes Instrument zur Strukturierung der Rahmenbedingungen kann der Beitrag Was ist eine SWOT-Analyse? dienen. Eine SWOT-Analyse ersetzt jedoch weder die Risikobewertung noch die Prüfung objektiver Nachweise.

Entscheidet sich ein Standort für 4-Pillar, obwohl bisher weder für Umweltaspekte noch für Korruptionsrisiken im Einkauf eindeutige Verantwortlichkeiten bestehen, erzeugt der breitere Auditumfang das Problem nicht. Er macht eine bereits vorhandene Steuerungslücke sichtbar. Die Geschäftsleitung muss dann festlegen, welche Lücken vor dem Audit zu schließen sind, welche durch einen Korrekturmaßnahmenplan gesteuert werden können und wo eine formelle Akzeptanz des verbleibenden Risikos erforderlich ist. Diese Entscheidungen sollten mit der Managementbewertung und bestehenden Managementsystemen verknüpft werden, statt sie in einem separaten Register ohne klare Verantwortliche zu führen.

Ein SMETA-Bericht bildet Konformität und betriebliche Praxis an einem bestimmten Ort und zu einem bestimmten Zeitpunkt ab; er ist kein Zertifikat. Sein Wert hängt von der Qualität der Nachweise, der Beseitigung der Ursachen von Nichtkonformitäten und der Nachhaltigkeit der Veränderungen ab. Die Bereitschaft zwischen den Audits kann anhand der Zahl offener Maßnahmen nach Bedeutung und Fälligkeit, des Anteils auf Wirksamkeit geprüfter Maßnahmen sowie wiederkehrender Feststellungen in Folgeaudits bewertet werden. Der formale Abschluss einer Aufgabe belegt noch nicht, dass das zugrunde liegende Risiko wirksam beherrscht wird.