(1) Unternehmen müssen ein angemessenes und wirksames Risikomanagement zur Einhaltung der Sorgfaltspflichten (§ 3 Absatz 1) einrichten. Das Risikomanagement ist in alle maßgebliche Geschäftsabläufe durch angemessene Maßnahmen zu verankern.

(2) Wirksam sind solche Maßnahmen, die es ermöglichen, menschenrechtliche und umweltbezogene Risiken zu erkennen und zu minimieren sowie Verletzungen menschenrechtsbezogener oder umweltbezogener Pflichten zu verhindern, zu beenden oder deren Ausmaß zu minimieren, wenn das Unternehmen diese Risiken oder Verletzungen innerhalb der Lieferkette verursacht oder dazu beigetragen hat.

(3) Das Unternehmen hat dafür zu sorgen, dass festgelegt ist, wer innerhalb des Unternehmens dafür zuständig ist, das Risikomanagement zu überwachen, etwa durch die Benennung eines Menschenrechtsbeauftragten. Die Geschäftsleitung hat sich regelmäßig, mindestens einmal jährlich, über die Arbeit der zuständigen Person oder Personen zu informieren.

(4) Das Unternehmen hat bei der Errichtung und Umsetzung seines Risikomanagementsystems die Interessen seiner Beschäftigten, der Beschäftigten innerhalb seiner Lieferketten und derjenigen, die in sonstiger Weise durch das wirtschaftliche Handeln des Unternehmens oder durch das wirtschaftliche Handeln eines Unternehmens in seinen Lieferketten in einer geschützten Rechtsposition unmittelbar betroffen sein können, angemessen zu berücksichtigen.