Durante años, las organizaciones han evaluado a sus proveedores principalmente desde una perspectiva económica: precio, calidad, plazos de entrega o capacidad técnica.
La Corporate Sustainability Due Diligence Directive (CSDDD) cambia este enfoque de forma significativa. A partir de su aplicación, las grandes empresas europeas deberán demostrar que identifican, previenen, mitigan y supervisan los riesgos relacionados con los derechos humanos y el medio ambiente a lo largo de su cadena de valor.
La diligencia debida deja de ser una buena práctica para convertirse en un proceso permanente y documentado.
¿Qué es la CSDDD?
La CSDDD (Corporate Sustainability Due Diligence Directive), también conocida como CS3D, es una directiva europea cuyo objetivo es que las empresas integren la gestión de riesgos de sostenibilidad dentro de su actividad diaria.
No se trata únicamente de publicar un informe de sostenibilidad, sino de demostrar que existe un sistema capaz de identificar riesgos, actuar cuando aparecen y conservar evidencias de todas las actuaciones realizadas.
Entre las principales obligaciones se encuentran:
- Disponer de una política de diligencia debida.
- Identificar y evaluar riesgos en las operaciones y en la cadena de valor.
- Adoptar medidas para prevenir o mitigar impactos negativos.
- Implementar acciones correctivas cuando se detecten incumplimientos.
- Disponer de mecanismos para recibir reclamaciones y denuncias.
- Supervisar periódicamente la eficacia del sistema.
- Informar públicamente sobre las medidas adoptadas.
En definitiva, la CSDDD exige implantar un modelo de gestión continuo, no una revisión puntual.
¿A qué empresas aplica?
Tras las modificaciones introducidas por el paquete Omnibus, la directiva se aplicará inicialmente a empresas de gran tamaño.
Estarán sujetas las empresas de la Unión Europea que superen simultáneamente:
- 5.000 empleados.
- 1.500 millones de euros de facturación mundial.
También estarán incluidas determinadas empresas de fuera de la UE que generen más de 1.500 millones de euros de facturación anual dentro del mercado europeo.
Los Estados miembros deberán incorporar la directiva a su legislación nacional antes de julio de 2028 y las obligaciones comenzarán a aplicarse a partir de julio de 2029.
La gran pregunta: ¿y las empresas que no están obligadas?
Aquí es donde probablemente se producirá el mayor impacto.
Aunque miles de empresas no entren directamente dentro del ámbito de aplicación de la directiva, muchas sí formarán parte de la cadena de suministro de organizaciones que estarán obligadas.
Una gran empresa deberá demostrar que conoce los riesgos de sus proveedores. Para ello necesitará solicitar información, evaluar evidencias y realizar seguimientos periódicos.
Esto significa que muchas pymes recibirán solicitudes como:
- ¿Disponen de un canal de denuncias?
- ¿Cómo evalúan sus propios proveedores?
- ¿Qué políticas de derechos humanos tienen implantadas?
- ¿Cómo gestionan los riesgos ambientales?
- ¿Qué controles aplican?
- ¿Cómo forman a sus empleados?
- ¿Qué evidencias pueden aportar?
En otras palabras, aunque una empresa no esté obligada legalmente por la CSDDD, es posible que sus clientes sí le exijan demostrar un determinado nivel de madurez para continuar formando parte de su cadena de suministro.
La diligencia debida requiere un sistema, no documentos aislados
Responder manualmente a cada cuestionario puede ser viable una vez.
Responder a decenas de clientes distintos, cada uno con requisitos diferentes, es otra historia.
Las organizaciones necesitarán centralizar la información relacionada con el cumplimiento para evitar duplicidades y mantener la documentación siempre actualizada.
Algunos de los elementos que previsiblemente pasarán a ser habituales son:
- Inventario de proveedores y terceros.
- Evaluaciones de riesgo.
- Cuestionarios de homologación.
- Planes de mitigación.
- Controles periódicos.
- Gestión de políticas.
- Registro de incidencias.
- Canal de denuncias y reclamaciones.
- Evidencias y trazabilidad de todas las actuaciones.
La clave no será únicamente disponer de esta información, sino poder demostrar cuándo se obtuvo, quién la revisó, qué decisiones se tomaron y cómo evolucionó el riesgo.
Un único repositorio para múltiples normativas
La CSDDD no debe entenderse como una obligación aislada.
Comparte numerosos elementos con marcos regulatorios como NIS2, DORA, ISO 27001, ENS, ISO 37301, el AI Acto las obligaciones de protección de denunciantes.
Por ello, cada vez tiene más sentido construir un modelo único de cumplimiento donde los riesgos, controles, proveedores, políticas, incidentes y evidencias se gestionen desde una única plataforma y posteriormente se mapeen contra los diferentes requisitos regulatorios.
Este enfoque reduce el trabajo duplicado, mejora la trazabilidad y facilita responder tanto a auditorías como a solicitudes de clientes o reguladores.
La oportunidad empieza antes de la obligación
Es fácil pensar que la CSDDD solo afecta a unas pocas miles de grandes empresas.
Sin embargo, su verdadero alcance será mucho mayor.
Cada empresa obligada trabaja con cientos o miles de proveedores. Todos ellos tendrán que responder, demostrar y documentar cómo gestionan sus riesgos.
La pregunta ya no será únicamente si una organización está obligada por la directiva.
La pregunta será si está preparada para demostrar a sus clientes que gestiona adecuadamente los riesgos de su actividad y de su cadena de suministro.
Y esa capacidad, probablemente, acabará convirtiéndose en una ventaja competitiva para cualquier organización que quiera seguir formando parte de las cadenas de suministro más exigentes.
