Durant anys, les organitzacions han avaluat els seus proveïdors principalment des d’una perspectiva econòmica: preu, qualitat, terminis de lliurament o capacitat tècnica.
La Corporativa Sustainability Due Diligence Directive (CSDDD) canvia aquest enfocament de manera significativa. A partir de la seva aplicació, les grans empreses europees han de demostrar que identifiquen, prevenen, mitiguen i supervisen els riscos relacionats amb els drets humans i el medi ambient al llarg de la seva cadena de valor.
La diligència deguda deixa de ser una bona pràctica per convertir-se en un procés permanent i documentat.
Què és la CSDDD?
La CSDDD (Corporate Sustainability Due Diligence Directive), també coneguda com CS3D , és una directiva europea que té com a objectiu que les empreses integrin la gestió de riscos de sostenibilitat dins de la seva activitat diària.
No es tracta només de publicar un informe de sostenibilitat, sinó de demostrar que hi ha un sistema capaç d’identificar riscos, actuar quan apareixen i conservar evidències de totes les actuacions realitzades.
Entre les principals obligacions hi ha:
- Disposar duna política de diligència deguda.
- Identificar i avaluar riscos en les operacions i en la cadena de valor.
- Adoptar mesures per prevenir o mitigar impactes negatius.
- Implementar accions correctives quan es detectin incompliments.
- Disposar de mecanismes per rebre reclamacions i denúncies.
- Supervisar periòdicament l’eficàcia del sistema.
- Informar públicament sobre les mesures adoptades.
En definitiva, la CSDDD exigeix implantar un model de gestió continu, no pas una revisió puntual.
A quines empreses aplica?
Després de les modificacions introduïdes pel paquet Omnibus , la directiva s’aplicarà inicialment a empreses de grans dimensions.
Estaran subjectes les empreses de la Unió Europea que superin simultàniament:
- 5.000 empleats.
- 1.500 milions d?euros de facturació mundial.
També hi estaran incloses determinades empreses de fora de la UE que generin més de 1.500 milions d’euros de facturació anual dins del mercat europeu.
Els Estats membres hauran d’incorporar la directiva a la seva legislació nacional abans del juliol del 2028 i les obligacions es començaran a aplicar a partir del juliol del 2029.
La gran pregunta: i les empreses que no estan obligades?
Aquí és on probablement es produirà l’impacte més gran.
Encara que milers d’empreses no entrin directament dins l’àmbit d’aplicació de la directiva, moltes sí que formaran part de la cadena de subministrament d’organitzacions que estaran obligades.
Una gran empresa haurà de demostrar que coneix els riscos dels proveïdors. Per això necessitarà sol·licitar informació, avaluar evidències i fer seguiments periòdics.
Això significa que moltes pimes rebran sol·licituds com:
- Disposeu d’un canal de denúncies?
- Com avaluen els proveïdors?
- Quines polítiques de drets humans tenen implantades?
- Com gestionen els riscos ambientals?
- Quins controls apliquen?
- Com formen els seus empleats?
- Quines evidències poden aportar?
En altres paraules, encara que una empresa no estigui obligada legalment per la CSDDD, és possible que els seus clients sí que exigeixin demostrar un determinat nivell de maduresa per continuar formant part de la seva cadena de subministrament.
La diligència deguda requereix un sistema, no documents aïllats
Respondre manualment cada qüestionari pot ser viable una vegada.
Respondre desenes de clients diferents, cadascun amb requisits diferents, és una altra història.
Les organitzacions necessitaran centralitzar la informació relacionada amb el compliment per evitar duplicitats i mantenir la documentació sempre actualitzada.
Alguns dels elements que previsiblement passaran a ser habituals són:
- Inventari de proveïdors i tercers.
- Avaluacions de risc.
- Qüestionaris dhomologació.
- Plans de mitigació.
- Controls periòdics.
- Gestió de polítiques.
- Registre dincidències.
- Canal de denúncies i reclamacions.
- Evidències i traçabilitat de totes les actuacions.
La clau no serà únicament disposar daquesta informació, sinó poder demostrar quan es va obtenir, qui la va revisar, quines decisions es van prendre i com va evolucionar el risc.
Un únic repositori per a múltiples normatives
La CSDDD no s’ha d’entendre com una obligació aïllada.
Comparteix nombrosos elements amb marcs reguladors com NIS2 , DORA , ISO 27001 , ENS , ISO 37301 , l’ AI Act o les obligacions de protecció de denunciants.
Per això, cada cop té més sentit construir un model únic de compliment on els riscos, controls, proveïdors, polítiques, incidents i evidències es gestionin des d’una única plataforma i posteriorment es mapegin contra els diferents requisits reguladors.
Aquest enfocament redueix el treball duplicat, millora la traçabilitat i facilita respondre tant a auditories com a sol·licituds de clients o reguladors.
L’oportunitat comença abans de l’obligació
És fàcil pensar que la CSDDD només afecta unes quantes milers de grans empreses.
No obstant això, el seu veritable abast serà molt més gran.
Cada empresa obligada treballa amb centenars o milers de proveïdors. Tots ells hauran de respondre, demostrar i documentar com gestionen els riscos.
La pregunta ja no serà només si una organització està obligada per la directiva.
La pregunta serà si està preparada per demostrar als clients que gestiona adequadament els riscos de la seva activitat i de la seva cadena de subministrament.
I aquesta capacitat, probablement, s’acabarà convertint en un avantatge competitiu per a qualsevol organització que vulgui continuar formant part de les cadenes de subministrament més exigents.
