Per anni, le aziende hanno valutato i propri fornitori soprattutto dal punto di vista economico: prezzo, qualità, tempi di consegna o capacità tecnica.
La Direttiva sulla due diligence in materia di sostenibilità aziendale (CSDDD) cambia questo approccio in modo significativo. Una volta entrata in vigore, le grandi aziende europee dovranno dimostrare di identificare, prevenire, mitigare e monitorare i rischi legati ai diritti umani e all’ambiente lungo tutta la loro catena del valore.
La due diligence non è più solo una buona pratica, ma diventa un processo continuo e documentato.
Cos’è la CSDDD?
La CSDDD (Corporate Sustainability Due Diligence Directive), nota anche come CS3D, è una direttiva europea che mira a far sì che le aziende integrino la gestione dei rischi legati alla sostenibilità nella loro attività quotidiana.
Non si tratta solo di pubblicare un rapporto di sostenibilità, ma di dimostrare che esiste un sistema in grado di identificare i rischi, intervenire quando si presentano e conservare le prove di tutte le azioni intraprese.
Tra i principali obblighi ci sono:
- Avere una politica di due diligence.
- Individuare e valutare i rischi nelle operazioni e nella catena del valore.
- Adottare misure per prevenire o ridurre gli impatti negativi.
- Adottare misure correttive quando si riscontrano delle non conformità.
- Disporre di meccanismi per ricevere reclami e segnalazioni.
- Controlla ogni tanto se il sistema funziona bene.
- Rendere pubbliche le misure adottate.
Insomma, la CSDDD richiede l’adozione di un modello di gestione continuo, non una revisione una tantum.
A quali aziende si applica?
A seguito delle modifiche introdotte dal pacchetto Omnibus, la direttiva si applicherà inizialmente alle grandi imprese.
Saranno soggette a tale obbligo le imprese dell’Unione Europea che soddisfano contemporaneamente i seguenti requisiti:
- 5.000 dipendenti.
- 1.500 milioni di euro di fatturato mondiale.
Saranno incluse anche alcune aziende al di fuori dell’UE che generano un fatturato annuo superiore a 1.500 milioni di euro nel mercato europeo.
Gli Stati membri dovranno recepire la direttiva nella loro legislazione nazionale entro luglio 2028 e gli obblighi entreranno in vigore a partire da luglio 2029.
La domanda fondamentale: e le aziende che non sono obbligate?
È proprio qui che probabilmente si avrà l’impatto maggiore.
Anche se migliaia di aziende non rientrano direttamente nel campo di applicazione della direttiva, molte di esse faranno comunque parte della catena di approvvigionamento di organizzazioni che saranno soggette a tale obbligo.
Una grande azienda dovrà dimostrare di conoscere i rischi legati ai propri fornitori. Per farlo, dovrà richiedere informazioni, valutare le prove e effettuare controlli periodici.
Questo vuol dire che molte PMI riceveranno richieste del tipo:
- Avete un canale per le segnalazioni?
- Come valutate i vostri fornitori?
- Quali politiche in materia di diritti umani avete adottato?
- Come gestiscono i rischi ambientali?
- Quali controlli vengono effettuati?
- Come formate i vostri dipendenti?
- Quali prove possono fornire?
In altre parole, anche se un’azienda non è legalmente vincolata dalla CSDDD, è possibile che i suoi clienti le chiedano di dimostrare un certo livello di maturità per continuare a far parte della sua catena di fornitura.
La due diligence richiede un sistema, non semplici documenti isolati
Rispondere manualmente a ogni questionario può andare bene una volta.
Rispondere a decine di clienti diversi, ognuno con esigenze diverse, è tutta un’altra storia.
Le organizzazioni dovranno centralizzare le informazioni relative alla conformità per evitare duplicazioni e mantenere la documentazione sempre aggiornata.
Alcuni degli elementi che probabilmente diventeranno di uso comune sono:
- Elenco dei fornitori e dei terzi.
- Valutazioni dei rischi.
- Questionari di omologazione.
- Piani di mitigazione.
- Controlli periodici.
- Gestione delle politiche.
- Registro degli incidenti.
- Canale per segnalazioni e reclami.
- Documentazione e tracciabilità di tutte le operazioni.
La cosa importante non sarà solo avere queste informazioni, ma riuscire a dimostrare quando sono state raccolte, chi le ha controllate, quali decisioni sono state prese e come si è evoluto il rischio.
Un unico archivio per diverse normative
La CSDDD non va vista come un obbligo a sé stante.
Condivide molti elementi con quadri normativi come NIS2, DORA, ISO 27001, ENS, ISO 37301, l’AI Acte gli obblighi di tutela degli informatori.
Per questo motivo, ha sempre più senso creare un unico modello di conformità in cui rischi, controlli, fornitori, politiche, incidenti e prove vengano gestiti da un’unica piattaforma e poi mappati in base ai diversi requisiti normativi.
Questo approccio riduce il lavoro duplicato, migliora la tracciabilità e rende più facile rispondere sia agli audit che alle richieste dei clienti o delle autorità di regolamentazione.
L’opportunità viene prima dell’obbligo
È facile pensare che la CSDDD riguardi solo poche migliaia di grandi aziende.
Comunque, la sua portata effettiva sarà molto maggiore.
Ogni azienda soggetta all’obbligo lavora con centinaia o migliaia di fornitori. Tutti dovranno rispondere, dimostrare e documentare come gestiscono i propri rischi.
La domanda non sarà più solo se un’organizzazione sia soggetta alla direttiva.
La domanda è: sei pronta a dimostrare ai tuoi clienti che gestisci adeguatamente i rischi legati alla tua attività e alla tua catena di approvvigionamento?
E questa capacità, probabilmente, finirà per diventare un vantaggio competitivo per qualsiasi organizzazione che voglia continuare a far parte delle catene di approvvigionamento più esigenti.
