Ao longo dos anos, as organizações têm avaliado os seus fornecedores principalmente de uma perspetiva económica: preço, qualidade, prazos de entrega ou capacidade técnica.
A Diretiva sobre a Due Diligence em matéria de Sustentabilidade Empresarial (CSDDD) muda significativamente esta abordagem. A partir da sua aplicação, as grandes empresas europeias terão de demonstrar que identificam, previnem, mitigam e supervisionam os riscos relacionados com os direitos humanos e o ambiente ao longo da sua cadeia de valor.
A devida diligência deixa de ser uma boa prática para se tornar um processo contínuo e documentado.
O que é a CSDDD?
A CSDDD (Corporate Sustainability Due Diligence Directive), também conhecida como CS3D, é uma diretiva europeia cujo objetivo é que as empresas integrem a gestão dos riscos de sustentabilidade nas suas atividades diárias.
Não se trata apenas de publicar um relatório de sustentabilidade, mas sim de demonstrar que existe um sistema capaz de identificar riscos, agir quando estes surgem e guardar registos de todas as medidas tomadas.
Entre as principais obrigações estão:
- Ter uma política de diligência devida.
- Identificar e avaliar os riscos nas operações e na cadeia de valor.
- Tomar medidas para prevenir ou atenuar os impactos negativos.
- Tomar medidas corretivas sempre que forem detetadas falhas.
- Ter mecanismos para receber reclamações e denúncias.
- Verifica de vez em quando se o sistema está a funcionar bem.
- Divulgar publicamente as medidas tomadas.
Resumindo, a CSDDD exige a implementação de um modelo de gestão contínuo, e não uma revisão pontual.
A que empresas se aplica?
Na sequência das alterações introduzidas pelo pacote Omnibus, a diretiva vai aplicar-se, numa primeira fase, às grandes empresas.
Estarão sujeitas as empresas da União Europeia que excedam simultaneamente:
- 5 000 funcionários.
- 1,5 mil milhões de euros de volume de negócios a nível mundial.
Também vão estar incluídas certas empresas de fora da UE que gerem mais de 1 500 milhões de euros de faturação anual no mercado europeu.
Os Estados-Membros têm de transpor a diretiva para a legislação nacional até julho de 2028 e as obrigações começam a aplicar-se a partir de julho de 2029.
A grande questão: e as empresas que não são obrigadas?
É aqui que provavelmente se vai sentir o maior impacto.
Embora milhares de empresas não se enquadrem diretamente no âmbito de aplicação da diretiva, muitas delas farão parte da cadeia de abastecimento de organizações que estarão sujeitas a essa obrigação.
Uma grande empresa tem de demonstrar que conhece os riscos dos seus fornecedores. Para isso, vai precisar de pedir informações, avaliar as provas e fazer um acompanhamento regular.
Isso significa que muitas PME vão receber pedidos como:
- Têm algum canal para apresentar denúncias?
- Como é que vocês avaliam os vossos próprios fornecedores?
- Que políticas de direitos humanos têm em vigor?
- Como é que vocês gerem os riscos ambientais?
- Que controlos é que aplicam?
- Como é que vocês dão formação aos vossos funcionários?
- Que provas é que podem apresentar?
Por outras palavras, mesmo que uma empresa não esteja legalmente obrigada a cumprir a CSDDD, é possível que os teus clientes te exijam que demonstre um determinado nível de maturidade para continuares a fazer parte da tua cadeia de abastecimento.
A devida diligência requer um sistema, não documentos isolados
Responder manualmente a cada questionário pode ser viável uma vez.
Atender a dezenas de clientes diferentes, cada um com requisitos distintos, é outra história.
As organizações vão precisar de centralizar a informação relacionada com a conformidade para evitar duplicações e manter a documentação sempre atualizada.
Alguns dos elementos que, previsivelmente, vão tornar-se habituais são:
- Lista de fornecedores e terceiros.
- Avaliações de risco.
- Questionários de homologação.
- Planos de mitigação.
- Inspeções periódicas.
- Gestão de políticas.
- Registo de incidentes.
- Canal para denúncias e reclamações.
- Registo e rastreabilidade de todas as ações.
O importante não vai ser só ter essa informação, mas sim conseguir demonstrar quando foi obtida, quem a analisou, que decisões foram tomadas e como o risco evoluiu.
Um único repositório para várias normas
A CSDDD não deve ser entendida como uma obrigação isolada.
Partilha vários elementos com quadros regulamentares como a NIS2, a DORA, a ISO 27001, a ENS, a ISO 37301, a Lei da IAe as obrigações relativas à proteção dos denunciantes.
Por isso, faz cada vez mais sentido criar um modelo único de conformidade, em que os riscos, os controlos, os fornecedores, as políticas, os incidentes e as evidências sejam geridos a partir de uma única plataforma e, posteriormente, sejam cruzados com os diferentes requisitos regulamentares.
Esta abordagem reduz o trabalho duplicado, melhora a rastreabilidade e facilita a resposta tanto a auditorias como a pedidos de clientes ou de entidades reguladoras.
A oportunidade começa antes da obrigação
É fácil pensar que a CSDDD só afeta algumas milhares de grandes empresas.
No entanto, o seu verdadeiro alcance vai ser muito maior.
Cada empresa sujeita a esta obrigação trabalha com centenas ou milhares de fornecedores. Todos eles vão ter de responder, demonstrar e documentar como gerem os seus riscos.
A questão já não vai ser só se uma organização está sujeita à diretiva.
A questão é se estás preparada para mostrar aos teus clientes que geres adequadamente os riscos da tua atividade e da tua cadeia de abastecimento.
E essa capacidade, provavelmente, acabará por se tornar uma vantagem competitiva para qualquer organização que queira continuar a fazer parte das cadeias de abastecimento mais exigentes.
