La Directiva (UE) 2024/1760 entra en vigor tras su adopción final por el Parlamento Europeo y el Consejo.
CSDDD: Corporate Sustainability Due Diligence Directive
Las empresas europeas y no europeas dentro del alcance deben identificar, prevenir y abordar los impactos sobre derechos humanos y medioambiente en sus propias operaciones y su cadena de valor, con diligencia debida documentada y supervisión regulatoria en cada Estado miembro.
Próximo plazo
26 de julio de 2029: Fecha de aplicación para las empresas dentro del alcance bajo la CSDDD revisada.
La capa de datos detrás del cumplimiento de la CSDDD se construye a lo largo de varios ciclos de compras. Los marcos de implicación de proveedores, las cláusulas contractuales y las metodologías de riesgo firmados hoy determinan lo que estará disponible cuando las obligaciones de diligencia debida comiencen a aplicar. Las empresas que ya reportan bajo la CSRD o ejecutan regulaciones nacionales de cadena de suministro están usando el período de transición para consolidar una única base de datos de proveedores para todos los regímenes relevantes.
Cronología de la regulación
Qué exige la regulación
Las empresas dentro del alcance deben identificar, evaluar y abordar los impactos adversos sobre derechos humanos y medioambiente en sus propias operaciones, sus filiales y su cadena de actividades.
El alcance revisado aplica a empresas europeas con más de 5.000 empleados y una facturación neta mundial superior a 1.500 millones de euros, y a empresas no europeas que generen más de 1.500 millones de euros en facturación en la UE.
Los business partners directos (Tier 1) son el foco principal de la diligencia debida. La evidencia de riesgo en niveles más profundos activa una investigación adicional.
Las obligaciones de diligencia debida cubren seis áreas:
- Integrar la diligencia debida en la política de la empresa y la gestión de riesgos
- Identificar y priorizar los impactos
- Prevenir y mitigar los daños potenciales
- Remediar los daños reales
- Implicar a los stakeholders
- Operar un mecanismo de reclamaciónes
Los Estados miembros designan autoridades de supervisión y fijan sanciones de hasta el 3 % de la facturación neta mundial.
Retos operativos del cumplimiento de la CSDDD
Delimitar correctamente la cadena de actividades
La CSDDD revisada centra la evaluación en profundidad en los business partners directos, con una investigación más profunda activada solo por información plausible de riesgo más arriba en la cadena. Determinar qué partners están dentro del alcance, qué puntos de activación justifican un escalado y cómo se tratan las relaciones posteriores requiere una metodología definida aplicada de forma consistente en toda la empresa.
Recopilar datos de diligencia debida sin sobrecargar a los partners más pequeños
La CSDDD revisada codifica que las solicitudes de información deben ser necesarias, específicas y proporcionadas, con requisitos reducidos para los business partners más pequeños. El marco voluntario VSME ofrece un punto de referencia sobre lo que las empresas más pequeñas pueden compartir razonablemente, pero aplicar esa calibración de forma consistente entre miles de partners requiere un sistema estructurado.
Recopilación manual de datos en sistemas fragmentados
La recopilación de datos de proveedores a través de emails, hojas de cálculo y herramientas separadas por regulación genera solicitudes duplicadas entre CSDDD, CSRD, EUDR y las leyes nacionales de cadena de suministro. El rastro documental resultante queda disperso en sistemas desconectados que las autoridades de supervisión no pueden reconciliar fácilmente.
Construir evidencia defendible de priorización y remediación
La diligencia debida basada en el riesgo exige que las empresas demuestren qué impactos priorizaron, qué acción correctora tomaron y cómo monitorizaron la eficacia. Los registros deben capturar cada decisión en el momento en que se toma, con historial de versiones, registros de aprobadores y fuentes de datos subyacentes conservadas.
El ciclo completo de diligencia debida de la CSDDD en una plataforma
El osapiens HUB for Supply Chain Compliance cubre la identificación de riesgos, la implicación de proveedores, el seguimiento de la prevención y la remediación, y la documentación lista para auditoría de cada business partner de la cadena de actividades. El mismo perfil de Business Partner 360° que alimenta la trazabilidad EUDR y las divulgaciones de cadena de valor de la CSRD pone los datos CSDDD a disposición de cada workflow conectado sin reintroducir datos.
Diligencia debida basada en el riesgo sobre un único perfil de proveedor
Los indicadores de riesgo por país, sector y materia prima identifican y priorizan los impactos adversos entre los business partners directos. Los mapas de calor, las puntuaciones de severidad y los workflows de priorización quedan registrados en cada perfil de proveedor, y el mismo perfil alimenta automáticamente la trazabilidad EUDR y las divulgaciones de cadena de valor de la CSRD.
Implicación de proveedores proporcionada y a escala
El osapiens Supplier Portal, gratuito, entrega cuestionarios en 29 idiomas, con plantillas prediseñadas para CSDDD, EUDR, CSRD y otros marcos, delimitadas por tamaño del partner, sector y regulación aplicable. Una única encuesta cubre varios marcos regulatorios simultáneamente, reduciendo las solicitudes duplicadas a cada business partner.
Documentación lista para auditoría integrada en cada workflow
Los planes de acción preventiva, las acciones correctoras, los registros de implicación de stakeholders y los casos de reclamaciones se registran con linaje completo del dato, historial de aprobadores y un rastro de timestamps en cada registro de proveedor. Los informes van directamente a las autoridades de supervisión o alimentan el osapiens HUB Reporting Cockpit para las divulgaciones CSRD.
Preguntas frecuentes
La CSDDD revisada aplica a empresas europeas con más de 5.000 empleados y una facturación neta mundial superior a 1.500 millones de euros, y a empresas no europeas que generen más de 1.500 millones de euros de facturación neta en la UE. Los umbrales de grupo se evalúan de forma individual o consolidada. Las empresas por debajo de los nuevos umbrales pueden seguir recibiendo solicitudes de datos impulsadas por la CSDDD de clientes que sí están dentro del alcance.
La CSDDD exige a las empresas dentro del alcance realizar una diligencia debida basada en el riesgo en sus propias operaciones, sus filiales y su cadena de actividades. El ciclo de diligencia debida cubre seis obligaciones principales: integrar la diligencia debida en las políticas y la gestión de riesgos, identificar y priorizar los impactos adversos, prevenir o mitigar los impactos potenciales, remediar los impactos reales, implicar a los stakeholders y operar un mecanismo de reclamaciones. Las empresas deben monitorizar la eficacia al menos cada cinco años, con revisiones ad hoc activadas por nueva información.
La evaluación en profundidad de los impactos adversos se centra en los business partners directos (Tier 1). La investigación más profunda en Tier 2 y más allá se activa cuando información plausible indica riesgo más arriba en la cadena. La directiva mantiene el concepto más amplio de 'cadena de actividades', que cubre tanto la producción anterior como determinadas relaciones posteriores, pero el foco operativo de la diligencia debida detallada está en los partners directos. Esto es un cambio estructural respecto a la CSDDD original, que asumía una investigación proactiva más profunda en toda la cadena de valor.
Los Estados miembros fijan las sanciones individualmente, que deben ser efectivas, proporcionadas y disuasorias. La directiva fija un tope máximo de sanción del 3 % de la facturación neta mundial; la CSDDD original fijaba un suelo mínimo del 5 %, lo que significaba que los Estados miembros estaban obligados a llegar al menos a esa cifra. Los Estados miembros designan autoridades de supervisión con facultades para investigar, exigir acciones correctoras y publicar información sobre el incumplimiento. El derecho nacional regula ahora la responsabilidad civil en cada Estado miembro tras la eliminación del régimen armonizado europeo bajo Omnibus I.
Varios Estados miembros ya tienen leyes nacionales de diligencia debida de la cadena de suministro, como la LkSG alemana o la Loi de Vigilance francesa. Estas suelen cubrir un conjunto más amplio de empresas con diligencia debida basada en el riesgo centrada en los proveedores directos. La CSDDD aplica a una población más pequeña de empresas mucho más grandes, pero extiende la metodología a toda la cadena de actividades y añade obligaciones de mecanismo de reclamaciones, implicación de stakeholders y remediación que van más allá de la mayoría de los marcos nacionales existentes. Las empresas dentro del alcance de ambos regímenes pueden operar un único programa de diligencia debida que cubra ambos; la capa de datos subyacente es la misma.
Ahora. Los marcos de implicación de proveedores, las cláusulas contractuales y las metodologías de riesgo establecidos en los ciclos de compras actuales determinan qué documentación estará disponible cuando las obligaciones CSDDD apliquen en 2029. Las empresas que empiecen en 2028 ejecutarán un programa comprimido entre miles de business partners sin tiempo suficiente para construir documentación defendible antes del primer ciclo de reporting. Construir la base de datos de proveedores durante el período de transición, junto a los programas existentes de CSRD, EUDR o diligencia debida nacional, produce una única estructura que cubre todos los regímenes aplicables.
Las herramientas solo-CSDDD gestionan la diligencia debida de forma aislada. El osapiens HUB for Supply Chain Compliance se integra en la suite Supplier Intelligence, donde el perfil de proveedor, la metodología de riesgo y los workflows de implicación construidos para la CSDDD alimentan directamente la trazabilidad EUDR, las divulgaciones de cadena de valor de la CSRD, el Reporting Cockpit, Carbon Management y otras soluciones conectadas. El osapiens Supplier Portal consolida las solicitudes de datos de todas las regulaciones aplicables en un único cuestionario por proveedor, eliminando el contacto duplicado.
La CSDDD, la CSRD, la EUDR y las leyes nacionales de cadena de suministro como la LkSG comparten un solapamiento significativo en los datos de proveedores que requieren. Una empresa que ya recopila datos de cadena de valor para las divulgaciones CSRD o ejecuta diligencia debida bajo la LkSG tiene una base parcial para la CSDDD. La diferencia estructural clave es que la CSDDD extiende la diligencia debida en profundidad a toda la cadena de actividades en lugar de centrarse solo en los proveedores directos, y fija requisitos más prescriptivos para la implicación de los stakeholders en el diseño de los mecanismos de reclamaciones que la mayoría de los marcos nacionales.
