협력기업의 공급망 실사 대응 5단계
규제 대상은 줄었지만 공급망 책임은 남았다.
2026년 EU의 제도 조정으로 *CSDDD(Corporate Sustainability Due Diligence Directive)의 직접 적용 범위와 시행 일정은 완화되었다. 그러나 글로벌 대기업이 공급망의 인권·환경 위험을 확인해야 한다는 기본 방향은 유지되고 있다.
국내 협력기업에게 중요한 것은 “우리 회사가 직접 의무 대상인가”만이 아니라, 고객사의 실사와 자료 요청에 어떤 방식으로 대응할 것인가이다.
기업 지속가능성 실사지침(CSDDD)은 유럽연합이 기업의 인권 및 환경 책임을 공급망 전반으로 확장하기 위해 마련한 제도다. 처음 지침이 논의될 때에는 광범위한 기업과 공급망이 영향을 받을 것이라는 전망이 컸지만, 2026년 EU 옴니버스(Omnibus I) 개정을 거치며 직접 적용 대상과 의무 범위가 상당 부분 조정되었다.
이러한 변화만 보면 국내 중견·중소기업은 당장 준비를 서두르지 않아도 된다고 생각할 수 있다. 그러나 CSDDD는 규제 대상 대기업이 자사의 사업활동뿐 아니라 자회사와 사업 파트너의 인권·환경 위험을 확인하도록 요구한다. 따라서 직접적인 법적 의무가 없는 협력기업도 고객사의 공급망 행동규범, ESG 질의서, 계약조건, 현장실사 및 시정조치 요구를 통해 간접적인 영향을 받을 수 있다.
특히 글로벌 제조업체와 거래하는 기업에게는 환경·안전·노동·윤리 관련 정책과 실적을 객관적으로 증명하는 역량이 새로운 거래 조건으로 자리 잡을 가능성이 높다. 이번 회차에서는 CSDDD를 둘러싼 정책 변화와 공급망 실사의 핵심 쟁점, 인증 관점에서의 의미, 그리고 국내 협력기업이 지금부터 준비해야 할 대응 방향을 정리해보고자 한다.
1. 정책변화: CSDDD 제도화와 2026년 규제 조정
CSDDD의 출발점은 분명하다. 기업이 자신의 사업 과정에서 발생할 수 있는 인권 및 환경의 부정적 영향을 사전에 식별하고, 예방하거나 완화하며, 실제 피해가 발생한 경우에는 이를 시정하도록 책임 있는 경영체계를 갖추게 하는 것이다. 이러한 실사의 대상은 기업 자체의 운영뿐 아니라 자회사와 사업관계가 있는 가치사슬까지 포함한다.
다만 2026년 개정된 제도에서는 적용 범위가 대폭 축소되었다. EU 기업은 5,000명 초과의 근로자를 두고 전 세계 순매출이 15억 유로를 초과하는 경우, 비EU 기업은 EU 역내 순매출이 15억 유로를 초과하는 경우를 중심으로 적용된다. EU 회원국의 국내법 전환 기한은 2028년 7월 26일이며, 기업의 실제 준수 의무는 2029년 7월부터 시작될 예정이다.
개정의 핵심은 규제의 폐지가 아니라 “위험 기반의 집중”과 “중소기업으로의 부담 전가 제한”이다. 대상 기업은 활동 사슬 전체를 동일한 깊이로 조사하기보다 실제 또는 잠재적 부정적 영향이 발생할 가능성이 높은 영역에 집중할 수 있으며, 합리적으로 이용 가능한 정보를 토대로 실사를 수행할 수 있다. 또한 공급망 내 중소기업에 과도한 정보 요구가 연쇄적으로 내려가는 이른바 트리클다운(trickle-down) 효과를 줄이려는 취지도 반영되었다.
그러나 직접 적용 범위가 좁아졌다고 해서 공급망 관리 요구까지 사라진 것은 아니다. 오히려 규제 대상 기업은 제한된 자원을 고위험 공급망에 집중하게 되고, 그 과정에서 특정 국가·원재료·공정·노동환경에 속한 협력기업에게는 더 구체적인 자료와 개선조치가 요구될 수 있다. 즉 CSDDD의 영향은 모든 협력사에 동일하게 확산되기보다, 위험도가 높은 거래관계에 선택적으로 집중될 가능성이 크다.
CSDDD 제도 변화와 공급망 파급 경로
2. 협력사는 왜 직접 규제 대상이 아니어도 영향을 받는가
국내 중견·중소기업 대부분은 CSDDD의 법률상 직접 의무 대상이 아닐 가능성이 높다. 직접 적용 대상은 매우 큰 규모의 EU 기업과 EU 시장에서 상당한 매출을 올리는 비EU 기업으로 한정되기 때문이다. 그러나 직접 의무 대상이 아니라는 사실이 공급망 실사에서 완전히 제외된다는 의미는 아니다.
규제 대상 기업은 인권 및 환경 위험을 식별하기 위해 자회사와 사업 파트너의 활동을 확인해야 한다. 이 과정에서 협력사에게 공급망 행동규범 서명, 자가진단표 제출, 환경·안전·노동 관련 자료 제공, 현장실사 수용, 개선계획 수립 등을 요청할 수 있다. 이러한 요구는 법률이 협력사에게 직접 부과하는 의무라기보다 고객사의 구매 및 위험관리 절차를 통해 전달되는 거래상 요구에 가깝다.
따라서 협력기업이 확인해야 할 첫 번째 질문은 “우리 회사가 CSDDD 적용 대상인가”가 아니라 “우리 주요 고객사가 적용 대상이거나 그에 준하는 공급망 실사체계를 운영하는가”이다. 글로벌 대기업, EU 수출기업, 자동차·전자·화학·섬유 등 복잡한 국제 공급망에 포함된 기업일수록 간접 영향이 클 수 있다.
2.1 협력사가 준비해야 할 수준
공급망 실사에서 요구되는 정보는 단순한 ESG 선언문에 그치지 않는다. 기업이 위험을 식별하고 관리하고 있다는 사실을 확인할 수 있는 정책, 절차, 실적 및 개선 기록이 필요하다. 예를 들어 환경 분야에서는 환경법규 준수, 폐기물 및 유해물질 관리, 에너지 사용과 온실가스 배출, 환경사고 대응 자료가 요구될 수 있다.
사회 분야에서는 강제노동·아동노동 금지, 차별 및 괴롭힘 방지, 근로시간과 임금, 산업안전보건 위험성평가, 산업재해 및 시정조치, 근로자 고충처리 절차 등이 주요 확인 대상이 될 수 있다. 지배구조 측면에서는 윤리규범, 부패방지, 신고제도, 법규 준수평가, 하위 협력사 관리가 포함될 수 있다.
문제는 고객사마다 사용하는 질의서와 평가기준이 다르고, 동일한 내용을 여러 형식으로 반복 제출해야 한다는 점이다. 전담인력이 부족한 중소기업은 데이터의 정의와 산정기준을 이해하기 어렵고, 평가 대응을 위해 외부 컨설팅이나 인증 비용을 부담해야 할 수도 있다. 결국 공급망 실사의 실효성을 높이기 위해서는 대기업의 일방적인 자료 요구뿐 아니라 표준화된 양식, 교육, 단계적 개선지원이 함께 제공되어야 한다.
2.2 “인증 압박”은 어떻게 이해해야 하는가
CSDDD가 ISO 14001, ISO 45001 또는 에코바디스(EcoVadis) 평가를 법적으로 의무화하는 것은 아니다. 특정 인증이나 평가 등급이 지침의 준수 요건으로 직접 규정된 것도 아니다.
다만 고객사는 협력기업의 환경·안전·인권·윤리 관리수준을 효율적으로 확인하기 위해 국제표준 인증, 공급망 평가결과, 외부 검증자료를 활용할 수 있다. ISO 인증서, 에코바디스(EcoVadis) 평가, RBA 관련 증빙 등은 법률상 의무라기보다 고객사의 리스크 관리와 거래평가에서 신뢰를 높이는 자료로 기능할 가능성이 있다.
따라서 협력기업이 느끼는 “인증 압박”은 법률이 직접 인증을 강제해서라기보다, 거래관계에서 객관적이고 비교 가능한 증빙을 요구하는 흐름이 강해지는 데서 발생한다. 이 차이를 명확히 이해해야 불필요한 인증 취득을 피하고, 자사 위험과 고객사 요구에 맞는 체계를 선택할 수 있다.
협력사가 체감하는 CSDDD의 직접·간접 영향
3. 인증은 의무가 아니라 실사 대응의 증빙체계다
공급망 실사는 협력사가 인증서를 보유했는지만 확인하는 절차가 아니다. 기업이 인권·환경·안전·준법 위험을 어떠한 절차로 식별하고, 책임자를 지정하며, 목표를 수립하고, 점검과 시정조치를 수행하는지를 확인하는 과정이다.
인증의 진정한 가치는 인증서 자체보다 경영시스템의 운영과정에서 만들어지는 객관적 증거에 있다. 법규등록부, 환경측면 및 위험성평가, 교육 기록, 내부심사, 경영검토, 사고조사, 시정조치, 목표와 성과지표는 공급망 실사 질문에 답할 수 있는 핵심 자료가 된다. 인증기관의 심사를 통해 이러한 체계가 주기적으로 점검되었다는 사실은 고객사 입장에서 자료의 신뢰성을 판단하는 데 도움이 될 수 있다.
ISO 인증과 공급망 평가의 기능은 서로 다르다. ISO 인증은 특정 경영시스템이 국제표준의 요구사항에 따라 구축되고 운영되는지를 평가한다. 반면 에코바디스(EcoVadis)와 같은 평가 플랫폼은 기업의 정책, 조치, 성과, 외부 증빙을 종합하여 등급이나 점수로 제시하며, 고객사 실사는 특정 거래와 위험에 초점을 맞춰 확인한다. 에코바디스(EcoVadis)의 경우 ISO 인증획득이 하나의 체크리스트 항목이 될 수도 있다. 어느 하나가 다른 제도를 완전히 대체하지는 않는다.
따라서 기업은 “인증을 하나 더 취득하면 모든 요구에 대응할 수 있다”는 접근을 경계해야 한다. 먼저 고객사가 중요하게 보는 위험과 자사 업종의 핵심 이슈를 파악한 다음, 기존 ISO 경영시스템에서 활용할 수 있는 자료와 새롭게 보완해야 할 자료를 구분해야 한다. 인증은 공급망 실사를 면제해주는 수단이 아니라, 기업이 위험을 체계적으로 관리하고 있다는 사실을 설명할 수 있게 만드는 운영 기반이다.
또한 인증범위와 실제 거래활동이 일치해야 한다. 고객사가 확인하려는 생산공정이나 사업장이 인증범위에서 제외되어 있거나, 인증은 보유하고 있으나 실제 기록이 최신 상태가 아니라면 실사 대응에서 충분한 신뢰를 얻기 어렵다. 결국 중요한 것은 인증서의 개수보다 인증범위의 적절성, 시스템의 실제 운영, 데이터와 기록의 일관성이다.
결론적으로 인증서는 출발점일 뿐이다. 공급망 실사에서 신뢰를 만드는 것은 정책, 절차, 데이터, 평가, 시정조치가 연결된 실제 운영기록이다.
4. 협력기업의 공급망 실사 대응 5단계
①주요 고객사의 요구사항부터 파악한다.
자사가 거래하는 주요 고객사의 공급망 행동규범, ESG 질의서, 구매계약서, 협력사 평가기준을 수집해야 한다. 요구사항을 환경·인권·안전·윤리·하위 공급망 항목으로 구분하고, 제출 주기와 책임부서를 정리하면 중복 대응을 줄일 수 있다. 고객사가 EU CSDDD의 직접 대상인지 확인하는 것도 중요하지만, 글로벌 그룹의 자체 정책이나 다른 공급망 규제 때문에 더 높은 수준의 요구를 적용할 수도 있다는 점을 함께 봐야 한다.
②업종과 공정에 맞는 공급망 위험을 식별한다.
모든 ESG 항목을 동일한 수준으로 관리하기보다 자사 업종에서 심각성과 발생 가능성이 높은 위험을 우선 파악해야 한다. 고위험 원재료, 유해화학물질, 외국인 근로자, 장시간 노동, 고소·중량물 작업, 폐기물과 수질오염, 부패위험이 높은 영업·구매 활동 등이 대표적인 검토 대상이 될 수 있다. 하위 협력사와 외주공정까지 포함하여 위험이 발생하는 지점을 지도화하는 것이 효과적이다.
③부서별 책임과 승인체계를 정비한다.
공급망 실사는 ESG 담당자 한 명이 해결할 수 있는 업무가 아니다. 구매부서는 협력사 계약과 평가, 인사부서는 노동과 인권, 환경·안전부서는 환경영향과 산업재해, 법무·준법부서는 법규와 윤리, 경영진은 주요 위험과 개선투자를 담당한다. 누가 자료를 작성하고 누가 검토·승인하는지 명확히 해야 고객사에 제출하는 정보의 일관성을 확보할 수 있다.
④데이터와 증빙자료를 표준화한다.
정책과 절차가 있어도 실제 운영을 보여주는 기록이 없으면 실사 대응이 어렵다. 교육실적, 점검표, 위험성평가, 사고와 고충처리, 법규 준수평가, 배출량·폐기물·에너지 데이터, 협력사 평가, 시정조치와 완료 확인을 동일한 기준으로 관리해야 한다. 추정값이나 미확인 자료를 사용할 때에는 산정근거와 한계, 향후 개선계획을 함께 기록해야 한다.
⑤ISO 인증, 공급망 평가, 고객사 실사를 하나의 체계로 연결한다.
기존 ISO 14001·45001·37001·37301 시스템의 문서와 기록을 EcoVadis, RBA 또는 고객사 질의서에 재활용할 수 있도록 매핑표를 만들면 대응 효율이 높아진다. 외부평가를 받기 전에는 정책과 실제 실적이 일치하는지, 인증범위가 고객사의 거래활동을 포함하는지, 이전 평가의 개선요구가 완료되었는지를 내부적으로 확인해야 한다. 평가별로 별도의 시스템을 만드는 대신 하나의 기본 관리체계에서 필요한 정보를 추출하는 방식이 바람직하다.
협력기업의 공급망 실사 대응 5단계
5. 규제 대상은 줄어도 공급망 경쟁력의 기준은 높아진다
CSDDD는 2026년 개정을 통해 직접 적용 대상과 기업의 부담을 줄이는 방향으로 조정되었다. 그러나 이 변화가 인권 및 환경 실사의 후퇴를 의미하는 것은 아니다. 대상 기업은 고위험 영역에 집중하여 공급망을 확인하게 되고, 국내 협력기업은 자신의 사업이 어떤 위험과 연결되는지에 따라 보다 구체적인 자료와 개선조치를 요구받을 수 있다.
앞으로 공급망 경쟁력은 가격, 품질, 납기만으로 결정되지 않는다. 기업이 환경·인권·안전·준법 위험을 얼마나 체계적으로 식별하고 관리하며, 그 결과를 객관적인 자료로 설명할 수 있는지가 거래의 안정성과 신규 시장 진입에 영향을 미칠 것이다. 특히 글로벌 고객사와 장기적인 거래를 원하는 중견·중소기업이라면 고객사의 요청이 시작된 뒤 급하게 자료를 만드는 방식에서 벗어나, 평소의 경영시스템에서 필요한 증빙이 자연스럽게 생산되도록 준비해야 한다.
인증은 CSDDD를 대신하는 면허도 아니고, 모든 공급망 요구를 자동으로 충족시키는 보증서도 아니다. 그러나 기업의 정책과 절차, 책임과 데이터, 점검과 개선을 하나의 구조로 운영하게 하는 유효한 기반이 될 수 있다. 중요한 것은 인증을 취득했다는 사실이 아니라, 인증을 통해 구축한 관리체계를 실제 공급망 위험의 예방과 개선에 활용하고 있는가이다.
규제의 일정이 늦춰졌다는 이유로 준비를 늦추기보다, 지금부터 주요 고객사의 요구사항과 자사의 고위험 이슈를 파악하고 관리체계를 정비해야 한다. 공급망 실사 시대에 기업의 신뢰는 화려한 선언이 아니라 설명 가능한 시스템과 축적된 기록에서 만들어진다.
*CSDDD(Corporate Sustainability Due Diligence Directive): EU의 기업 지속가능성 실사지침으로, 적용 대상 기업이 자체 운영, 자회사 및 사업관계에서 발생할 수 있는 인권·환경의 부정적 영향을 위험 기반으로 식별하고 예방·완화·시정하도록 요구하는 제도이다.
참고자료
• European Commission, Corporate Sustainability Due Diligence Directive (CSDDD), EU Due Diligence Navigator for Partner Countries, 2026.
• Council of the European Union, Council signs off simplification of sustainability reporting and due diligence requirements to boost EU competitiveness, 24 February 2026.
▲ 안상현 ESG지속가능연구소
인증분과위원회 전문위원
(shahn@germancert.com)
본 콘텐츠의 지적재산권은 필진에게 있으며, ESG지속가능연구소는 콘텐츠 유통권한을 갖습니다.
안상현 ESG지속가능연구소 수석전문위원
(shahn@germancert.com)
규제 대상은 줄었지만 공급망 책임은 남았다.
2026년 EU의 제도 조정으로 *CSDDD(Corporate Sustainability Due Diligence Directive)의 직접 적용 범위와 시행 일정은 완화되었다. 그러나 글로벌 대기업이 공급망의 인권·환경 위험을 확인해야 한다는 기본 방향은 유지되고 있다.
국내 협력기업에게 중요한 것은 “우리 회사가 직접 의무 대상인가”만이 아니라, 고객사의 실사와 자료 요청에 어떤 방식으로 대응할 것인가이다.
기업 지속가능성 실사지침(CSDDD)은 유럽연합이 기업의 인권 및 환경 책임을 공급망 전반으로 확장하기 위해 마련한 제도다. 처음 지침이 논의될 때에는 광범위한 기업과 공급망이 영향을 받을 것이라는 전망이 컸지만, 2026년 EU 옴니버스(Omnibus I) 개정을 거치며 직접 적용 대상과 의무 범위가 상당 부분 조정되었다.
이러한 변화만 보면 국내 중견·중소기업은 당장 준비를 서두르지 않아도 된다고 생각할 수 있다. 그러나 CSDDD는 규제 대상 대기업이 자사의 사업활동뿐 아니라 자회사와 사업 파트너의 인권·환경 위험을 확인하도록 요구한다. 따라서 직접적인 법적 의무가 없는 협력기업도 고객사의 공급망 행동규범, ESG 질의서, 계약조건, 현장실사 및 시정조치 요구를 통해 간접적인 영향을 받을 수 있다.
특히 글로벌 제조업체와 거래하는 기업에게는 환경·안전·노동·윤리 관련 정책과 실적을 객관적으로 증명하는 역량이 새로운 거래 조건으로 자리 잡을 가능성이 높다. 이번 회차에서는 CSDDD를 둘러싼 정책 변화와 공급망 실사의 핵심 쟁점, 인증 관점에서의 의미, 그리고 국내 협력기업이 지금부터 준비해야 할 대응 방향을 정리해보고자 한다.
1. 정책변화: CSDDD 제도화와 2026년 규제 조정
CSDDD의 출발점은 분명하다. 기업이 자신의 사업 과정에서 발생할 수 있는 인권 및 환경의 부정적 영향을 사전에 식별하고, 예방하거나 완화하며, 실제 피해가 발생한 경우에는 이를 시정하도록 책임 있는 경영체계를 갖추게 하는 것이다. 이러한 실사의 대상은 기업 자체의 운영뿐 아니라 자회사와 사업관계가 있는 가치사슬까지 포함한다.
다만 2026년 개정된 제도에서는 적용 범위가 대폭 축소되었다. EU 기업은 5,000명 초과의 근로자를 두고 전 세계 순매출이 15억 유로를 초과하는 경우, 비EU 기업은 EU 역내 순매출이 15억 유로를 초과하는 경우를 중심으로 적용된다. EU 회원국의 국내법 전환 기한은 2028년 7월 26일이며, 기업의 실제 준수 의무는 2029년 7월부터 시작될 예정이다.
개정의 핵심은 규제의 폐지가 아니라 “위험 기반의 집중”과 “중소기업으로의 부담 전가 제한”이다. 대상 기업은 활동 사슬 전체를 동일한 깊이로 조사하기보다 실제 또는 잠재적 부정적 영향이 발생할 가능성이 높은 영역에 집중할 수 있으며, 합리적으로 이용 가능한 정보를 토대로 실사를 수행할 수 있다. 또한 공급망 내 중소기업에 과도한 정보 요구가 연쇄적으로 내려가는 이른바 트리클다운(trickle-down) 효과를 줄이려는 취지도 반영되었다.
그러나 직접 적용 범위가 좁아졌다고 해서 공급망 관리 요구까지 사라진 것은 아니다. 오히려 규제 대상 기업은 제한된 자원을 고위험 공급망에 집중하게 되고, 그 과정에서 특정 국가·원재료·공정·노동환경에 속한 협력기업에게는 더 구체적인 자료와 개선조치가 요구될 수 있다. 즉 CSDDD의 영향은 모든 협력사에 동일하게 확산되기보다, 위험도가 높은 거래관계에 선택적으로 집중될 가능성이 크다.
CSDDD 제도 변화와 공급망 파급 경로
2. 협력사는 왜 직접 규제 대상이 아니어도 영향을 받는가
국내 중견·중소기업 대부분은 CSDDD의 법률상 직접 의무 대상이 아닐 가능성이 높다. 직접 적용 대상은 매우 큰 규모의 EU 기업과 EU 시장에서 상당한 매출을 올리는 비EU 기업으로 한정되기 때문이다. 그러나 직접 의무 대상이 아니라는 사실이 공급망 실사에서 완전히 제외된다는 의미는 아니다.
규제 대상 기업은 인권 및 환경 위험을 식별하기 위해 자회사와 사업 파트너의 활동을 확인해야 한다. 이 과정에서 협력사에게 공급망 행동규범 서명, 자가진단표 제출, 환경·안전·노동 관련 자료 제공, 현장실사 수용, 개선계획 수립 등을 요청할 수 있다. 이러한 요구는 법률이 협력사에게 직접 부과하는 의무라기보다 고객사의 구매 및 위험관리 절차를 통해 전달되는 거래상 요구에 가깝다.
따라서 협력기업이 확인해야 할 첫 번째 질문은 “우리 회사가 CSDDD 적용 대상인가”가 아니라 “우리 주요 고객사가 적용 대상이거나 그에 준하는 공급망 실사체계를 운영하는가”이다. 글로벌 대기업, EU 수출기업, 자동차·전자·화학·섬유 등 복잡한 국제 공급망에 포함된 기업일수록 간접 영향이 클 수 있다.
2.1 협력사가 준비해야 할 수준
공급망 실사에서 요구되는 정보는 단순한 ESG 선언문에 그치지 않는다. 기업이 위험을 식별하고 관리하고 있다는 사실을 확인할 수 있는 정책, 절차, 실적 및 개선 기록이 필요하다. 예를 들어 환경 분야에서는 환경법규 준수, 폐기물 및 유해물질 관리, 에너지 사용과 온실가스 배출, 환경사고 대응 자료가 요구될 수 있다.
사회 분야에서는 강제노동·아동노동 금지, 차별 및 괴롭힘 방지, 근로시간과 임금, 산업안전보건 위험성평가, 산업재해 및 시정조치, 근로자 고충처리 절차 등이 주요 확인 대상이 될 수 있다. 지배구조 측면에서는 윤리규범, 부패방지, 신고제도, 법규 준수평가, 하위 협력사 관리가 포함될 수 있다.
문제는 고객사마다 사용하는 질의서와 평가기준이 다르고, 동일한 내용을 여러 형식으로 반복 제출해야 한다는 점이다. 전담인력이 부족한 중소기업은 데이터의 정의와 산정기준을 이해하기 어렵고, 평가 대응을 위해 외부 컨설팅이나 인증 비용을 부담해야 할 수도 있다. 결국 공급망 실사의 실효성을 높이기 위해서는 대기업의 일방적인 자료 요구뿐 아니라 표준화된 양식, 교육, 단계적 개선지원이 함께 제공되어야 한다.
2.2 “인증 압박”은 어떻게 이해해야 하는가
CSDDD가 ISO 14001, ISO 45001 또는 에코바디스(EcoVadis) 평가를 법적으로 의무화하는 것은 아니다. 특정 인증이나 평가 등급이 지침의 준수 요건으로 직접 규정된 것도 아니다.
다만 고객사는 협력기업의 환경·안전·인권·윤리 관리수준을 효율적으로 확인하기 위해 국제표준 인증, 공급망 평가결과, 외부 검증자료를 활용할 수 있다. ISO 인증서, 에코바디스(EcoVadis) 평가, RBA 관련 증빙 등은 법률상 의무라기보다 고객사의 리스크 관리와 거래평가에서 신뢰를 높이는 자료로 기능할 가능성이 있다.
따라서 협력기업이 느끼는 “인증 압박”은 법률이 직접 인증을 강제해서라기보다, 거래관계에서 객관적이고 비교 가능한 증빙을 요구하는 흐름이 강해지는 데서 발생한다. 이 차이를 명확히 이해해야 불필요한 인증 취득을 피하고, 자사 위험과 고객사 요구에 맞는 체계를 선택할 수 있다.
협력사가 체감하는 CSDDD의 직접·간접 영향
3. 인증은 의무가 아니라 실사 대응의 증빙체계다
공급망 실사는 협력사가 인증서를 보유했는지만 확인하는 절차가 아니다. 기업이 인권·환경·안전·준법 위험을 어떠한 절차로 식별하고, 책임자를 지정하며, 목표를 수립하고, 점검과 시정조치를 수행하는지를 확인하는 과정이다.
인증의 진정한 가치는 인증서 자체보다 경영시스템의 운영과정에서 만들어지는 객관적 증거에 있다. 법규등록부, 환경측면 및 위험성평가, 교육 기록, 내부심사, 경영검토, 사고조사, 시정조치, 목표와 성과지표는 공급망 실사 질문에 답할 수 있는 핵심 자료가 된다. 인증기관의 심사를 통해 이러한 체계가 주기적으로 점검되었다는 사실은 고객사 입장에서 자료의 신뢰성을 판단하는 데 도움이 될 수 있다.
ISO 인증과 공급망 평가의 기능은 서로 다르다. ISO 인증은 특정 경영시스템이 국제표준의 요구사항에 따라 구축되고 운영되는지를 평가한다. 반면 에코바디스(EcoVadis)와 같은 평가 플랫폼은 기업의 정책, 조치, 성과, 외부 증빙을 종합하여 등급이나 점수로 제시하며, 고객사 실사는 특정 거래와 위험에 초점을 맞춰 확인한다. 에코바디스(EcoVadis)의 경우 ISO 인증획득이 하나의 체크리스트 항목이 될 수도 있다. 어느 하나가 다른 제도를 완전히 대체하지는 않는다.
따라서 기업은 “인증을 하나 더 취득하면 모든 요구에 대응할 수 있다”는 접근을 경계해야 한다. 먼저 고객사가 중요하게 보는 위험과 자사 업종의 핵심 이슈를 파악한 다음, 기존 ISO 경영시스템에서 활용할 수 있는 자료와 새롭게 보완해야 할 자료를 구분해야 한다. 인증은 공급망 실사를 면제해주는 수단이 아니라, 기업이 위험을 체계적으로 관리하고 있다는 사실을 설명할 수 있게 만드는 운영 기반이다.
또한 인증범위와 실제 거래활동이 일치해야 한다. 고객사가 확인하려는 생산공정이나 사업장이 인증범위에서 제외되어 있거나, 인증은 보유하고 있으나 실제 기록이 최신 상태가 아니라면 실사 대응에서 충분한 신뢰를 얻기 어렵다. 결국 중요한 것은 인증서의 개수보다 인증범위의 적절성, 시스템의 실제 운영, 데이터와 기록의 일관성이다.
결론적으로 인증서는 출발점일 뿐이다. 공급망 실사에서 신뢰를 만드는 것은 정책, 절차, 데이터, 평가, 시정조치가 연결된 실제 운영기록이다.
4. 협력기업의 공급망 실사 대응 5단계
①주요 고객사의 요구사항부터 파악한다.
자사가 거래하는 주요 고객사의 공급망 행동규범, ESG 질의서, 구매계약서, 협력사 평가기준을 수집해야 한다. 요구사항을 환경·인권·안전·윤리·하위 공급망 항목으로 구분하고, 제출 주기와 책임부서를 정리하면 중복 대응을 줄일 수 있다. 고객사가 EU CSDDD의 직접 대상인지 확인하는 것도 중요하지만, 글로벌 그룹의 자체 정책이나 다른 공급망 규제 때문에 더 높은 수준의 요구를 적용할 수도 있다는 점을 함께 봐야 한다.
②업종과 공정에 맞는 공급망 위험을 식별한다.
모든 ESG 항목을 동일한 수준으로 관리하기보다 자사 업종에서 심각성과 발생 가능성이 높은 위험을 우선 파악해야 한다. 고위험 원재료, 유해화학물질, 외국인 근로자, 장시간 노동, 고소·중량물 작업, 폐기물과 수질오염, 부패위험이 높은 영업·구매 활동 등이 대표적인 검토 대상이 될 수 있다. 하위 협력사와 외주공정까지 포함하여 위험이 발생하는 지점을 지도화하는 것이 효과적이다.
③부서별 책임과 승인체계를 정비한다.
공급망 실사는 ESG 담당자 한 명이 해결할 수 있는 업무가 아니다. 구매부서는 협력사 계약과 평가, 인사부서는 노동과 인권, 환경·안전부서는 환경영향과 산업재해, 법무·준법부서는 법규와 윤리, 경영진은 주요 위험과 개선투자를 담당한다. 누가 자료를 작성하고 누가 검토·승인하는지 명확히 해야 고객사에 제출하는 정보의 일관성을 확보할 수 있다.
④데이터와 증빙자료를 표준화한다.
정책과 절차가 있어도 실제 운영을 보여주는 기록이 없으면 실사 대응이 어렵다. 교육실적, 점검표, 위험성평가, 사고와 고충처리, 법규 준수평가, 배출량·폐기물·에너지 데이터, 협력사 평가, 시정조치와 완료 확인을 동일한 기준으로 관리해야 한다. 추정값이나 미확인 자료를 사용할 때에는 산정근거와 한계, 향후 개선계획을 함께 기록해야 한다.
⑤ISO 인증, 공급망 평가, 고객사 실사를 하나의 체계로 연결한다.
기존 ISO 14001·45001·37001·37301 시스템의 문서와 기록을 EcoVadis, RBA 또는 고객사 질의서에 재활용할 수 있도록 매핑표를 만들면 대응 효율이 높아진다. 외부평가를 받기 전에는 정책과 실제 실적이 일치하는지, 인증범위가 고객사의 거래활동을 포함하는지, 이전 평가의 개선요구가 완료되었는지를 내부적으로 확인해야 한다. 평가별로 별도의 시스템을 만드는 대신 하나의 기본 관리체계에서 필요한 정보를 추출하는 방식이 바람직하다.
협력기업의 공급망 실사 대응 5단계
5. 규제 대상은 줄어도 공급망 경쟁력의 기준은 높아진다
CSDDD는 2026년 개정을 통해 직접 적용 대상과 기업의 부담을 줄이는 방향으로 조정되었다. 그러나 이 변화가 인권 및 환경 실사의 후퇴를 의미하는 것은 아니다. 대상 기업은 고위험 영역에 집중하여 공급망을 확인하게 되고, 국내 협력기업은 자신의 사업이 어떤 위험과 연결되는지에 따라 보다 구체적인 자료와 개선조치를 요구받을 수 있다.
앞으로 공급망 경쟁력은 가격, 품질, 납기만으로 결정되지 않는다. 기업이 환경·인권·안전·준법 위험을 얼마나 체계적으로 식별하고 관리하며, 그 결과를 객관적인 자료로 설명할 수 있는지가 거래의 안정성과 신규 시장 진입에 영향을 미칠 것이다. 특히 글로벌 고객사와 장기적인 거래를 원하는 중견·중소기업이라면 고객사의 요청이 시작된 뒤 급하게 자료를 만드는 방식에서 벗어나, 평소의 경영시스템에서 필요한 증빙이 자연스럽게 생산되도록 준비해야 한다.
인증은 CSDDD를 대신하는 면허도 아니고, 모든 공급망 요구를 자동으로 충족시키는 보증서도 아니다. 그러나 기업의 정책과 절차, 책임과 데이터, 점검과 개선을 하나의 구조로 운영하게 하는 유효한 기반이 될 수 있다. 중요한 것은 인증을 취득했다는 사실이 아니라, 인증을 통해 구축한 관리체계를 실제 공급망 위험의 예방과 개선에 활용하고 있는가이다.
규제의 일정이 늦춰졌다는 이유로 준비를 늦추기보다, 지금부터 주요 고객사의 요구사항과 자사의 고위험 이슈를 파악하고 관리체계를 정비해야 한다. 공급망 실사 시대에 기업의 신뢰는 화려한 선언이 아니라 설명 가능한 시스템과 축적된 기록에서 만들어진다.
*CSDDD(Corporate Sustainability Due Diligence Directive): EU의 기업 지속가능성 실사지침으로, 적용 대상 기업이 자체 운영, 자회사 및 사업관계에서 발생할 수 있는 인권·환경의 부정적 영향을 위험 기반으로 식별하고 예방·완화·시정하도록 요구하는 제도이다.
참고자료
• European Commission, Corporate Sustainability Due Diligence Directive (CSDDD), EU Due Diligence Navigator for Partner Countries, 2026.
• Council of the European Union, Council signs off simplification of sustainability reporting and due diligence requirements to boost EU competitiveness, 24 February 2026.
▲ 안상현 ESG지속가능연구소
인증분과위원회 전문위원
(shahn@germancert.com)
본 콘텐츠의 지적재산권은 필진에게 있으며, ESG지속가능연구소는 콘텐츠 유통권한을 갖습니다.
안상현 ESG지속가능연구소 수석전문위원
(shahn@germancert.com)