공급망 실사 뜻과 실행 절차 - 법적 의무·고객사 요구·증거 구분법

공급망 실사는 기업의 사업과 공급망에서 사람과 환경에 생길 수 있는 부정적 영향을 식별하고, 심각도와 발생 가능성에 따라 우선순위를 정해 예방·완화하며, 결과를 추적·소통하고 필요한 구제를 제공하는 지속적인 관리 과정입니다. 모든 공급자를 한 번씩 감사하거나 모든 사업장을 현장 방문하는 절차가 아닙니다.

우리 회사의 대응 수준은 세 가지를 먼저 구분해야 정할 수 있습니다. 법률이 회사에 직접 적용되는지, 직접 적용 대상인 고객사가 계약이나 조달 조건으로 자료를 요구하는지, 법적·계약상 의무와 별개로 자체 위험관리가 필요한지입니다.

OECD 책임 있는 기업행동 실사 지침은 실사를 정책 내재화, 영향 식별·평가, 부정적 영향의 중단·예방·완화, 결과 추적, 소통, 구제의 6단계로 설명합니다. UN 기업과 인권 이행원칙도 인권 실사를 실제·잠재 영향을 평가하고 조치한 뒤 그 효과를 추적하고 외부에 설명하는 지속 과정으로 봅니다.

현장 방문과 제3자 검증은 중요한 도구일 수 있지만 그 자체가 실사를 완성하지는 않습니다. 반대로 거래처가 많다는 이유만으로 모두 방문할 필요도 없습니다. 먼저 합리적으로 이용할 수 있는 정보로 위험 영역을 좁히고, 위험이 크다고 판단된 곳을 심층 평가하는 방식이 OECD·UN 원칙과 현행 CSDDD의 공통 방향입니다.

고객사 질문서에 답해야 한다는 사실만으로 우리 회사가 CSDDD 전환법상 의무 대상이 되는 것은 아닙니다. 반대로 CSDDD 전환법상 의무 대상이 아니어도 고객사의 공급자 선정, 계약 갱신, 입찰 또는 시정계획 조건 때문에 실무상 영향을 받을 수 있습니다.

CSDDD는 2024년 원문 이후 Directive (EU) 2025/794로 일정이 미뤄졌고, Directive (EU) 2026/470으로 적용 범위와 실사 규정이 개정됐습니다. 따라서 과거 제안이나 2024년 원문에 나온 숫자를 현재 기준으로 사용하면 안 됩니다.

CSDDD는 EU 규정이 아니라 지침이므로 기업 의무는 회원국 전환법을 통해 적용됩니다. 아래 수치는 2026년 현재 모든 기업에 곧바로 적용되는 기준이 아니라, Article 2가 정한 전환법의 적용 범위 기준입니다.

2026년 3월 18일자 CSDDD 공식 통합본에서 일반 적용 경로는 다음과 같습니다.

• EU 회원국 법에 따라 설립된 회사: 대상 법적 형태에 해당하고, 연차재무제표가 채택됐거나 채택됐어야 하는 마지막 회계연도에 평균 직원이 5,000명을 초과하면서 전 세계 순매출이 15억 유로를 초과하는지 확인합니다.
• EU 그룹의 최종 모회사: 회사 단독이 기준에 못 미쳐도 연결 그룹이 같은 직원·매출 기준을 충족하면 별도 검토가 필요합니다.
• 제3국 법에 따라 설립된 회사: 마지막 회계연도 직전 회계연도에 EU 내 순매출이 15억 유로를 초과하는지 확인합니다. 이 경로에는 EU 설립 회사와 같은 직원 수 기준이 붙지 않습니다. 비교 가능한 법적 형태와 연결 그룹 기준도 함께 봅니다.
• 프랜차이즈·라이선스 사업: 독립 제3자와 EU에서 체결한 계약이 공통 정체성·사업개념·통일된 사업방식을 보장한다는 전제에서, EU 기업·그룹은 마지막 회계연도 해당 로열티가 7,500만 유로를 초과하면서 전 세계 순매출이 2억 7,500만 유로를 초과하는지 확인합니다. 제3국 기업·그룹은 마지막 회계연도 직전 회계연도에 EU 내 해당 로열티가 7,500만 유로를 초과하면서 EU 순매출이 2억 7,500만 유로를 초과하는지 확인합니다(Article 2(1)(c)·2(2)(c)).
• 지속 기간: 적용 조건은 2개 연속 회계연도에 충족해야 합니다. 제외 판단도 최근 2개 관련 회계연도를 확인합니다.

회원국은 지침에 맞는 국내법을 2028년 7월 26일까지 마련하고, 원칙적으로 2029년 7월 26일부터 적용해야 합니다. Article 16의 공시 조치는 2030년 1월 1일 이후 시작하는 회계연도부터 적용됩니다. 따라서 과거 입법안의 매출 기준이나 특정 기업 유형을 현재의 직접 의무 기준으로 옮겨 적으면 안 됩니다.

연 1회 웹사이트에 인권·환경 요약만 올리면 된다고 단정해서도 안 됩니다. CSDDD Article 16은 적용 대상, 중복 공시 예외, 공시 시점과 향후 위임법의 내용 기준을 함께 둡니다. 실제 공시 범위는 회사가 적용받는 회원국 법과 당시 확정된 기준으로 다시 확인해야 합니다.

CSDDD 적용 전에도 국가법이 이미 적용될 수 있습니다. 예를 들어 독일 공급망 실사법 공식 조문은 법적 형태와 무관하게 독일에 본사·주된 사업장·행정상 또는 정관상 소재지가 있거나 독일 지점이 있는 일정 규모 기업을 대상으로 합니다. 2024년부터 조문상 일반 직원 기준은 독일 내 1,000명이며, 연결기업의 독일 내 직원 합산 규정도 있습니다.

다만 독일은 법 개정 절차가 진행 중입니다. 독일 연방의회 안내에 따르면 2026년 7월 14일 현재 정부 개정안 21/2474는 1차 독회 뒤 위원회 심사로 회부된 단계입니다. BAFA는 정부 지침에 따라 기업보고서 심사를 중단했고 제출 포털도 닫았지만, 이는 현행 LkSG의 실사 의무 전체가 폐지됐다는 뜻이 아닙니다. 독일 법 적용 기업과 거래한다면 현행 조문, 최신 입법 상태, 계약 요구를 각각 확인해야 합니다.

CSDDD Article 8(2a)는 전환법 적용 후 고위험 영역의 심층 평가를 수행할 때 사업 파트너에게 필요한 정보만 요청하도록 하고, 직원 5,000명 미만 파트너에게는 그 정보를 다른 합리적 수단으로 얻을 수 없는 경우에만 요청하도록 규정합니다. 이는 일반적인 중소기업 분류가 아니라 직원 5,000명 미만이라는 별도 기준이며, 모든 고객 계약의 자료요청 범위나 공급자의 답변 의무를 자동으로 정하는 조항은 아닙니다. 공급자는 고객사 요청을 받으면 다음 항목을 구분해 기록하는 편이 안전합니다.

• 요청의 법적·계약상 근거와 적용 제품·사업장·공급 단계
• 필요한 데이터 필드, 기준 기간, 제출기한과 갱신 주기
• 영업비밀·개인정보·노동자 안전을 위한 비밀유지와 접근 권한
• 자체진술, 인증서, 원시 기록, 현장 검증 중 실제로 필요한 증거 수준
• 문제 발견 시 시정계획, 기한, 재검증과 구제 절차
• 감사권과 재감사 조건, 비용 부담, 하도급 공급자 범위
• 신규·연장 자제 또는 거래관계 정지가 최후 수단 요건을 충족하는지와 정지 자체가 피해를 키우는지에 대한 검토 절차

최소한 공급자 법인명, 계약 상대방, 생산·서비스 국가와 사업장, 공급 단계, 품목·원재료·서비스, 지출액, 구매 의존도, 하도급 여부, 과거 사고·고충, 보유 인증과 증거의 기준일을 연결합니다. 제조업이라면 품목 또는 BOM과 생산시설을, 서비스업이라면 실제 수행 지역과 재위탁 구조를 함께 봅니다.

지출액은 노출과 협상력을 보여주는 참고값이지 인권·환경 위험의 심각도를 대신하지 않습니다. 소액 거래라도 강제노동, 아동노동, 중대한 산업안전 또는 회복하기 어려운 환경 피해 가능성이 크면 우선순위가 높을 수 있습니다.

1. 영향의 심각도를 규모, 범위, 회복 가능성으로 검토합니다.
2. 국가·지역, 산업, 품목, 사업 방식과 과거 사건을 바탕으로 발생 가능성을 봅니다.
3. 심각도와 발생 가능성이 큰 영역을 먼저 심층 평가합니다.
4. 지출액, 거래 의존도, 계약상 영향력은 조치 방법과 실행 순서를 설계할 때 별도로 사용합니다.
5. 왜 특정 위험을 먼저 다뤘는지 승인자, 근거 자료와 다음 재평가 시점을 남깁니다.

거래처 수나 회사 인원만으로 감사 범위를 정하면 고위험 소규모 공급자를 놓칠 수 있습니다. 설문·인증서만으로 결론 내리지 말고, 신뢰할 수 있는 외부 정보, 노동자·지역사회 의견, 원시 기록과 표본 검증을 위험에 맞게 조합해야 합니다.

계약에는 적용 기준, 필요한 데이터와 보관기간, 중대한 사건의 통지, 하도급 관리, 비밀유지, 위험 기반 감사 조건, 시정계획과 구제, 미이행 시 단계별 조치를 명확히 적습니다. 단가·납기 압박처럼 구매자의 관행이 위험을 키우는지도 함께 고쳐야 합니다.

시정계획은 문제 발견으로 끝나지 않아야 합니다. 원인, 영향받은 사람·환경, 책임자, 조치, 예산, 완료일, 중간 지표, 검증 방법, 구제 방안과 미완료 시 에스컬레이션을 포함합니다. 현행 CSDDD Article 10(6)·11(7)은 앞선 조치로 영향을 해결하지 못한 경우 최후수단으로 신규 관계 체결·기존 관계 연장을 자제하고, 준거법이 허용하면 관련 활동의 거래관계를 정지하며, 성공 가능성이 합리적인 강화계획을 실행하도록 합니다. 정지 전에는 정지로 생길 영향이 기존 영향보다 명백히 더 심각할 것으로 합리적으로 예상되는지 평가해야 하며, 이를 영구 거래종료 의무로 확대해 쓰면 안 됩니다.

CBAM 대응을 한다고 공급망 실사를 모두 이행한 것이 아니며, 공급망 실사를 한다고 EUDR의 지리좌표나 CBAM의 배출량 데이터가 자동으로 만들어지는 것도 아닙니다. 먼저 적용 제도를 품목·거래·법인 단위로 나눈 뒤 공통 공급자 식별정보만 연결해야 합니다.

1. 적용성 메모: 법인·그룹 구조, 소재지와 법적 형태, 직원·매출 기준, EU 활동, 적용 법률·계약, 시행일과 확인일
2. 공급자 지도: 공급자·사업장·품목·국가·산업·공급 단계·지출·하도급 관계
3. 위험등록부: 실제·잠재 영향, 심각도·발생 가능성 근거, 우선순위, 승인자와 재평가일
4. 조치·시정계획: 예방·완화·중단·구제 조치, 책임자, 예산, 기한, 지표와 검증 결과
5. 고충·구제 기록: 접근 가능한 접수 경로, 비밀유지·보복 방지, 조사, 조치와 피해 회복 확인
6. 증거 색인: 계약, 설문, 원시 기록, 감사·인증, 회의록, 현장 자료의 기준일·보관 위치·접근 권한

CSDDD Article 5(4)를 옮긴 회원국 전환법이 적용되면 범위 기업은 실사 조치와 증거 문서를 원칙적으로 생성·취득 시점부터 최소 5년 보관해야 합니다. 5년이 끝날 때 관련 사법·행정 절차가 진행 중이면 사건이 종결될 때까지 보관기간이 연장됩니다. 전환법상 적용 대상이 아닌 공급자는 적용 법률과 계약에 맞춰 보관기간을 정하되, 제출한 답변과 그 근거가 같은 기준일을 가리키도록 관리해야 합니다.

공급망 실사의 핵심은 모든 공급자를 감사했다는 숫자가 아닙니다. 어떤 위험을 어떤 근거로 우선했고, 누가 언제 무엇을 바꿨으며, 그 조치가 실제 피해를 줄였는지와 필요한 구제가 이뤄졌는지를 증명하는 것이 핵심입니다.

• CSDDD 2026년 3월 18일 공식 통합본
• Directive (EU) 2025/794 - 적용 일정 유예
• Directive (EU) 2026/470 - CSDDD·CSRD 개정
• OECD Due Diligence Guidance for Responsible Business Conduct
• UN Guiding Principles on Business and Human Rights
• 독일 공급망 실사법 현행 조문

마지막 확인일: 2026년 7월 14일