CSDDD: cos’è e cosa stabilisce la direttiva europea

La CSDDD è la direttiva europea relativa al dovere di diligenza delle imprese ai fini della sostenibilità. Il suo obiettivo è integrare la gestione degli impatti ambientali e sociali nei processi decisionali delle aziende di maggiori dimensioni.

Il dovere di diligenza consiste in un processo continuativo attraverso cui l’impresa analizza gli impatti negativi effettivi e potenziali collegati alle proprie attività, alle società controllate e ai rapporti commerciali compresi nella catena di attività. L’analisi deve essere seguita da azioni proporzionate alla gravità e alla probabilità dei rischi individuati.

La direttiva riguarda, per esempio, gli impatti sui diritti dei lavoratori, sulla salute e sicurezza, sul lavoro forzato, sul lavoro minorile, sull’inquinamento, sulla biodiversità e sull’uso delle risorse naturali. Il perimetro concreto dipende dalle attività svolte, dai mercati di approvvigionamento e dalla struttura della filiera.

Per comprendere cosa stabilisce la CSDDD, è utile considerarla come un sistema di gestione basato su dati, responsabilità e controlli. L’azienda deve dimostrare come identifica i rischi rilevanti, quali informazioni utilizza, come decide le priorità e quali misure adotta. La presenza di una politica aziendale o di un codice di condotta, da sola, non documenta l’effettiva applicazione del dovere di diligenza.

Dopo le modifiche introdotte dal pacchetto Omnibus, le imprese possono concentrare l’analisi sulle aree in cui gli impatti negativi risultano più probabili e più gravi, sulla base delle informazioni ragionevolmente disponibili. Questo approccio permette di indirizzare risorse e verifiche verso fornitori, stabilimenti, aree geografiche o categorie merceologiche con un livello di rischio maggiore.

La CSDDD si distingue dalla Corporate Sustainability Reporting Directive, o CSRD. La CSRD disciplina principalmente la rendicontazione delle informazioni di sostenibilità, mentre la CSDDD regola il processo attraverso cui l’impresa deve individuare e affrontare determinati impatti.

Le informazioni raccolte per il bilancio di sostenibilità possono supportare il dovere di diligenza, ma i due obblighi rispondono a finalità differenti. La rendicontazione descrive dati, politiche e risultati; la CSDDD richiede anche di documentare le decisioni e gli interventi adottati per gestire i rischi nella catena di attività.

CSDDD: entrata in vigore e recepimento in Italia

La direttiva CSDDD originaria è entrata in vigore il 25 luglio 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell’Unione europea. Questa data indica l’entrata in vigore dell’atto europeo, ma non coincide con l’inizio degli obblighi operativi per le imprese.

Il testo ufficiale della direttiva CSDDD consente di consultare l’atto originario e le successive modifiche normative.

Nel 2025 l’Unione europea ha approvato un primo rinvio delle scadenze attraverso la direttiva UE 2025/794. Nel febbraio 2026 è stata poi adottata la direttiva UE 2026/470, che ha modificato in modo sostanziale sia la CSDDD sia la CSRD. Le nuove disposizioni sul dovere di diligenza sono entrate in vigore il 18 marzo 2026 e costituiscono il riferimento normativo aggiornato.

Gli Stati membri devono adottare e pubblicare le norme nazionali di recepimento entro il 26 luglio 2028. Le disposizioni dovranno essere applicate a partire dal 26 luglio 2029. Le misure relative alla comunicazione prevista dall’articolo 16 troveranno invece applicazione per gli esercizi finanziari che iniziano il 1° gennaio 2030 o successivamente.

La Commissione europea riepiloga le scadenze aggiornate, il nuovo perimetro di applicazione e le modifiche introdotte dall’Omnibus I.

Per quanto riguarda il recepimento della CSDDD in Italia, sarà necessario attendere un provvedimento nazionale che definisca, tra gli altri aspetti, le autorità competenti, le procedure di controllo e il sistema sanzionatorio. Fino all’approvazione di tale provvedimento, le imprese possono lavorare sul modello organizzativo richiesto dalla direttiva, evitando di basare le proprie decisioni su dettagli applicativi non ancora definitivi.

Il periodo precedente al 2029 può essere utilizzato per verificare la disponibilità dei dati, aggiornare le procedure di qualifica dei fornitori e assegnare responsabilità chiare alle funzioni coinvolte. Per i gruppi con filiere articolate, attendere il completamento del recepimento nazionale potrebbe lasciare poco tempo per costruire un sistema documentabile e applicabile su più società o paesi.

Entro luglio 2027 la Commissione europea dovrà inoltre pubblicare una parte rilevante degli orientamenti destinati a supportare l’applicazione della direttiva. Ulteriori indicazioni sono previste entro luglio 2028. Questi documenti potranno chiarire alcuni aspetti operativi, compreso l’utilizzo di clausole contrattuali e il coinvolgimento dei soggetti presenti nella catena di attività.

A quali aziende si applica la CSDDD

A seguito delle modifiche del 2026, la CSDDD si applica direttamente a un numero più ristretto di grandi imprese.

Per le società costituite nell’Unione europea, il perimetro comprende le aziende con:

• oltre 5.000 dipendenti in media;

• ricavi netti mondiali superiori a 1,5 miliardi di euro.

Entrambi i requisiti devono essere soddisfatti. Le soglie introdotte dall’Omnibus I sono significativamente superiori rispetto a quelle previste dalla versione originaria della direttiva.

Il Consiglio dell’Unione europea ha riepilogato le modifiche al perimetro della CSDDD, comprese le nuove soglie dimensionali e le misure destinate a ridurre gli oneri amministrativi.

La CSDDD può applicarsi anche alle imprese costituite al di fuori dell’Unione europea quando generano ricavi netti superiori alla soglia prevista nel mercato europeo. In questi casi, la normativa utilizza il fatturato prodotto nell’Unione come criterio per determinare la rilevanza economica dell’impresa nel mercato europeo.

Per i gruppi societari, l’analisi del perimetro deve considerare le regole previste per le società madri e il consolidamento dei dati. Non è quindi sufficiente verificare isolatamente il numero di dipendenti o il fatturato della singola società operativa. La valutazione dovrebbe essere condotta a livello di gruppo, con il supporto delle funzioni legale, finanziaria e di sostenibilità.

Le piccole e medie imprese non rientrano generalmente nell’ambito di applicazione diretto. Possono però essere coinvolte in qualità di fornitori o partner commerciali di imprese soggette alla direttiva. In questi casi potrebbero ricevere richieste relative alle condizioni di lavoro, alla gestione ambientale, all’origine dei materiali, alla presenza di procedure di controllo o alle azioni correttive adottate.

La risposta alla domanda “CSDDD: a chi si applica?” richiede quindi una doppia verifica: l’impresa deve valutare se supera direttamente le soglie previste e se opera all’interno della filiera di clienti soggetti alla direttiva.

Le modifiche del 2026 mirano a limitare la trasmissione indiscriminata degli obblighi verso le aziende più piccole. Questo non elimina le richieste lungo la filiera, ma richiede alle imprese soggette alla CSDDD di adottare un approccio proporzionato e basato sul rischio, evitando raccolte di informazioni estese quando non sono giustificate dalla natura del rapporto o dagli impatti potenziali.

Per un fornitore, è utile verificare quanti clienti rientrano nel perimetro, quali informazioni richiedono già oggi e quanto i ricavi aziendali dipendono da rapporti commerciali con grandi gruppi europei.

In alcuni settori, gli obblighi previsti dalla CSDDD possono sovrapporsi a requisiti più specifici sulla tracciabilità delle materie prime. È il caso, per esempio, del Regolamento europeo sulla deforestazione EUDR, che richiede alle imprese interessate di raccogliere informazioni puntuali sull’origine di determinati prodotti e materie prime.

Quali obblighi introduce la CSDDD per le aziende

Il primo adempimento consiste nell’integrare il dovere di diligenza nelle politiche e nei sistemi di gestione aziendale. Occorre definire responsabilità, criteri di analisi, fonti informative e modalità di aggiornamento. Il processo dovrebbe coinvolgere almeno le funzioni acquisti, legale, sostenibilità, gestione dei rischi e controllo interno, con un coordinamento coerente a livello di gruppo.

L’impresa deve quindi mappare le proprie attività, quelle delle società controllate e le aree rilevanti della catena di attività. L’obiettivo è individuare dove possono verificarsi gli impatti più gravi o probabili. Una mappatura efficace combina dati interni, informazioni sui fornitori, settore di attività, localizzazione geografica, caratteristiche dei prodotti e precedenti criticità.

In base alle modifiche dell’Omnibus I, l’analisi può partire da una valutazione generale delle aree di rischio. Gli approfondimenti devono concentrarsi sui segmenti che presentano maggiori elementi di criticità. Per un’azienda manifatturiera, per esempio, l’analisi potrebbe evidenziare rischi differenti tra fornitori di materie prime, servizi professionali e attività logistiche.

Quando viene individuato un impatto potenziale, l’azienda deve adottare misure per prevenirlo o ridurlo. Se l’impatto si è già verificato, deve attivarsi per arrestarlo, limitarne gli effetti e, quando previsto, contribuire alla riparazione. Le azioni possono comprendere modifiche ai processi di acquisto, piani correttivi concordati con i fornitori, formazione, controlli aggiuntivi o revisione delle condizioni contrattuali.

L’interruzione del rapporto commerciale non rappresenta automaticamente la soluzione più adeguata. In alcuni casi potrebbe aggravare gli impatti sulle persone coinvolte o spostare il problema verso operatori meno controllati. La decisione deve quindi considerare la gravità dell’impatto, la capacità dell’impresa di influenzare il partner e i risultati ottenibili attraverso un piano di miglioramento.

Il sistema deve comprendere anche procedure per le segnalazioni e i reclami. Questi canali permettono di raccogliere informazioni che potrebbero non emergere dalle verifiche documentali, soprattutto nelle filiere lunghe o localizzate in aree ad alto rischio.

Le misure adottate devono infine essere monitorate. L’azienda deve verificare se le azioni hanno prodotto il risultato previsto, se il livello di rischio è cambiato e se sono necessari ulteriori interventi.

Le informazioni raccolte attraverso il dovere di diligenza possono contribuire anche alla valutazione complessiva delle prestazioni ESG dei fornitori. I rating ESG possono supportare la classificazione dei rischi, purché siano basati su dati verificabili, criteri trasparenti e informazioni aggiornate.

Come prepararsi alla CSDDD e al dovere di diligenza nella filiera

Il primo passo consiste nel verificare il proprio posizionamento rispetto alla normativa. L’azienda dovrebbe calcolare le soglie applicabili, identificare le società del gruppo coinvolte e valutare l’esposizione indiretta derivante dai rapporti con clienti soggetti alla direttiva.

Successivamente è utile analizzare i sistemi già presenti. Molte imprese dispongono di procedure di qualifica dei fornitori, questionari ESG, codici di condotta, verifiche, canali di segnalazione e sistemi di gestione certificati. Il lavoro iniziale dovrebbe stabilire quali strumenti producono informazioni utilizzabili, quali aree non sono coperte e dove i dati risultano difficili da verificare.

Le certificazioni ESG e i sistemi di gestione possono offrire evidenze utili, ma devono essere valutati in relazione al rischio specifico, all’ambito coperto e alla data di validità. Una certificazione non sostituisce l’analisi della filiera, ma può ridurre la necessità di richiedere nuovamente informazioni già verificate.

La mappatura della filiera deve permettere di associare ogni fornitore a elementi concreti di rischio. Tra questi possono rientrare il paese di attività, il settore, il valore degli acquisti, la rilevanza del componente, il livello della catena di fornitura e gli esiti delle precedenti valutazioni. Una segmentazione di questo tipo evita di applicare lo stesso livello di controllo a soggetti con profili molto diversi.

Gli indicatori scelti devono essere verificabili e collegati a una decisione. Il numero di fornitori valutati, per esempio, ha un’utilità limitata se non viene accompagnato dalla percentuale di fornitori ad alto rischio, dai tempi di chiusura dei piani correttivi e dalla quota di acquisti coperta dalle verifiche.

Anche la qualità delle evidenze deve essere definita in anticipo. Un’autodichiarazione, una certificazione, una verifica indipendente e un documento emesso da un’autorità pubblica offrono livelli differenti di affidabilità. Stabilire una gerarchia delle fonti consente di attribuire punteggi coerenti e di richiedere controlli aggiuntivi nei casi più rilevanti.

Infine, il processo deve essere aggiornabile. Fornitori, paesi, volumi di acquisto e condizioni operative cambiano nel tempo. Un sistema statico rischia di rappresentare una fotografia rapidamente superata. Occorre quindi stabilire frequenze di revisione, eventi che attivano una nuova valutazione e responsabilità per l’approvazione delle misure correttive.

La preparazione alla CSDDD può essere misurata attraverso pochi risultati concreti: percentuale della spesa mappata, fornitori classificati per livello di rischio, qualità media delle evidenze raccolte, azioni correttive aperte e tempi di risoluzione. Questi dati permettono al management di verificare l’effettivo funzionamento del dovere di diligenza e di documentare le decisioni adottate.

Per le aziende con un numero elevato di soggetti da monitorare, un software per la valutazione dei fornitori può facilitare la raccolta delle informazioni, la classificazione dei rischi e il controllo delle azioni correttive. Una piattaforma centralizzata permette di associare dati ed evidenze a ciascun fornitore, aggiornare le valutazioni nel tempo e misurare la copertura effettiva della filiera.