CSDDD: nedir ve Avrupa direktifi neleri gerektirir?

CSDDD, kurumsal sürdürülebilirlik özen yükümlülüğüne ilişkin Avrupa direktifidir. Amacı, çevresel ve sosyal etkilerin yönetimini en büyük şirketlerin karar alma süreçlerine entegre etmektir.

Özen yükümlülüğü, bir şirketin kendi faaliyetleri, iştirakleri ve faaliyet zinciri kapsamındaki iş ilişkileri ile bağlantılı mevcut ve potansiyel olumsuz etkileri değerlendirdiği sürekli bir süreçtir. Bu değerlendirmeyi, belirlenen risklerin ciddiyeti ve olasılığı ile orantılı önlemler takip etmelidir.

Direktif, çalışan hakları, sağlık ve güvenlik, zorla çalıştırma, çocuk işçiliği, kirlilik, biyoçeşitlilik ve doğal kaynakların kullanımı ile ilgili etkileri kapsamaktadır. Değerlendirmenin spesifik kapsamı, şirketin faaliyetlerine, tedarik pazarlarına ve tedarik zinciri yapısına bağlıdır.

CSDDD'nin ne gerektirdiğini anlamak için, bunu verilere, sorumluluklara ve kontrollere dayalı bir yönetim sistemi olarak görmek faydalıdır. Şirketler önemli riskleri nasıl belirlediklerini, hangi bilgileri kullandıklarını, öncelikleri nasıl belirlediklerini ve hangi önlemleri uyguladıklarını gösterebilmelidir. Sadece bir kurumsal politikaya veya tedarikçi davranış kurallarına sahip olmak, tek başına özen yükümlülüğünün etkili bir şekilde uygulandığını kanıtlamaz.

Omnibus paketi tarafından getirilen değişikliklerin ardından şirketler, makul ölçüde mevcut bilgilere dayanarak, analizlerini olumsuz etkilerin en olası ve en şiddetli kabul edildiği alanlara odaklayabilirler. Bu yaklaşım, kaynakların ve kontrollerin daha yüksek risk profiline sahip tedarikçilere, tesislere, coğrafi bölgelere veya ürün kategorilerine yönlendirilmesine yardımcı olur.

CSDDD, Kurumsal Sürdürülebilirlik Raporlama Direktifi'nden (CSRD) farklıdır. CSRD temel olarak sürdürülebilirlik bilgilerinin açıklanmasını düzenlerken, CSDDD bir şirketin belirli etkileri belirlemesi ve ele alması gereken süreci düzenler.

Sürdürülebilirlik raporlaması için toplanan bilgiler özen yükümlülüğünü destekleyebilir, ancak bu iki gereklilik farklı amaçlara hizmet eder. Raporlama verileri, politikaları ve sonuçları tanımlar; CSDDD ise şirketlerin kendi faaliyet zincirlerindeki riskleri yönetmek için aldıkları kararları ve eylemleri de belgelemesini gerektirir.

CSDDD: yürürlüğe giriş, iç hukuka aktarım ve temel tarihler

Orijinal CSDDD, Avrupa Birliği Resmi Gazetesi'nde yayımlanmasından yirmi gün sonra, 25 Temmuz 2024 tarihinde yürürlüğe girmiştir. Bu tarih, Direktifin resmi olarak yürürlüğe girdiğini göstermekte olup, şirketler için operasyonel yükümlülüklerin derhal uygulanmasını tetiklememiştir.

CSDDD resmi metni, orijinal mevzuata ve sonraki değişikliklere erişim sağlar.

Avrupa Birliği, 2025 yılında (AB) 2025/794 sayılı Direktif ile son tarihlerin ilk ertelemesini onaylamıştır. Şubat 2026'da, hem CSDDD hem de CSRD'de önemli değişiklikler yapan (AB) 2026/470 sayılı Direktif kabul edilmiştir. Revize edilen özen yükümlülüğü hükümleri 18 Mart 2026 tarihinde yürürlüğe girmiştir ve şu anda geçerli Avrupa çerçevesini temsil etmektedir.

AB Üye Devletleri, ulusal iç hukuka aktarım önlemlerini 26 Temmuz 2028 tarihine kadar kabul etmeli ve yayımlamalıdır. Bu ulusal hükümler 26 Temmuz 2029 tarihinden itibaren uygulanmalı, Madde 16 kapsamındaki raporlama gereklilikleri ise 1 Ocak 2030 tarihinde veya sonrasında başlayan mali yıllar için geçerli olacaktır.

Avrupa Komisyonu, revize edilen kapsam, son tarihler ve Omnibus I aracılığıyla getirilen değişikliklere genel bir bakış sunmaktadır.

Her Üye Devlet, yetkili denetim makamları, uygulama prosedürleri ve yaptırım çerçevesi dahil olmak üzere Direktifi uygulamak için gereken ulusal kuralları tanımlamalıdır. Bu nedenle, temel özen yükümlülüğü gereklilikleri ortak Avrupa çerçevesine dayanmaya devam edecek olsa da bazı uygulama detayları ülkeden ülkeye değişiklik gösterebilir.

Birden fazla AB ülkesinde faaliyet gösteren şirketler, ilgili her ülkedeki iç hukuka aktarım sürecini izlemelidir. Denetim yapılarındaki, prosedürlerdeki ve uygulama pratiklerindeki farklılıklar, sorumlulukların nasıl atanacağını ve uyumluluğun grup düzeyinde nasıl belgeleneceğini etkileyebilir.

2029 öncesindeki dönem, veri kullanılabilirliğini değerlendirmek, tedarikçi kalifikasyon prosedürlerini güncellemek ve ilgili birimlere net sorumluluklar atamak için kullanılabilir. Karmaşık tedarik zincirlerine sahip gruplar için, tüm ulusal önlemlerin tamamlanmasını beklemek; iştirakler, iş birimleri ve ülkeler genelinde belgelenmiş ve tutarlı bir sistem kurmak için sınırlı zaman bırakabilir.

Temmuz 2027'ye kadar, Avrupa Komisyonu'nun Direktifin uygulanmasını destekleyen kılavuz ilkelerin önemli bir bölümünü de yayımlaması beklenmektedir. Ek kılavuzların ise Temmuz 2028'e kadar yayımlanması öngörülmektedir. Bu belgeler, sözleşme hükümlerinin kullanımı, risk önceliklendirmesi ve faaliyet zincirindeki şirketlerin sürece dahil edilmesi dahil olmak üzere operasyonel yönleri netleştirebilir.

CSDDD hangi şirketler için geçerlidir?

2026 değişikliklerinin ardından, CSDDD doğrudan daha dar bir büyük şirketler grubuna uygulanmaktadır.

Avrupa Birliği'nde kurulu şirketler için kapsam, şu niteliklere sahip işletmeleri içerir:

• ortalama 5.000'den fazla çalışan;

• dünya çapında 1,5 milyar Euro'yu aşan net ciro.

Her iki şartın da karşılanması gerekmektedir. Omnibus I ile getirilen eşikler, Direktifin orijinal versiyonunda yer alanlardan önemli ölçüde yüksektir.

Avrupa Birliği Konseyi, revize edilen eşikler ve idari yükleri azaltmayı amaçlayan önlemler de dahil olmak üzere CSDDD kapsamındaki değişiklikleri özetlemiştir.

CSDDD, AB içinde elde ettikleri net ciro ilgili eşiği aştığında, Avrupa Birliği dışında kurulu şirketler için de geçerli olabilir. Bu durumlarda mevzuat, şirketin Avrupa pazarında yeterli ekonomik ağırlığa sahip olup olmadığını belirlemek için Birlik genelinde elde edilen ciroya bakar.

Şirket grupları için kapsam değerlendirmesi, ana şirketleri ve konsolide rakamları düzenleyen kuralları dikkate almalıdır. Bu nedenle, tek bir faaliyet gösteren şirketin çalışan sayısını veya cirosunu tek başına değerlendirmek yeterli değildir. Analiz; hukuk, finans ve sürdürülebilirlik ekiplerinin katkılarıyla grup düzeyinde yapılmalıdır.

Küçük ve orta büyüklükteki işletmeler genellikle Direktifin doğrudan kapsamı dışında kalmaktadır. Ancak, yine de CSDDD'ye tabi şirketlerin tedarikçileri veya iş ortakları olarak sürece dahil olabilirler. Bu işletmelere çalışma koşulları, çevre yönetimi, hammadde kaynakları, kontrol prosedürleri veya düzeltici faaliyetlerle ilgili talepler gelebilir.

Dolayısıyla, "CSDDD kimler için geçerlidir?" sorusunu yanıtlamak iki kontrol gerektirir: şirketin doğrudan geçerli eşikleri aşıp aşmadığı ve Direktif kapsamına giren müşterilerin tedarik zincirinde faaliyet gösterip göstermediği.

2026 değişiklikleri, gerekliliklerin ayrım gözetmeksizin daha küçük şirketlere aktarılmasını sınırlandırmayı amaçlamaktadır. Bu durum, tedarik zinciri bilgi taleplerini ortadan kaldırmaz, ancak CSDDD'ye tabi şirketlerin, iş ilişkisinin niteliği veya potansiyel etkiler tarafından haklı gösterilmeyen kapsamlı veri toplamalardan kaçınarak orantılı ve risk tabanlı bir yaklaşım uygulamasını gerektirir.

Bu nedenle tedarikçiler, müşterilerinin kaç tanesinin kapsam dahilinde olduğunu, bu müşterilerin halihazırda hangi bilgileri talep ettiğini ve gelirlerinin ne kadarının büyük Avrupalı gruplarla olan ticari ilişkilere bağlı olduğunu değerlendirmelidir.

Bazı sektörlerde, CSDDD gereklilikleri hammadde izlenebilirliğine ilişkin daha spesifik kurallarla örtüşebilir. Bunun bir örneği, kapsamına giren şirketlerin belirli emtia ve ürünlerin menşei hakkında ayrıntılı bilgi toplamasını gerektiren AB Ormansızlaşma Yönetmeliği (EUDR)'dir.

CSDDD şirketler için hangi yükümlülükleri getirmektedir?

İlk gereklilik, özen yükümlülüğünü kurumsal politikalara ve yönetim sistemlerine entegre etmektir. Şirketlerin sorumlulukları, değerlendirme kriterlerini, bilgi kaynaklarını ve inceleme prosedürlerini tanımlaması gerekir. Süreç; satın alma, hukuk, sürdürülebilirlik, risk yönetimi ve iç kontrol ekiplerini içermeli ve grup genelinde tutarlı bir koordinasyon sağlanmalıdır.

Şirket daha sonra kendi faaliyetlerini, iştiraklerinin faaliyetlerini ve faaliyet zincirindeki ilgili alanları haritalandırmalıdır. Amaç, en ciddi veya en olası etkilerin nerede meydana gelebileceğini belirlemektir. Etkili bir haritalama çalışması; iç verileri, tedarikçi bilgilerini, sektör riskini, coğrafi konumu, ürün özelliklerini ve geçmiş sorunların kayıtlarını bir araya getirir.

Omnibus I değişiklikleri kapsamında süreç, ana risk alanlarının genel bir değerlendirmesiyle başlayabilir. Daha ayrıntılı incelemeler daha sonra en büyük endişeleri sunan bölümlere odaklanmalıdır. Örneğin, bir üretim şirketi için analiz; hammadde tedarikçileri, profesyonel hizmet sağlayıcıları ve lojistik faaliyetleri genelinde farklı risk seviyeleri ortaya koyabilir.

Potansiyel bir olumsuz etki belirlendiğinde, şirket bunu önlemek veya hafifletmek için önlemler almalıdır. Etki halihazırda meydana gelmişse, şirket bunu sona erdirmek, kapsamını en aza indirmek ve gerektiğinde telafisine katkıda bulunmak için harekete geçmelidir. Eylemler arasında satın alma süreçlerinde değişiklikler, tedarikçilerle üzerinde anlaşılan düzeltici faaliyet planları, eğitimler, ek kontroller veya revize edilmiş sözleşme şartları yer alabilir.

Bir iş ilişkisini sonlandırmak otomatik olarak en uygun çözüm değildir. Bazı durumlarda bu, etkilenen insanlar üzerindeki etkiyi daha da kötüleştirebilir veya sorunu daha az izlenen operatörlere aktarabilir. Bu nedenle karar verilirken, etkinin ciddiyeti, şirketin iş ortağı üzerindeki nüfuz kabiliyeti ve bir iyileştirme planı aracılığıyla elde edilebilecek sonuçlar dikkate alınmalıdır.

Sistem ayrıca bildirim ve şikayet prosedürlerini de içermelidir. Bu kanallar, özellikle uzun tedarik zincirlerinde veya yüksek riskli bölgelerde yer alan faaliyetlerde, belge incelemeleriyle ortaya çıkmayabilecek bilgileri sağlayabilir.

Uygulanan önlemler daha sonra izlenmelidir. Şirketler, eylemlerin beklenen sonucu verip vermediğini, risk seviyesinin değişip değişmediğini ve daha fazla müdahale gerekip gerekmediğini değerlendirmelidir.

Özen yükümlülüğü aracılığıyle toplanan bilgiler, tedarikçinin genel ESG performansının değerlendirilmesine de katkıda bulunabilir. ESG derecelendirmeleri, doğrulanabilir verilere, şeffaf kriterlere ve güncel bilgilere dayanması kaydıyla risk sınıflandırmasını destekleyebilir.

CSDDD ve tedarik zinciri özen yükümlülüğüne nasıl hazırlanılır?

İlk adım, şirketin mevzuat karşısındaki konumunu belirlemektir. Şirket, geçerli eşikleri hesaplamalı, sürece dahil olan grup şirketlerini belirlemeli ve Direktife tabi müşterilerle olan ilişkileri aracılığıyla dolaylı maruziyeti değerlendirmelidir.

Bir sonraki adım, halihazırda yürürlükte olan sistemlerin gözden geçirilmesidir. Birçok şirket halihazırda tedarikçi kalifikasyon prosedürlerini, ESG anketlerini, davranış kurallarını, denetimleri, bildirim kanallarını ve sertifikalı yönetim sistemlerini kullanmaktadır. İlk değerlendirme, hangi araçların kullanılabilir bilgi ürettiğini, hangi alanların kapsam dışı kaldığını ve verilerin nerede doğrulanmasının zor olduğunu belirlemelidir.

ESG sertifikaları ve yönetim sistemleri yararlı kanıtlar sağlayabilir, ancak bunlar belirli risk, kapsanan alan ve sertifikanın geçerliliği ile ilişkili olarak değerlendirilmelidir. Bir sertifika, bağımsız olarak doğrulanmış bilgileri talep etme ihtiyacını azaltabilse de tedarik zinciri analizinin yerini almaz.

Tedarik zinciri haritalaması, her bir tedarikçiyi belirli risk faktörleriyle ilişkilendirmeyi mümkün kılmalıdır. Bunlar arasında faaliyette bulunulan ülke, sektör, satın alma değeri, tedarik edilen bileşenin önemi, tedarik zincirindeki konumu ve önceki değerlendirmelerin sonuçları yer alabilir. Bu segmentasyon, şirketlerin çok farklı risk profillerine sahip tedarikçilere aynı düzeyde kontrol uygulamasını önler.

Seçilen göstergeler doğrulanabilir ve bir kararla bağlantılı olmalıdır. Örneğin, değerlendirilen tedarikçi sayısı, yüksek riskli tedarikçilerin yüzdesi, düzeltici faaliyetleri kapatmak için gereken süre ve satın alma harcamalarının değerlendirmelerle kapsanan oranı ile birlikte değerlendirilmedikçe sınırlı bilgi sağlar.

Destekleyici kanıtların kalitesi de önceden tanımlanmalıdır. Bir öz beyan, sertifika, bağımsız denetim ve bir kamu otoritesi tarafından düzenlenen belge farklı güvence seviyeleri sağlar. Kanıtlar arasında bir hiyerarşi oluşturmak, şirketlerin tutarlı puanlar vermesine ve en önemli durumlarda ek kontroller talep etmesine yardımcı olur.

Süreç aynı zamanda güncellenebilir olmalıdır. Tedarikçiler, ülkeler, satın alma hacimleri ve çalışma koşulları zamanla değişir. Statik bir sistem hızla güncelliğini yitirebilir. Bu nedenle şirketler, inceleme sıklıklarını, yeniden değerlendirmeyi tetikleyen olayları ve düzeltici önlemleri onaylama sorumluluğunu tanımlamalıdır.

CSDDD'ye hazırlık durumu, sınırlı sayıda somut sonuçla ölçülebilir: haritalandırılan satın alma harcaması yüzdesi, risk düzeyine göre sınıflandırılan tedarikçiler, toplanan kanıtların ortalama kalitesi, açık düzeltici faaliyetler ve çözüm süreleri. Bu veriler, yönetimin özen yükümlülüğünün etkili bir şekilde işleyip işlemediğini değerlendirmesine ve alınan kararları belgelemesine olanak tanır.

Çok sayıda üçüncü tarafı yöneten şirketler için tedarikçi değerlendirme yazılımı; veri toplamayı, risk sınıflandırmasını ve düzeltici faaliyetlerin izlenmesini destekleyebilir. Merkezi bir platform, her bir tedarikçiyle veri ve kanıtları ilişkilendirmeyi, değerlendirmeleri zaman içinde güncellemeyi ve tedarik zincirinin etkin kapsamını ölçmeyi mümkün kılar.