CSDDD y CSRD: cómo la Directiva de Diligencia Debida afecta al informe de sostenibilidad

La CSDDD (Corporate Sustainability Due Diligence Directive) y la CSRD coexisten en el mismo ecosistema regulatorio europeo, pero tienen propósitos, alcances y obligaciones distintos que frecuentemente se confunden en los equipos de cumplimiento. La CSRD obliga a informar sobre sostenibilidad; la CSDDD obliga a actuar sobre los impactos adversos en derechos humanos y medio ambiente dentro de la cadena de valor. Entender cómo se relacionan —y dónde los procesos se solapan o se alimentan mutuamente— marca la diferencia entre duplicar trabajo y construir un sistema de gestión que responde a las dos directivas con un solo aparato documental.

#CSDDD y CSRD: dos directivas, dos obligaciones distintas

La CSRD es una directiva de transparencia: obliga a las empresas a recopilar, verificar y publicar información estandarizada de sostenibilidad siguiendo los ESRS (European Sustainability Reporting Standards). El resultado es un informe integrado en el informe de gestión, auditado y etiquetado en formato digital iXBRL.

La CSDDD, en cambio, es una directiva de conducta: no pide que la empresa cuente lo que hace, sino que actúe de una manera concreta. La obligación central es identificar, prevenir, mitigar y abordar los impactos adversos reales y potenciales sobre derechos humanos y medio ambiente que la empresa genera en sus propias operaciones, en sus filiales y a lo largo de su cadena de valor.

#El filtro conceptual más útil

Si tu equipo tiene dudas sobre si una obligación pertenece a la CSRD o a la CSDDD, aplica este filtro: ¿la obligación termina con publicar una información en el informe de sostenibilidad, o exige diseñar e implementar un proceso operativo que cambie cómo la empresa se relaciona con proveedores y socios comerciales? El primer caso es CSRD; el segundo es CSDDD.

La diferencia tiene consecuencias prácticas importantes. Bajo la CSRD, si no puedes obtener datos de un proveedor de la cadena de valor, puedes documentar el esfuerzo razonable realizado y declararlo como estimación. Bajo la CSDDD, si ese proveedor opera en un sector o geografía de alto riesgo, la empresa debe escalar la exigencia o reconsiderar la relación comercial.

#A quién obliga la CSDDD

La CSDDD se dirige a las grandes empresas europeas y, en determinadas condiciones, a las de terceros países con actividad relevante en el mercado único. Para las empresas de la UE, el umbral de aplicación en la versión publicada es más de 1.000 empleados y más de 450 millones de euros de facturación neta consolidada.

Las empresas de terceros países también quedan sujetas si generan más de 450 millones de euros de facturación neta dentro de la Unión Europea. Esto incluye a grupos con sede fuera de Europa pero con operaciones comerciales significativas en el mercado único.

#El impacto en pymes proveedoras no obligadas

Una empresa que no supera los umbrales de la CSDDD no está directamente obligada por la directiva, pero puede recibir sus exigencias de forma indirecta: cuando un cliente o proveedor sujeto a la CSDDD le solicita información sobre prácticas laborales o impactos ambientales para cumplir con su propio proceso de diligencia. En la práctica, las pymes proveedoras de grandes grupos europeos sentirán la CSDDD a través de cuestionarios, cláusulas contractuales y auditorías de proveedor.

El marco VSME de EFRAG, diseñado para pymes voluntarias, proporciona una estructura para responder a esas peticiones sin asumir la carga del Set 1 ESRS completo.

Nota sobre modificaciones pendientes: La propuesta de paquete Omnibus presentada por la Comisión Europea incluye modificaciones al alcance y al calendario de la CSDDD. Antes de planificar la implementación, conviene verificar el estado de tramitación de esas modificaciones, ya que los umbrales y plazos definitivos pueden diferir de los de la directiva original.

#Los seis pasos del proceso de diligencia debida

La CSDDD estructura la obligación de actuar en seis pasos que la empresa debe integrar en sus políticas y procedimientos operativos:

1. 1

   Integrar la diligencia debida en las políticas corporativas

   La empresa debe disponer de una política de diligencia debida que describa el proceso, asigne responsabilidades internas y establezca el código de conducta aplicable a proveedores y socios comerciales. Sin este documento base, los pasos siguientes carecen de anclaje formal.

2. 2

   Identificar y valorar los impactos adversos reales y potenciales

   El mapeo abarca las propias operaciones, las filiales y, en función del nivel de influencia, los socios comerciales directos e indirectos. Incluye impactos sobre derechos humanos —trabajo forzoso, seguridad laboral, libertad sindical— y sobre el medio ambiente —contaminación, pérdida de biodiversidad, emisiones de GEI.

3. 3

   Prevenir y mitigar impactos potenciales

   Para los impactos que aún no se han materializado, la directiva exige implementar medidas preventivas: incluir cláusulas contractuales, exigir verificación independiente a proveedores de alto riesgo o desarrollar planes de acción específicos con hitos verificables.

4. 4

   Abordar los impactos reales ya producidos

   Cuando el impacto ya se ha materializado, la empresa debe minimizarlo, restituir el daño en la medida de lo posible y, si no puede actuar directamente, usar su poder de influencia sobre el socio comercial responsable. Esto puede incluir suspender temporalmente la relación comercial mientras se corrige el problema.

5. 5

   Establecer y mantener un mecanismo de reclamación

   La CSDDD exige que las partes afectadas —trabajadores, comunidades, sindicatos, sus representantes— puedan presentar quejas relacionadas con los impactos adversos, y que la empresa las gestione con un proceso documentado y con respuesta garantizada.

6. 6

   Comunicar sobre la diligencia debida

   La empresa debe publicar información sobre su proceso. Este paso es donde la CSDDD y la CSRD se encuentran de forma más visible: los datapoints de cadena de valor del informe ESRS cubren parte de este requisito, aunque el alcance de la CSDDD sobre acciones concretas va más allá de la información publicada.

#Cómo el proceso CSRD alimenta la diligencia debida

La CSRD y la CSDDD comparten una infraestructura analítica común: el análisis de impactos, riesgos y oportunidades (IRO) que exige ESRS 1 es conceptualmente el mismo ejercicio que el mapeo de impactos adversos del paso 2 de la CSDDD.

#El IRO como punto de partida de la diligencia debida

El proceso de doble materialidad bajo la CSRD obliga a identificar y valorar los impactos negativos significativos sobre personas y medio ambiente a lo largo de la cadena de valor. Ese inventario de impactos, construido con la profundidad que el auditor CSRD necesita, sirve como mapa de riesgos para el due diligence de la CSDDD.

Las empresas que primero construyen el IRO para el informe de sostenibilidad y después lo reutilizan como base de la diligencia debida evitan duplicar el trabajo de mapeo. El matiz importante es que el IRO de la CSRD prioriza por materialidad (¿qué temas incluir en el informe?), mientras que la CSDDD exige actuar incluso sobre impactos no materiales a efectos de reporting cuando son graves o urgentes.

#Los ESRS más vinculados a la CSDDD

ESRS S2 (Trabajadores en la cadena de valor) es el estándar más directamente alineado. Los datapoints sobre condiciones laborales, riesgos en la cadena de suministro y procesos de gestión de proveedores cubren en gran medida los pasos 1 y 2 del proceso CSDDD.

ESRS S3 (Comunidades afectadas) se alinea con la obligación de identificar a las partes afectadas de la cadena de valor, especialmente cuando las operaciones o proveedores operan en zonas con comunidades vulnerables.

ESRS G1 (Gobernanza) cubre el código de conducta aplicado a proveedores, los canales de denuncia internos y la gestión de proveedores: tres piezas que corresponden directamente a los pasos 1 y 5 de la CSDDD.

ESRS E1 (Cambio climático) tiene una conexión menos obvia pero relevante: la CSDDD exige que las empresas sujetas adopten un plan de transición climática compatible con los 1,5 °C del Acuerdo de París, lo que coincide con el datapoint de plan de transición del ESRS E1. Bajo ambas directivas, ese plan debe ser el mismo documento.

#La gestión práctica del solapamiento

Una empresa que ha completado el primer informe de sostenibilidad CSRD tiene ya construidos algunos de los activos que la CSDDD va a exigir. La clave está en auditar qué piezas sirven directamente y qué vacíos quedan por cerrar.

#Lo que el informe CSRD aporta a la CSDDD sin trabajo adicional

El informe de sostenibilidad documenta las políticas de cadena de valor, el código de conducta aplicado a proveedores, los mecanismos de reclamación y el análisis de impactos negativos sobre trabajadores y comunidades. Cuando esa documentación existe con el nivel de detalle que exige el auditor CSRD, cubre en buena parte el paso 1 (políticas) y el paso 5 (mecanismo de reclamación) de la CSDDD.

#Lo que la CSDDD exige que el reporting CSRD no cubre

La CSRD no obliga a actuar sobre los impactos: solo a informar de ellos y de las políticas y objetivos existentes. La CSDDD va un paso más allá: exige que la empresa demuestre que ha tomado medidas concretas y que tiene un proceso activo para actualizar ese análisis periódicamente.

La diferencia práctica más importante es la responsabilidad de vigilancia activa sobre proveedores de alto riesgo. Bajo la CSDDD, si un proveedor directo de primer nivel opera en un sector o geografía clasificada como de alto riesgo para derechos humanos o medio ambiente, la empresa debe establecer un proceso de auditoría o verificación independiente, no solo declarar que el riesgo existe en el informe de sostenibilidad.

#Preguntas frecuentes

¿La CSDDD reemplaza o amplía la CSRD?

Son directivas complementarias con propósitos distintos. La CSRD crea una obligación de información; la CSDDD crea una obligación de conducta. Una empresa sujeta a ambas debe cumplirlas simultáneamente, aunque puede diseñar procesos que las atiendan con la menor duplicación posible.

¿Si ya publico un informe CSRD, estoy cumpliendo con la CSDDD?

No. El informe CSRD acredita transparencia; la CSDDD exige acción documentada y procesos operativos activos. Para la CSDDD no basta con reportar que existe un riesgo en la cadena de valor: hay que demostrar que se han implementado medidas para prevenirlo o mitigarlo.

¿La CSDDD afecta a las pymes proveedoras de grandes empresas?

Las pymes por debajo de los umbrales no están obligadas directamente, pero los grandes grupos sujetos a la CSDDD les trasladarán cuestionarios, cláusulas contractuales y auditorías de proveedor para cumplir con su propio proceso de diligencia debida.

¿El plan de transición climática de la CSDDD es el mismo que pide la CSRD?

En esencia sí. La CSDDD exige adoptar un plan de transición climática compatible con los objetivos del Acuerdo de París, lo que coincide con el datapoint de plan de transición del ESRS E1. Las empresas sujetas a ambas directivas deben mantener un único plan coherente para los dos marcos.

¿Cómo se gestiona la diligencia debida en cadenas de valor con proveedores de segundo o tercer nivel?

La CSDDD reconoce que no siempre es posible auditar directamente a cada proveedor de segundo o tercer nivel. En esos casos, el proceso documentado de mapeo de riesgo, la exigencia de certificaciones a proveedores directos y el uso de herramientas sectoriales de inteligencia de riesgo son la evidencia de diligencia razonable que la directiva acepta cuando el acceso directo no es viable.

¿Qué papel tiene el mecanismo de reclamación en la CSDDD?

Es uno de los seis pasos obligatorios. La empresa debe garantizar que trabajadores, sindicatos, comunidades afectadas y sus representantes puedan presentar quejas relacionadas con los impactos adversos identificados. Muchas empresas ya tienen canales de whistleblowing por la Directiva de Protección de Denunciantes; la CSDDD amplía el público objetivo a todos los afectados por la cadena de valor.

¿Cómo afecta la CSDDD a los procesos de selección y gestión de proveedores?

La directiva exige incluir cláusulas de diligencia debida en los contratos con socios comerciales y realizar verificaciones periódicas a proveedores de alto riesgo. Esto tiene implicaciones directas sobre compras: los criterios ESG en los pliegos de contratación y las auditorías de proveedor pasan de ser buenas prácticas opcionales a requisitos con respaldo legal.

Próximo paso

La CSDDD y la CSRD convergen en la cadena de valor: los mismos datos, los mismos proveedores y el mismo proceso de análisis sirven a las dos. Si ya estás construyendo o actualizando el informe de sostenibilidad, el inventario de IROs y los datapoints de los estándares sociales son el punto de partida más eficiente para estructurar el proceso de diligencia debida que la CSDDD va a exigir. Empezar por ahí evita duplicar el mapeo y acelera la preparación frente a ambas directivas.