Il quadro normativo su cui si basava la due diligence fornitori è cambiato in profondità. Con la Direttiva (UE) 2026/470 — pubblicata in Gazzetta Ufficiale UE il 26 febbraio 2026 ed entrata in vigore il 18 marzo 2026, tassello centrale del pacchetto Omnibus I — Parlamento e Consiglio hanno rivisto soglie, tempistiche e obblighi sia della CSRD sia della CSDDD. Per i CPO, questo significa ripensare priorità e urgenza del lavoro fatto finora, non abbandonarlo: il principio di fondo — dimostrare un processo di gestione del rischio di filiera strutturato e documentato — resta lo stesso.
Cosa è cambiato davvero
- CSRD: l’obbligo di rendicontazione ora riguarda solo le imprese con più di 1.000 dipendenti e oltre 450 milioni di euro di fatturato netto (soglie cumulative). Le PMI, anche quotate, ne escono e restano solo a un regime volontario basato sullo standard VSME (Raccomandazione UE 2025/1710). Recepimento negli Stati membri entro il 19 marzo 2027.
- CSDDD: le soglie salgono a 5.000 dipendenti e 1,5 miliardi di euro di fatturato netto mondiale (erano 1.000 dipendenti e 450 milioni), riducendo la platea a circa 1.600 imprese UE. Recepimento entro il 26 luglio 2028, applicazione dal 26 luglio 2029.
- Le revisioni periodiche della due diligence non sono più annuali, ma almeno ogni cinque anni, salvo cambiamenti significativi o nuovi rischi materiali.
- Le richieste di informazioni ai fornitori con meno di 5.000 dipendenti devono essere necessarie, mirate e proporzionate, e ammesse solo se il dato non è ottenibile altrimenti (concetto di “impresa protetta”).
- È stato eliminato il regime di responsabilità civile armonizzato a livello UE (rimesso ai singoli ordinamenti nazionali) e la possibilità di risoluzione contrattuale come extrema ratio.
Per i CPO di aziende sotto le nuove soglie CSDDD, l’obbligo diretto si allontana nel tempo — ma chi lavora nella filiera di un cliente Tier 1 o di una grande impresa continuerà comunque a ricevere richieste di dati ESG, sia pure più mirate. Per chi resta in ambito, il lavoro va comunque impostato ora: i tempi di recepimento nazionale e gli standard tecnici (ESRS semplificati, principi VSME) sono ancora in definizione nel corso del 2026-2027.
Il piano operativo in 30 giorni
L’obiettivo non è la perfezione, ma un processo dimostrabile, proporzionato al rischio e ripetibile — l’unico criterio che conta davvero in caso di verifica.
Giorni 1–7 — Governance e perimetro. Costituire il team interfunzionale (CPO, Legal, Sustainability, Finance) e verificare per primo se l’azienda rientra nelle nuove soglie CSRD (1.000 dipendenti/450M€) o CSDDD (5.000 dipendenti/1,5 miliardi €): questo determina se si opera in regime di obbligo diretto o come “impresa protetta” nella filiera di un cliente più grande. Aggiornare la policy di due diligence di conseguenza. Costruire poi la mappa della spend per categoria e paese di origine, individuando le forniture più esposte a rischi di diritti umani, impatto ambientale e concentrazione geografica, con il supporto dell’OECD Due Diligence Guidance (2023) e del Global Slavery Index di Walk Free. Il risultato atteso: una matrice rischio-impatto su tre livelli (alto, medio, basso) e la lista dei fornitori Tier 1 da includere nel perimetro prioritario.
Giorni 8–14 — Assessment e raccolta dati. Inviare ai fornitori ad alto rischio un questionario di self-assessment su diritti umani, emissioni Scope 3, governance e compliance, e richiedere le certificazioni esistenti (ISO 14001, SA8000, EcoVadis, CDP). Se il fornitore ha meno di 5.000 dipendenti, la richiesta va limitata a ciò che è necessario, mirato e non reperibile altrove — è un vincolo esplicito introdotto dall’Omnibus I, non solo una buona pratica. Impostare un registro delle risposte con timestamp per l’audit trail.
Giorni 15–21 — Analisi e scoring. Consolidare le risposte in una scorecard fornitori con KPI definiti e ponderati, confrontandola con benchmark di settore (es. EcoVadis Benchmark Report 2024). Classificare i fornitori in tre categorie — conformi, in miglioramento, a rischio critico — e isolare i gap materiali che richiedono un intervento immediato.
Giorni 22–28 — Remediation e contrattualizzazione. Avviare percorsi di miglioramento con i fornitori a rischio critico e inserire nei contratti nuovi o in rinnovo clausole ESG vincolanti e diritti di audit. Da tenere presente: l’Omnibus I ha eliminato la risoluzione contrattuale come extrema ratio prevista dal testo originario della CSDDD, quindi i meccanismi di escalation vanno costruiti su altre leve (penali, piani correttivi con scadenze, sospensione di nuovi ordini).
Giorni 29–30 — Documentazione e reporting. Produrre il report di due diligence interno, con evidenza del processo svolto, delle decisioni prese e delle azioni in corso, allineandolo ai requisiti ESRS S2 (lavoratori nella catena del valore) ed E1 (cambiamenti climatici). Fissare già ora la data della prossima revisione: con l’Omnibus I non è più annuale ma almeno quinquennale, salvo cambiamenti significativi o nuovi rischi materiali — un cambio di ritmo che va comunque governato, non subito.
Il ruolo del CPO nella governance ESG
Il piano dei 30 giorni funziona solo se il CPO lo presidia come titolare di un processo di governance, non come un adempimento acquisti isolato. Con CSDDD e CSRD — anche nella versione ridimensionata post Omnibus I — il CPO diventa di fatto un attore chiave della gestione del rischio di filiera: deve saper leggere le soglie normative per capire se e quando l’azienda entra in ambito, allineare la policy di acquisto con gli impegni dichiarati nel report di sostenibilità, e negoziare le clausole contrattuali insieme al Legal.
Questo richiede un allineamento stretto con tre funzioni in particolare: il Sustainability Officer, per garantire coerenza tra dati raccolti dai fornitori e disclosure ESRS; il CFO, per le implicazioni di rendicontazione finanziaria e i costi di compliance; il Legal, per le clausole contrattuali e la responsabilità civile, ora rimessa ai singoli ordinamenti nazionali invece che a un regime armonizzato UE. Senza questo presidio trasversale, anche un piano operativo ben eseguito rischia di restare un esercizio isolato di procurement, privo del peso probatorio che un auditor o un investitore si aspettano di trovare.
I tre errori più comuni
- Trattare l’assessment come un adempimento una tantum, invece di un processo con revisioni periodiche (ora quinquennali, non più annuali).
- Fermarsi al Tier 1 senza documentare perché — o se — il rischio a valle sia stato considerato.
- Separare la due diligence ESG dalla gestione contrattuale, con clausole scollegate dagli impegni dichiarati nella rendicontazione.
FAQ
Chi è obbligato oggi dalla CSDDD? Imprese UE con oltre 5.000 dipendenti e 1,5 miliardi di euro di fatturato netto mondiale, e società extra-UE che generano nell’UE un fatturato equivalente. Applicazione dal 26 luglio 2029.
Cosa rende una due diligence “audit-ready”? Una policy formale approvata, criteri di prioritizzazione documentati, un registro delle valutazioni, un piano di remediation e clausole contrattuali coerenti con gli impegni ESG dichiarati
