왜 CSDDD가 한국 제조업의 EU 거래 자격을 결정하는가
EU CSDDD (Directive EU 2024/1760, Corporate Sustainability Due Diligence Directive)는 2024년 7월 25일 발효된, EU 시장에서 활동하는 대기업의 글로벌 가치사슬(value chain) 전반에 대한 인권·환경 실사 의무를 법제화한 지침이다. 2024년 4월 EU 이사회 최종 채택 후 회원국별 2026년 7월까지 국내법 전환 의무를 진다.
적용 대상은 단계적으로 확대된다.
- 2027.07: EU 기업 직원 5,000명 이상·매출 €1.5B 이상 / Non-EU 기업 EU 매출 €1.5B 이상
- 2028.07: EU 기업 직원 3,000명 이상·매출 €900M 이상 / Non-EU 기업 EU 매출 €900M 이상
- 2029.07: EU 기업 직원 1,000명 이상·매출 €450M 이상 / Non-EU 기업 EU 매출 €450M 이상
한국 제조업이 CSDDD를 무시할 수 없는 이유는 명확하다. 첫째, 한국 대기업(삼성전자·LG전자·현대차·SK하이닉스·포스코 등) 다수가 EU 매출 €450M 이상으로 직접 적용 대상이다. 둘째, 직접 적용 대상이 아니더라도 적용 대상 기업의 공급망(chain of activities)에 있는 모든 한국 Tier 1~N 협력사는 간접 의무를 진다. 셋째, 미준수 시 회원국 행정 제재금 최대 매출의 5% + 민사 손해배상 책임 + 정부 조달 입찰 자격 박탈까지 부과된다.
CSDDD는 단순한 보고 의무가 아니라 실제 인권·환경 위해를 식별·예방·완화·구제하고, 그 과정과 결과를 문서화·공시하는 통합 거버넌스를 요구한다. 독일 LkSG (2023), 프랑스 Devoir de Vigilance (2017), 노르웨이 Transparency Act (2022) 등 회원국별 선행 입법을 EU 차원으로 통일·강화하는 성격이다.
본 가이드는 CSDDD 9가지 핵심 요건, 6단계 OECD Due Diligence 절차, Climate Transition Plan, 민사 책임 구조, 그리고 BAFA·CNIL 등 회원국 감독 당국 대응 전략을 다룬다.
성숙도 진단 — CSDDD 5단계 자가진단
| 단계 | 특징 | 일반적 증상 |
|---|---|---|
| Level 1 — Unaware | 지침 인지 X | ”독일 LkSG는 들었지만 우리는 아직” “EU 매출 안 큰 편이라 무관” |
| Level 2 — Aware | 인지하지만 매핑 안 됨 | ”CSDDD 발효된 건 들었다” “법무팀이 검토 중” |
| Level 3 — Mapped | 적용 대상·일정 매핑 | ”2027.07 적용 또는 2029.07 적용 확정” “고객 기업 일정 매핑 완료” |
| Level 4 — Operational | 6단계 DD 절차 운영 | ”Risk Identification·Mitigation·Remedy 절차 가동” “공급망 등급 매트릭스 분기 업데이트” |
| Level 5 — Integrated | CSDDD·CSRD·ESPR 통합 | ”전사 ESG 데이터·법무·구매·HR이 단일 거버넌스에서 운영” |
대다수 한국 중견 제조업은 Level 1~2에 머무른다. 본 가이드의 5단계는 2024년 발효 시점부터 2029년 최종 확장까지 단계적 적용 가능한 실무 로드맵이다.
Stage 1 — 적용 범위 확정 + 가치사슬(chain of activities) 매핑 + 갭 분석 (0~3개월)
1.1 적용 대상 확정
CSDDD는 EU 기업과 Non-EU 기업을 모두 적용한다.
EU 기업:
- 직원 1,000명 이상 + 전 세계 순매출 €450M 이상 (최종 단계 2029)
- 회원국 등록 기업, EU 법인 기준
Non-EU 기업 (한국 기업 직접 해당):
- EU 내 순매출 €450M 이상 (최종 단계 2029)
- EU 매출 기준 (한국 본사 매출 무관, EU 자회사·EU 직접 수출 합산)
- EU 매출 인증된 대표(authorised representative) 지정 의무
Franchise·라이센스:
- 본사가 매출 €80M 초과 + 라이센스/프랜차이즈 수수료 €22.5M 초과 시 적용
- 한국 식품·패션·뷰티 프랜차이즈 영향
1.2 Chain of Activities (가치사슬) 정의
CSDDD는 “chain of activities”를 다음과 같이 정의한다.
- Upstream (상류): 모든 Tier (직접·간접) — 원자재·부품·서비스 공급자
- Downstream (하류): 제품 유통·운송·보관·폐기 (사용 단계는 일반적으로 제외)
- 자회사 (subsidiaries): 모회사의 의무에 포함
ESPR DPP의 공급망 매핑과 일관성 유지 가능. Tier 1~N 매핑은 CSDDD의 출발점.
1.3 갭 분석 (Gap Analysis)
- 현재 공급망 가시성 수준 (Tier 1·Tier 2·Tier N)
- 기존 윤리·인권·환경 정책 평가
- 인증·감사 보고서 보유 현황 (RBA·SA8000·B Corp·EcoVadis)
- 데이터 시스템 (ERP·SCM·HR) 통합 수준
1.4 Stage 1 산출물
- 적용 대상 확정 보고서 (법무 인증)
- Chain of Activities 매핑 (Tier 1~N 노드·국가·고위험 카테고리)
- 갭 분석 매트릭스
- EU 내 인증된 대표(Authorised Representative) 지정
Stage 2 — 6단계 OECD Due Diligence + 정책 + 거버넌스 (3~9개월)
2.1 6단계 OECD Due Diligence (CSDDD Article 5-16)
CSDDD는 OECD Due Diligence Guidance for Multinational Enterprises 6단계를 법적 의무화한다.
- Step 1 (Article 5): Embed due diligence into policies and management systems
- Step 2 (Article 7-9): Identify and assess actual or potential adverse impacts
- Step 3 (Article 10-11): Prevent and mitigate adverse impacts
- Step 4 (Article 13): Verify, monitor, and assess effectiveness
- Step 5 (Article 14): Communicate
- Step 6 (Article 12): Provide remediation
2.2 적용 대상 위해 (Adverse Impacts)
인권 위해 (Annex Part I):
- 강제노동·아동노동·인신매매
- 노동·결사의 자유·단체교섭권
- 직업안전보건·합리적 임금·노동시간
- 차별·괴롭힘
- 토지·생계·식량권
- 원주민·소수자 권리
- 사생활·개인정보
환경 위해 (Annex Part II):
- Stockholm·Basel·Rotterdam 협약 (POPs·유해폐기물·화학물질)
- Minamata 협약 (수은)
- Montreal Protocol (오존층)
- CITES (멸종위기종)
- Convention on Biological Diversity
- 그리고 회원국별 추가 규정
2.3 Due Diligence Policy 채택
이사회 승인 + 회사 웹사이트 공개 의무. 다음 포함:
- 회사의 due diligence 접근 방식 (장기적 약속)
- 직원·자회사·공급자에 대한 행동 강령 (Code of Conduct)
- DD 절차 설명
- 책임자(이사회 위임)
2.4 거버넌스 구조
- 이사 의무 (Article 25): 이사회는 Due Diligence를 회사 전략에 통합할 의무
- 이사 보수 연계 (Article 15): 변동 보수의 일부를 sustainability 목표와 연동
- 이해관계자 참여 (Article 13): 영향받는 stakeholder와 의미 있는 협의
2.5 Stage 2 산출물
- Due Diligence Policy + Code of Conduct
- 거버넌스 차트 (이사회·CSO·구매·법무·HR·EHS RACI)
- Sustainability 목표 + 이사 보수 연동 합의
- Stakeholder Engagement Plan
Stage 3 — Risk Mapping + Prevention·Mitigation + Disengagement 의사결정 (9~15개월)
3.1 Risk Mapping 방법론
- 단계 1: 가치사슬 전체 매핑 (Tier 1~N)
- 단계 2: 각 노드에 위험 카테고리 적용 (인권 14개, 환경 8개)
- 단계 3: 위험 점수화 (Severity·Likelihood·Irreversibility)
- 단계 4: 우선순위 결정 (Severity-Likelihood matrix)
도구: SAP Ariba, Sphera Stewardship, EcoVadis, Sedex SMETA, Worldfavor, Achilles 등.
3.2 위험 정보원
- 국가 리스크 인덱스: ITUC Global Rights Index, Heritage Economic Freedom, Transparency International CPI, US TIP Report
- 산업 리스크 인덱스: ILO·OECD·UN 보고서
- 공급자 인증·감사: SA8000, BSCI, RBA, EcoVadis, Sedex
- 현장 감사: 제3자 감사기관 (Bureau Veritas, SGS, Intertek, ELEVATE)
- 불만 메커니즘 (Grievance): 핫라인·웹포털·노조
3.3 Prevention·Mitigation 조치
- 계약 보장 (contractual assurances): 공급자에게 CSDDD 준수 보증 요구
- 공급자 교육·기술 지원: 특히 중소 공급자
- 공동 투자: 환경 개선·노동조건 개선
- 공급자 변경: 마지막 수단 (responsible disengagement)
3.4 Disengagement (마지막 수단)
CSDDD는 단순한 공급자 차단을 금지한다. 회사는:
- 위해 예방·완화 노력 우선
- 회피·무효화한 노력의 영향력 있는 평가
- 인권·환경 피해를 악화시키지 않는 방식의 disengagement
- 6~12개월 transition period 권장
3.5 Stage 3 산출물
- Risk Register (분기 업데이트)
- Prevention/Mitigation Action Plan
- 공급자 교육 프로그램
- Disengagement Decision Framework
Stage 4 — Remediation + Grievance Mechanism + Climate Transition Plan (15~24개월)
4.1 Remediation (Article 12)
회사가 위해를 직접 야기 또는 기여한 경우:
- 원상회복 (restitution)
- 피해자 재활(rehabilitation)
- 경제적 보상
- 만족(satisfaction) — 공식 사과 등
- 비반복 보장 (guarantees of non-repetition)
4.2 Grievance Mechanism (Article 14)
- 접근성: 영향받는 모든 stakeholder가 접근 가능 (다국어·익명성)
- 합법성: 신뢰할 수 있는 절차
- 예측 가능성: 명확한 단계·시간 프레임
- 공정성: 정보 접근 동등
- 투명성: 결과 공개
- 권리 호환성: 국제 인권 표준 부합
- 학습 원천: 시스템 개선에 활용
- 참여·대화: stakeholder 협의
4.3 Climate Transition Plan (Article 22)
매출 €1.5B 초과 기업은 Paris Agreement 1.5°C 목표에 부합하는 Climate Transition Plan 채택 의무.
- 2030년 목표: Scope 1+2+3 절대 감축 목표
- 5년 단위 중간 목표
- 세부 조치: 기술·재무·운영
- 이사 보수 연동: Article 15와 통합
- 연례 업데이트·CSRD 공시 연계
4.4 Communication·Disclosure (Article 16)
- 연례 공급망 실사 보고서
- 회사 웹사이트 공개
- CSRD 보고서에 통합 가능 (ESRS S2·G1)
- 회원국 감독 당국 제출
4.5 Stage 4 산출물
- Remediation Policy + 사례별 SOP
- Grievance Mechanism 시스템 (다국어 웹포털·핫라인)
- Climate Transition Plan (이사회 승인)
- 연례 CSDDD 공시 보고서
Stage 5 — 감독 당국 대응 + 민사 책임 + 통합 운영 + 지속 개선 (24개월~)
5.1 회원국 감독 당국 (Article 24)
각 회원국은 CSDDD 감독 당국을 지정한다.
- 독일: BAFA (Bundesamt für Wirtschaft und Ausfuhrkontrolle) — LkSG 감독 경험
- 프랑스: 일반 행정 당국 (Devoir de Vigilance 패턴)
- 네덜란드: ILT (Inspectorate)
- 이탈리아·스페인 등: 신규 또는 기존 ESG 당국 확장
- EU European Network of Supervisory Authorities: 회원국 간 조정
권한:
- 회사 자료 요청
- 현장 조사
- 시정 명령
- 행정 제재금 (매출의 최소 5% 상한)
- 위반 사실 공개
5.2 민사 책임 (Article 29)
회사가 due diligence 의무 위반으로 자연인·법인에게 피해를 입힌 경우:
- 손해배상 책임
- 회원국 법원 관할권
- NGO·노조 대표 소송 가능
- 5년 시효 (회원국별 차이 가능)
NGO·이주노동자·환경단체의 소송 위험. 프랑스 Devoir de Vigilance 사례에서 Total·Suez·Casino 등 다수 소송 진행 중.
5.3 CSRD·ESPR·EU Taxonomy 통합
- CSRD ESRS S2 (Workers in the Value Chain): CSDDD Risk Mapping 데이터 자동 활용
- CSRD ESRS G1 (Business Conduct): Due Diligence Policy 공시
- EU Taxonomy DNSH (Do No Significant Harm): 환경 위해 평가 통합
- ESPR DPP: 공급망 데이터 일관성
- CBAM: 탄소 데이터 통합
5.4 정부 조달 입찰 자격 (Article 31)
CSDDD 미준수 사실 공개 시 EU 회원국 공공조달 입찰 자격 박탈 가능. EU 공공조달 €2T 규모 시장 영향.
5.5 Stage 5 산출물
- 감독 당국 대응 SOP + Mock Audit
- 민사 소송 리스크 평가 + 보험 검토
- CSDDD·CSRD·ESPR·CBAM·Battery 통합 데이터 파이프라인
- 5년 ESG 거버넌스 로드맵
도입 비용 — 한국 중견 제조사 기준 (직원 1,0003,000명, 매출 €500M€1B)
| 항목 | Stage 1 | Stage 2 | Stage 3 | Stage 4 | Stage 5 |
|---|---|---|---|---|---|
| 인건비 (FTE) | 3명 × 3개월 | 6명 × 6개월 | 10명 × 6개월 | 8명 × 9개월 | 6명 상시 |
| 외부 컨설팅 | $50K | $200K (policy) | $400K (risk mapping) | $300K (climate plan) | $150K/년 |
| 도구·라이센스 | $30K | $80K (governance SW) | $250K (Sedex/EcoVadis) | $150K (grievance system) | $150K/년 |
| 감사·인증 | - | $100K | $200K (3rd party) | $150K | $150K/년 |
| 총합 | $150K | $700K | $1.4M | $1.3M | $600K/년 |
누적 도입 (~24개월): 약 $3.55M, 이후 연간 운영비 $850K.
대비 잠재 손실: 매출 5% 행정 제재금 (€1B 기업 = €50M) + 민사 소송 손해배상 + EU 공공조달 자격 박탈.
글로벌 비교
| 표준 | 발효 | 적용 | 핵심 차이 |
|---|---|---|---|
| EU CSDDD 2024/1760 | 2024.07 | EU + Non-EU (매출 기준) | 가장 광범위·민사 책임 |
| 독일 LkSG | 2023.01 | 독일 1,000명+ | Tier 1 우선·간접 공급자 risk-based |
| 프랑스 Devoir de Vigilance | 2017.03 | 프랑스 5,000명+ | 최초 입법·NGO 소송 사례 다수 |
| 노르웨이 Transparency Act | 2022.07 | 노르웨이 대기업 | 인권 중심·공시 요구 |
| 네덜란드 Child Labour DD Act | 2022 | 네덜란드 | 아동노동 단독 |
| UK Modern Slavery Act | 2015 | UK £36M+ | Statement 공시만·법적 제재 약 |
| 호주 Modern Slavery Act | 2018 | 호주 A$100M+ | Statement 공시만 |
| 캐나다 Forced/Child Labour Act | 2024.01 | 캐나다 | Statement 공시 |
| 미국 UFLPA | 2022.06 | 미국 수입 | 신장위구르 수입 금지 (rebuttable) |
| 미국 California SB 657·SB 22 | 2024 | CA $500M+ | 공시 + Climate Plan |
| 일본 Guidance | 2022 | 권고 | 구속력 X |
| 한국 ESG 공시 | 2025 | 코스피 자산 2조+ | 공시 의무 |
CSDDD는 가장 광범위하고 법적 책임이 강력하다. 미국 UFLPA는 신장위구르 단독·강제 집행 강력.
한국 기업 적용 사례 (가명)
Case 1 — 대기업 EU 자회사 A (전자·매출 €5B, EU 매출 €2B)
- 상황: 2027.07 1차 적용. EU·중국·동남아 9개국 공급망 Tier 5까지 매핑 미완료
- 조치: SAP Ariba + EcoVadis + 자체 ERP 통합. 인권·환경 리스크 점수화 모델 구축. Bureau Veritas 제3자 감사
- 결과: 2026년 4Q 1차 Due Diligence Policy 발표, 2027년 1Q Risk Register 분기 보고 시작. BAFA·CNIL 대비 Mock Audit 분기별
Case 2 — 자동차 부품 OEM B (Tier 1·매출 €1B, EU 매출 €600M)
- 상황: 2028.07 적용. 현대·기아·BMW·VW 다중 고객 요구. Catena-X 기반 데이터 공유
- 조치: Catena-X CSDDD 모듈 가입. Cobalt·Nickel·Tin·Tantalum 4대 광물 Tier 4 매핑. 자체 grievance 핫라인 다국어 운영
- 결과: 2027년 3Q 공급자 1,200개사 전수 EcoVadis 평가 완료. 평균 Score 65 → 78 향상
Case 3 — 패션 OEM C (의류·매출 €300M, EU 매출 €450M)
- 상황: 2029.07 적용 + ESPR Textile Delegated Act 2027. 방글라데시·베트남·캄보디아 공장 인권 리스크
- 조치: SA8000 + Higg Index 통합, BSR Better Work Programme 참여. 베트남 노조 협의 메커니즘 도입
- 결과: 2028년 Worker grievance 처리 200건/년, 평균 해결 기간 30일 → 14일. NGO 평가 Top 25 진입
Case 4 — 화학 ODM D (의약·화장품 원료·매출 €200M, EU 매출 €100M)
- 상황: 매출 기준 적용 X. 그러나 BASF·DSM·Henkel 대형 고객 CSDDD 압력
- 조치: 자발적 Due Diligence Policy 채택. Sedex SMETA 4-Pillar 인증, ECOCERT COSMOS 추가
- 결과: 2025년 BASF·DSM 우선 협력사 등급 진입. 신규 EU 수주 €30M 확보
Case 5 — 철강 제조사 E (전기로·매출 €3B, EU 매출 €800M)
- 상황: 2028.07 적용. 호주·브라질·인도네시아 광산 공급망 환경 리스크. CBAM 2026 본격화와 겹침
- 조치: 환경 Due Diligence를 CBAM Verified Emissions·ResponsibleSteel 인증과 통합. Climate Transition Plan SBTi 1.5°C 채택
- 결과: 2027년 ResponsibleSteel 인증 획득, CSDDD·CBAM·ResponsibleSteel 3종 통합 보고. EU 고객 ArcelorMittal·ThyssenKrupp 우선 공급자 진입
자가진단 체크리스트 (30문항)
Stage 1 — 적용 범위
- 자사 EU 매출(자회사 + 직접 수출 합산)이 €450M·€900M·€1.5B 임계값 어디에 해당하는지 확정했는가
- 회원국별 적용 일정(2027·2028·2029)이 캘린더로 작성되었는가
- Chain of Activities 매핑 (Tier 1~N, upstream·downstream·subsidiaries)이 완료되었는가
- EU 인증된 대표(Authorised Representative)가 지정되었는가
- 1차 갭 분석 보고서가 이사회 승인되었는가
Stage 2 — Policy·거버넌스
- Due Diligence Policy가 이사회 승인 후 웹사이트에 공개되었는가
- Code of Conduct가 직원·자회사·공급자에 배포되었는가
- 이사회가 Due Diligence를 전략에 통합한 회의록이 있는가
- 이사 변동 보수 일부가 sustainability 목표와 연동되었는가
- Stakeholder Engagement Plan이 운영되는가
Stage 3 — Risk Mapping
- 가치사슬 전체 노드의 인권·환경 위험 점수가 분기 업데이트되는가
- 위험 우선순위(Severity-Likelihood matrix)가 경영회의에 보고되는가
- EcoVadis·Sedex·RBA 또는 자체 평가가 공급자 전수에 적용되었는가
- Prevention/Mitigation Action Plan이 SKU·공급자 단위로 운영되는가
- Disengagement Decision Framework가 정의되어 있는가
Stage 4 — Remediation·Grievance·Climate
- Remediation Policy + 사례별 SOP가 운영되는가
- Grievance Mechanism이 다국어 웹포털·핫라인으로 접근 가능한가
- 연간 grievance 접수·해결 통계가 공개되는가
- Climate Transition Plan이 SBTi 1.5°C 호환으로 이사회 승인되었는가
- 연례 CSDDD 공시 보고서가 CSRD ESRS S2·G1과 통합되는가
Stage 5 — 감독·민사·통합
- 회원국 감독 당국(BAFA·CNIL 등) 대응 SOP + Mock Audit가 분기별로 실행되는가
- 민사 소송 리스크 평가 + D&O 보험 조항이 검토되었는가
- CSDDD↔CSRD↔ESPR↔CBAM↔Battery 통합 데이터 파이프라인이 운영되는가
- EU 공공조달 입찰 시 CSDDD 준수 증빙 프로세스가 있는가
- 5년 ESG 거버넌스 로드맵이 작성되었는가
운영·통합
- NGO·노조·이주노동자 단체와의 정기 협의 채널이 운영되는가
- 분기별 KPI(공급자 평가율·grievance 해결·Climate 진행)가 경영회의에 보고되는가
- 글로벌 입법(독일 LkSG·미국 UFLPA·한국 ESG 공시) 변경 모니터링 채널이 있는가
- 위반 사실 공개 시 PR·법무 위기 관리 시뮬레이션이 분기별로 수행되는가
- ESG·법무·구매·HR·EHS 합동 거버넌스가 단일 차트에서 운영되는가
마무리
CSDDD는 EU Green Deal 4대 기둥(CSDDD·CSRD·ESPR·CBAM) 중 가장 강력한 법적 책임을 부과하는 지침이다. CSRD가 “공시”를 요구한다면 CSDDD는 “실제 행동·결과·구제”를 요구하며, 위반 시 매출 5% 제재금 + 민사 손해배상 + EU 공공조달 자격 박탈이라는 3중 제재가 따른다.
한국 제조업의 핵심 전략은 두 가지다. 첫째, CSRD·ESPR·CBAM·Battery Regulation과 동일 데이터 거버넌스에서 통합 운영하여 비용을 분산하는 것. Risk Mapping·공급망 추적·Climate Transition은 4개 규제 모두에 동일하게 활용 가능하다. 둘째, 2027년 1차 적용 전까지 약 18개월 — Policy 발표·Risk Mapping·Grievance 운영 시작의 최소 절차를 완성하는 것이 현실적 목표다.
회원국 감독 당국은 LkSG 5년 운영 경험에서 보듯 점차 엄격해진다. 독일 BAFA는 2024년부터 자료 요청·현장 조사를 본격 가동했으며, 한국 기업 자회사도 다수 표적이 되었다. 지금 시작하지 않으면 2027~2029 적용 시점에 대응이 불가능하다.
통합 — 함께 보면 좋은 글
- CSRD·ESRS·CBAM 통합 ESG 보고 실무 가이드 — Disclosure 측면
- ESPR Digital Product Passport 실무 가이드 — 제품 데이터 측면
- EU Battery Regulation·Battery Passport 실무 가이드 — 배터리 DD 사례
- EU CBAM 탄소국경조정메커니즘 실무 가이드 — 탄소 데이터 통합
- OECD Due Diligence Guidance 광물 공급망 실무 가이드 — 6단계 방법론 기원
- 독일 LkSG 공급망 실사법 실무 가이드 — CSDDD 선행 입법
- SBTi Science Based Targets 실무 가이드 — Climate Transition 기반
- RBA Responsible Business Alliance 실무 가이드 — 전자 산업 공급망 표준
- SA8000 사회적 책임 인증 실무 가이드 — 노동 인권 인증
- UN Guiding Principles on Business and Human Rights 실무 가이드 — 인권 실사 기원