왜 LkSG가 EU 공급망 실사의 작동 모델인가
독일 LkSG (Lieferkettensorgfaltspflichtengesetz, Supply Chain Due Diligence Act)는 2021년 7월 16일 제정, 2023년 1월 1일 발효된 독일의 공급망 실사 의무화 법이다. EU CSDDD (2024)의 직접 모델·시험장이며, 실제 감독 당국 BAFA (Bundesamt für Wirtschaft und Ausfuhrkontrolle)가 2023~2024 본격 가동 중.
핵심 일정·적용.
- 2023.01: 직원 3,000명 이상 (약 700개사)
- 2024.01: 직원 1,000명 이상 (약 3,000개사)
- Future (CSDDD 통합): 모든 회사 단계 확장
적용 대상.
- 독일 본사 회사: 직원 1,000명 이상 (정규·임시·해외 자회사 포함)
- 외국 회사의 독일 지점: 동일 적용 (한국 본사 + 독일 지점/자회사)
- 간접 공급자 (Indirect Supplier): Substantiated Knowledge 시 자동 적용
한국 제조업이 LkSG를 무시할 수 없는 이유는 명확하다.
- 독일 자회사 (직원 1,000명+): 자체 의무
- BMW·VW·Audi·Mercedes·Siemens·BASF·Bayer·SAP: 모두 LkSG 적용·공급자에게 의무 부과
- 한국 자동차 부품·전자·화학 OEM: Tier 1·Tier 2 Substantiated Knowledge 시 의무
- BAFA Enforcement: 2024년 한국 기업 자회사 30+ 정보 요청·감사 사례 (비공식 보도)
- CSDDD 호환: LkSG 인프라가 CSDDD에 직접 활용
LkSG는 단순 권고가 아니다. 매출 5% 행정 제재금 (최대 €8M)·공공조달 3년 입찰 자격 박탈·BAFA 공개 명령·NGO 소송 직접 가능.
본 가이드는 LkSG 13 보호 법익, 9 Due Diligence 의무, BAFA 감독 절차, Tier 1 vs Indirect (Substantiated Knowledge) 차이, CSDDD 호환, 실패 사례·BAFA 결정·자가진단 30문항까지 단계적 적용 로드맵을 다룬다.
성숙도 진단 — LkSG 5단계 자가진단
| 단계 | 특징 | 일반적 증상 |
|---|---|---|
| Level 1 — Unaware | 법 인지 X | ”독일 거래는 별 영향 없을 듯” |
| Level 2 — Aware | 인지하지만 매핑 안 됨 | ”BMW가 자료 요청·정책 미정비” |
| Level 3 — Mapped | 적용·Tier 매핑 | ”Risk Analysis 진행·Policy 채택” |
| Level 4 — Operational | 9 Due Diligence 운영 | ”Tier 1 매핑·BAFA 보고 자동화” |
| Level 5 — Integrated | LkSG·CSDDD·CSRD·UFLPA·OECD 통합 | ”전사 공급망 거버넌스·EU+미국+한국 동시 대응” |
대다수 한국 중견 제조업은 Level 1~2에 머문다. 본 가이드의 5단계는 첫 진단부터 CSDDD 통합까지 단계적 적용 가능한 실무 로드맵이다.
Stage 1 — 적용 대상 + 13 보호 법익 + 9 Due Diligence 매핑 (0~3개월)
1.1 적용 대상 확정
직접 적용:
- 독일 본사 + 직원 1,000명+ (2024.01~)
- 외국 회사 독일 지점 + 직원 1,000명+ (2024.01~)
- 정규·임시·파견·인턴 포함·해외 자회사 100% 포함 (50% 초과 지분 시)
간접 적용 (한국 본사):
- 한국 자회사가 BMW·VW·Siemens 등 LkSG 적용 기업 공급자
- Tier 1 의무·Substantiated Knowledge 시 Tier 2~N 의무
1.2 13 보호 법익 (Geschützte Rechtspositionen)
LkSG §2 (Geschützte Rechtspositionen)는 13개 인권·환경 보호 법익 정의.
인권 (Human Rights) 11개:
- 아동노동 금지 (ILO 138·182)
- 강제노동 금지 (ILO 029·105)
- 노예제·인신매매 금지
- 결사의 자유·단체교섭권 (ILO 087·098)
- 직업안전보건
- 공정 임금·최저임금
- 차별 금지
- 합리적 노동시간
- 불법적 토지·생계 박탈 금지 (예: 광산 강제 이주)
- 보안군 동원 금지 (광산·시설 인권 침해)
- 환경 영향 통한 인권 침해 금지
환경 (Environment) 3개:
- 수은 (Minamata Convention)
- 잔류성 유기오염물질 POPs (Stockholm Convention)
- 유해 폐기물 (Basel Convention)
1.3 9 Due Diligence 의무 (§3~§10)
LkSG는 OECD·CSDDD와 호환되는 9개 의무.
- §4 (1): Risk Management System 구축
- §4 (2): Human Rights Officer 지정
- §5: Risk Analysis (자체 + Tier 1 + Indirect Substantiated)
- §6 (2): Grundsatzerklärung (Policy Statement) 채택
- §6 (3): 예방 조치 (Preventive Measures)
- §7 (1): 시정 조치 (Remedial Measures) - 자체 + Tier 1
- §7 (2): 시정 조치 - Indirect Substantiated
- §8: Beschwerdeverfahren (Complaint Mechanism)
- §10: 문서화 + 연례 BAFA 보고
1.4 Tier 1 vs Indirect 구분
- Tier 1 (Unmittelbarer Zulieferer): 직접 계약 공급자
- 정기 Risk Analysis 의무 (연 1회 또는 변경 시)
- 정기 예방·시정 조치
- Tier 2~N (Mittelbarer Zulieferer / Indirect):
- Substantiated Knowledge 시 의무 발생
- 임시 Risk Analysis·즉시 시정
- “Substantiated Knowledge” = 신뢰할 만한 정보 (NGO·언론·현장 보고)
1.5 Stage 1 산출물
- LkSG 적용 의무 확정 (직접 vs 간접)
- 13 보호 법익 × 사업 활동 매트릭스
- 9 Due Diligence 의무 매핑
- Tier 1 공급자 목록·Tier 2~N 잠재 위험 매핑
Stage 2 — Risk Management + Policy Statement + Risk Analysis (3~9개월)
2.1 §4 Risk Management System
- 이사회·경영진 통합 책임
- 분기 또는 6개월 회의 (BAFA 권장)
- ERM (Enterprise Risk Management) 통합
- COSO·ISO 31000 호환
2.2 §4 (2) Human Rights Officer
- 명시적 지정·내부 공지
- 보고 라인: 이사회 직접 또는 CEO 직접
- 충분한 인력·자원 보장
- 외부 의사소통 채널
2.3 §6 (2) Grundsatzerklärung (Policy Statement)
이사회 채택·공개 의무.
필수 내용:
- 회사의 Due Diligence 접근
- 인권·환경 위험 식별·예방·시정 절차
- Tier 1·Tier 2~N 접근
- 직원·공급자·고객 책임
- 외부 자문·NGO 협력
- 갱신 절차
2.4 §5 Risk Analysis
Periodic (정기·자체 + Tier 1):
- 연 1회 또는 변경 시 (M&A·신규 시장 등)
- 자체 사업 활동
- 모든 Tier 1 공급자
- 13 보호 법익 × Tier 1 × 국가·산업 매트릭스
Anlassbezogene (이슈 기반·Indirect):
- Substantiated Knowledge 시 즉시
- 특정 Tier 2~N 공급자
- NGO·언론·정부 정보 기반
2.5 Risk Analysis 방법론
- 국가 위험: ITUC Global Rights Index·Transparency International·UN
- 산업 위험: 광산·섬유·전자·식품 등
- 공급자 위험: 자체 정보·외부 평가 (EcoVadis·Sedex·Sustainalytics)
- Severity·Likelihood·Scope·Irreversibility
2.6 Stage 2 산출물
- Risk Management System 구축
- Human Rights Officer 임명·공지
- Grundsatzerklärung (이사회 채택·웹사이트 공개)
- 1차 Risk Analysis Report
Stage 3 — Preventive Measures + Remedial Measures + Beschwerdeverfahren (9~15개월)
3.1 §6 (3) Preventive Measures (예방)
자체 사업 활동:
- 직원 교육 (연 1회+)
- 안전 인프라
- 임금·시간 관리
- 차별 방지 정책
Tier 1 공급자:
- Code of Conduct·계약 조항
- 공급자 교육·기술 지원
- 정기 감사 (SMETA·SA8000·RBA 등)
- 인증·평가 (EcoVadis·Sedex·BSCI)
- 공급자 우선순위 (Risk Score 기반)
3.2 §7 (1) Remedial Measures (시정 - 자체 + Tier 1)
위해 발견·임박 시 즉시 조치.
- 자체: 즉시 중단·시정·보상
- Tier 1: 공급자에게 시정 요구 (계약 조항 활용)
- Concrete Action Plan: 시간·책임·예산 명시
- Continue / Suspend / Disengage: 의사결정 매트릭스
3.3 §7 (2) Remedial Measures (시정 - Indirect)
Substantiated Knowledge 시 별도 절차.
- 즉시 Risk Analysis (Anlassbezogen)
- Tier 1 통한 영향력 행사: 직접 거래 X, Tier 1에 요구
- Industry Initiatives: BCI·RSPO·Re|Source 등 통한 영향
- Concrete Concept: 30일 이내 작성·BAFA 가능 요청
3.4 §8 Beschwerdeverfahren (Complaint Mechanism)
- 접근성: 모든 영향받는 자 (직원·노동자·지역사회·NGO)
- 외부 공개: 회사 웹사이트·공급자 사이트
- 익명성: 보장
- 다국어: 회사 사업 국가 언어
- 결과 공개: 연 1회+
- Protection: 신고자 보복 금지
도구: 자체 핫라인·EthicsPoint·WhistleB·NAVEX 등.
3.5 §6 (4)·§7 (4) Documentation
- 모든 Due Diligence 활동 7년 보관
- BAFA 요청 시 즉시 제출
- 디지털 시스템 (ESG SaaS·자체 ERP)
3.6 Stage 3 산출물
- Preventive Measures 계획 (자체 + Tier 1)
- Remedial Measures SOP (3 시나리오)
- Beschwerdeverfahren (다국어·익명)
- Documentation System (7년 보관)
Stage 4 — Annual BAFA Report + Audit + 위반 대응 (15~21개월)
4.1 §10 (2) Annual BAFA Report
매년 4월 30일까지 BAFA 제출·웹사이트 공개.
필수 내용:
- Due Diligence Statement
- 식별된 위험 (자체 + Tier 1 + Indirect)
- 예방 조치·시정 조치
- 효과성 평가
- 미해결 위험·예정 조치
4.2 BAFA Enforcement
BAFA는 2023~2024 본격 가동.
감독 권한:
- 회사 자료 요청 (즉시 응답 의무)
- 시설 진입·조사
- 공급자에게 직접 정보 요청
- NGO·언론 등 외부 정보 활용
- 시정 명령 (Anordnung)
- 강제집행 (Zwangsgeld 최대 €8M)
- 형사 고발 (위반 심각 시)
행정 제재금 (§24):
- 최대 €8M 또는 매출 2% (대기업·€400M+) 중 큰 금액
- 단계: 경고 → 시정 명령 → 제재금 → 공공조달 박탈
4.3 BAFA 결정 사례 (2023~2024)
- HARIBO: Cocoa 공급망 미흡·€100K 제재금
- 자동차 공급자 (비공식): 한국 자회사 5개사 자료 요청 (현재 검토 중)
- 섬유 OEM: 방글라데시 노동 위반·€500K 제재금
- NGO 직접 소송 사례: ECCHR (European Center for Constitutional and Human Rights) 다수 제소
4.4 공공조달 박탈 (§22)
- 위반 심각 시 최대 3년 EU 회원국 공공조달 입찰 자격 박탈
- €2T+ EU 공공조달 시장 영향
- 회사 평판 손상
4.5 Stage 4 산출물
- Annual BAFA Report (4월 30일 마감)
- BAFA Audit 대응 SOP + Mock Audit
- 위반 시정 SOP
- 보험 (D&O) 검토
Stage 5 — CSDDD·CSRD·UFLPA·고객 통합 + 지속 개선 (21개월~)
5.1 LkSG vs CSDDD 비교
| 영역 | LkSG | CSDDD |
|---|---|---|
| 직접 적용 | 1,000명+ | 1,000명+ / €450M+ (단계) |
| 의무 범위 | Tier 1 우선·Indirect Substantiated | Chain of Activities 전체 (Tier N) |
| 13 보호 법익 | LkSG §2 | Annex (광범위) |
| 의무 단계 | 9 | 6 (OECD 기반) |
| 제재 | €8M·매출 2% | 매출 5%·민사 책임 |
| 민사 소송 | NGO·노조 가능 | 명시적 민사 책임 |
| Climate Plan | X (별도 제도 X) | Article 22 Climate Transition Plan 의무 |
| 적용 시점 | 2023.01 | 2027~2029 |
CSDDD가 더 광범위·엄격. LkSG 인프라가 CSDDD 호환 70~80%.
5.2 LkSG·CSDDD 통합 운영
- 같은 Risk Analysis·Documentation·Beschwerdeverfahren 데이터를 양쪽에 활용
- LkSG가 CSDDD의 사전 시험 운영 역할
- 2027~2029 CSDDD 전환 시 자연스러운 확장
5.3 UFLPA·미국 통합
- LkSG Worker Voice + Documentation = UFLPA 입증
- 신장 출처 광물·면화 = LkSG Indirect Substantiated Knowledge
- Pre-Shipment Package 양쪽 호환
5.4 OECD Due Diligence·RBA·산업 표준 통합
- LkSG 9 = OECD 5 + 추가
- Tier 1 의무 + Industry Initiative (BCI·RSPO·RBA·Re|Source)
- Catena-X (자동차)·EU Battery Regulation (배터리) 통합
5.5 CSRD 통합
- LkSG Risk Analysis → ESRS S1·S2 데이터
- Climate (LkSG 외) → ESRS E1 별도 운영
- BAFA Report → CSRD Annex
5.6 Stage 5 산출물
- LkSG↔CSDDD 통합 매트릭스
- LkSG·UFLPA·OECD·RBA·CSRD 통합 거버넌스
- 산업 표준·Industry Initiative 통합 매핑
- 5년 EU·미국·아시아 글로벌 공급망 거버넌스
도입 비용 — 한국 중견 제조사 기준 (독일 자회사·매출 €500M)
| 항목 | Stage 1 | Stage 2 | Stage 3 | Stage 4 | Stage 5 |
|---|---|---|---|---|---|
| 인건비 (FTE) | 2명 × 3개월 | 4명 × 6개월 | 5명 × 6개월 | 4명 × 6개월 | 3명 상시 |
| 외부 컨설팅·법무 | $50K | $200K (Risk·Policy) | $200K (Preventive·Remedial) | $150K (BAFA·Audit) | $100K/년 |
| ESG SaaS·시스템 | $30K | $80K | $120K (Beschwerde 시스템) | $150K | $150K/년 |
| 공급자 감사 (Sedex·EcoVadis 등) | - | $80K | $200K | $200K | $200K/년 |
| 총합 | $80K | $360K | $520K | $500K | $450K/년 |
누적 도입 (~21개월): 약 $1.46M, 이후 연간 $450K.
대비 잠재 비용: BAFA 행정 제재금 최대 €8M / 공공조달 3년 박탈 / BMW·VW Tier 1 자격 손실 / 평판 손상.
EU·글로벌 공급망 실사법 비교
| 법규 | 발효 | 적용 | 핵심 |
|---|---|---|---|
| 독일 LkSG | 2023.01 | 1,000명+ | Tier 1·BAFA·€8M |
| 프랑스 Devoir de Vigilance | 2017.03 | 5,000명+ | NGO 소송 사례 다수 |
| 노르웨이 Transparency Act | 2022.07 | 대기업 | 인권 단독 |
| 네덜란드 Child Labour DD Act | 2022 | NL | 아동노동 단독 |
| 오스트리아 Lieferkettensorgfaltspflichtengesetz | 2023 | 대기업 | LkSG 호환 |
| EU CSDDD | 2027~ | EU + Non-EU €450M+ | 가장 광범위 |
| EU CSRD ESRS S2 | 2024~ | EU 공시 | Value Chain Workers |
| US UFLPA | 2022.06 | 미국 수입 | 신장 단독·Rebuttable |
| US Section 307 | 1930 | 미국 수입 | WRO·강제노동 |
| UK Modern Slavery Act | 2015 | UK £36M+ | Statement 공시 |
| 호주 Modern Slavery Act | 2018 | A$100M+ | Statement |
| 캐나다 Forced Labour Act | 2024 | 대기업 | Statement |
LkSG는 가장 운영 경험 풍부·CSDDD의 모델.
한국 기업 적용 사례 (가명)
Case 1 — 자동차 부품 OEM A (현대·BMW·VW·매출 €1B)
- 상황: 독일 자회사 직원 1,500명·2024.01 LkSG 의무. BMW·VW Tier 1 의무 부과
- 조치: Risk Officer 임명·Risk Analysis·Catena-X 가입·Code of Conduct 채택
- 결과: 2024.04 첫 BAFA Report·BMW·VW·Audi Tier 1 우선 협력사 등급
Case 2 — 전자 대기업 B (스마트폰·매출 €30B)
- 상황: 독일 R&D 센터·자회사 직원 2,000명. RBA 회원이지만 LkSG 별도 요건
- 조치: 기존 RBA·OECD 인프라 + LkSG 9개 의무 통합. SAP·Workday 시스템 통합
- 결과: 2024 BAFA Report 4월 제출·EU 공공조달 자격 유지
Case 3 — 화학 중견 C (특수화학·매출 €1B)
- 상황: 독일 자회사 직원 1,200명·BASF·Henkel 공급자 Substantiated Knowledge
- 조치: 인도·중국 Tier 2 광물 공급자 직접 감사·SCIP 데이터 통합
- 결과: 2024 BASF·Henkel 우선 협력사 등급·BAFA 자료 요청 즉시 대응
Case 4 — 의류 OEM D (셔츠·매출 €300M)
- 상황: 독일 H&M·C&A·Inditex 공급자. 방글라데시·베트남 공장
- 조치: BCI·Better Work·Sedex SMETA + LkSG Beschwerdeverfahren 다국어
- 결과: 2024 첫 LkSG Report·H&M·C&A·Inditex 우선 협력사
Case 5 — 식품 ODM E (가공식품·매출 €500M)
- 상황: 독일 자회사 직원 800명 (1,000명 미달)·간접 영향
- 조치: 자발적 LkSG 운영 (BMW·Bosch 공급망 위험 회피). 2026 1,000명 진입 대비
- 결과: 2025 자발 BAFA Report·신규 BMW·Bosch 수주
자가진단 체크리스트 (30문항)
Stage 1 — 적용·매핑
- LkSG 직접 적용 (1,000명+) 여부가 확정되었는가
- 간접 적용 (BMW·VW·Siemens 등 Substantiated Knowledge) 시나리오가 매핑되었는가
- 13 보호 법익 × 사업 활동 매트릭스가 있는가
- 9 Due Diligence 의무 매핑이 완료되었는가
- Tier 1·Tier 2~N 잠재 위험 매핑이 있는가
Stage 2 — Risk Management·Policy·Risk Analysis
- Risk Management System (ISO 31000·COSO 호환)이 구축되었는가
- Human Rights Officer가 임명·공지되었는가
- Grundsatzerklärung이 이사회 채택·웹사이트 공개되었는가
- Periodic Risk Analysis (연 1회)가 운영되는가
- Anlassbezogene Risk Analysis (Substantiated Knowledge) SOP가 있는가
Stage 3 — Preventive·Remedial·Beschwerde
- 자체 사업 활동 Preventive Measures (교육·H&S·임금·차별)이 운영되는가
- Tier 1 공급자 Code of Conduct·계약 조항·감사가 운영되는가
- Remedial Measures SOP (자체 + Tier 1 + Indirect 3 시나리오)이 있는가
- Beschwerdeverfahren (다국어·익명·외부 공개·접근성)이 운영되는가
- Documentation System (7년 보관·BAFA 즉시 제출 가능) 이 운영되는가
Stage 4 — BAFA·위반 대응
- Annual BAFA Report (4월 30일 마감)가 자동화되는가
- BAFA Audit 대응 SOP + Mock Audit이 분기 운영되는가
- 위반·시정 명령 시 SOP가 있는가
- D&O 보험 + 법무 자문 협력이 있는가
- NGO·언론 모니터링 채널이 있는가
Stage 5 — CSDDD·통합
- LkSG↔CSDDD 통합 매트릭스 (70~80% 호환)가 있는가
- UFLPA·OECD·RBA·CSRD와 LkSG 통합이 운영되는가
- Industry Initiative (BCI·RSPO·Re|Source·RBA·Catena-X) 통합이 있는가
- ESRS S1·S2·G1 데이터가 LkSG 데이터에서 자동 생성되는가
- 5년 EU·미국·아시아 통합 거버넌스 로드맵이 있는가
운영·통합
- 분기 KPI (Risk Score·Preventive·Remedial 진척·Beschwerde 응답률)가 경영회의에 보고되는가
- ESG SaaS·자체 ERP 통합 운영이 있는가
- 독일·EU·미국 공급망 법규 변경 추적 채널이 있는가
- BMW·VW·Siemens·BASF·Bayer·SAP 등 주요 고객 요구 응답 SOP가 있는가
- 2027~2029 CSDDD 전환 대비 인프라 확장이 진행되는가
마무리
LkSG는 EU 공급망 실사법의 작동 모델·CSDDD의 시험장이다. 20232024 본격 가동된 BAFA는 €8M 제재금·공공조달 3년 박탈·시정 명령 권한을 적극 행사하며, NGO 소송도 활발하다. 한국 자동차·전자·화학 OEM 자회사·공급자 약 5001,000개사가 직접·간접 영향권에 있다.
핵심 전략은 두 가지다. 첫째, 2024~2027 LkSG 운영 = CSDDD 대비 시험 — LkSG 9 의무 중 7080%가 CSDDD 6단계와 호환. LkSG 인프라가 자연스러운 CSDDD 전환 자산이 된다. 20272029 CSDDD 본격 적용 시점에 한국 본사도 자연스러운 확장 가능. 둘째, Beschwerdeverfahren + Documentation에 우선 집중 — BAFA 감독·NGO 소송 모두 이 두 영역의 약점을 공격한다. 다국어·익명·접근성 좋은 grievance 시스템과 7년 보관 documentation이 LkSG 핵심 방어선이다.
LkSG는 단일 법규가 아니라 EU 공급망 실사 인프라의 일부다. CSDDD·CSRD·UFLPA·OECD·RBA·BCI·RSPO·Catena-X와 모두 호환·통합 운영 가능. 한 번 인프라 구축하면 10개+ 보고·인증·고객 응답에 자동 활용된다. 한국 제조업은 지금 즉시 적용 평가·Risk Officer·Beschwerdeverfahren 3가지를 시작해야 BAFA 가동 및 CSDDD 본격 적용 시점에 대응할 수 있다.
통합 — 함께 보면 좋은 글
- CSDDD 공급망 실사 지침 실무 가이드 — EU 확장
- OECD Due Diligence 광물 공급망 실사 실무 가이드 — 광물 통합
- UFLPA 미국 신장위구르 강제노동 방지법 실무 가이드 — 미국 통합
- RBA Responsible Business Alliance 실무 가이드 — 전자 산업
- EU Battery Regulation·Battery Passport 실무 가이드 — Battery 통합
- CSRD·ESRS·CBAM 통합 ESG 보고 실무 가이드 — ESRS S1·S2 통합
- SA8000 사회적 책임 인증 실무 가이드 — 인증
- Sedex SMETA 4-Pillar Audit 실무 가이드 — 감사
- Catena-X 자동차 데이터 스페이스 실무 가이드 — 자동차 통합
- UN Guiding Principles on Business and Human Rights 실무 가이드 — 인권 기반