欧盟Omnibus I收紧CSRD与CSDDD适用门槛

详细拆解

Omnibus I 现在是法律了。它以 Directive (EU) 2026/470 的形式，自2026年3月18日起生效。它里面真正对供应链要紧的，是两条关于适用范围、而不是关于实质内容的条款。从2027财年起，企业可持续报告指令（CSRD）只管员工超过一千人、且净营业额超过四亿五千万欧元的欧盟企业，按设计，这会让此前被纳入的绝大部分公司落到强制边界之外；上市中小企业整类退出。

企业可持续尽职调查指令（CSDDD）自2029年7月26日起，适用于员工超过五千人、且全球净营业额超过十五亿欧元的企业，行政罚款上限为全球净营业额的3%。另外，修订版欧洲可持续报告准则（ESRS）于2026年11月10日生效，强制数据点砍掉了六成以上。

把这一串数字按一个合规官必须读的方式去读，第一反应会是负担减轻了。对很多很多公司来说，纸面上确实如此。但像这样的星期里，我被问得最多的问题不是"我还在不在范围内"——这个问题拿一个员工人数和一个营业额，一下午就能答完。真正决定一家公司未来两年怎么动作的，是另一个问题，也是这篇文章要讲的：如果你落在强制边界之外，你是被免除了要求，还是只是被免除了自己去披露那个要求的义务？

这两件事不是一回事，把它们混为一谈，是眼下欧洲这套规则里最贵的一个错误。严格讲，一条指令的适用范围条款，告诉你的是谁必须遵守这条指令。它不告诉你谁必须让你的客户满意；而在一条供应链里，这是两个不同的人群，用两把不同的尺子量，按两个不同的钟走。

先从律师会开始的地方开始，也就是边界，因为其他所有结论都从这条线划在哪里长出来。

Omnibus I 挪了两条线，方向不同，钟也不同。CSRD这条线往上抬了：门槛现在是一千名员工以上、净营业额四亿五千万欧元以上，自2027财年起。对一大批中型公司来说，效果就是它们离开了强制范围。上市中小企业豁免是这一步最锋利的表达，因为上市中小企业原本是一个带报告义务的类别，现在不是了。CSDDD这条线既往上抬，也在时间上往后挪：它自2029年7月26日起才生效，只管五千名员工以上、全球净营业额十五亿欧元以上，罚款上限定在3%。

修订版ESRS，2026年11月10日生效，把强制数据点的数量砍掉了六成以上。合起来看，这套打包是一个刻意的收窄。它是一个减少受报人群的政治决定，就应该被这么描述，而不是被描述成一次废止。

现在说不变的那部分，而这里分析必须谨慎，不能只图让人安心。CSRD是一部报告指令。它管的是在范围内的公司必须披露什么、在哪里披露。CSDDD是一部尽职调查指令。它管的是在范围内的公司必须就其价值链做什么，并把没做到的后果跟责任和罚款挂上。这两部都不是供应链里流动的大部分可持续信息的来源。大部分这类信息的来源，是买方。一家仍在CSRD范围内的大公司，仍旧要就自己的价值链做报告，而那份报告背后的数据，很大一部分来自它的供应商。

一家仍在CSDDD范围内的大公司，仍旧要横跨它的活动链做尽职调查，而它需要的配合，来自同一批供应商。指令把义务落在范围内的公司身上。范围内的公司把请求落在供应商身上。Omnibus I 没有改变这条传导链上的任何一环。

这就是如果格式允许、我会加粗的那一点，也是眼下报道容易跳过的那一点。一家被移出强制边界的供应商，并没有被移出信息流。它是被免除了以自己的名义去公布那份信息的义务。它会不会照样被问到同样的信息，取决于它的客户是谁、这些客户要合规什么。一家向仍在CSRD范围内的欧洲上市制造商供货的中型零部件厂，会被问到排放数据、它运营里的物理风险，以及它员工队伍里的社会指标，因为买方需要这些数去申报。供应商自己的法律地位也许简化了。它跟客户的互动没有，而那个互动，不是那部法规，才是塞满它合规日历的东西。

现在说那个决定一家公司该预期多少工作量的区分，因为"在范围内"和"被问到数据"是两个不同的问题，有两个不同的答案。一家在范围内的公司，面对的是一条由指令和准则定义的固定义务，数据点是定死的，鉴证的路径也是定死的。一家在范围外、但卖给一家在范围内买方的公司，面对的是由一份合同、一份问卷或一套供应商准则定义的义务，它是浮动的、在边际上可谈的，而且是由客户自己的合规需要、而不是由一个立法机关来定的。头一种义务是齐整、可预期的。第二种是定制的，而定制义务在实践中往往既更宽、又更不宽容，因为一个需要某个数的买方，会按适合它的形式、在它的截止日、用它自己那套范围定义来要。

具体看谁吸收了这次变化、谁没有。一家从CSRD边界里掉出来的上市中小企业，不再申报自己的可持续报告。如果这家中小企业是一家大型上市公司集团的供应商，这个集团的报告义务没变，集团照样需要价值链数据。报告义务并没有从链上消失；它是往上移到了链的上游，并从一项披露义务变成了一项采购要求。对这家中小企业来说，实际变化往往是：义务变得不那么正式、不那么有据可查，但未必更轻，因为客户对数据的索要，可能比一条准则更苛刻，恰恰因为它不受一份公布的数据点清单的约束。准则是保护申报者的，它划定了"够"是什么。客户的问卷不划定，它从来也不划定。

还有第二个效应，更微妙、更阴，也是我在关于Omnibus这套方案的各种评论里没见人谈过的一点。多年来，很大一批公司满足可持续预期的方式，是跟着人群走。它们大致披露同行披露的东西，大致报这个行业报的指标，靠的是"大家都在同一条船上、所以谁也不会被暴露成异类"这个事实。ESRS那份数据点清单，正是让这件事成立的那个参照点；它是所有人都能瞄准的公分母。Omnibus I 把一大群公司挪出了那个共同框架，又给留在里面的公司减了强制数据点。

结果是参照样本在缩小。一家过去能说"我们报的和可比的同行一样"的公司，越来越指不出可比同行了，因为同侪群体里相当一部分不再强制披露任何东西。拿市场做对标，变成了拿一个更小、更不具代表性的群体做对标，而一家公司披露的东西和客户想要的东西之间的差，变得更显眼，不是更不显眼。

把日期按顺序排一遍，因为时间本身就是实质要点，不是细节。修订版ESRS2026年11月10日生效。CSRD范围变化自2027财年适用。CSDDD的义务要等到2029年7月26日才开始。这是三个不同的钟，一家把它们当成同一个截止日的公司会排错计划。一家落在CSRD范围内的公司，得按修订后的准则为2027财年做好准备，这比眼下很多评论暗示的要近。

一家落在CSRD范围外、但预期2029年进CSDDD范围的公司，跑道更长，可终点那头的义务更重，因为CSDDD讲的是行为和责任，不只是公布数字。一家两个都落在范围外、但给一家在范围内的买方供货的公司，走的是买方的钟，而那个钟由买方自己的合规日历设定，可能是三个里最早的。

现在说边界条件，因为一个结论会在这里翻转，而一家按一种读法排了计划的公司会在这里发现自己暴露了。头一个边界是客户的范围。一家假设自己范围外的供应商，只在自己那项义务上是对的。如果它的客户在范围内，这家供应商就在跟一个范围内实体的一种数据关系里，而实际要求就活在这段关系里。第二个边界是产品的性质。当一个货物带着嵌入式排放画像、一项尽职调查敞口或一个强迫劳动风险时，买方对底层数据的需要，不取决于供应商的规模。

一个小供应商供应一种高风险投入品，会被要求跟大供应商同样的信息、同样的时间线。第三个边界是准则的修订周期。修订版ESRS自2026年11月10日起把强制数据点砍了六成以上，任何按旧清单搭过数据模型的公司，都该核对一下自己在收的数据还对不对得上一条要求，还是已经变成自愿的了。一个不再强制填报的数据点，未必是一个客户已经不再索要的数据点。

有一点我要说准，因为它既容易被夸大、也容易被轻描淡写。Omnibus I 是一次真实的减法。受强制报告的人群小了，CSDDD门槛高了，罚款上限定死在3%，数据点负担实打实地降了。这不是粉饰，这是条文本身。但这次减法，减的是法定那一层，而对一个嵌在供应链里的实体来说，法定那一层从来不是要求的全部。对一家给欧洲大买方供货的一级供应商来说，法定那一层在实践中一直是负担里较小的那一块。更大的一块，向来是客户关系，而那一块，指令碰都没碰。一家把 Omnibus I 读成一个"可以收摊了"信号的公司，是在把一条适用范围条款，当成对它商业未来的预测来读，而这是两份不同的文件。

还有一个结构性的不对称值得点名，因为它解释了这种挤压落在哪里。范围内的买方，不是只有一个请求的单一买方。它是有报告义务、有尽职义务、有采购政策、有融资条件、还有名声要护的买方，而这些并不都坐在同一个门槛上。一家被移出CSRD边界的公司，可能还在银行一条挂钩可持续条款的授信条件里，在一家大客户供应商准则里，在交易所或投资人期待的一份披露的范围里。指令范围是几条线里的一条。一个只盯指令那条线的计划流程，会漏掉其他几条，而其他几条往往才是硬约束，因为它们是在私人之间可签约、可执行的，其即时性跟一项公法报告要求不在一个层级上。

这里还有一个谈判层面的结果，也是供应商真正能用上的一部分。当法定义务待在指令里时，供应商回应客户问卷，是没有余地去定义这个请求的范围的；是准则在定义。指令一收窄，客户的请求就从一项法定索要，变成了一项合同式索要，而合同式索要在边际上是可以谈的。懂这一点的供应商，可以对自己经济上做不出来的某个数据点提出异议，拿出一个满足买方实际申报需要的替代方案，约定一个合理而不是任意的截止日。

对一家中型公司来说，这是实打实的改善，而它之所以存在，恰恰因为这个请求现在是商业的、而不是被监管的。同一个处境里的风险是自满：一家以为"指令缩了、客户的索要也会跟着缩"的供应商，会在问卷原封不动送到时傻眼，而且它是从一个比事先把这段关系摸清楚更弱的位置上去谈。

把这整件事收进一句话，因为这个点值得说尖。Omnibus 这套方案改变的，是谁必须报告。它没有改变谁必须供货。一家公司的强制义务，是指令门槛的函数，那些门槛动了。一家公司的实际义务，是它商业关系的函数，那些没动，因为这些关系本来就不是由指令定义的。两者相关，但不相同；错误就在于把第一个当成第二个的代理。门槛一动，两者之间的缝就变宽，而公司正是在这条变宽的缝里被抓住的——不是被指令抓住，是被那个仍然需要这个数、却已经没有一条法规可以指着说"这是为什么"的客户抓住。一个把自己整套合规计划围着指令门槛搭、别的都不管的供应商，会发现它最信的那份文件，已经变成它实际被要求证明的东西里较小的一块。

现在说收尾的指示，也是每当一个范围问题要靠一条门槛来回答时我都会给的那一条。先把自己的位置定下来，精确地、书面地：在还是不在范围内、依据哪份文件、从哪天起、基于哪些事实。然后确定你客户的位置，因为你的实际要求，是他们的义务传导到你身上的。然后、也只有到那时，再决定继续收什么。一家只卖给跟可持续条毫无挂钩的非欧洲买方的公司，答案也许真的是停止申报，这家公司应该没有遗憾地停下。

一家处在一条止于某个范围内欧洲买方的价值链上的公司，答案会是：不管指令怎样，数据请求照样来；这家公司该按买方的时间线准备，而不是被指令的时间线宽了心。这取决于情况，就像这类问题里它一贯的那样；而它取决于一些事实，这些事实公司能、也应该自己去核实，而不是从一篇关于边界的头条里假定出来。

↑ 返回核心要点

— 作者 傅英格