지난 7월 25일 EU의 ‘기업 지속가능성 실사지침’(CSDDD)이 발효되면서 공급망 실사에 대한 관심이 높아졌다. 실사란 기업이 인권 및 환경에 미치는 부정적 영향을 사전에 식별하고 이를 예방 및 완화하는 절차이다. CSDDD는 기업이 자체 사업장과 자회사뿐만 아니라 공급망에 대해서도 실사할 것을 요구한다. 따라서 CSDDD가 직접 적용되는 대기업 이외에 해당 대기업에 제품이나 서비스를 공급하는 협력사도 공급망 실사에 대비할 필요가 있다.

우리 기업들은 적어도 수년 전부터 지속가능경영보고서에 ‘공급망 ESG 리스크 관리’ 활동을 공시해 왔다. 구매계약상 거래금액과 거래기간 등을 고려해 관리 대상 협력사를 선정하고, 해당 협력사에 자가진단 문항(SAQ)을 송부해 협력사의 ESG 경영 수준을 평가하며, 자가진단 결과 고위험 협력사로 분류된 곳에 찾아가 현장 조사를 한다. 현장 조사를 통해 구체적 위험이 식별되면 해당 협력사에 시정을 요구하거나 관련 교육 등을 제공한다. 이러한 공급망 ESG 리스크 관리 활동은 CSDDD가 요구하는 ‘공급망 실사’와 과연 무엇이 다른 것일까?

CSDDD가 실사를 바라보는 관점에 주목할 필요가 있다. CSDDD는 ‘위험-기반 실사’(risk-based due diligence) 원칙을 제시한다. 위험-기반 실사란 위험의 심각성과 발생 가능성에 비례하여 실사에 필요한 적절한 조치를 취해야 한다는 원칙이다. 이 원칙에 따르면 기업은 위험이 큰 사업장이나 협력사를 선정해 보다 심화된 평가를 실시해야 한다. 또한 실사 결과 드러난 이슈를 기업이 동시에 해결할 수 없다면 위험이 큰 이슈에 우선적으로 대응할 수 있다. 기업은 자원이 한정되어 있으므로 사업장과 협력사에서 발생가능한 모든 위험을 동등하게 관리하기 어렵다. 이를 고려해 CSDDD는 기업이 실사 절차에 우선순위 결정을 포함할 수 있도록 허용하면서도, 그러한 우선순위 결정은 위험에 비례해야 한다고 명시했다.

중요한 점은 이때의 위험이란 기업에 미치는 재무 또는 평판 리스크가 아니라, 사람이나 환경에 미치는 부정적 영향을 지칭한다는 것이다. 예를 들어 기업이 영세 하청업체 직원에게 갑질을 한 이슈가 발생했다고 가정해 보자. 이 이슈는 기업의 관점에서 평판이나 주가에 영향을 미치는 요소 중 하나일 수 있지만, 동시에 하청업체 직원의 관점에서 생계의 위협이나 정신적 고통이 될 수 있다. CSDDD는 전자의 ‘기업에 미치는 위험’(risk to business)이 아니라 후자의 ‘사람에 미치는 위험’(risk to people)의 심각성과 발생 가능성에 비례해 실사를 해야 한다고 규정하고 있는 것이다.

이러한 관점에서 지금 우리 기업의 공급망 ESG 리스크 관리 실무를 돌아볼 필요가 있다. 상당수의 기업들이 관리대상 협력사를 선정하는 기준으로 계약 상대방과의 거래금액과 거래기간을 제시한다. 이러한 기준은 ‘기업에 미치는 위험’을 고려한 기준일까, 아니면 ‘사람에 미치는 위험’을 고려한 기준일까. 구매금액이 큰 협력사에서 문제가 발생해 거래가 중단된다면 기업의 비즈니스에 미치는 영향이 상당할 수 있다. 다만 인권의 사각지대는 규모가 작거나 직접 계약관계가 없는 협력사에 존재할 개연성이 있다. 어쩌면 지금 우리의 실무는 CSDDD가 요구하는 위험-기반 실사 원칙을 제대로 반영하지 못하고 있을 수 있다.

CSDDD가 위험-기반 실사를 요구하는 것은 기업이 한정된 자원을 인권·환경적으로 가장 취약한 이해관계자의 문제를 우선적으로 해결하는 데 사용하는 것이 바람직하다는 취지에서이다. 물론 기업이 모든 공급망의 사각지대에서 발생한 인권·환경 침해에 대해 책임을 질 수는 없다. 다만 우리 기업들도 CSDDD의 취지에 따라 기존의 위험관리시스템에 위험-기반 실사의 원칙을 반영하여 적절한 조치를 취할 필요가 있다. 우리의 공급망 실사 관행이 형식적 수준을 넘어 이해관계자의 인권을 실질적으로 증진하는 데까지 나아갈 수 있기를 기대해 본다.