협력사에서 발생하는 ESG 리스크를 어떻게 예방할 수 있을까? 가장 통용되는 방법은 기업이 ‘협력사 행동 규범’(supplier code of conduct)을 만들고 협력사로 하여금 이를 준수하도록 하는 것이다. 즉, 기업은 자신과 거래하는 협력사가 지켜야 할 노동·인권·환경·윤리 등에 관한 준칙을 문서로 제정하여 공표한다. 기업은 협력사에 이 문서를 준수할 것을 권고하거나, 협력사로부터 행동 규범 준수에 관한 서약서를 받거나, 협력사와의 계약서에 행동 규범 준수 조항을 삽입하기도 한다. 행동규범을 지키는 협력사에 인센티브를 부여하기도 하고, 행동 규범을 위반하는 협력사가 있는지 정기적으로 점검하여 시정조치를 취하기도 한다. 행동 규범의 내용은 점점 진화했다. 한 연구 결과에 의하면, 2008년부터 2019년 사이 S＆P500 기업이 공시한 행동 규범의 길이는 29% 증가했다. 애플의 협력사 행동 규범 및 부속문서의 분량은 206쪽이다. 전 세계적으로 기업의 사회적 책임에 대한 기대 수준이 높아지고 해외 사업장에서 준수할 ESG 규제가 늘어났다. 기업은 투자자, 고객사, NGO 등의 요구사항을 행동 규범에 반영해 더 많은 글로벌 준칙을 준수하겠다고 선언했다. 행동 규범은 기업이 자율적으로 정하는 규칙에서 시작했지만, 이제 법령상 의무가 되었다. EU의 ‘기업 지속가능성 실사지침’(CSDDD)은 기업이 자사, 자회사 및 협력사에 적용될 행동 규범을 제정하도록 규정했다. 행동 규범은 조달·고용·구매 결정 등 기업의 모든 기능과 운영에 반영되어야 하며, 기업은 직간접 협력사에 행동 규범의 적용을 확대하고 이행을 검증하는 조치도 마련해야 한다. 예를 들어 CSDDD는 기업이 협력사로부터 행동 규범을 준수하겠다는 ‘계약상 보증’(contractual assurance)을 받고, 협력사가 이를 준수하는지 독립적 제3자를 통해 검증할 수 있도록 했다. 조금 의문이 든다. 더 많은 글로벌 준칙을 기업의 행동 규범에 포함하고 협력사에 이를 준수하도록 요구하면, 공급망에서 ESG 리스크의 발생을 줄일 수 있는가? 물론 기업의 윤리적 행동에 대한 기대 수준을 전반적으로 높이는 것은 바람직하다. 다만 중소 규모 협력사는 인력과 자원이 한정되어 있기에 ESG 리스크를 효과적으로 통제하기 어려울 수 있다. 그렇다고 주거래처가 요구한 행동 규범의 준수 및 검증에 관한 계약 조항에 날인을 거절하기도 쉽지 않다. 문제 해결 역량이 부족한 협력사에 계약상보증을 요구하는 것만으로 공급망에서 인권·환경 침해를 실질적으로 예방하기 힘들 수 있는 것이다. 협력사에 요구사항을 전달하는 것도 중요하지만, 협력사에 책임을 다하는 것도 필요하다. 독일 정부는 공급망 실사법 해설 가이드에서 기업이 개별 사안에 따라 적절한 조치를 취해야 한다고 강조하면서 다음의 사례를 예시했다. A기업의 한 협력사에서 최저임금 미지급 이슈가 불거졌다. A기업은 협력사 행동 규범에 ‘적정임금의 보장’이 명시되어 있다며 협력사들에 시정 및 검증을 요구했다. 확인해보니 최근 최저임금이 상승했지만 A기업의 구매대금은 그대로여서 협력사들이 직원들에게 최저임금을 지급하기가 구조적으로 어려운 상황이었다. A기업은 기존의 구매대금 결정 기준 및 지급 관행을 개선하는 조치를 취함으로써 최저임금 미지급 이슈를 실질적으로 해결하게 되었다. 회사와 협력사, 대기업과 중소기업은 공급망 ESG 리스크를 예방하기 위해 함께 노력해야 한다. 협력사는 행동 규범을 성실히 이행하고, 회사는 책임 있는 구매 관행을 정립해 협력사를 지원할 필요가 있다. 또한 대기업과 중소기업은 서로 동등한 조건에서 ESG 책임을 약속하는 것이 바람직하다. CSDDD도 “계약상 보증은 회사와 협력사가 책임을 적절히 분담할 수 있도록 설계되어야” 하며, “중소기업으로부터 계약상보증을 받거나 중소기업과 계약을 체결할 때 사용되는 조건은 공정하고 합리적이며 비차별적이어야 한다”고 명시했다. 우리 공급망에서 책임 있는 기업 행동과 구매 관행이 한 걸음 더 나아갈 수 있기를 기대해 본다.

지난 7월 25일 EU의 ‘기업 지속가능성 실사지침’(CSDDD)이 발효되면서 공급망 실사에 대한 관심이 높아졌다. 실사란 기업이 인권 및 환경에 미치는 부정적 영향을 사전에 식별하고 이를 예방 및 완화하는 절차이다. CSDDD는 기업이 자체 사업장과 자회사뿐만 아니라 공급망에 대해서도 실사할 것을 요구한다. 따라서 CSDDD가 직접 적용되는 대기업 이외에 해당 대기업에 제품이나 서비스를 공급하는 협력사도 공급망 실사에 대비할 필요가 있다. 우리 기업들은 적어도 수년 전부터 지속가능경영보고서에 ‘공급망 ESG 리스크 관리’ 활동을 공시해 왔다. 구매계약상 거래금액과 거래기간 등을 고려해 관리 대상 협력사를 선정하고, 해당 협력사에 자가진단 문항(SAQ)을 송부해 협력사의 ESG 경영 수준을 평가하며, 자가진단 결과 고위험 협력사로 분류된 곳에 찾아가 현장 조사를 한다. 현장 조사를 통해 구체적 위험이 식별되면 해당 협력사에 시정을 요구하거나 관련 교육 등을 제공한다. 이러한 공급망 ESG 리스크 관리 활동은 CSDDD가 요구하는 ‘공급망 실사’와 과연 무엇이 다른 것일까? CSDDD가 실사를 바라보는 관점에 주목할 필요가 있다. CSDDD는 ‘위험-기반 실사’(risk-based due diligence) 원칙을 제시한다. 위험-기반 실사란 위험의 심각성과 발생 가능성에 비례하여 실사에 필요한 적절한 조치를 취해야 한다는 원칙이다. 이 원칙에 따르면 기업은 위험이 큰 사업장이나 협력사를 선정해 보다 심화된 평가를 실시해야 한다. 또한 실사 결과 드러난 이슈를 기업이 동시에 해결할 수 없다면 위험이 큰 이슈에 우선적으로 대응할 수 있다. 기업은 자원이 한정되어 있으므로 사업장과 협력사에서 발생가능한 모든 위험을 동등하게 관리하기 어렵다. 이를 고려해 CSDDD는 기업이 실사 절차에 우선순위 결정을 포함할 수 있도록 허용하면서도, 그러한 우선순위 결정은 위험에 비례해야 한다고 명시했다. 중요한 점은 이때의 위험이란 기업에 미치는 재무 또는 평판 리스크가 아니라, 사람이나 환경에 미치는 부정적 영향을 지칭한다는 것이다. 예를 들어 기업이 영세 하청업체 직원에게 갑질을 한 이슈가 발생했다고 가정해 보자. 이 이슈는 기업의 관점에서 평판이나 주가에 영향을 미치는 요소 중 하나일 수 있지만, 동시에 하청업체 직원의 관점에서 생계의 위협이나 정신적 고통이 될 수 있다. CSDDD는 전자의 ‘기업에 미치는 위험’(risk to business)이 아니라 후자의 ‘사람에 미치는 위험’(risk to people)의 심각성과 발생 가능성에 비례해 실사를 해야 한다고 규정하고 있는 것이다. 이러한 관점에서 지금 우리 기업의 공급망 ESG 리스크 관리 실무를 돌아볼 필요가 있다. 상당수의 기업들이 관리대상 협력사를 선정하는 기준으로 계약 상대방과의 거래금액과 거래기간을 제시한다. 이러한 기준은 ‘기업에 미치는 위험’을 고려한 기준일까, 아니면 ‘사람에 미치는 위험’을 고려한 기준일까. 구매금액이 큰 협력사에서 문제가 발생해 거래가 중단된다면 기업의 비즈니스에 미치는 영향이 상당할 수 있다. 다만 인권의 사각지대는 규모가 작거나 직접 계약관계가 없는 협력사에 존재할 개연성이 있다. 어쩌면 지금 우리의 실무는 CSDDD가 요구하는 위험-기반 실사 원칙을 제대로 반영하지 못하고 있을 수 있다. CSDDD가 위험-기반 실사를 요구하는 것은 기업이 한정된 자원을 인권·환경적으로 가장 취약한 이해관계자의 문제를 우선적으로 해결하는 데 사용하는 것이 바람직하다는 취지에서이다. 물론 기업이 모든 공급망의 사각지대에서 발생한 인권·환경 침해에 대해 책임을 질 수는 없다. 다만 우리 기업들도 CSDDD의 취지에 따라 기존의 위험관리시스템에 위험-기반 실사의 원칙을 반영하여 적절한 조치를 취할 필요가 있다. 우리의 공급망 실사 관행이 형식적 수준을 넘어 이해관계자의 인권을 실질적으로 증진하는 데까지 나아갈 수 있기를 기대해 본다.