企業永續盡責調查：標準體系、OECD 六步驟與董事會內控流程

永續盡責調查（亦稱盡職調查）應是一套持續運作的管理流程：從國際規範辨識人權與環境風險，由董事會監督，透過內部控制、申訴與補救機制落實，再以證據追蹤成效。

本文以 OECD 六步驟為骨幹，對照 CSDDD、CSRD 與台灣治理要求。**法規核對基準日為 2026 年 10 月 28 日；歐盟 Omnibus I 已完成部分修法，不宜再將 2025 年議會提案當成現行規定。**直接適用資格、集團規則、豁免及起算年度，仍須逐一判定。

一、整體架構與四層標準體系

管理主軸可串為：國際規範 → 風險導向 → 董事會監督 → 內部控制 → 盡責調查與補救。下列四層互相支援，但不是所有文件均具有法律強制力。

標準層次	主要依據	在管理系統中的角色
A. 國際軟法與自願標準	UNGPs、OECD 多國企業負責任商業行為指南及盡責調查指引	建立尊重人權、辨識不利影響與提供補救的基本方法。
B. 歐盟強制法規	CSDDD、CSRD 及適用的 ESRS	分別規範盡責調查與永續揭露；須依適用範圍及會員國轉置法判定義務。
C. 國際風險與內控框架	COSO 內控整合架構、ICSR 永續報導內控指引	建立資料責任、控制活動、監督與可信揭露；本身不是會計準則或普遍適用的法律。
D. 台灣在地法規與規範	公司法、證券交易法、金管會及證交所／櫃買中心相關規範	連結董事責任、上市櫃內控、永續資訊與產業別要求。

UNGPs 與 OECD 提供原則及方法；CSDDD 對納管企業建立法律義務；CSRD 著重依雙重重大性揭露資訊；COSO／ICSR 協助確保控制與資料品質。**揭露、內控與盡責調查相互支援，不能彼此替代。**OECD 可涵蓋廣泛業務關係；CSDDD 使用法定「活動鏈」範圍，兩者也不宜直接畫上等號。參見 OECD 指引與 COSO 指引。

二、風險導向盡責調查：CSDDD 第 7–16 條對照

下表為流程對照，並非法律條文與 OECD 步驟的逐項等同。應合併閱讀原指令與 Directive (EU) 2026/470 修正內容。

條文	應有流程與關鍵限制	OECD 對應
Art. 7	將盡責調查納入政策及風險管理，載明方法、行為準則與程序；依規定事先諮詢員工及其代表。重大變動後更新，至少每 24 個月審查政策。	Step 1
Art. 8	先依合理可得資訊進行風險範圍辨識，再深入評估自身、子公司及活動鏈業務夥伴的高風險領域。	Step 2
Art. 9	依不利影響的嚴重度與可能性排序，優先處理最重大風險。	Step 2
Art. 10	預防或充分減緩潛在影響：依需要設計計畫、時程、指標、合約措施與中小企業支持。2026 年修法後，最後手段著重符合條件的暫停關係及加強計畫，不宜寫成一律強制終止。	Step 3
Art. 11	終止實際不利影響；無法立即終止時，將程度降至最低，採矯正計畫。暫停關係須評估衍生影響，並持續檢視。	Step 3
Art. 12	對企業造成或共同造成的影響提供補救；僅由夥伴造成者，依規定可自願補救並運用影響力促成改善。	Step 6
Art. 13	與相關利害關係人有意義互動，尤其關注權利持有人；法定諮詢階段以修正後條文為準。企業可採更完整的全流程互動。	跨步驟支持
Art. 14	建立通知機制及投訴程序，確保可近用、公平處理與防止報復。	支持 Step 2、6
Art. 15	以適當定性、定量指標評估措施有效性；修法後至少每 5 年評估，重大變動或措施失效、新風險訊號則須及時重評。這與政策每 24 個月審查不同。	Step 4
Art. 16	依法公開溝通盡責調查資訊，並檢查與 CSRD 報導的豁免及銜接，避免誤認所有企業都須重複申報。	Step 5

相關行動文件與佐證資料依 CSDDD 第 5 條至少保存 5 年；若其他適用法律要求更久，應從其規定。流程與時程請對照歐盟委員會 CSDDD 專頁、原指令與 2026 年修正指令。

三、OECD 六步驟：可持續循環的執行骨幹

**嵌入政策與管理系統：**制定負責任商業行為（RBC）政策，配置權責、預算、採購條件與供應商預資格審查。
**識別與評估不利影響：**從廣泛範圍辨識進入高風險深入評估，區分企業造成、促成或經業務關係直接連結的影響。
**停止、預防或減緩：**停止造成傷害的行為，建立行動計畫，運用影響力促使夥伴改善；負責任退出須評估對受影響者的後果。
**追蹤實施與結果：**檢視改善是否有效，結合內外部查核及權利持有人回饋，追蹤期限、覆蓋率與實際成果。
**溝通處理方式：**對外揭露政策、風險、措施與成效，以受影響者可理解且具文化敏感性的方式溝通，同時保護個資與安全。
**提供或合作補救：**針對造成或促成的影響提供合適補救，例如回復原狀或補償，並設置可信任的營運層級申訴機制。

六步驟須隨新供應商、營運變更及地緣風險循環更新。人權風險應看對人的傷害，包含規模、範圍與不可補救性；嚴重人權影響不可因發生機率低而被簡單風險乘積掩蓋。參見 UNGPs 原則。

四、董事會層級落地：五步驟與關鍵產出

以下為治理建議；實際授權及法律責任應依公司所適用的法規與組織章程確認，不能推論 CSDDD 對所有台灣公司直接創設相同董事義務。

步驟	具體作為	關鍵產出
1. 政策與授權	董事會核定或監督政策、範圍、權責、資源及報告頻率，指定委員會或專責角色。風險偏好不得作為容許違法或侵害人權的依據。	政策、授權與責任表
2. 識別與評估	跨部門繪製活動及風險地圖，收集資訊並聽取權利持有人意見，必要時採獨立專業查核。	風險地圖與優先清單
3. 執行調查	依風險訪談、問卷、查閱紀錄及現場驗證，保留資料來源與查核限制。	調查報告與證據索引
4. 審議與決策	審議改善、補救或關係調整方案，記錄理由、責任人、期限及決策對受影響者的影響。	決策紀錄與改善計畫
5. 監控與揭露	定期追蹤 KPI、未結案件及補救成效，揭露適用且可公開的資訊。	儀表板、報告與追蹤紀錄

董事／高管背景、破產及不良訊息搜尋可用於交易或誠信調查，但不能取代人權與環境影響調查；蒐集個人資料時應遵守合法性、必要性及保密要求。

五、ESG 風險評估如何連結內控

**目標與邊界：**先判定適用法規、營運與價值鏈範圍，區分對人及環境的影響與對企業財務的風險。
**資訊與識別：**整合內外部資料、供應商紀錄、申訴、訪談及風險資料庫。SWOT 可輔助管理討論，不能取代影響評估。
**評估與排序：**風險矩陣搭配嚴重度分析；雙重重大性服務於 CSRD／ESRS 揭露判定，不是盡責調查排序的替代公式。1.5°C、4°C 等情境可按適用要求及目的選用，不是所有企業一律必測的固定組合。
**控制與改善：**將措施連至採購、承攬、員工及環境管理控制；財務風險的轉移或接受，不能免除對不利影響的預防與補救。
**報告與溝通：**向管理階層及董事會報告，依適用的 GRI／ESRS 等框架揭露；第三方查證應依法律、契約與風險需要安排。

六、內部查證與稽核：PDCA 與三道防線

階段	執行重點
Plan 設計	依高風險領域及法規要求訂年度稽核計畫，明定範圍、方法與抽樣依據。
Do 執行	透過抽樣、流程走查與訪談，評估控制設計及運作有效性。
Check／Act 報告與改善	向審計委員會或董事會報告缺失，設定責任人、期限及改善驗證方式。
持續改善	依風險與適用要求定期檢視，納入新供應商、新法規與失效訊號。

三道防線（IIA 現稱 Three Lines Model）可配置如下：

**營運單位：**負責日常 ESG 控制、紀錄與改善。
**風險／合規單位：**提供方法、監督及挑戰，協助評估風險。
**內部稽核：**獨立評估治理、風險管理與前兩道職能；不接手其日常控制責任。

外部查證可提供額外確信，但不取代內部稽核。參見 IIA 三道模型。

七、重要門檻與時程：以 2026 年已通過修法為準

Directive (EU) 2026/470 於 2026 年 2 月公布、3 月 18 日生效；以下是一般門檻摘要，不含所有集團、特許經營、過渡及豁免規則。

項目	2026 年修法後重點	企業應注意
CSDDD 一般門檻	歐盟企業：員工超過 5,000 人且全球淨營收超過 €15 億；非歐盟企業：歐盟淨營收超過 €15 億，並非套用相同員工條件。	按法定年度、集團及其他適用條件逐項檢查；供應商收到問卷不代表直接納管。
CSDDD 時程	會員國轉置期限為 2028-07-26；企業義務自 2029-07-26 適用。Art. 16 報導自 2030-01-01 起開始的會計年度適用。	不宜沿用「2026 年轉置、2028 年全面適用」的舊表述。
CSRD 一般門檻	歐盟企業一般門檻為員工超過 1,000 人且淨營收超過 €4.5 億；非歐盟集團另有歐盟營收與子公司／分公司條件。	不是 1,750 人；仍須判定報導年度、轉置、合併與豁免。
民事責任與罰則	移除統一民事責任成立條件，依會員國法律處理；行政金錢罰款上限採全球淨營收 3% 的規定。	不代表免責，也不是每項違規固定罰 3%；仍須閱讀會員國法律及個案裁量。
氣候轉型計畫	CSDDD 原 Art. 22 已刪除。	不代表其他氣候、揭露或契約義務一律改為自願。
台灣永續資訊內控	自 2025 年起，上市櫃公司須將永續資訊管理納入內控，並列為年度稽核計畫必要項目。	適用對象及細節依金管會、證交所及櫃買中心規定判斷。

上述歐盟門檻及時程可參考歐盟理事會最終通過說明；台灣內控措施參見證交所轉載金管會說明。

**台灣沒有「資本額 50 億元以上，整本永續報告書一律須第三方驗證」這項概括規則。**應分別檢查產業指標確信、溫室氣體盤查及確信時程，以及永續資訊相關規範。證交所 2026 年 5 月 18 日修正的永續報告書作業辦法對不同事項另訂要求，不能將特定資訊確信擴張成整本報告保證。2026 年評鑑制度調整亦應與法定董事責任分開判讀。

台灣企業即使未直接納入 CSDDD／CSRD，仍可能面臨歐盟客戶的供應鏈資訊要求；應同時檢查請求範圍、保密、比例原則及適用的供應鏈資訊保護規定。

八、結論：標準流程應留下哪些證據？

企業可將六個工作包串成循環管理系統：治理政策與授權、風險地圖與排序、預防與補救計畫、利害關係人與申訴紀錄、監控與揭露、內控與稽核追蹤。每個工作包都應能指出責任人、更新觸發條件、客觀證據及改善結果。

OECD 提供執行骨幹，CSDDD 規範納管企業的義務，CSRD 處理適用的揭露，COSO／ICSR 支援內控品質。由董事會監督並持續檢驗實際影響，才能讓承諾轉為可追蹤的管理行動，降低漏管與漂綠風險。

本文為一般治理與流程說明；實際適用應以最新官方法規、會員國轉置法、台灣主管機關規範及個別企業事實為準。