企业永续尽责调查：标准体系、OECD 六步骤与董事会内控流程

永续尽责调查（亦称尽职调查）应是一套持续运作的管理流程：从国际规范辨识人权与环境风险，由董事会监督，透过内部控制、申诉与补救机制落实，再以证据追踪成效。

本文以 OECD 六步骤为骨干，对照 CSDDD、CSRD 与台湾治理要求。**法规核对基准日为 2026 年 10 月 28 日；欧盟 Omnibus I 已完成部分修法，不宜再将 2025 年议会提案当成现行规定。**直接适用资格、集团规则、豁免及起算年度，仍须逐一判定。

一、整体架构与四层标准体系

管理主轴可串为：国际规范 → 风险导向 → 董事会监督 → 内部控制 → 尽责调查与补救。下列四层互相支援，但不是所有文件均具有法律强制力。

标准层次	主要依据	在管理系统中的角色
A. 国际软法与自愿标准	UNGPs、OECD 多国企业负责任商业行为指南及尽责调查指引	建立尊重人权、辨识不利影响与提供补救的基本方法。
B. 欧盟强制法规	CSDDD、CSRD 及适用的 ESRS	分别规范尽责调查与永续揭露；须依适用范围及会员国转置法判定义务。
C. 国际风险与内控框架	COSO 内控整合架构、ICSR 永续报导内控指引	建立资料责任、控制活动、监督与可信揭露；本身不是会计准则或普遍适用的法律。
D. 台湾在地法规与规范	公司法、证券交易法、金管会及证交所／柜买中心相关规范	连结董事责任、上市柜内控、永续资讯与产业别要求。

UNGPs 与 OECD 提供原则及方法；CSDDD 对纳管企业建立法律义务；CSRD 着重依双重重大性揭露资讯；COSO／ICSR 协助确保控制与资料品质。**揭露、内控与尽责调查相互支援，不能彼此替代。**OECD 可涵盖广泛业务关系；CSDDD 使用法定「活动链」范围，两者也不宜直接画上等号。参见 OECD 指引与 COSO 指引。

二、风险导向尽责调查：CSDDD 第 7–16 条对照

下表为流程对照，并非法律条文与 OECD 步骤的逐项等同。应合并阅读原指令与 Directive (EU) 2026/470 修正内容。

条文	应有流程与关键限制	OECD 对应
Art. 7	将尽责调查纳入政策及风险管理，载明方法、行为准则与程序；依规定事先谘询员工及其代表。重大变动後更新，至少每 24 个月审查政策。	Step 1
Art. 8	先依合理可得资讯进行风险范围辨识，再深入评估自身、子公司及活动链业务夥伴的高风险领域。	Step 2
Art. 9	依不利影响的严重度与可能性排序，优先处理最重大风险。	Step 2
Art. 10	预防或充分减缓潜在影响：依需要设计计画、时程、指标、合约措施与中小企业支持。2026 年修法後，最後手段着重符合条件的暂停关系及加强计画，不宜写成一律强制终止。	Step 3
Art. 11	终止实际不利影响；无法立即终止时，将程度降至最低，采矫正计画。暂停关系须评估衍生影响，并持续检视。	Step 3
Art. 12	对企业造成或共同造成的影响提供补救；仅由夥伴造成者，依规定可自愿补救并运用影响力促成改善。	Step 6
Art. 13	与相关利害关系人有意义互动，尤其关注权利持有人；法定谘询阶段以修正後条文为准。企业可采更完整的全流程互动。	跨步骤支持
Art. 14	建立通知机制及投诉程序，确保可近用、公平处理与防止报复。	支持 Step 2、6
Art. 15	以适当定性、定量指标评估措施有效性；修法後至少每 5 年评估，重大变动或措施失效、新风险讯号则须及时重评。这与政策每 24 个月审查不同。	Step 4
Art. 16	依法公开沟通尽责调查资讯，并检查与 CSRD 报导的豁免及衔接，避免误认所有企业都须重复申报。	Step 5

相关行动文件与佐证资料依 CSDDD 第 5 条至少保存 5 年；若其他适用法律要求更久，应从其规定。流程与时程请对照欧盟委员会 CSDDD 专页、原指令与 2026 年修正指令。

三、OECD 六步骤：可持续循环的执行骨干

**嵌入政策与管理系统：**制定负责任商业行为（RBC）政策，配置权责、预算、采购条件与供应商预资格审查。
**识别与评估不利影响：**从广泛范围辨识进入高风险深入评估，区分企业造成、促成或经业务关系直接连结的影响。
**停止、预防或减缓：**停止造成伤害的行为，建立行动计画，运用影响力促使夥伴改善；负责任退出须评估对受影响者的後果。
**追踪实施与结果：**检视改善是否有效，结合内外部查核及权利持有人回馈，追踪期限、覆盖率与实际成果。
**沟通处理方式：**对外揭露政策、风险、措施与成效，以受影响者可理解且具文化敏感性的方式沟通，同时保护个资与安全。
**提供或合作补救：**针对造成或促成的影响提供合适补救，例如回复原状或补偿，并设置可信任的营运层级申诉机制。

六步骤须随新供应商、营运变更及地缘风险循环更新。人权风险应看对人的伤害，包含规模、范围与不可补救性；严重人权影响不可因发生机率低而被简单风险乘积掩盖。参见 UNGPs 原则。

四、董事会层级落地：五步骤与关键产出

以下为治理建议；实际授权及法律责任应依公司所适用的法规与组织章程确认，不能推论 CSDDD 对所有台湾公司直接创设相同董事义务。

步骤	具体作为	关键产出
1. 政策与授权	董事会核定或监督政策、范围、权责、资源及报告频率，指定委员会或专责角色。风险偏好不得作为容许违法或侵害人权的依据。	政策、授权与责任表
2. 识别与评估	跨部门绘制活动及风险地图，收集资讯并听取权利持有人意见，必要时采独立专业查核。	风险地图与优先清单
3. 执行调查	依风险访谈、问卷、查阅纪录及现场验证，保留资料来源与查核限制。	调查报告与证据索引
4. 审议与决策	审议改善、补救或关系调整方案，记录理由、责任人、期限及决策对受影响者的影响。	决策纪录与改善计画
5. 监控与揭露	定期追踪 KPI、未结案件及补救成效，揭露适用且可公开的资讯。	仪表板、报告与追踪纪录

董事／高管背景、破产及不良讯息搜寻可用於交易或诚信调查，但不能取代人权与环境影响调查；蒐集个人资料时应遵守合法性、必要性及保密要求。

五、ESG 风险评估如何连结内控

**目标与边界：**先判定适用法规、营运与价值链范围，区分对人及环境的影响与对企业财务的风险。
**资讯与识别：**整合内外部资料、供应商纪录、申诉、访谈及风险资料库。SWOT 可辅助管理讨论，不能取代影响评估。
**评估与排序：**风险矩阵搭配严重度分析；双重重大性服务於 CSRD／ESRS 揭露判定，不是尽责调查排序的替代公式。1.5°C、4°C 等情境可按适用要求及目的选用，不是所有企业一律必测的固定组合。
**控制与改善：**将措施连至采购、承揽、员工及环境管理控制；财务风险的转移或接受，不能免除对不利影响的预防与补救。
**报告与沟通：**向管理阶层及董事会报告，依适用的 GRI／ESRS 等框架揭露；第三方查证应依法律、契约与风险需要安排。

六、内部查证与稽核：PDCA 与三道防线

阶段	执行重点
Plan 设计	依高风险领域及法规要求订年度稽核计画，明定范围、方法与抽样依据。
Do 执行	透过抽样、流程走查与访谈，评估控制设计及运作有效性。
Check／Act 报告与改善	向审计委员会或董事会报告缺失，设定责任人、期限及改善验证方式。
持续改善	依风险与适用要求定期检视，纳入新供应商、新法规与失效讯号。

三道防线（IIA 现称 Three Lines Model）可配置如下：

**营运单位：**负责日常 ESG 控制、纪录与改善。
**风险／合规单位：**提供方法、监督及挑战，协助评估风险。
**内部稽核：**独立评估治理、风险管理与前两道职能；不接手其日常控制责任。

外部查证可提供额外确信，但不取代内部稽核。参见 IIA 三道模型。

七、重要门槛与时程：以 2026 年已通过修法为准

Directive (EU) 2026/470 於 2026 年 2 月公布、3 月 18 日生效；以下是一般门槛摘要，不含所有集团、特许经营、过渡及豁免规则。

项目	2026 年修法後重点	企业应注意
CSDDD 一般门槛	欧盟企业：员工超过 5,000 人且全球净营收超过 €15 亿；非欧盟企业：欧盟净营收超过 €15 亿，并非套用相同员工条件。	按法定年度、集团及其他适用条件逐项检查；供应商收到问卷不代表直接纳管。
CSDDD 时程	会员国转置期限为 2028-07-26；企业义务自 2029-07-26 适用。Art. 16 报导自 2030-01-01 起开始的会计年度适用。	不宜沿用「2026 年转置、2028 年全面适用」的旧表述。
CSRD 一般门槛	欧盟企业一般门槛为员工超过 1,000 人且净营收超过 €4.5 亿；非欧盟集团另有欧盟营收与子公司／分公司条件。	不是 1,750 人；仍须判定报导年度、转置、合并与豁免。
民事责任与罚则	移除统一民事责任成立条件，依会员国法律处理；行政金钱罚款上限采全球净营收 3% 的规定。	不代表免责，也不是每项违规固定罚 3%；仍须阅读会员国法律及个案裁量。
气候转型计画	CSDDD 原 Art. 22 已删除。	不代表其他气候、揭露或契约义务一律改为自愿。
台湾永续资讯内控	自 2025 年起，上市柜公司须将永续资讯管理纳入内控，并列为年度稽核计画必要项目。	适用对象及细节依金管会、证交所及柜买中心规定判断。

上述欧盟门槛及时程可参考欧盟理事会最终通过说明；台湾内控措施参见证交所转载金管会说明。

**台湾没有「资本额 50 亿元以上，整本永续报告书一律须第三方验证」这项概括规则。**应分别检查产业指标确信、温室气体盘查及确信时程，以及永续资讯相关规范。证交所 2026 年 5 月 18 日修正的永续报告书作业办法对不同事项另订要求，不能将特定资讯确信扩张成整本报告保证。2026 年评监制度调整亦应与法定董事责任分开判读。

台湾企业即使未直接纳入 CSDDD／CSRD，仍可能面临欧盟客户的供应链资讯要求；应同时检查请求范围、保密、比例原则及适用的供应链资讯保护规定。

八、结论：标准流程应留下哪些证据？

企业可将六个工作包串成循环管理系统：治理政策与授权、风险地图与排序、预防与补救计画、利害关系人与申诉纪录、监控与揭露、内控与稽核追踪。每个工作包都应能指出责任人、更新触发条件、客观证据及改善结果。

OECD 提供执行骨干，CSDDD 规范纳管企业的义务，CSRD 处理适用的揭露，COSO／ICSR 支援内控品质。由董事会监督并持续检验实际影响，才能让承诺转为可追踪的管理行动，降低漏管与漂绿风险。

本文为一般治理与流程说明；实际适用应以最新官方法规、会员国转置法、台湾主管机关规范及个别企业事实为准。