全球供应链ESG强制披露升级：上下游全链条ESG信息归集、核验与风险治理

全球供应链ESG强制披露升级：上下游全链条ESG信息归集、核验与风险治理

报告作者：亚伯拉罕供应链管理（苏州）有限公司、亚伯拉罕供应链研究院、亚伯拉罕供应链联盟、亚伯拉罕合规网
报告时间：2026 年 8 月

摘要

全球范围内 ESG 监管已经从自愿性倡议全面转向法定强制披露体系，以欧盟 CSRD、CSDDD、CBAM 为代表的一批法案持续迭代，将企业可持续发展责任穿透至二级、三级乃至更深层级供应链网络，环境、社会、治理维度的合规义务不再局限于企业自身经营主体，延伸至全部商业合作伙伴与上下游价值链全环节。供应链 Scope3 排放、劳工权益、生物多样性、反腐败、冲突矿产等议题被纳入强制披露与尽职调查范畴，对跨国经营企业提出全链条 ESG 信息归集、交叉核验、动态风险识别、整改闭环治理的硬性要求。

当前全球供应链体系普遍面临多层级供应商信息碎片化、中小供应商 ESG 数据能力薄弱、多标准并行带来核算口径冲突、数据真实性核验手段不足、跨境供应链风险隐蔽性增强等现实困境。大量企业仍然依靠 Excel 表格、邮件问卷完成供应商信息采集，数据完整性、真实性、时效性难以满足监管合规门槛，一旦出现供应链 ESG 违规事件，企业将面临行政处罚、产品扣押、订单流失、品牌声誉受损、跨境诉讼连带责任等多重后果。

本报告系统梳理全球供应链 ESG 强制披露规则迭代现状，剖析全链条 ESG 信息归集、核验环节的现实痛点，构建供应链 ESG 风险识别、评估、处置、持续监控的完整治理框架，区分链主企业、一级供应商、中小配套主体不同角色的落地路径，探讨数字化工具、第三方核验、供应链赋能、合同约束等多元实施手段，同时研判中国市场主体出海经营过程中的合规挑战，为参与全球贸易的各类市场主体提供理论参考与实践指引。

关键词：供应链 ESG；强制披露；信息归集；数据核验；供应链风险治理；价值链尽职调查

一、绪论

1.1 研究背景

2020 年之后，全球可持续发展监管框架发生根本性变革，过去数十年以 GRI、SASB 等框架为主导的自愿披露模式逐步被法定强制披露体系替代。欧美、部分亚太经济体相继出台法案，把 ESG 尽职调查义务向下游采购、向上游原材料供应链进行强制延伸，监管逻辑从 “企业自身披露” 转向 “全价值链穿透式责任”。

欧盟作为全球 ESG 监管规则的主要输出方，《企业可持续发展报告指令》（CSRD）确立强制可持续报告与有限鉴证要求，《企业可持续发展尽职调查指令》（CSDDD）明确企业对供应链环境与人权损害承担尽职调查义务，未履行义务企业最高可处以全球营业额 3% 的罚款，法案经过 2026 年 Omnibus I 修订之后，虽然收窄适用企业门槛，但对纳入范围企业的供应链穿透义务并未弱化，分阶段落地时间表持续推进，大量非欧盟出口企业虽然不直接受法案约束，但会被欧盟客户传导合规压力，被动承接全套供应链 ESG 尽调要求。同时 CBAM 碳边境调节机制、电池法规数字电池护照、数字产品护照 DPP 等专项法规，进一步推动供应链碳足迹、原材料溯源、劳工条件等信息必须实现可记录、可核验、可追溯。

除欧盟之外，美国、英国、加拿大、新加坡等经济体也陆续出台供应链人权、气候相关披露法案，资本市场层面交易所上市规则强化 ESG 信息强制报送，全球大型跨国企业采购合同中 ESG 条款已经成为标准化模块。供应链 ESG 不再是企业社会责任宣传工具，转变为国际贸易市场准入的硬性门槛，ESG 信息质量直接决定企业订单获取、市场准入、融资评级、品牌安全等核心商业利益。

从产业现实层面看，企业自身的直接排放、环境风险往往占比有限，大量环境、社会风险集中分布在上下游供应链环节。根据 GHG Protocol 统计，多数制造业企业 Scope3 供应链端碳排放占企业总碳排放比重超过 70%，劳工侵权、环境污染、矿产冲突等重大 ESG 负面事件绝大多数爆发于二三级供应商环节，而这部分主体长期处于企业传统管理视野之外，形成巨大合规盲区。

监管强制披露升级之后，监管机构、投资者、海外客户不再接受 “对上游供应商无法管控” 作为免责理由，市场主体必须建立常态化机制，完成全链条 ESG 信息归集，开展真实性核验，建立风险识别、整改、跟踪闭环，供应链 ESG 治理能力成为全球化经营企业的必备基础能力。

1.2 研究意义

理论层面，现有国内研究较多聚焦单一企业 ESG 报告编制，针对供应链全链条信息归集、核验完整体系的系统性研究相对有限。本报告厘清强制披露背景之下供应链 ESG 治理完整逻辑，区分信息采集、校验、风险处置、持续监控全流程，丰富价值链 ESG 尽职调查本土化理论框架，厘清国际法案对国内供应链主体的传导路径，弥补多层级供应链 ESG 实操理论缺口。

实践层面，大量国内制造、外贸、供应链服务企业正在面对海外客户源源不断的 ESG 数据报送、供应商尽调需求。很多企业内部没有标准化流程，面对多套国际标准、多层级供应商，出现数据收集难、核验缺手段、风险不知道如何处置的困境。本报告针对链主企业、中小型供应商分别给出可落地的实施思路，帮助企业识别合规漏洞，规避跨境贸易当中的行政处罚、订单丢失、舆情声誉风险，平衡合规落地与供应链韧性维护之间的关系。

1.3 研究范围与研究方法

本报告研究范围聚焦全球供应链 ESG 强制披露浪潮之下，跨层级上下游供应链的 ESG 信息归集、核验、风险治理全流程，覆盖环境、社会、治理三大维度，重点覆盖一级、二级及更深层级供应商，兼顾上游原材料供应端与下游分销合作网络。报告主要面向跨国经营制造业企业、供应链平台企业、外贸出口企业、供应链服务商。

研究方法包含文献研究法，梳理欧盟 CSRD、CSDDD、CBAM 以及 GRI、ESRS 等主流披露标准；案例分析法，参考全球制造业、新能源行业供应链 ESG 落地实践案例；归纳演绎法，总结当前供应链 ESG 落地普遍痛点，搭建信息归集‑核验‑风险治理完整工作框架。本报告不针对特定企业出具合规判定，仅做行业层面研究分析。

二、全球供应链 ESG 强制披露规则升级态势

2.1 欧盟核心法案体系的迭代与供应链义务

欧盟形成 “披露义务 + 尽职调查义务 + 专项产品合规” 三位一体监管体系，是驱动全球供应链 ESG 变革的核心力量。

第一，CSRD《企业可持续发展报告指令》，依托 ESRS 欧洲可持续披露准则，要求适用企业披露价值链当中重大可持续发展影响，强制 Scope3 相关重大环境数据披露，并且报告需要取得有限鉴证，也就是第三方机构对 ESG 信息开展有限保证审核，改变过去纯自我报告模式，倒逼供应链来源的数据必须具备佐证材料支撑。经过 2026 年 Omnibus I 修订，CSRD 适用门槛上调，要求企业同时满足员工 1000 人以上、全球净营业额 4.5 亿欧元以上，非欧盟企业在欧营业额达标同样需要履行报告义务，分批次实施，2027 财年起正式执行修订后规则，虽然受约束企业数量大幅缩减，但大型链主企业的供应链披露义务保持不变，会通过商业合同向下传导至全球供应链合作伙伴。

第二，CSDDD《企业可持续发展尽职调查指令》，核心是价值链尽职调查法律责任，要求企业识别、预防、减轻自身以及供应链当中的人权侵害、环境破坏风险，出现损害事件要开展补救，并且完整公开尽职调查全流程信息，企业未尽合理尽职调查义务需要承担民事法律责任。修订后法案门槛提升至全球营业额 15 亿欧元、员工 5000 人以上，2029 年正式生效。即便大量中国企业不在法案直接管辖范围，但是欧盟境内客户为满足自身法定责任，会把尽职调查要求写入采购合同，强制要求上游供应商提交 ESG 信息、接受审核、落实整改，形成强商业传导效应，这也是绝大多数国内出口企业面对的现实压力来源。

第三，专项产品法规形成供应链硬约束。CBAM 碳边境调节机制，对进口钢铁、铝、水泥、化肥、电力、氢气等产品征收碳成本，企业必须提交进口产品完整供应链碳核算数据；欧盟电池法规配套数字电池护照，2027 年落地，要求锂电池全生命周期溯源，把矿山原材料、加工制造、回收循环全链条 ESG 信息纳入数字护照，出口企业必须完成上游多层级信息归集；数字产品护照 DPP 未来将逐步拓展到纺织品、电子等更多品类，产品供应链 ESG 信息将和商品流通绑定在一起。

2.2 其他主要经济体监管演进

美国没有统一的综合性 ESG 披露法案，但通过多部法案形成供应链约束。《乌伊拉法案》针对刚果（金）冲突矿产实施供应链溯源；海关 CBP 依据《防止强迫维吾尔劳动法》实施进口扣押，要求进口商提供供应链不存在强迫劳动的证据，供应链人权尽职调查不达标货物直接禁止入境，对全球供应链形成强力震慑。美国 SEC 气候相关披露规则持续推进，上市公司需要披露供应链相关重大气候风险。

英国出台《企业尽职调查法案》聚焦供应链强迫劳动风险；新加坡交易所强化上市公司可持续发展披露；加拿大《强迫劳动禁止进口法》禁止强迫劳动关联商品进口。全球资本市场层面，各大交易所持续升级 ESG 披露要求，投资机构将供应链 ESG 风险作为投前尽调核心指标。

整体观察，全球监管呈现三大共同趋势：第一，责任向下穿透，不再局限企业自身，强制延伸至上下游多层级供应链；第二，从 “只需要对外写报告” 升级为 “必须建立内部治理流程、开展风险处置”，书面报告只是治理结果的输出；第三，对证据链提出要求，不接受无佐证的自评数据，要求信息具备可核验来源。

2.3 强制披露升级对供应链带来的结构性改变

第一，责任传导从头部企业向全链条扩散。大型链主企业承接法定义务之后，通过采购合同、供应商守则、供应商问卷、现场审核，把 ESG 义务层层传递给一级、二级供应商，中小配套企业即便身处发展中国家，也被动卷入全球 ESG 合规体系。

第二，数据需求爆发式增长。除传统能耗、碳排放数据之外，劳工工时、薪资、职业健康安全、废弃物处置、生物多样性影响、反腐败、原材料溯源等大量维度信息，都需要从供应链各主体持续采集，数据采集从年度一次性填报转变为常态化动态更新。

第三，信息真实性责任转移。过去供应商自行填报 ESG 信息即可，现在监管、客户、第三方鉴证机构要求提供原始凭证佐证，虚假填报、数据美化会传导影响链主企业合规结果，供应链 ESG 数据造假的商业代价显著放大。

第四，供应链合作逻辑重构。供应商 ESG 表现成为准入、分级、订单分配的重要权重，部分高风险环节供应商如果无法完成整改，会面临淘汰，同时链主企业也需要兼顾供应链韧性，对于不可替代核心供应商，更多采取赋能整改而非直接淘汰的处理方式。

三、全链条 ESG 信息归集、核验现实困境

3.1 供应链 ESG 信息归集主要痛点

信息归集是整个供应链 ESG 治理的起点，目标是系统性获取一级、二级乃至更深层级供应商环境、社会、治理维度的基础资料、绩效数据、风险事件信息。现实业务当中，归集工作面临多重结构性障碍。

一是供应链层级多、网络复杂，二级、三级供应商可视性不足。多数制造企业一级供应商管理相对清晰，但原材料开采、初级加工等环节大量二三级供应商分散在不同国家、不同区域，链主企业和深层供应商没有直接合同关系，传统采购体系难以触达，很多企业甚至无法完整统计全部深层供应商名单，信息采集无从谈起。调研数据显示，大量企业仅能够完成 30%-45% 二级供应商信息覆盖，更深层级供应链近乎处于黑箱状态。

二是中小供应商数字化基础薄弱，数据供给能力不足。全球供应链当中大量配套主体为中小微企业，内部缺少标准化 ESG 台账，部分企业依旧依赖纸质记录，没有专门环境、社会责任统计岗位，缺少碳核算、劳工统计专业能力。面对链主企业下发的几十页 ESG 问卷，企业没有能力完整填报，问卷回复率偏低，大量字段空白，数据缺失率高。Gartner 公开调研显示，制造业供应链 Scope3 相关数据缺失率普遍超过 55%，成为制约披露工作的核心瓶颈。

三是多标准并行，统计口径不统一。不同海外客户、不同监管法案、不同评级机构的指标口径存在差异。同样是碳排放，不同核算指南边界、因子选择不同；劳工权益维度工时统计、薪资口径各有差异。一家供应商同时对接多家海外客户，需要填报多套不同问卷，重复填报造成巨大负担，也容易出现同一家企业多版本数据不一致，增加后续核验难度。

四是传统采集模式效率低下。大量企业长期依靠邮件分发 Excel 问卷开展信息收集，面对成百上千家供应商，人力消耗巨大，问卷回收周期漫长，信息版本混乱，数据分散存储在不同员工本地文件，没有统一数据库，无法实现动态更新，只能做到年度静态采集，无法捕捉供应链突发风险事件。

五是供应商主观意愿不足，存在防御心态。部分供应商担心如实披露环保处罚、安全事故、劳工问题之后，直接丢失订单，存在隐瞒负面信息、美化填报数据的动机，造成归集得到的信息先天失真。

3.2ESG 信息核验环节核心难点

归集完成信息之后，必须开展核验，确认供应链 ESG 信息真实性、准确性、完整性，满足监管鉴证、客户尽调的证据链要求。核验分为文档核验、交叉比对、远程复核、现场审核、第三方独立核验等多种形式，现实落地同样存在多重障碍。

第一，证据材料获取难度大。很多 ESG 绩效需要环评报告、排污许可、检测报告、社保缴纳记录、审计报告、认证证书等原始文件佐证，部分供应商出于商业保密、内部管理不规范等原因，不愿意完整提供原始凭证，仅提供自评问卷结果，缺少支撑材料，核验工作缺少抓手。

第二，多层级供应链核验成本高企。如果完整穿透到三、四级供应商，现场审核会带来极高的时间、人力、差旅成本，对于数千家供应商的庞大网络，做到 100% 全覆盖现场审核商业上并不现实。企业普遍只能选取高风险供应商开展现场审核，大量普通供应商只能停留在纸面文档核验，存在漏判风险。

第三，跨主体信息孤岛，交叉验证数据源不足。企业很难获取工商、环保监管、劳动监察等外部官方数据库的完整对接权限，很难把供应商自报数据和政府公开处罚、公示信息做批量自动比对，很多虚假填报只能依靠人工经验识别。

第四，核验标准模糊。不同机构对于 “什么程度的数据偏差属于重大错报” 没有统一执行标尺，尤其供应链 Scope3 排放，上游原始数据本身就存在估算成分，合理误差与刻意造假之间边界模糊，增加核验判断难度。

第五，跨境供应链地域壁垒。海外上游供应商，不同国家法律、语言、监管体系不同，跨国现场审核面临地缘、法律、语言障碍，第三方机构资源分布不均衡，核验执行难度进一步放大。

3.3 风险治理环节的现实挑战

完成信息归集核验之后，落脚点是 ESG 风险治理，识别高风险点位，推动整改，建立持续监控机制。当前企业常见困境集中在四个方面。

其一，风险分级评估体系缺失。拿到海量供应链 ESG 信息之后，缺少成熟评估模型，无法区分哪些风险属于重大实质性风险，哪些属于一般风险，风险处置全凭经验判断，容易出现要么过度放大风险，轻易替换核心供应商损害供应链韧性；要么对重大风险视而不见，埋下合规爆炸隐患。

其二，对无直接合同关系深层供应商缺少管控抓手。链主企业和二三级供应商不存在直接采购合同，没有直接约束权力，即便识别出深层供应商重大 ESG 违规，无法直接下达整改要求，只能通过一级供应商间接传导，传导链条长，整改推动效率低，整改效果难以保障，这也是 CSDDD 法案落地当中全球企业共同面对的痛点。

其三，整改闭环管理缺位。很多企业完成一轮供应商审核，识别问题之后，没有后续跟踪复查机制，问题清单没有闭环，供应商整改停留在纸面承诺，同类问题反复发生。

其四，合规成本与供应链韧性平衡难题。如果严格执行 ESG 标准，部分关键原材料领域全球可选供应商数量有限，高风险供应商没有成熟替代来源，简单一刀切淘汰会造成供应链断供，冲击生产经营，企业需要在合规义务、成本压力、供应链安全之间寻找平衡点，这是大量实体企业的现实矛盾。

四、供应链上下游全链条 ESG 信息归集体系构建

4.4 信息归集整体框架

供应链 ESG 信息归集不能简单等同于下发问卷，需要按照 “梳理供应链图谱‑确定归集范围‑定义指标体系‑选择采集渠道‑分层分级采集‑数据存储治理” 完整流程推进。

第一步，梳理供应链网络图谱，厘清归集对象。首先梳理一级供应商完整清单；基于一级供应商提供的信息，识别关键二级供应商，优先聚焦高风险行业、高风险地域、采购金额占比高的上游主体。监管层面并不强制要求企业一瞬间穷尽所有四级五级微小供应商，实务通行做法是采取重大性原则，优先覆盖具备实质性重大风险的供应链节点，逐步拓展覆盖范围。企业需要建立供应商基础档案，记录供应商名称、国别地区、行业品类、采购金额、供应链层级，形成供应链可视化图谱，明确哪些主体纳入 ESG 信息归集范围。

第二步，建立适配监管要求的分层指标体系。指标区分通用基础指标和行业专项指标，同时匹配 CSRD‑ESRS、CSDDD 尽职调查、CBAM 以及主要海外客户的要求。
环境维度包含：各层级温室气体排放、能耗、用水、废水废气排放、固废危废处置、污染物排放许可、环保处罚、生物多样性相关影响、化学品管理、循环回收、产品碳足迹等。
社会维度包含：劳工雇佣、工时薪酬、禁止强迫劳动与童工、职业健康安全、工会与员工权益、反歧视、社区影响等。
治理维度：反腐败反贿赂、商业道德、合规制度、内部 ESG 管理组织架构、供应链管理制度、相关处罚记录。

同时区分基础档案信息、年度绩效数据、合规证书文件、风险事件信息四大类采集内容，区分强制必填字段与可选字段，避免问卷过度冗长，降低中小供应商填报负担，参考欧盟针对中小企业数据请求的限制思路，避免向小微供应商提出超出合理范围的海量数据诉求。

第三步，区分不同层级供应商，采用差异化归集策略。
对于一级供应商：具备直接合同关系，可要求完整填报全套 ESG 问卷，提交佐证文件，将信息报送义务写入采购框架协议，明确信息报送频率、数据真实性承诺、虚假填报对应的违约责任。
对于二级关键供应商：依托一级供应商向下传导，要求一级供应商对其核心下游配套方开展 ESG 信息收集，并向上传递；链主企业可针对高风险二级主体直接发起信息采集。
对于更深层级低风险小供应商：不强制完整全套问卷，优先收集风险筛查信息，重点排查重大负面风险，不追求全量绩效数据，控制合规成本。

第四步，多元采集渠道组合。
数字化供应链 ESG 平台是最优路径，线上问卷系统，供应商账号登录填报，在线上传证书、报告等佐证材料，系统留存版本记录，自动提醒到期更新，替代传统 Excel 邮件模式。对于大量中小供应商，可支持轻量化填报入口，降低使用门槛。
标准化 SAQ 自我评估问卷，作为基础采集工具，同时配套第三方 ESG 数据库公开风险信息做补充。
线下现场调研、供应商大会、专项培训过程同步收集信息。
公开数据源补充归集，包括企业行政处罚公示、媒体负面舆情、国际人权组织公开报告，作为内部归集信息的外部补充。

第五步，建立数据存储与版本管理。归集的全部 ESG 信息统一进入供应链 ESG 数据库，按供应商、供应链层级、风险标签分类管理，留存每一次填报版本，记录填报时间、填报主体、附件材料，实现可追溯。同时做好数据安全管理，区分公开信息与供应商商业保密信息，做好权限隔离，防范供应链敏感商业数据泄露风险。

第六步，建立常态化更新机制。重大风险事件即时上报；核心供应商年度完整更新全套 ESG 数据；高风险供应商采取半年度更新；一般供应商可设置两年周期更新，改变一年填报一次之后全年不再维护的静态模式。

4.2 合同层面保障信息归集落地

想要稳定拿到供应链 ESG 信息，必须将信息归集义务嵌入商业合同，这也是 CSDDD 尽职调查给出的实务指引。在采购框架协议当中明确约定：供应商有义务按照甲方要求，按时如实报送 ESG 相关数据与证明材料；供应商需要推动其下游重要配套方配合信息报送；承诺填报信息真实，若存在刻意隐瞒、虚假填报，甲方拥有开展复核、启动整改、暂停订单、终止合作的权利；约定材料保密义务，明确链主企业仅将材料用于合规尽职调查，不得随意对外泄露供应商商业秘密。通过合同条款，把信息归集从 “善意请求” 转化为商业契约义务。

五、供应链 ESG 多维度核验机制设计

归集得到的问卷、报表只是供应商单方面输出，必须搭建多层级核验机制，过滤虚假填报，形成完整证据链，满足监管鉴证、客户审核的要求。核验分为文档初审、逻辑交叉校验、外部公开信息比对、第三方独立核验、现场实地审核五大层级，按照供应商风险等级做差异化组合使用。

5.1 文档初审

针对供应商上传的环评报告、排污许可证、检测报告、安全生产证书、社保材料、第三方认证证书等佐证材料开展基础核验。核查证书有效期、发证机构资质，核对报告当中关键数值和问卷填报数值是否大体匹配，检查材料是否存在明显篡改痕迹。如果关键佐证文件缺失，直接退回，要求供应商补充提交，没有佐证材料支撑的关键绩效指标，不能直接采信。

5.2 内部逻辑交叉比对

开展数据逻辑校验，识别异常数据。例如单位产值能耗、碳排放强度显著偏离行业合理区间；能源消耗总量换算之后的碳排放和填报的排放数据矛盾；劳工人数和社保缴纳人数严重背离；同一供应商不同年度填报的数据出现无合理解释的巨大波动。系统设置阈值，当指标偏离行业基准区间，自动标记为异常，触发人工复核，要求供应商提供合理解释与补充证据。

同时执行跨表单交叉比对，同一供应商不同问卷、不同年度填报的信息做比对，识别前后矛盾。

5.3 外部公开信息交叉核验

对接外部公开信息库，把供应商自报信息和政府监管公示信息做比对。检索环保部门行政处罚、安全生产处罚、劳动监察处罚、司法诉讼、失信记录。如果供应商自评无任何处罚，但是公开渠道检索到重大环保、劳工处罚记录，直接标记为重大风险，启动专项复核。舆情监测作为补充手段，抓取国际国内媒体、NGO 公开的供应链负面线索，和企业上报信息做对照。

5.4 第三方独立核验

针对高风险、高采购额核心供应商，引入独立第三方 ESG 服务机构开展核验。第三方机构独立于买卖双方，按照统一标准对供应商 ESG 台账、原始凭证进行核查，出具核验意见。区分文档远程核验与现场审核两种模式。需要注意，第三方核验不等于全部现场审核，受成本限制，实务中大量采用远程文档核验，针对极高风险行业才大规模开展现场审核。

在 CSRD 有限鉴证的监管背景下，链主企业自身的合并 ESG 报告接受第三方鉴证时，鉴证机构也会反向抽样检查供应链来源的数据证据链，企业内部的供应链核验记录，是外部鉴证机构重点审查的对象。

5.5 现场实地审核

现场审核是核验效力最高的手段，但成本最高，优先配置给高风险行业、高风险国别、大额采购一级供应商，以及识别出重大疑点的供应商。现场审核需要实地走访生产厂区，查阅企业原始台账，访谈一线员工，核对生产记录、能耗台账、薪资发放记录，实地观察环保设施运行、劳动条件。

针对二三级供应商，链主企业很难直接大规模现场走访，实务通行模式是要求一级供应商对其下游高风险配套方执行现场审核，提交审核报告，链主企业进行抽样复核。

5.6 核验结果处置规则

经过核验之后，对供应链 ESG 信息划分采信、待补充材料、存疑不采信三个等级。
信息完整、佐证充分、逻辑合理，标记为采信，纳入 ESG 报告披露数据源。
部分材料缺失，标记待补充，限时要求供应商补齐材料，补齐之后二次核验。
发现明显造假、重大矛盾，标记存疑不采信，不直接使用该数据，同时启动供应商风险评估流程，开展风险处置。

同时完整留存全部核验工作底稿，问卷原件、附件材料、核验记录、异常情况说明全部归档，作为监管问询、客户尽调、第三方鉴证的证据储备。

六、供应链全链条 ESG 风险治理闭环体系

信息归集与核验的最终目的是实现风险治理，构建 “风险识别‑风险分级评估‑风险处置‑整改跟踪‑持续监控‑供应链策略联动” 完整闭环。

6.1 供应链 ESG 风险识别

基于归集核验之后的全套信息，识别环境、社会、治理各维度实质性风险。
环境风险重点识别：超标排污、危废处置不合规、重大环保处罚、高碳排放缺少减排规划、破坏生物多样性、化学品管控缺失等。
社会风险重点识别：强迫劳动、童工风险、薪资低于标准、超长工时、安全生产隐患、重大安全事故、歧视、侵犯社区权益等。
治理风险重点识别：商业贿赂、腐败、供应链管理制度缺失、重大合规处罚。

风险来源包括供应商填报信息、核验发现的疑点、政府公开处罚、舆情 NGO 报告、第三方机构预警。特别关注深层二级、三级供应商风险，很多重大供应链丑闻源头并不来自直接合作的一级供应商。

6.2 风险分级评估

建立风险评估矩阵，结合风险发生可能性、风险造成影响严重程度，同时叠加行业风险属性、地域风险属性、该供应商在本企业供应链当中的不可替代性，划分重大风险、较高风险、一般风险、低风险四个等级。

重大风险：已经发生或者极高概率发生严重人权侵害、重大环境污染，会造成企业面临行政处罚、产品扣押、重大舆情、法律诉讼的风险，例如强迫劳动、重大污染事故。
较高风险：存在明显合规缺陷，尚未爆发恶性事件，但是具备较高恶化可能性。
一般风险：存在部分 ESG 制度短板，属于管理改进类问题，没有即时重大危害。
低风险：整体合规水平良好，仅少量细节优化项。

风险评估需要形成书面评估记录，明确每一项风险的判定依据，避免完全主观化判断。

6.3 差异化风险处置策略

针对不同风险等级，结合供应商不可替代性，实施分类处置，避免简单的 “一刀切淘汰”，兼顾合规责任与供应链韧性，这也是全球监管文件鼓励的处理思路。

重大风险场景
情形一：供应商存在重大 ESG 违规，同时市场存在成熟替代货源。启动整改通知，设置短期整改窗口期，若到期无法完成实质性整改，启动业务剥离，逐步终止合作。
情形二：属于不可替代的关键核心供应商，短期没有商业替代方案。不能直接简单继续无约束合作，需要下达正式纠正计划，设定严格可量化整改目标与时间节点，增加审核频次，安排专项赋能，同时评估供应链备份方案，同步寻找替代渠道，管控断供风险。CSDDD 尽职调查框架之下，即便无法立刻更换供应商，企业也必须证明自己已经采取全部合理可行的干预措施，不能放任风险持续存在。

较高风险：下达整改方案，明确整改清单、时间节点，提交整改证据，开展复查。整改不到位，进行订单约束，缩减采购份额，持续施压。

一般风险：提出改进建议，纳入供应商年度考核，定期跟踪改进进度，开展培训赋能，不需要立刻限制业务。

低风险：持续常规监控，维持正常合作。

针对没有直接合同关系的二三级供应商识别出风险，通过一级供应商传导全部整改要求，要求一级供应商承担向下管理责任，将整改结果作为考核一级供应商的重要指标。

6.4 整改跟踪闭环管理

很多企业风险治理失效，根源在于只发现问题，没有跟踪闭环。企业需要建立风险整改台账，记录风险描述、风险等级、责任供应商、整改要求、截止时间、提交的整改材料、复核结果。到期之后必须复核，判断整改是真实完成，还是仅仅提交纸面承诺。对于完成整改的风险标记闭环；未完成整改的升级处置，提升风险等级，执行订单约束。杜绝问题台账只新增、不销项。

6.5 持续动态监控机制

供应链 ESG 风险不是一次性项目，而是长期动态过程，供应商合规水平会发生变化，新的风险会持续涌现。
第一，按风险等级设置差异化监控频率。重大、较高风险供应商提升审核、信息更新频率；普通供应商维持年度常规更新。
第二，建立风险预警机制，通过外部舆情、监管公示信息实时捕捉供应链突发负面事件，不需要等待年度问卷，一旦出现重大负面线索，立刻启动专项核查。
第三，把 ESG 风险结果嵌入供应链全生命周期管理。将 ESG 风险等级纳入供应商准入、供应商分级、订单分配、绩效考核、续约淘汰的评价指标。新供应商准入阶段，先完成 ESG 风险筛查，高风险主体直接禁止准入，做到风险前置，而不是签约之后再被动处置。

6.6 供应链 ESG 赋能，降低全链条合规压力

大量中小供应商 ESG 短板来源于能力不足，而非主观恶意。单纯依靠处罚、淘汰会压缩供应链供给，推高全产业链成本。链主企业可以开展供应链赋能，面向中小供应商开展 ESG 政策解读、碳核算培训、劳工合规培训，输出管理工具模板，帮助中小供应商搭建基础 ESG 台账，提升数据填报能力，降低整个供应链的合规短板，是风险治理当中非常重要的柔性手段。

七、数字化、第三方生态与现实落地的路径建议

7.1 数字化平台赋能信息归集核验与风险治理

多层级供应链依靠人工表格模式无法长期运转，数字化平台是规模化落地的基础。供应链 ESG 数字化平台核心能力应当包含：供应商线上分层档案管理、标准化线上问卷填报、附件材料上传存储、数据逻辑自动校验、异常数据标记、风险台账闭环管理、风险预警、报表自动输出，可对接企业采购系统，实现供应商基础信息同步。

数字化不等于直接采购昂贵复杂系统，中小企业可以采用轻量化 SaaS 供应链 ESG 工具；大型链主企业可结合自身供应链规模，搭建定制化内部平台。同时需要关注数据安全，供应商提交的商业敏感信息做好权限管控，防范跨境数据泄露风险。

7.2 合理运用第三方服务生态

企业无法依靠内部团队完成全部核验、评估工作，需要合理利用第三方生态。
ESG 自我评估问卷工具、第三方供应链风险数据库，可以批量筛查全球供应商公开风险信号；专业第三方机构开展远程文档核验、现场审核；行业联盟统一开发行业标准化问卷，推动行业统一指标口径，减少供应商重复填报多套问卷的负担。同时企业应当建立第三方机构管理机制，明确审核标准，对第三方输出结果开展复核，不能完全无条件采信第三方报告。

7.3 面向中国出海经营主体落地建议

第一，提前梳理自身供应链图谱，识别重点一二级供应商，识别高风险行业、高风险地域，优先聚焦重大实质性风险，不要追求一步到位穷尽所有微小供应商，按照重大性原则分阶段扩大覆盖。
第二，完善采购合同当中 ESG 信息报送、真实性承诺、整改义务相关条款，把供应链 ESG 义务固化到商业契约。
第三，搭建内部跨部门工作小组，供应链采购部门、法务合规部门、ESG 可持续部门共同参与，供应链 ESG 不是单一部门的工作，采购掌握供应商资源，法务把控法律风险，ESG 负责标准与披露，多方协同才能落地。
第四，区分 “对外披露” 和 “内部尽职调查”。满足海外客户、监管披露需求的同时，守住国内数据安全底线，区分哪些供应链数据可以对外提交，哪些属于敏感产业数据，做好数据出境合规评估，平衡 ESG 报送义务与产业数据安全。
第五，平衡合规与供应链韧性。面对不可替代的高风险核心供应商，坚持 “尽职调查 + 整改推动 + 备份布局” 组合策略，拒绝简单一刀切，同时留存完整尽职调查、推动整改的全部工作底稿，即便风险无法立刻消除，完整的工作记录也是应对海外监管、客户质询的重要证据。
第六，主动赋能上游中小供应商，通过培训、工具输出，提升整条供应链 ESG 数据能力，缓解信息归集的底层阻力。

八、总结与展望

全球供应链 ESG 强制披露升级已经成为不可逆的长期趋势，监管责任持续穿透到价值链更深层级，单纯企业自身层面的 ESG 工作，已经不足以应对当前全球合规环境。上下游全链条 ESG 信息归集、核验、风险治理，从企业可选的社会责任项目，转变为全球化经营企业的硬性合规刚需。

当前实践当中，供应链网络层级复杂、中小供应商数据能力不足、多标准口径冲突、核验成本约束、深层供应商管控抓手有限等现实难题广泛存在。企业不应当追求理想化一步实现全供应链 100% 完美数据，而要建立一套完整运转的体系：理清供应链网络，基于重大性原则分层开展信息归集；建立文档校验、逻辑比对、外部公开信息交叉核对、第三方与现场审核结合的多层核验机制；搭建风险识别‑分级‑处置‑整改‑持续监控完整闭环；结合数字化工具、合同约束、第三方生态、供应链赋能多重手段，平衡合规义务、商业成本、供应链韧性三者之间的关系。

面向未来，全球 ESG 监管规则还会持续迭代，数字产品护照、供应链数字化溯源技术会进一步普及，供应链 ESG 数据的可追溯、可核验要求还会持续抬升。对于中国参与全球贸易的各类市场主体，尽早搭建全链条供应链 ESG 治理体系，不仅是应对海外监管与客户要求的被动合规动作，同样是识别供应链潜在风险、提升供应链韧性、巩固全球市场竞争力的主动战略选择。

数据来源

[1] 欧洲委员会，CSRD、CSDDD 官方法案文本及修订 Omnibus I 文件，2026
[2] GRI 全球可持续发展报告标准、ESRS 欧洲可持续披露准则公开文件
[3] GHG Protocol Scope3 碳排放核算指南
[4] Gartner，2024 全球供应链数字化与 ESG 调研报告
[5] 德勤 CxO 可持续发展调研报告，2023
[6] 北大汇丰智库，从规则叠加到市场准入限制：中企跨境 ESG 合规风险分析，2026
[7] LRQA、DLA Piper 欧盟可持续监管解读系列公开材料，2026
[8] ICAS 英格尔，制造业供应链 ESG 数据现状行业调研，2025
[9] 证券时报，电池护照制度与锂电供应链 ESG 专题报道，2026
[10] 国内上市公司 ESG 报告、供应链可持续相关公开实践案例

免责声明

本报告由亚伯拉罕供应链管理（苏州）有限公司、亚伯拉罕供应链研究院、亚伯拉罕供应链联盟、亚伯拉罕合规网编制，报告内容仅为行业研究分析，仅供行业参考学习，不构成任何企业法律、合规、投资、商业决策的直接依据。

报告当中所引用公开数据均来源于公开可查询的第三方公开资料，编制机构不对第三方原始数据源的绝对准确性、完整性做担保；报告当中部分分析基于行业普遍实践推演，不针对任何特定企业做出合规判定。各个司法辖区 ESG 相关法规持续更新迭代，企业开展自身合规工作应当结合自身业务、所在司法辖区最新生效法条，建议配套专业法务、合规顾问开展专项评估。

未经编制单位书面许可，本报告不得用于篡改、二次包装、商业售卖用途。报告引用、转载请完整标注报告来源及全部编制主体。在法律允许最大范围内，报告编制主体不对任何主体依据本报告内容做出决策而产生的直接、间接损失承担相关责任。