4つのEU規制が同じサプライヤーデータを求めている。しかし聞き方は毎回違う

あるアルミ部品サプライヤーのもとに、同じ四半期のうちに、同じ取引先から、同じ出荷分について4通のメールが届く。

1通はサステナビリティ部門から。CSRDのScope 3集計とEUタクソノミー整合性KPIのために、活動区分・売上内訳・排出係数を求めている。もう1通は調達部門から。川下のウッドコンポジット原料に関するEUDR(EU森林破壊防止規則)のデューデリジェンス・ファイルのために、区画レベルの位置情報を求めている。3通目は法務部門から。CSDDD(企業サステナビリティ・デューデリジェンス指令)のサプライチェーンリスク評価のために、人権・環境に関する質問票を求めている。4通目は貿易コンプライアンス部門から。アルミそのもののCBAM(炭素国境調整メカニズム)申告のために、推定値ではなく施設レベルの実測排出データを求めている。

4つの部署、4つのスプレッドシート、4つの締切。そして応える側は、依頼している企業の社員ではない。これは仮定の話ではない。BDOのCBAM実務ガイダンスはすでに、サプライヤーの多くが「工程別排出データを収集する技術的手段を持たない」こと、5通目の依頼が来た時点で「協力への消極性」が表面化することを記録している。2026年時点のEUサステナビリティ法制のコンプライアンスコストは、開示作業そのものよりも、同じサプライヤーに何度依頼を重ねるかという点に、次第に重心が移っている。

4つの申告、4つの法的根拠

「ESGデータ依頼」とひとくくりにすると見えなくなるが、実際には法的根拠の異なる4つの義務が並んでいる。

申告	法的根拠	サプライヤーに求める内容	形式・精度
CSRD＋EUタクソノミーKPI	オムニバスI指令(EU)2026/470、委任規則(EU)2021/2178 第8条	活動区分、タクソノミー適格活動別の売上・CapEx・OpEx内訳、DNSH(重大な害を及ぼさない)根拠	パーセンテージKPI、ESRS分類に基づく定性開示
EUDRデューデリジェンス声明	規則(EU)2023/1115 第9条、(EU)2025/2650による改正	生産区画すべての位置情報、対象品目、生産日	緯度経度小数点以下6桁、4ヘクタール超はポリゴンデータ(EUR-Lex 第2条28項・第9条1項d号)
CSDDDデューデリジェンス	指令(EU)2024/1760、オムニバスIによる改正	自社事業・子会社・取引先にわたる人権・環境への悪影響のマッピング	リスクベースの質問票と是正計画、固定様式なし
CBAM申告	規則(EU)2023/956、実施規則(EU)2023/1773	施設レベルの直接・間接埋め込み排出量、生産経路、事業者情報	トン当たり実測データ。BDOは「輸入業者は現在、デフォルト値ではなくCBAM対象製品ごとの実際の埋め込み排出量の報告を求められている」と指摘する(BDO)

4つのうち3つは、すでに現行の義務として動いている。CBAMの本格適用は2026年1月1日から始まっており(詳細はこちらの記事)、EUタクソノミーKPI開示は対象企業でFY2021から続いており、CSDDDは移行期の途中にある。オムニバスIによって国内法化の期限は2028年7月26日となり、対象企業は「従業員5,000人超、かつ全世界純売上高15億ユーロ超」のEU企業(非EU企業は「EU域内売上高15億ユーロ超」)へと絞り込まれた。この基準は2会計年度連続で満たす必要がある(DLA Piper)。この単一基準は、当初の3段階ロールアウト(従業員5,000人・3,000人・1,000人超で売上高基準も段階的に下がる方式)を置き換えたものだ。ここは明記しておく必要がある。Socious自身の以前のCSDDD記事は、いまだにこの旧・3段階スケジュールを掲載しており、オムニバスI最終化前の内容のままになっている。

多くの企業がカレンダー上もっとも意識しているのはEUDRだろう。規則(EU)2025/2650により、大規模・中規模事業者への適用開始は2026年12月30日に1年延期された一方、森林破壊の基準日である2020年12月31日はまったく動いていない(詳細はこちらの記事)。

データが本当に重なる部分

法律用語を取り除くと、4つの申告すべてに共通して現れるフィールドが4つある。

サプライヤーの法人格。 どの企業グループのどの階層の取引先が責任主体かを、すべての制度が正確に特定する必要がある。
拠点・施設の所在地。 EUDRは座標を、CBAMは施設を、CSDDDはリスクマッピングのための操業地域を、EUタクソノミーのDNSH評価も水・生物多様性のスクリーニングのために同様の情報を求めつつある。
製品・活動の分類。 何を、どの工程で、どの品目コード(NACEまたは品目コード)のもとで製造したか。
その製品に紐づく環境・排出データ。 CBAMは正確さ(施設レベル、トン当たり)を求め、他の制度は精度の要求水準が異なる。

この4つの事実を一度だけ、構造化されたサプライヤーレコードとして収集する企業は、規制固有のフィールドを追加する前の段階で、4申告分の収集作業の大半を終えていることになる。

本当には重ならない部分。なぜ「一本化」がそのままでは失敗するか

同じ質問票を作って、同じ回答をすべての申告に流用したくなる。しかしそれは3つの点で破綻する。

精度が違う。 EUDRの小数点以下6桁の位置情報と、CBAMの施設レベル排出係数は、法的に厳密な要件であり、丸めた値や推定値はコンプライアンス上の欠落そのものになる。一方、CSRDのタクソノミーKPIは多数のサプライヤーのデータを積み上げたポートフォリオレベルの割合であり、CSDDDの質問票はリスクベースの定性評価であって固定様式ではない。CBAM用に十分な精度のフィールドはタクソノミーKPIには過剰であり、CSDDDのリスク質問票に十分な粗さのフィールドはCBAM申告には使えない。

聞ける相手も範囲も、申告ごとに法的根拠が違う。ここでEUの「バリューチェーン・キャップ」の扱いを誤りやすい。2026年7月3日に委員会が任意基準(Voluntary Standard)を採択して以降、従業員1,000人未満の企業は、この任意基準を超えるサステナビリティ情報の依頼を法的に拒否でき、依頼する側にはその権利を通知する義務が生じる(Linklaters、詳細はこちらの記事)。ただしこの上限は、CSRD／ESRSの開示義務に起因する依頼だけを制約するものだ。EUDRの位置情報要件やCBAMの排出データ要件には適用されない。両者はいずれも独自の法的根拠に基づき、サプライヤーの規模や依頼企業側のESRSマテリアリティ評価とは無関係に適用されるからだ。バリューチェーン・キャップが小規模サプライヤーをあらゆるデータ依頼から守ってくれると想定している担当者は、今回取り上げた4つの申告のうち2つについては、その前提が誤っていると気づくことになる。

締切がそろわない。 CBAMのデータは、2026年通年分を対象に2027年9月に期限を迎える申告のために、今すぐ正確でなければならない。EUDRの位置情報は2026年12月までに整っている必要がある。CSDDDのデューデリジェンスは2028〜2030年の期間まで、誰にも義務を発生させない。4つの異なる締切にデータを届ける一つの収集プロセスを構築することは、データモデリングであると同時にスケジューリングの課題でもある。

実務での「共有スキーマ」の姿

解決策は一つの質問票ではない。オンボーディング時と重要な変更のたびに一度だけ収集する、一つのサプライヤー・マスターレコードであり、各フィールドにどの申告がどの精度で消費するかをタグ付けしておくことだ。

法人格と拠点レベルの位置情報。EUDRには最高精度で提供し、CSDDDとタクソノミーDNSHには低精度に落として流用する。
製品・品目・活動分類。NACE、HSコード、EUDR品目コードに一度だけマッピングする。
環境・排出データ。消費側の中で最も高い精度、つまりCBAMの施設レベル基準に合わせて収集し、低精度用途には集約して展開する。
デューデリジェンス回答セット。上記の事実系フィールドとは分離し、CSDDDのリスクベース様式に合わせてバージョン管理する。

こう設計すれば、サプライヤーが答えるのは一度だけになる。下流で変わるのは収集方法ではなく、どの申告のエンジンがどのフィールドを、どの精度で、どの締切までに引き出すかだけだ。これはマッピングの問題であり、共有される事実が増えるほど扱いやすくなる種類の問題である。

もし貴社がいまもCSRD・EUDR・CSDDD・CBAMへの対応を4つの独立したサプライヤー収集プロセスとして運用しているなら、無料のCSRD対応度チェック(所要時間約3分)で、現状のデータ収集がこの記事で述べた共通フィールドをすでに備えている部分と、まだ備えていない部分を確認できる。そこから先、Socious Reportはサプライヤーデータを一度取り込み、実際に適用される規制フレームワークへとマッピングするために設計されている。