El paquete Ómnibus reduce el alcance directo de la CSRD y la CSDDD. Aun así, muchas decisiones siguen dependiendo de información fiable sobre proveedores, productos y operaciones.
El correo puede llegar con una pregunta muy concreta: ¿de dónde procede esta materia prima?, ¿qué emisiones incorpora este producto? o ¿podemos demostrar cómo se revisó a este proveedor? La respuesta rara vez está en un único lugar. Compras tiene el contrato, Sostenibilidad conserva parte de los datos, Compliance ha revisado una alerta y Operaciones conoce lo que ocurre realmente sobre el terreno.
En teoría, la empresa dispone de información suficiente. En la práctica, localizarla, comprobar que sigue vigente y relacionarla con la entidad o la instalación correcta puede llevar más tiempo del esperado. Y mientras tanto, la solicitud sigue abierta.
Esta situación explica buena parte del debate sobre preparación regulatoria en 2026. El marco europeo se está simplificando, pero las preguntas sobre proveedores, productos y cadenas de suministro no han desaparecido. Algunas cambian de forma; otras llegan por vías distintas.
La simplificación es real, aunque no resuelve todas las preguntas
El paquete Ómnibus I ha reducido de forma importante el número de empresas incluidas directamente en la CSRD y la CSDDD. En el caso de la CSRD, el alcance se concentra en compañías con más de 1.000 empleados y más de 450 millones de euros de facturación neta anual. Para la CSDDD, los umbrales se sitúan por encima de 5.000 empleados y 1.500 millones de euros, con aplicación desde julio de 2029.
En julio, la Comisión Europea adoptó una versión revisada de los estándares ESRS, todavía sujeta al periodo de control del Parlamento Europeo y el Consejo. La versión revisada reduce en más de un 60% los puntos de datos obligatorios y establece un límite a la información que las empresas sujetas a la CSRD pueden solicitar a compañías más pequeñas de su cadena de valor.
Para muchas organizaciones, esto supondrá menos carga de reporte y más claridad sobre lo que deben publicar. Es un cambio relevante. Sin embargo, salir del alcance directo de una norma no significa dejar de recibir solicitudes de clientes, entidades financieras o grandes contratistas que necesitan conocer mejor su propia cadena de suministro.
Una empresa puede no estar obligada a elaborar un informe de sostenibilidad y seguir necesitando datos sobre emisiones, origen de materiales o condiciones laborales para mantener un contrato, participar en una licitación o introducir un producto en el mercado europeo.
El riesgo regulatorio no llega siempre a través del informe corporativo
Mientras la CSRD y la CSDDD se acotan, otras normas avanzan con calendarios y alcances propios. El Mecanismo de Ajuste en Frontera por Carbono (MAFC o CBAM) se encuentra en su fase definitiva desde enero de 2026. El Reglamento europeo sobre deforestación comenzará a aplicarse a grandes y medianos operadores el 30 de diciembre de 2026. Y la prohibición de comercializar o exportar desde la UE productos fabricados con trabajo forzoso será aplicable a partir del 14 de diciembre de 2027.
No todas estas normas piden lo mismo. CBAM se fija en las emisiones incorporadas de determinadas importaciones. El Reglamento sobre deforestación exige acreditar la procedencia de productos concretos. La regulación sobre trabajo forzoso obliga a entender mejor dónde puede existir exposición dentro de la cadena de suministro.
El punto en común no es el acrónimo. Es la necesidad de ir más allá del nombre del proveedor en el maestro de compras. Hace falta saber qué entidad participa, dónde opera, qué producto o servicio entrega y qué información respalda cada respuesta.
Los problemas suelen empezar en los datos más básicos
Cuando un equipo intenta responder a una solicitud, aparecen problemas muy corrientes. El mismo proveedor figura con dos nombres. Un certificado corresponde al grupo, pero no a la planta que presta el servicio. Una auditoría detectó una desviación, aunque nadie dejó registrado quién debía cerrarla. O el documento existe, pero ya no está vigente.
Ninguno de estos casos parece especialmente complejo por separado. Juntos pueden convertir una pregunta sencilla en varios días de correos, hojas de cálculo y llamadas internas. También explican por qué dos equipos pueden dar respuestas diferentes sobre el mismo proveedor sin que ninguno esté actuando de mala fe.
Contar con un punto de partida común no exige crear otra gran base de datos. Exige acordar quién es exactamente el proveedor, qué entidad jurídica y ubicación intervienen, qué función desempeña y qué evidencias siguen siendo válidas. A partir de ahí, cada equipo puede pedir solo la información que necesita y reutilizar lo que ya ha sido comprobado.
Cuando ese trabajo previo no existe, cada nueva obligación se convierte en un proyecto independiente. El proveedor recibe preguntas repetidas y la empresa termina acumulando versiones difíciles de conciliar.
Pedir lo mismo a toda la base tampoco es la respuesta
Ante la presión regulatoria, es comprensible querer preguntar todo a todos. Sobre el papel parece una forma de cubrirse. En la práctica, genera mucho volumen, desgasta a los proveedores y deja menos tiempo para revisar los casos que realmente pueden afectar a la operación.
Conviene separar dos cuestiones. La primera es la criticidad: qué ocurriría si el proveedor dejara de prestar el servicio. La segunda es la exposición al riesgo, que depende de su actividad, ubicación, acceso a sistemas, situación financiera o condiciones laborales, entre otros factores.
Un proveedor pequeño que mantiene un sistema esencial puede requerir una revisión más profunda que una empresa con mucho más volumen de gasto, pero fácilmente sustituible. En algunos casos bastará con contrastar fuentes externas y comprobar documentación. En otros tendrá sentido validar la información con especialistas o realizar una auditoría remota o presencial.
La autodeclaración sigue siendo útil, especialmente para reunir información inicial. Lo que cambia es el peso que puede tener en una decisión. Cuanto mayor sea la posible consecuencia, más importante será contar con evidencias independientes y explicar por qué el nivel de revisión elegido era razonable.
La evidencia tiene que acompañar a la decisión
Una política aprobada demuestra que existe un criterio. Cuando llega una auditoría, una investigación o una solicitud de un cliente, lo que suele ponerse a prueba es cómo se aplicó en un caso concreto. ¿Por qué se aceptó este documento? ¿Quién aprobó la excepción? ¿Qué ocurrió después de detectar el riesgo?
Un certificado puede estar vigente y no cubrir la entidad, la instalación o el servicio revisado. Una póliza puede haber caducado antes de la renovación del contrato. Una auditoría puede haberse cerrado aunque mantenga acciones pendientes. Por eso importa conservar la fuente, la fecha y el alcance de cada evidencia, además de su estado de validación.
También debe quedar registrado el vínculo entre la evidencia y la decisión. Si un proveedor continúa aprobado pese a una desviación, conviene saber quién asumió esa excepción, por qué se consideró aceptable y cuándo volverá a revisarse. Si existe un plan de mejora, alguien debe ser responsable de comprobar su avance y cierre.
Es una parte poco visible del cumplimiento, pero suele ser la que marca la diferencia cuando meses después alguien necesita reconstruir lo ocurrido.
La homologación solo refleja un momento
La situación de un proveedor cambia. Puede deteriorarse su posición financiera, aparecer una sanción, modificarse su estructura de propiedad o caducar un documento crítico. También puede cambiar la relación con la empresa: un proveedor que empezó con un servicio limitado puede terminar accediendo a instalaciones, datos o procesos esenciales.
Por eso la homologación no debería entenderse como el final del proceso. Las alertas y revisiones periódicas ayudan, pero solo cuando llegan a la persona adecuada y desencadenan una acción. Una alerta sin responsable ni seguimiento añade información; no reduce el riesgo.
Monitorizar tampoco significa revisar cada dato todos los días. Significa decidir qué cambios podrían alterar una aprobación y prestar atención a esas señales. Así, la preparación regulatoria deja de ser un ejercicio puntual previo a una auditoría y pasa a formar parte de la gestión habitual del proveedor.
Prepararse es poder responder sin reconstruir toda la historia
El calendario regulatorio seguirá cambiando. Crear un proceso distinto para cada norma puede resolver una urgencia, pero también multiplica las solicitudes y los puntos ciegos. Resulta más útil partir de una visión compartida del proveedor y adaptar la profundidad de la revisión a cada obligación y cada riesgo.
Las organizaciones mejor preparadas suelen hacer bien algunas cosas básicas: identifican correctamente a cada proveedor, entienden qué función cumple, saben qué datos pueden reutilizar, solicitan lo que falta y conservan las evidencias junto con las decisiones. Cuando algo cambia, también saben quién debe actuar.
Eso no elimina la incertidumbre regulatoria, pero cambia la capacidad de respuesta. Cuando llega la siguiente pregunta, la respuesta ya no depende de encontrar la última hoja de cálculo o de reconstruir una cadena de correos. Puede explicarse, verificarse y actualizarse. En la práctica, de eso trata la preparación regulatoria.
Preguntas frecuentes sobre preparación regulatoria
¿Qué es la preparación regulatoria en la cadena de suministro?
En la práctica, significa entender qué requisitos afectan a la organización y convertirlos en controles, responsables, evidencias y acciones sobre proveedores. Incluye las obligaciones legales directas y también las exigencias que llegan a través de productos, clientes, contratos o licitaciones.
¿Qué cambia con el paquete Ómnibus I?
Acota el número de empresas sujetas directamente a la CSRD y la CSDDD, simplifica el reporte y limita determinadas solicitudes de información a compañías más pequeñas. El cambio reduce carga, pero no elimina otras obligaciones ni las necesidades de control vinculadas al riesgo de proveedores.
¿Cuál es la diferencia entre debida diligencia y auditoría de proveedores?
La debida diligencia abarca el proceso continuo de identificar, prevenir, mitigar y seguir riesgos. La auditoría es una herramienta dentro de ese proceso: sirve para comprobar evidencias y verificar los controles cuando la criticidad o el riesgo justifican una revisión más profunda.
¿Todos los proveedores necesitan el mismo nivel de revisión?
No. La profundidad debe adaptarse a la criticidad, la actividad, la ubicación y el tipo de exposición. El screening, la validación documental y las auditorías pueden combinarse, reservando las revisiones más intensivas para los proveedores con mayor impacto potencial.
