ESG e supply chain: perché i clienti chiedono dati alle PMI e fin dove possono spingersi

La sostenibilità non riguarda più soltanto ciò che un’impresa fa direttamente. Riguarda anche come vengono prodotti i beni e i servizi che acquista, da chi vengono acquistati e quali impatti ambientali e sociali si generano lungo la catena del valore.

Per questo molte grandi imprese chiedono ai propri fornitori informazioni su consumi energetici, emissioni, rifiuti, condizioni di lavoro, salute e sicurezza, parità di genere, governance e altri temi ESG. Una PMI che lavora per un grande committente può quindi ricevere questionari, richieste di dati, autodichiarazioni, richieste di certificazioni o inviti a iscriversi a piattaforme di valutazione.

Ma fino a che punto queste richieste possono essere imposte? La risposta è cambiata con le ultime modifiche alla normativa europea.

Perché i committenti chiedono informazioni ESG ai fornitori

Una parte significativa degli impatti ambientali e sociali di un’impresa si trova nella sua catena del valore, cioè nei rapporti con fornitori, subfornitori e altri partner. La disciplina CSRD richiede di considerare, nella misura prevista dalla normativa e dagli standard applicabili, anche le informazioni relative alla catena del valore. Un’impresa che deve rendicontare può quindi aver bisogno di dati dei fornitori per rappresentare i propri rischi, impatti e opportunità.

Questo non significa che il committente possa scaricare sul fornitore qualsiasi esigenza informativa interna. Proprio per questo l’Unione europea ha introdotto un limite.

Chi è davvero soggetto alla CSRD dopo Omnibus I

Prima di parlare di limiti, conviene chiarire quante imprese devono ancora rendicontare. La Direttiva (UE) 2026/470, pubblicata in Gazzetta Ufficiale UE il 26 febbraio 2026 e in vigore dal 18 marzo 2026, fa parte del pacchetto di semplificazione noto come Omnibus I. Ha ristretto in modo netto l’ambito della CSRD: l’obbligo di rendicontazione riguarda ora solo le imprese che superano contemporaneamente i 1.000 dipendenti medi e i 450 milioni di euro di ricavi netti.

Molte grandi imprese che fino a ieri dovevano rendicontare sono quindi uscite dal perimetro. Di conseguenza ci sono meno committenti che possono invocare la CSRD per chiedere dati ai fornitori.

Il value chain cap: un limite alle richieste lungo la filiera

La stessa Direttiva ha introdotto la figura dell’impresa protetta: un’impresa che non supera in media i 1.000 dipendenti nell’esercizio precedente e che si trova nella catena del valore di un’impresa tenuta a rendicontare.

Per queste imprese vale il cosiddetto value chain cap:

• l’impresa che rendiconta non può imporre all’impresa protetta di fornire informazioni ulteriori rispetto a quelle previste dallo standard volontario europeo;
• l’impresa protetta ha il diritto di rifiutare le informazioni che eccedono il limite;
• se il committente chiede comunque informazioni oltre il limite, deve informare il fornitore sia di quali sono le informazioni ulteriori sia del suo diritto di rifiutarle;
• le clausole contrattuali contrarie al limite non sono vincolanti, mentre il resto del contratto resta valido;
• il committente può fare affidamento sulla dichiarazione del partner sulla propria dimensione, salvo evidenti incongruenze.

La tutela non è quindi una generica “proporzionalità” della richiesta, ma un diritto di rifiuto espressamente riconosciuto dalla legge.

Qual è il limite concreto: il Regolamento delegato (UE) 2026/1560

Il limite è stato definito dalla Commissione con il Regolamento delegato (UE) 2026/1560, adottato il 3 luglio 2026 e pubblicato in Gazzetta Ufficiale UE il 21 settembre 2026. Il regolamento è in vigore dal 24 settembre 2026.

Il regolamento stabilisce uno standard di rendicontazione volontario per le imprese non soggette agli obblighi CSRD che non superano in media i 1.000 dipendenti. Lo standard, basato sul VSME sviluppato da EFRAG, ha una struttura modulare: un modulo di base e un modulo onnicomprensivo. È pensato per rispondere in modo proporzionato alle esigenze informative di clienti, banche e investitori.

Attenzione a un punto spesso frainteso: il value chain cap non coincide con l’intero standard volontario. Il limite comprende solo i datapoint elencati nell’Allegato II, cioè quelli ritenuti essenziali. L’allegato distingue inoltre tra imprese fino a 10 dipendenti e imprese con più di 10 dipendenti.

Quanto ai tempi:

• lo standard volontario è utilizzabile dal 24 settembre 2026;
• il value chain cap si applica a partire dagli esercizi che iniziano il 1° gennaio 2027 o dopo.

Le richieste che riguardano i dati dell’esercizio 2026 non sono quindi coperte dal limite. “Dal 2027” va letto in questo senso, non come una data valida per qualsiasi richiesta ricevuta a partire da gennaio.

Questo significa che il committente non può più chiedere nulla?

No. Il value chain cap non è un divieto generale di formulare richieste ESG ai fornitori. Opera quando le informazioni sono richieste ai fini della rendicontazione di sostenibilità prevista dalla CSRD.

Le nuove regole non incidono sulle richieste fatte per altre finalità, comprese quelle necessarie per adempiere ad altri obblighi europei o nazionali. Prima di valutare se una richiesta sia coperta dal limite bisogna quindi chiedersi perché le informazioni vengono richieste. Occorre distinguere, ad esempio, tra:

• informazioni richieste per la rendicontazione CSRD del committente;
• informazioni necessarie per verificare il rispetto di specifici obblighi normativi;
• informazioni richieste nell’ambito della due diligence;
• informazioni utili alla gestione dei rischi di filiera;
• informazioni richieste in procedure di qualifica o valutazione dei fornitori;
• informazioni previste da specifiche clausole contrattuali.

Che una richiesta riguardi temi ESG non significa automaticamente che sia soggetta al cap. Non è corretto nemmeno dire che una PMI possa rifiutare qualsiasi informazione ESG solo perché non è soggetta alla CSRD: il diritto di rifiuto riguarda il perimetro individuato dalla normativa.

Il contratto può imporre qualsiasi informazione?

Non se la richiesta serve al committente per la rendicontazione CSRD. In quel caso una clausola che imponga informazioni oltre il limite non è vincolante per l’impresa protetta.

Restano invece pienamente possibili, entro i limiti generali del diritto contrattuale, obblighi di fornire informazioni che non vanno oltre quanto previsto dallo standard volontario, oppure richieste che hanno una finalità diversa dalla rendicontazione CSRD. Anche qui conta la finalità concreta della richiesta.

La due diligence: un’altra regola, un altro limite

Molte richieste ai fornitori nascono dalla due diligence sulla catena di fornitura, e qui il value chain cap non si applica. Anche la direttiva sulla due diligence (CSDDD) è stata però ridimensionata da Omnibus I:

• riguarda ora solo le imprese con più di 5.000 dipendenti e almeno 1,5 miliardi di euro di fatturato;
• le richieste di informazioni ai partner commerciali con meno di 5.000 dipendenti sono ammesse solo se le informazioni non possono essere ottenute in altro modo.

Per una PMI questo significa che anche le richieste “di due diligence” devono essere motivate da una necessità effettiva.

Cosa cambia per le PMI

Da un lato la sostenibilità resta rilevante nei rapporti di filiera, e le richieste di clienti, banche e altri partner continueranno ad arrivare. Dall’altro non è più corretto trattare ogni questionario ESG di un grande cliente come un adempimento da soddisfare per intero.

Per gli esercizi che iniziano dal 2027, una PMI potrà verificare:

• chi sta facendo la richiesta;
• per quale finalità vengono richieste le informazioni;
• se il richiedente è un’impresa soggetta alla CSRD;
• se la PMI è un’impresa protetta, cioè non supera in media i 1.000 dipendenti;
• quali informazioni rientrano nei datapoint dell’Allegato II;
• quali informazioni eccedono il limite.

Questa verifica permette di distinguere ciò che serve alla rendicontazione normativa da ciò che ha una finalità commerciale, contrattuale o di gestione del rischio.

Un’avvertenza pratica: le modifiche alla CSRD dovranno essere recepite dagli Stati membri entro il 19 marzo 2027. Vale quindi la pena seguire come il legislatore italiano darà attuazione alle nuove regole.

Lo standard volontario non è un nuovo obbligo

Lo standard volontario europeo non introduce un obbligo di rendicontazione per le PMI. Ha una doppia funzione: offre alle imprese più piccole un riferimento proporzionato per raccogliere e comunicare le proprie informazioni, e costituisce la base del limite alle richieste dei soggetti obbligati alla CSRD.

Per una PMI adottarlo può essere un modo per organizzare i dati ESG e avere una base comune con cui rispondere a clienti, banche e investitori. Non significa che ogni PMI debba redigere un report di sostenibilità secondo questo standard.

La Commissione ha inoltre chiarito che le imprese soggette alla CSRD non devono chiedere ai fornitori tutto ciò che è compreso nello standard, ma solo le informazioni effettivamente necessarie. Questo principio serve a evitare una moltiplicazione di questionari e richieste documentali superflue.

Cosa dovrebbe fare una PMI

Per una PMI inserita in una filiera strutturata, la strategia più utile è organizzarsi in anticipo. Un primo passo è raccogliere in modo sistematico i dati più rilevanti:

• consumi energetici;
• emissioni e, ove disponibili, carbon footprint;
• consumi di acqua e materie prime;
• produzione e gestione dei rifiuti;
• salute e sicurezza dei lavoratori;
• composizione della forza lavoro;
• politiche sociali e di inclusione;
• pratiche di governance e compliance;
• certificazioni e sistemi di gestione già adottati.

È altrettanto importante conservare le fonti e le evidenze documentali che permettono di verificare i dati. In questo modo l’impresa risponde più rapidamente e in modo coerente, senza ricostruire ogni volta le informazioni da zero.

Una nuova logica nel rapporto con il committente

Il rapporto tra grande committente e fornitore non dovrebbe più seguire la logica “il cliente chiede e il fornitore fornisce tutto”. Per le imprese protette sarà importante distinguere le informazioni che rientrano nel cap da quelle che lo superano. Quando una richiesta eccede il limite ed è fatta ai fini della rendicontazione CSRD, il fornitore può rifiutare le informazioni ulteriori, e il committente deve renderlo consapevole di questo diritto.

Non si tratta di ostacolare la collaborazione, ma di costruire un sistema in cui le informazioni siano raccolte in modo proporzionato, comparabile e realmente utile.

La sostenibilità resta un tema di competitività

Che la normativa limiti alcune richieste non significa che le PMI possano ignorare l’ESG. Anche senza un obbligo diretto, i dati di sostenibilità restano rilevanti nei rapporti con clienti, banche, investitori e altri partner. Lo stesso standard volontario nasce anche per questo: aiutare le imprese fuori dalla CSRD a fornire informazioni utili alla propria filiera e ai finanziatori, senza gli oneri della rendicontazione obbligatoria.

Per una PMI il tema non è quindi solo “essere obbligata o no” a rendicontare. È sapere quali dati possiede, quali le vengono davvero richiesti e per quale motivo.

Scopri come documentare la sostenibilità della tua impresa con ESGPass!