CSRD / ESRS 歐盟永續揭露指南｜台灣出口企業 2026 合規攻略

三個常被搞混的歐盟永續揭露名詞。(1) CSRD(Corporate Sustainability Reporting Directive,企業永續報告指令)是 2022 年 12 月歐盟通過的法律「指令」(Directive 2022/2464),內容是「規定哪些企業要揭露、什麼時候揭露、要不要第三方查證」,屬於規範層級。(2) ESRS(European Sustainability Reporting Standards,歐盟永續報告準則)是 CSRD 授權 EFRAG(歐洲財務報告諮詢小組)制定的「實質揭露準則」,規定「實際要揭露什麼內容、用什麼指標、什麼格式」。第一套 12 個 ESRS 已在 2023 年 7 月通過 Delegated Regulation (EU) 2023/2772 正式生效。簡單講:CSRD = 法律框架(誰要做、何時做),ESRS = 技術準則(怎麼做、做什麼)。(3) 跟 NFRD(Non-Financial Reporting Directive 2014/95/EU,非財務報告指令)差異:NFRD 適用範圍只有約 11,700 家歐盟大型公益實體,揭露內容粗略、第三方查證不強制、格式自由。CSRD 把適用範圍擴大到約 50,000 家(包含非歐盟集團在歐子公司),揭露內容用 ESRS 強制統一、要求 limited assurance(2028 後升級 reasonable assurance)、強制 XBRL 數位標籤。對台灣企業實務影響:NFRD 時代我們幾乎不會被點到名,CSRD 時代直接或間接受規的台商估計 1,000+ 家。

CSRD 採「分四波生效」策略,從 2024 財年(2025 報告書)到 2028 財年(2029 報告書)逐步擴大。(1) 第一波 2024 財年 — 適用對象:原本受 NFRD 規範的歐盟大型公益實體(員工 >500、上市)。約 11,700 家,於 2025 年發布首份 CSRD 報告書。對台灣影響:這波企業多為歐洲跨國公司(BMW、Volkswagen、Siemens、LVMH、L'Oréal、Nestlé),它們會把 ESRS 揭露需求往供應鏈下游壓,要求台灣供應商提供 Scope 3 排放數據、員工結構、職業安全數據等。(2) 第二波 2025 財年 — 適用對象:其他符合「歐盟大型企業」門檻(資產 >€25M 或營收 >€50M 或員工 >250,任二條件)的歐盟企業,約 49,000 家,於 2026 年發布報告。對台灣影響:歐洲中型企業客戶數量爆增,供應鏈壓力全面下沉。(3) 第三波 2026 財年 — 適用對象:在歐上市的中小企業(LSME),於 2027 年發布報告。可選擇延後到 2028 財年。(4) 第四波 2028 財年 — 適用對象:非歐盟母公司,在歐盟有營業額 >€150M(連續兩年)+ 在歐盟有至少 1 家大型子公司或分公司,於 2029 年發布報告。對台灣影響:這是直接受規的關鍵節點,鴻海、台積電、廣達、緯創、宏碁、華碩、台達電等在歐有大型子公司或分公司的台商集團,2028 年起需直接以集團合併報表揭露 ESRS(可選用 ESRS for non-EU groups 簡化版)。注意:2024 年 4 月 Omnibus 提案曾討論延後第二、三波 2 年,2025 年 4 月歐盟理事會原則同意「Stop-the-Clock」機制,實際時程以歐盟官方更新為準,芮恆建議按原時程準備、政策若延後再受惠。

ESRS Set 1 共 12 個準則,分三大類:(1) 跨領域(Cross-cutting,2 個,強制適用)— ESRS 1 General requirements(一般要求,規定整套揭露架構、雙重重大性流程、可比性原則);ESRS 2 General disclosures(一般揭露,規定治理、策略、IRO 管理、指標目標四大支柱,沿用 TCFD 架構)。這 2 個無論企業屬於什麼產業都強制揭露,且不適用重大性過濾。(2) 環境(Environmental,5 個,重大性過濾)— ESRS E1 Climate change(氣候變遷,涵蓋減緩與調適、Scope 1+2+3、轉型計畫,跟 IFRS S2 高度對齊);ESRS E2 Pollution(污染,涵蓋空氣 / 水 / 土壤 / 重金屬);ESRS E3 Water and marine resources(水與海洋資源);ESRS E4 Biodiversity and ecosystems(生物多樣性,跟 TNFD 對齊);ESRS E5 Resource use and circular economy(資源使用與循環經濟)。除 E1 外,其他 4 個可依雙重重大性評估結果決定是否揭露(但需在 ESRS 2 中說明「為何不重大」)。(3) 社會(Social,4 個)+ 治理(Governance,1 個)— ESRS S1 Own workforce(自有員工,涵蓋工資、勞動條件、職災、性別平等);ESRS S2 Workers in the value chain(價值鏈員工,涵蓋供應商工人權益);ESRS S3 Affected communities(受影響社區);ESRS S4 Consumers and end-users(消費者與終端使用者);ESRS G1 Business conduct(商業行為,涵蓋反貪腐、政治獻金、付款慣例)。社會 + 治理 5 個準則均適用重大性過濾。重點:E1 氣候變遷實務上幾乎所有企業都會被判定「重大」(EFRAG 預期 99%+ 企業需揭露 E1),所以可視為「準強制」。

這是 CSRD/ESRS 跟 IFRS S1/S2 最大的技術差異,也是台灣企業最常踩坑的地方。(1) IFRS S1/S2(ISSB 制定)採「財務重大性」(financial materiality)單向視角 — 只揭露「氣候 / 永續議題會對企業財務造成什麼影響」(outside-in view),例如氣候變遷導致工廠淹水、原料漲價、客戶流失,影響營收 / 成本 / 資產減損。揭露的對象是投資人。(2) CSRD/ESRS 採「雙重重大性」— 同時要求兩個視角:(a) 財務重大性(同 IFRS,outside-in)+ (b) 影響重大性(impact materiality,inside-out)— 揭露「企業對環境 / 社會造成什麼影響」,例如工廠排放污染當地河川、供應鏈強迫勞動、產品傷害消費者。揭露對象是「廣泛利害關係人」(投資人 + 員工 + 社區 + 消費者 + NGO + 監管機關)。(3) 技術操作差異:IFRS 重大性閾值由「是否影響投資決策」單一判斷,ESRS 重大性閾值需兩個維度分別評估再聯集(「OR」邏輯)— 任一視角重大即需揭露,範圍嚴格大於 IFRS。EFRAG 提供 IRO(Impact, Risk, Opportunity)流程指引,企業需建立利害關係人對話機制 + 內部影響量化評估 + 治理層級審核流程。(4) 對台灣企業實質影響:做完 IFRS S2 不等於做完 ESRS E1,還需補上「我們造成的氣候影響」(例如使用化石燃料對全球暖化貢獻、廢棄物對在地環境衝擊)+ 利害關係人意見搜集機制 + IRO 矩陣審核流程。芮恆估算雙重重大性流程比單一重大性多花 30–50% 工時,但有跨集團「跑一次評估、兩套報告(IFRS + ESRS)同時用」的省工潛力。延伸閱讀:重大性分析完整指南。

依芮恆顧問實務分類,台灣企業受 CSRD 影響的路徑有 4 種,影響程度由低到高:(1) 路徑 1:供應鏈被間接要求(中低影響,影響 800–1,500 家)— 你不直接受 CSRD 規範,但歐洲客戶(BMW、Siemens、Bosch、LVMH、Inditex / Zara、H&M、Nestlé、Unilever)為了完成自己的 ESRS E1 Scope 3 + ESRS S2 供應鏈員工 + ESRS E5 循環經濟揭露,會發問卷 / 稽核要求台灣供應商提供:Scope 1+2+3 碳排數據、能源使用、用水量、員工結構(性別 / 國籍 / 工資)、職災紀錄、強迫勞動風險評估、供應鏈追溯。判斷方法:盤點客戶清單,任一歐洲客戶總部位於歐盟 + 員工 >250 即列入路徑 1。實務時程:2025–2026 全面爆發。(2) 路徑 2:上市公司歐盟業務 / 子公司(中高影響,影響 100–200 家)— 你的母公司或集團子公司在歐盟註冊 + 符合「大型企業」門檻(資產 >€25M 或營收 >€50M 或員工 >250,任二),即可能受第二波 2025 財年規範。判斷方法:查集團組織圖,任一歐盟子公司符合門檻即列入路徑 2。實務時程:2026 年首份報告。(3) 路徑 3:歐盟上市子公司(高影響,影響 30–50 家)— 你的集團有在歐盟證交所上市的子公司 / 存託憑證,即直接受規。判斷方法:查集團上市結構。(4) 路徑 4:非歐盟集團直接受規(最高影響,影響 50–100 家)— 集團合併在歐盟「淨營業額 >€150M 連續 2 年」+ 在歐盟有「大型子公司或分公司」,2028 財年起直接以集團名義揭露 ESRS(可用 ESRS for non-EU groups 簡化版)。代表台商:鴻海、台積電、廣達、緯創、英業達、宏碁、華碩、台達電、矽品、研華、康舒、智邦。判斷方法:查集團合併財報歐盟營收 + 子公司清單。芮恆建議:90% 台灣中小企業屬於路徑 1,要先做 ESRS E1 + S1 + S2 對齊基本盤,別等客戶問卷來才趕。

三者有高度但非 100% 互通,做了一個可省 60–80% 工時跑其他兩個。(1) ESRS vs IFRS S1/S2 — EFRAG 與 ISSB 在 2023 年 9 月聯合發布 ESRS-ISSB Interoperability Guidance,確認:(a) ESRS E1 跟 IFRS S2 在指標層級高度對齊(Scope 1+2+3、轉型計畫、scenario analysis 一致),做完 ESRS E1 約可滿足 80% 的 IFRS S2 揭露;(b) ESRS 2 跟 IFRS S1 在「治理 / 策略 / 風險管理 / 指標目標」四大支柱對齊(沿用 TCFD 架構);(c) 關鍵差異 — ESRS 多了影響重大性(inside-out)+ 利害關係人對話 + 反證據揭露(rebuttable presumption,不揭露需說明為何不重大),IFRS 沒有。(2) ESRS vs GRI — EFRAG 與 GSSB(GRI 標準制定機構)在 2023 年 9 月發布 ESRS-GRI Interoperability Index,確認:(a) ESRS S1 / S2 / S3 / S4 / G1 跟 GRI 200/300/400 系列(社會 + 治理)在指標層級 75%+ 對齊;(b) ESRS E1–E5 跟 GRI 300 系列(環境)80%+ 對齊;(c) 做完 GRI 標準的企業,做 ESRS 需補:雙重重大性 IRO 流程、ESRS 特有指標(如 ESRS S1 性別薪資差距、ESRS G1 付款慣例延遲天數)、XBRL 數位標籤格式。(3) 實務建議路線:已做 GRI + IFRS S1/S2 的企業,做 ESRS 約需追加 30–40% 工時(主要在雙重重大性流程 + XBRL 標籤);只做 GRI 的企業需追加 60–80%(補 IFRS / ESRS 共同部分 + ESRS 特有部分);只做 IFRS S1/S2 的企業需追加 80–100%(補社會治理大部分內容);從零開始的企業需 12–18 個月、預算 NT$150–500 萬。延伸閱讀:GRI 標準完整指南 / IFRS S1 揭露範例 / IFRS S2 氣候揭露指南。

芮恆顧問實務建議的 6 步驟準備路線,總時程 12–18 個月,總預算 NT$150–500 萬(視規模)。(1) Step 1 差距分析(Gap Analysis,1–2 個月,NT$15–30 萬)— 對照現有揭露(GRI 報告書 / IFRS S2 報告 / 永續報告書)與 ESRS 12 個標準的差距,產出差距清單與優先補強項目。建議涵蓋:現有指標對應 ESRS Data Point 清單、缺漏指標清單、資料系統健檢、組織治理健檢。(2) Step 2 雙重重大性評估(Double Materiality Assessment,2–4 個月,NT$30–80 萬)— 這是 CSRD 最費工但最關鍵的一步。包含:利害關係人盤點與對話(問卷 / 訪談,8–10 個關鍵利害關係人群體)、影響重大性評估(inside-out,評估企業對環境 / 社會的正負面影響)、財務重大性評估(outside-in,評估永續議題對企業財務的影響)、IRO 矩陣(影響 / 風險 / 機會)整合、治理層級審核(董事會 / 永續委員會核可)。產出:重大議題清單 + 揭露範圍決定書。(3) Step 3 資料系統建置(Data System,3–6 個月,NT$30–150 萬)— 將 ESRS Data Point(約 1,100 個指標)對應到內部資料來源,建立資料收集表單、系統介接(ERP / HR / EHS)、版本控管。多數企業需導入永續資訊系統(SaaS,芮恆推薦本平台)。(4) Step 4 內容撰寫與 XBRL 標籤(2–4 個月,NT$30–80 萬)— 依 ESRS 4 大支柱結構撰寫(治理 / 策略 / 影響風險機會管理 / 指標目標),內嵌 XBRL 數位標籤(ESRS Set 1 約 1,144 個強制標籤項目),產出 XHTML 格式報告(ESEF 標準)。(5) Step 5 第三方查證(Limited Assurance,1–2 個月,NT$30–80 萬)— CSRD 強制要求第三方查證,初期(2024–2027)為「限度確信」(limited assurance,負面式結論),2028 後升級到「合理確信」(reasonable assurance,正面式結論,接近財務審計強度)。查證機構:四大會計師事務所(KPMG、PwC、Deloitte、EY)或 BSI、SGS、TÜV 等驗證機構。(6) Step 6 揭露與年度更新(持續性,年度增量 NT$15–30 萬)— 隨集團合併年報一同發布,或於集團年報專章揭露。每年更新指標、重大性評估每 3 年重做一次。重點:這 6 步驟不是線性,Step 2 + Step 3 可並行,Step 4 + Step 5 需迭代(查證會發現缺漏需補)。

CSRD 強制第三方查證是與 NFRD 最大的差異之一,直接拉高揭露品質門檻。(1) Limited assurance(限度確信)— 2024–2027 適用,屬「負面式結論」(negative assurance):查證機構提出「沒有發現重大不實表達」(nothing has come to our attention)的結論,工作範圍包含程序檢視、抽樣測試、訪談、文件審閱,但不深入到資料源頭逐筆勾稽。工作量約是財務審計的 30–50%,成本台灣中型企業 NT$30–80 萬。(2) Reasonable assurance(合理確信)— 2028 起適用(歐盟需在 2026 年底前評估是否如期升級),屬「正面式結論」(positive assurance):查證機構提出「所揭露資訊在所有重大方面允當表達」(in all material respects)的結論,接近財務審計強度,需深入勾稽原始憑證、執行控制測試、評估資料系統可靠性。工作量約是財務審計的 70–90%,成本台灣中型企業 NT$80–200 萬,時程拉長 2–3 倍。(3) 查證標準:歐洲查證機構主要採用 ISAE 3000(Revised)+ EFRAG / EU 將推出的 ESRS-specific Assurance Standard(預計 2025–2026 完成)。國際審計準則理事會(IAASB)2024 年 12 月發布 ISSA 5000(General Requirements for Sustainability Assurance Engagements)為主流框架,台灣會計師公會 2025 年將跟進對應準則。(4) 台灣可承接 CSRD 查證的機構:四大會計師事務所(KPMG 安侯建業、PwC 資誠、Deloitte 勤業眾信、EY 安永)+ BSI 英國標準協會 + SGS 台灣檢驗 + TÜV Rheinland + DNV;其中四大具備跨境品牌互認優勢,適合跨國集團;BSI / SGS / TÜV 在本土製造業案件較多。(5) 實務建議:查證機構越早介入越好(理想在 Step 2 雙重重大性階段就 engage),不要等報告寫完才找查證,常導致大幅修訂、時程拖延 3–6 個月。延伸閱讀:Scope 3 排放盤查指南。

ESRS for non-EU groups(非歐盟集團 ESRS)是 CSRD 第四波(2028 財年)直接受規的非歐盟母公司(含台商)可選用的簡化準則,目的是減輕境外集團的揭露負擔。(1) 適用對象:非歐盟註冊母公司 + 在歐盟有淨營業額 >€150M(連續 2 年)+ 在歐盟有至少 1 家大型子公司或分公司(子公司符合「大型企業」門檻、或分公司歐盟淨營業額 >€40M)。代表台商:鴻海、台積電、廣達、緯創、英業達、宏碁、華碩、台達電、矽品、研華、康舒、智邦。(2) 跟完整 ESRS Set 1 差異 — EFRAG 於 2024 年 12 月公開徵詢草案(ESRS LSME + ESRS for non-EU groups),預計 2026 年正式公告:(a) 揭露主體 = 集團全球合併基礎(不是只揭露歐盟業務),這跟很多台商預期「只揭露歐盟子公司」相反,需揭露全球 Scope 1+2+3、全球員工、全球供應鏈;(b) 揭露準則 = 簡化版 ESRS,範圍涵蓋 ESRS E1 氣候、ESRS E2–E5 環境(重大性過濾)、ESRS S1 自有員工(全球)、ESRS S2 價值鏈員工(重大性過濾)、ESRS G1 治理(簡化版),指標數量比完整 ESRS Set 1 少約 30–40%;(c) 查證 = 同樣需 limited assurance(2028)/ reasonable assurance(後續);(d) 發布形式 = 可由歐盟子公司代為發布(designated subsidiary),或集團母公司直接發布。(3) 實務影響對台商集團:即便用簡化版,「全球合併揭露」要求對台商衝擊極大 — 需把中國、東南亞、印度、墨西哥的工廠 / 人事 / 供應鏈全部納入揭露,且需經過第三方查證。建議路徑 4 的台商集團 2026 年起啟動全球資料系統整合 + 雙重重大性集團級評估,預算 NT$500–2,000 萬,時程 18–24 個月。(4) 注意:若非歐盟集團不選簡化版,可選擇用「等效準則」(equivalent standards,如 IFRS S1/S2 + 補充社會治理)替代,但需通過歐盟認可程序,目前 IFRS S1/S2 等效認定尚未通過。

CSRD 是「指令」(Directive),罰則由各成員國依國內法落實,但歐盟設下三類最低處罰要求,實際罰則因國而異。(1) 行政罰 — 各國證券主管機關(德國 BaFin、法國 AMF、義大利 CONSOB、荷蘭 AFM 等)可對遲交 / 缺漏 / 不實揭露處以罰鍰。德國最高 €10M 或營收 5%(取高者),法國最高 €5M,荷蘭最高 €900,000 或營收 10%。對台商集團衝擊:若集團在歐子公司被罰,母公司財報需揭露重大法律風險。(2) 民事責任 — 利害關係人(投資人、員工、消費者、NGO)可依國內證券法 / 公司法對不實揭露提出訴訟。德國、荷蘭、法國已有「集體訴訟」(class action)機制,2024 年起出現首批針對 NFRD / CSRD 漂綠揭露的訴訟(Volkswagen 排放門延伸氣候揭露案、Shell 氣候轉型計畫不實案)。(3) 刑事責任 — 部分成員國對「故意不實揭露」設刑事處罰,德國《商業法典》§ 331 對董事 / 監事故意不實揭露最高 3 年徒刑;法國商業法典類似規範。(4) 衍生風險 — 除了直接罰則,還有更嚴重的衍生風險:(a) Greenwashing 訴訟(消費者保護法、廣告法):歐盟 2024 年 3 月通過 Green Claims Directive,對企業環境宣稱施加舉證責任,違反可罰營收 4%;(b) 銀行 / 保險 ESG 評等下調 → 信用 spread 擴大 → 融資成本上升;(c) 客戶供應鏈剔除:歐洲品牌客戶(BMW、Volkswagen、Inditex、H&M)已將「供應商 CSRD 不合規」列為 SOR(Supplier Code of Conduct)違規,可解約。(5) 實務建議:即便台商目前覺得「歐盟管不到我」,只要走路徑 1–4 任一條,2026 年起合規即生效。最務實的避險策略 = 提早 6–12 個月準備 + 找有實務經驗的顧問 + 找四大事務所做查證(品牌互認可降低跨境法律風險)。延伸閱讀:TCFD 氣候揭露指南。