当风险藏进代码与价值链：数字企业的责任边界在哪里？｜ESG助力中企出海

当地时间7月31日，洽洽食品等43家中国企业被列入美国贸易管制清单。休闲零食与铝业、锂业、电子元器件并列出现，行业跨度之大，折射出全球贸易治理中一个值得警惕的现象：部分国家正不断向外延展供应链管制的边界，将部分议题工具化运用于经贸博弈之中。8月5日，中国商务部发布2026年第2号令，将美国责任商业联盟（RBA）等6家美国实体列入反制清单。

全球供应链治理正在走向分化：一方面，欧盟通过《企业可持续尽责指令》《人工智能法案》等立法，建立起一套覆盖价值链的企业尽责合规框架；另一方面，美国频频借助国内法推出单边贸易管制措施。多套规则叠加，给深度嵌入全球产业的中国数字企业带来全新挑战。

价值链，成为数字企业亟待回应的新命题。

数字企业的“链”越来越不像传统意义上的供应链。可能没有庞大的制造工厂，也联动着全球数据、算法、软件及硬件供应商；一款产品可能没有造成传统意义上的污染或工伤，却可能因数据滥用、设计缺陷，对海量用户形成广泛影响。

今年7月，南开大学人权研究中心与中国信通院联合编制的《数字企业及其供应链尽责管理指南》（以下简称“指南”）正式发布。

南开大学人权研究中心副主任、法学院副教授唐颖侠表示，数字经济之下，不只是国际监管规则日趋繁复，企业责任的内涵也发生转变：“传统企业责任理论通常强调行为与损害的直接联系，即企业是否直接实施侵害行为。但数字经济改变了这种关系：企业即便没有直接实施侵害行为，其技术、商业模式或产品本身，也可能催生风险。”

全球供应链监管的转向

用的某个原料是从哪里来的？工人每周工作多少小时？过去这些问题是给服装厂和电子代工厂准备的。

如今，它们也越来越可能出现在一家数字企业的合规清单上。

CSDDD原文对于价值链的定义。来源：欧盟官网

欧盟2024年6月通过的《企业可持续尽责指令》（CSDDD），是迄今为止较为系统性的价值链尽责立法，也是欧盟可持续发展监管体系的重要组成部分。

CSDDD对价值链进行了较为广泛的界定。原材料、产品或产品零部件的设计、提取、采购、制造、运输、储存和供应，以及产品或服务的开发，均在尽责范围之内。尽管直接约束对象是达到营收与规模门槛的欧盟企业，但商业契约的传导效应会将合规压力层层传递给上下游供应商。

同期落地的欧盟《人工智能法案》（AI Act）则从技术维度切入，将风险治理进一步前置到了产品和技术进入市场之前。高风险AI系统的开发者必须建立全流程风险管理体系、落实数据治理要求、设置人工监督机制。算法公平、数据合规、可解释性，从此逐渐成为数字产品进入特定市场必须面对的治理要求。

ESG的评价标尺，也从企业自身的合规表现，拓展到对全价值链负面影响的识别与管控能力。

《指南》编制团队认为，不同行业面临的人权风险并不相同。数字企业需要解决的，并不是简单地把制造业供应链尽责管理的方法“搬过来”，而是重新理解自己的价值链。

数字企业的价值链，为什么更难管？

2026年7月，科技企业Meta在美国加州北区联邦法院遭遇集体诉讼。员工指控，公司在大规模裁员过程中使用AI筛选系统，导致休医疗假、申请残障便利的员工被不成比例地纳入裁员名单。Meta否认相关指控。

无论诉讼结果如何，这类事件已经提示出数字企业ESG治理中的一个新问题：当算法开始参与人力资源决策，算法偏见造成的就业歧视，同样可能成为人权风险。此前，Meta还推出员工监测项目，用于收集键盘、鼠标、浏览记录，以及公司设备上的消息、邮件和位置数据。6月，扎克伯格宣布暂停该项目。

数字企业的人权风险可能发生在办公室，也可能发生在服务器里。《指南》将这种变化概括为一个重要判断：数字产品和服务本身，也应当成为人权尽责管理的对象。

与传统制造业相比，数字企业至少面临三方面特殊挑战。

第一，影响规模更大，损害可能更难逆转。一套算法、一项数字服务上线之后，可以迅速触达数百万甚至更多用户。一旦发生大规模数据泄露、算法歧视或者错误信息扩散，事后的赔偿和纠偏往往很难完全消除影响。

第二，价值链更加隐蔽。制造业的供应链通常可以画出相对清晰的实体链条：原材料、零部件、生产、运输、销售。但一家AI企业的价值链可能包括数据采集、数据标注、算力供应、模型训练、软件开发、模型部署以及下游应用；平台企业则还需要面对数量庞大的商家、内容生产者、开发者和用户。

风险因此不再集中于一个工厂，而是分散在一系列看不见的节点中。

第三，风险更加前置。很多数字产品的风险，在产品真正上线之前就已经埋下。训练数据中的历史偏见，可能最终变成算法歧视；产品设计中的过度激励，可能影响未成年人；开放的技术接口，也可能被下游用于企业原本没有预料到的场景。

这意味着，传统的供应商现场审计、文件核查和年度问卷，很难覆盖数字企业全部风险。

“数字企业可能没有传统意义上的‘供应链部门’，但并不意味着它没有供应链。”唐颖侠说。在她看来，数字企业的价值链正在呈现硬件制造、软件开发、数据处理、算法应用和用户服务相互融合的特点。

于是，一家企业真正需要管理的已经不只是“谁给我供货”，还有：谁参与了产品？谁影响了数据？谁决定了技术最终产生什么结果？

从供应链尽责到产品尽责

此前，中国已经形成了一些针对特定行业的供应链尽责框架，例如中国五矿化工进出口商会发布的《中国负责任矿产供应链尽责管理指南》、中国纺织工业联合会社会责任办公室发布的《中国纺织服装企业供应链尽责管理指南》等。

但数字企业的风险结构，决定了它很难只用一张供应商名单来定义自己的价值链。

数字企业及其供应链尽责管理步骤，来源：《数字企业及其供应链尽责管理指南》

《指南》参照了OECD发布的《负责任商业行为尽责管理指南》，对六步尽责流程进行了针对数字企业的调整（详见上方步骤图）。其中一个关键变化，是将尽责管理的对象从传统意义上的“供应链风险”，进一步扩展到“技术、产品和服务风险”。

风险识别与评估的步骤，来源：《数字企业及其供应链尽责管理指南》

企业既要识别供应商可能存在的劳动、人权和环境风险，也要识别自身技术和产品可能产生的影响。这意味着，研发部门、产品部门、法务部门和ESG部门之间的边界开始变得模糊。

过去的供应链尽责，更像是在产品生产过程中“往后看”。数字企业的尽责管理，则需要同时“往前看”，在产品设计和技术开发阶段，就开始识别潜在影响。

因此，《指南》将算法、公平性、隐私保护、儿童保护、数字鸿沟等问题纳入数字企业的人权尽责管理范围。

唐颖侠认为，这意味着企业责任的关注范围发生了变化。“将产品本身作为人权风险源纳入尽责管理，是数字经济时代企业责任理论发展的一个重要变化，即企业责任的关注范围从企业如何生产产品扩展到企业生产的产品如何影响人的权利。”

这背后实际上是企业责任逻辑的一次变化。过去，企业社会责任容易被理解为一种“结果责任”：发生事故之后进行补救，或者通过慈善、公益等方式承担社会责任。而联合国《工商业与人权指导原则》（UNGPs）提出的人权尽责，更强调预防性治理。

“所以要从行为责任向影响责任转变、从事后救济向事前预防转变、从企业单方责任向利益相关方共同治理转变。”唐颖侠说。

近年来国际上不断被讨论的负责任创新（responsible innovation）、负责任人工智能（responsible AI），本质上也在回答同一个问题：能不能在技术进入社会之前，就把可能造成的伤害尽可能识别出来？

例如，欧盟《人工智能法案》要求高风险AI系统建立风险管理体系、开展数据治理并设置人工监督机制，本质上就是把一部分治理工作前移到AI系统投入使用之前，而不是等到损害发生之后再追责。

对于数字企业来说，这意味着ESG不再只是一个披露部门的工作，而开始进入产品生命周期。

本土化应答：中国数字企业的治理实践

过去十多年数字经济的高速发展，让中国企业沉淀了大规模用户服务、场景落地与产业链协同的能力，也催生了本土化的数字治理实践。

法律层面，《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等先后制定出台；其中，新修订的《中华人民共和国网络安全法》于2026年正式实施，这是中国首次在法律层面规定人工智能专条；近期发布的《人工智能拟人化互动服务管理暂行办法》，也对人工智能服务场景下的用户权益保护作出明确规范。

部分企业的相关对策，根据企业相关可持续发展和人权报告进行梳理。整理/南方周末研究员

企业层面，不同赛道已走出各自的实践路径。硬件企业率先探索较为成熟的实体供应链尽责体系；平台与AI企业则更多集中在算法治理、AI伦理与用户权益保护领域，部分头部企业已建立算法评估、伦理审查机制，在数据安全、隐私保护、反歧视等方面形成内部流程。这些实践未必都以“人权尽责”的话语表达，但其关注的问题与国际负责任人工智能（Responsible AI）理念存在高度重合。唐颖侠认为，中国数字企业的治理路径需要贴合自身产业特点。

《指南》提出尽责管理的十项特征，包括风险预防、多过程多目标、风险导向、优先级排序、动态发展、不转嫁责任、以国际标准为据、符合企业实际、利益相关方合作和持续沟通。强调尽责管理不是一次性审查，而是根据企业实际持续识别和应对风险的过程。

不同企业的路径虽不相同，但《指南》给出的一个共同原则是：“不转嫁责任”。唐颖侠举例说，平台企业不能仅以“内容由用户产生”为理由，忽视平台算法和治理规则可能造成的影响；人工智能企业也不能因为“客户最终使用技术”，就完全否认自身责任，而应当通过风险提示、安全设计、使用限制等方式降低潜在风险。

此外，不同类型数字企业虽然都承担“链主责任”，但重点并不相同。

平台企业更多承担规则治理责任，需要关注数据和隐私保护、算法透明度和公平性，以及用户投诉和救济机制；芯片和基础技术企业更多承担技术供应链责任，需要关注全球供应链中的劳动、环境及供应来源风险；设备制造企业则兼具制造业和数字技术企业属性，既要关注传统供应链风险，也要关注人工智能、视频分析、生物识别等技术进入市场后的使用影响。

很多中国数字企业是在快速产业化和全球化过程中成长起来的，具有明显的产业链协同特点。唐颖侠表示，中国企业不仅需要关注企业内部治理，也需要通过供应链合作、能力建设和行业协同推动整体提升。同时，还需要面对海外市场对于数据保护、人工智能治理的要求，全球供应链中的劳动和环境风险，以及不同国家法律制度和社会期待之间的差异。

不必一步到位，但要责任到人

对于中国数字企业而言，这套体系的意义并不只是增加一项ESG工作。随着企业进入欧洲、东南亚、中东等市场，数据保护、人工智能治理、供应链透明度和企业责任要求越来越成为商业环境的一部分。

但对大量中型企业来说，搭建完整尽责体系，并不意味着需要立刻投入庞大的组织与成本。《指南》倡导风险导向，强调分清优先级。

唐颖侠给出的建议很务实：企业不必一步到位，但首先要把三件事做好。

第一，责任到人，把合规前置。不一定马上成立一个庞大的专职部门，但需要在研发、产品、法务和海外业务中明确责任主体。在技术研发和产品设计早期，就引入数据治理和算法偏见评估，避免产品上线之后再付出高昂的纠偏成本。

第二，把数字产品和服务本身纳入风险管理。企业需要明确数据收集和使用的边界，评估AI输出的公平性和可解释性，将隐私保护嵌入产品设计，并根据目标市场的法律和行业标准调整产品。

第三，建立与本土供应链生态相衔接的评价能力。企业进行供应链风险识别时，可以积极使用具有国际互认能力的本土供应链评级工具和平台，逐步形成自己的风险识别、自查和举证能力，而不是完全依赖海外单边审计。

这是企业越来越需要补上的内功。

从一套指南开始，重新理解链主责任

数字企业的特殊之处就在于，它既可能是一家科技公司，也可能是一家服务企业，有时还是一家制造企业。这也是《数字企业及其供应链尽责管理指南》试图探索的部分。

瑞典罗尔·瓦伦堡人权与人道法研究所副教授Radu Mares认为，这份《指南》是国际负责任商业行为框架在数字产业领域的一次本土化落地，覆盖企业运营、全球价值链以及数字产品和服务三个维度，为企业提供了更具操作性的路径。

阿根廷拉普拉塔国立大学副教授司芙兰（María Francesca Staiano）谈到，《指南》兼顾了欧盟、美国与中国不同的监管视角，也体现了全球数字治理与企业社会责任制度不断融合的趋势。

这种本土化并不意味着另起炉灶。国际负责任商业行为框架本身就强调智能组合（smart mix）的治理理念，即通过法律法规、政策措施、行业指南和企业实践等不同工具，共同推动负责任商业行为。因此，中国数字企业真正需要寻找的，也不是一套能够覆盖所有行业、所有市场的万能指标，《指南》强调的，是一种“有原则的灵活性”，指标可以帮助企业发现问题，却不能替代企业真正理解风险。

对于中国数字企业而言，走向全球的竞争仍然离不开产品、技术和成本，但这些已经不足以回答全球市场提出的新问题。

参考资料

1.CSDDD, DIRECTIVE (EU) 2024/1760 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 13 June 2024 on corporate sustainability due diligence and amending Directive (EU) 2019/1937 and Regulation (EU) 2023/2859

2.The Guardian, Meta used AI to tag workers who took leave to be laid off, lawsuit claims，2026-07-15

3.Lenovo Anti-Slavery and Human Trafficking Statement（2026）