가장 흔한 공급업체 문제는 조달 시스템에 도달하기 훨씬 전부터 공개적으로 드러나 있다. 제재 대상과 연관된 신규 임원이 기업 등기부에 나타난다. 공급업체 자체 웹사이트에서 공장 주소가 사라진다. 지역 뉴스가 파업, 화재, 단속을 보도한다. 인증이 조용히 만료된다. 이 중 어느 것도 비밀이 아니지만, 거의 아무도 알아채지 못한다. 아무도 올바른 소스를, 올바른 언어로, 충분히 자주 확인하지 않기 때문이다.
이 가이드는 공급업체의 공개 흔적을 모니터링하는 실용적인 방법을 제시한다. 어떤 소스를 지켜봐야 하는지, 공급업체를 올바른 실체로 어떻게 매핑하는지, 각 공급업체가 실제로 운영되는 곳에서 어떻게 수집하는지, 그리고 원시 변화를 조달팀이나 리스크팀이 실행할 수 있는 알림으로 어떻게 전환하는지를 다룬다.
핵심 요약
- 상태가 아니라 변화를 모니터링하라. 공급업체의 흔적은 그것이 움직일 때, 즉 새로운 소유주, 상실된 인증서, 변경된 주소, 새로운 리스팅이 나타날 때 가장 중요하다.
- 모든 공급업체를 먼저 법인 실체로 매핑하라. 거래명을 제재 리스트와 대조하면 노이즈만 생기지만, 식별자가 있는 등록 실체를 대조하면 답이 나온다.
- 공급업체의 국가와 언어에서 수집하라. 현지 등기부, 현지 뉴스, 공급업체 자체 사이트의 현지 버전이 가장 이른 신호를 담고 있다.
- 소스의 라이선스를 파악하라. 일부 스크리닝 데이터는 모든 용도로 무료지만, 일부는 비상업적 용도로만 무료다.
- 기업 수준에서 비례적으로 유지하라. 목표는 공급업체 리스크이지, 개인에 대한 감시가 아니다.
압박이 커지는 이유
규제는 공급업체 실사를 모범 관행에서 의무로 전환시키고 있지만, 일정은 계속 바뀌고 있으므로 이를 근거로 계획을 세우기 전에 법률 자문을 통해 확인할 필요가 있다.
- **EU 강제노동 규정(EU Forced Labour Regulation)**은 2027년 12월 14일부터 적용되며, 강제노동으로 생산된 제품이 EU 시장에 유통되는 것을 금지한다.
- **EU 산림파괴 규정(EU Deforestation Regulation)**은 2025년 12월 추가 개정 이후, 주요 의무가 2026년 12월 30일부터 적용되며, 소규모 및 초소규모 사업자에게는 2027년 6월 30일부터 적용된다.
- **EU 기업 지속가능성 실사 지침(EU Corporate Sustainability Due Diligence Directive)**은 2026년에 연기되고 범위가 축소되었다. 이제 2029년 7월 26일부터 적용되며, EU 내 직원 5,000명 초과 및 전 세계 매출액 15억 유로 초과와 같은 최대 규모 기업에만 적용된다.
- 미국에서는 강제노동과 연관된 기업 목록인 **UFLPA 엔티티 리스트(UFLPA Entity List)**가 국토안보부 산하 강제노동 집행 태스크포스(Forced Labor Enforcement Task Force)에 의해 유지되며 정기적으로 업데이트된다.
정확한 의무가 무엇이든, 실질적인 요구사항은 동일하다: 공급업체가 누구인지 알고, 그들에 관한 무언가가 바뀌었을 때 이를 알아채는 것이다.
1단계: 각 공급업체를 실체로 매핑하기
공급업체 마스터 파일은 보통 거래명과 주소의 목록이다. 이를 제재 리스트와 뉴스에 직접 대조해 스크리닝하면 잘못된 매치가 넘쳐나고 실제 위험은 놓치게 된다. 먼저 매핑부터 해야 한다.
각 공급업체에 대해 다음을 확립하라:
- 법인 실체: 국가 기업 등기부에 등록된 이름, 관할권, 등록번호.
- **법인식별기호(Legal Entity Identifier, LEI)**가 존재하는 경우. GLEIF는 누가 누구를 소유하는지를 포함한 LEI 데이터를 CC0 라이선스로 무료 공개하며, 파일을 하루 세 번 업데이트한다.
- 모회사 및 주요 관련 실체. 제재와 집행 조치는 실제로 대금을 지급하는 거래 회사보다 소유주에게 부과되는 경우가 많기 때문이다.
- 운영 사이트: 공장, 창고, 사무실. 등록된 본사와 다른 국가에 위치할 수 있다.
이 단계는 가장 지루하지만 가장 가치 있는 단계다. 이후의 모든 확인 작업은 그 대상이 되는 실체의 정확성만큼만 유효하다. 동일한 실체 매핑 원칙이 B2B 리드 데이터베이스 구축에서도 다른 목적으로 나타난다.
2단계: 모니터링할 흔적 정의하기
모든 소스가 같은 주기로 확인할 가치가 있는 것은 아니다. 신호가 얼마나 빨리 변하고 얼마나 심각한지에 맞춰 빈도를 조정하라.
| 소스 | 알려주는 내용 | 권장 주기 |
|---|---|---|
| 제재 및 제한 대상 목록 | 실체, 소유주 또는 사이트가 지정 대상인지 여부 | 매일 |
| 강제노동 엔티티 목록 | 실체가 강제노동 맥락에서 등재되었는지 여부 | 업데이트 시마다 |
| 기업 등기부 | 임원, 소유권, 등록 주소, 상태, 파산 | 매주 |
| 공급업체 자체 웹사이트 | 사이트, 제품, 주장하는 인증, 연락처 정보 | 매주 |
| 지역 및 업계 뉴스 | 사건, 파업, 조사, 폐쇄 | 매일 |
| 채용 공고 및 인력 신호 | 확장, 축소, 이전 | 매주 |
| 인증기관 디렉토리 | 주장된 인증서가 유효하고 최신인지 여부 | 매월 |
목록에 대해서는 1차 발행처를 확인하라. 미국에서는 재무부 해외자산통제국(Office of Foreign Assets Control)이 특별지정국민(Specially Designated Nationals) 목록을 발행한다. EU는 금융 제재 통합 목록을 발행한다. 영국에서는 2026년 1월 28일부터 외무영연방개발부(Foreign, Commonwealth and Development Office)가 발행하는 UK 제재 목록(UK Sanctions List)이 모든 영국 제재 지정에 대한 유일한 소스이며, 기존 통합 목록은 참고용으로만 보존된다. 통합 스크리닝 데이터세트는 작업을 절약해주지만 라이선스를 반드시 읽어야 한다. 예를 들어 OpenSanctions는 크리에이티브 커먼즈 비상업적 라이선스로 발행하므로 상업적 스크리닝에는 유료 라이선스가 필요하다.
인력 신호는 레이오프 및 인력 변화 추적에서, 지역 뉴스 수집은 뉴스 및 미디어 모니터링을 위한 레지덴셜 프록시에서 더 자세히 다룬다.
3단계: 공급업체가 운영되는 곳에서 수집하기
베트남, 튀르키예, 멕시코에 있는 공급업체는 무언가를 처음 발표할 때 베트남어, 튀르키예어, 스페인어로, 현지 사이트에서, 현지 뉴스에서, 현지 등기부에서 발표한다. 많은 기업 웹사이트도 방문자의 국가에 따라 다른 콘텐츠를 보여준다. 현지 주소와 인증서가 있는 현지 사이트와, 세련되게 요약된 글로벌 사이트가 그것이다. 본사에서 영어로 된 글로벌 사이트만 읽는다면, 무언가 잘못되었을 때 변경될 가능성이 가장 낮은 버전을 읽고 있는 셈이다.
공급업체 자체 시장에서 수집하라:
- 영어 명칭과 함께 현지 언어 검색어를 사용하라. 원어 표기의 등록명도 포함해야 한다.
- 현지 방문자처럼 공급업체 사이트를 불러오라. 공급업체 국가의 레지덴셜 출구 IP를 사용하면 사이트의 현지 버전이 표시된다. Shifter의 게이트웨이에서는 국가가 사용자 이름의 일부로 포함된다. 예를 들어
customer-USERNAME-country-vn이며, 세션 ID는 여러 페이지에 걸친 방문 동안 하나의 IP를 유지시킨다. - 모든 캡처에 관측 지점을 기록하라. 페이지가 보여준 내용은 어디에서 로드되었는지에 따라 달라지기 때문이다. 이에 대한 근거는 관측 지점 표준에서 다룬다.
4단계: 상태가 아니라 변화를 탐지하기
모니터링의 유용한 산출물은 변화 기록이다: 무엇이, 어디서, 언제부터 바뀌었는가. 감시 대상 페이지마다 정규화된 스냅샷을 저장하고 방문할 때마다 비교하라.
import difflib
import hashlib
import json
import re
import urllib.request
from datetime import datetime, timezone
from pathlib import Path
def fetch_text(url, proxy=None):
handlers = [urllib.request.ProxyHandler({"http": proxy, "https": proxy})] if proxy else []
opener = urllib.request.build_opener(*handlers)
req = urllib.request.Request(url, headers={"User-Agent": "Mozilla/5.0 supplier-monitor"})
with opener.open(req, timeout=45) as r:
html = r.read().decode("utf-8", "replace")
html = re.sub(r"(?is)<(script|style|noscript).*?</\1>", " ", html)
text = re.sub(r"(?s)<[^>]+>", " ", html)
return re.sub(r"\s+", " ", text).strip()
def check(supplier, url, store=Path("snapshots"), proxy=None):
"""Compare a supplier page with its last snapshot. Returns a change record or None."""
store.mkdir(exist_ok=True)
key = hashlib.sha256(f"{supplier}|{url}".encode()).hexdigest()[:16]
path = store / f"{key}.json"
text = fetch_text(url, proxy)
now = {"supplier": supplier, "url": url, "text": text,
"sha256": hashlib.sha256(text.encode()).hexdigest(),
"at": datetime.now(timezone.utc).isoformat(timespec="seconds")}
before = json.loads(path.read_text()) if path.exists() else None
path.write_text(json.dumps(now))
if before is None or before["sha256"] == now["sha256"]:
return None
diff = difflib.unified_diff(before["text"].split(". "), text.split(". "), lineterm="", n=0)
return {"supplier": supplier, "url": url, "since": before["at"], "at": now["at"],
"changes": [d for d in diff if d[:1] in "+-" and d[:3] not in ("+++", "---")][:20]}실제로는 비교 전에 노이즈를 걸러내야 한다. 날짜, 순환 배너, 쿠키 알림, 세션 토큰은 로드할 때마다 바뀌지만 아무 의미가 없다. 가능하다면 전체 사이트가 아니라 위치 페이지나 인증 페이지 같은 특정 섹션을 지켜보라.
5단계: 분류, 에스컬레이션, 보존
원시 변화는 그 자체로 알림이 아니다. 실제로 비즈니스에 중요한 것을 반영하는 규칙을 통해 이를 전달하라.
| 심각도 | 예시 | 조치 |
|---|---|---|
| 심각 | 실체, 소유주 또는 사이트에 대한 제재 또는 강제노동 목록 매치 | 컴플라이언스팀에 즉시 에스컬레이션; 검토 완료 시까지 신규 주문 보류 |
| 높음 | 소유권 변경, 파산 신청, 심각한 사건에 대한 신빙성 있는 보고 | 며칠 내 검토; 공급업체에 연락 |
| 중간 | 주장된 인증서가 발급기관 디렉토리에서 더 이상 확인되지 않음; 웹사이트에서 사이트가 삭제됨 | 검증 대기열에 추가 |
| 낮음 | 신제품, 새 연락처 정보, 일상적인 웹사이트 수정 | 공급업체 기록에 로그 |
모니터링 피드와 방어 가능한 프로세스 사이의 차이를 만드는 것은 두 가지 관행이다. 첫째, 모든 심각 매치는 사람이 확인한 후 조치해야 한다. 목록에 대한 이름 매치는 종종 틀리며, 식별자 매치가 이름 매치보다 훨씬 신뢰할 수 있다. 둘째, 본 것을 보존하라. 오늘 문제를 보여준 페이지가 내일 수정될 수 있으므로, URL, 전체 페이지 이미지, HTML, 시각, 관측 지점과 함께 캡처하고 파일을 해시하라. 법적 분쟁을 위해 사용되는 동일한 보존 방법이 온라인 리스팅에서 법정 증거 구축하기에 설명되어 있다.
비례성 유지하기
공급업체 모니터링은 기업에 관한 것이다. 이것이 임원, 소유주, 직원 등 개인에 대한 정보 수집으로 흘러가기 쉽다. 리스크 평가에 실제로 필요한 범위로 제한하라. 여러 관할권에서 임원과 소유주의 이름은 개인정보에 해당하며, 데이터 보호 규칙도 수집에 적용된다. 공개된 소스를 사용하고, 각 사이트의 약관을 준수하며, 수집 속도를 조절하고, 로그인이 필요한 영역에는 그럴 권리가 없는 한 접근하지 말라. 법적 입장이 불명확한 경우, 수집 후가 아니라 수집 전에 법률 자문을 구하라.
결론
공급업체 리스크는 좀처럼 숨겨져 있지 않다. 여러 언어와 여러 국가에 걸쳐 등기부, 목록, 웹사이트, 지역 뉴스에 흩어져 있으며, 예고 없이 변한다. 각 공급업체를 실제 실체로 매핑하고, 적절한 주기로 올바른 소스를 지켜보며, 공급업체 자체 시장에서 수집하고, 상태가 아니라 변화에 대해 알림을 보내는 모니터링 방법은 감사가 이루어지기 몇 주 또는 몇 달 전에 대부분의 중요한 사항을 드러낼 것이다.
규제 일정은 계속 바뀔 것이다. 그러나 이들 모두가 공유하는 실질적인 요구사항, 즉 공급업체를 알고 그들에 관한 무언가가 바뀌었을 때 이를 알아채는 것은 변하지 않을 것이다.
출처 및 참고자료
- 강제노동으로 생산된 제품의 EU 시장 유통을 금지하는 규정 (EU) 2024/3015. 2027년 12월 14일부터 적용.
- 산림파괴 없는 제품에 관한 규정 (EU) 2023/1115를 개정하는 규정 (EU) 2025/2650. 주요 의무는 2026년 12월 30일부터, 초소규모 및 소규모 사업자는 2027년 6월 30일부터 적용.
- 기업 지속가능성 실사 지침을 개정하는 지침 (EU) 2026/470. 2029년 7월 26일부터 적용되며 기준이 개정됨.
- 미국 국토안보부, UFLPA 엔티티 리스트.
- 영국 외무영연방개발부, UK 제재 목록.
- 미국 재무부 해외자산통제국, 제재 목록 검색.
- GLEIF, 오픈 데이터 및 Golden Copy.
- OpenSanctions, 라이선스 정보.
- Shifter, 레지덴셜 프록시 지역 타겟팅 및 세션 문서.
이 글은 일반 정보이며 법률 자문이 아니다. 각 관할권에서의 의무에 관해서는 법률 자문을 구하라.