ESG 信息披露的法律义务与边界：交易所指引与 ISSB 时间表

对很多上市公司和拟上市企业来说，ESG 披露正在从"愿意做的加分项"变成"必须做的法定义务"。但"必须披露"不等于"随便披露"——披什么、披到什么颗粒度、披错了担什么责任，都是有法律边界的。这篇文章把这条边界讲清楚：先看境内与香港两张正在收紧的时间表，再谈披露不实的法律后果，以及企业现在就该做的事。本文只讲披露的法律义务与责任边界，报告怎么编、数据怎么算是另一件事（技术交付）。

境内：从"有没有报告"到"强制披露首年"

境内可持续披露的制度锚点是沪深北三大交易所的《上市公司可持续发展报告指引》：2024 年 4 月 12 日发布、2024 年 5 月 1 日施行，2025 年 1 月三所又配套发布《编制指南》。指引确立了"双重重要性"原则（既看议题对企业财务的影响，也看企业对环境社会的影响），并把上证 180、科创 50、深证 100、创业板指等指数样本公司及境内外同时上市的公司列为强制披露主体——首批约 457 家，须在 2026 年 4 月 30 日前首次披露 2025 年度可持续发展报告；其余公司自愿披露。

与此并行，财政部牵头的《企业可持续披露准则》体系（基本准则、气候准则）也在分步推进，方向是与国际财务报告可持续披露准则（ISSB）对齐。制度已经落地，强制披露的第一年刚刚开始——这意味着监管关注的重心，正从"有没有交报告"转向"报告里的数据真不真"。

强制披露首年（2025 年度）刚过。眼下没有"因 ESG 报告本身不实"被处罚的具名个案，但监管的问询函已经开始比对 ESG 报告里的减排承诺与排污许可数据——处罚的落地，只是时间问题。

香港：一张正在快速收紧的 ISSB 时间表

香港的气候披露升级，是分步、加速推进的，节奏清晰：

本地会计准则层面也在同步推进：香港会计师公会（HKICPA）已发布对齐 ISSB 的香港财务报告可持续披露准则（HKFRS S1 一般要求、S2 气候相关披露），并于 2025 年 8 月起生效。交易所上市规则与会计师公会披露准则两条线正在合流，把港股的气候披露标准抬到与国际同一水平线。

范围 3 与第三方鉴证：披露的"硬约束"在收紧

范围 1、2 的排放来自企业自身的燃料燃烧和外购电力，边界清楚、数据可控。真正的难题是范围 3——价值链排放：它涵盖上游采购、下游使用、物流运输等企业自身运营之外的环节，往往占总排放的绝大部分，却又最难量化，因为这些数据不在企业自己手里，而分散在成百上千家供应商和客户那里。这就带来一个直接的法律后果：上市公司要披露范围 3，就必须向价值链要数据，于是披露义务以数据问卷、合同条款、供应商准入的形式，层层传导给内地的供应链——哪怕这些供应商自己并不上市。

更进一步，随着中国注册会计师协会可持续信息鉴证业务准则的出台，可持续披露数据正从"自我声明"走向"需经第三方鉴证"。这意味着，范围 3 等价值链数据不仅要"报得出"，还要"经得起鉴证"——数据的来源、口径、核算过程都需要可追溯、可验证。临时估算、缺乏留痕的数据，在鉴证环节会成为问题，在监管问询与潜在诉讼中会成为责任敞口。

A+H 公司的额外难题：双框架协调

对同时在 A 股与 H 股上市的企业而言，还有一层特有的复杂性：它们需要同时满足两套、乃至三套披露框架。

• 内地一侧：沪深北三大交易所的《可持续发展报告指引》，以及财政部牵头的《企业可持续披露准则》体系；
• 香港一侧：港交所上市规则与 HKICPA 对齐 ISSB 的披露准则。

这几套框架在大方向上趋同——都指向 ISSB——但在具体口径、范围、时间表与表述要求上并不完全一致。A+H 公司如果各做各的，很容易出现同一家公司、同一年度、两份数据口径不一致的报告，这在监管问询与投资者审视面前，本身就是一处风险敞口。因此，A+H 公司需要一张双框架映射表：把内地指引与 ISSB 准则的披露要求逐项对照，找出重叠、差异与冲突，用一套底层数据同时满足两地要求。这张映射表既是数据工程，也是法律工程——哪些差异只是口径、哪些差异会引出责任，需要律师参与判断。

企业现在就该做的三件事

无论你是境内强制披露主体、港股大型股发行人，还是它们的内地供应商，面对这两张时间表，有三件事越早启动越主动：

一、界定披露义务的法律边界

先搞清楚：你属不属于强制披露主体、适用哪套框架、哪些议题必须披、范围 3 是"强制"还是"解释"。这是"必须做什么"的法律判断，做错方向后面全是无用功。

二、把披露表述做到经得起问询

披露表述与实际数据、与其他公开文件（如排污许可、环评、财报）不能打架。承诺与实绩矛盾、定性描述与定量数据脱节，都是问询函的靶子，严重的会走向证券虚假陈述。这一步是把"报告"翻译成"经得起法律审视的披露"。

三、为第三方鉴证与价值链数据留好痕

范围 3 与鉴证要求指向同一件事：数据要可追溯。企业需要一套能向上下游收数据、校验质量、留存核算过程的机制——数据收集本身是系统与技术的活，而"哪些留痕在法律上是必需的、责任如何在披露主体与供应商间分配"，是法律的活。

这三件事指向同一个能力底座：一套能把价值链数据管起来、经得起鉴证的系统，加上能协调框架、把披露表述做到经得起问询的法律支持。报告要做得出，更要在准则和第三方鉴证面前扛得住。