Devoir de vigilance des entreprises : obligations légales et plan de vigilance opérationnel

Depuis 2017, la France impose aux plus grands groupes une obligation de prévention étendue à toute leur chaîne de valeur. Les décisions rendues par le tribunal judiciaire de Paris et la cour d’appel de Paris depuis 2023 ont transformé un exercice largement déclaratif en une exigence méthodologique contrôlée par le juge. Cet article détaille le cadre applicable, la construction opérationnelle d’un plan de vigilance et l’articulation avec la directive européenne (UE) 2024/1760, modifiée en février 2026.

1. Le devoir de vigilance des entreprises : un cadre légal essentiel

Origine et portée de la loi du 27 mars 2017

La loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre répond au constat d’une responsabilité juridique diluée le long des chaînes d’approvisionnement, révélé par l’effondrement du Rana Plaza. Le texte crée une obligation autonome : la société mère établit, publie et met en œuvre effectivement un plan couvrant ses activités, celles de ses filiales et celles des sous-traitants et fournisseurs avec lesquels elle entretient une relation commerciale établie. Le champ matériel vise les atteintes graves aux droits humains et aux libertés fondamentales, à la santé et à la sécurité des personnes, ainsi qu’à l’environnement.

Entreprises assujetties et seuils d’effectifs

L’obligation vise les sociétés dont le siège social est établi en France et qui emploient, à la clôture de deux exercices consécutifs, au moins 5 000 salariés en leur sein et dans leurs filiales directes ou indirectes établies en France, ou au moins 10 000 salariés en leur sein et dans leurs filiales directes ou indirectes en France et à l’étranger. Aucun critère de chiffre d’affaires n’intervient : le seuil est exclusivement social.

Deux conséquences pratiques méritent l’attention des directions juridiques. Une société étrangère disposant d’une filiale française importante peut voir cette filiale franchir le seuil et devenir elle-même assujettie. Une entreprise de taille intermédiaire dont les effectifs progressent par croissance externe bascule dans le champ de la loi sans toujours l’avoir anticipé. Le suivi des effectifs consolidés relève donc de la veille réglementaire annuelle.

Ancrage dans le Code de commerce et régime de sanction

Le dispositif est codifié aux articles L. 225-102-4 et L. 225-102-5 du Code de commerce. Le premier définit le contenu du plan, ses cinq mesures obligatoires et l’obligation de publication : toute personne justifiant d’un intérêt à agir peut mettre l’entreprise en demeure puis, après trois mois sans mise en conformité, saisir le juge d’une demande d’injonction sous astreinte. Le second renvoie au droit commun de la responsabilité civile pour la réparation du préjudice que l’exécution diligente du plan aurait permis d’éviter. L’amende civile initialement votée a été censurée par le Conseil constitutionnel (décision n° 2017-750 DC). Depuis la loi du 22 décembre 2021, le tribunal judiciaire de Paris exerce une compétence exclusive sur ce contentieux.

2. Obligations clés et étapes de mise en œuvre d’un plan de vigilance

Le plan repose sur cinq mesures indissociables. La jurisprudence sanctionne moins l’absence de plan que l’absence de chaînage démontrable entre elles : une cartographie générique produit des procédures d’évaluation inadaptées, qui alimentent des indicateurs sans valeur probante. La construction doit donc être séquentielle et documentée.

Les cinq mesures obligatoires et le point contrôlé par le juge

Cartographie des risques : identifier les atteintes potentielles

La cartographie constitue la matrice du dispositif : elle identifie, analyse et hiérarchise les risques par activité, par géographie et par catégorie de tiers. La cour d’appel de Paris, dans son arrêt du 17 juin 2025 relatif à l’affaire La Poste, a jugé insuffisante une cartographie présentant un niveau de généralité trop élevé et ne distinguant pas les degrés de gravité. Une échelle de cotation explicite, combinant gravité, probabilité, caractère irrémédiable et capacité d’influence, constitue le minimum attendu.

Sur les droits humains, l’analyse porte sur le travail forcé et dissimulé, l’hébergement des travailleurs migrants, la liberté syndicale, les discriminations et les intermédiaires de recrutement. Le volet santé et sécurité cible les activités à haut risque exercées par des tiers sur site : travaux en hauteur, espaces confinés, interventions électriques, coactivité industrielle. Le volet environnemental couvre les rejets, les déchets dangereux, la biodiversité et les émissions de gaz à effet de serre, le jugement du tribunal judiciaire de Paris du 25 juin 2026 ayant rattaché les risques climatiques aux risques environnementaux. La cartographie de l’exposition fournisseurs croise enfin les données achats — volume, criticité, dépendance — avec des indices de risque pays et secteur.

Mesures d’atténuation et de prévention : déployer une stratégie proactive

Les procédures d’évaluation des filiales, sous-traitants et fournisseurs découlent directement de la cartographie. Un questionnaire unique adressé à tout le panel ne répond pas à l’exigence légale : la profondeur de l’évaluation varie selon le niveau de risque, de l’auto-déclaration documentaire jusqu’à l’audit sur site avec entretiens de travailleurs pour les fournisseurs critiques. Chaque niveau doit être défini par écrit, avec ses critères de déclenchement.

Les clauses contractuelles constituent le second levier : respect des standards sociaux et environnementaux, répercussion en cascade vers les rangs inférieurs, droit d’audit, information obligatoire en cas d’incident grave, résiliation graduée. Les plans d’action correctifs transforment ensuite les constats d’audit en obligations de résultat, avec un responsable nommé de part et d’autre, un délai calé sur la gravité et une preuve de clôture vérifiée. Les fournisseurs à haut risque relèvent d’une revue trimestrielle avec remontée au comité de vigilance.

Graduer la profondeur d’évaluation selon le niveau de risque

Mécanisme d’alerte et de recueil des signalements

Le mécanisme d’alerte doit être établi en concertation avec les organisations syndicales représentatives, et la cour d’appel de Paris a précisé que cette concertation doit être préalable et effective : présenter aux syndicats un dispositif déjà rédigé ne satisfait pas l’obligation. Le canal reste ouvert aux salariés comme aux tiers — travailleurs de sous-traitants, riverains, associations, syndicats locaux — dans les langues des principaux pays d’implantation. Confidentialité et traçabilité rejoignent les exigences du régime de protection des lanceurs d’alerte : anonymat optionnel, interdiction des représailles, accusé de réception, délai annoncé, retour au signalant. Chaque alerte doit être horodatée, rattachée à un risque de la cartographie et clôturée par une décision motivée archivée.

Dispositif de suivi et évaluation des mesures

Le dispositif de suivi mesure l’efficacité réelle des mesures, non l’activité déployée : la cour d’appel de Paris a reproché à l’entreprise concernée des indicateurs dépourvus de lien clair avec les risques identifiés. Les indicateurs pertinents combinent des mesures de couverture — part des fournisseurs à risque évalués, taux de clauses déployées — et des mesures de résultat : délai de clôture des non-conformités majeures, taux de récidive, suites données aux alertes fondées. L’audit s’organise sur trois niveaux : contrôle opérationnel par les achats, test méthodologique par la conformité, évaluation d’ensemble par l’audit interne devant le comité d’audit. Une revue annuelle formalisée produit ensuite des décisions traçables.

Bilan public annuel du plan de vigilance : transparence et redevabilité

L’article L. 225-102-4 impose la publication du plan et du compte rendu de sa mise en œuvre effective, tous deux inclus dans le rapport de gestion. Ces documents répondent à des logiques distinctes : le plan décrit le dispositif, le compte rendu démontre son application sur l’exercice. Les travaux du Business & Human Rights Resource Centre et l’évaluation conduite par le Conseil général de l’économie montrent qu’une minorité d’entreprises produit un compte rendu conforme, ce qui offre un angle d’attaque aux requérants.

La gouvernance conditionne la crédibilité de l’exercice. Le conseil d’administration ou de surveillance examine le plan avant approbation du rapport de gestion et consigne cet examen au procès-verbal ; un comité dédié instruit les sujets en amont et un membre du comité exécutif porte la responsabilité du dispositif. Publier la méthodologie de cotation, nommer les catégories de fournisseurs et les géographies concernées et documenter les cas traités, y compris les échecs, se défend mieux qu’un document promotionnel.

3. Enjeux et défis du devoir de vigilance pour les grandes entreprises et ETI

Intégration du devoir de vigilance dans la stratégie RSE et compliance

Le devoir de vigilance partage son socle méthodologique avec la CSRD et les référentiels de notation extra-financière : l’analyse de double matérialité identifie largement les mêmes impacts que la cartographie de vigilance. Traiter ces exercices séparément multiplie les coûts et produit des incohérences que les analystes relèvent rapidement. Une base de risques unique, alimentée une fois et exploitée par plusieurs livrables, réduit la charge et sécurise le discours public.

La gouvernance transversale reste le principal point de friction : les achats détiennent la relation fournisseur, le juridique l’exposition contractuelle, la conformité les procédures d’alerte, la RSE les engagements publics, les opérations la connaissance des sites. Un comité de vigilance réunissant ces fonctions, doté d’un mandat écrit et d’un pouvoir d’arbitrage budgétaire, évite la dilution des responsabilités qui caractérise les dispositifs contestés devant le juge.

Gestion des risques fournisseurs et sous-traitants à l’international

La visibilité au-delà du rang 1 constitue l’obstacle structurel. Peu de groupes connaissent l’identité de leurs fournisseurs de rang 2 et 3, alors que les atteintes les plus graves s’y concentrent : extraction minière, filature textile, agriculture contractuelle, recrutement de main-d’œuvre migrante. Les leviers disponibles restent l’obligation contractuelle de déclaration des sous-traitants critiques, la traçabilité par filière sur les matières sensibles et l’usage de bases sectorielles mutualisées.

L’exécution contractuelle transfrontalière soulève des difficultés concrètes : droit applicable, effectivité du droit d’audit dans des juridictions peu coopératives, résistance des fournisseurs en position de force. Les directions achats gagnent à concentrer l’effort contractuel sur le segment critique plutôt qu’à diluer des clauses standard sur des milliers de références. La vérification des données reste le maillon faible : documents falsifiés, audits annoncés, entretiens de travailleurs sous surveillance de l’employeur.

La diligence raisonnable à l’échelle de la chaîne de valeur globale

Étendre la diligence au-delà du rang 1 exige une méthode de priorisation assumée. Les Principes directeurs des Nations unies et le guide de l’OCDE sur le devoir de diligence autorisent l’entreprise à concentrer ses ressources là où le risque d’atteinte grave est le plus élevé, à condition de documenter les critères retenus : gravité potentielle, probabilité, caractère irréversible et levier d’influence réel. L’approche se déploie en trois cercles : les fournisseurs directs critiques, soumis à évaluation approfondie et audit périodique ; les filières à risque élevé, traitées par analyse sectorielle et traçabilité matière quel que soit le rang ; le reste du panel, suivi par filtrage automatisé. Cette architecture reste défendable dès lors que les critères de classement sont écrits et appliqués de manière constante.

Anticiper les évolutions réglementaires européennes : CSDDD et autres cadres

La directive (UE) 2024/1760 du 13 juin 2024, dite CSDDD, a été modifiée par la directive (UE) 2025/794 puis par la directive (UE) 2026/470 du 24 février 2026 issue du paquet Omnibus I. Le texte consolidé vise les sociétés de l’Union employant plus de 5 000 salariés et réalisant plus de 1,5 milliard d’euros de chiffre d’affaires net mondial, ainsi que les sociétés de pays tiers réalisant plus de 1,5 milliard d’euros dans l’Union. Les États membres transposent au plus tard le 26 juillet 2028, pour une application au 26 juillet 2029.

Les différences avec le droit français structurent la préparation. La loi de 2017 retient un seuil exclusivement social et s’applique dès aujourd’hui ; la directive ajoute un critère financier nettement plus élevé et confie la supervision à une autorité administrative pouvant infliger une amende plafonnée à 3 % du chiffre d’affaires net mondial, le régime de responsabilité civile harmonisé et l’obligation d’adopter un plan de transition climatique ayant été supprimés en 2026. Trois impacts opérationnels en découlent : l’articulation des deux régimes, déterminante lors de la transposition ; l’exercice de cadrage préalable fondé sur les informations raisonnablement disponibles, qui précède l’évaluation approfondie des zones prioritaires ; l’encadrement des demandes d’information aux partenaires de moins de 5 000 salariés, qui impose de revoir les questionnaires fournisseurs.

Loi française et directive européenne : ce qui change

4. Bénéfices d’une démarche de vigilance proactive

Réduction des risques juridiques et réputationnels

La mise en demeure ouvre une fenêtre de trois mois pendant laquelle une entreprise disposant d’un dispositif documenté corrige les points contestés et évite l’injonction. Les groupes dont le plan repose sur une cartographie détaillée, des procédures graduées et des indicateurs reliés aux risques mobilisent immédiatement des éléments de preuve. Un plan générique expose à l’inverse à une décision publique dont l’écho médiatique dépasse la portée juridique de l’injonction, alors que la détection précoce par le canal d’alerte réduit la probabilité même d’un accident grave ou d’une pollution imputée à un fournisseur.

Amélioration de la gouvernance et de la performance RSE

La cartographie produit une visibilité que peu d’organisations possédaient sur leur chaîne d’approvisionnement : dépendances critiques, concentration géographique, fournisseurs uniques sur des composants sensibles. Cette information alimente la gestion des risques opérationnels et la continuité d’activité. Formaliser les critères d’évaluation, tracer les homologations et relier les indicateurs aux risques renforce le contrôle interne et rend les données publiées vérifiables, ce qui facilite l’assurance externe du reporting de durabilité.

Renforcement de la confiance avec les parties prenantes

Les investisseurs institutionnels intègrent la qualité des dispositifs de diligence raisonnable dans leur analyse des risques sur les secteurs exposés. Les clients grands comptes et les acheteurs publics répercutent leurs propres obligations dans leurs appels d’offres, transformant la maturité vigilance en critère de sélection. Les salariés des fonctions achats et opérations disposent d’un cadre clair pour signaler les situations constatées. Les régulateurs et les associations requérantes, enfin, construisent leur analyse à partir des documents publiés.

Avantage concurrentiel et attractivité pour les investisseurs

L’accès aux marchés régulés dépend de plus en plus de la capacité à documenter la chaîne d’approvisionnement : le règlement européen sur la déforestation, celui relatif aux batteries et les dispositifs visant le travail forcé exigent des preuves de traçabilité qu’une démarche mature fournit déjà en partie. Les attentes d’investissement ESG poursuivent leur normalisation malgré l’allègement réglementaire européen. L’argument de résilience reste le plus solide : une chaîne cartographiée, diversifiée et surveillée absorbe mieux les chocs géopolitiques, sanitaires et climatiques.

FAQ