Quatre échéances réglementaires convergent et l’une d’elles modifie la nature même de l’obligation de vigilance en l’étendant aux sous-traitants que le maître d’ouvrage accepte. Pour une organisation qui suit plusieurs milliers de tiers, la question de rentrée ne consiste donc pas à savoir quoi vérifier, mais à déterminer dans quel ordre engager les chantiers et avec quel budget.
Le calendrier
| Échéance | Ce qui se joue | Qui pilote |
| Au plus tard le 25 décembre 2026 | Entrée en vigueur de l’article L. 8222-1-1 : vérification périodique du maître de l’ouvrage sur les sous-traitants qu’il accepte | Achats, juridique, opérations |
| Septembre 2026 et suivants | Examen en séance de la loi Résilience transposant NIS2, puis décrets d’application attendus en fin d’année | RSSI, DSI, achats informatiques |
| Mars 2027 | Échéance de transposition de la CSRD révisée par le paquet Omnibus | RSE, direction financière |
| Fin mars, chaque année | Remise du registre d’information DORA à l’autorité de supervision, pour les entités financières | Conformité, DSI, achats |
Parmi ces quatre échéances, deux sont datées et deux restent suspendues à un décret.
DORA et la CSRD ont une date. L’article L. 8222-1-1 et la loi Résilience n’en ont pas encore.
Néanmoins chacune suppose que vous sachiez précisément qui compose votre chaîne de fournisseurs.
Le changement de fond : la vigilance s’étend au sous-traitant accepté
L’article 95 de la loi n° 2026-534 du 25 juin 2026 crée l’article L. 8222-1-1 du code du travail, dont deux évolutions méritent l’attention d’un comité exécutif.
La première tient au caractère périodique de la vérification, qui doit désormais s’exercer au démarrage de l’exécution puis pendant toute sa durée. La logique de la photographie prise à l’entrée en relation, déjà contestable en pratique, devient donc insuffisante en droit.
La seconde tient au périmètre. Le texte s’adresse au maître d’ouvrage et vise le sous-traitant que celui-ci accepte, alors même qu’aucun lien contractuel direct ne les unit. La qualité juridique retenue diffère donc de la notion commerciale de donneur d’ordre, et le fait générateur de l’obligation n’est pas la présence d’un sous-traitant sur le marché, mais son acceptation. Dans une organisation qui traite déjà imparfaitement la déclaration de sous-traitance, cette extension ne relève pas de l’ajustement de procédure, puisqu’elle suppose de savoir qui a été accepté, par qui et sur quel marché, information que la plupart des référentiels achats ne contiennent pas aujourd’hui.
Ce que le décret doit encore préciser, et pourquoi il conditionne votre dimensionnement. Trois paramètres restent ouverts : le montant minimal des contrats de sous-traitance entrant dans le champ, la liste des documents à se faire remettre et leurs conditions de remise, et la date d’entrée en vigueur, fixée au plus tard le 25 décembre 2026. Le premier de ces paramètres commande directement le volume de tiers à surveiller, et donc le budget. Le texte précise en outre que le maître de l’ouvrage est réputé avoir satisfait à son obligation lorsqu’il se fait remettre ces documents et s’assure de leur authenticité, si bien que la présomption tombe en l’absence de contrôle d’authenticité.
Deux conséquences opérationnelles se dessinent sans attendre le décret. La première consiste à formaliser et à tracer la procédure d’acceptation des sous-traitants, puisqu’elle devient le fait générateur de l’obligation. La seconde consiste à préparer la production des justificatifs, le nouveau dispositif étendant le mécanisme de solidarité financière de l’article L. 8222-2 et adaptant les pouvoirs de contrôle de manière que les preuves des vérifications puissent être réclamées.
Le contexte de contrôle donne la mesure de l’enjeu. L’URSSAF a engagé 1 027 actions de mise en œuvre de la solidarité financière en 2025, soit une progression de 85 % sur un an, pour un total de redressements au titre du travail dissimulé avoisinant 1,5 milliard d’euros. Le taux de redressement des actions ciblées atteint quant à lui 84,5 %, ce qui traduit un ciblage par croisement de données plutôt qu’un contrôle aléatoire.
ETI et grands comptes : La marche à suivre en cette rentrée
Un dispositif de gestion des risques tiers sert plusieurs directions, dont les attentes ne se recouvrent que partiellement. Cette divergence explique à elle seule la multiplication des outils et des questionnaires, chaque département ayant bâti son propre dispositif en l’absence de socle commun. C’est d’ailleurs ce qui explique la multiplication des outils et des questionnaires : chaque département a construit sa réponse, faute de socle commun. Plusieurs enjeux :
Direction des achats
L’enjeu du trimestre réside dans la campagne de renouvellement, seul moment de l’année où les exigences documentaires peuvent être intégrées au contrat sans renégociation spécifique. Trois clauses méritent d’y figurer : la déclaration préalable de tout sous-traitant, la fourniture périodique des pièces pendant l’exécution, et la résiliation en cas de manquement persistant.
Direction juridique
Un second chantier consiste à réduire le nombre de sollicitations adressées à un même fournisseur. Lorsque quatre directions interrogent séparément un tiers, le taux de réponse s’effondre sur les quatre demandes, et c’est généralement la plus critique d’entre elles.
La question n’est pas d’avoir vérifié, mais de pouvoir le prouver. Le contentieux de la solidarité financière se joue largement sur le terrain de la preuve et de l’appréciation des faits par les juges du fond, et l’on a vu une cour d’appel annuler un redressement en 2025 au motif que le donneur d’ordre avait effectivement satisfait à son obligation.
L’action de rentrée consiste donc à s’assurer que chaque vérification laisse une trace horodatée, associée à la pièce contrôlée et à son résultat, et que cette trace demeure extractible sans reconstitution manuelle.
Conformité et Sapin II
La cartographie des risques et l’évaluation des tiers constituent des obligations installées sur lesquelles les équipes sont formées. Le point d’attention de cette rentrée porte plutôt sur la cohérence entre la cartographie déclarée et la segmentation réellement appliquée, car un dispositif qui classe les tiers par criticité mais les évalue tous de la même manière se défend difficilement devant un contrôle.
Direction financière
Trois sujets se rejoignent : l’exposition à la solidarité financière, la fraude au virement dont le coût unitaire dépasse celui de tous les autres incidents fournisseurs, et le risque de défaillance sur les tiers critiques au moment précis où les signaux financiers se dégradent en fin d’exercice.
Pour les entités financières s’ajoute la préparation du registre d’information DORA, dont la remise est attendue à la fin du mois de mars 2027.
Direction RSE
Le paquet Omnibus a relevé les seuils de la CSRD à 1 000 salariés et 450 millions d’euros de chiffre d’affaires, réduisant d’environ 80 % le nombre d’entreprises assujetties, et il a repoussé les échéances. Pour la CS3D, les seuils passent à 5 000 salariés et 1,5 milliard d’euros, avec une transposition attendue à l’été 2028.
Deux conséquences opposées en découlent. Si vous sortez du périmètre, la question devient celle du niveau d’effort à maintenir, sachant que vos propres clients peuvent continuer de collecter ces informations s’ils sont soumis à la réglementation ou dans une démarche de sécurisation de leurs actifs. Si votre entreprise reste assujettie, votre chaîne de valeur doit être documentée alors même que vos fournisseurs, eux, n’y sont plus soumis et perdent l’incitation réglementaire à répondre.
Sécurité des systèmes d’information
Le contenu technique de NIS2 est déjà connu, l’ANSSI ayant publié son référentiel en mars 2026 avec des objectifs de sécurité différenciés selon la catégorie d’entité. Seule la date d’opposabilité demeure suspendue au parcours de la loi Résilience et à ses décrets.
L’action utile en septembre consiste à identifier, parmi vos fournisseurs, ceux qui seront eux-mêmes assujettis. Ils constitueront le socle sur lequel vos exigences contractuelles seront les plus faciles à faire accepter, puisqu’ils devront s’y conformer.
Direction générale
Les questions que vous devriez considérer en comité : sur quels tiers sommes-nous réellement exposés, à quelle hauteur, et depuis combien de temps le savons-nous ? Un dispositif incapable d’y répondre produit de la donnée et des prises de décisions qui peuvent directement exposer votre entreprise ou engager sa responsabilité.
Comment les grandes entreprises et les ETI doivent gérer les renouvellements de documents à la rentrée ?
La gestion des renouvellements constitue un enjeu important pour chaque entreprise.
Les échéances documentaires suivent en effet la date de délivrance des pièces, les échéances contractuelles suivent la date de signature, et les campagnes d’évaluation suivent le calendrier de la direction qui les porte. Ces trois cycles n’ont aucune raison de coïncider, et ils ne coïncident jamais. Il en résulte une charge répartie de façon aléatoire, qui culmine mécaniquement au moment où les équipes préparent la clôture.
Quatre décisions permettent de reprendre le contrôle de ce calendrier.
1. Synchroniser les campagnes de collecte sur deux fenêtres annuelles fixes, indépendantes de la date de dépôt de chaque fournisseur, la perte de quelques jours de validité restant très inférieure au gain de prévisibilité.
2. Adosser la revue documentaire à la revue contractuelle, puisqu’un renouvellement demeure le seul moment où le rapport de force permet d’obtenir les pièces et les clauses manquantes.
3. Traiter les tiers critiques hors campagne, en surveillance continue, car les faire entrer dans une logique de campagne revient à accepter des angles morts sur la partie du panel qui en supporte le moins.
4. Formaliser la sortie de relation au même niveau que l’entrée, les accès non révoqués, les données non restituées et les référencements laissés actifs constituant les écarts les plus fréquents entre le référentiel et la réalité.
Les enjeux de la fiabilisation du panel fournisseurs
Un même fournisseur existe fréquemment sous plusieurs identifiants : un code dans l’ERP, un autre dans l’outil de sourcing, une fiche par entité juridique acheteuse, parfois une variante héritée d’une migration. Tant que ce socle n’est pas assaini, la cartographie produite en aval reste fausse et les indicateurs remontés au comité des risques demeurent inexploitables.
Le rattachement à un identifiant légal opposable, SIREN en France, LEI ou numéro de TVA intracommunautaire à l’international, fait apparaître les doublons mais révèle surtout les liens capitalistiques entre entités jusque-là considérées comme indépendantes. C’est également ce qui met au jour les concentrations réelles, information que la direction générale réclame sans toujours l’obtenir.
Ce chantier est le moins visible et le plus rentable. Il se lance pendant une période creuse, il reste technique et peu consommateur de temps métier, et il conditionne la valeur de tout ce qui viendra ensuite.
Piloter : les indicateurs et leurs angles morts
| Indicateur | Ce qu’il révèle | Ce qu’il ne dit pas |
| Taux de couverture documentaire | Part du panel disposant du dossier attendu | Si les absences se concentrent sur les tiers critiques |
| Âge moyen des pièces | Fraîcheur réelle du référentiel | La validité juridique de la pièce à la date du contrôle |
| Part du panel sous surveillance continue | Périmètre réellement couvert entre deux campagnes | La pertinence des seuils qui déclenchent les alertes |
| Délai de traitement d’une alerte | Capacité à convertir une détection en action | Le taux d’alertes classées sans suite, souvent le vrai sujet |
| Part des tiers cartographiés et scorés | Maturité au regard des attentes Sapin II | L’écart entre la segmentation déclarée et celle appliquée |
| Nombre de sollicitations par fournisseur | Charge imposée à votre panel | Rien, mais il prédit mieux que tout autre le taux de réponse |
Ce dernier indicateur figure rarement dans les tableaux de bord, et il mériterait pourtant d’y être. Un fournisseur sollicité six fois par an par six directions différentes finit par ne plus répondre à aucune, et c’est en général la demande la plus critique qui reste en attente.
Le budget, et ce qui doit être arbitré avant la fin du trimestre
Quatre postes se disputent l’enveloppe, et ils ne se valent pas.
–La remise à niveau du référentiel vient en premier. Il s’agit d’une dépense ponctuelle, souvent sous-estimée, et de la seule qui conditionne le rendement des trois autres. A titre d’exemple, la reporter d’un an reviendrait à financer douze mois de surveillance sur une base fausse.
–L’extension du périmètre surveillé vient ensuite. La question n’est pas de couvrir un volume plus important de tiers, mais de déterminer lesquels sont stratégiques ou critiques et à quelle niveau, car une extension uniforme coûte cher sans réduire l’exposition dans les mêmes proportions.
–La vérification périodique des sous-traitants acceptés vient d’abord, puisque l’échéance est fixé en décembre. La cybersécurité suit, au rythme de NIS2. La donnée extra-financière ferme la marche, selon votre situation au regard d’Omnibus.
L’automatisation du traitement arrive en dernier dans l’ordre de priorité, mais c’est le poste dont le retour se démontre le plus directement, en équivalents temps plein réaffectés.
Un point de méthode, pour finir, à l’attention de ceux qui présenteront ce budget en comité. Les directions qui obtiennent leur arbitrage sur ce sujet ne présentent presque jamais le risque encouru. Elles présentent le coût du dispositif actuel, supporté par les équipes sans qu’aucune ligne ne soit prévue pour sécuriser le panel à hauteur du risque que chaque fournisseur fait courir à l’entreprise, ni même pour financer la remédiation.
Séquencer les quatre-vingt-dix jours à venir
| Période | Priorité | Livrable attendu |
| Septembre | Cadrage et identification | Recensement des sous-traitants acceptés sur les marchés en cours, test d’éligibilité NIS2, position CSRD après Omnibus |
| Octobre | Contrat et référentiel | Clauses révisées pour la campagne de renouvellement, lancement du rattachement aux identifiants légaux |
| Novembre | Budget et arbitrage | Chiffrage des quatre postes, présentation en comité, décision sur le périmètre de surveillance 2027 |
| Décembre | Mise en conformité | Vérification périodique opérationnelle sur les tiers critiques avant l’entrée en vigueur |
Réservez votre point de rentrée dès aujourd’hui.
Et le 24 septembre à 11h30, nous consacrons un webinar à l’exploitation des informations déjà collectées auprès de vos fournisseurs : Risques Fournisseurs & IA, qualifiez vos tiers sans multiplier les sollicitations : Rejoignez-nous !
Sources
Loi n° 2026-534 du 25 juin 2026, article 95, créant l’article L. 8222-1-1 du code du travail. URSSAF, bilan 2025 de la lutte contre la fraude, février 2026. Directive Omnibus I, Journal officiel de l’Union européenne, 26 février 2026. ANSSI, référentiel de sécurité publié en mars 2026 et travaux préparatoires à la loi Résilience. ACPR, calendrier de remise du registre d’information DORA. Cour de cassation, 2e chambre civile, 4 septembre 2025, n° 23-14.121, sur l’absence d’obligation proactive du maître de l’ouvrage à l’égard du sous-traitant avant la réforme.