PME et gestion des risques tiers : les essentiels à mettre en place pour votre rentrée 2026

Suivre quinze ou soixante fournisseurs ressemble à un exercice simple. Néanmoins, ils ne se suivent pas tous de la même manière : le prestataire qui intervient sur votre site et le fournisseur de consommables n’appellent ni les mêmes pièces ni la même fréquence de contrôle. Cette logique de criticité passe pour un sujet de grand compte, réservé aux organisations qui gèrent des milliers de tiers, elle vaut pourtant pour une PME, et particulièrement en cette période de rentrée. Pilotage des renouvellements, évolutions réglementaires déplacent à la fois le périmètre à suivre et la liste des documents à collecter. Faisons le point.

Ce qui a changé cet été, et que la plupart des PME n’ont certainement pas vu passer

La loi n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales comporte 168 articles, dont un seul concerne directement les donneurs d’ordre. Cet article 95 crée néanmoins un nouvel article L. 8222-1-1 du code du travail qui déplace assez profondément la manière dont la vigilance doit s’exercer, si bien qu’il mérite qu’on s’y arrête.

Jusqu’à présent, la vérification portait sur votre cocontractant direct, au moment de la signature du contrat puis tous les six mois. Le nouvel article installe une logique différente, puisqu’il impose au maître de l’ouvrage de vérifier périodiquement que le sous-traitant qu’il accepte s’acquitte lui aussi de ses formalités déclaratives, alors même que ce sous-traitant n’est pas son cocontractant.

Une distinction s’impose ici, et elle commande la lecture du texte. L’usage commercial parle volontiers de donneur d’ordre, quand le législateur retient la qualité de maître de l’ouvrage. Or ce dernier n’était jusqu’à présent tenu d’aucune vigilance proactive à l’égard du sous-traitant de son cocontractant, ce que la Cour de cassation a encore rappelé dans un arrêt du 4 septembre 2025. Le droit ne prévoyait qu’un mécanisme d’injonction, déclenché lorsqu’une situation irrégulière lui était signalée. C’est précisément cette lacune que l’article 95 vient combler, en installant une vigilance périodique là où il n’existait qu’une réaction ponctuelle.

L’entrée en vigueur reste suspendue à la publication d’un décret, avec une date butoir fixée à six mois après la promulgation, soit le 25 décembre 2026. L’architecture de l’obligation est donc connue, même si son périmètre exact dépendra de ce texte d’application. Vous pouvez, dans ces conditions, préparer le terrain sans attendre. Les entreprises qui feront l’inverse découvriront au moment de la parution du décret quels sous-traitants elles ont effectivement acceptés sur leurs marchés, et le délai qui leur restera alors se comptera en semaines.

Ce que le décret doit encore préciser. Trois éléments demeurent suspendus à sa publication : le montant minimal des contrats de sous-traitance entrant dans le champ du dispositif, la liste des documents à se faire remettre ainsi que leurs conditions de remise, et la date d’entrée en vigueur, fixée au plus tard le 25 décembre 2026. Le texte prévoit par ailleurs que le maître de l’ouvrage est réputé avoir satisfait à son obligation lorsqu’il se fait remettre ces documents et qu’il s’assure de leur authenticité. Cette présomption ne joue donc que si le contrôle d’authenticité a bien été effectué, ce qui écarte d’emblée la simple collecte de fichiers transmis par le sous-traitant.

Le nouveau dispositif étend parallèlement le mécanisme de solidarité financière prévu à l’article L. 8222-2 et adapte les pouvoirs de contrôle, de sorte que les justificatifs des vérifications effectuées pourront être réclamés. C’est ce dernier point qui transforme la traçabilité en enjeu opérationnel : il ne suffira pas d’avoir vérifié, il faudra pouvoir le démontrer sur demande.

Le chiffre qui devrait déclencher l’arbitrage

On présente souvent la solidarité financière du donneur d’ordre comme un risque théorique, brandi par les juristes et rarement mis en œuvre. Les chiffres publiés par l’URSSAF en février 2026 pour l’exercice 2025 racontent une autre histoire, puisque l’organisme fait état de 1 027 actions de mise en œuvre de cette solidarité sur l’année, en progression de 85 % par rapport à 2024. Cet indicateur est le plus parlant du dossier parce qu’il ne mesure pas la fraude des sous-traitants, mais bien la mise en cause des entreprises qui les ont fait travailler.

Le reste du bilan confirme cette orientation. Les redressements au titre du travail dissimulé atteignent environ 1,5 milliard d’euros, les actions ciblées progressent de 13 %, et 84,5 % d’entre elles aboutissent à un redressement. Ce dernier taux mérite qu’on s’y attarde, car il traduit un ciblage fondé sur le croisement de données plutôt que sur le contrôle aléatoire : lorsqu’un inspecteur se présente, le dossier est déjà largement constitué.

Pour une PME, la conséquence est d’abord financière. Le montant réclamé se calcule sur les cotisations dues par le sous-traitant défaillant, et non sur le montant du contrat que vous lui avez confié, si bien qu’une prestation de 30 000 euros peut donner lieu à une réclamation sans rapport avec elle.

Trois autres textes vous concernent sans vous nommer

NIS2, dont le texte français arrive en séance ce mois-ci

La loi dite Résilience, qui transpose la directive NIS2 en droit français, était attendue en séance publique à l’Assemblée nationale en septembre 2026, après un parcours parlementaire étalé sur près de deux ans. Le périmètre estimé par l’ANSSI avoisine 15 000 entités, contre environ 500 sous le régime précédent, ce qui signifie qu’une PME de plus de cinquante salariés opérant dans l’un des dix-huit secteurs couverts peut se retrouver concernée sans l’avoir jamais été.

Le contenu technique, lui, est déjà public, puisque l’ANSSI a publié en mars 2026 un référentiel qui traduit les obligations de la directive en objectifs de sécurité. Une plateforme d’auto-identification permet par ailleurs de savoir en quelques minutes si vous entrez dans le champ d’application et dans quelle catégorie. Cette vérification prend un quart d’heure et conditionne tout le reste, puisqu’il serait vain de construire un plan de mise en conformité avant de savoir si le texte vous concerne.

La CSRD

Le paquet Omnibus a relevé les seuils de la CSRD à 1 000 salariés et 450 millions d’euros de chiffre d’affaires net, réduisant d’environ 80 % le nombre d’entreprises directement assujetties. Beaucoup de PME et d’ETI qui avaient engagé un chantier de reporting en sont donc sorties, et l’on comprend qu’elles aient accueilli la nouvelle avec soulagement.

La pression commerciale, en revanche, ne disparaît pas avec l’obligation légale. Les grands groupes restés dans le périmètre doivent documenter leur chaîne de valeur, et ils répercutent naturellement la demande sur leurs fournisseurs, que ces derniers soient assujettis ou non. Une norme volontaire allégée existe désormais pour les PME. La question de rentrée n’est donc plus de savoir si vous êtes soumise au texte, mais de déterminer ce que vous répondrez à vos clients lors du prochain appel d’offres.

DORA, qui vous atteint par ricochet

Le règlement DORA impose aux entités financières de tenir un registre de leurs prestataires informatiques et de le transmettre chaque année à leur autorité de supervision, l’échéance de remise ayant été fixée à la fin du mois de mars pour la collecte française. Si vous êtes éditeur, hébergeur ou prestataire d’infogérance pour une banque, une mutuelle ou un assureur, vous figurez dans ce registre, où l’identification par LEI est exigée. Il faut donc s’attendre à ce que les demandes de vos clients financiers se durcissent, non par excès de zèle de leur part, mais parce que la qualité de leur registre dépend de la vôtre.

L’IA Act, ou la question que personne ne vous a encore posée

Cette question mérite d’être posée en comité de direction, d’abord parce que la réponse est presque toujours négative, ensuite parce que le calendrier vient de bouger dans les deux sens à la fois, ce qui entretient une confusion durable.

Depuis le 2 août 2026, les obligations de transparence prévues à l’article 50 du règlement européen sur l’intelligence artificielle sont applicables. Toute entreprise qui déploie un système interagissant avec des personnes doit indiquer clairement que l’interlocuteur est une machine, et signaler les contenus générés. À la même date, les autorités nationales ont récupéré leurs pouvoirs de contrôle et de sanction. Rappelons enfin qu’une obligation de formation des équipes utilisatrices existe depuis février 2025, et qu’elle est souvent la première à être oubliée.

En sens inverse, le paquet dit Digital Omnibus sur l’IA, publié au Journal officiel de l’Union européenne le 24 juillet 2026, a repoussé les obligations lourdes applicables aux systèmes à haut risque, jusqu’en décembre 2027 pour les systèmes autonomes de l’annexe III et jusqu’en août 2028 pour ceux qui sont intégrés à des produits déjà réglementés. Ce report est acquis, mais il ne vaut évidemment pas dispense sur ce qui est déjà exigible.

Il convient donc de ne pas confondre report et dispense. Ce qui reste dû aujourd’hui tient en trois points : l’inventaire de vos usages d’intelligence artificielle, y compris ceux qui sont intégrés à des logiciels que vous n’avez pas choisis pour cette raison, la mention de transparence sur vos agents conversationnels et vos contenus générés, et la trace de la formation de vos équipes.

L’angle qui intéresse la gestion des risques tiers est pourtant le plus souvent négligé. Vos fournisseurs intègrent de l’intelligence artificielle dans les services qu’ils vous rendent, parfois sans le mentionner, qu’il s’agisse de l’outil de tri de candidatures utilisé par votre cabinet de recrutement, de l’assistant conversationnel de votre prestataire de support ou du module de scoring de votre partenaire financier. Or, dès lors qu’une décision produite par l’un de ces outils touche une personne, la chaîne de responsabilité remonte jusqu’à vous.

Deux actions suffisent pour ce trimestre. La première consiste à ajouter au questionnaire fournisseur une interrogation sur l’usage d’intelligence artificielle dans la prestation et sur le traitement des données que vous confiez. La seconde consiste à prévoir, dans les contrats renouvelés, une obligation d’information préalable si un composant d’intelligence artificielle venait à être introduit dans un service existant. Ce type de clause se généralise déjà chez les grands donneurs d’ordre, ce qui laisse deviner ce que vos propres clients vous demanderont l’an prochain.

La rentrée, direction par direction

Dans une PME, ces sujets n’ont pas de propriétaire unique, et c’est précisément ce qui explique les angles morts. Chaque fonction détient une partie du dossier sans disposer de l’ensemble, si bien que personne ne perçoit l’écart. Le tableau ci-dessous répartit donc la question à se poser en septembre et l’action à mener avant décembre, fonction par fonction.

La dernière ligne est celle que les PME sous-estiment le plus régulièrement. On présente volontiers le suivi des tiers comme une contrainte administrative, alors qu’il conditionne désormais l’accès à certains marchés : un grand donneur d’ordre qui doit lui-même documenter sa chaîne de sous-traitance écartera le candidat incapable de documenter la sienne, non par sévérité, mais parce qu’il ne peut pas se permettre ce maillon manquant.

Fiabiliser le panel, ce préalable que l’on saute presque toujours

Avant de vérifier quoi que ce soit, encore faut-il savoir qui l’on vérifie. Or, dans la plupart des PME, la liste des fournisseurs n’existe pas au singulier : il en existe trois ou quatre, et elles ne se recoupent pas.

La base des achats recense les fournisseurs référencés, dont certains n’ont plus produit la moindre facture depuis deux ans. La comptabilité, de son côté, voit passer des prestataires qui ne figurent nulle part ailleurs, parce que la commande a été passée directement par un service. Les contrats dorment dans un dossier partagé, souvent sans leurs avenants. Quant aux abonnements logiciels souscrits par les équipes elles-mêmes, ils n’apparaissent dans aucun de ces trois endroits.

Le rapprochement de ces sources fait invariablement remonter les mêmes écarts, à savoir des prestataires actifs absents du référentiel, des contrats échus dont les accès n’ont jamais été coupés, et des outils en ligne qui manipulent des données de l’entreprise sans que personne ne les ait évalués.

La recommandation pratique tient en une phrase : partez de la balance fournisseurs de l’exercice écoulé plutôt que de la base achats, car l’argent dépensé demeure le seul indicateur qui ne mente pas sur la réalité de la relation. Rattachez ensuite chaque ligne à un numéro SIREN, ce qui fera apparaître les doublons d’orthographe autant que les entités d’un même groupe traitées jusque-là comme indépendantes.

Ce travail se conduit une fois, en quelques jours, et il conditionne la valeur de tout ce qui suivra. Une cartographie construite sur un référentiel faux produit en effet une fausse tranquillité, ce qui est plus dangereux que l’absence de cartographie.

Cartographier les risques lorsque l’on compte soixante fournisseurs

La cartographie des risques tiers passe pour un exercice réservé aux grandes entreprises. Elle est pourtant plus simple à conduire dans une PME, où le panel reste lisible et où la personne qui le connaît est immédiatement identifiable.

Deux critères suffisent à la construire. Le premier est la criticité, que l’on apprécie en se demandant ce qui se passerait si le fournisseur cessait son activité demain, s’il accède à vos données ou à vos locaux, s’il détient un savoir-faire difficile à remplacer et quelle part de vos achats il représente. Le second est l’exposition, qui tient à son secteur, à son pays d’exécution, à sa santé financière, à son historique d’incidents et au recours qu’il fait lui-même à la sous-traitance.

Le croisement de ces deux critères donne trois paliers et trois niveaux de vérification. Trois suffisent, car au-delà la grille se transforme en exercice de classement que plus personne n’applique.

L’essentiel ne réside pas dans la grille elle-même, mais dans l’usage qu’on en fait. Une cartographie n’a d’utilité que si elle sert de règle d’affectation à l’entrée en relation, le palier déterminant alors les pièces exigées, la fréquence de vérification et les clauses contractuelles. Traitée comme un livrable annuel que l’on range après l’avoir produit, elle ne modifie en rien l’exposition réelle.

Il vaut mieux, enfin, reclasser au fil de l’eau plutôt qu’une fois par an. Un fournisseur courant qui obtient un accès à vos systèmes change de palier le jour où cet accès est ouvert, et non au moment de la revue annuelle.

Le calendrier de renouvellement, véritable chantier de la rentrée

Lorsqu’une PME rate son suivi documentaire, ce n’est presque jamais par méconnaissance de la règle. C’est parce que les échéances ne sont alignées sur rien.

Une attestation de vigilance se renouvelle tous les six mois à compter de sa date d’obtention. Une attestation d’assurance suit l’année civile ou la date anniversaire du contrat. Un extrait d’immatriculation est exigé selon des usages qui varient d’un donneur d’ordre à l’autre. Il en résulte un calendrier dispersé sur cinquante-deux semaines, sans aucun point de synchronisation avec votre exercice comptable ni avec vos campagnes de renouvellement contractuel.

Quatre règles permettent de reprendre la main sur ce calendrier.

1. Caler les campagnes de collecte sur deux dates fixes dans l’année, par exemple au début de janvier et au début de juillet, plutôt que sur la date de dépôt propre à chaque fournisseur. Vous perdrez quelques jours de validité, mais vous gagnerez un processus.

2. Faire coïncider la revue documentaire avec la revue contractuelle, puisqu’un contrat en cours de renégociation constitue le seul moment où vous disposez d’un levier réel pour obtenir les pièces manquantes.

3. Traiter la sortie du fournisseur avec la même rigueur que son entrée, car les accès non révoqués et les référencements laissés actifs demeurent la première source d’écart entre le référentiel et la réalité.

4. Considérer que toute entrée en relation intervenant au quatrième trimestre relève déjà du régime à venir, les contrats signés en novembre courant sur 2027, sous l’empire du nouvel article.

Le renouvellement des certifications, angle mort du suivi documentaire

Les attestations sociales et les attestations d’assurance sont suivies, tant bien que mal. Les certifications, en revanche, échappent presque toujours au dispositif, alors même qu’elles conditionnent l’accès à certains marchés et qu’elles occupent une place de choix dans les questionnaires de vos clients.

La difficulté tient à leur mécanique, qui n’a rien de commun avec celle d’une attestation. Une certification ISO ne possède pas une date d’expiration, elle en possède plusieurs.

La conséquence pratique est simple à énoncer, et pourtant rarement appliquée : suivez deux dates par certification, celle de l’expiration du certificat et celle du prochain audit de surveillance. La date d’expiration ne vous renseigne que sur l’apparence du document, tandis que la date d’audit vous alerte avant que la certification ne tombe. Un fournisseur qui a laissé passer son audit annuel vous présentera en effet un certificat encore valide en apparence, alors que la couverture réelle aura disparu.

Il est prudent, enfin, d’anticiper de trois mois. Un renouvellement ISO se prépare, un questionnaire EcoVadis suppose de rassembler des pièces qui n’existent pas toujours, et une médaille expirée entre deux évaluations se remarque immédiatement dans les référencements clients. Le retard d’un fournisseur finit du reste par devenir le vôtre, puisque c’est à vous qu’il reviendra d’expliquer l’écart lorsque votre propre client vous interrogera.

Cinq indicateurs, et ce qu’ils dissimulent

Piloter ne suppose pas un tableau de bord sophistiqué. Cinq mesures relevées une fois par mois disent l’essentiel, à condition de connaître les pièges d’interprétation attachés à chacune.

Une entreprise couverte à 92 % dont les trois dossiers manquants concernent des intervenants sur site est ainsi moins protégée qu’une entreprise couverte à 78 % dont les absences portent sur des prestations sans enjeu. Un taux global ne renseigne donc pas sur l’exposition réelle, et c’est la raison pour laquelle il ne peut pas tenir lieu, à lui seul, d’indicateur de pilotage.

Le budget à sécuriser avant la clôture

Le dernier trimestre constitue le seul moment où la démarche peut encore entrer dans le budget de l’exercice suivant sans recourir à une procédure exceptionnelle. Trois postes méritent d’être chiffrés dès maintenant.

• La solution de collecte et de suivi, qu’il convient de comparer non pas à un budget nul, mais au temps interne réellement consacré aux relances, lequel représente l’essentiel de la charge.
• La mise en route, à placer sur des semaines où les équipes sont disponibles, ce qui plaide pour janvier plutôt que pour décembre.
• La reprise de l’existant, c’est-à-dire la remise à niveau des dossiers déjà constitués. Cette charge ponctuelle est souvent oubliée, alors qu’elle conditionne le rendement des deux autres postes.

Un argument pèse plus lourd que les autres lors de l’arbitrage, et il gagne à être formulé sans détour. Le dispositif actuel a déjà un coût, celui des heures que vos équipes passent à relancer des fournisseurs. Ce coût n’apparaît sur aucune ligne budgétaire parce qu’il est réparti entre des personnes dont ce n’est pas le métier, si bien que la décision ne consiste pas à dépenser plus, mais à rendre visible une dépense qui existe déjà et à la réaffecter.

Votre checklist de rentrée

• Vérifier sur la plateforme de l’ANSSI si votre entreprise entre dans le champ de NIS2.
• Extraire la liste des contrats actifs supérieurs à 5 000 euros hors taxes.
• Identifier les prestataires dont la dernière attestation de vigilance date de plus de six mois.
• Recenser nommément les sous-traitants que vous avez acceptés sur vos marchés en cours.
• Vérifier que votre procédure d’acceptation des sous-traitants est formalisée et tracée.
• Contrôler que les attestations détenues ont bien été authentifiées, et pas seulement reçues.
• Rapprocher la balance fournisseurs de l’exercice et la base achats, puis rattacher chaque ligne à un SIREN.
• Classer le panel en trois paliers et fixer les pièces exigées pour chacun d’eux.
• Relever, pour chaque certification détenue par vos fournisseurs critiques, la date d’expiration et celle du prochain audit de surveillance.
• Inventorier vos usages d’intelligence artificielle et ceux de vos prestataires.
• Réviser le modèle de contrat avant la campagne de renouvellement du 1er janvier.
• Constituer un dossier de réponse type aux questionnaires RSE et cyber de vos clients.
• Désigner une personne responsable du suivi et fixer une revue mensuelle.
• Chiffrer les trois postes budgétaires et les porter à l’arbitrage du quatrième trimestre.

En conclusion

La reprise d’activité constitue une période déterminante. C’est le moment où les échéances de l’année suivante se dessinent, où les budgets s’arbitrent, et où un dispositif peut encore être ajusté avant que les nouvelles obligations ne deviennent opposables. Déployer dès maintenant le dispositif adapté à votre entreprise, c’est choisir de préserver la continuité de vos activités plutôt que d’avoir à réagir dans l’urgence, au moment d’un contrôle ou de la défaillance d’un prestataire.

Provigis accompagne les entreprises sur ces enjeux depuis plus de quinze ans, d’abord par la collecte des documents auprès des fournisseurs, puis, plus récemment, par le suivi de leur conformité et la gestion des risques tiers. Nos équipes restent à votre disposition pour échanger sur vos enjeux des prochains mois et vous présenter les solutions que nous avons conçues pour optimiser vos processus et vos dispositifs de gestion des risques.

Réservez votre point de rentrée dès aujourd’hui.

Et le 24 septembre à 11h30, nous consacrons un webinar à l’exploitation des informations déjà collectées auprès de vos fournisseurs : Risques Fournisseurs & IA, qualifiez vos tiers sans multiplier les sollicitations : Rejoignez-nous !

Sources

Loi n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales, article 95, créant l’article L. 8222-1-1 du code du travail. URSSAF, bilan 2025 de la lutte contre la fraude, publié le 20 février 2026. Directive Omnibus I, Journal officiel de l’Union européenne, 26 février 2026. ANSSI, référentiel publié en mars 2026 et plateforme d’identification NIS2. ACPR, instructions relatives au registre d’information DORA. Règlement (UE) 2024/1689 sur l’intelligence artificielle et paquet Digital Omnibus publié le 24 juillet 2026. Règles de certification des organismes accrédités pour les normes ISO 9001, 14001 et 45001, référentiel MASE, conditions de validité de l’évaluation EcoVadis.