Temps de lecture : 8 minutes
📌 Points à retenir :
- Le devoir de vigilance (loi française 2017) impose aux grandes entreprises d'identifier et de prévenir les risques graves dans leur chaîne d'approvisionnement ; pas seulement de les déclarer.
- La conformité ne repose plus sur une politique RSE : elle repose sur un système capable de produire des preuves vérifiables.
- L'effondrement du Rana Plaza (2013) a marqué un tournant : les risques majeurs se situent souvent en dehors des murs de l'entreprise.
- Trois niveaux de maturité existent : conformité documentaire (questionnaire), conformité documentée (preuves), pilotage des risques (segmentation + suivi).
- La CSDDD généralise cette logique à l'échelle européenne entre 2027 et 2029.
- Les PME fournisseurs sont elles aussi concernées : leurs clients soumis au devoir de vigilance leur demandent des données ESG.
Le devoir de vigilance ne se limite plus à la publication d'un plan ou d'un rapport RSE. Depuis la loi française de 2017, puis les évolutions européennes (CSRD, CSDDD, réglementations sectorielles), les entreprises doivent désormais démontrer qu'elles connaissent réellement leur chaîne d'approvisionnement et qu'elles agissent de manière proportionnée aux risques identifiés. Un changement de paradigme qui replace les fournisseurs, et la fiabilité des données qui les concernent, au cœur de la conformité.
Le véritable changement n'est pas juridique. Il est organisationnel.
Pendant longtemps, les entreprises ont abordé les enjeux de responsabilité sociétale comme un sujet essentiellement déclaratif. Les directions RSE publiaient un rapport annuel. Les directions Achats diffusaient ponctuellement des questionnaires à leurs fournisseurs. Les directions Juridiques veillaient au respect des obligations réglementaires.
Cette organisation répondait à une logique simple : démontrer l'existence d'engagements.
Aujourd'hui, cette approche atteint ses limites.
Avec la loi française sur le devoir de vigilance, puis les évolutions européennes autour de la CSRD, de la CSDDD ou encore des réglementations sectorielles sur la déforestation, les batteries ou le travail forcé, les entreprises ne sont plus uniquement attendues sur leurs engagements. Elles doivent démontrer qu'elles connaissent leur chaîne d'approvisionnement, qu'elles priorisent leurs risques et qu'elles mettent en œuvre des actions adaptées.
Elles doivent également être en mesure de démontrer que les mesures prises sont proportionnées aux risques identifiés, conformément aux principes directeurs de l'OCDE et des Nations Unies.
La conformité ne repose plus sur une politique RSE. Elle repose sur un système capable de produire des preuves. C'est précisément ce qui fait du devoir de vigilance un texte fondateur.
Point de vocabulaire :
Devoir de vigilance : loi française de 2017 qui impose aux grandes entreprises d'identifier et de prévenir les risques graves envers les droits humains, la santé, la sécurité et l'environnement, y compris ceux résultant des activités de leurs fournisseurs et sous-traitants.
CSDDD (Corporate Sustainability Due Diligence Directive) : directive européenne qui généralise à l'échelle de l'Union européenne la logique du devoir de vigilance français, imposant aux grandes entreprises un devoir de diligence raisonnable sur leur chaîne de valeur.
Logique déclarative vs logique de preuve : dans une logique déclarative, une entreprise affirme avoir des engagements RSE ; dans une logique de preuve, elle doit démontrer, documents à l'appui, que ces engagements se traduisent réellement en actions vérifiables.
Le devoir de vigilance : un changement de paradigme
Le Rana Plaza : un tournant tragique
Le 24 avril 2013, l'effondrement du Rana Plaza au Bangladesh a causé la mort de plus de 1 100 personnes et en a blessé 2 500. L'immeuble abritait plusieurs ateliers de confection sous-traitants de marques internationales.
Cette catastrophe a mis en lumière une réalité que beaucoup préféraient ignorer : les risques les plus graves — pour les droits humains, pour la sécurité, pour l'environnement — se situent souvent loin du siège social, dans des chaînes de sous-traitance complexes et peu transparentes.
Le Rana Plaza est devenu le symbole d'une prise de conscience mondiale et a directement alimenté les réflexions ayant conduit à la loi française sur le devoir de vigilance, puis à la directive européenne CSDDD.
Ce que la loi exige réellement
La loi s'applique aux entreprises françaises dépassant 5 000 salariés en France, ou 10 000 dans le monde (siège social et filiales inclus). Elle leur impose d'établir et de mettre en œuvre un plan de vigilance, rendu public, couvrant :
- L'identification des risques sur les droits humains et l'environnement dans leurs activités et celles de leurs fournisseurs et sous-traitants
- Des procédures d'évaluation régulière de ces risques
- Des actions d'atténuation ou de prévention adaptées
- Un mécanisme d'alerte et de recueil des signalements
- Un dispositif de suivi et d'évaluation des mesures mises en œuvre
La publication du plan n'est que la partie visible du dispositif. Ce qui compte, c'est de pouvoir démontrer que le plan est réel, mis en œuvre et efficace.
(Source : Légifrance, loi n°2017-399 du 27 mars 2017)
Pourquoi les fournisseurs deviennent le centre de la conformité RSE ?
Les nouvelles questions à se poser sur ses fournisseurs
Le devoir de vigilance oblige les entreprises à se poser des questions qui n'étaient pas dans leur scope habituel :
- Mes fournisseurs respectent-ils les droits fondamentaux au travail ?
- Dans quelles conditions sont produites mes matières premières ?
- Quelles sont les pratiques environnementales de mes sous-traitants ?
- Mes fournisseurs de rang 2 et 3 présentent-ils des risques que je n'ai pas identifiés ?
Ces questions ne peuvent pas rester sans réponses documentées. Un plan de vigilance sans données vérifiables sur les fournisseurs n'est pas un plan de vigilance ; c'est une déclaration d'intention.
Pourquoi toutes les entreprises sont concernées, même les PME ?
Le seuil légal (5 000 salariés en France) exclut la grande majorité des entreprises françaises de l'obligation directe. Mais la réalité est plus nuancée.
Les entreprises soumises au devoir de vigilance répercutent leurs obligations sur leur chaîne d'approvisionnement. Elles demandent à leurs fournisseurs (y compris les PME) de documenter leurs pratiques RSE, de répondre à des questionnaires, de fournir des preuves. Ne pas être capable de structurer ces données, c'est prendre le risque d'être déréférencé ou de perdre des marchés.
La pression réglementaire directe ne concerne qu'une minorité d'entreprises. La pression commerciale indirecte concerne toute la chaîne.
De la déclaration à la preuve : le véritable défi
Mettre en place un plan de vigilance est relativement simple. Le faire vivre dans la réalité opérationnelle est autrement plus complexe.
Les entreprises qui s'y attellent sérieusement se heurtent rapidement à une réalité : leurs fournisseurs sont nombreux, leurs pratiques peu connues, et les informations disponibles sont souvent déclaratives, non vérifiées, et dispersées dans des fichiers Excel, des emails et des PDF.
La logique de preuve impose trois choses que peu d'organisations maîtrisent aujourd'hui :
Documenter : disposer de pièces justificatives réelles (certifications, audits, politiques internes, données RH) et pas uniquement de déclarations auto-remplies.
Tracer dans le temps : être capable de démontrer que l'évaluation a eu lieu, quand, selon quel référentiel, et quelles actions correctives ont été engagées.
Partager entre fonctions : les données collectées par les Achats doivent alimenter le rapport de durabilité (CSRD), la stratégie de gestion des risques (Juridique), et les décisions d'investissement (Finance). Ce n'est plus une donnée silotée.
Les 3 niveaux de maturité face au devoir de vigilance
Niveau 1 : la conformité documentaire
L'entreprise collecte des questionnaires auprès de ses fournisseurs et les archive. Elle peut produire un document attestant que la démarche existe. Mais la fiabilité des données est limitée : les réponses sont déclaratives, sans vérification des preuves. En cas de contentieux, ce niveau de maturité est insuffisant.
Niveau 2 : la conformité documentée
L'entreprise va plus loin : les questionnaires sont accompagnés de pièces justificatives (chartes, certifications, rapports, contrats), vérifiées et tracées. Un score ou un niveau de maturité est attribué à chaque fournisseur. Les données sont stockées dans un outil centralisé, accessible aux équipes Achats et RSE.
C'est le niveau minimum pour une conformité réelle au devoir de vigilance.
Niveau 3 : le pilotage des risques
Les fournisseurs sont segmentés par niveau de risque (géographique, sectoriel, rang de sous-traitance). Les preuves sont mises à jour régulièrement selon un calendrier défini. Les résultats de l'évaluation orientent les décisions d'achat, les plans de progrès et les actions de formation. Les directions Achats, RSE et Juridique partagent une vision commune.
Ce niveau de maturité transforme la contrainte réglementaire en levier opérationnel.
Pourquoi les outils classiques montrent leurs limites
La plupart des entreprises gèrent encore leurs données fournisseurs dans des fichiers Excel, des boîtes mail et des dossiers partagés. Cette organisation présente des limites structurelles face aux exigences du devoir de vigilance :
- Traçabilité impossible : qui a collecté quelle donnée, quand, selon quel référentiel ?
- Fiabilité non garantie : les réponses sont déclaratives, sans vérification des preuves fournies.
- Mise à jour aléatoire : les données vieillissent sans que personne ne soit en charge du suivi.
- Silotage entre fonctions : les Achats ont leurs fichiers, le RSE les siens, le Juridique les siens, sans vision consolidée.
- Scalabilité limitée : au-delà de quelques dizaines de fournisseurs, la gestion manuelle devient ingérable.
En cas de mise en cause judiciaire, ces limites deviennent des vulnérabilités. La charge de la preuve repose sur l'entreprise — et un fichier Excel ne constitue pas une preuve.
Le devoir de vigilance n'est que le début : CSRD, CSDDD et judiciarisation
La CSDDD (Directive UE 2024/1760, adoptée en mai 2024) généralise à l'échelle européenne une logique similaire à la loi française de 2017, avec une application progressive :
- 2027 : entreprises de plus de 5 000 salariés et CA supérieur à 1,5 Md€
- 2028 : entreprises de plus de 3 000 salariés et CA supérieur à 900 M€
- 2029 : entreprises de plus de 1 000 salariés et CA supérieur à 450 M€
(Source : Directive (UE) 2024/1760 ; Reglementation-environnement.com, février 2026)
La CSRD impose en parallèle un reporting détaillé sur la chaîne de valeur, incluant les conditions de travail des fournisseurs, les émissions de scope 3 et la traçabilité des matières premières. Les deux textes se renforcent mutuellement.
La judiciarisation s'accélère. Les premières mises en cause judiciaires de grandes entreprises françaises au titre du devoir de vigilance ont eu lieu. La tendance s'amplifie à mesure que les ONG et les syndicats s'approprient ces nouvelles voies de recours. Ce qui était un risque théorique en 2017 est devenu un risque opérationnel concret en 2026.
Conclusion
Le devoir de vigilance a inauguré une nouvelle ère de la responsabilité d'entreprise : celle où la conformité s'évalue non plus sur des déclarations, mais sur des preuves. Une ère où la chaîne d'approvisionnement devient le premier terrain de risque et, simultanément, le premier terrain d'action.
Les entreprises qui ont compris cela ne traitent plus l'évaluation de leurs fournisseurs comme un exercice administratif. Elles en font un système de connaissance de leur écosystème — alimenté par des données vérifiables, mis à jour régulièrement, partagé entre les fonctions qui en ont besoin.
C'est à cette condition que le devoir de vigilance cesse d'être une contrainte pour devenir ce qu'il peut être : un avantage concurrentiel pour ceux qui l'ont anticipé.
Une question ?
Parce qu'il a introduit une idée nouvelle dans le droit français : une entreprise peut être tenue responsable de risques qui ne se matérialisent pas dans ses propres activités, mais chez ses fournisseurs ou sous-traitants. Il a fait passer la conformité RSE d'une logique déclarative (affirmer ses engagements) à une logique de preuve (démontrer que des actions concrètes et proportionnées ont été mises en œuvre). C'est ce principe qui inspire aujourd'hui la CSDDD européenne.
Une entreprise doit être capable de démontrer qu'elle dispose d'une démarche structurée pour identifier les risques les plus significatifs, évaluer régulièrement ses fournisseurs, prévenir ou atténuer les impacts identifiés, suivre les actions engagées dans le temps, documenter l'ensemble de la démarche et mettre en place des mécanismes d'alerte et de remédiation. La publication du plan n'est que la partie visible du dispositif.
Le niveau 1 (conformité documentaire) consiste à collecter des questionnaires et à les archiver — les données existent mais leur fiabilité est limitée. Le niveau 2 (conformité documentée) ajoute des preuves vérifiables : politiques, certifications, audits, indicateurs. Le niveau 3 (pilotage des risques) va plus loin : les fournisseurs sont segmentés par niveau de risque, les preuves sont mises à jour régulièrement, et les directions Achats, RSE et Juridiques partagent une vision commune pour orienter les décisions.
Non. La loi française de 2017 a été pionnière, mais le mouvement est désormais européen. La directive CSDDD (Directive UE 2024/1760, adoptée en mai 2024) généralise une logique similaire à l'ensemble de l'Union européenne, avec une application progressive entre 2027 et 2029 pour les grandes entreprises. En parallèle, la CSRD impose des obligations de reporting sur la chaîne de valeur, et plusieurs réglementations sectorielles (déforestation, batteries, travail forcé) étendent ces exigences à des filières spécifiques.
(Source : Directive (UE) 2024/1760 ; Règlement (UE) 2026/470)
🔗 Sources
- Légifrance. Loi n°2017-399 du 27 mars 2017 relative au devoir de vigilance.
- Directive (UE) 2024/1760 — CS3D. JOUE, juillet 2024.
- Directive (UE) 2026/470 — Omnibus I / CSRD. JOUE, 26 février 2026.
- Reglementation-environnement.com. CS3D et devoir de vigilance. Février 2026.
- OCDE. Principes directeurs à l'intention des entreprises multinationales.
- Nations Unies. Principes directeurs relatifs aux entreprises et aux droits de l'Homme (Ruggie).