Le devoir de vigilance entreprise ne se limite plus à une poignée de multinationales du CAC 40. Dès qu’une société franchit certains seuils d’effectifs, elle doit identifier et prévenir les risques que son activité génère sur les droits humains, la santé et l’environnement, jusque dans sa chaîne de fournisseurs. Beaucoup de directions confondent encore cette obligation avec une démarche volontaire proche de la RSE, alors qu’elle relève d’un texte de loi sanctionnable. Seuils d’application, contenu du plan de vigilance, sanctions encourues : voici ce que la loi impose réellement.
Devoir de vigilance entreprise : une obligation légale, pas une démarche RSE volontaire
Le devoir de vigilance entreprise désigne l’obligation, pour une grande société, d’identifier et de prévenir les atteintes graves aux droits humains, à la santé-sécurité des personnes et à l’environnement que son activité peut provoquer, y compris chez ses fournisseurs. Le concept trouve son origine dans les Principes directeurs de l’ONU relatifs aux entreprises et aux droits de l’homme, adoptés sous l’impulsion du juriste John Ruggie. Ces principes posent un cadre simple : l’État protège, l’entreprise respecte, la victime dispose d’un recours.
Le déclencheur du texte français remonte à un drame industriel : l’effondrement de l’usine textile du Rana Plaza au Bangladesh, en 2013, qui a fait plus de mille morts parmi des ouvriers sous-traitants de grandes marques occidentales. Aucune de ces marques n’avait de lien contractuel direct avec l’atelier effondré, mais l’émotion publique a suffi à faire bouger le législateur français quatre ans plus tard.
Une confusion revient sans cesse, celle entre devoir de vigilance et responsabilité sociétale des entreprises. Ce n’est pourtant pas la même chose. La RSE reste une démarche volontaire, que l’entreprise module selon ses priorités et sa communication. Le devoir de vigilance découle au contraire d’un texte contraignant, la loi n° 2017-399 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre. En revanche, une entreprise peut très bien mener une politique RSE ambitieuse sans jamais avoir formalisé de plan de vigilance conforme à cette loi.
Un plan de vigilance mal ficelé n’est pas qu’un problème de réputation. Il expose l’entreprise à une mise en demeure, puis à une action devant la justice. La suite dépend d’abord d’un critère précis : l’entreprise franchit-elle les seuils d’effectifs qui la rendent redevable de cette obligation.
Quelles entreprises sont concernées par les seuils français ?
En droit français, seules les grandes structures sont directement visées. La loi n° 2017-399, entrée en vigueur le 27 mars 2017, fixe un double seuil : 5 000 salariés employés en France, ou 10 000 salariés comptabilisés en France et à l’étranger, filiales incluses. Franchir l’un ou l’autre de ces seuils à la clôture de deux exercices consécutifs déclenche l’obligation de publier un plan de vigilance. Selon les derniers recensements, plus de 270 entreprises françaises y sont aujourd’hui directement soumises.
| Indicateur | Loi française (depuis 2017) | Proposition européenne initiale (2022) |
|---|---|---|
| Date d’entrée en application | 27 mars 2017 | 23 février 2022 (date de la proposition) |
| Seuil salarial | 5 000 salariés (France) ou 10 000 (France et étranger) | Seuils redéfinis depuis au niveau européen |
| Entreprises directement visées | Plus de 270 entreprises françaises | 13 000 entreprises européennes et 4 000 non européennes (périmètre initial) |
Le plan de vigilance n’est pas un document ponctuel : il doit être publié chaque année et intégré au rapport de gestion de l’entreprise. Son élaboration associe les parties prenantes, représentants du personnel, syndicats, ONG ou experts indépendants, plutôt que d’être rédigé seul dans un service juridique.
Le cas des PME et sous-traitants
Directement, la quasi-totalité des PME échappe à l’obligation liée au devoir de vigilance entreprise : les seuils excluent structurellement les entreprises de taille intermédiaire. Indirectement, la donne change du tout au tout. Une PME sous-traitante d’un grand donneur d’ordre soumis à cette obligation devient elle-même un point de contrôle : questionnaires d’évaluation, clauses contractuelles renforcées, audits sociaux et environnementaux se multiplient dans la relation commerciale. Ce mécanisme de cascade rappelle celui observé plus largement autour de la RSE et de ses obligations en cascade, la pression descendant toujours vers les partenaires les moins exposés directement à la loi.
Refuser de répondre à ces exigences, c’est risquer de perdre son référencement chez un client stratégique. À l’inverse, une PME capable de démontrer une gestion sérieuse de ses propres risques transforme cette contrainte en argument commercial face à des donneurs d’ordre eux-mêmes sous pression réglementaire.
Les quatre piliers du plan de vigilance
Le devoir de vigilance entreprise s’articule autour d’un contenu précis, pas d’un format libre laissé à l’appréciation de chaque direction juridique. Quatre chantiers structurent la démarche, du diagnostic initial jusqu’au traitement des signalements. Aucun n’est facultatif : un plan qui n’en couvre qu’un ou deux reste incomplet, donc attaquable devant la justice.
La loi n’exige pas de garantir l’absence totale de risque, ce qui serait intenable pour n’importe quelle chaîne d’approvisionnement mondiale. Elle impose une obligation de moyens : des mesures appropriées, proportionnées à la gravité et à la probabilité de l’impact, raisonnablement accessibles compte tenu du secteur et de la relation d’affaires. Vouloir traiter tous les risques sans hiérarchie revient à n’en traiter aucun efficacement.
Cartographie des risques et évaluation régulière
La cartographie identifie et hiérarchise les risques graves présents dans l’activité propre de l’entreprise, celle de ses filiales, et celle des fournisseurs avec lesquels une relation commerciale établie existe. Elle doit être actualisée régulièrement, pas figée une fois pour toutes lors de sa première publication.
Vient ensuite l’évaluation : audits sociaux chez les fournisseurs à risque, visites de sites, contrôle du respect des standards attendus en matière de droits humains et d’environnement. Ces procédures vérifient concrètement que la cartographie correspond à la réalité du terrain, pas seulement à un exercice documentaire mené depuis un siège social.
Actions correctives et mécanisme d’alerte
Une fois les risques hiérarchisés, l’entreprise doit agir : clauses contractuelles renforcées, formation des fournisseurs, plans d’action correctifs, voire rupture de la relation commerciale si un risque avéré n’est pas traité. Ces mesures doivent rester proportionnées à la gravité constatée, sans viser une exhaustivité impossible à atteindre.
Le mécanisme d’alerte complète le dispositif. Salariés, syndicats, ONG ou riverains doivent pouvoir signaler un risque par un canal accessible et sécurisé, traité dans un délai raisonnable. Sans ce canal de remontée, la cartographie la plus soignée reste aveugle aux situations qui se dégradent loin du siège social.
Sanctions et contentieux : ce que risquent les entreprises non conformes
Le non-respect du devoir de vigilance entreprise expose à deux régimes de sanctions bien distincts. Publier un plan insuffisant, ou ne pas en publier du tout, ouvre un risque juridique réel des deux côtés de la frontière, mais la mécanique diffère sensiblement entre la France et l’Union européenne.
Mise en demeure et responsabilité civile en France
En France, toute personne justifiant d’un intérêt à agir peut mettre en demeure l’entreprise défaillante. Passé un délai de trois mois sans mise en conformité, une action en justice peut être engagée devant le tribunal judiciaire de Paris, seul compétent depuis une décision de la Cour de cassation du 15 décembre 2021.
Plusieurs grandes entreprises françaises, dont TotalEnergies, ont déjà fait l’objet de mises en demeure ou de procédures sur ce fondement. Le juge peut ordonner la mise en conformité du plan sous astreinte, et engager la responsabilité civile de la société si un dommage découle directement du manquement constaté.
Au-delà du strict volet judiciaire, l’exposition reste réputationnelle. Une multiplication de rapports publiés par des ONG et des associations de consommateurs entretient une pression continue sur les secteurs les plus exposés, textile, agroalimentaire ou extraction minière en tête, bien au-delà des quelques dossiers portés devant les tribunaux.
Les sanctions prévues par la directive CS3D
La directive européenne CSDDD, dite CS3D, va plus loin sur le terrain financier. Elle prévoit des sanctions administratives pouvant atteindre 5 % du chiffre d’affaires mondial de l’entreprise fautive, prononcées par des autorités nationales de supervision habilitées à enquêter et à inspecter.
Les entreprises françaises déjà soumises à la loi de 2017 ont une longueur d’avance sur ce texte. Elles devront toutefois muscler leurs procédures pour répondre à des exigences plus détaillées, notamment sur la partie aval de la chaîne de valeur, largement absente du texte français d’origine.
Vers une harmonisation européenne : CS3D, CSRD et enjeux business
Cette dynamique autour du devoir de vigilance entreprise ne s’arrête pas aux frontières nationales. L’Allemagne, la Norvège et plusieurs autres États membres ont adopté ou préparent des textes comparables, avant que la directive CSDDD vienne harmoniser le cadre à l’échelle de l’Union. Le calendrier précis de transposition continue d’évoluer au fil des discussions à Bruxelles, entre exigences de fond et volonté de simplification pour les entreprises de taille intermédiaire.
La CSRD, un texte complémentaire sur le reporting
La CSRD (Corporate Sustainability Reporting Directive), entrée en vigueur depuis peu selon le Pacte mondial des Nations Unies, ne doit pas être confondue avec le CS3D. La première encadre le reporting extra-financier, ce que l’entreprise doit publier sur ses impacts sociaux et environnementaux. Le second encadre l’action elle-même, ce que l’entreprise doit concrètement faire pour les prévenir. Notre décryptage de la CSRD détaille ce volet reporting, complémentaire mais distinct du plan de vigilance proprement dit.
L’argument dépasse la seule conformité. Selon une enquête Eurobarometer, 73 % des consommateurs européens se disent prêts à payer davantage pour des produits issus de chaînes d’approvisionnement responsables. Le Pacte mondial des Nations Unies propose de son côté un cadre volontaire pour les entreprises qui veulent anticiper ces attentes avant qu’elles ne deviennent des obligations légales à leur tour.
Les grands investisseurs institutionnels intègrent déjà ce critère dans leurs décisions. BlackRock ou BNP Paribas Asset Management surveillent le respect du devoir de vigilance au même titre que d’autres critères extra-financiers avant d’allouer un financement, ce qui pousse les entreprises à anticiper plutôt qu’à subir la prochaine échéance réglementaire.
Sources
- Bpifrance — le devoir de vigilance, contraintes et opportunités pour les ETI/PME, 2022
- Pacte mondial des Nations Unies – Réseau France — le devoir de vigilance des entreprises françaises, 2026
- Eurobarometer — les attentes des consommateurs européens sur les chaînes d’approvisionnement responsables, 2023
