Chaîne de valeur et devoir de vigilance : cartographier ses risques
Pourquoi la cartographie est le point de départ obligé
Vous ne pouvez pas gérer ce que vous ne connaissez pas. C'est le principe fondamental derrière l'obligation de cartographie des risques dans la directive CSDDD. Avant de prévenir, d'atténuer ou de remédier à quoi que ce soit, il faut d'abord savoir où se trouvent les risques dans votre chaîne de valeur. Et pour beaucoup d'entreprises, c'est un exercice qui réserve des surprises.
Un responsable achats d'un groupe industriel français le résumait bien : "On pensait connaître notre supply chain. Quand on a commencé la cartographie sérieuse, on a découvert qu'on avait des fournisseurs de rang 3 dans des zones de conflit dont on ignorait l'existence." C'est exactement ce type de révélation que la directive cherche à provoquer.
Ce que la CSDDD entend par "chaîne d'activités"
Un concept plus large que la chaîne d'approvisionnement
La directive n'utilise pas le terme "chaîne d'approvisionnement" (supply chain) mais "chaîne d'activités" (chain of activities). La nuance est significative. La chaîne d'activités couvre :
En amont : conception et extraction, fabrication et production de biens ou de prestations de services, transport et stockage. Cela inclut les fournisseurs directs, les sous-traitants et leurs propres fournisseurs — potentiellement jusqu'aux matières premières.
En aval : distribution, transport et stockage des produits. La vente au détail n'est pas exclue. Si votre produit finit dans un entrepôt aux conditions de travail dégradées, c'est votre problème aussi.
Le concept de "partenaire commercial" est central. Il englobe toute entité avec laquelle l'entreprise a un accord commercial lié à ses opérations, produits ou services. C'est volontairement large.
Méthodologie de cartographie en 5 étapes
Étape 1 : Inventaire des partenaires commerciaux
Commencez par recenser l'intégralité de vos partenaires commerciaux directs. Fournisseurs de biens, prestataires de services, sous-traitants, distributeurs, transporteurs, agents. Pour un grand groupe, on parle facilement de plusieurs milliers d'entités. La base de données achats est votre point de départ — complétée par les contrats en cours, les commandes ponctuelles et les relations informelles.
Étape 2 : Segmentation par niveau de risque
Tous les partenaires ne présentent pas le même niveau de risque. Segmentez selon trois critères :
Risque géographique : utilisez les indices de référence. L'indice de perception de la corruption de Transparency International, le Global Slavery Index pour le travail forcé, l'Environmental Performance Index pour les risques environnementaux. Un fournisseur en Suisse et un fournisseur au Bangladesh ne présentent pas les mêmes risques intrinsèques.
Risque sectoriel : certains secteurs sont notoirement à risque. L'extraction minière, le textile, l'agroalimentaire, la construction, l'électronique. Les référentiels OCDE par secteur sont utiles ici.
Risque relationnel : la nature de votre relation avec le partenaire compte. Un fournisseur qui dépend de vous à 80% de son CA n'est pas dans la même situation qu'un prestataire occasionnel. Votre levier d'influence — et donc votre responsabilité — varie en conséquence.
Étape 3 : Analyse approfondie des risques prioritaires
Pour les partenaires identifiés comme à haut risque, menez une analyse détaillée. Questionnaires approfondis, demande de documentation, vérification des certifications (SA8000, ISO 14001, BSCI). Pour les risques les plus critiques : audits sur site par des tiers indépendants.
Ne vous contentez pas des auto-évaluations. Un fournisseur qui coche toutes les cases dans un questionnaire n'est pas forcément conforme. Les audits terrain révèlent souvent des écarts significatifs entre les déclarations et la réalité.
Étape 4 : Cartographie visuelle et hiérarchisation
Représentez vos résultats de manière visuelle : matrice de risques (probabilité x gravité), cartographie géographique, heat maps par catégorie d'achat. L'objectif est double : piloter les actions de prévention et communiquer auprès de la direction générale. Un comex ne lit pas un tableur de 500 lignes — il lit une carte de chaleur.
Étape 5 : Mise à jour continue
La cartographie n'est pas un exercice ponctuel. Les chaînes de valeur évoluent en permanence : nouveaux fournisseurs, changements géopolitiques, catastrophes naturelles, évolutions réglementaires locales. Prévoyez une mise à jour au minimum annuelle, avec des mises à jour intermédiaires en cas de changement significatif.
Les outils disponibles
Plateformes d'évaluation fournisseurs : EcoVadis (le plus utilisé en Europe, 100 000+ entreprises évaluées), Sedex/SMETA, IntegrityNext, Achilles. Ces plateformes industrialisent la collecte de données et fournissent des scores de risque comparables.
Bases de données de risques : Maplecroft (risques pays et sectoriels), Verisk Maplecroft, RepRisk (incidents ESG). Utiles pour alimenter la segmentation géographique et sectorielle.
Outils de traçabilité : pour les chaînes complexes (minerais, textile, agroalimentaire), des solutions de traçabilité blockchain ou digitale permettent de remonter jusqu'aux matières premières. Encore émergent, mais le marché se structure rapidement.
Les pièges à éviter
S'arrêter au rang 1 : la directive couvre les partenaires commerciaux indirects. Se limiter aux fournisseurs directs est insuffisant. Certes, cartographier les rangs 2 et 3 est complexe — mais c'est souvent là que se concentrent les risques les plus graves.
Confondre conformité documentaire et conformité réelle : avoir une cartographie complète dans un outil ne signifie pas que les risques sont gérés. La cartographie est un outil de diagnostic, pas de traitement.
Négliger l'aval : beaucoup d'entreprises se concentrent sur l'amont (fournisseurs) et oublient l'aval (distribution, utilisation). La CSDDD couvre les deux.
Ne pas impliquer les opérationnels : la cartographie ne peut pas être un exercice purement desk. Les acheteurs, les responsables logistique, les directeurs d'usine ont une connaissance terrain irremplaçable. Impliquez-les dès le départ.
L'articulation avec le plan de vigilance
La cartographie alimente directement les autres composantes du plan de vigilance : les procédures d'évaluation se concentrent sur les risques identifiés, les actions de prévention ciblent les priorités, le mécanisme de plainte est dimensionné en fonction du périmètre couvert. Sans cartographie solide, tout le reste est bâti sur du sable.
FAQ — Chaîne de valeur et devoir de vigilance
Jusqu'à quel rang de fournisseurs faut-il remonter ?
La directive ne fixe pas de limite de rang. Elle parle de partenaires commerciaux dans la chaîne d'activités, ce qui peut aller bien au-delà du rang 1. En pratique, une approche basée sur les risques est recommandée : allez aussi loin que nécessaire dans les chaînes identifiées comme à haut risque.
La cartographie doit-elle être publique ?
Le plan de vigilance, qui inclut la cartographie, doit être publié. Mais le niveau de détail de la publication est à la discrétion de l'entreprise. Vous n'êtes pas tenu de publier la liste de vos fournisseurs — mais vous devez décrire la méthodologie et les résultats de manière suffisamment précise pour démontrer la rigueur de l'exercice.
Que faire quand un fournisseur refuse de coopérer ?
La directive prévoit que l'entreprise doit prendre des mesures appropriées, y compris la suspension ou la rupture de la relation commerciale si nécessaire. Un fournisseur qui refuse de répondre à vos demandes de due diligence est un signal d'alerte majeur. Documentez vos démarches et les refus — c'est votre preuve de bonne foi.
Les joint-ventures sont-elles couvertes ?
Oui, si elles font partie de la chaîne d'activités de l'entreprise soumise. Les participations minoritaires posent des questions de levier d'influence — mais la directive attend des efforts proportionnés à la capacité d'influence de l'entreprise.