Devoir de vigilance 2026 : nouvelles obligations et sanctions renforcées
Le devoir de vigilance des entreprises s'est considérablement renforcé depuis l'entrée en vigueur partielle de la directive CS3D. En 2026, les grandes entreprises françaises doivent avoir finalisé leur plan de vigilance sous peine de sanctions pouvant atteindre 5 % du chiffre d'affaires mondial.
Qui est concerné par le devoir de vigilance en 2026 ?
La loi française de 2017 vise les entreprises de plus de 5 000 salariés en France ou 10 000 dans le monde. La directive CS3D élargit progressivement ce périmètre :
| Phase | Calendrier | Critères |
|---|---|---|
| Phase 1 | 2027 | >5 000 salariés ET >1,5 Md€ CA mondial |
| Phase 2 | 2028 | >3 000 salariés ET >900 M€ CA |
| Phase 3 | 2029 | >1 000 salariés ET >450 M€ CA |
Les 6 obligations du plan de vigilance
- Cartographie des risques dans la chaîne de valeur
- Procédures d'évaluation des filiales, sous-traitants et fournisseurs
- Actions de prévention et d'atténuation
- Mécanisme d'alerte accessible aux parties prenantes
- Schéma de suivi avec indicateurs et reporting annuel
- Publication annuelle dans le rapport de gestion
Sanctions 2026 : ce que les entreprises risquent
| Type de sanction | Loi 2017 (FR) | CS3D (à venir) |
|---|---|---|
| Amende maximale | Astreinte judiciaire | 5 % du CA mondial |
| Autorité compétente | Tribunal judiciaire | Autorité nationale de surveillance |
| Publication des manquements | Non prévue | Obligatoire (name & shame) |
| Responsabilité civile | Oui (difficile à prouver) | Oui + présomption facilitée |
Comment construire un plan de vigilance conforme ?
La construction d'un plan de vigilance solide prend entre 12 et 24 mois. Voici les étapes dans l'ordre :
Étape 1 : Cartographier la chaîne de valeur — identifier tous les fournisseurs directs (tier 1), puis les indirects (tier 2, tier 3) dans les catégories à risque.
Étape 2 : Évaluer les risques par fournisseur — intégrer le pays d'origine, le secteur d'activité, et les pratiques connues dans une matrice de risque.
Étape 3 : Mettre en place le mécanisme d'alerte — accessible aux salariés, sous-traitants et communautés affectées, avec confidentialité garantie.
En 2026, plusieurs affaires judiciaires en cours (TotalEnergies Ouganda, Danone chaîne alimentaire) définissent progressivement l'interprétation des obligations légales. Plus sur la directive CS3D, les sanctions et la cartographie des risques supply chain.
Questions fréquentes sur le devoir de vigilance 2026
Quelle est la différence entre la loi de vigilance de 2017 et la directive CS3D ?
La loi française de 2017 s'applique aux entreprises de plus de 5 000 salariés en France. La directive CS3D élargit progressivement ces obligations à toutes les grandes entreprises européennes à partir de 2027, avec des sanctions administratives directes pouvant atteindre 5 % du CA mondial.
Combien de temps faut-il pour mettre en place un plan de vigilance ?
Entre 12 et 24 mois pour une mise en œuvre solide. La cartographie des risques seule prend 3 à 6 mois pour une chaîne de valeur complexe.
Les PME sont-elles concernées par le devoir de vigilance ?
Directement non — les seuils légaux exemptent les PME. Mais indirectement oui : via les clauses contractuelles imposées par les grandes entreprises à leurs fournisseurs PME.