Devoir de vigilance vs CSRD : quelle différence en droit français ?

En bref : la loi du 27 mars 2017 oblige certains grands groupes à publier un plan de vigilance pour prévenir les atteintes graves aux droits humains et à l'environnement dans leur chaîne de valeur, sous peine d'injonction judiciaire. La CSRD, transposée en 2023, impose elle un rapport de durabilité certifié par un commissaire aux comptes ou un organisme tiers indépendant. Seuils, documents et sanctions diffèrent nettement.

Devoir de vigilance et CSRD : deux obligations qu'on confond trop souvent

Un responsable conformité qui boucle son plan de vigilance 2026 tout en préparant sa première année de rapport de durabilité se pose presque toujours la même question : est-ce le même exercice sous deux noms ? Pas vraiment. La loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance et la CSRD telle que transposée en France par l'ordonnance n° 2023-1142 du 6 décembre 2023 répondent à deux logiques distinctes, même si elles partagent un vocabulaire proche — cartographie des risques, chaîne de valeur, double matérialité. La première est un texte de prévention : elle oblige à agir avant que le dommage ne survienne. La seconde est un texte de reddition de comptes : elle oblige à rendre publique une information vérifiée, bonne ou mauvaise. Cette page ne refait pas la comparaison entre les directives européennes CSDDD et CSRD — elle est disponible sur notre page CSDDD vs CSRD — mais s'arrête sur un cas plus concret pour les groupes français : la loi de 2017, en vigueur depuis neuf exercices, face au rapport de durabilité, déjà obligatoire pour une première vague d'entreprises.

Qui est soumis à la loi de 2017, qui est soumis à la CSRD, qui cumule les deux

La loi de 2017 vise les sociétés qui emploient, à la clôture de deux exercices consécutifs, au moins 5 000 salariés en leur sein et dans leurs filiales directes ou indirectes dont le siège est en France, ou au moins 10 000 salariés en incluant les filiales à l'étranger, en application de l'article L225-102-4 du code de commerce. C'est un seuil resté stable depuis l'origine : contrairement à la CSRD ou à la future CSDDD, ce texte franco-français n'a jamais été retouché par les paquets Omnibus européens. La CSRD, elle, a vu son périmètre bouger deux fois en deux ans. Après la directive (UE) 2026/470, publiée au Journal officiel de l'Union européenne le 26 février 2026 et entrée en vigueur le 18 mars 2026, seules les entreprises de plus de 1 000 salariés ET de plus de 450 millions d'euros de chiffre d'affaires net restent dans le champ du rapport de durabilité, à compter des exercices ouverts en 2027. Ce relèvement doit encore être repris en droit français : tant qu'il ne l'est pas, le texte de référence opérationnel reste l'ordonnance de 2023 et ses seuils d'origine. Vérifiez l'état de la transposition sur Légifrance avant de conclure que votre entreprise sort du champ.

Concrètement, qui tombe dans quelle case ? Un groupe industriel français de 6 000 salariés en France, réalisant 300 millions d'euros de chiffre d'affaires, est soumis au plan de vigilance — il dépasse le seuil de 5 000 salariés — mais pas forcément au rapport de durabilité s'il reste sous les 450 millions de chiffre d'affaires retenus par la directive 2026/470, une fois ce relèvement transposé en droit français. À l'inverse, une société de services de 1 500 salariés et 600 millions d'euros de CA entre dans le champ CSRD sans jamais avoir eu à publier de plan de vigilance. Les grands groupes cotés qui dépassent les deux seuils cumulent logiquement les deux obligations, ce qui explique pourquoi leurs juristes cherchent des synergies entre les deux documents. Pour le détail de la loi de 2017, notre page dédiée aux articles L225-102-4 et L225-102-5 va plus loin que ce résumé, et notre page sur l'obligation CSRD détaille les seuils et les vagues d'application restantes.

Plan de vigilance et rapport de durabilité : deux documents, deux philosophies

Le plan de vigilance, un outil de prévention opérationnelle

Le plan de vigilance, selon l'article L225-102-4, doit comporter des mesures de vigilance raisonnable propres à identifier et prévenir les atteintes graves aux droits humains, à la santé-sécurité des personnes et à l'environnement. Le texte prévoit cinq mesures : une cartographie des risques, des procédures d'évaluation régulière des filiales, sous-traitants et fournisseurs, des actions d'atténuation ou de prévention, un mécanisme d'alerte établi avec les organisations syndicales, et un dispositif de suivi et d'évaluation de l'efficacité des mesures. Ce plan est intégré au rapport de gestion et rendu public. Notre page sur le plan de vigilance obligatoire détaille chacune de ces cinq briques, et celle consacrée au modèle de rapport de vigilance 2026 propose une trame pratique.

Le rapport de durabilité, un outil de reddition de comptes certifié

Le rapport de durabilité, introduit par l'ordonnance de 2023 dans le code de commerce, répond à une architecture différente : il s'appuie sur les normes européennes ESRS et sur une analyse de double matérialité, qui consiste à identifier à la fois les impacts de l'entreprise sur la société et l'environnement, et les risques que les enjeux de durabilité font peser sur sa performance financière. Nous détaillons cette méthode sur notre page dédiée à la double matérialité. Contrairement au plan de vigilance, qui reste un document préventif sans obligation de résultat chiffré, le rapport de durabilité doit être vérifié avant publication : l'ordonnance de 2023 confie cette certification à un commissaire aux comptes ou à un organisme tiers indépendant, tous deux inscrits auprès de la Haute autorité de l'audit.

Sanctions et contentieux : l'injonction judiciaire d'un côté, la certification de l'autre

Qu'arrive-t-il à une entreprise qui ignore ses obligations ? Les deux textes divergent nettement, et c'est ce qui surprend le plus les directions juridiques découvrant les deux régimes en parallèle. Pour le plan de vigilance, l'article L225-102-4, II prévoit qu'avant toute action en justice, l'entreprise défaillante doit être mise en demeure de se conformer à ses obligations. Si elle ne régularise pas sa situation dans un délai de trois mois, le juge peut lui enjoindre, au besoin sous astreinte, d'établir, de publier ou de mettre en œuvre effectivement son plan. En cas de dommage résultant de ce manquement, l'article L225-102-5 permet d'engager la responsabilité civile de l'entreprise dans les conditions du droit commun : pas de sanction financière automatique en pourcentage du chiffre d'affaires, puisque le Conseil constitutionnel a censuré, dans sa décision n° 2017-750 DC du 23 mars 2017, le mécanisme d'amende civile voté par le législateur, jugé trop imprécis. Tout le contentieux relève désormais de la compétence exclusive du tribunal judiciaire de Paris, en application de l'article 56 de la loi n° 2021-1729 du 22 décembre 2021 ; une chambre dédiée, la 34e chambre « de la régulation sociale, économique et environnementale », y traite ces dossiers depuis le 2 septembre 2024.

La CSRD française suit une logique de contrôle en amont plutôt que de sanction judiciaire a posteriori : c'est un certificateur — commissaire aux comptes ou organisme tiers indépendant inscrit auprès de la Haute autorité de l'audit (H2A), qui a succédé au H3C le 1er janvier 2024 — qui certifie — ou refuse de certifier — les informations de durabilité avant publication, sous la supervision de la H2A. Le régime répressif attaché à cette mission a d'ailleurs été allégé très récemment : la loi n° 2025-391 du 30 avril 2025, dite loi DDADUE, a supprimé les sanctions pénales qui punissaient jusqu'à deux ans d'emprisonnement et 30 000 euros d'amende le défaut de désignation d'un certificateur, et jusqu'à cinq ans d'emprisonnement et 75 000 euros d'amende l'entrave à sa mission de vérification. Le dispositif répressif de la CSRD s'est donc allégé au moment même où celui de la loi de 2017 restait identique depuis son origine — un décalage révélateur de la façon dont chaque texte est perçu par le législateur.

Mutualiser la cartographie des risques et la double matérialité : la vraie question pour 2026

Faut-il mener deux cartographies de risques séparées ? En pratique, rien ne l'impose, et de nombreuses directions conformité n'en mènent qu'une. La cartographie du plan de vigilance et l'analyse de double matérialité interrogent largement les mêmes parties prenantes, les mêmes fournisseurs critiques et souvent les mêmes bases de données internes. La différence tient au filtre appliqué en sortie : le plan de vigilance cible les atteintes graves aux droits humains, à la santé-sécurité et à l'environnement sur toute la chaîne d'activité, relations commerciales établies comprises ; la double matérialité élargit le champ à tous les enjeux ESRS pertinents, y compris ceux qui n'ont rien d'une atteinte grave mais pèsent sur la trajectoire financière, comme un risque climatique sur un site de production stratégique. Une option répandue chez les entreprises qui cumulent les deux obligations consiste à bâtir un socle commun de collecte de données fournisseurs, puis à appliquer deux grilles de lecture distinctes : l'une orientée prévention pour la vigilance, l'autre orientée indicateurs ESRS pour le reporting. Cela évite, en partie, de solliciter deux fois les mêmes fournisseurs avec deux questionnaires différents — un irritant que remontent régulièrement les PME sous-traitantes interrogées à la fois au titre de la vigilance et de la CSRD de leurs donneurs d'ordre.

Ce que changera la CSDDD pour la loi française, à l'horizon 2028-2029

La directive européenne CSDDD viendra, à terme, s'ajouter à ce paysage plutôt que le remplacer d'un coup : sa transposition est fixée au 26 juillet 2028 et son application au 26 juillet 2029, pour les entreprises dépassant 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires net mondial, avec un plafond de sanction fixé à 3 % de ce chiffre d'affaires selon la Commission européenne. La question que se posent déjà les juristes français est de savoir si la loi sur le devoir de vigilance de 2017 sera purement et simplement abrogée au profit du texte européen, ou si elle continuera de coexister avec lui pour les entreprises qui n'atteignent pas les seuils CSDDD mais dépassent ceux de 2017. Nous ne refaisons pas ici le comparatif complet entre les deux directives européennes CSDDD et CSRD : il est disponible sur notre page CSDDD vs CSRD, et le fonctionnement détaillé de la future directive est décrit dans notre guide complet de la CSDDD.