Obligation de vigilance fournisseur : ce que la loi impose

Le cadre légal de l'obligation de vigilance fournisseur

L'obligation de vigilance vis-à-vis des fournisseurs est l'une des composantes centrales du devoir de vigilance légal. Tant la loi française de 2017 que la directive européenne CSDDD imposent aux grandes entreprises d'étendre leur démarche de vigilance à leurs partenaires commerciaux — et pas seulement à leurs propres opérations.

Cette extension repose sur un constat simple : de nombreuses atteintes graves aux droits humains et à l'environnement se produisent non pas dans les usines ou bureaux des grandes entreprises, mais chez leurs fournisseurs, notamment dans les pays à risque élevé. Exclure ces acteurs du périmètre du devoir de vigilance aurait rendu la loi largement inefficace.

Périmètre exact de l'obligation

La notion de « relation commerciale établie »

En droit français, l'obligation de vigilance porte sur les sous-traitants ou fournisseurs « avec lesquels est entretenue une relation commerciale établie ». Cette expression, issue du Code de commerce, désigne une relation régulière, durable et significative — par opposition à un achat ponctuel ou occasionnel.

La jurisprudence sur le devoir de vigilance n'a pas encore précisément défini les contours de la relation commerciale établie dans ce contexte spécifique. Les tribunaux s'appuient sur la jurisprudence existante relative à la rupture brutale des relations commerciales (article L. 442-1 du Code de commerce) pour dégager des critères : ancienneté de la relation, régularité des commandes, volume des échanges, degré d'exclusivité.

Fournisseurs directs vs fournisseurs indirects

La loi française de 2017 ne précise pas si l'obligation se limite aux fournisseurs directs (rang 1) ou s'étend aux niveaux inférieurs de la chaîne. La CSDDD apporte une précision : elle cible principalement les partenaires commerciaux directs (direct business partners), mais impose d'enquêter sur les niveaux inférieurs lorsque l'entreprise a des raisons plausibles de croire que des impacts s'y produisent.

En pratique, les entreprises sont encouragées à avoir au moins une visibilité sur leurs fournisseurs stratégiques de rang 2, notamment dans les secteurs à risque élevé.

Les obligations concrètes vis-à-vis des fournisseurs

1. Inclure les fournisseurs dans la cartographie des risques

La cartographie des risques doit couvrir les fournisseurs avec lesquels existe une relation commerciale établie. Elle doit identifier :

• Les pays dans lesquels sont établis les fournisseurs et les niveaux de risque associés ;
• Les secteurs d'activité et les risques structurels propres à ces secteurs ;
• Les catégories de matières premières ou de produits à risque ;
• Les pratiques spécifiques des fournisseurs identifiées comme problématiques.

2. Mettre en place des procédures d'évaluation

Les procédures d'évaluation régulière doivent permettre de vérifier que les fournisseurs respectent les standards attendus. Ces procédures comprennent généralement :

• Des questionnaires d'auto-évaluation (SAQ) ;
• Des revues documentaires (certifications, politiques, audits tiers existants) ;
• Des audits sur site par des tiers indépendants pour les fournisseurs à risque élevé ;
• Des visites de sites par les équipes internes.

3. Prendre des mesures en cas de risque identifié

Lorsqu'un risque est identifié chez un fournisseur, l'entreprise doit prendre des mesures adaptées :

• Dialogue et plan d'action : travailler avec le fournisseur pour définir un plan d'amélioration avec des objectifs et des délais ;
• Accompagnement et renforcement de capacités : formations, ressources, assistance technique ;
• Pression commerciale : utiliser le levier de la relation commerciale pour encourager les améliorations ;
• Suspension ou résiliation : en dernier recours, si les risques sont graves et que les tentatives de remédiation échouent.

4. Intégrer des clauses dans les contrats

Les contrats fournisseurs doivent intégrer des clauses spécifiques : code de conduite, droit d'audit, obligation de transparence, conséquences en cas de non-conformité. Ces clauses constituent une base contractuelle pour exiger et faire respecter les standards de l'entreprise.

La responsabilité de l'entreprise donneuse d'ordre

L'entreprise donneuse d'ordre est-elle responsable des violations commises par ses fournisseurs ? La réponse est nuancée :

Elle n'est pas responsable automatiquement des actes de ses fournisseurs — le devoir de vigilance n'institue pas une responsabilité du fait d'autrui au sens strict.

Elle est responsable de ses propres manquements au devoir de vigilance : si elle n'a pas mis en place les procédures requises, si elle a ignoré des signaux d'alerte, si elle n'a pas pris les mesures qui s'imposaient après avoir identifié un risque. Dans ces cas, sa responsabilité peut être engagée pour le dommage qui en résulte.

Ce que ne couvre pas l'obligation de vigilance fournisseur

Plusieurs catégories de relations sont exclues ou limitées :

• Les fournisseurs occasionnels avec lesquels il n'existe pas de relation commerciale établie ;
• Les relations purement financières (actionnaires minoritaires sans influence sur les opérations) ;
• Les clients et distributeurs (non couverts par la loi française de 2017 ; partiellement couverts par la CSDDD) ;
• Les relations en amont très lointaines (rang 5, 6 de la chaîne) en l'absence de signaux spécifiques d'alerte.

Bonnes pratiques reconnues

Plusieurs pratiques font consensus parmi les experts et les autorités :

1. Adopter un code de conduite fournisseur clair, détaillé et traduit dans les langues des pays fournisseurs ;
2. Intégrer la due diligence dans les processus d'achat : pré-qualification, appels d'offres, renouvellement de contrat ;
3. Former les équipes achats aux enjeux du devoir de vigilance ;
4. Mutualiser les audits avec d'autres acheteurs du même fournisseur pour réduire les coûts et la charge ;
5. Publier le pourcentage de fournisseurs couverts par des évaluations dans le plan de vigilance.