Plan de vigilance : obligations, contenu et mise en œuvre

Le plan de vigilance, colonne vertébrale du devoir de vigilance

Le plan de vigilance n'est pas un document à produire pour cocher une case réglementaire. C'est le socle opérationnel de toute la démarche de due diligence imposée par la loi française de 2017 et, demain, par la directive CSDDD. Un plan mal ficelé, c'est une porte ouverte aux contentieux. Un plan solide, c'est une protection juridique — et un avantage concurrentiel réel face aux investisseurs qui scrutent de plus en plus les pratiques ESG.

Si vous êtes directeur juridique ou compliance officer dans une entreprise de plus de 5 000 salariés en France, vous connaissez déjà l'exercice. Mais la transposition de la CSDDD va élargir le périmètre et durcir les exigences. Autant anticiper.

Ce que dit la loi : le cadre juridique du plan de vigilance

La loi française de 2017 (articles L. 225-102-4 et L. 225-102-5 du Code de commerce)

Le texte fondateur impose aux sociétés employant au moins 5 000 salariés en France (ou 10 000 dans le monde, filiales comprises) d'établir, publier et mettre en œuvre un plan de vigilance. Ce plan doit être rendu public et inclus dans le rapport de gestion. Il n'existe pas de modèle officiel — ce qui laisse une marge d'interprétation, mais aussi une source d'insécurité juridique. Depuis 2017, les articles L. 225-102-4 et L. 225-102-5 du Code de commerce constituent le texte de référence — leur interprétation judiciaire s'affine au fil des premières décisions.

Ce que la CSDDD va changer

La directive européenne reprend et amplifie l'approche française. Principales évolutions attendues :

Les 5 composantes obligatoires du plan de vigilance

La loi française de 2017 définit cinq mesures que le plan doit comporter. Ce socle reste pertinent sous la CSDDD — avec des ajouts.

1. La cartographie des risques

C'est la pierre angulaire. Identifier, analyser et hiérarchiser les risques d'atteintes graves aux droits humains, aux libertés fondamentales, à la santé et sécurité des personnes, et à l'environnement. Le périmètre couvre les activités propres de la société, celles de ses filiales, et celles des sous-traitants et fournisseurs avec lesquels elle entretient une relation commerciale établie.

Concrètement ? Il faut descendre dans le détail. Pas une cartographie PowerPoint en 3 slides montrée au comex une fois par an. Un exercice rigoureux, mis à jour régulièrement, qui identifie les zones géographiques à risque, les catégories de fournisseurs sensibles, les process industriels problématiques. Pour approfondir la méthodologie, notre article sur la cartographie de la chaîne de valeur détaille l'approche.

2. Les procédures d'évaluation régulière

La cartographie initiale ne suffit pas. Il faut évaluer la situation de manière récurrente : audits fournisseurs, questionnaires d'auto-évaluation, visites terrain, analyse des incidents passés. Beaucoup d'entreprises utilisent des plateformes comme EcoVadis, Sedex ou IntegrityNext pour industrialiser le processus. C'est un bon début, mais ça ne remplace pas la connaissance terrain.

Un directeur achats d'un groupe agroalimentaire me confiait récemment : "On a 4 000 fournisseurs de rang 1. Évaluer sérieusement chacun d'entre eux, c'est un boulot monstre." La priorisation par les risques est la seule approche réaliste. Vous ne pouvez pas tout auditer — mais vous devez pouvoir justifier vos choix de priorisation.

3. Les actions d'atténuation et de prévention des risques

Une fois les risques identifiés, quelles mesures concrètes ? Clauses contractuelles renforcées, programmes de formation des fournisseurs, investissements dans l'amélioration des conditions de travail, diversification des sources d'approvisionnement. La directive CSDDD va plus loin que la loi française en imposant des plans d'action correctifs avec des échéances précises.

Le piège classique : se contenter d'insérer une clause "droit de l'homme" dans les CGV et considérer que c'est réglé. Les tribunaux ne seront pas dupes. L'approche contractuelle est nécessaire mais insuffisante — il faut démontrer un engagement réel, mesurable.

4. Le mécanisme d'alerte et de signalement

Un dispositif permettant de recueillir les signalements relatifs à l'existence ou à la réalisation de risques. Salariés, fournisseurs, sous-traitants, associations, riverains — le périmètre des lanceurs d'alerte potentiels est large. Le mécanisme doit garantir la confidentialité et l'absence de représailles.

La CSDDD pousse le curseur en exigeant un mécanisme de plainte formel, distinct du dispositif d'alerte Sapin II (même si une mutualisation technique est possible). Les parties prenantes externes doivent pouvoir y accéder sans barrière excessive.

5. Le dispositif de suivi et d'évaluation

Des indicateurs de performance (KPIs) pour mesurer l'efficacité du plan. Nombre d'audits réalisés, taux de conformité des fournisseurs, délai de traitement des alertes, nombre d'actions correctives menées à terme. Sans mesure, pas de pilotage. Et sans pilotage, pas de conformité crédible.

Les erreurs les plus fréquentes dans les plans de vigilance

L'analyse des plans publiés par les entreprises du CAC 40 révèle des lacunes récurrentes. Le rapport annuel du Forum citoyen pour la RSE et le Duty of Care Plan Tracker de Shift Project ont identifié plusieurs tendances :

Cartographies trop vagues : beaucoup d'entreprises listent des risques génériques ("travail des enfants", "pollution") sans les rattacher à des zones géographiques, des fournisseurs ou des process précis. Un tribunal jugera cette approche insuffisante.

Manque de hiérarchisation : tous les risques ne se valent pas. La loi parle de "risques d'atteintes graves". Il faut prioriser par gravité et probabilité — et documenter la méthodologie de priorisation.

Actions correctives floues : "sensibiliser nos fournisseurs" n'est pas une action corrective. C'est un vœu pieux. Il faut des objectifs chiffrés, des échéances, des responsables identifiés.

Consultation cosmétique des parties prenantes : envoyer un questionnaire à trois ONG ne constitue pas une consultation sérieuse. La CSDDD attend un dialogue structuré, documenté, avec des parties prenantes représentatives des communautés affectées.

Absence de suivi quantifié : pas d'indicateurs = pas de preuve d'efficacité. En cas de contentieux, l'entreprise devra démontrer non seulement qu'elle a un plan, mais qu'il produit des résultats.

Méthodologie : construire un plan de vigilance robuste en 8 étapes

Étape 1 — Gouvernance et mandat

Définissez qui porte le sujet au niveau de la direction générale. Idéalement, un membre du comex. Constituez une équipe projet transverse : juridique, achats, RSE, opérations, RH. Le plan de vigilance n'est pas un projet juridique — c'est un projet d'entreprise.

Étape 2 — Périmètre et chaîne de valeur

Délimitez votre chaîne d'activités. Fournisseurs directs, sous-traitants, prestataires logistiques, distributeurs. La CSDDD utilise la notion de "partenaires commerciaux" en amont et en aval. Commencez par les partenaires stratégiques et les zones à risque identifiées.

Étape 3 — Cartographie des risques

Croisez trois dimensions : secteur d'activité du partenaire, zone géographique, nature de la relation (dépendance économique, volume, durée). Utilisez les indices de référence : Global Slavery Index, Transparency International CPI, Environmental Performance Index. Documentez chaque cotation de risque.

Étape 4 — Évaluation approfondie

Pour les risques identifiés comme élevés : audits terrain, entretiens avec les travailleurs, analyse documentaire approfondie. Faites appel à des auditeurs indépendants certifiés (SA8000, SMETA, BSCI). Ne vous fiez pas uniquement aux auto-évaluations des fournisseurs.

Étape 5 — Plan d'action et prévention

Pour chaque risque prioritaire : une action, un responsable, une échéance, un indicateur de réussite. Intégrez ces engagements dans les contrats. Prévoyez des mécanismes d'escalade si les objectifs ne sont pas atteint.

Étape 6 — Mécanisme de plainte

Déployez un canal accessible en plusieurs langues, disponible pour les parties prenantes internes et externes. Assurez la confidentialité et la traçabilité des signalements. Définissez les délais de traitement et les voies de recours.

Étape 7 — Publication et communication

Publiez le plan dans le rapport de gestion et sur le site internet. Soyez transparent sur les risques identifiés et les mesures prises. La tentation de minimiser est forte — mais un plan trop lisse sera jugé peu crédible par les analystes ESG et les ONG.

Étape 8 — Revue annuelle et amélioration

Actualisez la cartographie au moins une fois par an. Révisez le plan en fonction des incidents, des changements de périmètre, de l'évolution réglementaire. Documentez les leçons apprises. Le processus d'audit de conformité structuré en 7 étapes peut vous guider dans cet exercice.

Articulation avec les autres obligations

Plan de vigilance et CSRD

Si votre entreprise est soumise à la CSRD, les informations à publier dans le rapport de durabilité (normes ESRS) recoupent largement le contenu du plan de vigilance. Double matérialité, politiques de due diligence, indicateurs d'impact — les synergies sont évidentes. Notre analyse détaillée de l'articulation CSRD-CSDDD explore ces complémentarités.

Plan de vigilance et loi Sapin II

Le mécanisme d'alerte du plan de vigilance peut être mutualisé avec le dispositif d'alerte anti-corruption Sapin II. Attention toutefois aux spécificités : les signalements Sapin II concernent les faits de corruption, tandis que les alertes vigilance portent sur les atteintes aux droits humains et à l'environnement. Les procédures de traitement diffèrent.

Plan de vigilance et règlement EUDR

Pour les entreprises des secteurs bois, café, cacao, soja, huile de palme, caoutchouc et bétail, le règlement européen anti-déforestation (EUDR) impose des obligations de due diligence spécifiques. Le plan de vigilance CSDDD doit intégrer ces exigences sectorielles sans les dupliquer inutilement.

Coût et ressources : à quoi s'attendre

Soyons francs : un plan de vigilance sérieux, ça coûte. Pour une ETI de 3 000 salariés avec une chaîne d'approvisionnement internationale, comptez entre 200 000 et 500 000 euros par an (équipe dédiée, audits, outils, conseil juridique). Pour un grand groupe du CAC 40, les budgets se chiffrent en millions.

Mais comparez ce coût aux sanctions : 5% du CA mondial pour non-conformité. Sans parler du risque réputationnel. L'investissement dans la conformité est un calcul économique rationnel, pas un acte de charité.

FAQ — Plan de vigilance

Le plan de vigilance doit-il être publié ?

Oui. La loi française impose sa publication dans le rapport de gestion et sa mise à disposition du public. La CSDDD exige également une publication annuelle sur le site internet de l'entreprise. Un plan de vigilance non publié, c'est comme s'il n'existait pas.

Quel est le délai pour répondre à une mise en demeure ?

Sous la loi française, un tiers peut mettre en demeure une entreprise de respecter ses obligations. Si l'entreprise ne réagit pas dans un délai de 3 mois, le tiers peut saisir le tribunal. La CSDDD prévoit un mécanisme de supervision administrative plus direct.

Peut-on mutualiser le plan de vigilance entre filiales ?

Oui, la société mère peut établir un plan couvrant l'ensemble du groupe. C'est même recommandé pour assurer la cohérence. Mais chaque entité reste responsable de la mise en œuvre opérationnelle à son niveau.

Le plan de vigilance doit-il couvrir les clients ?

C'est un point débattu. La loi française vise les fournisseurs et sous-traitants (amont). La CSDDD étend le périmètre aux partenaires commerciaux en aval, incluant potentiellement certains clients professionnels. La distribution et l'utilisation finale des produits entrent dans le scope.

Existe-t-il un modèle officiel de plan de vigilance ?

Non. Ni la loi française, ni la CSDDD ne prescrivent un format standardisé. C'est à la fois une liberté et un risque. Les lignes directrices de l'OCDE et les Principes directeurs de l'ONU fournissent les cadres de référence les plus utilisés en pratique.