Rapport de devoir de vigilance : contenu obligatoire et modèle 2026
Le rapport de devoir de vigilance est la pièce centrale de la conformité à la loi Sapin II amendée et à la directive CSDDD. Ce document doit être annexé au rapport de gestion et rendu public. Voici exactement ce qu'il doit contenir en 2026 — et un modèle de structure pour les entreprises concernées.
Qui est obligé de publier un rapport de devoir de vigilance ?
En France, la loi de 2017 s'applique aux entreprises qui emploient, en leur sein et dans leurs filiales directes et indirectes, au moins :
- 5 000 salariés en France (siège en France)
- 10 000 salariés dans le monde (pour les entreprises étrangères ayant un siège en France)
La directive européenne CSDDD (Corporate Sustainability Due Diligence Directive), transposée progressivement entre 2026 et 2029, étend ces obligations à des entreprises plus petites dans les secteurs à risque.
Les 5 éléments obligatoires du plan de vigilance
Le rapport doit présenter le plan de vigilance et ses résultats. Le plan doit comporter au minimum :
- La cartographie des risques : identification des risques graves pour les droits humains, la santé, la sécurité et l'environnement, chez l'entreprise, ses filiales et ses fournisseurs/sous-traitants établis.
- Les procédures d'évaluation régulière des filiales, sous-traitants et fournisseurs, à l'aune de la cartographie des risques.
- Les actions d'atténuation des risques : mesures appropriées pour prévenir les risques graves ou y mettre fin.
- Un mécanisme d'alerte et de recueil des signalements : accessible à toute personne victime ou témoin d'un risque (salariés, habitants, ONG).
- Le dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.
Structure type d'un rapport de devoir de vigilance
Voici la structure recommandée par les praticiens et conforme aux attentes des parties prenantes :
- Présentation du périmètre : entités couvertes, filiales, chaîne d'approvisionnement stratégique.
- Gouvernance : qui pilote le plan ? Comité dédié, COMEX, responsable désigné ?
- Cartographie des risques : méthodologie, axes couverts (droits humains, environnement, corruption), hiérarchisation.
- Plans d'actions par risque prioritaire : pour chaque risque identifié, les mesures mises en place.
- Mécanisme d'alerte : description du dispositif, nombre de signalements reçus, traitement.
- Indicateurs de performance (KPIs) : taux de couverture des fournisseurs évalués, nombre d'audits, incidents identifiés.
- Perspectives et axes d'amélioration.
Les sanctions en cas de non-publication ou de rapport insuffisant
Depuis 2017, un tribunal peut ordonner à une entreprise de publier un plan de vigilance ou de le compléter, sous astreinte. En 2026, avec l'influence de la CSDDD, les associations et syndicats ont accru leur recours à ces voies de mise en demeure. Plusieurs grandes entreprises françaises ont été assignées en justice pour plans insuffisants : Total, BNP, LVMH entre autres.
FAQ — Rapport de devoir de vigilance
Le rapport de vigilance doit-il être certifié par un commissaire aux comptes ?
Non, la loi française ne l'exige pas pour l'instant. Le rapport est simplement annexé au rapport de gestion et doit être cohérent avec les informations publiées dans la DPEF (Déclaration de Performance Extra-Financière). La CSDDD prévoit en revanche une vérification tierce indépendante dans son périmètre d'application.
Les sous-traitants en dehors de l'UE sont-ils couverts par le devoir de vigilance ?
Oui. La loi française vise explicitement les sous-traitants "avec lesquels est entretenue une relation commerciale établie", quelle que soit leur localisation géographique. Les risques ESG liés aux fournisseurs au Bangladesh, en Inde ou en Afrique doivent donc figurer dans la cartographie si la relation est significative.
Qu'est-ce qu'une "relation commerciale établie" au sens du devoir de vigilance ?
La jurisprudence et les tribunaux français ont progressivement défini la "relation commerciale établie" comme une relation régulière, stable et significative en termes de volume. Un achat ponctuel n'est pas concerné. Une relation de 3+ ans avec un fournisseur représentant plus de 5 % des achats l'est généralement.