Sanctions devoir de vigilance : amendes et responsabilité civile
Des sanctions qui changent la donne
Soyons directs : c'est le volet sanctions qui va véritablement transformer les pratiques. La loi française de 2017 avait un défaut majeur — un arsenal répressif quasi inexistant après la censure du Conseil constitutionnel. La directive CSDDD corrige le tir avec un triptyque redoutable : amendes administratives, responsabilité civile et exclusion des marchés publics.
Pour un directeur financier, on parle de risques chiffrés en centaines de millions d'euros. Ce n'est plus un sujet RSE — c'est un sujet P&L.
Les amendes administratives : jusqu'à 5% du CA mondial
Le mécanisme
Chaque État membre doit désigner une ou plusieurs autorités administratives chargées de superviser le respect de la directive. Ces autorités auront le pouvoir d'imposer des amendes en cas de manquement aux obligations de due diligence. Le plafond est fixé à 5% du chiffre d'affaires net mondial de l'entreprise.
Pour mettre les choses en perspective :
| CA mondial de l'entreprise | Amende maximale (5%) |
|---|---|
| 500 M€ | 25 M€ |
| 5 Md€ | 250 M€ |
| 50 Md€ | 2,5 Md€ |
| 200 Md€ | 10 Md€ |
On est sur des ordres de grandeur comparables aux amendes RGPD (4% du CA mondial) ou antitrust (10% du CA). Le message est clair : la non-conformité coûte plus cher que la conformité.
Critères de détermination du montant
L'amende n'est pas automatiquement au plafond. Les autorités doivent tenir compte de la gravité et de la durée du manquement, des mesures prises par l'entreprise pour y remédier, des bénéfices tirés de la non-conformité, et du comportement coopératif ou non de l'entreprise. Une entreprise qui a fait des efforts de bonne foi sera traitée différemment d'une entreprise qui a sciemment ignoré ses obligations.
La responsabilité civile : les victimes au tribunal
Un droit d'action élargi
La CSDDD prévoit que les personnes physiques et morales affectées par un manquement au devoir de vigilance puissent engager la responsabilité civile de l'entreprise devant les juridictions d'un État membre. Le régime de responsabilité repose sur la faute : l'entreprise est responsable si elle n'a pas pris les mesures appropriées pour prévenir, atténuer ou mettre fin à une incidence négative, et que ce manquement a causé un dommage.
Le rôle des ONG et syndicats
Point crucial : les ONG habilitées et les syndicats peuvent agir en représentation des victimes. Ce mécanisme de représentation va mécaniquement multiplier les contentieux. Les associations environnementales et de défense des droits humains sont déjà structurées pour ce type d'actions — elles l'ont démontré sous la loi française avec les affaires TotalEnergies, Casino et Suez.
Prescription
Le délai de prescription pour les actions en responsabilité civile est d'au moins 5 ans. C'est un délai long, qui permet aux victimes et aux ONG de constituer des dossiers solides. En comparaison, la prescription de droit commun en matière délictuelle est de 5 ans en France (article 2224 du Code civil) — la directive s'aligne sur ce standard.
Charge de la preuve
La charge de la preuve reste sur le demandeur — il doit démontrer le manquement, le dommage et le lien de causalité. Mais la directive prévoit que les juridictions nationales doivent garantir un accès raisonnable aux preuves détenues par l'entreprise. Un mécanisme de discovery à l'européenne, en quelque sorte, qui rééquilibre le rapport de forces entre les victimes et les multinationales.
L'exclusion des marchés publics
Troisième pilier des sanctions : une entreprise condamnée pour violation de la CSDDD peut être exclue des procédures d'attribution de marchés publics et de contrats de concession. Pour les secteurs fortement dépendants de la commande publique — BTP, défense, transports, IT services —, c'est une menace existentielle.
L'exclusion n'est pas automatique. Elle doit être proportionnée et limitée dans le temps. Mais la simple possibilité d'une exclusion va peser dans les stratégies de conformité. Quand votre carnet de commandes dépend à 40% des marchés publics, vous ne prenez pas le risque.
Comparaison avec les sanctions d'autres réglementations européennes
| Réglementation | Amende maximale | Responsabilité civile |
|---|---|---|
| CSDDD | 5% CA mondial | Oui (+ action en représentation) |
| RGPD | 4% CA mondial ou 20 M€ | Oui |
| Droit de la concurrence | 10% CA mondial | Oui (actions en dommages) |
| Loi française 2017 | Aucune amende (censurée) | Oui (droit commun) |
L'autorité de supervision : qui contrôle ?
Chaque État membre doit désigner une autorité nationale. La directive ne prescrit pas quelle autorité — c'est un choix politique national. En France, plusieurs options sont sur la table : l'AMF (Autorité des marchés financiers), la DGCCRF, ou une autorité ad hoc. Le choix aura des conséquences sur la culture de contrôle (financière vs concurrence vs droits fondamentaux).
L'autorité doit disposer de pouvoirs d'enquête, d'injonction et de sanction. Elle peut agir d'office ou sur plainte. Une coopération entre les autorités nationales est prévue via un réseau européen — essentiel pour les entreprises opérant dans plusieurs États membres.
Stratégies de mitigation du risque
Face à ces sanctions, les entreprises ont intérêt à investir sérieusement dans la conformité. Quelques leviers :
Documenter, documenter, documenter : en cas de contentieux, la charge de la preuve de la bonne exécution des obligations de vigilance incombe à l'entreprise. Un plan de vigilance bien documenté, avec des preuves d'actions concrètes, est la meilleure protection.
Assurance D&O et RC : les polices d'assurance responsabilité civile et dirigeants vont devoir intégrer le risque CSDDD. Le marché de l'assurance est en train de pricer ce nouveau risque — attendez-vous à des primes en hausse.
Coopération proactive : en cas de manquement identifié, coopérer rapidement avec l'autorité de supervision et prendre des mesures correctives immédiates sera un facteur atténuant dans la détermination de la sanction.
Audit de conformité régulier : ne pas attendre un contrôle pour vérifier votre conformité. Notre méthodologie d'audit en 7 étapes vous guide dans cet exercice.
FAQ — Sanctions CSDDD
Les dirigeants peuvent-ils être sanctionnés personnellement ?
La version finale de la CSDDD a retiré le régime de responsabilité personnelle des administrateurs. Mais les droits nationaux peuvent prévoir des sanctions individuelles lors de la transposition. En France, la responsabilité pénale des dirigeants pour les infractions commises par la personne morale existe déjà dans certains cas.
Les amendes CSDDD sont-elles cumulables avec d'autres sanctions ?
Oui. Une entreprise peut être sanctionnée au titre de la CSDDD ET au titre d'autres réglementations (RGPD, droit de la concurrence, réglementation sectorielle). Le principe ne bis in idem s'applique pour les mêmes faits — mais les obligations sont distinctes.
Une PME fournisseur peut-elle être sanctionnée ?
Non directement. Les PME ne sont pas soumises à la CSDDD. Mais elles peuvent perdre des contrats si elles ne répondent pas aux exigences de due diligence de leurs donneurs d'ordre. C'est une sanction de fait, pas de droit.