Sanctions loi devoir de vigilance 2026 : risques réels et premières jurisprudences

Les sanctions du devoir de vigilance ont longtemps été théoriques. Ce n'est plus le cas en 2026. La loi française de 2017 souffrait d'un arsenal répressif insuffisant — le Conseil constitutionnel avait censuré les amendes administratives. La directive CSDDD change radicalement la donne, tandis que les premières jurisprudences françaises commencent à dessiner les contours de la responsabilité civile réelle des grandes entreprises.

Ce que risquent concrètement les entreprises en 2026

1. Responsabilité civile (loi 2017 française) : une ONG, un syndicat ou une victime peut saisir le juge civil pour obtenir réparation d'un préjudice lié à un manquement au plan de vigilance
2. Injonction judiciaire : le juge peut ordonner l'adoption, le renforcement ou l'exécution d'un plan de vigilance — avec astreinte journalière en cas de non-exécution
3. Amendes CSDDD (transposition à venir) : jusqu'à 5% du chiffre d'affaires net mondial pour les États membres qui transposent la directive
4. Exclusion des marchés publics : les entreprises condamnées peuvent être écartées des appels d'offres publics
5. Risque réputationnel : les procédures judiciaires, même déboutées, génèrent une exposition médiatique significative

Comparatif des régimes de sanction : France 2017 vs CSDDD

Les premières jurisprudences françaises : ce qu'on apprend

Depuis 2017, une vingtaine de procédures ont été engagées devant les juridictions françaises au titre de la loi sur le devoir de vigilance. Leur analyse révèle plusieurs enseignements clés.

L'affaire TotalEnergies Ouganda (2019-2024)

L'affaire EACOP reste la plus emblématique. En 2024, la Cour d'appel de Versailles s'est déclarée compétente pour examiner les griefs liés au projet de pipeline en Ouganda/Tanzanie. Si l'arrêt ne tranche pas encore le fond, il confirme que les juridictions françaises peuvent connaître des faits commis à l'étranger. Point clé pour les entreprises : la seule publication d'un plan de vigilance ne suffit pas à écarter la responsabilité — le juge examine le caractère effectif et proportionné des mesures.

Les critères d'appréciation du juge

Les décisions judiciaires convergent sur plusieurs critères pour apprécier la qualité d'un plan de vigilance :

1. La cartographie des risques est-elle exhaustive et régulièrement mise à jour ?
2. Les procédures d'alerte permettent-elles aux parties prenantes tierces de signaler un risque ?
3. Les actions de mitigation sont-elles proportionnées à la gravité des risques identifiés ?
4. Le plan est-il co-construit avec les parties prenantes ou simplement imposé ?
5. Existe-t-il un mécanisme de suivi et d'évaluation des mesures déployées ?

Qui est exposé ? Les seuils légaux en 2026

La loi française de 2017 s'applique aux sociétés dont le siège social est en France, employant au moins 5 000 salariés en France ou au moins 10 000 salariés dans le monde (y compris les filiales). La CSDDD élargit le périmètre à terme aux entreprises de l'UE de plus de 1 000 salariés et 450 M€ de CA, et aux entreprises de pays tiers réalisant plus de 450 M€ de CA dans l'UE.

Pour les entreprises en dessous des seuils, attention : elles ne sont pas directement soumises, mais peuvent se voir imposer des exigences de due diligence par leurs donneurs d'ordre qui, eux, sont assujettis. Consultez notre guide sur la directive CSDDD et son calendrier d'application.

Stratégies concrètes de réduction du risque

1. Documenter systématiquement les diligences effectuées

En cas de contentieux, la charge probatoire incombe au demandeur — mais l'entreprise doit être en mesure de produire des preuves de ses actions. Un plan de vigilance documenté avec traçabilité des décisions est la meilleure protection. Les notes de réunion, les rapports d'audit fournisseurs, les échanges avec les parties prenantes — tout doit être conservé et accessible.

2. Intégrer les parties prenantes dès la conception

Les jurisprudences montrent que les juges sont sensibles au caractère participatif du plan. Une cartographie co-construite avec les syndicats, les ONG locales et les communautés affectées est difficile à attaquer. Inversement, un plan rédigé en circuit fermé par le service juridique sera scruté de près.

3. Traiter les alertes avec le plus grand sérieux

Ignorer une alerte documentée est le scénario catastrophe. Chaque alerte reçue via le mécanisme prévu doit faire l'objet d'un traitement tracé, d'une réponse et, si nécessaire, d'une mise à jour du plan. Notre méthodologie d'audit de conformité intègre une revue systématique des alertes reçues.

4. Anticiper la transposition CSDDD

Même si les États membres ont jusqu'en 2026-2027 pour transposer la directive, les entreprises qui attendent la date limite s'exposent à une mise en conformité précipitée. Les amendes administratives changeront radicalement le calcul coût/bénéfice de la non-conformité. Lisez notre analyse du CSDDD vs CSRD pour identifier les recoupements et éviter les doublons.

FAQ — Sanctions devoir de vigilance 2026

Un dirigeant peut-il être condamné personnellement ?

En droit français, la responsabilité civile vise la société, pas le dirigeant à titre personnel. Mais la responsabilité pénale du dirigeant peut être engagée si un manquement caractérisé constitue une faute de gestion grave. La CSDDD n'a pas introduit de responsabilité administrative personnelle des dirigeants — un arbitrage politique de dernière minute lors de son adoption.

Les PME sous-traitantes sont-elles exposées ?

Pas directement sous la loi 2017 ou la CSDDD. Mais leurs donneurs d'ordre qui sont assujettis leur imposeront des exigences croissantes. Une PME qui ne peut pas démontrer ses pratiques sociales et environnementales à un grand groupe risque de perdre ses contrats — une sanction de fait, pas de droit.

Quelle différence entre devoir de vigilance et CSRD ?

Le devoir de vigilance impose des actions préventives (identifier, prévenir, atténuer). La CSRD impose du reporting (rendre compte). Les deux sont complémentaires mais distinctes. Une entreprise peut publier un excellent rapport CSRD et avoir un plan de vigilance défaillant — les deux ne se confondent pas.