Devoir de vigilance : plan, chaîne de valeur et PME

Réponse rapide. Le devoir de vigilance impose aux très grands groupes (au moins 5 000 salariés en France, ou 10 000 en France et à l'étranger) d'établir un plan de vigilance couvrant droits humains, santé, sécurité et environnement. Une PME est rarement assujettie directement, mais souvent concernée comme maillon de la chaîne de valeur d'un donneur d'ordre.

Vous dirigez une PME et un grand client vous envoie un questionnaire « droits humains et environnement », un code de conduite à signer, voire annonce un audit fournisseur. Vous n'avez jamais entendu parler d'un quelconque plan de vigilance, et vous vous demandez pourquoi cette demande arrive sur votre bureau. La réponse tient en une phrase : votre client est, lui, assujetti au devoir de vigilance, et il doit désormais évaluer les risques tout au long de sa chaîne de valeur. Vous en faites partie.

Cet article clarifie qui est réellement concerné, ce que contient un plan de vigilance, et surtout comment une PME fournisseur se prépare sans surinvestir. L'enjeu n'est pas seulement de conformité : pour beaucoup d'entreprises, bien répondre à ces exigences devient une condition pour conserver un contrat.

Le devoir de vigilance résulte de la loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre. Cette loi française impose aux plus grandes entreprises d'identifier et de prévenir les atteintes graves aux droits humains, aux libertés fondamentales, à la santé et à la sécurité des personnes, ainsi qu'à l'environnement, qui pourraient résulter de leurs activités.

Point essentiel : cette obligation ne s'arrête pas aux portes de l'entreprise assujettie. Elle s'étend à sa sphère d'influence, c'est-à-dire à ses filiales, ses sous-traitants et ses fournisseurs. C'est précisément ce mécanisme de cascade qui fait entrer des milliers de PME dans le champ pratique du dispositif, sans qu'elles y soient elles-mêmes directement assujetties.

Qui est assujetti, qui est concerné indirectement#

La distinction entre « assujetti » et « concerné » est la clé de lecture de tout le sujet. Confondre les deux conduit soit à paniquer pour rien, soit à ignorer une demande qui engage un contrat.

La conséquence des seuils est nette : très peu de PME sont directement assujetties au devoir de vigilance. En revanche, dès qu'une PME travaille avec un grand groupe industriel, un distributeur, un acteur du BTP ou un client international d'envergure, la probabilité de recevoir des exigences de vigilance est élevée.

Le plan de vigilance n'est pas une simple déclaration d'intention. La loi en fixe les composantes, que voici. Même si vous n'êtes pas l'entreprise qui rédige le plan, comprendre sa structure vous aide à anticiper ce que votre client vous demandera.

Une entreprise assujettie doit établir, publier, respecter et évaluer ce plan, et le rendre public. C'est en déclinant ces composantes le long de sa chaîne de valeur qu'elle se tourne vers vous : pour alimenter sa cartographie, elle a besoin de données sur vos pratiques sociales et environnementales.

C'est le coeur du sujet. Une PME est rarement directement assujettie, mais elle est très souvent concernée comme maillon de la chaîne de valeur d'un grand donneur d'ordre. Concrètement, les sollicitations prennent trois formes principales.

• Questionnaires fournisseurs : grilles d'auto-évaluation portant sur vos conditions de travail, votre politique environnementale, l'origine de vos matières, le respect des droits humains chez vos propres sous-traitants.
• Exigences contractuelles : signature d'un code de conduite fournisseur, clauses de conformité insérées dans les contrats, engagements à respecter certaines normes sociales et environnementales.
• Audits : pour les fournisseurs jugés à risque ou stratégiques, vérification documentaire voire visite sur site.

Répondre correctement à ces demandes devient à la fois un enjeu commercial et un enjeu de conformité. Un questionnaire mal renseigné, des réponses contradictoires d'une année sur l'autre, ou une incapacité à produire les justificatifs demandés peuvent peser dans la décision de votre client de vous référencer ou de vous reconduire.

Dans les dossiers de PME fournisseurs, le réflexe le plus courant est de traiter ces questionnaires comme une formalité administrative déléguée à la personne disponible le jour J. C'est une erreur de cadrage. Ces demandes sont des documents engageants, qui circulent dans la chaîne de valeur de votre client et peuvent être réutilisés en cas de litige.

Notre conviction est qu'une PME a tout intérêt à structurer une fois pour toutes un socle de données fiables (effectifs, politiques internes, certifications, fournisseurs critiques) plutôt que de réinventer une réponse à chaque sollicitation. Ce socle se réutilise, gagne en cohérence, et vous fait gagner un temps considérable quand un deuxième, puis un troisième donneur d'ordre vous interrogent. C'est exactement le type de travail de structuration de l'information où l'expert-comptable est utile, en lien avec le questionnaire ESG du donneur d'ordre.

Le risque que les dirigeants voient le moins venir n'est pas une sanction directe au titre de la loi de 2017, à laquelle la PME n'est généralement pas assujettie. C'est le risque commercial et réputationnel : déclarer dans un questionnaire des engagements que l'entreprise ne tient pas, ou ne peut pas prouver.

Affirmer disposer d'une politique environnementale formalisée alors qu'elle n'existe pas sur le papier, cocher une case « pas de recours au travail dissimulé chez nos sous-traitants » sans aucune vérification, ou produire des chiffres incohérents : autant de fragilités qui, exposées lors d'un audit, abîment la relation de confiance avec le client. Mieux vaut une réponse honnête et nuancée (« en cours de structuration ») qu'une déclaration flatteuse indéfendable.

Voici la démarche que nous recommandons à une PME qui reçoit ses premières demandes de vigilance. L'objectif est de répondre juste, sans transformer un sujet de quelques dizaines d'heures en un projet disproportionné.

1. Identifier la source et l'enjeu. Repérez de quel donneur d'ordre émane la demande, quel chiffre d'affaires elle représente, et l'échéance. Cela calibre l'effort à y consacrer.
2. Rassembler les données disponibles. Effectifs, organigramme, politiques internes existantes (hygiène et sécurité, achats, éventuelle charte), certifications, liste des fournisseurs critiques. Vous en avez déjà la majorité.
3. Identifier les écarts. Confrontez les questions posées à ce que vous pouvez réellement prouver. Listez ce qui manque (un document non formalisé, une procédure orale, une donnée non suivie).
4. Répondre avec exactitude. Renseignez ce qui est avéré, signalez honnêtement ce qui est en cours. Conservez une copie datée de chaque réponse envoyée.
5. Construire un socle réutilisable. Centralisez ces éléments dans un dossier unique, mis à jour annuellement, que vous mobiliserez pour les demandes suivantes.
6. Distinguer ce qui relève du juridique. Pour la relecture d'un code de conduite ou de clauses contractuelles engageantes, un avocat intervient utilement.

Checklist du dossier fournisseur vigilance#

• Effectifs et organigramme à jour
• Politiques internes formalisées (santé, sécurité, achats responsables)
• Liste des fournisseurs et sous-traitants critiques
• Certifications et labels détenus, avec dates de validité
• Mécanisme de remontée d'alerte interne, même simple
• Copie datée des questionnaires déjà transmis aux donneurs d'ordre
• Relecture juridique des codes de conduite et clauses signées

Une couche européenne se superpose au dispositif français. La directive sur le devoir de vigilance des entreprises en matière de durabilité, dite CS3D ou CSDDD, élargit la logique de vigilance à l'échelle de l'Union européenne. Mais son calendrier et son périmètre évoluent, notamment dans le cadre du paquet de simplification Omnibus engagé en 2025.

Il serait prématuré de figer des seuils ou des dates précises pour cette directive : c'est un cadre en mouvement, qu'il faut suivre plutôt que graver dans le marbre aujourd'hui. Pour une PME, la conséquence est paradoxalement rassurante : la dynamique de fond va vers davantage de demandes de vigilance le long des chaînes de valeur. Avoir structuré son socle de données reste pertinent quel que soit l'aboutissement réglementaire. Cette articulation entre obligations qui se chevauchent rejoint la question, traitée par ailleurs, de savoir qui reste concerné par le reporting durable après la CSRD.

Une PME industrielle de sous-traitance reçoit, la même année, deux questionnaires de vigilance émanant de deux grands clients, aux formats différents mais aux questions très proches. Faute de référentiel interne, l'entreprise répond deux fois, dans l'urgence, avec des formulations divergentes sur les mêmes faits. L'un des clients relève l'incohérence lors d'une revue. Le travail correctif a coûté plus cher que la mise en place initiale d'un socle de données réutilisable. La leçon est récurrente : la première réponse improvisée coûte toujours moins cher que les suivantes mal alignées.

• Ne confondez pas assujettissement et exigence contractuelle. Vous n'êtes probablement pas assujetti à la loi de 2017, mais vous pouvez être contractuellement tenu de répondre à votre client.
• Anticipez l'effet de cascade. Si un donneur d'ordre vous interroge, vos propres sous-traitants critiques peuvent à leur tour devoir être questionnés.
• Suivez l'évolution européenne sans surréagir. La directive CS3D bouge ; structurez vos données, ne pariez pas sur un calendrier figé.
• Documentez et datez. Une réponse n'a de valeur que si vous pouvez retrouver ce que vous avez déclaré, et quand.

L'expert-comptable aide la PME fournisseur à structurer ses données et à répondre aux exigences de vigilance de ses donneurs d'ordre : fiabiliser les effectifs et les indicateurs, cartographier les fournisseurs critiques, organiser un socle d'information cohérent et réutilisable, articuler ces réponses avec les autres obligations de reporting durable. Si vous souhaitez préparer un audit ou une certification à venir, notre approche du sujet est détaillée dans notre article sur préparer un audit RSE en vue d'une certification, et notre offre dédiée figure sur la page reporting RSE et CSRD.

Le volet strictement juridique (analyse de l'opposabilité d'un code de conduite, rédaction ou contestation de clauses, responsabilité civile) relève en revanche d'un avocat.

Le cabinet Hayot Expertise, inscrit à l'Ordre des experts-comptables d'Île-de-France, accompagne les dirigeants de PME confrontés à ces demandes le long de leur chaîne de valeur.