Loi sur le devoir de vigilance : obligations et impacts de la CS3D

La loi sur le devoir de vigilance ne vise directement qu'une poignée de très grands groupes, mais ses effets descendent toute la chaîne d'approvisionnement. Si vous dirigez une ETI industrielle, un groupe de services ou une PME sous-traitante d'un grand compte, vous recevez sans doute déjà des questionnaires RSE, des clauses de « vigilance » dans vos contrats ou des demandes d'audit. Avec la directive européenne sur le devoir de vigilance (CS3D), ce mouvement va s'étendre à l'échelle de l'Union.

Le paysage a pourtant beaucoup bougé : l'Omnibus I, adopté en 2026, a relevé les seuils de la CS3D, supprimé l'obligation de plan de transition climatique et décalé le calendrier. Cet article fait le point sur ce que dit la loi française en vigueur, ce que prévoit la directive après sa révision, et surtout ce que vous devez concrètement préparer, que vous soyez assujetti ou fournisseur d'un groupe assujetti.

Chez FINAUDEC, cabinet d'expertise comptable et d'audit, nous accompagnons des PME et des ETI qui doivent répondre aux exigences de leurs donneurs d'ordre sans transformer chaque demande en chantier. Vous trouverez ici une méthode, un cas chiffré et une checklist directement utilisables.

Qu'est-ce que la loi sur le devoir de vigilance ?

La loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre impose à certaines grandes sociétés d'établir et mettre en œuvre de manière effective un plan de vigilance. Son objet : identifier les risques et prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement.

Ces risques ne s'arrêtent pas aux murs de la société. Le plan doit couvrir les activités de la société elle-même, celles des sociétés qu'elle contrôle, mais aussi celles des sous-traitants et fournisseurs avec lesquels est entretenue une relation commerciale établie. C'est ce dernier point qui fait de la loi un sujet pour les ETI et les PME, même lorsqu'elles ne sont pas assujetties.

Où se trouve le texte aujourd'hui ?

Les dispositions ont longtemps figuré aux articles L. 225-102-4 et L. 225-102-5 du code de commerce. Depuis le 1er janvier 2025, à la suite de l'ordonnance n° 2023-1142 du 6 décembre 2023 qui a transposé la CSRD, elles figurent aux articles L. 225-102-1 (plan de vigilance) et L. 225-102-2 (responsabilité) du code de commerce. Beaucoup de contrats et de politiques internes citent encore l'ancienne numérotation : profitez de la prochaine mise à jour pour corriger ces renvois.

Quelles entreprises sont soumises au plan de vigilance en France ?

Le critère est uniquement social : la loi ne fixe aucun seuil de chiffre d'affaires ou de bilan. Est concernée toute société qui emploie, à la clôture de deux exercices consécutifs :

• au moins 5 000 salariés en son sein et dans ses filiales directes ou indirectes dont le siège social est fixé sur le territoire français ;
• ou au moins 10 000 salariés en son sein et dans ses filiales directes ou indirectes dont le siège social est fixé en France ou à l'étranger.

Les filiales ou sociétés contrôlées qui dépassent elles-mêmes ces seuils sont réputées satisfaire à l'obligation si la société qui les contrôle établit un plan couvrant l'activité de l'ensemble du groupe. En pratique, c'est donc la tête de groupe qui porte le plan.

Le cas des ETI : rarement assujetties, souvent concernées

Une ETI de 1 500 ou 3 000 salariés n'entre pas dans le champ de la loi. Elle est en revanche presque toujours dans le périmètre de vigilance d'un ou plusieurs clients assujettis : constructeurs, distributeurs, énergéticiens, groupes de BTP ou de luxe. Une relation commerciale établie suffit à faire entrer le fournisseur dans la cartographie des risques du donneur d'ordre.

Que doit contenir un plan de vigilance ?

Le code de commerce fixe cinq mesures obligatoires. Le plan a vocation à être élaboré en association avec les parties prenantes de la société.

1. Une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation.
2. Des procédures d'évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, au regard de la cartographie.
3. Des actions adaptées d'atténuation des risques ou de prévention des atteintes graves.
4. Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives.
5. Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.

Le plan et le compte rendu de sa mise en œuvre effective sont rendus publics et intégrés au rapport de gestion. Pour les sociétés qui produisent ou commercialisent des produits agricoles ou forestiers, le plan doit aussi comporter des mesures de lutte contre la déforestation importée.

La logique est proche de celle de l'analyse de double matérialité utilisée pour le reporting CSRD : identifier les impacts, les hiérarchiser selon leur probabilité et leur gravité, puis documenter les actions. Les deux exercices gagnent à être menés avec une base commune de données.

Quelles sanctions en cas de manquement au devoir de vigilance ?

La loi française ne prévoit pas d'amende administrative. Le législateur avait prévu une amende civile pouvant atteindre 10 millions d'euros, mais le Conseil constitutionnel l'a censurée dans sa décision n° 2017-750 DC du 23 mars 2017, jugeant les termes de l'obligation trop imprécis pour fonder une sanction de cette nature.

Deux leviers subsistent et suffisent à rendre le risque bien réel :

• L'injonction : lorsqu'une société mise en demeure ne respecte pas ses obligations dans un délai de trois mois, toute personne justifiant d'un intérêt à agir peut demander au juge de lui enjoindre de s'y conformer, le cas échéant sous astreinte. Le président du tribunal peut être saisi en référé.
• La responsabilité civile : le manquement engage la responsabilité de son auteur, qui doit réparer le préjudice que l'exécution de ses obligations aurait permis d'éviter. Le juge peut ordonner la publication ou la diffusion de sa décision, aux frais de la société condamnée.

S'y ajoute un risque commercial : le code de la commande publique permet à l'acheteur public d'exclure d'une procédure une entreprise soumise à l'obligation qui n'a pas établi de plan de vigilance pour l'année précédant la consultation.

Directive devoir de vigilance : que prévoit la CS3D après l'Omnibus ?

La directive devoir de vigilance, officiellement directive (UE) 2024/1760 sur le devoir de vigilance des entreprises en matière de durabilité, est entrée en vigueur le 25 juillet 2024. Elle a été modifiée une première fois par la directive (UE) 2025/794, qui a reporté certaines dates, puis par la directive (UE) 2026/470, publiée au Journal officiel de l'Union le 26 février 2026 et en vigueur depuis le 18 mars 2026. Cette seconde directive porte les modifications de fond du paquet Omnibus I, selon la page de la Commission européenne consacrée au devoir de vigilance.

Les nouveaux seuils de la CS3D

Après l'Omnibus I, le devoir de vigilance européen vise :

• les entreprises de l'Union qui comptent au moins 5 000 salariés et réalisent plus de 1,5 milliard d'euros de chiffre d'affaires net mondial, en retenant les chiffres consolidés pour les sociétés mères ultimes ;
• les entreprises de pays tiers qui réalisent plus de 1,5 milliard d'euros de chiffre d'affaires net dans l'Union.

Les micro-entreprises et les PME ne sont pas couvertes. Des contrats de franchise ou de licence peuvent aussi faire entrer une entreprise dans le champ lorsque des seuils de redevances et de chiffre d'affaires sont atteints.

Ce qui change sur le fond

Selon le communiqué du Parlement européen sur le vote de l'Omnibus, l'obligation d'adopter un plan de transition climatique est supprimée. Les amendes, fixées par les États membres, sont plafonnées à 3 % du chiffre d'affaires net mondial pour les manquements les plus graves. La responsabilité des entreprises est appréciée au niveau national, les personnes lésées conservant un droit à réparation intégrale lorsque la responsabilité est engagée.

La méthode est aussi recentrée : les entreprises peuvent concentrer leurs efforts sur les domaines où les impacts négatifs sont les plus probables et les plus graves, sur la base des informations raisonnablement disponibles. Et elles ne devraient demander des informations à leurs partenaires de moins de 5 000 salariés que lorsqu'une évaluation approfondie ne peut pas être obtenue autrement.

Quel calendrier pour le devoir de vigilance européen ?

Les États membres doivent adopter et publier leurs mesures de transposition au plus tard le 26 juillet 2028. Ces mesures s'appliqueront à compter du 26 juillet 2029 à toutes les entreprises du champ, à une date unique. La communication annuelle prévue à l'article 16 de la directive s'appliquera aux exercices ouverts à compter du 1er janvier 2030.

Entre-temps, la Commission doit publier ses principales lignes directrices au plus tard le 26 juillet 2027 et des lignes directrices complémentaires d'ici au 26 juillet 2028, ainsi que des clauses contractuelles types facultatives. Ces documents seront décisifs pour les sous-traitants : ils fixeront en pratique le niveau d'exigence que les grands groupes répercuteront dans leurs contrats.

CSRD et CS3D : quelle articulation pour votre entreprise ?

Le couple CSRD CS3D est souvent présenté comme un tout. Les deux textes sont liés, mais ils ne répondent pas à la même question. La CSRD est une obligation de reporting : publier des informations de durabilité selon les normes ESRS. La CS3D est une obligation de comportement : identifier, prévenir et faire cesser les atteintes, dans ses activités et dans sa chaîne d'activités.

L'Omnibus I a aussi resserré le champ de la CSRD : selon le Parlement européen, elle vise désormais les entreprises de plus de 1 000 salariés en moyenne réalisant plus de 450 millions d'euros de chiffre d'affaires net annuel. Le détail figure dans notre article sur les seuils CSRD après l'Omnibus. Une ETI peut ainsi se trouver hors CSRD et hors CS3D, tout en restant fournisseur de groupes soumis aux deux textes.

Le point de convergence est la protection de la chaîne de valeur. Côté CSRD, les entreprises de moins de 1 000 salariés n'ont pas à fournir à leurs grands partenaires d'informations allant au-delà de la norme volontaire. Côté CS3D, les demandes aux partenaires de moins de 5 000 salariés doivent rester l'exception. Dans les deux cas, disposer d'un socle de données conforme à la norme VSME de reporting volontaire est la meilleure façon de répondre une fois pour toutes.

Sous-traitant d'un grand groupe : quelles obligations en pratique ?

Juridiquement, un sous-traitant non assujetti n'a aucune obligation propre de vigilance. Économiquement, il en a beaucoup : le donneur d'ordre répercute ses obligations par le contrat, par ses procédures d'achats et par ses audits. Ne pas répondre, c'est risquer d'être déclassé dans le panel fournisseurs ou de perdre un appel d'offres.

Les clauses contractuelles à négocier

Les clauses de vigilance sont souvent rédigées unilatéralement par l'acheteur. Avant de signer, examinez notamment :

• la répercussion en cascade : devez-vous imposer les mêmes exigences à vos propres fournisseurs, et avec quelles preuves ?
• le coût des audits : qui paie l'auditeur, combien de fois par an, avec quel préavis ?
• le délai de remédiation : combien de temps pour corriger un écart avant suspension ou résiliation ?
• la responsabilité : la clause transfère-t-elle sur vous le risque d'indemnisation supporté par le donneur d'ordre ?

Cas pratique : une ETI sous-traitante face à ses donneurs d'ordre

Êtes-vous concerné ? L'arbre de décision

Trois questions suffisent pour situer votre entreprise. Les deux premières tiennent aux seuils, la troisième à votre position dans la chaîne de valeur de vos clients.

Prenons un groupe industriel familial fictif : une société holding et quatre filiales, 2 800 salariés en France et 900 salariés dans deux filiales au Portugal et au Maroc, soit 3 700 salariés au total, pour un chiffre d'affaires consolidé de 520 millions d'euros. Il fabrique des sous-ensembles métalliques pour trois grands groupes, qui représentent 55 % de son chiffre d'affaires.

Étape 1 : vérifier les seuils

• Loi française : 2 800 salariés en France, soit moins que 5 000 ; 3 700 salariés au total, soit moins que 10 000. Le groupe n'est pas assujetti.
• CS3D : 3 700 salariés, soit moins que 5 000, et 520 millions d'euros, soit moins que 1,5 milliard d'euros. Le groupe n'est pas assujetti.
• CSRD : 3 700 salariés, au-delà de 1 000, et 520 millions d'euros, au-delà de 450 millions d'euros. Le groupe relève du reporting de durabilité et doit vérifier sa situation précise avec les critères définitifs.

Conclusion : pas d'obligation directe de vigilance, mais une obligation de reporting probable et une exposition commerciale forte, puisque plus de la moitié du chiffre d'affaires dépend de clients soumis au devoir de vigilance.

Étape 2 : chiffrer l'exposition

Les trois clients ont adressé en un an 14 questionnaires différents, totalisant 620 questions. Le service qualité estime y avoir consacré 45 jours de travail, soit, sur la base d'un coût chargé de 600 € par jour, 27 000 € de temps passé, sans capitaliser d'une réponse à l'autre. Un client a par ailleurs conditionné le renouvellement d'un contrat de 40 millions d'euros sur trois ans à un audit fournisseur favorable.

Étape 3 : construire un dispositif proportionné

La direction décide de structurer une démarche plutôt que de répondre au fil de l'eau. Le budget de la première année se décompose ainsi :

Rapporté au contrat de 40 millions d'euros sur trois ans, soit environ 13,3 millions d'euros par an, le budget annuel représente 0,64 % du chiffre d'affaires du seul contrat menacé (85 000 € / 13 300 000 €). Dès la deuxième année, le coût baisse : la cartographie est mise à jour plutôt que refaite, et le temps passé sur les questionnaires diminue fortement grâce au dossier de preuves unique. Les montants ci-dessus sont des hypothèses de travail : chaque entreprise doit les recalculer à partir de ses propres coûts.

Comment se préparer ? La checklist en 8 étapes

Que vous soyez assujetti ou fournisseur, la même méthode s'applique. Elle repose sur une idée simple : documenter une fois, réutiliser partout.

1. Calculer vos seuils chaque année au niveau du groupe : salariés en France, salariés à l'étranger, chiffre d'affaires consolidé.
2. Recenser les demandes reçues : questionnaires, clauses, audits, plateformes d'évaluation, et les clients qui les portent.
3. Cartographier vos propres risques : sites, métiers, pays, fournisseurs de rang 1, en croisant probabilité et gravité.
4. Hiérarchiser vos fournisseurs selon leur criticité et le niveau de risque de leur pays ou de leur secteur.
5. Rédiger ou actualiser un code de conduite fournisseur et les clauses types de vos propres contrats d'achat.
6. Mettre en place un canal de signalement accessible aux salariés et aux tiers, et le faire connaître.
7. Constituer le dossier de preuves : politiques, procédures, indicateurs, comptes rendus d'audit, plans d'action.
8. Piloter et rendre compte : indicateurs suivis au moins une fois par an, validés par la direction, partagés avec vos clients.

Ce socle sert aussi votre reporting extra-financier et vos dossiers de financement : les banques et les investisseurs posent de plus en plus les mêmes questions que vos clients.

Quelles erreurs éviter face au devoir de vigilance ?

• Penser que « nous ne sommes pas concernés » parce que l'entreprise est sous les seuils : l'exposition passe par les clients.
• Répondre à chaque questionnaire isolément, avec des chiffres différents d'un client à l'autre : les incohérences fragilisent la crédibilité de l'ensemble.
• Signer des clauses sans les lire, notamment celles qui transfèrent la responsabilité ou imposent des audits à vos frais.
• Confondre reporting et vigilance : publier des indicateurs ne prouve pas que les risques sont prévenus ; il faut des actions et un suivi.
• Attendre la transposition pour agir : les grands groupes, eux, se préparent dès maintenant et sélectionneront leurs fournisseurs en conséquence.

En résumé : anticiper le devoir de vigilance plutôt que le subir

La loi française de 2017 reste la référence aujourd'hui, avec ses seuils de 5 000 et 10 000 salariés et ses cinq mesures obligatoires. La CS3D, recentrée par l'Omnibus I sur les groupes de 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires, s'appliquera à compter du 26 juillet 2029. Pour la grande majorité des ETI et des sous-traitants, l'enjeu n'est pas l'assujettissement direct mais la capacité à répondre, de façon cohérente et documentée, aux exigences des donneurs d'ordre.

Une démarche structurée coûte moins cher que des réponses improvisées et protège vos contrats. Pour cartographier vos risques, bâtir votre dossier de preuves et articuler vigilance et CSRD, découvrez l'accompagnement reporting de durabilité de FINAUDEC.

À lire aussi

• ESRS : comprendre les normes du reporting CSRD