Le devoir de vigilance en entreprise : obligations et bonnes pratiques

26 mai 2025

Oubliez le discours de façade. Le devoir de vigilance n’est pas un engagement RSE à la carte ! C’est une obligation légale. La loi française impose depuis 2017 aux grandes entreprises de surveiller ce qui se passe non seulement chez elles, mais aussi au sein de leurs filiales, chez leurs sous-traitants et fournisseurs. Pas en théorie, mais dans les faits.

Travail forcé dans une usine partenaire, pollution dans une filiale offshore, atteintes aux droits humains passées sous silence : tout cela engage désormais directement la responsabilité de la maison mère. Avec la directive européenne de 2024, le curseur est, par ailleurs, monté encore d’un cran. Ce n’est plus un sujet à traiter uniquement en surface.

Pour éviter les contentieux, les bad buzz et les ruptures dans la chaîne d’approvisionnement, les entreprises sont tenues de mettre en place une mécanique solide : cartographie des risques, alertes internes, audits juridiques, plans d’action concrets. Le temps des déclarations de principe est terminé. Place aux preuves.

Comprendre le devoir de vigilance

Définition et cadre juridique

Le devoir de vigilance, ce n’est pas un bonus de conformité. Depuis le 27 mars 2017, la loi française impose aux grandes entreprises de prendre leurs responsabilités — et pas seulement en interne. Elles doivent poser sur la table un plan de vigilance solide, pas théorique : un document anticipant les risques concrets d’atteintes aux droits humains, à la santé, à la sécurité et à l’environnement.

Ce périmètre ne s’arrête pas à leurs propres activités. Il englobe aussi filiales, sous-traitants, fournisseurs dès lors qu’une relation commerciale durable existe. En clair, une entreprise ne peut plus détourner le regard si un prestataire, même à des milliers de kilomètres, exploite, pollue ou met en danger. C’est toute la logique de la due diligence qui s’impose : connaître ses impacts et agir en amont. La maison mère peut, en effet, être mise en cause — et elle devra répondre.

Au niveau européen, le cadre s’est durci avec la directive CSDDD adoptée en 2024. Le texte attend les mêmes obligations à l’échelle de l’UE, avec des critères plus larges, des contrôles renforcés et un régime de sanctions qui ne se contente plus de blâmer symboliquement. Les entreprises n’ont donc plus le choix : elles doivent prouver qu’elles connaissent leurs risques… et qu’elles agissent.

Qui est concerné et quelles sont les obligations ?

Le devoir de vigilance ne vise pas toutes les entreprises, mais celles qui ont un poids certain. Le seuil fixé ? 5 000 salariés en France ou 10 000 dans le monde. Ce sont donc bien les groupes structurés, souvent internationaux, qui sont dans le viseur.

Le mouvement va bien au-delà des critères légaux. De nombreuses sociétés choisissent d’agir en amont, sans y être contraintes. Pourquoi ? Parce que les investisseurs le demandent, les clients y veillent, les ONG surveillent, mais aussi parce qu’en matière de réputation, l’inaction coûte vite plus cher qu’un audit. Le cadre imposé par la loi n’est pas flou. Il s’appuie sur cinq piliers concrets :

une cartographie des risques sérieuse, ne se limitant pas à un fichier Excel vite oublié, mais identifiant les points de rupture potentiels tout au long de la chaîne d’approvisionnement ;
des procédures d’évaluation régulières des filiales, sous-traitants et fournisseurs, et pas seulement sur le papier ;
des actions concrètes pour atténuer ou prévenir les atteintes (suspension de contrat, plans correctifs, clauses renforcées…) : il faut pouvoir démontrer qu’on agit ;
un mécanisme d’alerte crédible, confidentiel et accessible, pour que les signaux faibles ne passent pas à la trappe ;
un dispositif de suivi, avec des preuves, des indicateurs et des bilans actualisés. Pas une fois pour toutes, mais chaque année.

Le plan de vigilance n’est pas un exercice de communication. Il doit être publié, intégré au rapport de gestion et prêt à être présenté à un juge, à un journaliste ou encore à un salarié s’interrogeant. Rien ne peut rester vague. Tout doit donc être traçable.

Les principaux risques pour les entreprises

Sanctions en cas de non-conformité

Quand une entreprise ne respecte pas son devoir de vigilance, elle peut être traînée en justice. Pas seulement par les autorités. Les syndicats, les ONG, les victimes directes ou les associations peuvent saisir le juge. Il suffit qu’une personne ou un groupe prouve un intérêt à agir pour lancer la procédure.

Ce que prévoit la loi ? Forcer la société à se mettre en conformité, sous astreinte, c’est-à-dire sous peine d’amendes journalières. Si des dommages ont été causés accident mortel, atteinte grave aux droits humains, violation du droit du travail, pollution majeure la responsabilité civile de l’entreprise peut être engagée. À la clé ? Des indemnisations lourdes.

On n’est plus dans l’hypothèse. Des procédures sont en cours contre plusieurs multinationales, dans des secteurs comme le textile, l’agroalimentaire ou l’énergie. Leurs noms circulent déjà dans la presse, les audiences sont publiques et les plaignants organisés. La jurisprudence est encore jeune, mais les signaux sont clairs : le risque judiciaire est concret et croissant.

Ce n’est pas tout. En cas de manquement grave, une entreprise peut voir ses accès aux marchés publics bloqués, perdre des appels d’offres ou subir un retrait d’investissement. Dans un contexte où la conformité ESG devient un critère de sélection, une affaire de vigilance mal gérée peut faire fuir des partenaires stratégiques.

Impact sur la réputation et la gouvernance

Une mise en cause pour travail forcé ou pollution dans une filiale, et c’est la réputation de l’entreprise qui vacille. L’image, soyez-en conscient, s’écroule plus vite qu’un bilan ne se redresse. Bad buzz, appels au boycott, perte de confiance : le coup ne se limite jamais à la communication.

Ces crises exposent aussi les failles de gouvernance. Pourquoi l’alerte n’a pas été donnée ? Qui a validé ce fournisseur? Derrière chaque scandale, il est possible bien souvent de trouver un angle mort : contrôle interne trop faible, comité de direction absent, cloisonnement des fonctions. Les conséquences peuvent être lourdes : audits en urgence, sanctions individuelles, départs contraints. La vigilance, dans ce contexte, n’est plus un sujet RSE, c’est un levier de pilotage stratégique.

Les investisseurs, eux, ne laissent rien passer. Si la mécanique de vigilance ne tient pas, les financements se ferment, les partenaires se retirent. Ce n’est plus une question d’image. C’est une question de viabilité.

Bonnes pratiques pour assurer la conformité

Cartographie des risques et audits juridiques

Gestion des relations avec les sous-traitants

C’est souvent là que le bât blesse. Les sous-traitants sont le point de tension majeur dans la majorité des chaînes d’approvisionnement. Travailleurs sous-payés, sécurité absente, normes locales contournées… Les scandales naissent rarement au siège, mais très souvent chez un prestataire mal encadré.

Pour éviter cela, le tri à l’entrée est crucial. Travailler avec un partenaire, ce n’est pas signer un bon de commande, c’est valider un niveau d’exigence, dès le départ. Critères sociaux, environnementaux, de gouvernance : tout doit être posé clairement.

Pas de flou : les contrats doivent encadrer les obligations de conformité, avec des clauses précises, des droits de regard et des leviers d’action. Il ne suffit pas de signer, il faut aller voir sur le terrain. Régulièrement. En cas d’écart, des mesures correctives doivent, par ailleurs, être prévues et documentées.

Ce suivi ne peut pas reposer sur de la bonne volonté. Il doit s’appuyer sur une mécanique claire, portée par les fonctions achats, juridique et RSE.

Piloter la vigilance, ce n’est pas déléguer. C’est contrôler, tracer et savoir dire stop quand un partenaire met l’entreprise en danger.

Mise en place d’une politique RSE efficace

Le devoir de vigilance est le versant légal. La RSE, c’est la structure lui donnant du corps. Une politique RSE bien conçue, pilotée au bon niveau, ne fait pas joli sur le papier, elle rend les engagements crédibles. Concrètement, cela passe par :

une gouvernance claire : un comité dédié, des référents identifiés et une ligne directe avec la direction ;
une culture d’entreprise engagée, où les enjeux sociaux et environnementaux ne sont pas relégués aux pages annexes du rapport annuel ;
des indicateurs précis, audités, permettant de mesurer les résultats au-delà des intentions ;
un reporting en adéquation avec les standards internationaux (GRI, ISO 26000, SASB…), afin d’éviter les effets de langage et les angles morts ;
des formations ciblées, surtout pour les équipes au contact des risques : achats, production, logistique.

Une vraie politique RSE ne cherchera pas à cocher des cases. Elle servira de colonne vertébrale à l’entreprise. Elle alignera la stratégie sur la réalité du terrain et donnera les moyens d’agir, pas seulement de réagir.

Le devoir de vigilance est un test de crédibilité. Il oblige l’entreprise à regarder en face ce qu’elle tolère dans sa chaîne de valeur, à décider ce qu’elle laisse passer ou pas. Ce n’est plus seulement une affaire de juristes. C’est un sujet stratégique. Un enjeu d’anticipation, de réputation, de confiance. Ne pas s’en saisir, c’est laisser les zones grises s’installer, avec tout ce que cela implique : poursuites, pertes de contrats, crises internes.

Mettre en place un plan ne suffit pas. Il faut qu’il vive. Qu’il structure les décisions. Qu’il engage les équipes, de la direction aux opérationnels. Qu’il tienne, aussi, quand ça secoue.

Bien pensé, bien piloté, le devoir de vigilance devient un levier de solidité. Il donne à l’entreprise une longueur d’avance : celle permettant de prévenir les crises au lieu de les subir. Celle qui fait la différence entre une organisation exposée… et une organisation alignée.