ENQUÊTE. Comment les entreprises se préparent-elles à l’évolution de la règlementation sur l'obligation de vigilance ?

Alors que la France fait figure de précurseur en matière de devoir de vigilance des entreprises, la nouvelle directive européenne entrée en vigueur cet été va amener un certain nombre de changements pour les entreprises. Mais si la directive est claire sur le résultat attendu et que le sujet est pris au sérieux, la mise en œuvre concrète s’avère relativement floue.

Montrer qu’elles font tout pour réduire les risques sociaux et environnementaux de leur activité, mais aussi de leurs partenaires. C’est ce que devront bientôt faire les entreprises européennes, selon la directive européenne 2024/1760, dite CS3D (Corporate Sustainability Due Diligence Directive) entrée en vigueur le 5 juillet. Les Etats ont jusqu’à 2026 pour la transposer, afin d’harmoniser les législations nationales sur le devoir de vigilance.

Grand chambardement ? Assurément. Mais peut-être moins en France qu’ailleurs. Car à l’instar de quelques autres Etats comme l’Allemagne, l’Hexagone légifère depuis plusieurs années sur la responsabilité sociétale des entreprises (Sapin 2, NRE, Pacte, Climat et Résilience). Même l’article 1833 du Code Civil, depuis la loi Pacte, prévoit que l’entreprise soit « gérée dans son intérêt social, en prenant en considération les enjeux sociaux et environnementaux de son activité ». Une loi de 2017 sur le devoir de vigilance oblige déjà à lister les risques sociaux et environnementaux liés à son activité, les évaluer et les prévenir. Mais elle ne concerne que les entreprises de plus de 5 000 salariés.

La directive européenne concernera beaucoup plus d’entreprises : toutes les sociétés européennes de plus de 1 000 salariés et 450 millions de chiffres d’affaires, ainsi que certaines sociétés étrangères opérant en Europe. Soit 6 000 entreprises en Union Européenne, selon Maxime de Guillenchmidt, avocat associé au cabinet Veil-Jourde. Les entreprises de plus de 5 000 salariés et 1,5 milliard de chiffre d’affaires seront concernées en 2027, celles de 3 000 salariés et 900 millions de CA, en 2028, et les autres en 2029. La directive accentue l’aspect environnemental, puisque les entreprises devront s’assurer que leur stratégie commerciale est compatible avec les accords de Paris.

Quelles obligations ?

Concrètement, les entreprises vont devoir élaborer un plan de vigilance, notion déjà présente dans la loi française de 2017. Ce plan devra commencer par une cartographie de vigilance, listant l’ensemble des risques. Puis une série d’actions pour limiter ces risques. La directive européenne fait expressément obligation de construire son plan avec les différentes parties prenantes, fournisseurs, riverains… Une nouveauté formelle par rapport à la loi française, même si celle-ci l’induisait.

« La directive est claire sur le résultat attendu, par contre sur la mise en œuvre concrète, pour l'instant c'est un peu le flou », estime Sophie Musso, ancienne directrice juridique et associée du cabinet de conseil en conformité et éthique Proetic. Elle estime cependant « la méthodologie pour les cartographies de vigilance stabilisée ». « Cela nécessite de mener des interviews en interne assez poussées, interroger concrètement toutes les personnes de la chaine », conseille Elodie Valette, avocate associée du cabinet BCLP.

Si la loi française peut inspirer, elle est encore plus imprécise, et la jurisprudence rare. La seule décision rendue sur le fond, concernant La Poste, fin 2023 , se contente de pointer un plan de vigilance pas assez étayé n’impliquant pas les parties prenantes. « Il y a injonction mais pas astreinte », résume Elodie Valette. Sur trois autres dossiers (TotalEnergies, Suez, EDF), le débat en est juste à établir qui est fondé à se pourvoir en justice. Ces décisions sont issues du récent pôle 5 chambre 12 de la Cour d’appel de Paris. « C’est important, pour une question de lisibilité, qu’une seule juridiction se saisisse de ces sujets », estime Philippe Métais, avocat associé à BCLP.

Une harmonisation que vise aussi la directive au niveau européen, via la création d’un réseau autorités indépendantes, une par pays. Mais « la directive européenne s’applique à de nombreux États qui n'ont pas les mêmes obligations et les mêmes interdictions. L’objectif est aussi de permettre une adaptation au niveau local », nuance l’avocate Julie Guenand du cabinet Veil-Jourde. Philippe Métais craint donc des jurisprudences différentes selon les pays, et un risque de « distorsion de concurrence » renforcé par « des entraves que certaines de leurs concurrentes ne connaissent pas ».

Avant de contrôler et sanctionner, l’autorité indépendante devra prodiguer des conseils et des guides aux entreprises sur la marche à suivre. Elle est une différence majeure avec la loi française, par laquelle les entreprises ne risquent de poursuites automatiques que si leur manquement entraine des dommages (action en responsabilité civile classique). Si leur plan de vigilance est inexistant, pas assez complet ou pas appliqué, une partie prenante légitime doit porter le sujet devant les tribunaux via un mécanisme d’action préventive pour qu’une action judiciaire soit engagée.

Or, la future autorité pourra contrôler les entreprises, s’autosaisir ou être saisie par n’importe quel citoyen soupçonnant des manquements. L’Etat devra choisir s’il maintient en parallèle l’action préventive. Même si « on peut penser que cette option n’aurait pas vraiment de sens » selon Maxime de Guillenchmidt, d’autant que cela risquerait de donner lieu à des jurisprudences contradictoires.

Il imagine la possibilité, « pour des questions de mutualisation des coûts et d’expérience, d’une grande autorité qui soit en charge de la prévention de la corruption et du devoir de vigilance ». L’Afa, Agence française anticorruption, est en effet citée comme un potentiel modèle. Comme face à la corruption, « le plan de vigilance doit vraiment être porteur d'effet, une cartographie ne suffit pas, elle doit générer un plan d'action mis en œuvre et suivi dans le temps », explique Sophie Musso. Elle prévient même que la directive demande « une intégration du principe de vigilance dans les politiques internes, et une obligation de réaction presque immédiate en cas de risque. La majorité des processus vont devoir évoluer », alors que la loi française vise surtout les risques graves, sans demander une application dans les pratiques managériales.

Une préparation hétérogène

Pour les entreprises déjà concernées par la loi de 2017, la nouvelle directive ne semble pas insurmontable. « Elles ont l’impression d’être en avance, confirme Sophie Musso. Pour elles, la question sera plus l’adaptation ». Elle a plutôt l’impression que les entreprises sont encore concentrées sur la CSRD. Mais selon Maxime de Guillenchmidt, « le sujet est pris très au sérieux, car le risque réputationnel est énorme », y compris en cas de manquement d’un fournisseur. « Le risque juridique parait assez lointain, mais avec la directive européenne, il va se concrétiser ».

Pour les entreprises nouvellement concernées, entre 1 000 et 5 000 salariés – ou un peu en-dessous du seuil, qui risquent de l’être un jour, les choses pourraient être plus compliquées.  « Elles se posent énormément de questions, relate Sophie Musso. En tant que formateurs, on nous demande comment faire une cartographie, que mettre dans un plan de vigilance… ». Et les directions juridiques qui commencent à s’emparer de ce sujet « ont parfois du mal à convaincre leurs instances dirigeantes du travail à faire ». Quand elles y arrivent, reste encore à convaincre les patrons de filiales à l’international que « cela sert aussi à prévenir des risques qui ont un coût quand ils se réalisent ». Si son cabinet interagit historiquement beaucoup avec les directions juridiques, elle observe aussi que les projets de vigilance sont parfois confiés à la direction RSE, développement durable, voire finances. « Les directions juridiques ont la capacité de mener des projets transverses, fédérer des métiers différents qui n’ont pas toujours l’habitude de se parler », appuie-t-elle, car le devoir de vigilance concerne une grande partie de l’entreprise : juridique, conformité, RH pour tout le volet social, finances, logistique…

Une question récurrente parmi ses clients est celle du budget. « La cartographie a un coût, mais ensuite, il faut des budgets pour la mise en œuvre ». Les groupes plus petits ont par exemple rarement un poste dédié pour gérer les « communautés » et sont dans le flou : « Quels fournisseurs choisir pour les panels de partie prenante ? Comment concrètement s’adresser aux riverains ? ». Selon elle, « la question, c’est comment transposer et éventuellement adapter ce qui existe pour les grands groupes aux entreprises nouvellement soumises à la réglementation ».

Une troisième catégorie d’entreprises sont concernées : celles cocontractantes de grosses entreprises elles-mêmes soumises à la directive. En effet, celles-ci devront s’assurer du respect des normes sur l’ensemble de leur chaine de valeur. Cela concerne leurs fournisseurs (la loi française portait la même obligation) mais également, c’est une nouveauté, les acteurs en aval : transporteurs, distributeurs, plateformes de stockage…

Les répercussions seront très concrètes, même si elles ne risquent pas de sanction juridique.  « Cela va impacter jusqu'à la petite entreprise qui n'a pas forcément un juriste et un département réglementaire, et qui pour autant, si elle veut contracter avec des grands groupes, devra contractuellement se conformer à ces obligations », explique Maxime de Guillenchmidt. Les groupes directement soumis au devoir de vigilance auront tout de même l’obligation de soutenir leurs partenaires dans l’adoption de ces mesures. Mais tous les questionnaires et audits que Sophie Musso commence à voir arriver dans les petites entreprises lui semblent « démentiels ».

Maxime de Guillenchmidt estime que se préoccuper de ces obligations peut être « un avantage concurrentiel » pour les petites entreprises : « les grosses entreprises préfèrent contracter avec une entreprise déjà vigilante », même si ses procédures ne sont pas parfaites. Inversement, il voit venir « une augmentation des contentieux commerciaux, parce qu’il sera possible d’avoir des ruptures de contrat motivées par un non-respect du plan de vigilance. Ce qui pourrait être utilisé dans certains cas comme un prétexte, notamment pour des contrats conclus alors que ces obligations n’existaient pas encore ».

Pour lui, le nombre d’entreprises affectées est « inestimable : cela va bien au-delà de l’Union Européenne. La quasi-intégralité de la chaine économique est potentiellement concernée ». S’assurer du respect de ces obligations par des partenaires à l’autre bout du monde sera évidemment plus compliqué qu’au sein de l’UE. D’autant que les lois locales pourraient entrer en contradiction avec le devoir de vigilance. Les entreprises européennes, forcées de se renseigner sur les conditions de travail et de respect de l’environnement de leurs cocontractants, devront dans certains cas cesser de travailler avec des partenaires de certains pays. Même s’il ne leur est pas non plus demandé d’avoir en permanence un salarié derrière chaque fournisseur.

« A terme, quand tous les pays de l'Union européenne mettront en pratique ce plan de vigilance, on peut imaginer que certaines filières d’approvisionnement fermeront dans les pays qui ne s’adapteront pas. Mais cela prendra du temps », assure Maxime de Guillenchmidt. Le textile, mais aussi l’électronique, l’agroalimentaire ou encore l’énergie pourraient être particulièrement concernés.

Quelle rigueur dans l’application ?

Elodie Valette fait remarquer qu’après une stratégie marquée en faveur de la durabilité dans l’Union Européenne, (Green Deal en 2019, CSRD…), « le contexte est moins favorable à la RSE » : critique dans le rapport Draghi, report de la réglementation sur la déforestation... Même chez nous, « la France a été le premier pays à adopter le CSRD. Pour le CS3D, on sent une réticence. Il a bien failli ne pas être adopté, plusieurs Etats dont l’Allemagne et la France avaient demandé à ce qu’il soit réécrit ». Mais Sophie Musso voit au contraire « les différentes réglementations, notamment la CS3D et la CSRD, se répondre pour former un ensemble qui doit participer à la réussite des rapports de Paris, même si on peut se demander s'il n'est pas déjà trop tard. »

Les entreprises, concernées ou non par la directive, ont intérêt à commencer à créer une culture d’entreprise de la vigilance. Cela passe par de la formation, une implication de l’ensemble des salariés, la mise à disposition de toute la documentation technique, de l’audit, de l’évaluation des pratiques… « C’est un travail de conduite du changement qui ne doit pas être sous-estimé », prévient Sophie Musso.

Maxime de Guillenchmidt anticipe « une certaine tolérance au début » tant que les entreprises montreront leur « bonne volonté ». Au contraire, Philippe Métais ne se dit « pas aussi optimiste sur la bienveillance de la future autorité : la loi française est en vigueur depuis un certain temps, l’entrée en vigueur de la directive se fera de manière graduelle ». « J’ai tendance à penser que quand l’autorité sera en place, elle exercera son contrôle de façon très complète, et que l’excuse du caractère récent n’en sera pas une », ajoute-t-il.

Et attention, car les sanctions pourront aller jusqu’à 5% du chiffre d’affaires global, assorti de sanctions pour les dirigeants de l’entreprise. Au-delà de ça, Maxime de Guillenchmidt voit que « la vigilance a un impact dans les cessions d’entreprise, car les investisseurs auditent ces questions-là. Les banques aussi commencent à regarder le respect du devoir de vigilance avant d’accorder un financement important ».

Aude David