Le devoir de vigilance fournisseurs relève aujourd’hui de deux cadres à distinguer. La loi française de 2017 s’applique déjà aux sociétés qui franchissent ses seuils ; la directive européenne CS3D, modifiée en 2026, doit encore être transposée avant son application à partir de 2029. Les ETI et PME qui ne sont pas directement assujetties peuvent néanmoins recevoir des demandes documentaires ou contractuelles de leurs donneurs d’ordre. Ce guide précise qui est directement concerné, à quelle date et comment structurer une cartographie proportionnée.
De quoi parle-t-on : devoir de vigilance vs due diligence classique
Le terme « vigilance » recouvre deux réalités distinctes qu’il faut bien séparer.
La due diligence classique (LCB‑FT, KYC fournisseur) vérifie qu’un tiers existe légalement, qu’il n’est pas sous sanctions, qu’il est solvable et qu’il ne sert pas au blanchiment. C’est une logique de protection de l’entreprise contre la fraude et le risque financier ou pénal.
Le devoir de vigilance au sens de la loi de 2017 et de la directive CS3D vise un objectif plus large : prévenir les atteintes graves aux droits humains, aux libertés fondamentales, à la santé-sécurité des personnes et à l’environnement tout au long de la chaîne de valeur. On ne protège plus seulement son entreprise, on prévient des dommages causés à des tiers (travailleurs, riverains, écosystèmes) par ses fournisseurs et sous-traitants.
Dans la pratique, ces deux obligations se rejoignent sur un point central : vous devez connaître vos tiers et cartographier les risques qu’ils représentent. C’est pourquoi un dispositif de vérification fournisseur bien conçu sert à la fois la conformité LCB‑FT et le devoir de vigilance.
La loi française du 27 mars 2017
La loi n° 2017-399 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre est le premier texte au monde à avoir imposé une obligation contraignante de vigilance sur la chaîne de valeur.
Qui est concerné ?
L’obligation pèse sur les sociétés établies en France qui emploient, à la clôture de deux exercices consécutifs :
- au moins 5 000 salariés en leur sein et dans leurs filiales directes ou indirectes dont le siège est en France ;
- ou au moins 10 000 salariés en leur sein et dans leurs filiales directes ou indirectes en France et à l’étranger.
Concrètement, cela vise les grands groupes français. Leurs fournisseurs et sous-traitants ne deviennent pas automatiquement assujettis à la loi, mais ils peuvent recevoir des questionnaires, clauses, demandes de preuves ou audits nécessaires au plan de vigilance du donneur d’ordre. L’étendue de ces demandes doit rester liée au risque et au contrat.
Que doit contenir le plan de vigilance ?
Les entreprises assujetties doivent établir, publier et mettre en œuvre un plan de vigilance comportant cinq mesures :
- Une cartographie des risques destinée à les identifier, les analyser et les hiérarchiser ;
- Des procédures d’évaluation régulière de la situation des filiales, sous-traitants et fournisseurs avec lesquels une relation commerciale établie est entretenue ;
- Des actions adaptées d’atténuation des risques ou de prévention des atteintes graves ;
- Un mécanisme d’alerte et de recueil des signalements ;
- Un dispositif de suivi des mesures mises en œuvre et d’évaluation de leur efficacité.
La cartographie des risques fournisseurs est donc le socle obligatoire du dispositif : sans elle, le plan de vigilance est juridiquement incomplet.
La directive européenne CS3D après la réforme de 2026
La directive (UE) 2024/1760 sur le devoir de vigilance des entreprises en matière de durabilité a été modifiée par la directive (UE) 2026/470. À la date de cette revue, le cas général vise les entreprises constituées dans l’Union qui dépassent simultanément 5 000 salariés en moyenne et 1,5 milliard d’euros de chiffre d’affaires net mondial. Pour une entreprise d’un pays tiers, le critère général repose sur plus de 1,5 milliard d’euros de chiffre d’affaires net réalisé dans l’Union. Le texte prévoit aussi des règles propres aux sociétés mères ultimes et à certaines activités de franchise ou de licence.
Les États membres doivent adopter et publier les mesures de transposition au plus tard le 26 juillet 2028 et les appliquer à partir du 26 juillet 2029, sous réserve des modalités particulières prévues par le texte. En France, il faut donc lire ensemble la loi de 2017 déjà en vigueur, la directive modifiée et, lorsqu’il sera publié, le droit national de transposition.
- La diligence est fondée sur les risques et couvre les opérations propres, les filiales et la chaîne d’activités dans les limites définies par la directive ;
- elle organise l’identification et l’évaluation des incidences négatives, leur prévention ou atténuation, la remédiation et des mécanismes de notification et de plainte ;
- les demandes adressées aux partenaires doivent être appréciées au regard du risque et des informations raisonnablement disponibles ; elles ne rendent pas automatiquement chaque fournisseur directement assujetti ;
- la réforme de 2026 encadre les sanctions administratives et renvoie les conditions de responsabilité civile au droit national, tout en préservant le droit à réparation lorsqu’une responsabilité est établie.
Une entreprise française déjà soumise à la loi de 2017 doit suivre la transposition à venir. Une ETI ou une PME située sous les seuils ne doit pas se présenter comme directement assujettie à la CS3D sur ce seul fondement ; elle peut en revanche préparer un dossier de preuves proportionné pour répondre à ses clients concernés.
Loi 2017 vs CS3D : tableau comparatif
Le tableau ci-dessous reprend l’état des textes au 11 septembre 2026. Les seuils européens sont ceux de la directive modifiée ; le droit français de transposition devra être contrôlé lorsqu’il sera publié.
| Critère | Loi française 2017 | Directive CS3D (UE) |
|---|---|---|
| Niveau | Loi nationale (en vigueur) | Directive UE à transposer |
| Déclencheur | ≥ 5 000 salariés FR ou ≥ 10 000 monde | > 5 000 salariés et > 1,5 Md€ de CA net mondial (cas général UE) |
| Champ des risques | Droits humains, libertés, santé-sécurité, environnement | Droits humains et environnement (durabilité) |
| Périmètre de la chaîne | Filiales, sous-traitants et fournisseurs (relation établie) | Opérations propres, filiales et chaîne d’activités |
| Outil central | Plan de vigilance public + cartographie | Politique de due diligence intégrée à la stratégie |
| Sanctions | Injonction sous astreinte, responsabilité civile | Sanctions administratives ; plafond maximal des amendes fixé à 3 % du CA mondial, responsabilité selon le droit national |
Cartographier les risques fournisseurs : la méthode
La cartographie est l’exigence la plus opérationnelle pour une direction achats. Voici une démarche structurée, conforme à l’esprit des textes.
1. Recenser et segmenter les tiers
Constituez une base unique de vos fournisseurs et sous-traitants actifs. Segmentez-les par criticité : volume d’achat, caractère stratégique, substituabilité, et surtout exposition au risque (pays, secteur, type de main-d’œuvre).
2. Pondérer par le risque inhérent
Croisez plusieurs facteurs de risque :
- Risque pays : indices de gouvernance, état de droit, classement GAFI. Sur ce point, voyez notre analyse de la liste grise et noire du GAFI et son impact sur les flux France-Maroc.
- Risque sectoriel : extraction, textile, agroalimentaire, BTP et certains services sont structurellement plus exposés au travail forcé ou aux atteintes environnementales.
- Risque entité : sanctions, dirigeants exposés (PEP), procédures collectives, opacité de la structure de propriété.
3. Vérifier l’identité réelle et la propriété
Une cartographie n’a de valeur que si elle porte sur la bonne entité. Identifier le bénéficiaire effectif (UBO) permet de détecter une société-écran ou un actionnaire problématique caché derrière une holding. C’est un préalable indispensable avant toute évaluation de risque sérieuse.
4. Évaluer en continu, pas une seule fois
La vigilance est une obligation continue. Un fournisseur conforme à l’entrée en relation peut basculer (placement sous sanctions, ouverture d’une procédure, scandale de presse). Programmez une réévaluation périodique des tiers critiques et mettez en place une surveillance des signaux faibles.
Documentez les contrôles utiles à votre cartographie
RiskSonnar restitue les contrôles disponibles pour l’entité et les sources effectivement interrogées. Ce dossier peut alimenter une analyse de risque, mais il ne remplace ni l’évaluation des incidences durabilité ni les preuves demandées au fournisseur. Vérifier un tiers →
Le focus corridor France-Maroc
Le devoir de vigilance prend une dimension concrète dès qu’une partie du sourcing se fait à l’international. Le corridor France-Maroc, avec ses centaines de filiales françaises implantées et un volume d’échanges de l’ordre de plusieurs milliards d’euros par an (ordre de grandeur), illustre parfaitement l’enjeu.
Pour un acheteur français, cartographier un fournisseur ou sous-traitant marocain suppose de mobiliser les bons registres : OMPIC pour l’existence légale et le Registre du Commerce, ICE comme identifiant unique, attestations CNSS et DGI pour la régularité sociale et fiscale. Notre méthode d’évaluation du risque fournisseur France-Maroc détaille ce recoupement, et la vérification d’une entreprise marocaine via RC, ICE et OMPIC en donne le pas-à-pas.
Côté sanctions et gel d’avoirs, la source de référence au Maroc est la CNASNU (qui relaie les listes onusiennes et une liste locale), et non l’ANRF qui ne publie pas de liste de désignation. C’est un point souvent mal compris dans les dispositifs de vigilance qui se contentent des seules listes occidentales.
Pour les acheteurs qui intègrent du sourcing au-delà du Maroc, le raisonnement vaut pour l’ensemble du continent : notre dossier Cross-Border KYC France ↔ Afrique pose le cadre méthodologique.
Sanctions et risques en cas de manquement
Le défaut de vigilance n’est pas qu’un risque d’image. Les conséquences sont juridiques et financières.
- Mise en demeure et injonction : toute personne justifiant d’un intérêt à agir peut mettre en demeure l’entreprise de respecter ses obligations, puis saisir le juge qui peut enjoindre l’établissement, la publication ou la mise en œuvre du plan, le cas échéant sous astreinte.
- Responsabilité civile : l’entreprise peut voir sa responsabilité engagée et être condamnée à réparer le préjudice que l’exécution de ses obligations aurait permis d’éviter.
- Sanctions administratives (CS3D) : la directive modifiée impose aux États membres des sanctions effectives, proportionnées et dissuasives et prévoit que le plafond maximal des amendes soit fixé à 3 % du chiffre d’affaires net mondial. La sanction applicable en France dépendra du texte de transposition et du dossier.
- Risque commercial et réputationnel : exclusion de référencement chez les grands donneurs d’ordres, atteinte à la marque employeur, défiance des investisseurs.
Au-delà de la vigilance « durabilité », n’oubliez pas les obligations connexes : pour les sous-traitants, l'obligation de vigilance sociale et fiscale (URSSAF, DGFiP) s’ajoute et expose à la solidarité financière. Et pour les secteurs sensibles, la vérification des fournisseurs du secteur santé obéit à des exigences renforcées.
Questions fréquentes
Mon entreprise est une ETI sous les seuils de la loi 2017 : suis-je vraiment concerné ?
Pas directement au titre de la loi de 2017 si vous êtes sous ses seuils, sous réserve de votre structure de groupe et du calcul exact des effectifs. La CS3D modifiée ne vous assujettit pas non plus automatiquement : son cas général exige plus de 5 000 salariés et plus de 1,5 milliard d’euros de chiffre d’affaires net mondial. Un client assujetti peut toutefois vous demander des informations ou des engagements proportionnés dans le cadre de sa propre diligence.
Quelle différence entre le plan de vigilance et un plan anti-corruption Sapin 2 ?
Le plan anti-corruption (loi Sapin 2) vise spécifiquement la prévention de la corruption et du trafic d’influence, avec une évaluation de l’intégrité des tiers. Le plan de vigilance (loi 2017) couvre un champ plus large : droits humains, santé-sécurité et environnement sur toute la chaîne. Les deux dispositifs partagent une brique commune : l’évaluation des tiers. Une cartographie unifiée peut servir les deux obligations.
La cartographie doit-elle couvrir tous mes fournisseurs ?
L’approche attendue est fondée sur les risques, pas exhaustive à l’identique. Vous devez identifier, analyser et hiérarchiser les risques, puis concentrer vos efforts d’évaluation et d’atténuation sur les tiers les plus critiques (par pays, secteur, profil). Une vigilance proportionnée et documentée vaut mieux qu’un contrôle uniforme et superficiel.
Les seuils et le calendrier de la CS3D sont-ils définitifs ?
La réforme européenne a été adoptée : la directive (UE) 2026/470 fixe désormais le seuil général de 5 000 salariés et 1,5 milliard d’euros de chiffre d’affaires net mondial, une transposition au plus tard le 26 juillet 2028 et une application à partir du 26 juillet 2029. Les mesures françaises de transposition et leur articulation avec la loi de 2017 restent à contrôler lorsqu’elles seront publiées.
Comment outiller concrètement l’évaluation des tiers ?
Commencez par un registre des tiers, une segmentation par risque et une liste des preuves attendues. Les contrôles d’identité, de sanctions ou de procédures peuvent alimenter ce dossier lorsqu’ils sont disponibles, mais ils ne suffisent pas à évaluer les incidences sur les droits humains et l’environnement. Documentez séparément les questionnaires, audits, plans correctifs et décisions. Voyez notre guide complet KYC et due diligence fournisseur pour le cadre opérationnel.
Conclusion
Le devoir de vigilance place les achats au cœur de la documentation des risques. La première étape consiste à déterminer le texte réellement applicable : loi française de 2017 aujourd’hui, puis droit national transposant la CS3D modifiée à compter de 2029. Pour les entreprises hors champ direct, l’enjeu consiste surtout à répondre de façon proportionnée et traçable aux demandes des donneurs d’ordre.
RiskSonnar accompagne la cartographie de vos tiers : vérification d’un fournisseur ou d’un dirigeant dans un délai qui dépend des sources, sur des sources croisées selon leur disponibilité en France et au Maroc, avec un rapport défendable. C’est une aide à la décision et à la documentation de votre diligence, jamais un verdict automatique. Découvrir la couverture Maroc → ou consulter notre méthodologie →
Traçabilité éditoriale
Transparence éditoriale
Signature : Rédaction RiskSonnar. Documentation revue le 11 septembre 2026.
Sources officielles consultées
3 références externes sont détectables dans ce dossier.
- Loi n° 2017-399 relative au devoir de vigilanceRépublique française — Légifrance
- Directive (UE) 2024/1760 consolidée — devoir de diligence en matière de durabilitéUnion européenne — EUR-Lex
- Directive (UE) 2026/470 modifiant le périmètre et le calendrier de la CS3DUnion européenne — EUR-Lex
Méthode propre à cet article. Comparaison arrêtée au 11 septembre 2026 entre la loi française n° 2017-399 et la directive (UE) 2024/1760 dans sa version consolidée après la directive (UE) 2026/470. Périmètres, seuils, échéances, obligations directes et demandes contractuelles adressées aux fournisseurs sont distingués ; l’article ne présume ni assujettissement ni conformité d’une entreprise donnée.