Le devoir de vigilance fournisseurs n'est plus l'affaire des seuls services RSE. Entre la loi française de 2017 et la directive européenne CS3D (CSDDD), les grands comptes et de nombreuses ETI doivent désormais cartographier les risques de leur chaîne de sous-traitance, formaliser un plan de vigilance et en démontrer l'effectivité. Pour les directions achats, cela change la donne : un fournisseur n'est plus seulement évalué sur son prix et sa solvabilité, mais sur les risques humains, environnementaux et éthiques qu'il porte. Ce guide détaille le périmètre, les seuils, l'obligation de cartographie et les sanctions, avec un focus sur le sourcing dans le corridor France-Maroc.
De quoi parle-t-on : devoir de vigilance vs due diligence classique
Le terme « vigilance » recouvre deux réalités distinctes qu'il faut bien séparer.
La due diligence classique (LCB-FT, KYC fournisseur) vérifie qu'un tiers existe légalement, qu'il n'est pas sous sanctions, qu'il est solvable et qu'il ne sert pas au blanchiment. C'est une logique de protection de l'entreprise contre la fraude et le risque financier ou pénal.
Le devoir de vigilance au sens de la loi de 2017 et de la directive CS3D vise un objectif plus large : prévenir les atteintes graves aux droits humains, aux libertés fondamentales, à la santé-sécurité des personnes et à l'environnement tout au long de la chaîne de valeur. On ne protège plus seulement son entreprise, on prévient des dommages causés à des tiers (travailleurs, riverains, écosystèmes) par ses fournisseurs et sous-traitants.
Dans la pratique, ces deux obligations se rejoignent sur un point central : vous devez connaître vos tiers et cartographier les risques qu'ils représentent. C'est pourquoi un dispositif de vérification fournisseur bien conçu sert à la fois la conformité LCB-FT et le devoir de vigilance.
La loi française du 27 mars 2017
La loi n° 2017-399 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre est le premier texte au monde à avoir imposé une obligation contraignante de vigilance sur la chaîne de valeur.
Qui est concerné ?
L'obligation pèse sur les sociétés établies en France qui emploient, à la clôture de deux exercices consécutifs :
- au moins 5 000 salariés en leur sein et dans leurs filiales directes ou indirectes dont le siège est en France ;
- ou au moins 10 000 salariés en leur sein et dans leurs filiales directes ou indirectes en France et à l'étranger.
Concrètement, cela vise les grands groupes français. Mais l'effet d'entraînement est massif : ces groupes répercutent l'obligation sur leurs fournisseurs et sous-traitants par contrat. Une ETI ou une PME qui veut rester référencée chez un grand donneur d'ordres doit donc, de fait, se mettre en conformité même si elle n'est pas elle-même soumise au texte.
Que doit contenir le plan de vigilance ?
Les entreprises assujetties doivent établir, publier et mettre en œuvre un plan de vigilance comportant cinq mesures :
- Une cartographie des risques destinée à les identifier, les analyser et les hiérarchiser ;
- Des procédures d'évaluation régulière de la situation des filiales, sous-traitants et fournisseurs avec lesquels une relation commerciale établie est entretenue ;
- Des actions adaptées d'atténuation des risques ou de prévention des atteintes graves ;
- Un mécanisme d'alerte et de recueil des signalements ;
- Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.
La cartographie des risques fournisseurs est donc le socle obligatoire du dispositif : sans elle, le plan de vigilance est juridiquement incomplet.
La directive européenne CS3D (CSDDD)
La directive sur le devoir de vigilance des entreprises en matière de durabilité, dite CS3D ou CSDDD (Corporate Sustainability Due Diligence Directive), a été adoptée en 2024. Elle généralise à l'échelle européenne une logique proche de la loi française de 2017, mais avec son propre périmètre et un calendrier de transposition étalé dans le temps.
Points clés à retenir, étant entendu que les seuils et le calendrier ont fait l'objet de discussions et de propositions d'ajustement au niveau européen (notamment dans le cadre des travaux dits « omnibus » de simplification) : il est donc impératif de vérifier le texte transposé en droit français avant de figer un dispositif.
- La directive cible de grandes entreprises au-delà de seuils de nombre de salariés et de chiffre d'affaires, ainsi que certaines sociétés non européennes réalisant un chiffre d'affaires significatif dans l'UE ;
- Elle impose une due diligence fondée sur les risques couvrant les opérations propres, celles des filiales et celles des partenaires de la chaîne d'activités ;
- Elle prévoit l'intégration de la vigilance dans la stratégie de l'entreprise, des mesures de prévention, de remédiation et un mécanisme de plainte ;
- Elle introduit un volet responsabilité civile permettant l'indemnisation des dommages dans certaines conditions, et des sanctions administratives proportionnées au chiffre d'affaires.
Pour une entreprise française déjà soumise à la loi de 2017, la CS3D représente surtout un renforcement et une harmonisation européenne. Pour les ETI jusqu'ici hors champ, elle peut signifier une entrée progressive dans le périmètre, directement ou via leurs donneurs d'ordres.
Loi 2017 vs CS3D : tableau comparatif
Le tableau ci-dessous synthétise les grandes différences. Les valeurs chiffrées de la CS3D étant susceptibles d'évoluer avec la transposition, elles sont présentées comme ordres de grandeur à confirmer sur les textes officiels.
| Critère | Loi française 2017 | Directive CS3D (UE) |
|---|---|---|
| Niveau | Loi nationale (en vigueur) | Directive UE à transposer |
| Déclencheur | ≥ 5 000 salariés FR ou ≥ 10 000 monde | Grandes entreprises au-delà de seuils salariés + CA (à confirmer) |
| Champ des risques | Droits humains, libertés, santé-sécurité, environnement | Droits humains et environnement (durabilité) |
| Périmètre de la chaîne | Filiales, sous-traitants et fournisseurs (relation établie) | Opérations propres, filiales et chaîne d'activités |
| Outil central | Plan de vigilance public + cartographie | Politique de due diligence intégrée à la stratégie |
| Sanctions | Injonction sous astreinte, responsabilité civile | Sanctions administratives indexées sur le CA, responsabilité civile |
Cartographier les risques fournisseurs : la méthode
La cartographie est l'exigence la plus opérationnelle pour une direction achats. Voici une démarche structurée, conforme à l'esprit des textes.
1. Recenser et segmenter les tiers
Constituez une base unique de vos fournisseurs et sous-traitants actifs. Segmentez-les par criticité : volume d'achat, caractère stratégique, substituabilité, et surtout exposition au risque (pays, secteur, type de main-d'œuvre).
2. Pondérer par le risque inhérent
Croisez plusieurs facteurs de risque :
- Risque pays : indices de gouvernance, état de droit, classement GAFI. Sur ce point, voyez notre analyse de la liste grise et noire du GAFI et son impact sur les flux France-Maroc.
- Risque sectoriel : extraction, textile, agroalimentaire, BTP et certains services sont structurellement plus exposés au travail forcé ou aux atteintes environnementales.
- Risque entité : sanctions, dirigeants exposés (PEP), procédures collectives, opacité de la structure de propriété.
3. Vérifier l'identité réelle et la propriété
Une cartographie n'a de valeur que si elle porte sur la bonne entité. Identifier le bénéficiaire effectif (UBO) permet de détecter une société-écran ou un actionnaire problématique caché derrière une holding. C'est un préalable indispensable avant toute évaluation de risque sérieuse.
4. Évaluer en continu, pas une seule fois
La vigilance est une obligation continue. Un fournisseur conforme à l'entrée en relation peut basculer (placement sous sanctions, ouverture d'une procédure, scandale de presse). Programmez une réévaluation périodique des tiers critiques et mettez en place une surveillance des signaux faibles.
Alimentez votre cartographie en 60 secondes par tiers
RiskSonnar recoupe 25 sources (sanctions, PEP, presse défavorable, procédures collectives, registres FR et MA) pour qualifier le risque d'un fournisseur ou d'un dirigeant. Vérifier un tiers →
Le focus corridor France-Maroc
Le devoir de vigilance prend une dimension concrète dès qu'une partie du sourcing se fait à l'international. Le corridor France-Maroc, avec ses centaines de filiales françaises implantées et un volume d'échanges de l'ordre de plusieurs milliards d'euros par an (ordre de grandeur), illustre parfaitement l'enjeu.
Pour un acheteur français, cartographier un fournisseur ou sous-traitant marocain suppose de mobiliser les bons registres : OMPIC pour l'existence légale et le Registre du Commerce, ICE comme identifiant unique, attestations CNSS et DGI pour la régularité sociale et fiscale. Notre méthode d'évaluation du risque fournisseur France-Maroc détaille ce recoupement, et la vérification d'une entreprise marocaine via RC, ICE et OMPIC en donne le pas-à-pas.
Côté sanctions et gel d'avoirs, la source de référence au Maroc est la CNASNU (qui relaie les listes onusiennes et une liste locale), et non l'ANRF qui ne publie pas de liste de désignation. C'est un point souvent mal compris dans les dispositifs de vigilance qui se contentent des seules listes occidentales.
Pour les acheteurs qui intègrent du sourcing au-delà du Maroc, le raisonnement vaut pour l'ensemble du continent : notre dossier Cross-Border KYC France ↔ Afrique pose le cadre méthodologique.
Sanctions et risques en cas de manquement
Le défaut de vigilance n'est pas qu'un risque d'image. Les conséquences sont juridiques et financières.
- Mise en demeure et injonction : toute personne justifiant d'un intérêt à agir peut mettre en demeure l'entreprise de respecter ses obligations, puis saisir le juge qui peut enjoindre l'établissement, la publication ou la mise en œuvre du plan, le cas échéant sous astreinte.
- Responsabilité civile : l'entreprise peut voir sa responsabilité engagée et être condamnée à réparer le préjudice que l'exécution de ses obligations aurait permis d'éviter.
- Sanctions administratives (CS3D) : la directive prévoit des sanctions pécuniaires indexées sur le chiffre d'affaires mondial, ce qui en accroît fortement la portée dissuasive.
- Risque commercial et réputationnel : exclusion de référencement chez les grands donneurs d'ordres, atteinte à la marque employeur, défiance des investisseurs.
Au-delà de la vigilance « durabilité », n'oubliez pas les obligations connexes : pour les sous-traitants, l'obligation de vigilance sociale et fiscale (URSSAF, DGFiP) s'ajoute et expose à la solidarité financière. Et pour les secteurs sensibles, la vérification des fournisseurs du secteur santé obéit à des exigences renforcées.
Questions fréquentes
Mon entreprise est une ETI sous les seuils de la loi 2017 : suis-je vraiment concerné ?
Pas directement au titre de la loi de 2017 si vous êtes sous les seuils de 5 000 / 10 000 salariés. Mais l'obligation se diffuse par contrat : si vous êtes fournisseur d'un grand groupe assujetti, celui-ci vous imposera des engagements de vigilance et des audits. Par ailleurs, la directive CS3D élargit progressivement le périmètre. Anticiper une cartographie de vos propres tiers est donc un investissement de compétitivité autant que de conformité.
Quelle différence entre le plan de vigilance et un plan anti-corruption Sapin 2 ?
Le plan anti-corruption (loi Sapin 2) vise spécifiquement la prévention de la corruption et du trafic d'influence, avec une évaluation de l'intégrité des tiers. Le plan de vigilance (loi 2017) couvre un champ plus large : droits humains, santé-sécurité et environnement sur toute la chaîne. Les deux dispositifs partagent une brique commune : l'évaluation des tiers. Une cartographie unifiée peut servir les deux obligations.
La cartographie doit-elle couvrir tous mes fournisseurs ?
L'approche attendue est fondée sur les risques, pas exhaustive à l'identique. Vous devez identifier, analyser et hiérarchiser les risques, puis concentrer vos efforts d'évaluation et d'atténuation sur les tiers les plus critiques (par pays, secteur, profil). Une vigilance proportionnée et documentée vaut mieux qu'un contrôle uniforme et superficiel.
Les seuils et le calendrier de la CS3D sont-ils définitifs ?
Non. La directive a été adoptée mais sa transposition en droit français et certains de ses paramètres (seuils, calendrier d'application progressive) ont fait l'objet de discussions au niveau européen, notamment dans une logique de simplification. Avant de figer votre dispositif, vérifiez la version consolidée des textes et le droit national de transposition. C'est une obligation de prudence élémentaire.
Comment outiller concrètement l'évaluation des tiers ?
En automatisant la collecte d'information sur chaque tiers : existence légale, sanctions, PEP, procédures collectives, presse défavorable, et registres étrangers le cas échéant. C'est précisément ce que fait une solution de due diligence à la demande, qui alimente votre cartographie avec des données traçables et défendables. Voyez notre guide complet KYC et due diligence fournisseur pour le cadre opérationnel.
Conclusion
Le devoir de vigilance fournisseurs transforme la fonction achats en première ligne de la conformité. Entre la loi française de 2017 et la directive CS3D, l'exigence est claire : connaître ses tiers, cartographier les risques, formaliser un plan et en prouver l'effectivité. Pour les grands comptes et les ETI dont la chaîne d'approvisionnement s'étend au Maroc et au-delà, l'enjeu est aussi de mobiliser les bonnes sources, pays par pays, sans se contenter des listes occidentales.
RiskSonnar accompagne la cartographie de vos tiers : vérification d'un fournisseur ou d'un dirigeant en 60 secondes, sur 25 sources croisées en France et au Maroc, avec un rapport défendable. C'est une aide à la décision et à la documentation de votre diligence, jamais un verdict automatique. Découvrir la couverture Maroc → ou consulter notre méthodologie →