La due diligence ESG fournisseur n'est plus une démarche volontaire réservée aux grands groupes : sous l'effet du devoir de vigilance français et des textes européens (CSRD, directive CS3D), évaluer les risques environnementaux, sociaux et de gouvernance d'un tiers devient une obligation structurante de la fonction achats. Pour un DAF, un acheteur ou un responsable conformité, il s'agit désormais d'intégrer ces critères au même titre que la solvabilité ou la conformité LCB-FT. Cet article fait le point, de manière factuelle, sur le cadre réglementaire et la méthode d'une vigilance raisonnable.
Qu'est-ce que la due diligence ESG d'un fournisseur ?
La due diligence ESG consiste à identifier, évaluer et prévenir les risques qu'un fournisseur ou un sous-traitant fait peser sur trois dimensions : l'environnement (E), le social (S) et la gouvernance (G). Elle prolonge la due diligence financière et de conformité classique en y ajoutant une lecture extra-financière de la chaîne de valeur.
Concrètement, il ne s'agit pas seulement de demander à un fournisseur s'il dispose d'une « politique RSE ». La démarche vise à apprécier des risques réels et matériels : un sous-traitant dont l'activité génère des rejets polluants, un fournisseur recourant à de la main-d'œuvre dans des conditions contestables, ou une contrepartie dont la structure de gouvernance masque des conflits d'intérêts. L'ESG rejoint ici les préoccupations habituelles de l'acheteur, car un manquement social ou environnemental se traduit souvent par un risque juridique, réputationnel et financier pour le donneur d'ordre.
Les trois piliers ESG appliqués à un tiers
- Environnement (E) : empreinte carbone, gestion des déchets, consommation d'eau et d'énergie, conformité aux autorisations d'exploitation (en France, réglementation ICPE pour les installations classées), exposition à des activités sensibles (extraction, chimie, textile).
- Social (S) : conditions de travail, santé-sécurité, respect des droits fondamentaux, absence de travail forcé ou de travail des enfants, liberté syndicale, traitement des salariés sur l'ensemble des sites de production.
- Gouvernance (G) : transparence de l'actionnariat et des bénéficiaires effectifs, dispositif anticorruption, éthique des affaires, indépendance des organes de direction, qualité du reporting.
Ces trois axes se recoupent avec d'autres contrôles déjà familiers. L'identification de l'actionnariat réel, par exemple, relève autant de la gouvernance ESG que de la conformité : nous l'abordons en détail dans notre guide sur l'identification du bénéficiaire effectif en France et au Maroc.
Le cadre réglementaire : devoir de vigilance, CSRD et CS3D
Trois corpus juridiques structurent aujourd'hui l'obligation de vigilance sur les fournisseurs. Ils ont des champs d'application et des logiques distincts, qu'il est essentiel de ne pas confondre.
La loi française sur le devoir de vigilance (2017)
La loi du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre impose à certaines grandes entreprises d'établir, de publier et de mettre en œuvre un plan de vigilance. Ce plan doit identifier les risques d'atteintes graves aux droits humains, aux libertés fondamentales, à la santé, à la sécurité et à l'environnement résultant des activités de la société, mais aussi de celles de ses filiales, sous-traitants et fournisseurs avec lesquels elle entretient une relation commerciale établie.
L'obligation vise les sociétés employant, à la clôture de deux exercices consécutifs, au moins 5 000 salariés en incluant leurs filiales (siège en France) ou au moins 10 000 salariés (siège à l'étranger). Mais son effet de ruissellement est large : une PME fournisseur d'un grand groupe assujetti se voit régulièrement demander des engagements et des justificatifs ESG dans le cadre du plan de vigilance de son client. Le sujet dépasse donc le seul périmètre des entreprises directement concernées. Nous détaillons les contours de ce texte dans notre article dédié au devoir de vigilance et à l'évaluation des tiers.
La CSRD : transparence extra-financière
La Corporate Sustainability Reporting Directive (CSRD), directive européenne 2022/2464, refond et élargit considérablement les obligations de reporting de durabilité. Transposée en droit français fin 2023, elle impose aux entreprises concernées de publier des informations détaillées sur leurs impacts environnementaux, sociaux et de gouvernance, selon des standards harmonisés (les ESRS, European Sustainability Reporting Standards).
La CSRD introduit le principe de double matérialité : l'entreprise doit rendre compte à la fois de l'impact des enjeux de durabilité sur sa performance financière (matérialité financière) et de l'impact de ses activités sur l'environnement et la société (matérialité d'impact). Le reporting CSRD couvre explicitement la chaîne de valeur, en amont comme en aval. Autrement dit, une entreprise assujettie doit collecter des données ESG auprès de ses fournisseurs pour alimenter sa déclaration. Là encore, l'effet de cascade transmet l'exigence aux PME du réseau d'approvisionnement.
À noter : le calendrier d'application de la CSRD a fait l'objet d'ajustements au niveau européen, avec des reports de certaines échéances dans le cadre du paquet de simplification dit « Omnibus ». Le périmètre exact des entreprises concernées et les dates d'entrée en vigueur évoluent ; il convient de vérifier l'état du droit applicable à votre situation.
La CS3D : un devoir de vigilance à l'échelle européenne
La directive sur le devoir de vigilance des entreprises en matière de durabilité (CSDDD ou CS3D), adoptée en 2024, étend une logique proche de la loi française de 2017 à l'ensemble de l'Union européenne. Elle impose aux entreprises concernées d'identifier, prévenir, atténuer et, le cas échéant, réparer les atteintes aux droits humains et à l'environnement dans leurs propres opérations et dans leur « chaîne d'activités » (chain of activities).
La CS3D consacre la notion de vigilance raisonnable (due diligence raisonnable) : l'entreprise n'a pas une obligation de résultat absolue, mais une obligation de moyens proportionnée à sa taille, à ses ressources et à la gravité des risques. Comme pour la CSRD, le calendrier et le périmètre de la CS3D ont été affectés par les discussions de simplification européennes en 2025 ; les seuils et l'échéancier doivent être vérifiés à la lumière des textes en vigueur. Le principe directeur, lui, est stable : démontrer une démarche structurée et documentée d'évaluation des tiers.
Identifier les risques ESG d'un fournisseur
Une due diligence ESG efficace repose sur une cartographie des risques proportionnée. Tous les fournisseurs n'appellent pas le même niveau de vigilance : un cabinet de conseil n'expose pas aux mêmes risques sociaux et environnementaux qu'un atelier de confection ou qu'un négociant de matières premières.
Risques sociaux et droits humains
Le travail forcé constitue le risque social le plus surveillé, car il engage directement la responsabilité morale et juridique du donneur d'ordre. Les signaux d'alerte incluent : recours intensif à de la main-d'œuvre intérimaire ou migrante sans traçabilité, sites de production dans des zones où les droits du travail sont peu protégés, opacité sur les sous-traitants de rang 2 et 3, ou refus de l'accès aux sites d'audit. À cela s'ajoutent le travail des enfants, les conditions de santé-sécurité défaillantes et les atteintes à la liberté d'association.
Au-delà du fournisseur direct, c'est la chaîne d'approvisionnement profonde qui pose difficulté : le risque social se loge souvent loin du rang 1, chez des sous-traitants peu visibles. La cartographie doit donc chercher à remonter au-delà du contractant immédiat lorsque le secteur l'exige.
Risques environnementaux
Les principaux risques environnementaux concernent la pollution (rejets atmosphériques, déversements, contamination des sols et des eaux), la gestion des déchets dangereux, la consommation de ressources et la non-conformité aux autorisations administratives. Un fournisseur sanctionné pour une infraction environnementale, ou exploitant une installation sans les autorisations requises, fait peser un risque de continuité d'activité et de réputation sur ses clients.
Risques de gouvernance
La gouvernance recouvre la transparence de la structure capitalistique, la qualité du dispositif anticorruption et l'éthique des affaires. Une chaîne de détention opaque, des montages impliquant des juridictions peu coopératives ou une absence totale de dispositif de conformité sont des signaux d'alerte. Ces vérifications recoupent l'évaluation anticorruption exigée par la loi Sapin 2, que nous traitons dans notre guide sur l'évaluation des tiers au titre de Sapin 2.
Mettre en place une démarche de vigilance raisonnable
La vigilance raisonnable se construit en plusieurs étapes, intégrées au processus achats plutôt que traitées comme une formalité isolée.
- Cartographier et hiérarchiser les risques par fournisseur, en croisant le secteur d'activité, la zone géographique et la nature de la prestation. Cette priorisation permet de concentrer les efforts sur les tiers les plus exposés.
- Collecter et vérifier l'information dès l'entrée en relation : questionnaires ESG, certifications, attestations, mais aussi données objectives issues de sources publiques (registres, sanctions, presse). Cette étape s'inscrit dans un processus d'onboarding fournisseur structuré.
- Contractualiser les engagements : clauses ESG, droit d'audit, code de conduite fournisseur, obligations de transparence sur les sous-traitants.
- Assurer un suivi dans la durée, car le risque ESG évolue. Une vérification ponctuelle à l'entrée en relation ne suffit pas : nous expliquons l'intérêt d'un monitoring continu des tiers par rapport à une vérification ponctuelle.
- Documenter la démarche, car en matière de devoir de vigilance, la capacité à prouver les diligences accomplies est aussi importante que les diligences elles-mêmes.
Le cas du corridor France-Maroc
Pour les entreprises qui sourcent au Maroc, la due diligence ESG s'articule avec les vérifications de conformité locales. Le Maroc dispose de registres officiels permettant d'identifier et de qualifier un fournisseur, l'OMPIC tenant le registre central du commerce et des marques. La dimension sociale et environnementale s'apprécie ensuite au regard du secteur (textile, agroalimentaire, transformation) et des conditions de production. Une évaluation rigoureuse du tiers marocain combine donc vérification d'existence légale, identification des dirigeants et des bénéficiaires effectifs, et appréciation des risques ESG sectoriels. Nous détaillons cette approche dans notre guide pour évaluer le risque d'un fournisseur entre le Maroc et la France.
L'enjeu, dans un corridor transfrontalier, est de ne pas appliquer mécaniquement une grille pensée pour le marché domestique : les sources de données, les registres et les référentiels diffèrent, et une vigilance crédible suppose de mobiliser les bons organismes officiels de chaque pays.
ESG et conformité : deux démarches qui convergent
La due diligence ESG ne remplace pas la due diligence de conformité classique (LCB-FT, sanctions, KYC/KYB) : elle s'y ajoute et la complète. Dans la pratique, les deux démarches partagent une grande partie de leur socle. Identifier un bénéficiaire effectif, screener des dirigeants, vérifier l'existence légale d'une entité, consulter les listes de sanctions : ces contrôles servent à la fois la conformité financière et la dimension « gouvernance » de l'ESG.
L'intérêt, pour une PME, est donc de mutualiser ces vérifications dans un processus unique d'évaluation des tiers, plutôt que de juxtaposer des audits redondants. Une plateforme de due diligence permet de centraliser l'identification de l'entité, l'analyse de sa structure de détention, le screening sanctions et l'appréciation des signaux de risque, en restituant une vue consolidée exploitable par les achats comme par la conformité. L'objectif n'est pas de produire un « score ESG » magique, mais d'outiller une vigilance raisonnable, proportionnée et documentée.
Questions fréquentes
Ma PME est-elle directement soumise à la CSRD ou à la CS3D ?
La plupart des PME ne sont pas directement assujetties, ces textes visant des entreprises au-delà de certains seuils de taille et de chiffre d'affaires. En revanche, l'effet de cascade est réel : si vous fournissez un grand groupe concerné, celui-ci vous transmettra ses exigences ESG (questionnaires, clauses, justificatifs) pour alimenter son propre reporting et son plan de vigilance. Le périmètre et le calendrier exacts évoluant, il convient de vérifier l'état du droit applicable à votre situation.
Quelle différence entre la CSRD et la CS3D ?
La CSRD est une directive de transparence : elle impose de publier des informations de durabilité selon des standards harmonisés. La CS3D est une directive de vigilance : elle impose d'identifier, prévenir et atténuer les atteintes aux droits humains et à l'environnement dans la chaîne d'activités. L'une fait reporter, l'autre fait agir. Elles sont complémentaires et partagent une logique de couverture de la chaîne de valeur.
Comment évaluer le risque de travail forcé chez un fournisseur ?
Il faut croiser plusieurs sources : la zone géographique et le secteur (certaines combinaisons présentent un risque structurel plus élevé), la transparence du fournisseur sur ses propres sous-traitants de rang 2 et 3, l'existence d'audits sociaux indépendants, et l'acceptation de clauses contractuelles ouvrant un droit d'audit. Une opacité marquée sur la chaîne d'approvisionnement profonde et un refus d'accès aux sites sont des signaux d'alerte à documenter.
La due diligence ESG remplace-t-elle les vérifications KYC/KYB ?
Non. Elle les complète. Les vérifications KYC/KYB (identité de l'entité, dirigeants, bénéficiaires effectifs, sanctions) restent indispensables et constituent même le socle de la dimension « gouvernance » de l'ESG. L'approche la plus efficace consiste à intégrer les contrôles ESG et de conformité dans un processus unique d'évaluation des tiers, afin d'éviter les audits redondants et de produire une vue consolidée du risque.