Recourir à un sous-traitant ne dilue pas votre responsabilité : en droit français, le donneur d'ordre reste exposé, financièrement et pénalement, aux manquements de ceux qu'il fait travailler. Attestation de vigilance URSSAF, solidarité financière en cas de travail dissimulé, obligations renforcées dans le BTP, articulation avec la loi Sapin II et le devoir de vigilance de 2017 : la connaissance de votre sous-traitant (le KYC, ou plus exactement le KYB — Know Your Business) n'est plus une simple bonne pratique achats, c'est une obligation légale assortie de sanctions concrètes. Ce guide fait le point sur ce que vous devez collecter, vérifier et conserver, et sur les articles de loi qui vous y obligent.
Pourquoi le donneur d'ordre est responsable de son sous-traitant
La logique française repose sur une idée simple : celui qui bénéficie économiquement d'une prestation ne peut pas fermer les yeux sur la manière dont elle est exécutée. Plusieurs régimes distincts se superposent, et il est essentiel de ne pas les confondre, car ils n'ont ni le même seuil de déclenchement, ni les mêmes documents, ni les mêmes sanctions.
- L'obligation de vigilance URSSAF (articles L.8222-1 et suivants du Code du travail) : elle vise la lutte contre le travail dissimulé et concerne tout contrat d'un montant au moins égal à 5 000 € HT.
- La solidarité financière : si votre sous-traitant est verbalisé pour travail dissimulé et que vous n'avez pas respecté votre obligation de vigilance, vous pouvez être tenu solidairement au paiement des cotisations, impôts et pénalités éludés.
- Le devoir de vigilance de la loi de 2017 (article L.225-102-4 du Code de commerce) : il impose aux très grandes entreprises un plan de vigilance couvrant leurs sous-traitants et fournisseurs, sur les droits humains et l'environnement.
- La loi Sapin II (2016) : elle exige une évaluation anticorruption des tiers, dont les sous-traitants, pour les entreprises assujetties.
Ces régimes ne s'excluent pas. Une même relation de sous-traitance peut relever à la fois de la vigilance URSSAF, de Sapin II et, pour les groupes les plus grands, du plan de vigilance de 2017.
L'attestation de vigilance URSSAF : le socle obligatoire
C'est l'obligation la plus concrète et la plus fréquemment sanctionnée. Dès qu'un contrat atteint 5 000 € HT (le seuil peut être atteint par la globalisation de plusieurs commandes avec un même prestataire), le donneur d'ordre doit se faire remettre, à la conclusion du contrat puis tous les six mois jusqu'à son terme, une attestation de vigilance délivrée par l'URSSAF.
Cette attestation certifie que le sous-traitant a déclaré ses salariés et est à jour de ses cotisations sociales (ou bénéficie d'un plan d'apurement). Point crucial de méthode : ne vous contentez pas de recevoir le document, vérifiez son authenticité. L'URSSAF met à disposition un service en ligne permettant de contrôler la validité d'une attestation à partir d'un code de sécurité qui y figure. Une attestation falsifiée qui n'aurait pas été authentifiée ne vous protège pas.
Ce que l'attestation ne couvre pas
L'attestation de vigilance atteste de la situation sociale à un instant donné. Elle ne dit rien de la santé financière du sous-traitant, de l'identité réelle de ses dirigeants, de son bénéficiaire effectif, ni d'une éventuelle procédure collective en cours. Un KYB sérieux dépasse donc largement la simple collecte de ce document. Pour vérifier l'existence légale et l'immatriculation d'un prestataire, commencez par confronter les informations déclarées au registre officiel via son SIREN — vous pouvez vérifier un SIREN en quelques secondes pour confirmer que l'entité existe, est active et correspond bien à ce que le contrat annonce.
La solidarité financière : le vrai risque chiffré
La sanction la plus redoutée n'est pas une amende forfaitaire, mais la solidarité financière. Si l'URSSAF ou l'administration fiscale établit que votre sous-traitant a eu recours au travail dissimulé, et que vous n'apportez pas la preuve d'avoir accompli vos vérifications, vous pouvez être tenu de payer, à sa place et à proportion de la valeur des travaux réalisés, les cotisations sociales, les rémunérations, ainsi que les impôts et pénalités correspondants.
Autrement dit, un défaut de vigilance de quelques minutes peut se transformer en une dette de plusieurs dizaines de milliers d'euros pour des faits commis par un tiers. La seule défense efficace consiste à documenter et conserver la preuve que vous avez bien réclamé et authentifié les attestations aux échéances requises. Cette logique de traçabilité rejoint celle d'un process d'onboarding fournisseur structuré, où chaque pièce collectée est horodatée et archivée.
Le cas particulier du BTP et de la carte BTP
Le bâtiment et les travaux publics concentrent l'essentiel du contentieux, en raison des chaînes de sous-traitance longues et de la forte proportion de main-d'œuvre. Aux obligations générales s'ajoutent des exigences spécifiques :
- La carte d'identification professionnelle BTP pour chaque salarié intervenant sur le chantier, y compris ceux des sous-traitants et des entreprises de travail temporaire ;
- La déclaration de sous-traitance et l'agrément des sous-traitants par le maître d'ouvrage, prévus par la loi de 1975 sur la sous-traitance ;
- La vigilance en cascade : chaque niveau de la chaîne (donneur d'ordre, entreprise principale, sous-traitant de rang 1, de rang 2…) porte ses propres obligations à l'égard de celui qu'il fait travailler.
Cette cascade est le point faible classique : un donneur d'ordre vigilant vis-à-vis de son entreprise principale peut rester exposé si le sous-traitant de rang 2 pratique le travail dissimulé. Nous détaillons cette mécanique et les documents à exiger à chaque étage dans notre guide dédié à la vérification d'un sous-traitant BTP et au devoir de vigilance URSSAF.
Tableau : obligations, documents et fréquence de collecte
| Régime / objectif | Document à collecter | Seuil / champ | Fréquence |
|---|---|---|---|
| Vigilance travail dissimulé | Attestation de vigilance URSSAF (à authentifier) | Contrat ≥ 5 000 € HT | Signature + tous les 6 mois |
| Existence légale / immatriculation | Extrait Kbis ou avis de situation SIRENE | Tout sous-traitant | À l'entrée, puis suivi |
| Régularité fiscale | Attestation de régularité fiscale | Marchés publics et grands contrats | À l'entrée / annuelle |
| Travailleurs étrangers | Liste nominative + autorisations de travail | Emploi de salariés étrangers | Signature + tous les 6 mois |
| BTP | Cartes BTP des salariés, déclaration de sous-traitance | Chantiers de bâtiment / TP | Avant intervention |
| Anticorruption (Sapin II) | Questionnaire d'intégrité, bénéficiaire effectif, screening | Entités assujetties | À l'entrée, révision par les risques |
| Devoir de vigilance 2017 | Évaluation droits humains / environnement | Très grandes entreprises | Plan annuel |
Sapin II et devoir de vigilance : la couche anticorruption et droits humains
Au-delà du volet social, deux textes structurent l'évaluation des sous-traitants comme tiers à part entière. La loi Sapin II impose aux entreprises assujetties (au-delà de certains seuils d'effectif et de chiffre d'affaires) de mettre en place une procédure d'évaluation de l'intégrité de leurs tiers, dont les sous-traitants. Cette évaluation, proportionnée au risque, suppose d'identifier le bénéficiaire effectif, de rechercher d'éventuelles condamnations ou une exposition politique, et de conserver la trace de l'analyse. Notre guide d'évaluation des tiers au titre de Sapin II détaille la construction d'une cartographie et d'une grille de scoring.
Le devoir de vigilance issu de la loi de 2017, désormais en articulation avec la directive européenne CS3D, va plus loin pour les plus grands groupes : il impose un plan de vigilance couvrant l'ensemble de la chaîne de valeur, sous-traitants et fournisseurs inclus, sur les atteintes graves aux droits humains, à la santé, à la sécurité et à l'environnement. Là encore, la logique est celle d'une vigilance documentée et proportionnée au risque, exposée dans notre analyse du devoir de vigilance et de la CS3D appliqués aux tiers.
Une approche par les risques, pas une checklist aveugle
Toutes ces obligations partagent un principe commun : la proportionnalité. Un prestataire ponctuel de faible montant, situé en France, avec une structure transparente, ne justifie pas le même niveau de diligence qu'un sous-traitant récurrent, stratégique, contrôlé depuis l'étranger ou opérant dans un secteur à risque. Segmenter vos sous-traitants par niveau de risque permet de concentrer l'effort là où il compte, sans paralyser les achats. Cette méthode de hiérarchisation est au cœur d'un dispositif KYC de due diligence adapté aux PME.
Construire un dispositif KYB sous-traitant opérationnel
Un dispositif crédible ne se résume pas à un classeur d'attestations. Il repose sur quatre piliers :
- Collecte à l'entrée (onboarding) : identité juridique, immatriculation, dirigeants, bénéficiaire effectif, attestations sociales et fiscales, assurances. On confronte systématiquement les informations déclarées aux registres officiels.
- Analyse et scoring : recherche de procédures collectives, de dirigeants frappés d'une interdiction de gérer, de presse défavorable, d'une exposition aux sanctions. On formule un niveau de risque, pas un simple « oui/non ».
- Suivi dans le temps (monitoring) : renouvellement des attestations aux échéances légales et re-vérification périodique. Une situation saine à la signature peut se dégrader en cours de contrat.
- Traçabilité : chaque pièce et chaque contrôle sont horodatés et archivés, car c'est cette documentation qui vous protège en cas de contrôle URSSAF ou de mise en cause au titre de la solidarité financière.
C'est précisément la logique qu'automatise une solution comme RiskSonnar : rassembler en une analyse les registres officiels, les signaux de risque et l'historique documenté, pour transformer une obligation défensive en process fluide.
Questions fréquentes
À partir de quel montant dois-je réclamer une attestation de vigilance URSSAF ?
Dès que le contrat conclu avec un sous-traitant atteint 5 000 € HT. Ce seuil peut être atteint par cumul de plusieurs commandes passées avec le même prestataire. L'attestation doit être obtenue à la conclusion du contrat, puis renouvelée tous les six mois jusqu'à son terme, et son authenticité vérifiée auprès de l'URSSAF.
Que risque concrètement un donneur d'ordre négligent ?
Au titre de la solidarité financière, si le sous-traitant est verbalisé pour travail dissimulé, le donneur d'ordre qui n'a pas rempli son obligation de vigilance peut être tenu de payer, à proportion des travaux, les cotisations sociales, rémunérations, impôts et pénalités éludés par ce tiers. S'y ajoutent des risques pénaux et de réputation. La preuve documentée des vérifications est la principale défense.
L'attestation de vigilance suffit-elle à couvrir mon obligation de KYC ?
Non. Elle couvre uniquement le volet social (déclaration des salariés, paiement des cotisations) à un instant donné. Elle ne renseigne ni la solvabilité, ni le bénéficiaire effectif, ni une éventuelle procédure collective, ni une exposition aux sanctions ou à la corruption. Un KYB complet combine registres officiels, analyse financière et screening.
Le KYC sous-traitant s'applique-t-il aussi aux petites entreprises ?
L'obligation de vigilance URSSAF s'applique quel que soit la taille du donneur d'ordre, dès lors que le seuil de 5 000 € HT est atteint. En revanche, les dispositifs Sapin II et le plan de vigilance de la loi de 2017 ne visent que les entreprises dépassant certains seuils. Une PME peut donc être pleinement concernée par l'URSSAF sans l'être par Sapin II.
Comment gérer la sous-traitance en cascade ?
Chaque niveau de la chaîne porte ses propres obligations envers celui qu'il fait travailler. Le donneur d'ordre doit exiger la déclaration des sous-traitants de rang inférieur (agrément par le maître d'ouvrage dans le BTP) et rester attentif au fait qu'un manquement à un étage éloigné peut l'exposer. Une cartographie de la chaîne complète est indispensable pour les chantiers et prestations complexes.
Conclusion
Le KYC — ou KYB — d'un sous-traitant n'est pas une formalité administrative : c'est le mécanisme qui protège le donneur d'ordre d'une responsabilité solidaire coûteuse, d'un contrôle URSSAF défavorable et, pour les plus grandes structures, d'un manquement à Sapin II ou au devoir de vigilance. La bonne pratique tient en trois mots : collecter, vérifier, tracer, en calibrant l'effort sur le risque réel de chaque relation.
Pour automatiser la vérification de vos sous-traitants — existence légale, dirigeants, signaux de risque et historique documenté — RiskSonnar réunit les registres officiels et l'analyse en une recommandation claire, à conserver dans votre dossier de vigilance.