Devoir de vigilance CS3D : ce qui change pour vos fournisseurs
La loi française de 2017 et la directive CS3D imposent de cartographier les risques de toute la chaîne de fournisseurs. Ce qu'un plan de vigilance exige de la supply chain, et pourquoi une ETI sous les seuils le subit quand même.
L'essentiel
La loi française de 2017 et la directive CS3D imposent de cartographier les risques de toute la chaîne de fournisseurs. Ce qu'un plan de vigilance exige de la supply chain, et pourquoi une ETI sous les seuils le subit quand même.
Deux textes, une même logique : la loi de 2017 et la directive CS3D
La France a une longueur d'avance sur ce sujet, avec la loi du 27 mars 2017 sur le devoir de vigilance. Elle oblige les sociétés de plus de 5 000 salariés en France, ou 10 000 dans le monde, à établir, publier et mettre en œuvre un plan de vigilance couvrant leurs filiales, sous-traitants et fournisseurs. La directive européenne CS3D reprend cette logique à l'échelle de l'Union, et elle a été profondément remaniée par le paquet omnibus adopté en mars 2026. Le seuil d'entrée est passé à plus de 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires, et les trois vagues d'application ont été fondues en une seule date, en principe le 26 juillet 2029, avec une transposition attendue en 2028. La revue du dispositif devient quinquennale et le plafond des amendes a été ramené à 3 % du chiffre d'affaires mondial. Je formule ces éléments avec prudence parce que le texte a été réécrit deux fois depuis son adoption initiale et que la transposition française pourra durcir certains points. Ce qui est stable, c'est le cœur : une grande entreprise doit identifier les atteintes aux droits humains et à l'environnement dans sa chaîne d'activités, les prévenir, et rendre des comptes.
Ce que contient un plan de vigilance vu de la supply chain
Le plan de vigilance français tient en cinq briques, et la directive européenne les retrouve presque à l'identique. Ce sont une cartographie des risques, des procédures d'évaluation régulière des filiales, sous-traitants et fournisseurs, des actions d'atténuation ou de prévention, un mécanisme d'alerte, et un dispositif de suivi qui mesure l'efficacité de l'ensemble. Il faut bien voir en quoi cette cartographie diffère de celle que la supply chain a l'habitude de faire. Le scoring fournisseur classique mesure le risque que le fournisseur vous fasse défaut, sa fragilité financière, sa dépendance, son mono-site ; le devoir de vigilance mesure le risque que votre fournisseur cause un dommage à des tiers, travail forcé, accident industriel, pollution, et vous demande de l'avoir vu venir. Les axes changent donc : pays d'origine, secteur d'activité, matière première, niveau de sous-traitance, présence de main-d'œuvre migrante ou saisonnière. Un fournisseur solide financièrement peut être rouge vif sur cette carte, et inversement, ce qui oblige à tenir deux cartographies qui ne se superposent pas.
L'effet cascade : pourquoi une ETI sous les seuils est quand même concernée
Aucune ETI de 400 personnes n'est soumise à la CS3D, et pourtant la plupart de celles que je rencontre ont déjà signé un code de conduite fournisseur, rempli un questionnaire de vigilance et accepté une clause d'audit dans leurs contrats cadres. La raison est mécanique : la directive, après l'omnibus, concentre l'obligation des grands groupes sur leurs partenaires directs, avec un devoir d'aller plus loin dans la chaîne seulement en présence d'informations plausibles d'un dommage. Et c'est ce qui fait de vous, fournisseur de rang un, le point d'application de toute la pression. Le donneur d'ordre a besoin de prouver qu'il a évalué ses fournisseurs directs, et la façon la moins coûteuse pour lui est de vous demander de cartographier vos propres fournisseurs et de lui remonter le résultat. L'obligation descend ainsi la chaîne par contrat, sans jamais passer par la loi, et une ETI agroalimentaire qui fournit deux enseignes et un industriel coté se retrouve à documenter ses coopératives et ses transporteurs comme si elle était elle-même dans le périmètre. Refuser est possible, mais refuser coûte un référencement.
Cartographier une chaîne qu'on ne voit pas au-delà du rang un
Le vrai problème pratique commence au rang deux. Une ETI connaît ses fournisseurs directs, elle ignore souvent où ils s'approvisionnent, et c'est précisément là que se logent les risques que le texte vise. La méthode soutenable consiste à renoncer à tout cartographier et à croiser trois axes pour désigner les quelques chaînes à ouvrir. Ces axes sont le volume d'achat, le risque du pays d'origine de la matière selon les indices publics, et la sensibilité intrinsèque de la matière ou du procédé, cacao, textile, minerais, sous-traitance de main-d'œuvre. Sur les dix ou quinze chaînes qui ressortent, on demande au fournisseur direct de nommer ses propres sources, on documente, on garde la trace. Le coût est là aussi en heures et en relation commerciale, parce qu'un fournisseur n'aime pas dévoiler son amont, et il faut souvent une clause contractuelle pour l'obtenir. Ce travail a un mérite collatéral que la réglementation n'avait pas prévu : il révèle des dépendances de rang deux, une même usine derrière trois fournisseurs, que la supply chain aurait dû connaître pour ses propres raisons.
Ce que change le devoir de vigilance dans le sourcing d'une ETI
Le sourcing intègre une variable de plus, et elle pèse sur des choix que la supply chain croyait avoir tranchés. Le fournisseur le moins cher dans un pays à risque élevé devient un fournisseur à documenter, auditer et justifier, et cette charge doit entrer dans son coût complet au même titre que le transport et les droits de douane. La concentration sur une seule source, déjà discutable pour la continuité, devient plus difficile à défendre quand cette source est aussi un risque de vigilance. La qualification d'un nouveau fournisseur s'allonge, parce qu'il faut évaluer avant de contracter et non après. Mon avis est que ce surcoût est réel mais qu'il est en grande partie le prix d'une connaissance que l'ETI aurait dû avoir de toute façon. Savoir d'où viennent ses matières et qui les produit relève de la base de toute gestion sérieuse des ruptures, bien avant d'être un luxe réglementaire. La réglementation a seulement rendu obligatoire ce que les meilleures supply chains faisaient déjà.
Le texte impose de savoir, il ne dit pas quoi décider
Vient toujours le jour où la cartographie fonctionne et où un audit révèle un problème réel chez un fournisseur critique, mono-source, avec un outillage spécifique et six mois de requalification devant toute alternative. Les textes demandent alors des mesures appropriées, et ils précisent que la rupture de la relation est le dernier recours, après l'échec des efforts de remédiation. Mais aucun texte ne dit combien de temps accorder à la remédiation, quel stock constituer pendant ce temps, quelle seconde source lancer et à quel coût, ni ce qu'on répond au client qui menace de déréférencer. C'est là que la vigilance cesse d'être un sujet de conformité pour devenir un sujet de décision, avec des options à chiffrer en euros de marge et de risque, un arbitrage à assumer, et une trace écrite de ce qui a été décidé et pourquoi. D'après ce que nous mesurons chez les industriels, un imprévu mal absorbé se paie entre 4 et 12 points de marge par an, et un fournisseur qu'il faut remplacer en urgence pour une raison de vigilance en fait partie au même titre qu'une faillite. Le plan de vigilance réduit la surprise ; la qualité de la décision le jour où l'alerte tombe fait le reste.
Cet article part d'une conviction : la prévision parfaite n'existe pas, ce qui compte c'est la décision d'après.
- Deux textes, une même logique : la loi de 2017 et la directive CS3D
- Ce que contient un plan de vigilance vu de la supply chain
- L'effet cascade : pourquoi une ETI sous les seuils est quand même concernée
- Cartographier une chaîne qu'on ne voit pas au-delà du rang un
- Ce que change le devoir de vigilance dans le sourcing d'une ETI
- Le texte impose de savoir, il ne dit pas quoi décider
Clevizio
Clevizio est la couche de décision qui se branche sur vos outils existants : elle détecte l'imprévu, simule vos options et garde la mémoire de chaque arbitrage. Découvrir comment fonctionne le copilote de décision.
Mansour Niang
CEO & cofondateur de Clevizio
Une question sur vos imprévus ? Réservez 30 minutes avec moi pour estimer ce qu'ils vous coûtent vraiment, sans engagement.
Questions fréquentes
Qu'est-ce que la directive CS3D ?
La CS3D est la directive européenne sur le devoir de vigilance des entreprises en matière de durabilité, applicable aux très grandes entreprises. Elle les oblige à identifier, prévenir et corriger les atteintes aux droits humains et à l'environnement dans leur chaîne d'activités. Après la directive omnibus de 2026, elle vise les entreprises de plus de 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires, avec une application prévue en 2029, sous réserve de la transposition.
Quelles entreprises sont soumises au devoir de vigilance en France ?
La loi du 27 mars 2017 s'applique aux sociétés de plus de 5 000 salariés en France ou 10 000 dans le monde. Elles doivent publier un plan de vigilance. Les ETI ne sont pas soumises directement, mais elles reçoivent par contrat les exigences de leurs donneurs d'ordre : questionnaires, codes de conduite, clauses d'audit.
Comment faire une cartographie des risques fournisseurs pour le devoir de vigilance ?
En croisant le volume d'achat, le risque du pays d'origine et la sensibilité de la matière ou du procédé. Ce croisement désigne les quelques chaînes à ouvrir jusqu'au rang deux. Cette carte diffère du scoring de défaillance fournisseur : elle mesure le risque de dommage à des tiers, pas le risque de rupture pour vous. Les deux cartes se tiennent séparément.
À lire aussi
Mettez enfin un chiffre sur ce que vos imprévus vous coûtent chaque année.
Commençons par estimer ce que vos imprévus vous coûtent réellement. C'est gratuit, ça prend 30 minutes, et vous repartez avec un chiffre que personne dans votre entreprise ne connaît aujourd'hui.