Devoir de vigilance : c'est quoi (et pourquoi on le confond avec l'obligation de vigilance)

Le devoir de vigilance est l'une des notions juridiques les plus mal comprises en entreprise B2B. Tout le monde en parle, peu savent précisément de quoi il s'agit, et nombreux sont ceux qui le confondent avec l'obligation de vigilance (un autre régime juridique distinct). Pourtant, la distinction est cruciale : l'un concerne 270 grandes entreprises avec des enjeux droits humains et environnement, l'autre concerne toutes les entreprises B2B dès 5 000 € HT de contrat avec un focus anti-travail dissimulé. Ajoutez la directive européenne CSDDD adoptée en 2024 et qui sera transposée d'ici juillet 2026, et vous comprenez pourquoi le sujet est incontournable. Voici le guide pédagogique 2026.

La distinction à connaître absolument : devoir vs obligation de vigilance

C'est le point de départ. Deux régimes juridiques distincts mais souvent confondus.

Pourquoi la confusion existe

La langue française utilise des mots proches : "obligation" et "devoir" peuvent sembler synonymes. Pourtant en droit, les deux régimes ont :

• Une histoire différente (le Code du travail anti-travail dissimulé est ancien, la loi 2017 est récente)

• Un objectif différent (anti-fraude sociale vs droits humains/environnement)

• Un périmètre différent (toutes entreprises vs très grandes seulement)

• Des outils différents (KYC documentaire vs plan de vigilance complet)

Bien comprendre cette distinction est la première étape de la conformité.

🔍 Pour la dimension opérationnelle de l'obligation de vigilance, voir : Comment vérifier le Kbis de son freelance.

Le devoir de vigilance : la loi française du 27 mars 2017

Origine : le drame du Rana Plaza

Le 24 avril 2013, l'effondrement du Rana Plaza au Bangladesh tue plus de 1 100 ouvriers et ouvrières du textile, fabriquant pour des marques occidentales. Le drame révèle au grand public la responsabilité des donneurs d'ordre dans les conditions de travail de leur chaîne d'approvisionnement.

La France adopte le 27 mars 2017 la loi n° 2017-399, devenant pionnière mondiale sur cette question. Le texte est codifié aux articles L.225-102-4 et L.225-102-5 du Code de commerce.

Les entreprises concernées en France

Sont soumises à la loi :

• Les sociétés employant au moins 5 000 salariés en France (en incluant filiales directes ou indirectes)

• Les sociétés employant au moins 10 000 salariés au monde (siège en France ou à l'étranger)

En 2026, environ 270 entreprises françaises sont directement assujetties. Beaucoup d'entreprises plus petites adoptent volontairement un plan de vigilance, soit par anticipation des évolutions futures, soit pour répondre aux exigences de leurs clients (effet cascade dans les chaînes d'approvisionnement).

Le plan de vigilance : un document public obligatoire

Les entreprises concernées doivent élaborer, publier et mettre en œuvre un plan de vigilance contenant 6 composantes obligatoires :

1. Une cartographie des risques : identification, analyse et hiérarchisation des risques

2. Des procédures d'évaluation régulière des filiales, sous-traitants et fournisseurs

3. Des actions adaptées d'atténuation des risques et de prévention des atteintes graves

4. Un mécanisme d'alerte et de recueil des signalements

5. Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité

6. Un compte rendu annuel de la mise en œuvre effective du plan

Le plan doit être inséré dans le rapport de gestion annuel et publié sur le site internet de l'entreprise, accessible librement à toute partie prenante (ONG, partenaires, public).

Le périmètre : la chaîne de valeur étendue

Le devoir de vigilance ne s'arrête pas aux portes de l'entreprise. Il couvre :

• Les activités propres de la société

• Les filiales contrôlées directement ou indirectement

• Les sous-traitants et fournisseurs avec lesquels une relation commerciale établie existe

La notion de "relation commerciale établie" est cruciale : elle implique une stabilité, régularité, volume d'affaires suffisants pour caractériser une relation pérenne. Elle exclut les achats ponctuels ou de très faible volume.

Les sanctions du devoir de vigilance

Mise en demeure préalable

Toute personne ayant un intérêt à agir (ONG, partenaires sociaux, victimes potentielles, parfois actionnaires) peut mettre en demeure une entreprise qu'elle estime non conforme.

L'entreprise dispose alors de 3 mois pour se conformer.

Action en injonction sous astreinte

À défaut de mise en conformité dans le délai, une action en justice peut être intentée. Le juge peut enjoindre l'entreprise à respecter ses obligations, sous peine d'astreinte financière (qui peut être lourde si l'entreprise traîne).

Action en responsabilité civile

En cas de dommage causé par le manquement au devoir de vigilance, la victime peut intenter une action en responsabilité civile contre l'entreprise. C'est sur ce fondement que se construit progressivement la jurisprudence française (premiers délibérés en 2024-2025 devant la Cour d'appel de Paris).

Cas emblématiques de jurisprudence

Plusieurs procédures judiciaires emblématiques ont été engagées sur le fondement de la loi 2017 :

• TotalEnergies : projet pétrolier EACOP en Ouganda et Tanzanie, déplacement de populations

• Casino : déforestation de l'Amazonie liée à l'élevage de bétail dans sa chaîne d'approvisionnement viande

• BNP Paribas : financement des énergies fossiles et alignement avec l'Accord de Paris

• EDF : projet de parc éolien au Mexique (territoires autochtones)

• Suez : pollution de la rivière Calumet (Chili)

Ces cas servent à construire la doctrine et précisent progressivement la portée du dispositif.

L'obligation de vigilance : Code du travail (à ne pas confondre)

Pour bien comprendre la différence, voyons rapidement l'autre vigilance.

Cadre juridique

• Article L.8222-1 du Code du travail : obligation de vigilance pour tout contrat de prestation

• Article D8222-5 du Code du travail : pièces à collecter (Kbis, attestation URSSAF, liste salariés étrangers)

• Article L.8222-2 : solidarité financière en cas de défaillance

Seuil et périmètre

• Déclenchement : contrat ≥ 5 000 € HT (article D8254-1)

• Toutes entreprises B2B concernées

• Renouvellement des documents tous les 6 mois pour la conformité continue

Objectif

Lutter contre le travail dissimulé et la fraude sociale. C'est une logique d'anti-fraude URSSAF plus que de droits humains.

Sanctions

• Solidarité financière : si le sous-traitant est verbalisé pour travail dissimulé, vous pouvez être tenu de payer ses cotisations

• Annulation des exonérations de cotisations

• Risques pénaux dans les cas graves

🔍 Pour le panorama complet de l'obligation de vigilance opérationnelle, voir : Attestation de vigilance URSSAF : guide complet.

La directive CSDDD : le devoir de vigilance à l'européenne

Adoption et calendrier

La directive (UE) 2024/1760, dite CSDDD (Corporate Sustainability Due Diligence Directive) ou CS3D, a été adoptée par le Parlement européen en avril 2024 et publiée en juillet 2024.

• Transposition par les États membres : au plus tard le 26 juillet 2026

• Entrée en application progressive selon la taille des entreprises

Calendrier d'application

Sont également concernées les entreprises non-européennes dont le CA dans l'UE dépasse ces seuils, ainsi que certaines franchises (redevances > 22,5 M€ et CA mondial > 80 M€).

Différences avec la loi française

La CSDDD va plus loin que la loi 2017 sur plusieurs points :

• Périmètre élargi : entreprises de 1 000+ salariés (vs 5 000+ en France)

• Sanctions financières : amendes prévues jusqu'à 5% du chiffre d'affaires mondial

• Obligations climat : intégration explicite d'un plan de transition climatique

• Mécanismes de plainte harmonisés au niveau européen

• Responsabilité civile : régime harmonisé pour les victimes

Le compromis politique

La directive a fait l'objet d'âpres négociations entre 2021 et 2024, avec plusieurs reculs (notamment sur les seuils, initialement plus bas) sous la pression de certains États membres et lobbies industriels. Le texte final est moins ambitieux que la version initiale, mais reste un cadre européen significatif.

La loi Omnibus de décembre 2025

La loi Omnibus adoptée fin 2025 a introduit des simplifications dans le dispositif global de durabilité européen :

• Recentrage des seuils CSRD à 1 000 salariés et 450 M€ CA

• Allègement de certaines obligations de reporting

• Articulation avec la CSDDD précisée

L'esprit reste de maintenir l'ambition sur les très grandes entreprises tout en allégeant la charge pour les ETI et PME.

🔍 Pour comprendre les enjeux carbone et CSRD/VSME, voir : Empreinte carbone d'un freelance : calcul scope 3.

Quelles entreprises sont concernées en 2026 ?

Récapitulons les seuils par régime juridique.

Obligation de vigilance (Code du travail)

• Toutes entreprises B2B dès 5 000 € HT par contrat

• Pas de seuil de taille

• Concerne en France des centaines de milliers d'entreprises

Devoir de vigilance (loi 2017)

• 5 000+ salariés en France OU 10 000+ salariés au monde

• Environ 270 entreprises françaises directement assujetties

• Adoption volontaire fréquente pour les ETI

CSDDD (directive UE)

• Application progressive 2027-2029 selon taille

• À terme : 1 000+ salariés et 450 M€+ CA mondial

• Plusieurs milliers d'entreprises européennes concernées à terme

Effet cascade dans la chaîne d'approvisionnement

Même si vous n'êtes pas directement concerné, vos clients grands comptes vous demanderont probablement :

• De remplir un questionnaire de vigilance

• De fournir des éléments de preuve sur vos pratiques

• De respecter leurs codes de conduite fournisseurs

• De publier vos engagements environnementaux et sociaux

C'est l'effet cascade : la conformité des grandes entreprises se diffuse mécaniquement dans leur écosystème.

Devoir de vigilance et chaîne fournisseurs

Le périmètre exact

L'article L.225-102-4 du Code de commerce vise :

• Les activités propres de la société

• Les sociétés contrôlées au sens de l'article L.233-16 (filiales)

• Les sous-traitants ou fournisseurs avec lesquels une relation commerciale établie existe

La notion de relation commerciale établie

Pas définie précisément par la loi mais éclairée par la jurisprudence :

• Stabilité dans le temps (plusieurs années généralement)

• Régularité des échanges

• Volume d'affaires significatif

• Caractère habituel de la relation

Un fournisseur de services informatiques utilisé une fois pour un projet ponctuel n'est généralement pas dans le périmètre. Un fournisseur récurrent depuis plusieurs années avec lequel vous avez un volume d'affaires significatif l'est.

Articulation avec le KYS

Le devoir de vigilance est en fait une forme particulière de KYS (Know Your Supplier), centrée sur les enjeux droits humains et environnement, appliquée par les grandes entreprises. Tous les outils et méthodes du KYS s'appliquent : DDQ, audits, scoring, plateformes dédiées.

🔍 Pour le panorama complet du Know Your Supplier, voir : Know Your Supplier (KYS) : c'est quoi et comment l'appliquer.

Les ONG et le contentieux du devoir de vigilance

Le rôle clé des ONG

Les ONG environnementales (Les Amis de la Terre, Notre Affaire à Tous, Sherpa, ClientEarth) et droits humains (CCFD-Terre Solidaire, Amnesty International) sont les principaux plaignants potentiels du devoir de vigilance.

Leur rôle :

• Surveiller la publication et le contenu des plans de vigilance

• Mettre en demeure les entreprises non conformes

• Engager des actions en justice quand nécessaire

• Communiquer publiquement sur les manquements

La judiciarisation progressive

Depuis 2017, plusieurs dizaines de procédures ont été engagées. Les premiers délibérés sont arrivés en 2024-2025, donnant progressivement corps à la jurisprudence. Cette judiciarisation est un signe de maturité du dispositif.

Le forum permanent

L'Observatoire du devoir de vigilance (collectif d'ONG et syndicats) publie des rapports annuels sur la qualité des plans de vigilance des entreprises concernées. Ces rapports sont une référence pour évaluer les pratiques sectorielles.

Devoir de vigilance et freelances

Application proportionnée

Pour la majorité des entreprises, les freelances ne représentent pas un risque significatif au sens du devoir de vigilance "loi 2017" :

• Ils ne sont pas dans une relation à risque sur les droits humains (généralement basés en France ou UE)

• Ils ne posent pas de risque environnemental majeur dans leur activité de prestation

• Leur volume individuel reste limité

Néanmoins, plusieurs cas méritent attention :

• Freelances basés dans des pays à risque (corruption, droits humains)

• Freelances avec activité matérielle significative (impacts environnementaux)

• Freelances très dépendants de votre entreprise (risque social)

Documents à demander

Pour les entreprises soumises au devoir de vigilance qui travaillent avec des freelances stratégiques :

• Code de conduite signé

• Engagement environnemental ou bilan carbone simple

• Garantie de non-recours à du travail forcé ou enfant

• Confirmation de respect des droits sociaux locaux

Articulation avec le KYC freelance classique

Pour la majorité des freelances, un KYC classique (Kbis, attestation URSSAF, RIB, RCP) suffit. Ajouter un volet "vigilance étendue" uniquement pour les profils à risque ou les volumes significatifs.

🔍 Pour le KYC standard freelance, voir : Quels documents demander à un freelance.

Comment se mettre en conformité ?

Étape 1 : Audit initial

Cartographie de votre situation :

• Êtes-vous concerné par la loi 2017 ?

• Le serez-vous par la CSDDD à partir de 2027/2028/2029 ?

• Vos clients grands comptes vous demandent-ils des éléments ?

• Quels sont vos risques principaux ?

Étape 2 : Cartographie des risques

Pour les entreprises directement concernées :

• Identifier les risques d'atteintes par activité, géographie, secteur

• Hiérarchiser par probabilité et gravité

• Documenter la méthodologie d'analyse

Étape 3 : Plan de vigilance écrit

Document formel intégré au rapport de gestion :

• Les 6 composantes obligatoires

• Une rédaction précise et opérationnelle (pas de discours marketing)

• Une publication sur votre site internet

Étape 4 : Outils

Pour industrialiser :

• Plateformes de vigilance fournisseurs (Provigis, Once For All, Aktia)

• Notation ESG (EcoVadis, Sustain)

• Plateformes anti-corruption (Trace, World-Check)

• Outils internes (CRM achats, ERP)

Étape 5 : Formation des équipes

• Direction générale et conseil d'administration

• Équipe vigilance/RSE

• Équipe achats

• Équipe juridique

• Référents opérationnels

Étape 6 : Suivi annuel

Le devoir de vigilance n'est pas un document statique :

• Mise à jour annuelle du plan

• Compte rendu de mise en œuvre

• Indicateurs de suivi (KPI ESG, alertes reçues, actions menées)

• Évaluation de l'efficacité

Les outils et acteurs du devoir de vigilance

Plateformes spécialisées

• Provigis : tiers de collecte probatoire, leader français

• Once For All : focus BTP et industrie

• Aktia : conformité multi-tiers

• EcoVadis : notation ESG fournisseurs

Cabinets conseil spécialisés

• Big Four (Deloitte, EY, KPMG, PwC) : pratiques RSE/Vigilance

• Cabinets d'avocats (Fidal, Gide, August Debouzy) : pratiques contentieux et compliance

• Cabinets RSE spécialisés (B&L Évolution, Carbone 4, Goodwill Management)

ONG et observatoires

• Observatoire du devoir de vigilance (France)

• CCFD-Terre Solidaire, Sherpa, Les Amis de la Terre

• Notre Affaire à Tous, ClientEarth

• Forum citoyen pour la RSE

Initiatives internationales

• Pacte Mondial des Nations Unies (UN Global Compact)

• OCDE : Principes directeurs pour les multinationales

• ONU Principes directeurs relatifs aux entreprises et aux droits de l'Homme (Ruggie 2011)

• OIT : conventions internationales du travail

Tendances 2026

Convergence France / UE

La CSDDD va progressivement aligner les régimes nationaux. La loi française 2017 reste plus protectrice sur certains aspects (chaîne de valeur, sanctions civiles) mais convergera vers le standard européen.

Renforcement par CSDDD

À partir de 2027-2029, plusieurs milliers d'entreprises européennes supplémentaires seront soumises au devoir de vigilance européen, multipliant la portée pratique du dispositif.

IA et automatisation

Comme pour le KYS, l'IA transforme les pratiques :

• Analyse automatique des risques par géographie/secteur

• Veille presse multilingue automatisée

• Scoring de risque dynamique

• Génération de rapports de vigilance

Reporting intégré

La tendance est à l'intégration du reporting de vigilance avec le reporting CSRD, l'évaluation EcoVadis, les audits ESG. Une seule donnée, plusieurs usages.

Litigation funding

Le financement par tiers des contentieux ESG se développe. Des fonds spécialisés financent les ONG ou victimes pour engager des actions en responsabilité contre les entreprises. Ce phénomène va multiplier les contentieux dans les années à venir.

Les 5 erreurs fréquentes à éviter

1. Confondre devoir et obligation de vigilance

L'erreur la plus fréquente. Avoir collecté des Kbis et attestations URSSAF (obligation de vigilance, Code du travail) ne suffit absolument pas pour la conformité au devoir de vigilance loi 2017.

2. Plan de vigilance "papier" sans réalité

Beaucoup de premiers plans de vigilance étaient des documents marketing déconnectés de la réalité opérationnelle. La jurisprudence et les ONG ne sont pas dupes : un plan doit être opérationnel, mesurable, mis en œuvre.

3. Cartographie limitée aux fournisseurs directs

L'attention se porte naturellement sur les fournisseurs de rang 1, mais les risques majeurs sont souvent au-delà (rang 2, 3, 4). Les ouvriers du Rana Plaza n'étaient pas employés par les marques de mode mais par leurs sous-traitants de sous-traitants.

4. Mécanisme d'alerte inexistant ou inefficace

Le mécanisme d'alerte est l'une des 6 composantes obligatoires. Beaucoup d'entreprises se contentent d'une boîte mail générique. Il faut un dispositif accessible, anonyme, multilingue, suivi.

5. Pas de suivi annuel

Le compte rendu annuel de mise en œuvre est obligatoire. Une entreprise qui publie son plan une fois et ne fait plus rien est en infraction.

FAQ

Quelle différence simple entre obligation et devoir de vigilance ?

• Obligation de vigilance (Code du travail) : pour toutes les entreprises B2B, anti-travail dissimulé, dès 5 000 € HT par contrat. C'est du KYC documentaire (Kbis, URSSAF)

• Devoir de vigilance (loi 2017, Code de commerce) : pour les très grandes entreprises uniquement (5 000+ salariés), droits humains et environnement, plan de vigilance public

Les deux régimes sont complémentaires, pas substituables.

Mon entreprise de 200 salariés est-elle concernée par le devoir de vigilance ?

Non, pas directement par la loi 2017 (5 000+ salariés requis) ni par la CSDDD à terme (1 000+ salariés requis). Mais probablement indirectement par effet cascade si vous fournissez des grands comptes qui vous demanderont des éléments de conformité.

Faut-il publier le plan de vigilance ?

Oui, pour les entreprises directement concernées. Le plan doit être inclus dans le rapport de gestion annuel (publication légale) et idéalement aussi sur le site internet de l'entreprise pour faciliter l'accès des parties prenantes.

Que se passe-t-il en cas de manquement ?

Trois étapes :

1. Mise en demeure par toute personne ayant un intérêt à agir (ONG souvent), avec délai de 3 mois

2. Action en injonction si non-conformité persistante, avec astreinte financière

3. Action en responsabilité civile si dommage avéré

Les ONG peuvent-elles attaquer mon entreprise ?

Si votre entreprise est dans le périmètre légal (5 000+ salariés ou CSDDD à terme), oui. Les ONG ont l'intérêt à agir et plusieurs ont déjà engagé des procédures emblématiques (TotalEnergies, Casino, BNP Paribas, EDF).

Que change la CSDDD par rapport à la loi française ?

La CSDDD va plus loin sur plusieurs points :

• Périmètre élargi (1 000+ salariés au lieu de 5 000+)

• Sanctions financières (jusqu'à 5% CA mondial)

• Plan de transition climatique obligatoire

• Régime de responsabilité civile harmonisé

Mais avec une application progressive entre 2027 et 2029.

Mon fournisseur freelance étranger est-il concerné ?

Pas directement par la loi 2017 (qui vise les sociétés mères). Mais il peut être dans votre périmètre si vous êtes vous-même soumis au devoir de vigilance et qu'il représente une relation commerciale établie. Dans ce cas, vous devez l'évaluer dans votre plan.

Combien coûte la mise en conformité ?

Pour une entreprise de 5 000-10 000 salariés, l'investissement initial est généralement de 200 K€ à 1 M€ (audit, conseil, outils, formation), avec un coût de fonctionnement annuel de 100 K€ à 500 K€. Pour les très grands groupes, les enveloppes peuvent atteindre plusieurs millions d'euros.

Peut-on adopter un plan de vigilance volontairement ?

Oui. De nombreuses ETI et PME le font, pour :

• Anticiper les évolutions futures (CSDDD)

• Répondre aux demandes des clients grands comptes

• Différencier leur offre commercialement

• Aligner avec leurs valeurs RSE

C'est même une bonne pratique stratégique.

Comment articuler devoir de vigilance et autres obligations RSE ?

• CSRD : reporting financier et extra-financier

• VSME : standard volontaire pour PME/ETI

• Devoir de vigilance : prévention des atteintes graves

• Loi Sapin II : anti-corruption

• Article L.8222-1 Code travail : anti-travail dissimulé

Tous convergent vers une approche intégrée du risque tiers et de la durabilité, mais restent juridiquement distincts.

En résumé

Le devoir de vigilance est l'un des dispositifs les plus ambitieux et complexes du droit français et européen. Trois principes pour s'y retrouver :

1. Distinguer les régimes : obligation de vigilance (Code du travail, toutes entreprises, anti-travail dissimulé) vs devoir de vigilance (loi 2017, grandes entreprises, droits humains et environnement). Les confondre, c'est passer à côté de l'une ou l'autre obligation

2. Anticiper la CSDDD : la directive européenne va étendre le périmètre à plusieurs milliers d'entreprises supplémentaires entre 2027 et 2029. Même si vous n'êtes pas directement concerné aujourd'hui, vous le serez peut-être demain (et l'effet cascade est déjà à l'œuvre via les clients grands comptes)

3. Agir, pas afficher : un plan de vigilance papier sans réalité opérationnelle est inutile et juridiquement risqué. La jurisprudence et les ONG sanctionnent les dispositifs purement cosmétiques. La conformité passe par une véritable culture du risque tiers, des outils dédiés, des équipes formées et un suivi continu

Le devoir de vigilance est passé en moins d'une décennie d'une loi pionnière française à un standard européen en construction. Pour une entreprise B2B en 2026, le sujet n'est plus "faut-il s'en préoccuper" mais "à quelle échéance et avec quelle ambition". Anticiper coûte moins cher que subir, et permet de transformer une contrainte réglementaire en avantage compétitif (préférence client, attractivité talents, différenciation marque). Le bon réflexe : commencer par bien comprendre ce qui s'applique vraiment à vous, puis construire proportionnément mais sérieusement.