Depuis des années, les organisations évaluent leurs fournisseurs principalement sous l’angle économique : prix, qualité, délais de livraison ou capacité technique.
La directive relative à la diligence raisonnable en matière de développement durable des entreprises (CSDDD) modifie considérablement cette approche. Dès son entrée en vigueur, les grandes entreprises européennes devront démontrer qu’elles identifient, préviennent, atténuent et surveillent les risques liés aux droits de l’homme et à l’environnement tout au long de leur chaîne de valeur.
La diligence raisonnable cesse d’être une simple bonne pratique pour devenir un processus permanent et documenté.
Qu’est-ce que la CSDDD ?
La CSDDD (Corporate Sustainability Due Diligence Directive), également connue sous le nom de CS3D, est une directive européenne dont l’objectif est d’amener les entreprises à intégrer la gestion des risques liés au développement durable dans leurs activités quotidiennes.
Il ne s’agit pas seulement de publier un rapport de développement durable, mais de démontrer l’existence d’un système capable d’identifier les risques, d’agir lorsqu’ils surviennent et de conserver des traces de toutes les mesures prises.
Parmi les principales obligations, on peut citer :
- Disposer d’une politique de diligence raisonnable.
- Identifier et évaluer les risques liés aux opérations et à la chaîne de valeur.
- Prendre des mesures visant à prévenir ou à atténuer les impacts négatifs.
- Mettre en œuvre des mesures correctives dès que des manquements sont constatés.
- Disposer de mécanismes permettant de recevoir les réclamations et les plaintes.
- Contrôler régulièrement l’efficacité du système.
- Rendre publiques les mesures adoptées.
En définitive, la CSDDD exige la mise en place d’un modèle de gestion continu, et non une révision ponctuelle.
À quelles entreprises cela s’applique-t-il ?
À la suite des modifications apportées par le paquet « Omnibus », la directive s’appliquera dans un premier temps aux grandes entreprises.
Sont concernées les entreprises de l’Union européenne qui remplissent simultanément les critères suivants :
- 5 000 salariés.
- 1,5 milliard d’euros de chiffre d’affaires mondial.
Seront également concernées certaines entreprises situées en dehors de l’UE qui réalisent un chiffre d’affaires annuel supérieur à 1 500 millions d’euros sur le marché européen.
Les États membres devront transposer la directive dans leur législation nationale avant juillet 2028 et les obligations commenceront à s’appliquer à partir de juillet 2029.
La grande question : qu’en est-il des entreprises qui ne sont pas concernées par cette obligation ?
C’est probablement là que l’impact sera le plus fort.
Même si des milliers d’entreprises ne relèvent pas directement du champ d’application de la directive, bon nombre d’entre elles feront partie de la chaîne d’approvisionnement d’organisations qui seront soumises à cette obligation.
Une grande entreprise devra démontrer qu’elle connaît les risques liés à ses fournisseurs. Pour ce faire, elle devra demander des informations, évaluer les éléments probants et effectuer des suivis réguliers.
Cela signifie que de nombreuses PME recevront des demandes telles que :
- Disposez-vous d’un dispositif de signalement ?
- Comment évaluez-vous vos propres fournisseurs ?
- Quelles sont les politiques en matière de droits de l’homme que vous avez mises en place ?
- Comment gérez-vous les risques environnementaux ?
- Quels sont les contrôles mis en place ?
- Comment formez-vous vos employés ?
- Quels éléments de preuve peuvent-ils apporter ?
En d’autres termes, même si une entreprise n’est pas légalement tenue de se conformer à la CSDDD, il est possible que ses clients lui demandent de démontrer un certain niveau de maturité pour continuer à faire partie de sa chaîne d’approvisionnement.
La diligence raisonnable nécessite un système, et non des documents isolés
Répondre manuellement à chaque questionnaire peut s’avérer faisable une seule fois.
Répondre à des dizaines de clients différents, chacun ayant des exigences différentes, c’est une autre histoire.
Les organisations devront centraliser les informations relatives à la conformité afin d’éviter les doublons et de veiller à ce que la documentation soit toujours à jour.
Parmi les éléments qui devraient devenir courants, on peut citer :
- Liste des fournisseurs et des tiers.
- Évaluations des risques.
- Questionnaires d’homologation.
- Plans d’atténuation.
- Contrôles périodiques.
- Gestion des politiques.
- Registre des incidents.
- Canal dédié aux signalements et aux réclamations.
- Preuves et traçabilité de toutes les actions.
L’essentiel ne sera pas seulement de disposer de ces informations, mais de pouvoir démontrer quand elles ont été obtenues, qui les a examinées, quelles décisions ont été prises et comment le risque a évolué.
Un référentiel unique pour plusieurs réglementations
La CSDDD ne doit pas être considérée comme une obligation isolée.
Elle partage de nombreux éléments avec des cadres réglementaires tels que la directive NIS 2, la loi DORA, la norme ISO 27001, la norme ENS, la norme ISO 37301, la loi sur l’IAainsi que les obligations en matière de protection des lanceurs d’alerte.
C’est pourquoi il apparaît de plus en plus judicieux de mettre en place un modèle unique de conformité dans lequel les risques, les contrôles, les fournisseurs, les politiques, les incidents et les preuves sont gérés à partir d’une plateforme unique, puis mis en correspondance avec les différentes exigences réglementaires.
Cette approche réduit les doublons, améliore la traçabilité et facilite la réponse tant aux audits qu’aux demandes des clients ou des autorités de régulation.
L’opportunité précède l’obligation
On pourrait facilement penser que la CSDDD ne concerne que quelques milliers de grandes entreprises.
Cependant, sa portée réelle sera bien plus grande.
Chaque entreprise concernée travaille avec des centaines, voire des milliers de fournisseurs. Tous devront rendre des comptes, démontrer et documenter la manière dont ils gèrent leurs risques.
La question ne sera plus seulement de savoir si une organisation est soumise à la directive.
La question sera de savoir si elle est prête à démontrer à ses clients qu’elle gère correctement les risques liés à son activité et à sa chaîne d’approvisionnement.
Et cette capacité finira probablement par constituer un avantage concurrentiel pour toute organisation souhaitant continuer à faire partie des chaînes d’approvisionnement les plus exigeantes.
