La criticité mesure la gravité de l'impact si le risque survient. Pour les risques droits humains et environnement, la cotation suit généralement une échelle à 5 niveaux :

Trois critères additionnels modulent la cotation, selon le guide OCDE :

• Échelle : nombre de personnes ou ampleur géographique affectée.
• Portée : caractère réversible ou irréversible.
• Caractère remédiable : possibilité de réparation.

La probabilité estime la fréquence de survenance du risque. Pour les risques sur les fournisseurs, on s'appuie sur 4 sources de données :

• Risque géographique : indices Country Risk (Verisk Maplecroft, ITUC Global Rights Index, Transparency International CPI, Freedom House). Un fournisseur en Bangladesh ou en Birmanie a un risque mécaniquement plus élevé qu'un fournisseur allemand.
• Risque sectoriel : OCDE, OIT, ONG sectorielles publient des cartographies sectorielles (textile, cosmétique, automobile, électronique, agroalimentaire, minier). Le secteur minier a un profil de risque très différent du secteur des services informatiques.
• Risque spécifique du fournisseur : historique des incidents, audits passés, signalements reçus, médiatisation.
• Risque structurel : taille du fournisseur (PME locale vs multinationale), maturité ESG (médaille EcoVadis), existence de syndicats, certifications.

Pour un grand groupe industriel, la cartographie complète peut produire plusieurs milliers de couples fournisseur × risque. Tout traiter en parallèle est inefficient. La pratique consensus consiste à :

1. Identifier les zones rouge et orange de la matrice (scores ≥ 13). Typiquement, c'est 5 à 15 % des couples — c'est sur eux qu'on concentre les ressources.
2. Appliquer Pareto 20/80 : 20 % des fournisseurs concentrent généralement 80 % du risque significatif. La cartographie identifie ces 20 %.
3. Plan d'action priorisé : pour chaque risque rouge, une action immédiate (audit surprise, demande d'explication, plan de remédiation, suspension partielle des commandes).
4. Plan d'action programmé pour les risques orange : audit dans les 6 mois, formation, intégration dans le contrat à renouvellement.
5. Surveillance pour les zones jaunes et vertes : revue annuelle, contrôles aléatoires.

Cette logique est compatible avec l'OCDE : elle ne demande pas de tout traiter en même temps, mais de tout cartographier et de prioriser intelligemment. La capacité à démontrer ce raisonnement est ce que le juge cherchera en cas de contentieux.

Plusieurs outils SaaS proposent une cartographie automatisée des risques fournisseurs :

Le coût total d'une stack vigilance complète (EcoVadis IQ + Verisk + RepRisk + outil interne) tourne autour de 150 000-500 000 €/an pour un grand groupe, hors équipe interne. À comparer à un seul contentieux vigilance évité.

Un groupe textile français à 2 Md€ de chiffre d'affaires, 8 000 fournisseurs (dont 1 500 actifs Tier 1) répartis en Europe (40 %), Asie (45 %) et Afrique du Nord (15 %). Trajet de cartographie :

1. Inventaire : extraction de l'ERP achats, segmentation par catégorie (matières premières, confection, accessoires, logistique, services).
2. Pré-scoring géographique via Verisk : 320 fournisseurs en zone à risque élevé (Bangladesh, Vietnam, Birmanie, Pakistan), 410 en zone à risque modéré (Chine, Turquie, Maroc).
3. Sollicitation EcoVadis pour les 1 500 Tier 1 : 70 % de retour, score moyen 51/100, 18 % en zone rouge (< 40).
4. SMETA pour les 320 sites en pays à risque : audit déclenché ; 23 sites avec non-conformités majeures identifiées (heures supplémentaires illégales, refus syndicat, salaire inférieur au minimum local).
5. Plan d'action : 23 sites en plan de remédiation 6 mois ; 4 sites suspendus pour défaut grave ; 2 désengagements responsables (préavis 12 mois + accompagnement de la transition pour les salariés).

Coût annuel total du dispositif : ~ 600 000 € (outils + équipe RSE de 4 ETP + audits SMETA externes). À comparer aux 3 procédures vigilance évitées sur 5 ans (estimées chacune à 800 k€ de frais juridiques + 1-3 % de capitalisation = plusieurs dizaines de M€). ROI évident.