3.1 Construire un plan de vigilance opposable

La cartographie présentée dans le plan de vigilance doit aller au-delà d'une liste générique de risques. Elle doit montrer une analyse documentée, datée, hiérarchisée et géographiquement localisée.

Composantes obligatoires :

• Périmètre de la cartographie : sociétés mère et filiales contrôlées, sous-traitants et fournisseurs en relation commerciale établie. Préciser le nombre d'entités couvertes et la méthode de sélection.
• Catégories de risques : les domaines visés par la loi — droits humains et libertés fondamentales, santé et sécurité des personnes, environnement — déclinés en sous-catégories opérationnelles propres à l'activité.
• Méthodologie : sources utilisées (indices publics de risque pays et secteur, référentiels de l'OIT et de l'OCDE, données internes), critères de cotation, instance de validation.
• Résultats agrégés : nombre de fournisseurs en zones rouge / orange / jaune / verte, par catégorie de risque et par géographie.
• Évolution par rapport à l'année précédente (montée ou descente des risques).

Précaution juridique : le tribunal judiciaire de Paris, dans sa décision du 5 décembre 2023 (RG n° 21/15827) confirmée par la cour d'appel de Paris le 17 juin 2025, a jugé qu'une cartographie devait réellement permettre l'identification, l'analyse et la hiérarchisation des risques. Une description abstraite (« nous identifions les risques droits humains dans notre chaîne d'approvisionnement ») ne suffit pas : le juge attend une analyse différenciée par activité, par catégorie de tiers et par géographie. Détail de la décision au chapitre 4.2.

Le plan doit décrire les processus opérationnels mis en place pour évaluer en continu les filiales, sous-traitants et fournisseurs. Composantes attendues :

• Dispositifs mobilisés : évaluations documentaires, audits sociaux sur site, certifications, audits internes — avec la justification du choix par typologie de tiers, c'est précisément ce que le juge contrôle.
• Couverture : nombre et % de fournisseurs évalués sur l'année (cible : 100 % des fournisseurs en zone rouge évalués chaque année).
• Fréquence : audit tous les X mois / années selon le niveau de risque.
• Critères d'évaluation : ce qui est mesuré (conformité OIT, EPI, salaires, etc.).
• Suivi des non-conformités : nombre identifiées, % résolues, délai moyen.

Coeur de la valeur ajoutée du plan : traduire les risques identifiés en mesures concrètes. Selon le type de risque et la causalité, l'éventail des actions est large :

Pour chaque action publiée, indiquer le résultat attendu, l'échéance et le responsable. Le plan devient ainsi un document de gouvernance et non un texte de communication.

Spécificité de la loi 2017 : le mécanisme d'alerte doit être élaboré en concertation avec les organisations syndicales représentatives au sein de la société. Cette concertation n'est pas symbolique — elle conditionne la validité juridique du mécanisme.

Composantes attendues :

• Canaux multiples : web, téléphone (numéro vert), courrier, en présentiel.
• Disponibilité 24/7 et multilingue (langues des principaux pays de production).
• Anonymat possible avec garantie de non-représailles.
• Canal indépendant de la ligne hiérarchique (interne dédié ou prestataire externe), condition de la confiance et donc du taux de signalement.
• Procédure de traitement documentée : accusé de réception, instruction, décision, retour à l'émetteur.
• Articulation avec la loi Sapin II (lanceurs d'alerte) et la loi Waserman du 21 mars 2022. Voir chapitre 3.3.

Périmètre des bénéficiaires : salariés internes, salariés des fournisseurs et sous-traitants, mais aussi tiers (communautés affectées, ONG, journalistes). Le mécanisme doit être accessible à tous, pas seulement aux salariés directs.

Le suivi ne doit pas se résumer à un récapitulatif descriptif. Il doit présenter des indicateurs chiffrés, idéalement comparables d'une année sur l'autre. Indicateurs minimum attendus :

Le suivi doit être présenté au comité exécutif et au comité d'audit du conseil d'administration au moins une fois par an. Le compte-rendu de cette présentation est attendu dans le plan publié.

Aspects opérationnels souvent oubliés mais critiques :

• Volume : la loi n'impose aucun format ni aucune longueur. En pratique, les plans publiés vont de quelques pages à plusieurs dizaines. Ce n'est pas le volume qui est contrôlé mais la substance : un plan court et précis vaut mieux qu'un document long et générique — c'est bien le caractère générique, et non la brièveté, que les décisions rendues sanctionnent.
• Publication : intégrée au rapport de gestion et mise en ligne en accès libre sur le site de la société (URL stable et indexable).
• Mise à jour annuelle : un plan figé d'une année sur l'autre est considéré comme une preuve d'inefficacité.
• Compte-rendu de mise en œuvre : publié séparément OU intégré au plan, il rend compte des actions concrètes réalisées dans l'année écoulée.
• Audit externe : aucune vérification externe n'est imposée par la loi de 2017 pour le plan de vigilance lui-même. En revanche, les informations de durabilité publiées au titre de la CSRD font l'objet d'une vérification, ce qui crée une exigence de cohérence entre les deux documents.
• Approbation gouvernance : validation explicite par le comité exécutif et le conseil d'administration mentionnée dans le plan.