La cartographie présentée dans le plan de vigilance doit aller au-delà d'une liste générique de risques. Elle doit montrer une analyse documentée, datée, hiérarchisée et géographiquement localisée.

Composantes obligatoires :

• Périmètre de la cartographie : sociétés mère et filiales contrôlées, sous-traitants et fournisseurs en relation commerciale établie. Préciser le nombre d'entités couvertes et la méthode de sélection.
• Catégories de risques : 4 catégories légales (droits humains, libertés fondamentales, santé-sécurité, environnement) déclinées en sous-catégories opérationnelles.
• Méthodologie : sources utilisées (Verisk, ITUC, OCDE), critères de notation, comité de validation.
• Résultats agrégés : nombre de fournisseurs en zones rouge / orange / jaune / verte, par catégorie de risque et par géographie.
• Évolution par rapport à l'année précédente (montée ou descente des risques).

Précaution juridique : la jurisprudence française (TJ Paris, La Poste 2023) considère que la cartographie doit être spécifique, pas générique. Une description abstraite (« nous identifions les risques droits humains dans notre chaîne d'approvisionnement ») est jugée insuffisante. Le juge attend une cartographie par site, par catégorie de fournisseurs, par géographie.

Le plan doit décrire les processus opérationnels mis en place pour évaluer en continu les filiales, sous-traitants et fournisseurs. Composantes attendues :

• Référentiels utilisés : EcoVadis, SMETA, BSCI, SA8000, audits internes propres. Justification des choix par typologie.
• Couverture : nombre et % de fournisseurs évalués sur l'année (cible : 100 % des fournisseurs en zone rouge évalués chaque année).
• Fréquence : audit tous les X mois / années selon le niveau de risque.
• Critères d'évaluation : ce qui est mesuré (conformité OIT, EPI, salaires, etc.).
• Suivi des non-conformités : nombre identifiées, % résolues, délai moyen.

Coeur de la valeur ajoutée du plan : traduire les risques identifiés en mesures concrètes. Selon le type de risque et la causalité, l'éventail des actions est large :

Pour chaque action publiée, indiquer le résultat attendu, l'échéance et le responsable. Le plan devient ainsi un document de gouvernance et non un texte de communication.

Spécificité de la loi 2017 : le mécanisme d'alerte doit être élaboré en concertation avec les organisations syndicales représentatives au sein de la société. Cette concertation n'est pas symbolique — elle conditionne la validité juridique du mécanisme.

Composantes attendues :

• Canaux multiples : web, téléphone (numéro vert), courrier, en présentiel.
• Disponibilité 24/7 et multilingue (langues des principaux pays de production).
• Anonymat possible avec garantie de non-représailles.
• Plateforme externe indépendante (BKMS, EQS Integrity Line, Whispli, NAVEX) recommandée pour la confiance.
• Procédure de traitement documentée : accusé de réception, instruction, décision, retour à l'émetteur.
• Articulation avec la loi Sapin II (lanceurs d'alerte) et la loi Waserman du 21 mars 2022. Voir chapitre 3.3.

Périmètre des bénéficiaires : salariés internes, salariés des fournisseurs et sous-traitants, mais aussi tiers (communautés affectées, ONG, journalistes). Le mécanisme doit être accessible à tous, pas seulement aux salariés directs.

Le suivi ne doit pas se résumer à un récapitulatif descriptif. Il doit présenter des indicateurs chiffrés, idéalement comparables d'une année sur l'autre. Indicateurs minimum attendus :

Le suivi doit être présenté au comité exécutif et au comité d'audit du conseil d'administration au moins une fois par an. Le compte-rendu de cette présentation est attendu dans le plan publié.

Aspects opérationnels souvent oubliés mais critiques :

• Volume : un plan de vigilance crédible fait typiquement 50 à 150 pages. Les plans < 20 pages sont systématiquement considérés comme insuffisants par les juges et les ONG.
• Publication : intégrée au rapport de gestion et mise en ligne en accès libre sur le site de la société (URL stable et indexable).
• Mise à jour annuelle : un plan figé d'une année sur l'autre est considéré comme une preuve d'inefficacité.
• Compte-rendu de mise en œuvre : publié séparément OU intégré au plan, il rend compte des actions concrètes réalisées dans l'année écoulée.
• Audit externe : pas obligatoire pour le plan vigilance 2017 mais devenu standard de marché. Désormais intégré à l'audit CSRD du commissaire aux comptes.
• Approbation gouvernance : validation explicite par le comité exécutif et le conseil d'administration mentionnée dans le plan.