CSDDD : ce que c'est et ce que requiert la directive européenne

La CSDDD est la directive européenne sur le devoir de vigilance des entreprises en matière de durabilité. Son objectif est d'intégrer la gestion des impacts environnementaux et sociaux dans les processus décisionnels des plus grandes entreprises.

Le devoir de vigilance est un processus continu par lequel une entreprise évalue les impacts négatifs réels et potentiels liés à ses propres activités, à celles de ses filiales et aux relations d'affaires couvertes par sa chaîne d'activités. Cette évaluation doit être suivie de mesures proportionnées à la gravité et à la probabilité des risques identifiés.

La directive couvre les impacts relatifs aux droits des travailleurs, à la santé et à la sécurité, au travail forcé, au travail des enfants, à la pollution, à la biodiversité et à l'utilisation des ressources naturelles. La portée spécifique de l'évaluation dépend des activités de l'entreprise, de ses marchés d'approvisionnement et de la structure de sa chaîne d'approvisionnement.

Pour comprendre ce que requiert la CSDDD, il est utile de la concevoir comme un système de gestion basé sur des données, des responsabilités et des contrôles. Les entreprises doivent être en mesure de démontrer comment elles identifient les risques matériels, quelles informations elles utilisent, comment elles fixent les priorités et quelles mesures elles mettent en œuvre. Le simple fait de disposer d'une politique d'entreprise ou d'un code de conduite des fournisseurs ne suffit pas, en soi, à démontrer que le devoir de vigilance est appliqué efficacement.

Suite aux modifications introduites par le paquet Omnibus, les entreprises peuvent concentrer leur analyse sur les domaines où les impacts négatifs sont considérés comme les plus probables et les plus graves, sur la base des informations raisonnablement disponibles. Cette approche permet d'orienter les ressources et les contrôles vers les fournisseurs, les installations, les zones géographiques ou les catégories de produits présentant un profil de risque plus élevé.

La CSDDD se distingue de la directive sur la publication d'informations en matière de durabilité par les entreprises, ou CSRD. La CSRD régit principalement la publication d'informations sur la durabilité, tandis que la CSDDD réglemente le processus par lequel une entreprise doit identifier et traiter des impacts spécifiques.

Les informations collectées pour le reporting de durabilité peuvent soutenir le devoir de vigilance, mais les deux exigences répondent à des objectifs différents. Le reporting décrit les données, les politiques et les résultats ; la CSDDD exige également des entreprises qu'elles documentent les décisions et les actions prises pour gérer les risques tout au long de leur chaîne d'activités.

CSDDD : entrée en vigueur, transposition et échéances clés

La CSDDD initiale est entrée en vigueur le 25 juillet 2024, vingt jours après sa publication au Journal officiel de l'Union européenne. Cette date a marqué l'entrée en vigueur formelle de la directive, mais n'a pas déclenché de manière immédiate l'application des obligations opérationnelles pour les entreprises.

Le texte officiel de la CSDDD donne accès à la législation d'origine et à ses modifications ultérieures.

En 2025, l'Union européenne a approuvé un premier report des échéances par le biais de la directive (UE) 2025/794. En février 2026, la directive (UE) 2026/470 a été adoptée, modifiant substantiellement à la fois la CSDDD et la CSRD. Les dispositions révisées sur le devoir de vigilance sont entrées en vigueur le 18 mars 2026 et constituent désormais le cadre européen applicable.

Les États membres de l'UE doivent adopter et publier leurs mesures nationales de transposition d'ici le 26 juillet 2028. Ces dispositions nationales doivent s'appliquer à partir du 26 juillet 2029, tandis que les exigences de communication au titre de l'article 16 s'appliqueront aux exercices commençant le 1er janvier 2030 ou après cette date.

La Commission européenne présente un aperçu de la portée révisée, des échéances et des changements introduits par Omnibus I.

Chaque État membre de l'UE devra définir les règles nationales requises pour mettre en œuvre la directive, y compris les autorités de contrôle compétentes, les procédures de mise en conformité et le régime de sanctions. Certains détails d'application peuvent donc varier d'une juridiction à l'autre, bien que les exigences fondamentales en matière de devoir de vigilance restent basées sur le cadre européen commun.

Les entreprises opérant dans plusieurs pays de l'UE doivent suivre de près le processus de transposition dans chaque juridiction concernée. Les différences dans les structures de contrôle, les procédures et les pratiques de mise en œuvre peuvent influer sur la répartition des responsabilités et sur la manière dont la conformité est documentée au niveau du groupe.

La période précédant 2029 peut être mise à profit pour évaluer la disponibilité des données, mettre à jour les procédures de qualification des fournisseurs et attribuer des responsabilités claires aux fonctions concernées. Pour les groupes dotés de chaînes d'approvisionnement complexes, attendre que toutes les mesures nationales soient finalisées pourrait ne laisser que peu de temps pour mettre en œuvre un système documenté et cohérent entre les filiales, les unités opérationnelles et les pays.

D'ici juillet 2027, la Commission européenne devrait également publier une part importante des lignes directrices destinées à faciliter l'application de la directive. D'autres orientations sont attendues pour juillet 2028. Ces documents pourraient clarifier des aspects opérationnels, notamment l'utilisation de clauses contractuelles, la hiérarchisation des risques et l'implication des entreprises au sein de la chaîne d'activités.

À quelles entreprises la CSDDD s'applique-t-elle ?

Suite aux modifications de 2026, la CSDDD s'applique directement à un groupe plus restreint de grandes entreprises.

Pour les entreprises établies dans l'Union européenne, le champ d'application comprend les entités disposant de :

• une moyenne de plus de 5 000 salariés ;

• un chiffre d'affaires net mondial supérieur à 1,5 milliard d'euros.

Ces deux conditions doivent être remplies. Les seuils introduits par Omnibus I sont nettement plus élevés que ceux de la version initiale de la directive.

Le Conseil de l'Union européenne a résumé les modifications apportées au champ d'application de la CSDDD, y compris la révision des seuils et les mesures visant à réduire les charges administratives.

La CSDDD peut également s'appliquer aux entreprises établies en dehors de l'Union européenne lorsque leur chiffre d'affaires net réalisé dans l'UE dépasse le seuil pertinent. Dans ces cas, la législation utilise le chiffre d'affaires réalisé au sein de l'Union pour déterminer si l'entreprise présente une importance économique suffisante sur le marché européen.

Pour les groupes d'entreprises, l'évaluation du champ d'application doit tenir compte des règles régissant les sociétés mères et des chiffres consolidés. Il ne suffit donc pas d'évaluer isolément le nombre de salariés ou le chiffre d'affaires d'une seule filiale opérationnelle. L'analyse doit être menée au niveau du groupe, avec la contribution des équipes juridiques, financières et de durabilité.

Les petites et moyennes entreprises n'entrent généralement pas dans le champ d'application direct de la directive. Toutefois, elles peuvent être impliquées en tant que fournisseurs ou partenaires commerciaux d'entreprises soumises à la CSDDD. Elles peuvent recevoir des demandes concernant les conditions de travail, la gestion environnementale, l'origine des matériaux, les procédures de contrôle ou les mesures correctives.

Répondre à la question « À qui s'applique la CSDDD ? » nécessite donc deux vérifications : si l'entreprise dépasse directement les seuils applicables et si elle opère au sein de la chaîne d'approvisionnement de clients qui entrent dans le champ d'application de la directive.

Les amendements de 2026 visent à limiter le transfert aveugle d'exigences vers les plus petites entreprises. Cela ne supprime pas les demandes d'informations sur la chaîne d'approvisionnement, mais impose aux entreprises soumises à la CSDDD d'appliquer une approche proportionnée et fondée sur les risques, en évitant une collecte massive de données lorsque celle-ci n'est pas justifiée par la nature de la relation commerciale ou les impacts potentiels.

Les fournisseurs doivent donc évaluer la part de leurs clients entrant dans le champ d'application, les informations que ces clients demandent déjà et la part de leur chiffre d'affaires qui dépend des relations commerciales avec de grands groupes européens.

Dans certains secteurs, les exigences de la CSDDD peuvent chevaucher des règles plus spécifiques relatives à la traçabilité des matières premières. L'un de ces exemples est le règlement européen contre la déforestation, ou RDUE, qui impose aux entreprises entrant dans son champ d'application de collecter des informations détaillées sur l'origine de certains produits de base et produits dérivés.

Quelles obligations la CSDDD introduit-elle pour les entreprises ?

La première exigence est d'intégrer le devoir de vigilance dans les politiques d'entreprise et les systèmes de gestion. Les entreprises doivent définir les responsabilités, les critères d'évaluation, les sources d'information et les procédures de révision. Le processus doit impliquer les équipes chargées des achats, du juridique, de la durabilité, de la gestion des risques et du contrôle interne, avec une coordination cohérente à l'échelle du groupe.

L'entreprise doit ensuite cartographier ses propres activités, celles de ses filiales et les domaines concernés de sa chaîne d'activités. L'objectif est d'identifier les zones où les impacts les plus graves ou les plus probables peuvent se produire. Un travail de cartographie efficace associe les données internes, les informations sur les fournisseurs, le risque sectoriel, la localisation géographique, les caractéristiques des produits et l'historique des incidents.

En vertu des amendements d'Omnibus I, le processus peut débuter par une évaluation générale des principaux domaines de risque. Des examens plus détaillés doivent ensuite se concentrer sur les segments présentant les préoccupations les plus importantes. Pour une entreprise manufacturière, par exemple, l'analyse peut révéler des niveaux de risque différents entre les fournisseurs de matières premières, les prestataires de services professionnels et les opérations logistiques.

Lorsqu'un impact négatif potentiel est identifié, l'entreprise doit prendre des mesures pour le prévenir ou l'atténuer. Si l'impact s'est déjà produit, l'entreprise doit agir pour y mettre fin, en minimiser l'étendue et, le cas échéant, contribuer à la réparation. Les actions peuvent inclure des modifications des processus d'approvisionnement, des plans d'action correctifs convenus avec les fournisseurs, des formations, des contrôles supplémentaires ou des clauses contractuelles révisées.

La rupture d'une relation commerciale n'est pas automatiquement la solution la plus appropriée. Dans certains cas, elle pourrait aggraver l'impact sur les personnes concernées ou transférer le problème à des opérateurs moins surveillés. La décision doit donc prendre en compte la gravité de l'impact, la capacité de l'entreprise à influencer son partenaire commercial et les résultats qui pourraient être obtenus grâce à un plan d'amélioration.

Le système doit également inclure des procédures de notification et de réclamation. Ces canaux peuvent fournir des informations qui n'apparaîtraient pas lors de l'examen des documents, en particulier dans les longues chaînes d'approvisionnement ou les activités situées dans des zones à haut risque.

Les mesures mises en œuvre doivent ensuite faire l'objet d'un suivi. Les entreprises doivent évaluer si les actions ont produit les résultats attendus, si le niveau de risque a évolué et si une nouvelle intervention est nécessaire.

Les informations collectées dans le cadre du devoir de vigilance peuvent également contribuer à l'évaluation globale des performances ESG des fournisseurs. Les notations ESG peuvent appuyer la classification des risques, à condition qu'elles reposent sur des données vérifiables, des critères transparents et des informations à jour.

Comment se préparer à la CSDDD et au devoir de vigilance sur la chaîne d'approvisionnement

La première étape consiste à déterminer le positionnement de l'entreprise par rapport à la législation. L'entreprise doit calculer les seuils applicables, identifier les entités du groupe concernées et évaluer l'exposition indirecte à travers ses relations avec des clients soumis à la directive.

L'étape suivante consiste à passer en revue les systèmes déjà en place. De nombreuses entreprises utilisent déjà des procédures de qualification des fournisseurs, des questionnaires ESG, des codes de conduite, des audits, des canaux de notification et des systèmes de gestion certifiés. L'évaluation initiale doit permettre de déterminer quels outils produisent des informations exploitables, quelles zones restent non couvertes et où les données sont difficiles à vérifier.

Les certifications ESG et les systèmes de gestion peuvent fournir des preuves utiles, mais ils doivent être évalués au regard du risque spécifique, du périmètre couvert et de la validité de la certification. Une certification ne remplace pas l'analyse de la chaîne d'approvisionnement, même si elle peut réduire la nécessité de solliciter des informations ayant déjà fait l'objet d'une vérification indépendante.

La cartographie de la chaîne d'approvisionnement doit permettre d'associer chaque fournisseur à des facteurs de risque spécifiques. Ceux-ci peuvent inclure le pays d'activité, le secteur, le volume d'achat, l'importance du composant fourni, la position dans la chaîne d'approvisionnement et les résultats des évaluations précédentes. Cette segmentation évite aux entreprises d'appliquer le même niveau de contrôle à des fournisseurs présentant des profils de risque très différents.

Les indicateurs sélectionnés doivent être vérifiables et liés à une prise de décision. Le nombre de fournisseurs évalués, par exemple, fournit peu d'informations utiles s'il n'est pas mis en regard du pourcentage de fournisseurs à haut risque, du délai requis pour clôturer les actions correctives et de la part des dépenses d'achat couverte par les évaluations.

La qualité des éléments de preuve doit également être définie à l'avance. Une autodéclaration, une certification, un audit indépendant et un document officiel délivré par une autorité publique offrent des niveaux d'assurance différents. L'établissement d'une hiérarchie des preuves aide les entreprises à attribuer des notes cohérentes et à exiger des vérifications supplémentaires dans les cas les plus matériels.

Le processus doit également être en mesure d'être mis à jour. Les fournisseurs, les pays, les volumes d'achat et les conditions d'exploitation évoluent au fil du temps. Un système statique peut rapidement devenir obsolète. Les entreprises doivent donc définir la fréquence des révisions, les événements déclenchant une réévaluation et la responsabilité de la validation des mesures correctives.

Le niveau de préparation à la CSDDD peut être mesuré à travers quelques indicateurs concrets : le pourcentage de dépenses de d'achat cartographié, la répartition des fournisseurs par niveau de risque, la qualité moyenne des preuves collectées, les actions correctives en cours et leurs délais de résolution. Ces données permettent à la direction d'évaluer si le devoir de vigilance fonctionne efficacement et de documenter les décisions prises.

Pour les entreprises qui gèrent un grand nombre de tiers, un logiciel d'évaluation des fournisseurs peut faciliter la collecte de données, la classification des risques et le suivi des actions correctives. Une plateforme centralisée permet d'associer des données et des preuves à chaque fournisseur, de mettre à jour les évaluations au fil du temps et de mesurer la couverture effective de la chaîne d'approvisionnement.