Introduction

Champ d'application

Programme de conformité

Protection des lanceurs d'alerte 

Contrôle et sanctions

Règles issues de la loi Sapin II

Droit européen 

Droit français

Règles issues du droit de la concurrence

Sapin II/Concurrence

Champ d’application ratione personae

Champ d’application ratione materiae

Portée du plan

Elaboration du plan

Mesures comprises dans le plan

Inclusion dans le rapport de gestion

Plan de vigilance

Injonction

Responsabilité civile

Sanctions

Devoir de vigilance

Programme RSE

Reporting

Communication

Reporting et communication

Sanctions judiciaires

Risque de réputation, stratégique et de déstabilisation

Code Middlenext 

Corpus IFA

Code AFEP - MEDEF 

Typologie 

Principes de gouvernance

Principes intégrant les valeurs RSE

Principes

Appliquer ou expliquer

Force obligatoire

Codes de bonne conduite privés

Droit de la compliance

La première mesure qui a vocation à figurer au sein du plan de vigilance est, conformément à l'article L. 225-102-4 du Code de commerce, une cartographie des risques destinée identifier, analyser et hiérarchiser les risques générés par l'activité de l'entreprise. Cette cartographie constitue le socle des différentes actions à mener par la suite . 

L'exercice a pour finalité d'identifier et analyser l’impact potentiel des activités de l'entreprise sur les droits fondamentaux des personnes, leur santé et sécurité ou sur l'environnement en prenant concrètement en considération, sur l’ensemble de la chaîne de valeur, des facteurs précis susceptibles d’engendrer la réalisation des risques tels que le secteur et la nature de l’activité, sa localisation, le mode de relation commerciale et le cadre juridique lui servant de support, la dimension, la structure ou les moyens des filiales ou des partenaires ainsi que les conditions matérielles de production ou de réalisation de la prestation . Chaque entreprise doit établir sa propre cartographie des risques, qui lui est spécifique, et ne peut en conséquence être appliquée en l’état à une autre entreprise.

La cartographie doit établir une hiérarchisation des risques suivant leur gravité. Si la loi ne donne pas plus de détails, on peut utilement se référer au Principe directeur 24 de l'ONU qui prévoit que “lorsqu’il est nécessaire de conférer aux mesures un rang de priorité pour remédier aux incidences négatives potentielles sur les droits de l’Homme, les entreprises devraient commencer par prévenir et atténuer les atteintes les plus graves ou celles auxquelles tout retard d’intervention donnerait un caractère irrémédiable”.

La première grande décision rendue au fond en application de l'article L. 225-102-4 du Code de commerce a souligné qu'une cartographie des risques n’est pas conforme aux exigences légales lorsque l'entreprise hiérarchise les risques, tels qu’ils subsistent après l’application des mesures d’ores et déjà appliquées par le groupe, en fonction de leur gravité, dès lors qu'un tel procédé a pour effet de relativiser sensiblement les implications concrètes de l’activité de l'entreprise et, par conséquent, de niveler l’ensemble des risques “nets” à un niveau de faible intensité, sans faire suffisamment émerger les domaines de vigilance prioritaires . De même, une cartographie qui établit une description des risques à un très haut niveau de généralité et ne permet pas de déterminer quels facteurs de risque précis liés à l’activité et à son organisation portent une atteinte aux valeurs protégées, ne respecte pas les prescriptions de l'article L. 225-102-4 .

L'Agence française anticorruption (AFA) a édité un guide  en matière de cartographie des risques anticorruption qui peut aisément être transposé au devoir de vigilance, sous réserve d'adaptations liées à la différence d'objectifs des deux dispositifs. L'AFA indique que l'établissement de cette cartographie nécessite de disposer d’une connaissance étendue de l’entreprise et de ses activités. Cette connaissance constitue la condition préalable d'une analyse fine des processus et apporte une assurance raisonnable que la cartographie reflète fidèlement les risques auxquels l’entreprise est réellement exposée lorsqu’elle interagit avec des tiers. L'AFA recommande en outre d’identifier les rôles et responsabilités des acteurs concernés de l’entreprise, quel que soit leur niveau, et que la cartographie des risques soit à la fois complète, formalisée et évolutive. Pour être complète, elle doit d’abord, couvrir les processus managériaux, opérationnels et support mis en œuvre par les entreprises dans le cadre de leurs interactions avec leurs tiers. Ensuite, elle doit couvrir le périmètre d’intervention de l’entreprise en prenant en considération les risques inhérents aux activités des entreprises contrôlées le cas échéant. Son caractère formalisé implique qu'elle se concrétise dans une documentation écrite et structurée, qui décrive en détail les méthodes retenues pour son élaboration, les mesures prises pour maîtriser les risques, ainsi que les rôles et responsabilités des différentes personnes parties prenantes. En fonction des activités et de l’organisation de l’entreprise, elle peut être organisée par métier, par processus, par entité ou par zone géographique. Enfin, une entreprise n'étant pas statique, une bonne cartographie se doit de réévaluer les risques à chaque évolution notable au sein de la société.

Dans son guide, l'AFA décrit un schéma d'élaboration de la cartographie des risques en six étapes. La première consiste à identifier les rôles et responsabilités de chacune des parties prenantes, de l'instance dirigeante aux membres du personnel, en passant par le service conformité. La seconde recense tous les risques inhérents à l'activité de l'entreprise en procédant à un état des lieux permettant d'appréhender des risques préexistants et en échangeant avec les opérationnels afin d'en déceler de nouveaux. La troisième étape consiste à évaluer des risques bruts. Il s'agit pour l'entreprise d'évaluer son degré de résistance à chaque risque pris avant application de toute mesure de maîtrise en se servant d'indicateurs tels que l'impact, la fréquence et les facteurs aggravants. L'étape suivante est assez logiquement une étape d'évaluation des risques résiduels pendant laquelle l'entreprise détermine les risques “nets” après avoir évalué le degré de maîtrise des risques. C'est au cours de la cinquième étape que l'entreprise hiérarchise les risques nets et élabore le plan d'action concomitant en détaillant son calendrier, ses modalités de mise en œuvre ainsi que son suivi. Enfin, la sixième et dernière étape marque la formalisation, la mise à jour et l'archivage de la cartographie des risques élaborée au cours des cinq étapes précédentes.

Si rien n’interdit à la société mère et donneuse d’ordres de disposer confidentiellement d’une cartographie détaillée enrichie de données chiffrées répertoriées par unités opérationnelles, la version publiée doit permettre au public et aux parties prenantes de connaître l’identification précise des risques que l’activité fait courir aux droits humains, à la santé et à la sécurité ainsi qu’à l’environnement .

La directive CS3D  prévoit une procédure similaire à la cartographie des risques. Elle impose en effet aux États membres de veiller à ce que les entreprises prennent des mesures appropriées pour recenser les incidences négatives réelles et potentielles sur les droits de l’Homme et les incidences négatives sur l’environnement découlant de leurs propres activités ou de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes de valeur, de leurs relations commerciales bien établies. Elle précise que lorsque les entreprises fournissent des services de crédit, de prêt ou d’autres services financiers, le recensement des incidences négatives réelles et potentielles sur les droits de l’Homme et des incidences négatives sur l’environnement ne doit être effectué qu’avant la fourniture de ce service. Aux fins du recensement des incidences négatives effectué sur la base d’informations quantitatives et qualitatives, selon le cas, les entreprises doivent pouvoir être autorisées à utiliser les ressources appropriées, y compris les rapports indépendants et les informations recueillies dans le cadre de la procédure relative aux plaintes. Le cas échéant, les entreprises procèdent également à des consultations avec les groupes potentiellement concernés, y compris les travailleurs et les autres parties prenantes, afin de recueillir des informations sur les incidences négatives réelles ou potentielles.

TJ Paris, 5 décembre 2023, LawLex202300014265JBJ, JCP G 2024, n° 85, obs. BARBIERI, RJDA 2024, n° 166 ; JCP E 2024, n° 1070, obs. SCEMLA, PAILLOT de MONTABERT, KORKIKIAN, retenant que la cartographie des risques des activités, qui constitue la première étape de l'élaboration du plan de vigilance, revêt un caractère fondamental car ses résultats conditionnent les étapes ultérieures et donc, l'effectivité de l'ensemble du plan.

Recommandations de l’AFA destinées à aider les personnes morales de droit public et de droit privé à prévenir et à détecter les faits de corruption, de trafic d’influence, de concussion, de prise illégale d’intérêts, de détournement de fonds publics et de favoritisme du 4 décembre 2020, publiées au JORF du 12 janvier 2021.

TJ Paris, 5 décembre 2023, LawLex202300014265JBJ, préc.

Dir. 2024/1760 du 13 juin 2024 sur le devoir de vigilance des entreprises en matière de durabilité et modifiant la directive (UE) 2019/1937 et le règlement (UE) 2023/2859, JO L du 5 juillet 2024.

112. Définition et hiérarchisation des risques