"Parce qu’il vaut mieux anticiper plutôt qu’éteindre les incendies. Et que les risques qu’ils sont censés éviter représentent des coûts cachés pour l’entreprise", explique Eric Mugnier, associé, du département Environnement et Développement durable d'EY. Les drames récurrents, dont celui du Rana Plaza a été le point d’orgue, montrent les besoins d’un renforcement de la connaissance et du contrôle de sa chaîne d’approvisionnement, au-delà du rang 1 auquel les entreprises s’arrêtent trop souvent.

Qui est concerné ?

Toutes les sociétés françaises qui emploient au moins 5 000 salariés en France en direct et dans leurs filiales "directes et indirectes", et celles de plus de 10 000 salariés qui ont des filiales dont le siège se situe à l’étranger. Soit environ 150 entreprises.

Qu’est-ce que le plan de vigilance ?

Selon le texte adopté le 23 mars par l’Assemblée en deuxième lecture, le plan "comporte les mesures de vigilance raisonnable propres à identifier et à prévenir la réalisation de risques d’atteintes aux droits humains et aux libertés fondamentales, de dommages corporels ou environnementaux graves ou de risques sanitaires résultant des activités de la société et de celles des sociétés qu’elle contrôle directement ou indirectement, ainsi que des activités de leurs sous-traitants ou fournisseurs avec lesquels elle entretient une relation commerciale établie". 

Il doit aussi prévenir les comportements de corruption active ou passive. "Toute la difficulté vient du fait qu’il s’agit de concepts juridiques qui s’inscrivent dans le sens de l’histoire mais dont les mécanismes sont encore pour partie inconnus. Nous sommes dans une sorte de laboratoire juridique sur ces questions. Les concepts de loyauté et de transparence totale sont difficilement fongibles dans le droit positif français, plus coutumier de la simple notion de bonne foi", fait remarquer Vincent Brenot, associé du cabinet August & Debouzy.

Un décret en Conseil d’État doit préciser les modalités de présentation et d’application ainsi que du suivi et de la mise en œuvre effective de ces plans. Ses grandes lignes doivent être discutées par la Plateforme RSE. Le sujet agite aussi les cabinets d’avocats et de conseil en RSE. La question est notamment de savoir jusqu’à quel degré de précision ira le décret. Pour Sherpa, pas question d’établir une liste trop précise, qu’il suffirait à l’entreprise de cocher pour se dédouaner…

Autre question : faut-il ou non définir des obligations en fonction des secteurs d’activité ?

Ce que l’on peut anticiper

La veille. Elle est sans cesse à renforcer, particulièrement sur les signaux faibles. Les systèmes d’alerte –whistleblowing – pêchent encore bien trop souvent dans les entreprises, estime EY. Et sont donc à ouvrir à toute la chaîne d’approvisionnement. Il faut aussi développer les approches quantitatives, en croisant notamment des bases de données de risques par pays et secteurs d’activités avec les bases de données achats.

La cartographie des risques. Elle est indispensable pour formaliser et hiérarchiser les risques majeurs auxquels l’entreprise, ses fournisseurs et ses sous-traitants sont confrontés. Et constitue une base de langage commun et donc de travail avec les parties prenantes. Ce travail de fond est nécessaire pour avoir connaissance non seulement des risques mais aussi du degré de leur maîtrise. Elle est à élaborer avec sa chaîne d’approvisionnement "et éventuellement avec ses concurrents, dans une logique sectorielle pour définir des standards communs", souligne EY. Certes, mais il ne faut pas se réduire à une consultation de sa sphère d’activité : il faut élargir à sa sphère d’influence, rappelle Sandra Cossart, juriste chez Sherpa.

Les audits. Largement critiqués pour leur insuffisance, ils doivent au minimum être renforcés et s’étendre aux fournisseurs les plus à risques, c’est-à-dire non seulement à ceux qui concentrent le plus de volume mais aussi ceux qui assurent un approvisionnement unique à l’entreprise. A cet égard, "dans leurs contrats avec leurs fournisseurs, les donneurs d’ordre devraient dès aujourd’hui anticiper sur l’adoption du nouveau dispositif, par exemple en se réservant la possibilité de mettre en œuvre des audits ainsi obliger leurs partenaires à ouvrir le plus largement possible leurs portes et leurs registres. Voire intégrer un chapitre entier sur le devoir de vigilance, notamment dans les contrats de longue durée", avertit l’avocat Vincent Brenot. Surtout, la multiplication des audits ne sert à rien si aucun plan d’action et d’accompagnement du fournisseur n’est mis en place en cas de problème.

Les implications en termes d’organisation

"Élaborer un plan de vigilance demande de faire travailler ensemble différentes directions comme celles des achats, des risques, du juridique et de la RSE", souligne Benjamin Thouverez, manager chez EY. Le département des achats est clé : il est indispensable de former les acheteurs à poser les bonnes questions sur les risques ESG et donc à sortir de la logique de coût.

Pour certaines entreprises, c’est un bouleversement total de l’organisation et même du business model qui peut s’avérer nécessaire, allant jusqu’à la réintégration d’activités jusque-là sous traitées pour assurer une meilleure maîtrise des risques.

Quelle communication ?

Aujourd’hui, 40% des entreprises du CAC40 publient la cartographie de leurs risques ESG, estime EY.  Selon le texte, c’est tout le plan de vigilance qui devra être rendu public et inclus dans le rapport extra financier de l’entreprise. "Les entreprises ne seront pas obligées de tout divulguer, mais la pression viendra plus des tiers que de la réglementation elle-même. L’important sera de montrer comment l’entreprise a analysé les risques et comment elle a choisi de les traiter. Tout l’enjeu est de démontrer le caractère raisonnable des mesures qui ont été prises par les entreprises dans la réponse apportée aux risques identifiés. Elles pourront s’appuyer sur les différentes jurisprudences qui existent déjà", estime Eric Mugnier.