CS3D et le cadre réglementaire européen en matière de développement durable : mettre en place un programme de conformité intégré

Getting your Trinity Audio player ready...

Résumé

La diligence raisonnable n’est pas un concept nouveau. Ce qu’introduit la directive sur la diligence raisonnable en matière de durabilité des entreprises (CS3D)^¹ est un changement d’objectif : l’obligation n’est plus de protéger les organisations contre les risques externes, mais de veiller à ce qu’elles ne génèrent pas de risques néfastes pour les personnes et la planète. Cette obligation revêt une portée juridique, s’accompagne de sanctions pécuniaires et entraîne des conséquences commerciales qui s’étendent bien au-delà de son champ d’application formel. Que vous soyez directement concerné par cette directive ou que vous opériez au sein de la chaîne d’activités d’une entreprise visée, les considérations présentées dans cet article vous concernent.

La CS3D est au cœur de la réorientation réglementaire de l’UE. Elle impose aux entreprises concernées de mettre en œuvre une diligence raisonnable continue fondée sur les risques, depuis l’approvisionnement en matières premières en amont jusqu’à la distribution en aval, de prendre en compte les impacts sur les droits de l’homme et l’environnement, et de répercuter ces obligations tout au long de leur chaîne d’activités.

Le rapport « Responsible Business ^Outlook 2026 » de l’OCDE² – première évaluation mondiale des pratiques de diligence raisonnable au sein des 10 000 plus grandes entreprises cotées en bourse, publiée au début du mois – quantifie l’écart que le CS3D vise à combler : 45 % des pratiques déclarées concernent les politiques et les systèmes de gestion ; moins de 20 % concernent l’identification ou la gestion des impacts négatifs ; environ la moitié utilise des critères relatifs aux droits de l’homme ou à l’environnement pour sélectionner ses fournisseurs, mais moins de 20 % évalue les risques liés aux fournisseurs à l’aune de ces critères ; et environ 70 % des programmes d’audit social ne concernent que les fournisseurs de niveau 1 – alors qu’on estime que 78 % des cas de travail forcé se produisent au niveau 2 et au-delà.

Le CS3D s’inscrit dans un écosystème réglementaire délibéré qui comprend notamment la CSRD³, la FLR⁴, l’EUDR⁵, l’EUBR⁶, le CMR⁷, la CRMA⁸, le REACH⁹, la taxonomie de l’UE¹⁰ et la ^directive sur les lanceurs d’alerte¹¹.

Considérer chaque obligation comme un silo conduit à une duplication inutile des efforts. Concevoir un programme autour de leurs caractéristiques communes, avec une seule cartographie des risques, une seule procédure de traitement des plaintes et un seul cadre de suivi alimentant plusieurs résultats réglementaires, peut s’avérer plus efficace et plus rentable.

Le cœur du CS3D réside dans un processus structuré de diligence raisonnable : intégrer la diligence raisonnable dans les politiques et la gouvernance ; identifier et évaluer les impacts négatifs tout au long de la chaîne d’activités ; établir des priorités et prendre des mesures ; mettre en place des mesures correctives lorsque des préjudices ont été causés ; dialoguer avec les parties prenantes tout au long du processus ; maintenir un mécanisme de traitement des plaintes ; contrôler l’efficacité ; et communiquer publiquement. Ces obligations s’appuient sur une liste définie de normes internationales en matière de droits de l’homme et d’environnement, énoncées dans l’annexe de la directive.

1. Introduction : la diligence raisonnable ESG et l’écosystème réglementaire

La diligence raisonnable ESG se concentre sur les risques et les impacts environnementaux, sociaux et de gouvernance. Elle prend différentes formes : transactionnelle (fusions-acquisitions, investissements, partenariats, où le risque ESG influe sur l’évaluation et la structuration de l’opération) ; de suivi de portefeuille (filtrage ESG et intégration dans les décisions financières) ; ou axée sur la conformité réglementaire, lorsque les entreprises sont légalement tenues d’identifier et de gérer les impacts négatifs sur les droits de l’homme et l’environnement tout au long de leurs chaînes de valeur. La CS3D relève de cette troisième catégorie.

Au cours de la dernière décennie, l’UE a mis en place une architecture réglementaire en matière de durabilité. La directive NFRD¹² imposait aux grandes entités d’intérêt public de publier des informations non financières ; la directive CSRD a élargi ces exigences, en introduisant un reporting obligatoire en matière de durabilité conformément aux normes européennes de reporting en matière de durabilité (ESRS) et la directive SFRD¹³ ainsi que la taxonomie de l’UE ont étendu les obligations de durabilité aux marchés financiers. La directive CS3D s’appuie sur les Principes directeurs des Nations unies (UNGP), les Principes directeurs de l’OCDE et le Document tripartite de l’OIT¹⁴ pour faire de la diligence raisonnable une obligation légale plutôt qu’un engagement volontaire.

Ces cadres sont conçus pour s’articuler entre eux au sein d’un écosystème réglementaire pouvant être appréhendé à plusieurs niveaux : les entreprises doivent identifier les impacts et les risques et agir (CS3D et réglementations sectorielles en matière de diligence raisonnable), rendre compte de la manière dont elles agissent face à leurs impacts, risques et opportunités significatifs (CSRD) et communiquer efficacement (réglementations sur le « greenwashing »), veiller à ce que les investissements soient alignés sur le développement durable (SFDR, taxonomie de l’UE) et que les projets et produits répondent à des objectifs durables, et protéger les personnes qui signalent des irrégularités (directive sur les lanceurs d’alerte).

Chaque instrument conserve son propre champ d’application et ses propres exigences. Un programme CS3D bien conçu offre une base solide et adaptable à de multiples objectifs de conformité, générant les données, la documentation et les preuves qui alimentent les publications au titre de la CSRD et démontrent la conformité aux garanties minimales de la taxonomie de l’UE. Pour les entreprises ne relevant pas de ce champ d’application, la pression exercée par la chaîne de valeur en matière de traçabilité pourrait les inciter à s’aligner volontairement sur ces principes.

L’initiative législative de l’UE de février 2022 a été déclenchée par la fragmentation résultant de la divergence des lois nationales en matière de diligence raisonnable : la France avait promulgué la Loi de Vigilance (2017) ; l’Allemagne, la LkSG (2021) ; quant aux Pays-Bas, à la Belgique et à l’Autriche, ils avaient élaboré des projets de loi, chacun avec un champ d’application, des seuils et des exigences de fond différents. Le considérant 7 de la CS3D identifie cela comme la justification, au regard du marché intérieur, de l’action de l’UE : les régimes nationaux divergents imposaient des coûts de conformité inégaux et risquaient de fausser la concurrence.

La directive CS3D vise à harmoniser ce paysage réglementaire et à rétablir des conditions de concurrence équitables. Les entreprises soumises aux législations nationales existantes devront évaluer dans quelle mesure la directive CS3D complète ou, lorsque l’harmonisation maximale prévue à l’article 4, paragraphe 1, s’applique, remplace leurs obligations existantes. En outre, en vertu de l’article 4, paragraphe 2, les États membres peuvent adopter des dispositions plus strictes ou plus spécifiques dans des domaines ne relevant pas de ces articles fondamentaux, notamment en ce qui concerne des produits, des services ou des situations spécifiques.

Aucun projet de loi de transposition luxembourgeois n’avait été présenté en juillet 2026. Le premier projet n’est pas attendu avant la fin de l’année 2026 ou le début de l’année 2027, alors que la date limite de transposition est fixée au 26 juillet 2028 et que la date d’entrée en vigueur est prévue pour le 26 juillet 2029. Les entreprises luxembourgeoises devraient suivre de près la désignation de l’autorité de contrôle compétente, qui doit être communiquée à la Commission européenne (CE) au plus tard le 26 juillet 2028, tout en se préparant aux mesures nationales de transposition.

2. Aperçu des principaux éléments du CS3D

2.1 Champ d’application et calendrier

À la suite des modifications apportées par l’Omnibus I, le CS3D s’applique à deux grandes catégories d’entreprises, sous réserve d’une condition relative à deux exercices financiers consécutifs :

les entreprises de l’UE répondant à l’un des critères suivants :

i. plus de 5 000 salariés en moyenne et un chiffre d’affaires net mondial supérieur à 1,5 milliard d’euros

ii. être la société mère ultime d’un groupe dépassant ces seuils sur une base consolidée

iii. être une société ou une société mère ultime agissant en tant que franchiseur ou concédant de licence, générant des redevances supérieures à 75 millions d’euros dans l’UE et dont le chiffre d’affaires net mondial dépasse 275 millions d’euros

Entreprises de pays tiers

i. qui satisfont à des seuils équivalents par rapport au chiffre d’affaires net dans l’UE : plus de 1,5 milliard d’euros générés dans l’UE au cours de l’exercice financier précédent ;

ii. les sociétés mères ultimes de groupes dépassant ces seuils

iii. les sociétés agissant en tant que franchiseurs ou concédants de licence, générant des redevances supérieures à 75 millions d’euros dans l’UE et dont le chiffre d’affaires net dans l’UE est supérieur à 275 millions d’euros

Les sociétés holding dont la fonction principale consiste à détenir des participations dans des filiales opérationnelles, sans prendre de décisions de gestion ou financières ayant une incidence sur le groupe, peuvent demander à l’autorité de contrôle compétente d’être directement dispensées des obligations CS3D, à condition de désigner l’une de leurs filiales établies dans l’UE pour remplir ces obligations en leur nom. La société mère reste solidairement responsable avec la filiale désignée en cas de non-respect des obligations.

Le calendrier actuel est le suivant :

26 juillet 2027 : date limite pour la publication des lignes directrices de la CE sur la directive CS3D (lignes directrices de la CE) et des recommandations sur les clauses contractuelles types volontaires.
26 juillet 2028 : date limite de mise en œuvre par les États membres.
31 mars 2029 : date limite pour les actes délégués de la CE précisant le contenu de la communication annuelle.
26 juillet 2029 : date d’entrée en vigueur. L’ensemble des obligations de diligence raisonnable s’applique aux entreprises concernées.
1er janvier 2030 : l’obligation de communication annuelle s’applique aux exercices financiers commençant à cette date ou après celle-ci.
1er janvier 2031 : les déclarations annuelles doivent être soumises à l’ESAP.

Le délai jusqu’à la date d’application de 2029 est plus court qu’il n’y paraît. La mise en place d’un programme de diligence raisonnable couvrant une chaîne d’activités mondiale – de la cartographie de la chaîne d’approvisionnement et de l’évaluation des risques à l’élaboration de politiques et à la mise en place d’une infrastructure de données – prend du temps. Les entreprises qui mettront cette période à profit pour se préparer et évaluer leurs lacunes seront mieux placées.

2.2 Huit obligations : ce qu’exige réellement le CS3D

Le processus de diligence raisonnable du CS3D se compose de huit obligations interdépendantes. Chacune d’entre elles est continue et fondée sur les risques ; il ne s’agit pas d’un audit ponctuel :

Intégrer la diligence raisonnable dans les politiques et la gestion des risques : adopter une politique de diligence raisonnable couvrant le code de conduite, la mise en œuvre et la vérification, applicable aux filiales et aux partenaires commerciaux directs et indirects, élaborée en consultation avec les salariés et révisée au moins tous les 24 mois.
Identifier et évaluer les impacts négatifs : un processus en deux étapes – une délimitation du champ d’application à l’aide des informations raisonnablement disponibles, suivie d’une évaluation approfondie des domaines à haut risque. Les demandes d’informations adressées aux partenaires ne sont autorisées qu’en cas de nécessité et sont limitées pour les partenaires comptant moins de 5 000 salariés ; des outils sectoriels et des rapports de tiers peuvent les remplacer.
Hiérarchiser les impacts négatifs : lorsque des actions simultanées ne sont pas envisageables, établir un ordre de priorité en fonction de la gravité et de la probabilité. Une justification documentée de cette hiérarchisation peut protéger contre d’éventuelles sanctions liées à des impacts non encore traités.
Prévenir les impacts négatifs potentiels : prendre des mesures proportionnées pour prévenir ou atténuer les risques identifiés, en recourant à des plans d’action préventifs assortis d’indicateurs clés de performance (KPI) et de calendriers, à des garanties contractuelles, à des ajustements financiers et opérationnels, ainsi qu’à un soutien ciblé aux PME.
Mettre fin aux impacts négatifs avérés : agir par le biais de plans d’actions correctives, de garanties contractuelles et d’ajustements des pratiques d’achat. La suspension d’une relation commerciale est un dernier recours, qui nécessite d’évaluer si la rupture de cette relation causerait plus de préjudice qu’elle n’en éviterait.
Assurer la remédiation : lorsque l’entreprise a causé ou contribué à causer un impact négatif réel, elle doit rétablir, dans la mesure du possible, la situation des personnes, des communautés ou de l’environnement affectés à leur état antérieur à l’impact. Lorsque l’impact est causé exclusivement par un partenaire commercial, la remédiation est volontaire, bien que l’entreprise puisse user de son influence pour l’encourager.
S’engager de manière constructive avec les parties prenantes à quatre étapes : identification et évaluation des impacts ; élaboration de plans d’action standard ; élaboration de plans renforcés en dernier recours ; et adoption de mesures de réparation. Les initiatives sectorielles complètent mais ne peuvent se substituer à un engagement direct avec les salariés et leurs représentants.
Procédure de plainte, mécanisme de signalement, suivi et communication : deux instruments juridiquement distincts sont nécessaires : une procédure de plainte formelle dotée d’un réel poids procédural, ouverte aux personnes concernées, aux représentants des travailleurs et à la société civile ; et un mécanisme de signalement distinct permettant à quiconque de faire part de ses préoccupations de manière anonyme ou confidentielle. Ensemble, ils fonctionnent comme un canal d’alerte précoce et de veille des risques, mettant en lumière des problèmes qui pourraient ne jamais être portés devant la procédure formelle.

2.3 Chaîne d’activités : quel est le champ d’application ?

Les obligations de CS3D s’étendent à l’ensemble de la chaîne d’activités de l’entreprise, couvrant à la fois les opérations en amont et en aval.

En amont : les activités des partenaires commerciaux liées à la production de biens ou à la prestation de services, y compris la conception, l’extraction, l’approvisionnement, la fabrication, le transport et le stockage des matières premières et des intrants.
En aval : les activités des partenaires commerciaux liées à la distribution, au transport et au stockage des produits de l’entreprise, mais uniquement lorsque celles-ci sont réalisées pour le compte ou au nom de l’entreprise. L’exclusion s’applique à la distribution, au transport et au stockage de produits soumis aux contrôles à l’exportation en vertu du règlement (UE) 2021/821 ou aux contrôles à l’exportation relatifs aux armes, aux munitions ou au matériel de guerre, une fois que l’exportation du produit a été autorisée.

Au Luxembourg, les entreprises les plus susceptibles d’être concernées sont les grands groupes industriels et manufacturiers, les opérateurs logistiques et les multinationales ayant des activités importantes au sein de l’UE. Le secteur financier luxembourgeois peut également atteindre les seuils requis, mais la définition de la « chaîne d’activités » limite ses obligations à ses propres opérations et à ses achats en amont, et non à ses portefeuilles d’investissement ou à ses portefeuilles de prêts. Les obligations sont plus restreintes, mais elles ne sont pas négligeables.
Les partenaires commerciaux directs (ceux ayant conclu un accord commercial avec l’entreprise) et les partenaires commerciaux indirects (ceux effectuant des opérations liées aux produits ou services de l’entreprise sans lien commercial direct) relèvent du champ d’application. Toutefois, les outils disponibles diffèrent : pour les partenaires directs, les garanties contractuelles constituent le mécanisme principal ; pour les partenaires indirects, les entreprises ne peuvent recourir à des garanties contractuelles que lorsque les mesures directes se sont révélées insuffisantes. L’identification des partenaires commerciaux indirects est nettement plus difficile que ne le laisse entendre la directive CS3D.
Les contributions des entreprises attendues dans le cadre de la consultation sur les lignes directrices de la CE (ouverte jusqu’au 24 juillet 2026) devraient confirmer qu’aucun outil automatisé ne permet de recenser de manière fiable et à grande échelle les partenaires indirects. Le mécanisme le plus efficace est une obligation contractuelle de « transmission en amont » imposant aux partenaires de niveau 1 de divulguer leurs propres relations en amont comme condition d’approvisionnement.

2.4 Impacts de l’annexe I

La directive CS3D fonde ses exigences en matière de diligence raisonnable sur un ensemble spécifique de droits et d’interdictions énumérés dans son annexe, qui fait office à la fois de contrainte et de clarification.

La partie I porte sur les droits de l’homme et s’appuie sur 16 droits et interdictions issus d’instruments internationaux. Les regroupements ci-dessous illustrent les principaux risques liés à la chaîne d’approvisionnement et ne sont pas exhaustifs. Veuillez vous reporter à l’annexe complète pour la liste exhaustive :

Droits du travail : travail forcé, travail des enfants, droit à la liberté d’association et à la négociation collective, égalité de rémunération et non-discrimination, ainsi que droit à des conditions de travail justes et favorables et à un salaire suffisant pour subvenir à ses besoins. Pertinent notamment dans les secteurs de l’industrie manufacturière et de l’agriculture.
Intégrité physique et sécurité personnelle : le droit à la vie, l’interdiction de la torture et des traitements cruels, inhumains ou dégradants, ainsi que le droit à la liberté et à la sécurité. Ces droits concernent les risques liés aux forces de sécurité privées, à la détention illégale de travailleurs et à l’exploitation des travailleurs migrants dans les secteurs à haut risque.
Droits fonciers et moyens de subsistance : le droit des individus, des communautés et des peuples autochtones de ne pas être illégalement privés des terres, des forêts et des eaux qui assurent leur subsistance. Cela concerne notamment les industries extractives, l’agroalimentaire et les chaînes d’approvisionnement forestières.
Droits environnementaux et santé : l’interdiction de causer une dégradation environnementale mesurable qui entrave l’accès à la nourriture, à l’eau ou à l’assainissement, porte atteinte à la santé ou à la sécurité, ou a des effets néfastes sur les écosystèmes.

La partie II couvre les obligations environnementales découlant de 16 interdictions et obligations issues d’environ 11 instruments et protocoles internationaux relatifs à l’environnement :

Biodiversité et écosystèmes : la Convention sur la diversité biologique, y compris les obligations découlant du Protocole de Carthagène et du Protocole de Nagoya. Cela concerne les secteurs pharmaceutique, cosmétique, agricole et tous ceux qui dépendent des ressources biologiques.
Espèces menacées et commerce des espèces sauvages : la Convention sur le commerce international des espèces de faune et de flore sauvages menacées d’extinction (CITES). Perte de pertinence pour les entreprises des secteurs de l’alimentation, de la mode, des produits pharmaceutiques et des produits de luxe.
Substances et déchets dangereux : la Convention de Minamata, la Convention de Stockholm, la Convention de Rotterdam, le Protocole de Montréal et la Convention de Bâle. Cela concerne les secteurs de l’industrie manufacturière, de l’électronique, de la chimie et de l’exploitation minière.
Milieux marins et aquatiques : MARPOL 73/78 et la CNUDM. Concerne le transport maritime, la pêche et les activités offshore.
Patrimoine naturel et zones humides : la Convention du patrimoine mondial et la Convention de Ramsar. Cela concerne les secteurs des infrastructures, de la construction et des industries extractives opérant au sein ou à proximité de sites naturels sensibles.

L’annexe I définit l’univers des risques, en indiquant aux entreprises quels types d’impacts peuvent constituer un impact négatif déclenchant leurs obligations. La nature fondée sur les risques du processus de diligence raisonnable détermine ensuite le niveau de détail de l’enquête, en fonction des maillons de la chaîne d’activités spécifiques de l’entreprise où ces impacts sont les plus susceptibles de se produire et d’être les plus graves.

2.5 Application et responsabilité civile

Les États membres doivent désigner des autorités de contrôle au titre de la directive CS3D. Pour les entreprises de l’UE, l’autorité compétente est celle de l’État membre où se trouve le siège social ; pour les entreprises de pays tiers, l’autorité compétente est celle de l’État membre dans lequel l’entreprise possède une succursale. Lorsque l’entreprise ne dispose d’aucune succursale dans un État membre ou qu’elle possède des succursales dans plusieurs États membres différents, la compétence revient à l’autorité de contrôle de l’État membre dans lequel l’entreprise a réalisé le chiffre d’affaires net le plus élevé au sein de l’UE au cours de l’exercice financier précédant le dernier.
Les autorités de contrôle disposent de larges pouvoirs d’enquête, notamment le droit d’ordonner la cessation des infractions, d’infliger des sanctions et d’adopter des mesures provisoires en cas de risque imminent de préjudice grave et irréparable.
Le montant maximal de l’amende est fixé à 3 % du chiffre d’affaires net mondial de l’entreprise au cours de l’exercice précédant la décision d’amende ou, dans le cas des sociétés mères ultimes de groupes relevant du champ d’application, à 3 % du chiffre d’affaires net consolidé mondial de la société mère ultime au cours de la même année de référence. Les décisions de sanction doivent être publiées et rester accessibles au public pendant au moins cinq ans. La Commission européenne, en collaboration avec les États membres, publiera des lignes directrices afin d’aider les autorités de contrôle à déterminer le niveau des sanctions.
Les États membres doivent veiller à ce que les délais de prescription soient d’au moins cinq ans et ne commencent pas à courir avant la cessation de l’infraction. Le demandeur doit également avoir connaissance, ou être raisonnablement censé avoir connaissance, de l’ensemble des éléments suivants : (i) le comportement et le fait qu’il constitue une infraction ; (ii) le fait que l’infraction lui a causé un préjudice ; et (iii) l’identité de l’auteur de l’infraction. Lorsque le préjudice a été causé conjointement par la société et sa filiale ou un partenaire commercial direct ou indirect, ceux-ci sont solidairement responsables, sans préjudice des règles nationales relatives aux conditions de la responsabilité solidaire et aux droits de recours. Les protections prévues par la directive européenne relative à la dénonciation s’appliquent aux violations du CS3D.
En droit luxembourgeois, les dirigeants sont soumis à un devoir de diligence évalué à l’aune du critère du dirigeant raisonnablement prudent et compétent – il s’agit d’une obligation de moyens, et non de résultat. La faute nécessite la preuve qu’une erreur a été commise qu’un dirigeant normalement prudent n’aurait pas commise ; le simple fait de ne pas avoir atteint le résultat escompté ne suffit pas. La violation d’une norme réglementaire peut fonder une action en responsabilité civile intentée par des personnes lésées, étant donné que les règles adoptées dans l’intérêt général protègent également les particuliers. Une fois la directive CS3D applicable, les dirigeants des entreprises concernées seront soumis à des obligations contraignantes de diligence raisonnable : un manquement total à la mise en œuvre des mesures requises est susceptible de constituer une faute de gestion.
La législation d’application devra également désigner une autorité de contrôle compétente et déterminer comment le régime de responsabilité civile du CS3D — qui exige que le droit national accorde aux victimes un droit à une indemnisation intégrale assorti d’un délai de prescription minimum de cinq ans — s’articule avec le cadre luxembourgeois existant en matière de responsabilité civile délictuelle prévu par le Code civil.
Les dirigeants des entreprises concernées ne doivent donc pas interpréter la suppression de l’article 22 par l’Omnibus I comme signifiant que la directive CS3D relève uniquement de la conformité au niveau de la direction et ne nécessite pas l’implication du conseil d’administration. L’exposition au risque est réelle : elle s’inscrit dans de multiples voies juridiques et est significative.

3. Considérations opérationnelles : mettre en place un programme efficace

3.1 Commencer par une analyse des lacunes

Avant de lancer un programme de mise en œuvre de la CS3D, chaque entreprise doit évaluer son état de préparation. Beaucoup ont déjà mis en place des éléments de diligence raisonnable : codes de conduite des fournisseurs, politiques en matière de droits de l’homme, systèmes de gestion environnementale, procédures de signalement ou programmes d’audit. La question est de savoir si celles-ci sont alignées sur les exigences spécifiques de la CS3D, couvrent le champ d’application approprié et génèrent les preuves attendues par une autorité de contrôle.

Une analyse des écarts structurée permet de comparer les pratiques existantes à chacune des huit obligations de la CS3D, d’identifier le périmètre réglementaire, d’évaluer la conformité par rapport aux réglementations concernées et de fournir un point de départ pour les mesures correctives. Agir tôt permet d’éviter l’erreur coûteuse de repartir de zéro alors que des éléments clés existent déjà. Pour les entreprises ayant réalisé une double évaluation de matérialité (DMA) au titre de la CSRD, le recoupement de ces résultats avec la cartographie des risques de la CS3D constitue une étape supplémentaire utile. Une analyse de l’OCDE portant sur les informations publiées en 2025 au titre de la CSRD a révélé que la part des entreprises signalant un impact négatif significatif dépasse systématiquement celle des entreprises considérant cette question comme un risque financier significatif – l’écart est le plus important pour les travailleurs de la chaîne de valeur (37 points de pourcentage) et pour l’eau et les ressources marines (35 points de pourcentage). Les impacts négatifs les plus susceptibles d’apparaître dans une évaluation au titre de l’annexe I sont précisément ceux qui ont historiquement été exclus du cadre des risques financiers.

3.2 Cartographie des risques : comprendre le modèle économique

La méthodologie d’identification des risques de CS3D n’est pas une simple liste de contrôle de conformité.

Il s’agit d’une analyse structurée visant à déterminer où les impacts visés à l’annexe I sont les plus susceptibles de se produire et d’être les plus graves au sein du modèle économique et de la chaîne d’approvisionnement d’une entreprise. Bien menée, elle oblige les entreprises à se poser les questions qu’elles devraient déjà se poser : d’où proviennent nos matières premières ? Auprès de qui nous approvisionnons-nous, auprès de qui s’approvisionnent-ils et quelles sont les conditions de travail ? Dans quelles zones géographiques opérons-nous et quel est l’état de l’État de droit dans ces régions ?

L’exercice de délimitation du champ d’application peut s’appuyer sur des informations raisonnablement disponibles, ce qui signifie que les entreprises ne sont pas tenues de contacter chaque fournisseur. Les bases de données publiques sur les risques, les informations sectorielles, les initiatives multipartites de l’industrie et l’expérience de l’entreprise en matière d’approvisionnement constituent des éléments valables. Le considérant 39 de l’Omnibus I précise que les entreprises sont tenues de définir le champ d’application de manière générale, et non d’identifier systématiquement les impacts négatifs au niveau de chaque entité.

L’évaluation approfondie s’appuie sur les résultats de cette analyse préliminaire pour concentrer l’enquête sur les zones où les risques sont concentrés. Les entreprises peuvent recourir à des solutions numériques, à des initiatives sectorielles et à une vérification par des tiers. Lorsque des informations sont nécessaires de la part de partenaires commerciaux, le CS3D limite la possibilité de les exiger : les informations ne peuvent être demandées qu’en cas de nécessité et, pour les partenaires comptant moins de 5 000 salariés, uniquement lorsqu’elles ne peuvent être obtenues par d’autres moyens. Il s’agit là d’une protection importante pour les petits fournisseurs, qui a des répercussions directes sur la manière dont les entreprises conçoivent leurs questionnaires relatifs à la chaîne d’approvisionnement.

Le travail forcé imposé par l’État – lorsque cette pratique découle de lois ou de politiques nationales plutôt que d’acteurs privés – nécessite une approche distincte. Les audits traditionnels sur site ne sont pas fiables dans ces contextes : les lignes directrices de la Commission européenne sur la lutte contre le travail forcé confirment que les évaluations doivent plutôt s’appuyer sur des recherches documentaires, des rapports d’organisations internationales et des données crédibles issues de la société civile. Un exercice de cadrage reposant sur l’auto-évaluation des fournisseurs risque de passer structurellement à côté de ce phénomène.

La cartographie des risques sert de base à l’exercice de hiérarchisation. Tous les impacts négatifs ne sont pas pondérés de la même manière. La directive CS3D exige une hiérarchisation en fonction de la gravité et de la probabilité, et prévoit explicitement que le fait de se concentrer sur les impacts les plus graves tout en reportant le traitement des impacts moins significatifs n’entraînera pas de sanctions. Une entreprise qui documente clairement son raisonnement – en montrant qu’elle a traité en priorité les risques les plus élevés – se trouve dans une position bien plus solide vis-à-vis des autorités de contrôle. En ce qui concerne la conception des indicateurs, les contributions des entreprises attendues dans le cadre de la consultation sur les lignes directrices de la CE relatives au CS3D devraient montrer que les ensembles les plus efficaces combinent des indicateurs relatifs aux droits de l’homme et au travail avec des indicateurs environnementaux sur une plateforme unique, exigent une documentation plutôt qu’une simple déclaration sur l’honneur, et font l’objet de recoupements avec le cadre d’indicateurs ESRS, de sorte que le même ensemble de données serve à la fois à l’évaluation des risques CS3D et au reporting CSRD.

3.3 Architecture contractuelle de la chaîne d’approvisionnement : privilégier la simplicité plutôt que la lourdeur

Le principal mécanisme de la CS3D pour étendre les obligations à la chaîne d’approvisionnement est l’assurance contractuelle, un engagement des partenaires commerciaux à se conformer au code de conduite de l’entreprise et, le cas échéant, à ses plans de prévention ou d’actions correctives. La directive précise également que l’architecture contractuelle doit être équitable, raisonnable et proportionnée, en particulier lorsque les partenaires commerciaux sont des PME.

Plusieurs principes doivent guider la conception d’un cadre contractuel avec les fournisseurs :

Couverture proportionnée au risque : tous les fournisseurs ne nécessitent pas le même niveau d’engagement contractuel. Un fournisseur de matières premières de niveau 1 issu d’une juridiction à haut risque justifie des exigences contractuelles et une vérification plus strictes qu’un prestataire de services de niveau 2 situé dans une zone géographique à faible risque. C’est la cartographie des risques qui détermine l’architecture contractuelle, et non l’inverse.
Code de conduite et code des fournisseurs fondés sur l’annexe I : le code doit traduire le cadre normatif de CS3D relatif aux droits et interdictions énoncés à l’annexe I en attentes comportementales concrètes et spécifiques au secteur.
Vérification sans charge excessive : les garanties contractuelles doivent s’accompagner d’une vérification appropriée, proportionnée au risque et, dans la mesure du possible, regroupée au sein de programmes sectoriels ou d’initiatives multipartites afin d’éviter les audits redondants. Lorsque des fournisseurs PME font l’objet d’une vérification par un tiers, le coût doit être pris en charge par l’entreprise. Les données disponibles plaident en faveur d’une priorité délibérée accordée à la collaboration plutôt qu’à la conformité. Des recherches de l’OCDE montrent que l’investissement dans les capacités des fournisseurs est plus systématiquement associé à des améliorations durables des conditions de travail que les codes de conduite, les audits et les systèmes de certification pris isolément, dont certains se sont avérés avoir des effets limités sur l’autonomisation des travailleurs. Les audits et les assurances sont des compléments au soutien apporté aux fournisseurs, et non un substitut à celui-ci.
Soutien aux partenaires commerciaux PME : les entreprises devraient proposer un soutien ciblé lorsque le respect du code de conduite ou du plan d’action risquerait de compromettre la viabilité de la PME. Les contributions des entreprises attendues dans le cadre de la consultation sur les lignes directrices de la CE (ouverte jusqu’au 24 juillet 2026) devraient mettre en évidence un problème systémique : les PME reçoivent simultanément de multiples demandes d’informations incohérentes de la part de différents acheteurs concernés, chacun appliquant des cadres et une terminologie différents. Les entreprises peuvent alléger cette charge en harmonisant leurs demandes selon les catégories de l’annexe I, en acceptant les vérifications par des tiers déjà fournies à d’autres acheteurs et en participant à des initiatives sectorielles qui mutualisent les efforts de diligence raisonnable.
Le désengagement responsable en dernier recours : les dispositions relatives à la suspension constituent un dernier recours. Avant de procéder à une suspension, les entreprises doivent évaluer si les effets négatifs de cette suspension l’emporteraient sur le préjudice qui ne peut être atténué. Lorsqu’une entreprise choisit de maintenir une relation malgré l’identification d’effets négatifs, les autorités de contrôle s’attendront raisonnablement à ce qu’elle documente en temps réel la comparaison effectuée, les étapes d’amélioration fixées et les conditions dans lesquelles la poursuite de la relation ne serait plus justifiable.

3.4 Procédure de plainte et mécanisme de notification : d’une exigence de conformité à un outil stratégique

La CS3D met en place deux instruments distincts. La procédure de plainte est un canal opérationnel ouvert aux salariés, aux travailleurs de la chaîne de valeur, aux communautés concernées, aux organisations de la société civile et aux syndicats, couvrant les impacts négatifs réels ou potentiels. Les plaignants disposent d’un droit de suivi, du droit de rencontrer des représentants de l’entreprise et ont droit à une justification écrite si leur plainte est jugée non fondée. Le mécanisme de notification permet à toute personne de faire part de ses préoccupations de manière anonyme ou confidentielle, sans déclencher d’obligations procédurales formelles. Il fait office de système d’alerte précoce – un canal pour les signalements qui pourraient ne jamais être portés à la connaissance des instances compétentes par la voie formelle des réclamations. Lorsqu’ils sont bien conçus, ces instruments fonctionnent conjointement comme un outil principal de veille des risques, mettant en évidence les lacunes que l’exercice de cartographie des risques aurait pu négliger.

Une procédure de plainte unique et bien conçue répond, outre aux exigences du CS3D, à plusieurs autres instruments :

les garanties minimales de la taxonomie de l’UE : elles s’alignent sur les lignes directrices de l’OCDE et les Principes directeurs des Nations unies relatifs aux entreprises et aux droits de l’homme, qui exigent des procédures de plainte au niveau opérationnel.
La directive relative aux lanceurs d’alerte : des canaux de signalement sécurisés et confidentiels, ainsi que des protections contre les représailles pour les personnes signalant des violations du droit de l’Union européenne.
CSRD / ESRS : plusieurs normes ESRS exigent la divulgation des impacts identifiés, des griefs et des plaintes, des processus de remédiation et des mesures correctives, ce qui fait de ce mécanisme une contribution directe au reporting de développement durable.
L’EUBT : procédure de plainte obligatoire et système d’alerte précoce et de sensibilisation aux risques pour les chaînes d’approvisionnement en batteries, dans le cadre des obligations de diligence raisonnable des opérateurs.
Le CMR : exige que les dispositifs de diligence raisonnable intègrent une procédure de traitement des plaintes conforme à la norme de l’OCDE comme condition de reconnaissance.

Au-delà de leur valeur en matière de conformité multiple, ces mécanismes remplissent une fonction de gouvernance essentielle. Un système qui recueille et classe les plaintes par thème ESG – conformément à l’annexe I et aux catégories de la CSRD – permet aux entreprises d’identifier les impacts négatifs qui se produisent dans la pratique, d’évaluer leur gravité et leur fréquence, de remonter les problèmes significatifs au niveau de gouvernance approprié et d’apporter des solutions. Il répond également aux exigences de l’EUBR concernant le système obligatoire de traitement des réclamations et d’alerte précoce pour les chaînes d’approvisionnement en batteries, ainsi qu’à l’exigence du CMR selon laquelle les dispositifs de diligence raisonnable reconnus doivent intégrer des mécanismes de traitement des réclamations. Considéré comme un outil de veille des risques plutôt que comme une simple boîte à réclamations formelle, il devient un élément central de l’obligation de surveillance prévue par la CS3D.

3.5 Gouvernance : la responsabilité sans bureaucratie

Le CS3D exige une gouvernance transversale : l’exercice d’identification des risques nécessite des connaissances opérationnelles issues des services des achats, du juridique/de la conformité et de la chaîne d’approvisionnement ; la procédure de traitement des réclamations requiert l’implication des ressources humaines et du service de conformité ; et le suivi nécessite des données provenant de l’ensemble de l’entreprise.

Les principes de conception de la gouvernance suivants méritent d’être soulignés :

Une responsabilité clairement définie au niveau du conseil d’administration et de la direction : les dirigeants des entreprises concernées s’exposent à des risques en matière de réputation, de réglementation et financiers en cas de non-conformité. Les conseils d’administration doivent avoir une compréhension suffisante du cadre de diligence raisonnable pour exercer une surveillance efficace, qu’elle soit assurée par des experts internes ou des conseillers externes.
Responsabilité transversale : un comité ou groupe de pilotage de diligence raisonnable, composé de représentants de différents départements, constitue l’instance naturelle chargée de la gestion du programme CS3D. Ce groupe supervise le processus annuel de diligence raisonnable, transmet les conclusions significatives au conseil d’administration et assure l’intégration entre les différents axes de travail réglementaires sans interférer avec la responsabilité des outils ou processus déjà établis.
Intégration aux processus d’approvisionnement : la diligence raisonnable ne peut être efficace que si elle est intégrée à toutes les étapes du cycle de vie de l’approvisionnement. Les critères de risque issus du cadre de l’annexe I doivent être intégrés aux questionnaires destinés aux fournisseurs, aux processus d’approbation et aux modèles de contrats. Les indicateurs clés de performance (KPI) relatifs à la performance des fournisseurs en matière de développement durable doivent figurer dans les tableaux de bord d’approvisionnement.
Une infrastructure de données adaptée : l’obligation de suivi nécessite une évaluation périodique, qualitative et quantitative de l’efficacité de la diligence raisonnable, ce qui requiert des données. Cela implique d’adapter les plateformes existantes de planification des ressources d’entreprise (ERP) ou de gestion des fournisseurs, ou d’explorer le marché en pleine expansion des solutions de diligence raisonnable dédiées à la chaîne d’approvisionnement.
Formation et culture d’entreprise : la formation au cadre CS3D, aux normes de l’annexe I, à la politique de diligence raisonnable de l’entreprise et aux outils disponibles n’est pas facultative. Les équipes qui comprennent le programme le mettront en œuvre plus efficacement.

3.6 Tirer parti du CS3D dans l’écosystème européen de conformité en matière de développement durable

Le CS3D se situe au cœur d’un écosystème réglementaire mûrement réfléchi, et la quasi-totalité des tâches qu’il impose n’est pas nouvelle : de nombreux éléments sont déjà exigés sous une forme similaire par d’autres réglementations s’appliquant aux mêmes entreprises opérant dans les mêmes chaînes d’approvisionnement. Une précision s’impose toutefois : le CS3D fixe le seuil minimal, et non le plafond. L’EUDR et l’EUBR prévalent sur le CS3D lorsqu’ils imposent des obligations de diligence raisonnable plus strictes ou plus spécifiques pour certains produits. Le FLR repose sur une logique juridique différente : il impose une interdiction de produits assortie d’une obligation de résultat et s’applique en parallèle du CS3D au lieu de le remplacer. La conformité au CS3D ne suffit pas à satisfaire ces réglementations.

Les points de recoupement s’articulent autour de quatre thèmes.

Une seule cartographie de la chaîne, de multiples exigences réglementaires. La directive CS3D exige que les entreprises cartographient leur chaîne d’activités. Cette même cartographie pourrait servir de point de départ pour les exigences de la directive CSRD en matière de DMA et de divulgation de la chaîne de valeur dans le cadre de l’ESRS ; pour les obligations de traçabilité de la chaîne d’approvisionnement et de géolocalisation prévues par l’EUDR ; ainsi que pour l’identification, prévue par la FLR, des fournisseurs de produits aux étapes de la chaîne d’approvisionnement les plus exposées au risque de travail forcé. L’EUBR et le CMR exigent chacun des systèmes de traçabilité de la chaîne d’approvisionnement pour leurs catégories respectives de matières premières. L’exercice sous-jacent est similaire pour tous : connaître, documenter et démontrer la chaîne d’approvisionnement.
Une méthodologie d’évaluation des risques, quatre cadres. La méthodologie d’identification et de hiérarchisation des risques de CS3D reflète étroitement le cadre de la DMA au titre de la CSRD. Les obligations de gestion des risques de l’EUBER suivent la même logique fondée sur les recommandations de l’OCDE pour les zones de conflit et à haut risque. Le CMR exige une diligence raisonnable proportionnée au risque, en utilisant les mêmes lignes directrices de l’OCDE en matière de diligence raisonnable que celles auxquelles se réfère le CS3D. Le FLR oriente l’application de la réglementation vers les opérateurs économiques sur la base de deux critères distincts : la proximité par rapport à l’étape de production où le travail forcé est soupçonné, et l’influence, c’est-à-dire la capacité à faire évoluer les pratiques de l’entité à l’origine du préjudice. Cette logique de ciblage diffère de la hiérarchisation fondée sur la gravité et la probabilité prévue par le CS3D et peut désigner des acteurs différents au sein d’une même chaîne d’approvisionnement.
Une seule procédure de plainte, plusieurs obligations de conformité remplies. Un mécanisme bien conçu satisfait simultanément à l’article 14 du CS3D, aux garanties minimales de la taxonomie de l’UE, à la directive sur les lanceurs d’alerte, à l’EUBR, au CMR et aux obligations de publication au titre de l’ESRS. Ce n’est pas un hasard, car chaque instrument s’appuie sur les mêmes normes internationales de l’OCDE et des Nations unies.
Une infrastructure de publication unique, un reporting consolidé. La déclaration annuelle de diligence raisonnable prévue par la directive CS3D ne constitue pas, pour les entreprises également soumises à la directive CSRD, une publication distincte : elle est intégrée au rapport de développement durable établi au titre de la CSRD. L’EUBR exige un rapport public annuel équivalent sur les pratiques de diligence raisonnable en matière de batteries. Le FLR impose aux opérateurs de fournir aux autorités, sur demande, des informations relatives à la chaîne d’approvisionnement. Les données sous-jacentes sont similaires pour tous : quels sont les éléments de la chaîne d’approvisionnement, quels risques ont été identifiés, quelles mesures ont été prises et quels en ont été les résultats ?

Une limite de l’approche intégrée doit être clairement soulignée : la conformité au CS3D ne constitue pas une « sphère de sécurité » au regard des autres obligations de diligence raisonnable. Les lignes directrices de la Commission européenne sur le FLR (juin 2026) confirment que la documentation de diligence raisonnable du CS3D constitue un élément de preuve pertinent lors d’une enquête au titre du FLR, et que les entreprises peuvent la présenter en réponse aux demandes d’informations des autorités, lesquelles porteront sur les mesures prises pour identifier, prévenir, atténuer ou remédier aux risques liés au travail forcé – une catégorie à laquelle la documentation de diligence raisonnable au titre du CS3D se rapporte directement – mais la pertinence en tant que preuve n’équivaut pas à une protection contre les mesures coercitives.

4. Conclusions

La portée de la directive CS3D s’étend au-delà des entreprises concernées. Toute entreprise intervenant à un maillon quelconque de la chaîne d’activités d’une entreprise visée par la directive ressentira l’effet concret de ces obligations par le biais d’assurances contractuelles, de codes de conduite, de questionnaires destinés aux fournisseurs, d’audits et de plans d’actions correctives. Le message central de la directive est simple : les entreprises disposant d’une taille et d’une influence suffisantes ne peuvent rester indifférentes à ce qui se passe dans leurs chaînes d’activités, pas plus que les entreprises qui composent ces chaînes.

Plusieurs conclusions ressortent :

La directive CS3D vise à comprendre le modèle économique. Les exigences en matière de délimitation du champ d’application et d’évaluation approfondie ne constituent pas un audit de conformité à confier à un consultant tous les cinq ans. Il s’agit d’une démarche structurée visant à identifier les principaux risques au sein de la chaîne d’approvisionnement et des opérations spécifiques de l’entreprise. Les entreprises qui prennent cela au sérieux acquerront une compréhension plus claire de leurs vulnérabilités opérationnelles, ce qui présente une valeur allant au-delà de la simple conformité réglementaire. Pour les entreprises ne relevant pas du champ d’application formel, la même logique s’applique à l’inverse : comprendre où vous vous situez dans les chaînes d’activités de vos clients et partenaires, et ce que leurs programmes de diligence raisonnable exigeront de vous, est une nécessité tant sur le plan commercial que sur celui de la réputation.
Une approche intégrée permet de réaliser des économies et d’obtenir de meilleurs résultats. Le lien entre le CS3D et d’autres cadres réglementaires est profond et authentique. La cartographie de la chaîne d’activités, la procédure de traitement des plaintes, le cadre de suivi et la stratégie d’engagement des parties prenantes répondent tous simultanément à plusieurs exigences réglementaires. La mise en place d’un programme articulé autour de ces points communs permet aux entreprises d’atteindre une conformité multiple à moindre coût et avec un résultat plus cohérent et plus défendable. Pour les entreprises ne relevant pas directement du champ d’application du CS3D, bon nombre de ces mêmes instruments peuvent néanmoins s’appliquer.
Le cadre de l’annexe I définit la norme sur laquelle s’appuieront les codes de conduite et les garanties contractuelles des clients. Ces droits et interdictions constituent le point de départ pour anticiper ce que les acheteurs concernés exigeront d’eux : le processus fondé sur les risques détermine les domaines sur lesquels ils devront se concentrer, de manière proportionnée aux endroits où les impacts négatifs sont les plus probables et les plus graves au sein de leur chaîne d’approvisionnement spécifique.
Avec trois ans avant l’entrée en vigueur, et les lignes directrices de la CE qui ne seront pas publiées avant 2027, le délai est plus court qu’il n’y paraît. Les entreprises qui entament dès maintenant une évaluation des écarts, identifient leur situation par rapport aux exigences du CS3D et aux réglementations associées, et mettent à profit la période de préparation pour élaborer leur programme de manière systématique seront mieux placées que celles qui attendent. La pression commence tôt : les clients et les partenaires commerciaux, qui mènent leurs propres exercices de cadrage et évaluations approfondies, commenceront à demander des informations, des engagements contractuels et des preuves de vérification bien avant la date d’application de 2029. Se préparer dès maintenant est une mesure prudente, et non prématurée.
La responsabilité civile n’a pas disparu, pas plus que le risque de réputation n’a diminué, mais aucun des deux ne se limite aux entreprises relevant du champ d’application formel. La responsabilité civile nationale, assortie de délais de prescription minimaux de cinq ans et d’un droit à une indemnisation intégrale, reste accessible aux victimes d’impacts négatifs. Des sanctions pouvant atteindre 3 % du chiffre d’affaires mondial, rendues publiques et accessibles à tous pendant cinq ans, constituent un moyen de dissuasion important. Cette pression en matière d’application de la réglementation se répercutera en cascade sur l’ensemble de la chaîne d’approvisionnement, les entreprises concernées exigeant la traçabilité. Lorsque les entreprises concernées sont tenues responsables de préjudices causés conjointement avec un partenaire commercial, cette responsabilité est solidaire.

Bien mise en œuvre, la directive CS3D redéfinit les normes qui régissent la conduite responsable des entreprises tout au long de la chaîne d’approvisionnement. Les entreprises les plus performantes considéreront la directive CS3D comme un engagement en faveur d’une conduite responsable, et non comme un obstacle réglementaire, et investiront dans une conformité durable.

5. Aperçus pratiques fournis par les entreprises

5.1 Comment aborder une évaluation des écarts par rapport au CS3D

Les retours d’expérience des entreprises montrent qu’une évaluation des écarts constitue le bon point de départ pour se préparer au CS3D : une approche proactive permet de mettre en place un programme plus cohérent, plus défendable et plus rentable.

L’évaluation des écarts est un exercice structuré de préparation qui indique où en est une entreprise par rapport à chacune des huit obligations CS3D et quel travail reste à accomplir. L’évaluation se déroule en quatre phases, chacune s’appuyant sur la précédente :

Étape 1 : Identifier et préparer le périmètre, la réglementation et l’infrastructure existante

Il s’agit de confirmer quelles entités et structures du groupe relèvent directement du champ d’application du CS3D, d’identifier les réglementations applicables et les parties de l’activité concernées, et de dresser une première cartographie du modèle économique et de la chaîne d’activités de l’entreprise. Un inventaire complet de l’ensemble des politiques, processus, systèmes et structures de gouvernance existants doit également être dressé. L’analyse des écarts est ensuite réalisée sur la base de cet inventaire.

Étape 2 : Analyser les résultats de la cartographie et les exigences

Comparaison de l’infrastructure existante avec chacune des obligations : pour chacune des huit obligations de la directive CS3D, l’analyse consiste à vérifier si une politique pertinente existe, si elle couvre le champ d’application approprié, si elle est révisée à la fréquence requise, si elle relève d’une fonction identifiable et si elle génère les preuves attendues par une autorité de contrôle. La cartographie de la chaîne d’activités est ensuite superposée aux catégories d’impact de l’annexe I afin d’identifier à quel maillon de la chaîne d’approvisionnement chaque risque est le plus susceptible de se matérialiser. Pour chaque obligation, l’analyse vérifie également s’il existe une exigence parallèle au titre d’un autre instrument et si la même politique, le même processus ou la même fonction pourrait satisfaire les deux.

Étape 3 : Évaluer l’état actuel

Classification de chaque obligation et sous-obligation comme conforme, partiellement conforme ou non encore traitée. Pour chaque domaine, l’entreprise consigne la référence réglementaire applicable, l’état actuel de la politique, du processus, du système et de la fonction concernés, l’écart spécifique, sa gravité et son urgence, ainsi qu’une première estimation des mesures correctives requises. Le recoupement des obligations CS3D avec les exigences parallèles rend la logique d’intégration visible et permet à la direction d’identifier quelles mesures correctives répondent simultanément à plusieurs objectifs de conformité.

Étape 4 : Traduire les conclusions en un plan d’action

Chaque lacune identifiée donne lieu à une mesure corrective attribuée à une fonction désignée, assortie d’un délai cible et classée selon son urgence et sa gravité. Le plan doit être séquencé de manière logique, car les axes de travail ultérieurs dépendent des résultats des précédents. Lorsque les entreprises disposent déjà de ces éléments mais que ceux-ci s’avèrent insuffisants, la solution réside dans une adaptation ciblée, et non dans une réinvention. Les entreprises qui conçoivent dès le départ leur système dans une optique d’efficacité multi-réglementaire se trouveront dans une position bien plus solide que celles qui considèrent cet exercice comme une raison de repartir de zéro.

5.2 Conduire le changement grâce aux contributions réglementaires

La mise en œuvre de la directive CS3D est un processus continu, et non un événement ponctuel. Trois axes de travail parallèles sont actuellement en cours, et les entreprises peuvent s’engager simultanément dans les trois : la mise en œuvre nationale dans chaque État membre ; la consultation sur les lignes directrices de la CE (ouverte jusqu’au 24 juillet 2026) visant à alimenter ces lignes directrices ; et les dispositifs de diligence raisonnable volontaires et collaboratifs que la CS3D reconnaît comme des outils de mise en œuvre à l’échelle sectorielle.

Celles-ci offrent l’occasion de clarifier les choses, de façonner les règles et de réduire l’incertitude qui entoure actuellement plusieurs des dispositions les plus marquantes de la directive. Les entreprises qui tirent parti de cette opportunité et apportent des contributions concrètes, fondées sur des preuves et l’expérience, ont plus de chances de voir leurs préoccupations prises en compte dans les lignes directrices et la législation nationale.
Au Luxembourg, le ministère de l’Économie conserve un pouvoir discrétionnaire sur plusieurs points, notamment la désignation de l’autorité de contrôle, la fixation du niveau des sanctions et l’interaction entre la CS3D et les cadres nationaux existants. Le ministère a invité les entreprises et leurs associations à lui faire part de leurs contributions concrètes à la rédaction des textes sur ces questions.

Les lignes directrices de la Commission européenne régiront la manière dont les entreprises démontrent leur conformité et dont les autorités l’évaluent ; elles sont élaborées en tenant compte des contributions des parties prenantes avant que toute législation nationale n’entre pleinement en vigueur. Il s’agit là d’une occasion pour les entreprises de contribuer au cadre d’interprétation avant que ces concepts ne se concrétisent dans la pratique d’application.

Les entreprises ont régulièrement soulevé, au Luxembourg et au niveau de l’UE, les questions suivantes :

(i) Un cadre fondé sur les risques et axé sur les processus. Les obligations fondamentales de diligence raisonnable prévues par la directive CS3D sont des obligations de moyens, et non de résultat. Une entreprise qui met en œuvre des processus raisonnables et proportionnés, qui documente sa logique de hiérarchisation des priorités et qui agit de bonne foi sur la base des informations disponibles à ce moment-là n’est pas responsable du simple fait qu’un impact négatif persiste. Cette distinction doit être reprise dans le droit national et dans l’exposé des motifs accompagnant la législation de transposition afin d’éviter que, dans la pratique, les autorités de contrôle ou les tribunaux ne considèrent la persistance d’un impact négatif comme une preuve de non-conformité, même lorsque des mesures appropriées ont été prises.

(ii) Architecture de mise en œuvre. Les entreprises souhaitent un modèle de surveillance axé sur les orientations et les processus, qui évalue si des mécanismes de diligence raisonnable appropriés sont en place plutôt que de présumer une non-conformité du fait de la persistance d’impacts négatifs.

(iii) Responsabilité civile. Les entreprises ont souligné la nécessité que la transposition nationale confirme expressément que la directive CS3D établit des obligations de moyens fondées sur les processus, et non une responsabilité stricte ou fondée sur les résultats, et que les cadres nationaux existants en matière de responsabilité civile délictuelle s’appliquent sans extension procédurale.

(iv) Conception des sanctions. Les entreprises souhaitent, tant au niveau national qu’au niveau de l’UE, un régime progressif qui considère les décisions de hiérarchisation prises de bonne foi, la coopération et les mesures correctives comme des circonstances atténuantes explicites, et qui réserve les sanctions pécuniaires aux cas de non-conformité graves ou persistants.

(v) Traitement des cadres volontaires. Les lignes directrices de la Commission européenne et la mise en œuvre nationale doivent préciser que la participation à des initiatives volontaires, à des certifications ou à des programmes sectoriels n’entraîne aucun effet contraignant, aucune présomption probatoire et aucune valeur implicite de conformité au titre de la directive CS3D, à moins d’être formellement reconnue dans le cadre des mécanismes propres à la directive. Une préoccupation soulevée à maintes reprises par les entreprises est que les instruments de droit non contraignant risquent d’être transformés en références de facto par la pratique des autorités de contrôle ou par voie de contentieux avant même que les règles ne soient correctement établies.

Plus généralement, le cadre de conformité est encore en cours d’élaboration, et les entreprises sont des participants légitimes à ce processus.

6. Observations finales

La directive CS3D marque un véritable tournant quant à la signification de la diligence raisonnable et à ses destinataires : plutôt que de protéger l’entreprise contre les risques externes, elle garantit que l’entreprise n’impose pas de risques néfastes aux personnes et à la planète. Les trois années qui nous séparent de la date d’application de 2029 doivent être considérées comme une opportunité pour concevoir un programme de manière réfléchie, et non comme une période pendant laquelle il faut simplement attendre que l’incertitude réglementaire se dissipe.

L’évaluation des lacunes constitue le point de départ idéal : elle recense ce qui existe déjà, le met en correspondance avec l’annexe I et l’écosystème réglementaire au sens large, et aboutit à un plan d’action pouvant faire l’objet d’un suivi plutôt que d’une simple déclaration.

Le cadre réglementaire lui-même est encore en cours d’élaboration à travers la mise en œuvre nationale, le processus de lignes directrices de la Commission européenne au titre de l’article 19 et le développement de systèmes sectoriels reconnus, sur lesquels les entreprises disposant d’une expérience opérationnelle et de positions de conformité documentées sont bien placées pour exercer une influence.

En 2029, les entreprises les mieux placées ne seront pas celles qui agiront le plus vite, mais celles qui agiront de manière réfléchie. Un programme capable de résister à un examen minutieux doit reposer sur une compréhension claire du modèle économique, une évaluation rigoureuse des obligations et des mesures existantes, ainsi qu’une structure de gouvernance reliant les services des achats, des affaires juridiques, de la conformité, du développement durable et le conseil d’administration. L’objectif ultime est d’être manifestement en conformité.