La CS3D impose un devoir de vigilance européen aux très grandes entreprises. Elle concerne les droits humains et l’environnement. Cette directive oblige les entreprises visées à identifier, prévenir, atténuer et traiter les incidences négatives liées à leurs activités.
La directive CS3D est également appelée CSDDD, pour Corporate Sustainability Due Diligence Directive. Son cadre a changé après l’adoption initiale de 2024, notamment avec la directive (UE) 2026/470. Pour replacer la CS3D dans son environnement juridique, consultez notre guide consacré à la réglementation RSE.
La CS3D ne demande pas seulement de publier des engagements. Elle impose une démarche documentée de diligence raisonnable, avec une logique de preuves, de suivi et d’amélioration.
Qu’est-ce que la CS3D ou CSDDD ?
La CS3D est la directive européenne 2024/1760 sur le devoir de vigilance des entreprises en matière de durabilité. Elle est entrée en vigueur le 25 juillet 2024. Elle vise à harmoniser des règles nationales encore fragmentées, tout en s’appuyant sur des références internationales comme les Principes directeurs des Nations unies et les lignes directrices de l’OCDE sur la conduite responsable des entreprises.
La France disposait déjà d’une loi sur le devoir de vigilance depuis le 27 mars 2017. La CS3D reprend plusieurs principes de ce cadre, mais les organise à l’échelle européenne. Son objectif principal consiste à protéger les personnes et l’environnement contre les incidences négatives des activités économiques.
Que change l’Omnibus I pour la CS3D ?
La directive 2026/470 a modifié la CS3D dans le cadre du paquet européen Omnibus I. Le Conseil de l’Union européenne présente cette réforme comme une simplification des obligations de durabilité et de diligence raisonnable.
La mise à jour relève les seuils d’assujettissement et supprime certaines exigences du texte adopté en 2024. L’obligation d’adopter un plan de transition climatique au titre de la CS3D a notamment été retirée. Le régime européen harmonisé de responsabilité civile a également été supprimé. Les règles nationales restent donc déterminantes.
Le plafond maximal des sanctions financières atteint désormais 3 % du chiffre d’affaires net mondial pour les violations les plus graves. Les entreprises doivent donc suivre à la fois la directive européenne, les textes de transposition et les règles nationales déjà applicables.
Quelles entreprises sont concernées par la CS3D ?
Les nouveaux seuils limitent directement la directive aux entreprises disposant d’une influence économique très importante. Les entreprises européennes sont concernées lorsqu’elles dépassent 5 000 salariés et 1,5 milliard d’euros de chiffre d’affaires mondial net.
Les entreprises non européennes sont concernées lorsqu’elles réalisent plus de 1,5 milliard d’euros de chiffre d’affaires net dans l’Union européenne. Aucun seuil de salariés ne s’applique alors, puisque leurs effectifs peuvent être situés hors de l’Union.
Des règles particulières visent aussi certaines franchises et licences reposant sur une identité commerciale commune. Les seuils doivent être vérifiés avec les comptes consolidés, la structure du groupe, les redevances et le chiffre d’affaires du réseau concerné.
Les PME sont-elles concernées par la CS3D ?
Les microentreprises et PME ne sont pas directement assujetties aux obligations de la directive. Elles peuvent toutefois être concernées comme fournisseurs, sous-traitants ou partenaires d’une entreprise soumise à la CS3D.
Leurs clients pourront demander des informations sur les droits humains, l’environnement, les alertes ou les mesures correctives. Ils pourront aussi intégrer des exigences de vigilance dans les contrats, questionnaires et procédures de référencement. Une PME préparée répondra plus vite et limitera le risque de perdre un marché stratégique.
Quelle différence entre la CS3D et la loi française de vigilance ?
La loi française de vigilance repose principalement sur des seuils d’effectifs. Elle vise certaines sociétés employant 5 000 salariés en France, ou 10 000 salariés dans le monde.
La CS3D combine un seuil d’effectifs et un seuil de chiffre d’affaires pour les entreprises européennes. La loi française impose un plan de vigilance comprenant cinq composantes principales : cartographie, évaluation des partenaires, actions de prévention, mécanisme d’alerte et dispositif de suivi. La CS3D structure plutôt un processus continu de diligence raisonnable inspiré des étapes de l’OCDE.
La transposition française devra articuler ces deux systèmes avant le 26 juillet 2028. La loi française reste pleinement applicable pendant cette période aux entreprises déjà concernées.
Quelle différence entre la CS3D et la CSRD ?
La CS3D et la CSRD poursuivent des objectifs complémentaires. La CS3D impose des actions concrètes pour prévenir, réduire et traiter certaines incidences négatives. La CSRD encadre la publication d’informations de durabilité selon les ESRS.
La CS3D se concentre surtout sur les effets de l’entreprise sur les personnes et l’environnement. La CSRD applique une double matérialité, car elle couvre aussi les effets financiers des enjeux de durabilité sur l’entreprise. Les données issues de la vigilance peuvent néanmoins alimenter le reporting CSRD.
Quel périmètre couvre la chaîne d’activités ?
La CS3D concerne les opérations propres de l’entreprise et celles de ses filiales. Elle couvre aussi certaines activités menées par les partenaires commerciaux dans la chaîne d’activités.
Ce terme ne correspond pas exactement à la chaîne de valeur complète utilisée dans d’autres réglementations. Il vise principalement les activités amont liées à la production des biens ou à la fourniture des services. Certaines activités aval peuvent aussi entrer dans le périmètre selon leur lien avec la distribution ou le transport.
L’approche attendue reste ciblée. L’entreprise commence par localiser les zones présentant les risques majeurs. Les partenaires directs reçoivent généralement une attention prioritaire. Les partenaires indirects restent pertinents dans certaines zones sensibles.
Quelles sont les principales obligations de la CS3D ?
Intégrer la vigilance dans la gouvernance
L’entreprise doit intégrer le devoir de vigilance dans ses politiques et systèmes de gestion. Les achats, la RSE, le juridique, la conformité et les opérations doivent travailler ensemble. Une politique claire précise les objectifs, le périmètre, les responsabilités et les règles applicables aux partenaires.
Réaliser un exercice de cadrage des risques
La réforme privilégie un exercice initial de cadrage, souvent appelé scoping exercise. Cette analyse utilise les informations raisonnablement disponibles pour repérer les zones de risque élevé : pays, secteurs, produits, matières, opérations et catégories de partenaires.
Conduire une évaluation approfondie
Cette évaluation examine les incidences réelles et potentielles sur les droits humains et l’environnement. Elle peut mobiliser des audits, questionnaires, données publiques, alertes, entretiens et consultations locales. L’entreprise doit conserver les sources, hypothèses et décisions qui justifient sa hiérarchisation.
Prévenir, atténuer et réparer
Les risques potentiels nécessitent des mesures de prévention ou d’atténuation adaptées. L’entreprise peut modifier ses achats, ses délais, ses contrats ou ses pratiques tarifaires. Lorsqu’une incidence existe déjà, elle doit chercher à y mettre fin, à la réduire et à contribuer à la réparation lorsqu’elle a causé l’incidence ou participé directement à sa réalisation.
Mettre en place un mécanisme d’alerte
Un système accessible doit permettre de signaler les incidences réelles ou potentielles. Les canaux doivent protéger la confidentialité et limiter les représailles contre les personnes ayant signalé un problème. Chaque alerte nécessite un traitement documenté.
Consulter les parties prenantes
La consultation doit intervenir aux étapes où l’expérience des personnes affectées améliore réellement les décisions. Elle peut concerner l’identification des incidences, les plans d’action et les mesures de réparation.
Suivre l’efficacité et communiquer
L’entreprise définit des indicateurs cohérents avec les risques traités, les actions engagées et les résultats attendus. Les évaluations doivent être renouvelées après un changement important dans les activités ou les risques.
Quel calendrier s’applique à la CS3D ?
Les États membres doivent adopter et publier leurs mesures de transposition avant le 26 juillet 2028. Ils devront appliquer ces règles nationales à partir du 26 juillet 2029. Les obligations de communication prévues par l’article 16 concernent les exercices ouverts dès le 1er janvier 2030.
La Commission doit également publier des lignes directrices et des clauses contractuelles volontaires. Les principales orientations sont attendues avant juillet 2027, avec des compléments avant juillet 2028. Les entreprises disposent donc de plusieurs années, mais la collecte de données fournisseurs prend souvent du temps.
Quelles sanctions sont prévues ?
Chaque État membre désignera une ou plusieurs autorités chargées de contrôler la mise en œuvre. Ces autorités pourront demander des informations, conduire des enquêtes et ordonner certaines mesures correctives.
Les sanctions doivent rester effectives, proportionnées et dissuasives. Le plafond maximal des amendes atteint 3 % du chiffre d’affaires net mondial pour les violations les plus graves. Les décisions pourront aussi être publiées, créant un risque réputationnel supplémentaire.
Comment préparer une entreprise à la CS3D ?
- Confirmer l’assujettissement du groupe selon les seuils actuels.
- Nommer une gouvernance associant juridique, RSE, achats, risques, audit et opérations.
- Cartographier les entités, partenaires, produits, matières, pays et relations contractuelles.
- Comparer les pratiques existantes aux obligations futures et à la loi française applicable.
- Documenter les méthodes, sources, périmètres, hypothèses et justificatifs.
- Intégrer des exigences proportionnées dans les contrats fournisseurs.
- Former les équipes achats et commerciales aux signaux faibles et aux preuves attendues.
- Tester les procédures d’alerte, de consultation, de remédiation et de suivi.
Un outil numérique peut centraliser les risques, actions, documents, alertes et indicateurs. Cette base facilite ensuite les contrôles, le reporting CSRD, les réponses clients et les audits internes.
Quelles preuves faut-il conserver ?
La conformité dépend autant des actions réalisées que de leur traçabilité. L’entreprise doit conserver ses méthodes de cadrage, critères de priorité et sources d’information. Elle documente aussi les questionnaires, audits, entretiens, alertes et consultations conduits auprès des parties prenantes.
Chaque plan d’action doit comporter un responsable, une échéance, un statut et une preuve de réalisation. Les décisions de maintenir, suspendre ou rompre une relation commerciale doivent être justifiées. Les résultats doivent rester comparables dans le temps, avec des définitions et méthodes stables.
Comment valoriser commercialement les données issues de la CS3D ?
La CS3D produit des informations précieuses sur les fournisseurs, les risques, les alertes et les actions correctives. Ces données peuvent devenir des preuves commerciales lorsqu’elles sont fiables, contextualisées et adaptées au destinataire.
Les appels d’offres valorisent souvent une démarche structurée sur les droits humains, les achats responsables et l’environnement. Les dossiers de référencement peuvent intégrer les procédures d’alerte, les audits et les indicateurs de progression. Les équipes commerciales peuvent utiliser des fiches synthétiques par marché, produit ou chaîne d’approvisionnement.
Notre article sur la valorisation RSE explique comment transformer ces données en supports commerciaux cohérents et vérifiables. Une plateforme dédiée peut sélectionner les indicateurs pertinents, conserver les justificatifs et générer plusieurs formats de communication.
Conclusion
La CS3D instaure un devoir de vigilance européen ciblé sur les très grandes entreprises et leurs chaînes d’activités. La réforme européenne a relevé les seuils, simplifié l’analyse des risques et supprimé plusieurs obligations initiales. La directive conserve néanmoins un processus exigeant de prévention, d’atténuation, de réparation, de suivi et de communication.
Les entreprises doivent organiser leurs données avant l’application nationale des règles, sans attendre le dernier moment. Une démarche bien documentée protège l’entreprise et améliore aussi la confiance de ses partenaires commerciaux.
