.png)
.webp)
.svg)
.svg)
.svg)
.png)
.png)
.jpg)
%20F%20(1).jpeg)
.webp)
Login
La loi n° 2017-399 du 27 mars 2017 oblige les grandes sociétés françaises à établir, publier et mettre en œuvre un plan de vigilance qui prévient les atteintes graves aux droits humains, à la santé, à la sécurité et à l'environnement, chez elles, dans leurs filiales et chez leurs fournisseurs. Codifiée aux articles L. 225-102-4 et L. 225-102-5 du Code de commerce, elle reste applicable en 2026, indépendamment de la CS3D révisée par l'Omnibus. Pour le conseil, le plan est un document de gouvernance qui engage la responsabilité civile de la société.
- La loi vise les sociétés qui emploient, à la clôture de deux exercices consécutifs, au moins 5 000 salariés avec leurs filiales françaises, ou au moins 10 000 salariés avec leurs filiales en France et à l'étranger.
- Le plan de vigilance comprend cinq mesures : cartographie des risques, procédures d'évaluation, actions d'atténuation, mécanisme d'alerte et dispositif de suivi.
- Une société mise en demeure dispose de trois mois pour se conformer ; au-delà, le tribunal judiciaire de Paris, seul compétent, peut lui enjoindre de le faire.
- Le 17 juin 2025, la cour d'appel de Paris a rendu son premier arrêt au fond et exigé une cartographie précise, hiérarchisée et réellement articulée avec les autres mesures du plan.
- La CS3D révisée par l'Omnibus ne s'appliquera qu'à partir du 26 juillet 2029 ; d'ici là, la loi de 2017 reste le régime de référence en France.
Quelles sociétés sont soumises au devoir de vigilance ?
Le champ de la loi repose sur un critère d'effectif, apprécié au niveau du groupe et non de la seule société mère. Aucun critère de chiffre d'affaires n'entre en jeu.
- Seuil France. Au moins 5 000 salariés employés par la société et ses filiales directes ou indirectes dont le siège social est fixé sur le territoire français.
- Seuil monde. Au moins 10 000 salariés employés par la société et ses filiales directes ou indirectes dont le siège est en France ou à l'étranger.
- Deux exercices consécutifs. Le seuil s'apprécie à la clôture de deux exercices successifs, ce qui évite qu'un pic d'effectif ponctuel déclenche l'obligation.
- Périmètre de la vigilance. Le plan couvre les activités de la société, celles des sociétés qu'elle contrôle au sens de l'article L. 233-16 du Code de commerce, et celles des sous-traitants et fournisseurs avec lesquels est entretenue une relation commerciale établie.
La loi ne publie pas de liste des sociétés concernées : c'est à chaque groupe d'apprécier sa situation, et au conseil de s'assurer que ce test est réalisé chaque année. Le cadre général des textes qui s'imposent aux sociétés françaises est présenté dans notre article sur les lois et normes de gouvernance d'entreprise en France.
Les cinq mesures du plan de vigilance
L'article L. 225-102-4 du Code de commerce fixe le contenu minimal du plan. Il a vocation à être élaboré en association avec les parties prenantes de la société, et il est publié, avec le compte rendu de sa mise en œuvre effective, dans le rapport de gestion.
- Cartographie des risques. Identifier, analyser et hiérarchiser les risques d'atteintes graves aux droits humains, aux libertés fondamentales, à la santé, à la sécurité et à l'environnement.
- Procédures d'évaluation régulière. Évaluer la situation des filiales, sous-traitants et fournisseurs au regard de la cartographie.
- Actions d'atténuation et de prévention. Mettre en place des actions adaptées pour réduire les risques ou prévenir les atteintes graves.
- Mécanisme d'alerte. Recueillir les signalements relatifs à l'existence ou à la réalisation des risques, dispositif établi en concertation avec les organisations syndicales représentatives de la société.
- Dispositif de suivi. Suivre les mesures mises en œuvre et évaluer leur efficacité.
Le mécanisme d'alerte ne se confond pas avec le dispositif de signalement des lanceurs d'alerte issu de la loi Waserman, même si de nombreux groupes mutualisent les canaux. La logique de cartographie, elle, rappelle celle du programme anticorruption de la loi Sapin II.
Mise en demeure, injonction, responsabilité : ce que vérifie le juge
La loi ne prévoit pas de sanction pénale. Son effectivité repose sur trois leviers judiciaires et sur un juge unique.
- Mise en demeure de trois mois. Toute personne justifiant d'un intérêt à agir peut mettre la société en demeure de respecter ses obligations ; à l'issue d'un délai de trois mois, le juge peut lui enjoindre de le faire, le cas échéant sous astreinte.
- Responsabilité civile. Le manquement engage la responsabilité de la société dans les conditions des articles 1240 et 1241 du Code civil : elle répare le préjudice que l'exécution de ses obligations aurait permis d'éviter.
- Pas d'amende civile. L'amende prévue par le texte voté a été censurée par le Conseil constitutionnel (décision n° 2017-750 DC du 23 mars 2017).
- Un juge unique. Depuis la loi n° 2021-1729 du 22 décembre 2021, le tribunal judiciaire de Paris est seul compétent pour ces actions.
La jurisprudence précise désormais le niveau d'exigence. Après une première décision au fond du tribunal judiciaire de Paris le 5 décembre 2023, la cour d'appel de Paris a, le 17 juin 2025, ordonné à une société de compléter son plan sur quatre points :
- Une cartographie précise et hiérarchisée. Les risques doivent être identifiés, analysés et classés de façon distincte, même sous forme synthétique, et non décrits en termes généraux.
- Des procédures d'évaluation alignées. L'évaluation des tiers doit découler des risques effectivement cartographiés.
- Une concertation syndicale réelle. Le mécanisme d'alerte suppose un dialogue effectif avec les organisations syndicales, et c'est à la société d'en apporter la preuve.
- Un dispositif de suivi complet. Le suivi doit permettre d'évaluer l'efficacité de chaque mesure.
Loi de 2017 et CS3D après l'Omnibus
La directive CS3D transpose à l'échelle européenne la logique de la loi française, mais la directive Omnibus (UE) 2026/470 en a réduit le champ et reporté l'application. Les deux régimes ne se superposent pas encore.
| Critère | Loi n° 2017-399 | CS3D après l'Omnibus |
|---|---|---|
| Champ | 5 000 salariés en France ou 10 000 dans le monde, sans critère de chiffre d'affaires | Plus de 5 000 salariés et plus de 1,5 milliard d'euros de chiffre d'affaires net mondial (sociétés de l'UE) |
| Application | En vigueur depuis 2017 | 26 juillet 2029, après une transposition attendue au plus tard le 26 juillet 2028 |
| Méthode | Plan en cinq mesures publié dans le rapport de gestion | Approche fondée sur les risques : exercice de cadrage, puis évaluation approfondie des zones à risque |
| Responsabilité | Responsabilité civile de droit commun | Régime européen harmonisé supprimé, renvoi au droit national |
| Sanctions | Injonction, astreinte, réparation du préjudice | Sanctions pécuniaires plafonnées à 3 % du chiffre d'affaires net mondial |
| Plan de transition climatique | Non prévu par la loi | Obligation supprimée par l'Omnibus |
La transposition devra articuler les deux régimes, d'autant que l'Omnibus renforce l'harmonisation des dispositions centrales de la directive. Ses modalités ne sont pas encore fixées : les groupes soumis à la loi de 2017 n'ont aucune raison de relâcher leur plan d'ici 2029.
Le rôle du conseil d'administration
La loi désigne la société, mais le contentieux se joue sur la preuve : une cartographie datée, une concertation documentée, des indicateurs suivis. Le conseil est l'instance qui rend cette preuve possible.
- Attribuer la supervision. Confier explicitement le suivi du plan à un comité (RSE, audit ou risques) et l'inscrire dans le règlement intérieur.
- Revoir la cartographie chaque année. Vérifier qu'elle est hiérarchisée et qu'elle commande les procédures d'évaluation, comme l'exige désormais la jurisprudence.
- Contrôler la concertation syndicale. Demander la trace écrite des échanges ayant conduit au mécanisme d'alerte.
- Suivre les indicateurs. Examiner le compte rendu de mise en œuvre avant son intégration au rapport de gestion.
- Tracer les délibérations. Conserver ordres du jour, documents examinés et procès-verbaux : ce sont les pièces produites en cas de mise en demeure.
Ces travaux s'inscrivent dans le cycle des réunions du conseil et de ses comités et dans la gouvernance RSE de la société. Les textes complets sont disponibles sur Légifrance, et la position européenne sur la page de la Commission européenne consacrée à la CS3D.
Questions fréquemment posées
Les sociétés qui emploient, à la clôture de deux exercices consécutifs, au moins 5 000 salariés avec leurs filiales françaises, ou au moins 10 000 salariés avec leurs filiales en France et à l'étranger. Le seuil s'apprécie au niveau du groupe.
Cinq mesures : une cartographie des risques, des procédures d'évaluation des filiales et des fournisseurs, des actions d'atténuation, un mécanisme d'alerte établi avec les syndicats représentatifs et un dispositif de suivi. Le plan et son compte rendu sont publiés dans le rapport de gestion.
La société peut être mise en demeure puis, après trois mois, se voir enjoindre par le juge de respecter ses obligations, le cas échéant sous astreinte. Elle engage aussi sa responsabilité civile ; l'amende civile initialement prévue a été censurée par le Conseil constitutionnel.
Pas à ce stade. La CS3D révisée par l'Omnibus s'appliquera à partir du 26 juillet 2029, après transposition ; la loi de 2017 reste applicable en l'état et la manière dont les deux régimes seront articulés n'est pas encore arrêtée.
Le tribunal judiciaire de Paris, seul compétent depuis la loi du 22 décembre 2021. Les appels sont portés devant la cour d'appel de Paris, qui a rendu son premier arrêt au fond en juin 2025.
Admincontrol Board Portal réunit dossiers de comité, procès-verbaux et signatures électroniques dans un espace sécurisé, avec des droits d'accès définis par dossier et une piste d'audit complète. Admincontrol Board Evaluation permet d'ajouter au questionnaire d'évaluation du conseil des questions dédiées à la supervision de la vigilance.
Découvrez Admincontrol Board Portal Découvrez Admincontrol Board Evaluation