Devoir de vigilance et loi de 2017 : quels seuils d'assujettissement pour les entreprises ?

La France a été le premier pays au monde à imposer, par la loi, un devoir de vigilance aux grandes entreprises sur l'ensemble de leur chaîne de valeur. Adoptée près de sept ans avant que l'Union européenne ne se dote de son propre texte en la matière, la loi n° 2017-399 du 27 mars 2017 continue aujourd'hui de produire ses effets, y compris devant les tribunaux : les audiences au fond du procès intenté contre TotalEnergies sur ce fondement se sont ouvertes en février 2026, confirmant que ce dispositif n'a rien d'un texte resté lettre morte.

Pour un dirigeant, un directeur juridique ou une direction des achats, la première question à trancher reste pourtant la plus simple en apparence : mon entreprise, ou mon groupe, franchit-il les seuils qui déclenchent cette obligation ? Cet article revient sur l'origine de la loi, détaille précisément ses seuils d'assujettissement, présente le contenu attendu du plan de vigilance, expose les sanctions applicables et situe ce dispositif français par rapport à la directive européenne CS3D, elle-même récemment remaniée par la réforme Omnibus.

La loi du 27 mars 2017 : origine et objectif du devoir de vigilance

Avant d'examiner les seuils eux-mêmes, il est utile de comprendre pourquoi la France a légiféré sur ce sujet dès 2017, et ce que le législateur a cherché à atteindre. Cette genèse éclaire directement la logique retenue pour circonscrire le champ d'application du texte.

Le contexte d'adoption

La loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre trouve son origine dans une prise de conscience largement internationale des risques attachés à l'externalisation des chaînes de production. L'effondrement du Rana Plaza au Bangladesh en 2013, qui a coûté la vie à plus de mille employés d'ateliers textiles sous-traitants de marques occidentales, a joué un rôle déclencheur direct dans l'élaboration de ce texte. La proposition de loi, débattue pendant plusieurs années au Parlement, a finalement abouti en mars 2017, faisant de la France le premier État à transformer en obligation juridique contraignante ce qui relevait jusque-là de démarches volontaires ou de simples recommandations internationales.

L'objectif poursuivi par le législateur

Le texte de 2017 vise moins à sanctionner après coup les atteintes graves qu'à imposer une démarche de prévention en amont. Il transpose en droit dur des standards jusque-là seulement incitatifs, tels que les Principes directeurs des Nations Unies relatifs aux entreprises et aux droits de l'homme ou les Principes directeurs de l'OCDE à l'intention des entreprises multinationales. En obligeant les grandes sociétés à cartographier leurs risques et à agir en conséquence, le législateur français entendait responsabiliser les sociétés mères et donneuses d'ordre pour des atteintes qui, sans ce texte, restaient souvent hors de portée du droit applicable à leurs filiales ou sous-traitants étrangers.

Les seuils d'assujettissement de la loi de 2017

C'est le point sur lequel une entreprise ou son conseil doit obtenir une réponse rapide et précise, car les critères retenus par le législateur français diffèrent sensiblement de ceux que l'on retrouve dans les textes européens plus récents. Le tableau ci-dessous synthétise les deux seuils alternatifs prévus par la loi, avant le détail de chacun d'eux.

Le seuil de 5 000 salariés en France

Le premier critère retenu par la loi vise les sociétés qui emploient, en France, au moins 5 000 salariés, en tenant compte à la fois de leur propre effectif et de celui de leurs filiales directes ou indirectes également implantées sur le territoire national. Ce premier seuil est assorti d'une condition supplémentaire : la société tenue d'établir le plan de vigilance doit avoir son siège social fixé en France. Une société mère étrangère ne peut donc pas être directement soumise à cette obligation au titre de ce seuil, quand bien même son groupe emploierait plus de 5 000 salariés sur le territoire français par le biais de ses filiales.

Le seuil de 10 000 salariés dans le monde

Le second critère élargit le champ d'application à l'échelle mondiale : sont concernées les sociétés qui emploient, en leur sein et dans leurs filiales directes ou indirectes, au moins 10 000 salariés dans le monde. À la différence du premier seuil, celui-ci ne subordonne pas l'assujettissement à une localisation du siège social en France : les filiales concernées peuvent être établies en France ou à l'étranger. C'est ce second seuil qui confère au texte français une portée particulièrement large, puisqu'il peut, dans certaines configurations, rattacher au dispositif des groupes dont la présence en France reste limitée, dès lors que leur effectif mondial consolidé dépasse le seuil retenu.

Aucun des deux seuils, ni celui de 5 000 salariés en France, ni celui de 10 000 salariés dans le monde, ne repose sur un critère de chiffre d'affaires. Ce choix distingue nettement la loi française des textes européens ultérieurs, qui combinent systématiquement un critère d'effectif et un critère financier.

Les formes sociales concernées

La loi de 2017 ne s'applique qu'aux sociétés par actions, c'est-à-dire aux sociétés anonymes, aux sociétés en commandite par actions et aux sociétés par actions simplifiées. Les autres formes sociales, telles que les sociétés à responsabilité limitée ou les sociétés civiles, échappent au dispositif même lorsqu'elles dépassent, en tant que groupe, les seuils d'effectifs mentionnés ci-dessus. Cette restriction aux sociétés par actions explique que certains groupes de taille comparable, mais structurés sous une autre forme sociale, ne soient pas soumis à la même obligation.

Le mode de calcul du périmètre de groupe

Le calcul des seuils ne s'effectue jamais au niveau de la seule société mère prise isolément : il intègre systématiquement les effectifs de l'ensemble des filiales, directes comme indirectes, quelle que soit leur implantation géographique pour le seuil mondial. Ce mode de calcul cumulatif a pour effet mécanique d'élargir fortement le périmètre des entreprises concernées par rapport à ce que suggérerait une lecture isolée de la société mère. Prenons un exemple concret : un groupe français dont la société mère n'emploie directement que 3 000 salariés en France peut néanmoins être soumis au devoir de vigilance dès lors que l'ensemble de ses filiales, en France et à l'étranger, porte l'effectif consolidé au-delà de 10 000 salariés dans le monde. À l'inverse, un groupe purement national dont l'effectif resterait cantonné à 4 000 salariés en France, sans filiale à l'étranger, resterait hors du champ d'application, même si son activité présente des enjeux importants en matière de droits humains ou d'environnement.

Le contenu obligatoire du plan de vigilance

Une fois les seuils vérifiés, la question se déplace naturellement vers le contenu même du document que la société doit établir, publier et surtout mettre en œuvre de façon effective. La loi ne se contente pas d'exiger un document formel : elle précise les composantes minimales que ce plan doit comporter pour satisfaire à l'obligation légale.

Les cinq mesures constitutives du plan

Le plan de vigilance doit comprendre une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation, afin de permettre à la société de concentrer ses efforts sur les enjeux les plus significatifs. Il doit également prévoir des procédures d'évaluation régulière de la situation des filiales, des sous-traitants et des fournisseurs avec lesquels une relation commerciale établie est entretenue. À ces éléments d'analyse s'ajoutent des actions adaptées d'atténuation des risques ou de prévention des atteintes graves identifiées, .un mécanisme d'alerte et de recueil des signalements, élaboré en concertation avec les organisations syndicales représentatives et dont la structuration s'inspire largement de la procédure interne déjà exigée par la loi Sapin 2, ainsi qu'un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.

Les modalités de publication

Le plan de vigilance doit être publié et inclus dans le rapport de gestion de la société, rendu ainsi accessible aux actionnaires comme aux tiers intéressés. Cette exigence de publicité ne dispense toutefois pas d'une mise en œuvre réelle des mesures annoncées : la jurisprudence récente montre que les juridictions n'hésitent pas à examiner, au fond, si le contenu du plan correspond à une démarche effective plutôt qu'à un exercice de communication.

Le périmètre des risques couverts et de la chaîne de valeur

Le plan de vigilance ne porte pas sur l'ensemble indifférencié des risques auxquels une entreprise peut être exposée : la loi circonscrit précisément la nature des atteintes visées, ainsi que les entités dont l'activité doit être prise en compte dans cette démarche de prévention.

Les atteintes visées par le texte

Trois catégories d'atteintes sont couvertes par le devoir de vigilance : les atteintes graves envers les droits humains et les libertés fondamentales, les atteintes à la santé et à la sécurité des personnes, et les atteintes à l'environnement. Cette formulation large permet d'englober aussi bien des situations de travail forcé ou d'exploitation dans une chaîne de sous-traitance que des risques industriels ou des dommages environnementaux résultant de l'activité du groupe ou de ses partenaires commerciaux.

Cette même logique de protection des droits fondamentaux se retrouve, sous une forme différente, dans la définition du système d'IA à haut risque posée par l'AI Act, qui soumet à un régime renforcé les usages de l'intelligence artificielle susceptibles d'affecter les droits des personnes, notamment dans l'emploi ou la biométrie.

Le périmètre d'entités concernées

La vigilance exigée par la loi ne s'arrête pas aux frontières juridiques de la société mère elle-même. Elle s'étend aux activités de la société, à celles des sociétés qu'elle contrôle directement ou indirectement, ainsi qu'aux activités des sous-traitants et fournisseurs avec lesquels est entretenue une relation commerciale établie. Ce périmètre élargi constitue l'une des spécificités majeures du texte français : il ne se limite pas à la seule structure capitalistique du groupe, mais intègre également sa chaîne commerciale, dès lors que la relation avec le partenaire présente un caractère suffisamment stable et régulier.

La notion de relation commerciale établie

Déterminer jusqu'où la vigilance doit s'étendre dans la chaîne de sous-traitance suppose de qualifier ce que recouvre une relation commerciale établie, notion centrale mais dont les contours précis restent affinés au fil du contentieux. Une relation ponctuelle ou strictement occasionnelle ne suffit pas à faire entrer un fournisseur dans le périmètre du plan de vigilance ; à l'inverse, un partenaire avec lequel la société entretient des échanges commerciaux stables et réguliers, même sans lien capitalistique, peut relever de cette qualification. La question des rangs de sous-traitance les plus éloignés, c'est-à-dire des fournisseurs des fournisseurs, demeure l'un des points les plus délicats à sécuriser en pratique, la société devant s'appuyer sur les informations raisonnablement accessibles pour construire sa cartographie.

Les sanctions et le contentieux du devoir de vigilance

Le dispositif de 2017 a connu, dès son adoption, une évolution notable de son volet répressif, avant de trouver, ces dernières années, une traduction contentieuse concrète devant les juridictions françaises. Cette section revient sur le mécanisme de sanction tel qu'il existe aujourd'hui, puis sur l'actualité judiciaire la plus emblématique du dispositif.

La censure de l'amende civile par le Conseil constitutionnel

Le texte initialement adopté par le Parlement prévoyait une amende civile pouvant être prononcée en cas de manquement à l'obligation d'établir, de publier ou de mettre en œuvre un plan de vigilance. Le Conseil constitutionnel a censuré ce mécanisme, au motif que les manquements susceptibles d'être sanctionnés n'étaient pas définis avec une précision suffisante au regard des exigences constitutionnelles de légalité des délits et des peines. Il en résulte que la loi de 2017, dans sa version en vigueur, ne comporte plus de sanction pécuniaire autonome propre au défaut de plan de vigilance.

Le mécanisme de mise en demeure et l'injonction sous astreinte

En l'absence d'amende civile, le législateur a conservé un mécanisme de mise en demeure. Toute personne justifiant d'un intérêt à agir peut mettre en demeure une société de respecter ses obligations légales. Si cette mise en demeure reste sans effet à l'expiration d'un délai de trois mois, la personne intéressée peut saisir la juridiction compétente afin qu'elle enjoigne à la société de se conformer à ses obligations, le cas échéant sous astreinte. Ce mécanisme, moins direct qu'une sanction pécuniaire automatique, n'en constitue pas moins un levier de contrainte réel, dont la mise en œuvre passe nécessairement par le juge.

La responsabilité civile de droit commun

Indépendamment du mécanisme de mise en demeure et d'injonction, la responsabilité civile de droit commun demeure pleinement mobilisable en cas de dommage résultant d'un manquement au devoir de vigilance. Cette voie suppose de démontrer une faute, consistant en l'absence de plan de vigilance ou en son insuffisance, un préjudice, et un lien de causalité entre cette faute et le dommage allégué. La loi prévoit également la possibilité, pour le juge, d'ordonner la publication de sa décision, ce qui confère à la sanction une dimension réputationnelle non négligeable pour les groupes concernés.

Le contentieux en cours : l'exemple du procès TotalEnergies

Le devoir de vigilance français a longtemps été perçu comme un texte davantage incitatif que réellement contraignant, faute de précédents judiciaires significatifs. Cette perception a évolué avec l'ouverture, en février 2026, des audiences au fond du procès intenté contre le groupe TotalEnergies par plusieurs associations, sur le fondement d'un manquement allégué à son obligation de vigilance en matière de changement climatique. Ce contentieux, quelle que soit son issue, constitue un test grandeur nature de la justiciabilité effective du dispositif : il illustre que les juridictions françaises sont disposées à examiner, au fond, le contenu et la mise en œuvre réelle d'un plan de vigilance, et non plus seulement son existence formelle.

L'articulation avec la directive européenne CS3D

La loi française de 2017 ne constitue plus aujourd'hui le seul texte applicable en matière de devoir de vigilance : l'Union européenne s'est dotée, en 2024, de son propre dispositif, profondément remanié depuis par la réforme Omnibus. Comprendre l'articulation entre ces deux régimes est devenu indispensable pour toute entreprise soumise, ou susceptible de l'être, à l'un ou l'autre de ces textes.

Il est utile ici de ne pas confondre la CS3D avec la CSRD, autre texte européen majeur mais poursuivant un objet distinct : la CSRD impose une obligation de reporting de durabilité, tandis que la CS3D impose une obligation d'action et de prévention. Les seuils d'assujettissement de ces deux textes, également remaniés par l'Omnibus, ne se recoupent d'ailleurs pas.

Une filiation assumée mais des seuils différents

La directive CS3D, adoptée le 13 juin 2024 sous la référence directive (UE) 2024/1760, reprend largement la méthodologie du devoir de vigilance français, qu'elle généralise à l'échelle de l'Union. Le paquet Omnibus, publié au Journal officiel de l'Union européenne le 26 février 2026 sous la référence directive 2026/470, a toutefois relevé de façon très significative les seuils d'assujettissement initialement prévus par la CS3D. Ces seuils sont désormais fixés à plus de 5 000 salariés et plus de 1,5 milliard d'euros de chiffre d'affaires net mondial, contre 1 000 salariés et 450 millions d'euros dans la version initiale du texte. La différence la plus structurante avec le droit français demeure toutefois méthodologique plus que quantitative : la loi de 2017 ne retient aucun critère de chiffre d'affaires, alors que la CS3D combine systématiquement un seuil d'effectif et un seuil financier.

Tableau comparatif entre la loi française et la CS3D

Le calendrier de transposition et de coexistence des deux régimes

Les États membres disposent d'un délai courant jusqu'au 26 juillet 2028 pour transposer la directive CS3D en droit national, son application effective étant fixée au 26 juillet 2029. Dans l'intervalle, la loi française de 2017 continue de s'appliquer selon ses propres critères, sans qu'aucune disposition ne prévoie son abrogation automatique à l'échéance de la transposition européenne. Les entreprises déjà soumises au dispositif français ont donc intérêt à anticiper, dès à présent, la convergence progressive attendue entre les deux régimes, plutôt que d'attendre l'échéance de transposition pour ajuster leur plan de vigilance aux exigences complémentaires introduites par le texte européen, telles que l'évaluation structurée des incidences négatives ou la mise en place de mécanismes de plainte formalisés.

Nous détaillons, dans un article dédié, l'état précis de cette transposition et le calendrier applicable, à ce jour toujours en attente en droit français.

Comment sécuriser la conformité de son plan de vigilance

Au-delà de la seule vérification des seuils, la sécurisation juridique d'un plan de vigilance suppose une démarche organisationnelle et contractuelle qui dépasse le strict exercice de rédaction du document.

Documenter les diligences pour limiter le risque contentieux

La jurisprudence récente montre que les juridictions examinent le contenu réel des diligences accomplies, et non la seule existence formelle du plan. Il est donc essentiel de conserver une traçabilité précise des démarches d'évaluation, des mises à jour successives de la cartographie des risques, et des échanges tenus avec les filiales, sous-traitants et fournisseurs concernés. Cette documentation constitue, en cas de contentieux, l'élément déterminant pour démontrer le caractère effectif de la démarche de vigilance.

Les clauses contractuelles à intégrer chez les fournisseurs

La relation avec les fournisseurs et sous-traitants gagne à être structurée par des clauses de coopération proportionnées, prévoyant la transmission d'informations nécessaires à l'évaluation des risques sans imposer une charge disproportionnée au partenaire commercial. Les entreprises françaises ont, sur ce point, intérêt à s'inspirer par anticipation des principes du value chain cap introduits par la CS3D au niveau européen, qui plafonnent les demandes d'informations adressées aux fournisseurs de taille plus modeste, même si ce mécanisme ne figure pas, à ce jour, dans le texte français de 2017.

Transformer le devoir de vigilance en outil de gouvernance

Le plan de vigilance gagne à être intégré aux instances de gouvernance de l'entreprise, qu'il s'agisse du conseil d'administration ou d'un comité dédié aux enjeux de responsabilité sociale et environnementale, plutôt que d'être traité comme une simple obligation documentaire portée par les seuls services juridiques. Cette intégration permet non seulement de mieux sécuriser la conformité du dispositif, mais aussi de le valoriser auprès des investisseurs et des donneurs d'ordre, pour lesquels la qualité du plan de vigilance devient progressivement un critère d'appréciation à part entière.

Foire aux questions sur les seuils du devoir de vigilance

Les questions suivantes reprennent, sous une forme synthétique, les points les plus fréquemment soulevés par les dirigeants et directions juridiques confrontés à ce dispositif.

Quelles entreprises sont soumises au devoir de vigilance depuis la loi du 27 mars 2017 ?

Sont soumises les sociétés par actions qui emploient, elles-mêmes et leurs filiales directes ou indirectes, au moins 5 000 salariés en France, ou au moins 10 000 salariés dans le monde. Ces deux seuils sont alternatifs : il suffit d'en remplir un seul pour être assujetti.

Comment se calculent les seuils de 5 000 et 10 000 salariés ?

Le calcul s'effectue de façon consolidée, en tenant compte de l'effectif de la société elle-même ainsi que de celui de l'ensemble de ses filiales, directes et indirectes. Pour le seuil de 5 000 salariés, seuls les effectifs situés en France sont pris en compte. Pour le seuil de 10 000 salariés, l'effectif mondial est retenu, sans considération de la localisation des filiales.

Le siège social doit-il être en France pour être concerné ?

Cette condition ne s'applique qu'au seuil de 5 000 salariés en France, pour lequel la société tenue d'établir le plan de vigilance doit avoir son siège social fixé en France. Le seuil de 10 000 salariés dans le monde ne comporte pas cette exigence et peut donc concerner une société mère dont le siège est situé en France ou à l'étranger.

Quelles sanctions en cas d'absence de plan de vigilance ?

Le mécanisme initial d'amende civile a été censuré par le Conseil constitutionnel. La loi conserve néanmoins un dispositif de mise en demeure pouvant déboucher sur une injonction sous astreinte prononcée par le juge, ainsi que la possibilité d'engager la responsabilité civile de droit commun de la société en cas de dommage lié à un manquement au devoir de vigilance.

La loi de 2017 et la CS3D s'appliquent-elles aux mêmes entreprises ?

Non. La loi française retient des seuils fondés exclusivement sur l'effectif, sans critère de chiffre d'affaires, tandis que la CS3D, après la réforme Omnibus, exige de dépasser simultanément 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires net mondial. Une entreprise peut donc relever de l'un des deux régimes sans relever de l'autre, selon sa configuration précise.

Conclusion

La loi du 27 mars 2017 repose sur une architecture volontairement simple dans son principe, mais dont l'application concrète appelle une vérification rigoureuse : deux seuils alternatifs, fondés exclusivement sur l'effectif, un périmètre de calcul qui intègre l'ensemble du groupe, et une extension aux sous-traitants et fournisseurs entretenant une relation commerciale établie. L'absence de tout critère de chiffre d'affaires, à la différence de la CS3D européenne, constitue l'une des spécificités les plus marquantes de ce texte pionnier.

Près de neuf ans après son adoption, le dispositif trouve aujourd'hui une traduction contentieuse concrète, comme l'illustre le procès en cours contre TotalEnergies. Cette logique de responsabilisation sur l'ensemble d'une chaîne de dépendance ne se limite d'ailleurs pas aux droits humains et à l'environnement : le secteur financier connaît un mécanisme comparable avec le règlement DORA et la supervision des prestataires informatiques critiques, qui vise cette fois la stabilité systémique plutôt que les atteintes graves aux personnes ou à l'environnement.

Pour les sociétés qui demeurent soumises à ce texte, l'enjeu ne se limite donc plus à la seule rédaction d'un plan de vigilance conforme sur le papier : il s'agit de documenter une démarche réellement effective, tout en anticipant la convergence progressive attendue avec le régime européen de la CS3D, dont les seuils, sensiblement plus élevés depuis la réforme Omnibus, ne recoupent que partiellement ceux du droit français.

‍