Directive CS3D : obligations, entreprises concernées et calendrier (2026–2029)

Seuils d’application

Les deux critères (salariés et CA) doivent être atteints simultanément pour être soumis à la directive.

Entreprises européennes vs non-européennes

Les entreprises hors UE sont également concernées dès lors qu’elles atteignent les mêmes seuils de chiffre d’affaires réalisé dans l’Union européenne. La directive ne se limite donc pas aux groupes européens : elle vise toute entreprise opérant sur le marché européen à partir d’une certaine taille.

Et les PME ?

Les PME ne sont pas directement visées par la directive. Elles le sont indirectement : en tant que fournisseurs ou sous-traitants d’une entreprise assujettie, elles seront de plus en plus sollicitées pour fournir des informations sur leurs pratiques sociales et environnementales. La directive prévoit d’ailleurs que les donneurs d’ordre doivent soutenir leurs partenaires PME pour faciliter leur mise en conformité.

Un effet de cascade sur toute la chaîne

Même sans être directement soumises à la CS3D, les PME et ETI fournisseurs sont en première ligne. Les entreprises assujetties ont l’obligation de cartographier leurs chaînes d’approvisionnement, d’évaluer les risques à chaque maillon, et d’obtenir des garanties de leurs partenaires tiers. Concrètement, cela signifie que les fournisseurs devront répondre à des questionnaires d’évaluation, fournir des documents justificatifs et démontrer leur conformité sur des sujets tels que les droits du travail, la santé/sécurité, l’environnement ou l’égalité femme-homme.

Ce que les donneurs d’ordre vont exiger

• Des garanties contractuelles portant sur le respect des droits humains et des standards environnementaux
• Des déclarations et certifications régulièrement mises à jour
• Un accès à des données fiables et traçables sur les pratiques tout au long de la chaîne
• Dans certains cas, des plans de transition climatique ou de décarbonation des achats

Pourquoi l’évaluation des tiers devient incontournable ?

Face à ces exigences, les donneurs d’ordre doivent structurer un processus d’évaluation continue de leurs fournisseurs, intégrant des workflows de validation, une traçabilité documentaire et une cartographie dynamique des risques. Pour les fournisseurs, anticiper ces demandes — plutôt que de les subir — devient un facteur de compétitivité et de pérennité des relations commerciales.

Un devoir de vigilance élargi intégrant les enjeux climatiques

Les entreprises comprises dans le champ d’application devront :

• Intégrer le devoir de vigilance dans leurs politiques d’entreprise
• Réaliser les investissements nécessaires à leur mise en conformité
• Obtenir des garanties contractuelles de la part de leurs partenaires tiers
• Améliorer leur plan de gestion des risques
• Apporter leur soutien aux PME partenaires pour faciliter leur conformité

La directive exige également l’adoption d’un plan de transition climatique pour rendre le modèle économique compatible avec la limite de 1,5°C de réchauffement fixée par l’Accord de Paris.

Processus de due diligence obligatoire

Le processus de due diligence imposé par la CS3D couvre six étapes essentielles qui doivent être adaptées aux spécificités de chaque secteur :

1. Intégration de la due diligence dans les politiques et systèmes de gestion
2. Identification et évaluation des impacts négatifs sur les droits humains et l’environnement
3. Prévention, cessation ou minimisation des impacts négatifs réels et potentiels
4. Évaluation de l’efficacité des mesures mises en place
5. Communication transparente sur les actions entreprises
6. Mise en œuvre de mécanismes de réparation

Processus d’évaluation collaborative

Un système efficace de gouvernance tiers repose sur plusieurs fonctionnalités clés :

• Identification et qualification complète des partenaires tiers (co-traitants, sous-traitants, fournisseurs) quels que soient leur pays d’implantation et leur taille
• Ciblage précis des tiers concernés par la chaîne de responsabilité, en fonction de critères spécifiques (chiffre d’affaires, effectif, parts capitalistiques, pays) et du calendrier de déploiement progressif
• Déclenchement automatisé de formulaires structurés de déclaration en cohérence avec le référentiel européen
• Évaluation multidimensionnelle couvrant les obligations de vigilance, droits liés au travail, égalité femme-homme, ou des critères de maturité comme la décarbonation des achats ou la biodiversité

La solution Aprovall Third Party Manager assure une conformité optimale

Face aux exigences de la directive CS3D, Aprovall propose une plateforme spécialisée en gouvernance tiers qui répond précisément aux enjeux de conformité réglementaire. En tant que leader européen en TPGRC (Third Party Governance Risk Control), Aprovall permet aux donneurs d’ordre d’optimiser leur démarche de vigilance en ciblant uniquement les contrôles nécessaires.

La plateforme s’articule autour de trois fonctionnalités essentielles pour répondre aux obligations de la directive :

• Cartographie dynamique des risques : visualisation mondiale des partenaires tiers avec matérialisation des niveaux de risques selon les différentes thématiques de la CS3D, permettant d’identifier rapidement les zones d’attention prioritaires
• Traçabilité documentaire complète : documentation structurée de toutes les évaluations, offrant la capacité de démontrer l’ensemble du processus de vigilance en cas d’audit
• Workflow de validation sécurisé : processus d’approbation impliquant les utilisateurs habilités au sein du donneur d’ordres, garantissant la gouvernance des décisions

L’approche collaborative d’Aprovall répond également à un enjeu majeur : la réduction de la « supplier fatigue ». En permettant la mutualisation sécurisée des données d’évaluation entre donneurs d’ordre, les partenaires tiers ne sont plus contraints de répondre plusieurs fois aux mêmes exigences réglementaires. Cette mutualisation améliore non seulement l’expérience des partenaires, mais aussi la qualité et la fiabilité des informations collectées.

Avec plus de 500 000 tiers suivis dans le monde et une double certification ISO 27001/27701, la solution transforme une contrainte réglementaire en opportunité de résilience opérationnelle, particulièrement pour les secteurs fortement concernés par la directive comme le secteur public, le BTP, l’industrie et la distribution.