En France, le devoir de vigilance des entreprises est encadré par la loi du 27 mars 2017 relative au devoir de vigilance ("Duty of Care"). Particulièrement centrée sur les questions éthiques et environnementales, celle-ci semble en revanche moins précise sur la gestion des risques critiques.
Par Nicolas Bonte (VP South Emea)
La promulgation de la loi française relative au devoir de vigilance des sociétés mères et donneuses d’ordre, le 27 mars 2017, a incontestablement marqué un progrès en termes de responsabilité des sociétés commerciales. Ce texte majeur ancre considérablement la notion de RSE, c’est-à-dire de responsabilité sociale et environnementale. Mais va-t-il jusqu’à faire la lumière sur l’importance des risques critiques, qui à l’image des inondations, des cyberattaques ou des crises politiques dans des pays tiers, constituent de réels enjeux ? Peut-être pas suffisamment.
Rappelons tout d’abord quelques-uns des principes fondamentaux de la loi de 2017. Celle-ci s’appuie sur l’ensemble des normes et des procédés que les entreprises adoptent de manière volontaire afin de réduire leurs impacts négatifs en termes de responsabilité morale, sociale et environnementale. Le texte s’applique aux entreprises et aux groupes qui emploient plus de 5000 salariés et les oblige à établir ainsi qu’à publier, chaque année, un Plan de Vigilance qui identifie les risques et déploie une stratégie visant à les prévenir.
La loi est tout particulièrement insistante sur les droits humains, les libertés fondamentales, l’environnement, la santé et la sécurité des personnes. Elle présente une approche écosystémique dans la mesure où elle concerne toute la sphère d’influence de l’entreprise, ses filiales comme ses sous-traitants. Elle constitue également une réponse apportée au morcellement des structures de production et permet aux entreprises de minimiser les coûts de production comme les risques juridiques et financiers dérivant de ces activités. Son rôle est essentiel dans la mesure où le texte de mars 2017 oblige chaque grand groupe à se responsabiliser. En cela, nous pouvons dire que la loi de 2017 sur le devoir de vigilance contribue à faire avancer la notion de responsabilité.
Dans le même temps, cette loi se révèle cantonnée à des questions (nécessaires) liées au respect des droits de l’homme, à l’éthique ou au développement durable. Et pour cause : le texte voté en France le 17 mars 2017 s’inspire en grande partie des principes directeurs des Nations Unies relatifs aux entreprises et aux Droits de l’Homme (UNGP), en vertu desquels l’État a l’obligation de protéger les droits humains dès lors que des tiers – y compris des sociétés – y portent atteinte.
Seconde remarque : la loi se révèle relativement floue sur la notion de risques. De quel risque est-il question exactement ? Celui d’une corruption active ou passive ? D’un risque environnemental ? D’un risque de cybersécurité ? D’un risque à l’égard du travail – des enfants par exemple ? De tout cela à la fois ? En cela, la loi de 2017 mériterait d’être clarifiée, et avec elle ce que l’on nomme en France le "devoir de vigilance", c’est-à-dire la responsabilité des entreprises elles-mêmes. Dans un pays marqué par la puissance de l’État providence, il est clair que de nombreuses organisations attendent du pouvoir central et du législateur qu’ils anticipent de nombreuses réponses. Ainsi, la loi de 2017 semble constituer la première étape d’un processus amené à être consolidé à l’avenir, particulièrement sur les risques critiques.
L’actualité récente démontre combien les risques critiques sont devenus un paramètre récurrent en termes de gestion, et ce pour l’ensemble des organisations privées ou publiques, tous secteurs confondus. Incendie, inondation, cyberattaque, sécurité des employés en déplacement dans un pays sensible ou par temps de pandémie… L’actualité est là pour nous montrer que ces événements autrefois abordés à l’aune de leur caractère exceptionnel sont au contraire devenus les marqueurs des transitions qui s’opèrent actuellement, qu’elles soient climatiques, digitales ou politiques.
Dans un tel contexte, la notion d’anticipation et de gestion des risques critiques s’impose. Elle passe sans doute par des précisions apportées à la notion de "Duty of Care". Elle passe surtout par une prise de conscience à consolider du côté des entreprises et des organisations publiques. Un travail sur les mentalités donc, que la loi de 2017 a ébauché, mais qui ne saurait être considéré comme suffisant.
Tous droits réservés – Les Echos 2022
