Affaire «La Poste» : réflexions sur les cartographies des risques vigilance et corruption

Il s’agit du premier jugement au fond d’un tribunal depuis l’entrée en vigueur de la loi du 27 mars 2017. On se souvient que le même tribunal, statuant le 28 février 2023 en référé dans le dossier TotalEnergies-Ouganda, avait constaté que « faute de décret subséquent, de référentiel, de modus operandi ou encore d’organisme de contrôle indépendant, il ne pouvait s’appuyer que sur la notion standard de « caractère raisonnable des mesures de vigilance contenues dans le plan de vigilance, notion imprécise, floue et souple ».

Or, depuis cette décision, aucune évolution textuelle n’est intervenue, si ce n’est le projet de directive sur le devoir de vigilance des entreprises en matière de durabilité (CS3D), lequel est encore loin de constituer un texte de droit positif pour les entreprises.

Pourtant, le tribunal judiciaire de Paris, statuant au fond, a bien considéré qu’il était en mesure d’apprécier la compatibilité de la cartographie des risques visée par la loi du 27 mars 2017, pour juger que tel n’était pas le cas aux termes d’une analyse circonstanciée de la cartographie des risques exposée par le groupe La Poste dans son document d’enregistrement universel (DEU).

Il nous semble utile de souligner, dans le cadre de cette décision, l’importance croissante pour les entreprises de la notion de cartographie des risques, au travers d’une comparaison avec la cartographie de risques de corruption prescrite par l’article 17 de la loi Sapin II.

Méthodologie de la cartographie des risques de corruption

Dans ses recommandations, sa pratique des contrôles et les décisions de sa commission des sanctions, l’AFA a progressivement imposé un standard qui va au-delà du simple critère de « caractère raisonnable » souligné par le tribunal judiciaire dans son jugement rendu en état de référé.

En principe fondée sur une approche par les risques, critère essentiel et rejoignant celui de « caractère raisonnable », la pratique de l’AFA consiste à déterminer si la cartographie des risques de corruption de l’entreprise constitue effectivement un outil de pilotage et de maitrise des risques de corruption et de trafic d’influence (et au-delà d’atteintes à la probité) du groupe auquel appartient l’entreprise.

Les phases d’identification, d’évaluation et de hiérarchisation des risques sont développées dans les recommandations de l’AFA de manière précise et illustrée.

Identification 

Evaluation

L’évaluation doit d’abord se faire sur la base des risques bruts, sur un axe probabilité/impact. Ce dernier indicateur doit intégrer les dimensions financière, juridique, réputationnelle et commerciale. Ensuite seulement vient le temps d’évaluer les mesures de contrôle (dispositif de maitrise des risques) existantes, puis le risque net résultant de la prise en compte de ces mesures. Cette évaluation des dispositifs de maitrise des risques doit prendre en compte chacun des éléments du dispositif et la société doit pouvoir démontrer la pertinence de la méthode suivie.

Hiérarchisation

Cartographie des risques vigilance et corruption : quelles différences ?

Champ d’application de la cartographie vigilance

Elle concerne les activités de l’entreprise et de ses filiales ainsi que de sa chaine de sous-traitants et fournisseurs avec lesquels une relation commerciale est établie (à la différence de la cartographie Sapin II tournée vers les fournisseurs, les clients et les intermédiaires).

Elle trouve son origine dans les objectifs de développement durable (ODD) et le Pacte mondial des Nations Unies, fondés sur le respect des droits de l’homme et de l’environnement tandis que l’origine de loi Sapin II visait surtout la mise en conformité de la loi française avec la convention OCDE sur la corruption d’agents publics étrangers de 1997.  

Elle impose la prise en compte des avis des parties prenantes externes, à la différence de la cartographie Sapin II.

Elle donne lieu à une publication au sein du plan de vigilance à la différence de la cartographie des risques de corruption Sapin II (mentionnée, s’agissant des sociétés cotées, dans la rubrique « facteurs de risques » du Document d’Enregistrement Universel mais non détaillée).

Elle devra intégrer l’analyse dite de double matérialité (ou double importance) prévue par la directive CSRD dont l’entrée en vigueur à compter de l’exercice 2024 dépend de seuils de matérialité, notion qui n’existe pas dans la loi Sapin II. Par analyse de double matérialité, il faut entendre les enjeux de durabilité susceptibles d’impacter leur performance financière et les impacts négatifs et positifs de leurs activités sur leur environnement économique, social et naturel.

Quelques principes définis par le jugement du tribunal judiciaire du 5 décembre

La cartographie des risques des activités revêt un caractère fondamental dans la mesure où ses résultats conditionnent les étapes ultérieures et donc l’effectivité du plan de vigilance.

Toutes les actions d’atténuation des risques et de prévention des atteintes doivent par construction découler et être adaptées aux résultats de la cartographie des risques, notamment les procédures d’évaluation régulières de la situation des filiales, des sous-traitants et fournisseurs avec lesquels l’entreprise entretient une relation commerciale établie.

Il s’agit, en concertation avec les parties prenantes, d’identifier et d’analyser l’impact potentiel des activités de l’entreprise sur les droits fondamentaux des personnes, leur santé et leur sécurité ou sur l’environnement en prenant concrètement en compte, sur l’ensemble de la chaine de valeur, des facteurs précis susceptibles d’engendrer la réalisation des risques tel que le secteur et la nature de l’activité, sa localisation, le mode de relation commerciale et le cadre juridique lui servant de support, la dimension, la structure ou les moyens des filiales ou des partenaires ainsi que les conditions matérielles de production ou de réalisation de la prestation.  

Les risques ainsi identifiés doivent nécessairement être hiérarchisés selon leur gravité, afin de fixer, dans le cadre d’une dynamique d’autorégulation certes contrôlée, mais néanmoins active et évolutive, des priorités d’actions raisonnables.

Ces mesures adéquates propres à mieux prévenir et atténuer les risques doivent donc nécessairement être précédées de la phase d’identification, d’analyse et de hiérarchisation.

Le plan de vigilance doit permettre de mesurer réellement si la stratégie d’évaluation est conforme à la gravité des atteintes, ce qui suppose que la cartographie précise les facteurs de risques et leur hiérarchisation.

Les mesures d’atténuation des risques doivent nécessairement découler et être en lien avec les risques prioritaires de la cartographie des risques. 

• reste à un très haut niveau de généralité et l’analyse des risques et leur hiérarchisation se réalise à un niveau particulièrement global ;
• ne permet pas de déterminer les facteurs de risques précis liés à l’activité et à son organisation qui engendrent une atteinte aux valeurs protégées ;
• ne fait pas suffisamment émerger de domaines de vigilance prioritaires (…), en particulier avec la présentation des mesures adéquates de vigilance qui paraissent en réalité déjà prises en compte lors de l’état des lieux pour apprécier les risques nets ;
• ne permet pas de connaitre, même de façon synthétique, les facteurs liés à l’activité ou l’organisation pouvant concrètement faire naitre les risques, la hiérarchisation à un niveau très général en intégrant d’ores et déjà les mesures déjà en vigueur ne permettant pas plus d’identifier les actions devant être instaurées ou renforcées prioritairement ;
• conduit à l’établissement de procédures d’évaluation des sous-traitants et fournisseurs insuffisamment fondées sur des risques précis identifiés dans la cartographie des risques. 
  

 Des principes généraux compatibles avec la méthodologie de l'AFA

La nécessaire prise en compte des secrets d'affaires

Les limites du contrôle des plans de vigilance par le juge