Le jour où un client vous pose la question
Un client vous envoie un questionnaire. Il vous demande si vous évaluez les risques de vos fournisseurs. Votre comptabilité en compte 200, et aucun classement n'existe.
Vous ne pouvez pas auditer 200 fournisseurs. Vous pouvez décider lesquels regarder en premier, et le justifier. C'est tout l'intérêt d'une cartographie : identifier, analyser, hiérarchiser.
Ces trois verbes viennent directement du code de commerce et de la loi Sapin 2. La matrice présentée plus bas relève, elle, d'une pratique de métier : aucun texte n'en impose le format.
Ce que disent les textes
Le devoir de vigilance, à l'article L. 225-102-4 du code de commerce, vise les sociétés d'au moins 5 000 salariés avec leurs filiales françaises, ou 10 000 avec leurs filiales étrangères, à la clôture de deux exercices consécutifs. Leur plan comprend une cartographie des risques et une évaluation régulière des sous-traitants et fournisseurs en relation commerciale établie.
L'article 17 de la loi Sapin 2 vise les sociétés d'au moins 500 salariés réalisant plus de 100 millions d'euros de chiffre d'affaires. Sur huit mesures, deux vous concernent indirectement : la cartographie du risque de corruption, et l'évaluation des clients, fournisseurs de premier rang et intermédiaires.
Au niveau européen, la directive (UE) 2026/470 a modifié le devoir de vigilance. Selon la Commission, elle doit être transposée au plus tard le 26 juillet 2028 et s'appliquer à partir du 26 juillet 2029. Les seuils cités pour les grandes entreprises européennes sont de 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires net mondial.
Les PME ne sont pas couvertes par ces règles européennes. La Commission indique que le texte prévoit des limites aux demandes d'informations adressées aux PME de la chaîne de valeur, ainsi que des orientations et des clauses contractuelles types.
Étape 1 : partir de vos données d'achats
Extrayez de la comptabilité le montant acheté par fournisseur sur 12 mois. Ajoutez le pays d'origine et la famille d'achat : matières, sous-traitance, transport, services, énergie.
Regroupez ensuite par famille et par pays. C'est aussi la logique de l'Agence française anticorruption : la cartographie tient compte des secteurs et des zones géographiques, et l'évaluation s'appuie sur des groupes de tiers.
Étape 2 : construire la matrice
La matrice croise deux axes. Notez chaque groupe de 1 à 4 sur chacun. Une note de 3 ou 4 compte comme élevée.
L'axe risque combine la probabilité d'une atteinte et sa gravité. Passez en revue quatre thèmes : environnement, droits humains et conditions de travail, santé et sécurité, éthique et corruption. Une sous-traitance textile dans un pays à risque social ne se note pas comme un cabinet comptable local.
L'axe criticité mesure votre dépendance : part dans vos achats, difficulté à changer de source, délai de requalification, effet d'une rupture sur vos livraisons.
Prenons un exemple fictif. Un sous-traitant de traitement de surface est votre seule source qualifiée. Il utilise des produits chimiques dangereux. Il obtient 3 en risque et 4 en criticité. Il passe avant un fournisseur de fournitures de bureau, noté 1 et 1, quel que soit le montant acheté.
- Risque élevé et criticité élevée : évaluation approfondie et plan d'actions contractuel.
- Risque élevé et criticité faible : évaluation, et remplacement envisageable.
- Risque faible et criticité élevée : suivi de continuité et clauses de base.
- Risque faible et criticité faible : charte fournisseurs et revue périodique.
Étape 3 : évaluer à la bonne profondeur
Les recommandations de l'Agence française anticorruption, publiées au Journal officiel le 12 janvier 2021, posent une logique proportionnée. Les groupes peu risqués peuvent ne pas être évalués, ou l'être de façon simplifiée. Les groupes les plus risqués appellent une évaluation approfondie.
L'agence rappelle aussi une limite. La cartographie traite des groupes, l'évaluation des tiers apprécie des situations individuelles. Les deux ne se remplacent pas.
Son guide sur l'évaluation des tiers, publié le 8 septembre 2026 et destiné notamment aux PME et ETI, déroule sept étapes : définir le cadre, identifier les tiers, construire des groupes, traiter le stock et les nouveaux entrants, évaluer individuellement, définir la remédiation, suivre et contrôler. Il ne crée pas de nouvelle obligation.
Selon le groupe, les preuves vont du questionnaire aux attestations, puis à l'audit sur site.
ISO 20400 et label RFAR
La norme ISO 20400:2017 donne des lignes directrices pour intégrer la responsabilité sociétale dans le processus achats. Elle s'adresse aux organisations de toute taille et de toute activité. Elle a été confirmée en 2023.
Le label Relations fournisseurs et achats responsables, ou RFAR, est porté par le Médiateur des entreprises et le Conseil national des achats. Il a été remis pour la première fois en 2012. Il repose sur ISO 20400 et sur les engagements de la charte du même nom.
Son référentiel compte 5 domaines et 15 critères. Les domaines couvrent l'engagement dans la démarche, la qualité des relations avec les fournisseurs, le respect de leurs intérêts, l'intégration de la responsabilité sociétale dans le processus achats, et l'impact sur la compétitivité de l'écosystème.
Le ministère de l'Économie a annoncé son ouverture aux TPE et PME. Pour une PME, signer la charte peut constituer une première étape avant d'envisager le label.
Par où commencer
Commencez par vos 20 premiers fournisseurs en montant, puis par ceux situés dans des pays ou des familles à risque. Mettez la matrice à jour une fois par an, et après tout changement de fournisseur majeur. Conservez chaque version datée de la matrice.
Cette cartographie sert aussi votre thème achats responsables dans EcoVadis et votre scope 3. Pour situer votre maturité, faites notre autodiagnostic RSE, ou échangez avec nous.
Questions fréquentes
Une PME doit-elle faire une cartographie des risques fournisseurs ?
Le devoir de vigilance et l'article 17 de la loi Sapin 2 ne s'appliquent pas sous leurs seuils. La demande vient surtout des clients qui y sont soumis.
ISO 20400 est-elle une norme d'exigences ?
Son intitulé officiel est Achats responsables, lignes directrices. Elle guide la démarche des organisations de toute taille.
Quelle différence entre cartographie et évaluation des fournisseurs ?
La cartographie classe des groupes de fournisseurs par niveau de risque. L'évaluation apprécie la situation de chaque fournisseur retenu.
Sources
- Portail RSE, Plan de vigilance
- Agence française anticorruption, entreprises soumises à l'article 17 de la loi Sapin 2
- Agence française anticorruption, recommandations publiées au Journal officiel du 12 janvier 2021
- Agence française anticorruption, guide sur l'évaluation des tiers au regard du risque de corruption
- Commission européenne, Corporate sustainability due diligence
- ISO, ISO 20400:2017, Achats responsables, lignes directrices
- Achats durables, le label Relations fournisseurs et achats responsables
- Médiateur des entreprises, élargissement du label RFAR aux TPE et PME