[Jurisprudence] Du nouveau sur les contours du devoir de vigilance

Mots-clés : plan de vigilance • devoir de vigilance • mesures du plan exigées • cartographie des risques • office du juge

Le tribunal judiciaire de Paris a eu l’occasion de se prononcer pour la première fois, au fond, dans un jugement didactique et équilibré, en matière de plan de vigilance. Selon lui, le plan de vigilance de la société La Poste doit être complété par des mesures concrètes, adéquates et efficaces en cohérence avec la cartographie des risques. Le tribunal ne va cependant pas jusqu’à décider à sa place de la mesure la plus appropriée.

Trois bonnes raisons – au moins – de s’intéresser au jugement du 5 décembre 2023. C’est le premier à appréhender au fond les mots de la loi « Vigilance » [1] ; il supplée ce faisant l’inertie du pouvoir réglementaire, puisque le décret d’application de la loi du 27 mars 2017 n’a pas été adopté et qu’une certaine insécurité juridique nimbe la matière [2] ; sa décision intéressera à terme [3] plus de 1 500 sociétés [4]. Voilà trois bonnes raisons, au moins, de s’intéresser au jugement du tribunal judiciaire de Paris en date du 5 décembre 2023.

Un contentieux en droit du travail, transposable. Estimant que la société anonyme La Poste n’avait pas satisfait à la mise en demeure de se conformer au dispositif relatif au devoir de vigilance auquel elle était soumise [5], et au-delà, qu’elle devait renforcer certaines de ses politiques relevant du droit du travail, le syndicat Sud PTT l’a assignée, le 22 décembre 2021, devant le tribunal judiciaire de Paris [6].

Pour le syndicat, le plan de vigilance de La Poste ne respectait pas l’article L. 225-102-4 du Code de commerce N° Lexbase : L6675L7D [7]. C’est pourquoi il demande aux juges parisiens de lui enjoindre, sous astreinte de 50 000 euros par jour de retard, de compléter le plan en y intégrant :

• une cartographie des risques destinés à leur identification, leur analyse et leur hiérarchisation, dont le périmètre doit couvrir l’ensemble des sous-traitants et fournisseurs avec lesquels est entretenue une relation commerciale établie, si bien que la liste de ces derniers doit être publiée ;
• des procédures d’évaluation des sous-traitants en fonction des risques précis identifiés par la cartographie des risques ;
• un mécanisme d’alerte et de recueil des signalements établi après concertation avec les organisations syndicales ;
• des mesures adaptées d’atténuation des risques ou de prévention des atteintes graves (notamment pour éviter le travail illégal par les sous-traitants, prévenir des risques psychosociaux et lutter contre le harcèlement) et ainsi procéder à la mise en œuvre effective de certaines mesures (en résiliant, par exemple, immédiatement les contrats conclus avec les sous-traitants ou prestataires ayant recours à du travail dissimulé) ;
• un réel dispositif de suivi permettant d’apprécier l’effectivité et l’efficacité des mesures de vigilance.

En réponse, la société La Poste estimait notamment que le syndicat créait une confusion entre les obligations du groupe résultant du Code du travail et celles résultant de la loi « Vigilance » [8].

La réponse des magistrats est importante, de même que la méthodologie qu’ils adoptent, laquelle est applicable à tous les domaines concernés par le plan : droits humains et libertés fondamentales, santé et sécurité des personnes et environnement. Le tribunal judiciaire de Paris a pu ainsi livrer, pour la première fois, dans un jugement détaillé de plus d’une trentaine de pages, sa position aussi bien sur les exigences du plan (I) que sur les pouvoirs du juge en matière de devoir de vigilance (II).

I. Des exigences relatives au plan de vigilance

Pas de généralité, de la précision. Alors que le jugement « Total Ouganda » du 28 février 2023 [9] indiquait dans un obiter dictum que le contenu des mesures de vigilance demeure général, que la loi ne vise directement aucun principe directeur, qu’il n’est prévu aucun modus operandi d’élaboration du plan de vigilance, la décision sous examen livre un enseignement majeur : pas de généralité, de la précision ! Le tribunal judiciaire revient sur les cinq items composant les dispositions du plan de vigilance [10] (A) et sur les informations susceptibles d’être publiées (B).

A. Les dispositions du plan

Le dispositif légal. Pour rappel, l’article L. 225-102-4, I, du Code de commerce dispose dans les grandes lignes que les sociétés éligibles au dispositif établissent et mettent en œuvre de manière effective un plan de vigilance. Le plan comporte les mesures de vigilance raisonnable propres à identifier les risques et à prévenir les atteintes graves envers les droits humains et libertés fondamentales, la santé et la sécurité des personnes ainsi que l’environnement, résultant de leurs activités et de celles des sociétés qu’elles contrôlent et des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation.

Le plan, qui a vocation à être élaboré en association avec les parties prenantes de la société, comprend l’établissement d’une cartographie des risques, la mise en place d’une procédure d’évaluation des filiales, sous-traitants et fournisseurs, la mise en œuvre d’actions d’atténuation et de prévention des atteintes graves, la création d’un mécanisme d’alerte et de recueil des signalements, ainsi que la mise en place d’un dispositif de suivi des mesures.

Le caractère fondamental de la cartographie. Selon le tribunal judiciaire de Paris, tout commence par la cartographie des risques : « la cartographie des risques des activités est la première étape de l’élaboration du plan de vigilance qui revêt un caractère fondamental dans la mesure où ses résultats conditionnent les étapes ultérieures et donc l’effectivité de l’ensemble du plan. Ainsi, il résulte de l’article L. 225-102-4, 2°, du Code de commerce que les procédures d’évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels l’entreprise entretient une relation commerciale établie sont effectuées au regard de la cartographie des risques, que les actions d’atténuation des risques et de prévention des atteintes devront par définition être adaptées aux résultats de la cartographie des risques et que le plan devra prévoir un mécanisme d’alerte et de recueil des signalements relatifs à l’existence ou à la réalisation des risques ».

Et les juges de préciser qu’il s’agit « en concertation avec les parties prenantes » d’identifier et d’analyser l’impact potentiel des activités de la société sur les droits fondamentaux des personnes (santé et sécurité), ou sur l’environnement, en prenant « concrètement en compte », sur l’ensemble de la chaîne de valeur, des « facteurs précis » susceptibles d’engendrer la réalisation des risques tels que « le secteur et la nature de l’activité, sa localisation, le mode de relation commerciale et le cadre juridique lui servant de support, la dimension, la structure ou les moyens des filiales ou des partenaires ainsi que les conditions matérielles de production ou de réalisation de la prestation ». D’emblée, on observera que pour les juges, la concertation avec les parties prenantes s’impose. Or, malgré le caractère « assez nébuleux » [11] des termes utilisés par le législateur concernant les acteurs devant être associés à la mise en œuvre du plan [12], la concertation des parties prenantes n’est pas imposée par lui ; elle relève davantage de l’incitation [13], en dehors de la question de l’alerte et du recueil des signalements, comme il le sera ultérieurement évoqué.

Les risques ainsi identifiés se doivent d’être, en raison des objectifs monumentaux de la loi sur le devoir de vigilance [14], hiérarchisés selon leur gravité afin de fixer, dans le cadre d’une « dynamique d’autorégulation certes contrôlée mais néanmoins active et évolutive », des « priorités d’actions raisonnables ».

La cartographie de La Poste applique une méthodologie communément pratiquée dans la gestion des risques [15] et évoquée par les recommandations de l’AFA [16]. Cette méthodologie repose sur la distinction entre risques bruts (risques identifiés) et risques nets (prenant en considération les actions existantes). Le tribunal estime ici que le document présenté procède à une description des risques à un « très haut niveau de généralité » et qu’il ne permet pas de déterminer quels « facteurs de risques précis liés à l’activité et à son organisation engendrent une atteinte aux valeurs protégées », le renvoi au classement de l’AFNOR n’étant pas jugé suffisant. De la même manière, l’analyse et la hiérarchisation des risques sont effectuées à un niveau « particulièrement global » : l’intégration des effets de mesures en vigueur ne permet pas d’identifier les actions devant être instaurées ou renforcées par priorité.

L’influence de la cartographie sur les autres mesures. Parce que l’évaluation des filiales (et sociétés contrôlées) et partenaires réguliers porte sur leur situation au regard de la cartographie des risques, le constat du tribunal ne pouvait être différent s’agissant du plan de La Poste. La cartographie de celle-ci ne précisant ni les facteurs précis de risque ni leur hiérarchisation, le plan ne permet pas réellement de mesurer si la stratégie d’évaluation est conforme à la gravité des atteintes. C’est ainsi que « malgré l’existence d’outils d’évaluation potentiellement performants, il ne peut être vérifié qu’ils sont stratégiquement orientés vers l’appréhension des risques devant être prioritairement traités ».

De la même manière, le tribunal souligne que les actions adaptées d’atténuation des risques ou de prévention des atteintes graves, qui « ne peuvent se limiter à des déclarations générales d’intention », « doivent porter sur des risques identifiés, prioritairement ceux pour lesquels les risques d’atteinte aux personnes et à l’environnement ont été jugés les plus critiques dans la cartographie. Même raisonnables, les mesures doivent être suffisamment précises pour revêtir l’efficacité attendue afin d’empêcher la réalisation des atteintes le plus graves et limiter l’impact des autres risques identifiés ». Le tribunal reconnaît ici que le plan de La Poste édicte des mesures précises et concrètes « susceptibles de donner lieu à des résultats mesurables […] s’agissant du recours à la sous-traitance ou la prévention des risques psychosociaux et de formes de harcèlement » [17]. Cependant, les facteurs risques susceptibles de porter atteinte à la santé et à la sécurité n’étant pas intégrés à une cartographie des risques identifiés et hiérarchisés, le tribunal, par un effet domino, ne peut considérer que ces mesures sont « adaptées » au sens de l’article L. 225-102-4.

Une leçon doit être tirée pour les entreprises éligibles au devoir de vigilance : même efficaces, leurs actions pourraient être jugées inutiles si elles ne trouvent pas leur source dans une cartographie précise [18]. 

B. La publication des informations

Un principe de transparence toutefois limité. En vertu de l’article L. 225-102-4, I, du Code de commerce, le plan de vigilance et le compte rendu de sa mise en œuvre effective sont rendus publics. Concernant le plan lui-même, le tribunal judiciaire précise que si la société mère et donneuse d’ordre peut disposer confidentiellement d’une cartographie détaillée enrichie de données chiffrées, la version publiée doit permettre au public et aux parties prenantes de connaître « l’identification précise des risques » que l’activité fait courir aux droits humains, à la santé, à la sécurité et à l’environnement. On a vu combien la précision des informations est fondamentale aux yeux des juges. Ces derniers tempèrent néanmoins leur position : la cartographie, pour précise qu’elle doit être, n’a pas à désigner tous les fournisseurs et sous-traitants. Pour ce faire, le tribunal judiciaire s’appuie, d’une part, sur la décision du Conseil constitutionnel du 23 mars 2017 [19], laquelle a précisé que la loi « Vigilance » [20] ne portait pas atteinte à la liberté d’entreprendre précisément car elle n’imposait pas aux sociétés de « rendre publiques des informations relatives à leur stratégie industrielle et commerciale ». D’autre part, les juges se réfèrent au secret des affaires de l’article L. 151-1 du Code de commerce N° Lexbase : L5710LL3, pour en conclure que « la liste des partenaires disposant d’une relation commerciale établie peut couvrir des milliers de sociétés et fluctuer dans le temps, il n’est pas démontré dans quelle mesure leur identification à la date d’établissement et de la publication du plan serait nécessaire pour sa mise en œuvre et son évaluation ».

Concernant le compte rendu de la mise en œuvre effective du plan, celui de La Poste « présente succinctement et de manière aléatoire certaines mesures comprises dans le plan de vigilance, avec une analyse centrée seulement sur deux sujets spécifiques ». Par ailleurs, il ne fait pas référence aux mesures donnant lieu à des bilans séparés (comme le bilan de soutien psychologique devant la Commission nationale santé-sécurité au travail). En somme, le tribunal considère que le compte rendu « ne permet pas de mesurer utilement l’efficacité des mesures prises ni de servir de bilan utile pour orienter l’action en matière de vigilance ».

En conséquence, le tribunal fait injonction à La Poste de publier un réel dispositif de suivi des mesures de vigilance. Sur les injonctions en général, là encore, il fait preuve de réalisme et n’accède pas à toutes les demandes du syndicat SUD PTT.

II. Des pouvoirs du juge en matière de vigilance

Le texte. L’article L. 225-102-4, II, dispose que « lorsqu’une société mise en demeure de respecter les obligations prévues au I n’y satisfait pas dans un délai de trois mois à compter de la mise en demeure, la juridiction compétente peut, à la demande de toute personne justifiant d’un intérêt à agir, lui enjoindre, le cas échéant sous astreinte, de les respecter », le président du tribunal statuant en référé peut être saisi aux mêmes fins [21].

La décision du 5 décembre 2023 se révèle, sur ce point, équilibrée : si elle retient certaines mesures à l’encontre de la société La Poste (A), elle en rejette d’autres sollicitées par le syndicat SUD PTT (B).

A. Les mesures retenues

Des injonctions accueillies. Au regard du raisonnement précédemment développé, le tribunal ordonne à La Poste de compléter son plan de vigilance par une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation. Il lui prodigue ainsi des « conseils méthodologiques » quant aux moyens d’y parvenir. À travers ce jugement, le tribunal semble ainsi combler les lacunes du pouvoir réglementaire en émettant des recommandations à l’attention de La Poste sur les modalités de mise en œuvre de son plan de vigilance [22]. D’aucuns estimeront que le juge sort de son rôle ; il nous semble au contraire qu’il l’assume parfaitement dans le cadre si particulier des obligations découlant de loi « Vigilance » [23].

Les juges décident en outre d’enjoindre à La Poste d’établir des procédures d’évaluation des sous-traitants en fonction des risques précis identifiés par la cartographie des risques et de publier un réel dispositif de suivi des mesures de vigilance.

Précisions sur la notion de concertation avec les organisations syndicales. Enfin, le tribunal enjoint à la société La Poste de compléter son plan de vigilance par un mécanisme d’alerte et de recueil des signalements après avoir procédé à une concertation des organisations syndicales représentatives. Pour ce faire, les juges donnent une définition de la concertation. Cette dernière s’entend selon eux comme « la volonté d’élaborer une mesure ou une décision de concert et ne peut se limiter au simple recueil d’un avis sur un dispositif d’ores et déjà finalisé ». « Il appartient en conséquence à la société mère d’établir qu’elle s’est efforcée de bâtir en coopération avec les organisations syndicales représentatives un mécanisme d’alerte de recueil de signalements adapté aux différentes étapes de sa chaîne de valeurs ». Ce qui est reproché ici à la société La Poste est d’avoir adapté le système d’alerte préexistant en application de la loi « Sapin II » [24] en en étendant le champ au devoir de vigilance. Les consultations initialement mises en place ne permettent pas, pour le tribunal, d’apprécier la réalité de la concertation sur le dispositif d’alerte propre au devoir de vigilance, « quand bien même il résulterait d’une simple adaptation ». Les entreprises soumises au devoir de vigilance doivent donc établir que les organisations syndicales ont pu exprimer leur point de vue et échanger sur le dispositif présenté par la direction. Tel ne fut pas le cas pour La Poste rendant l’injonction inévitable.

Précisions sur le rôle des parties prenantes. Le tribunal précise encore que le fait pour SUD PTT, ou les autres parties prenantes du reste, de n’avoir pas contesté la pertinence de la cartographie des risques lors de l’élaboration du plan importe peu : « certes, le rôle des parties prenantes est essentiel pour contribuer à l’élaboration de mesures pertinentes, mais l’absence d’expression lors de la phase de discussion ne peut les empêcher d’user de leur droit de mettre en demeure la société mère et/ou donneuse d’ordre d’améliorer son plan, cette formalité participant d’ailleurs à la phase amiable d’élaboration ».

B. Les mesures rejetées

Des injonctions, rien que des injonctions. À la lecture de la décision du 5 décembre 2023 et des injonctions prononcées, La Poste pourra ainsi connaître les actions correctrices à adopter concernant notamment le niveau de détail attendu d’elle dans le cadre de sa cartographie des risques. De ce point de vue, le jugement s’apparente davantage au rapport d’une autorité de contrôle, telle que l’Agence française anticorruption, qu’à une décision judiciaire formelle emportant sanction de La Poste. Il s’agit, là encore, d’une manifestation du rôle très particulier du juge dans le cadre du devoir de vigilance. Une telle sanction n’eût par ailleurs pas été possible dans la mesure où la société n’est pas mise en cause par SUD PTT, pour des atteintes graves de nature à engager sa responsabilité sur le fondement de l’article L. 225-102-5 du Code de commerce N° Lexbase : L3956LDU [25]. Le tribunal s’est donc borné à apprécier la mise en œuvre de procédures et à fournir des « conseils méthodologiques » sur la manière d’améliorer le plan de vigilance.

Des injonctions, mais pas toutes les injonctions. D’ailleurs, les prétentions du syndicat relevant du strict domaine du droit du travail ont été rejetées. Il s’agissait plus particulièrement de celles qui tendaient à délivrer à La Poste l’injonction d’adopter des mesures très précises et concrètes en matière de sous-traitance, de risques psychosociaux ou de harcèlement. Pour y parvenir, le tribunal précise les pouvoirs qu’il tient de la loi. Selon lui, l’article L. 225-102-4, II, « ne prévoit pas de donner au juge le pouvoir d’enjoindre à l’entreprise de prendre des mesures adéquates spécifiques, mais vise simplement “à faire respecter” à la société mère/donneuse d’ordre “les obligations prévues au I”, dont celle d’intégrer au plan “des actions adaptées d’atténuation des risques ou de prétention des atteintes graves” ». La loi instaure, poursuit-il, « un contrôle judiciaire sur l’intégration au plan de mesures concrètes, adéquates et efficaces en cohérence avec la cartographie des risques ». En cas de manquement à cette obligation, elle lui donne le pouvoir d’enjoindre à la société d’élaborer des mesures de sauvegarde et des actions complémentaires plus concrètes et efficaces éventuellement en lien avec un risque identifié. Le juge ne saurait donc se substituer à la société et aux parties prenantes pour exiger d’elles l’instauration de mesures précises et détaillées [26]. Pareille retenue fait naturellement écho au devoir de non-immixtion du juge dans la gestion des sociétés.

Le rejet de l’astreinte. Enfin, car il n’est pas démontré l’utilité d’assortir les injonctions d’une astreinte, le tribunal rejette sur ce point également la demande du syndicat. Le tribunal reconnaît ici que « La Poste modifie et enrichit annuellement son plan de vigilance qu’elle a commencé à élaborer dès l’entrée en vigueur de la loi n° 2017-399 du 27 mars 2017. La comparaison des plans établis pour l’année 2020 et pour l’année 2021 démontre une évolution notable, dans le cadre d’une démarche dynamique d’amélioration ». 

Conclusion. Cette décision est bienvenue dans un domaine où des lignes directrices manquent [27] et où une autorité de contrôle se fait attendre [28] afin d’accompagner les entreprises et les parties prenantes dans la mise en place du plan de vigilance [29]. Elle est d’autant plus bienvenue que le juge fait clairement le partage entre ses pouvoirs, appréhendés strictement, et les demandes des parties prenantes qui risqueraient d’être tentées d’instrumentaliser le dispositif de la loi « Vigilance » [30] pour exprimer leurs revendications propres. En sensibilisant à ce risque, le jugement du 5 décembre 2023 nous donne une quatrième bonne raison de s’y intéresser.

© Reproduction interdite, sauf autorisation écrite préalable