Tribune Nicolas Bonte – La prise en compte du risque doit être la prochaine étape du « duty of care »

Nicolas Bonte est VP South EMEA de l'éditeur de logiciels liés aux risques et aux crises Everbridge. Dans cette tribune, il liste les progrès et les insuffisances du respect du "duty of care", enjeu essentiel dans le domaine du voyage d'affaires notamment.

Dans quelques semaines, nous célébrerons en France les 5 années de la loi du 27 mars 2017 relative au devoir de vigilance (« Duty of Care »). Celle-ci est à l’origine de la publication de nombreux Plans de vigilance. Hélas, ces derniers se révèlent encore trop peu opérants sur la gestion des risques critiques.

Il s’agit indéniablement d’une avancée. Depuis le 27 mars 2017, une loi encadre le « devoir de vigilance » des sociétés mères et donneuses d’ordre en France. Avec ce cadre, la notion de responsabilité sociale et environnementale a opéré un net progrès, particulièrement au sein de grands groupes tels que Total, Suez ou Bolloré. Il faut dire que cette loi s’applique d’abord et avant tout aux entreprises ainsi qu’aux groupes qui emploient plus de 5.000 salariés en France pendant au moins deux années consécutives.

Selon son texte, chacun d’entre eux doit établir, publier et surtout respecter un Plan de
vigilance. Un regard à ces derniers se révèle riche en enseignements, notamment sur les
étapes à venir en termes de gestion des risques critiques.

Le plan de vigilance : un cadre défini

Document de référence, le plan de vigilance a pour ambition d’identifier les risques et de
prévenir les atteintes graves envers les droits humains, les libertés fondamentales, la
santé et la sécurité des personnes ainsi que l’environnement. S’il concerne le groupe ou
la société mère, ce document s’étend également aux filiales comme aux sous-traitants
« en relation commerciale établie ». Cela peut représenter plusieurs centaines de milliers
de personnes pour un seul groupe hexagonal…

Chaque plan de vigilance annuel se doit de respecter un cadre défini. Ainsi doit-il contenir une cartographie des risques, des procédures d’évaluation régulière de la situation des filiales, des sous-traitants ou des fournisseurs, des actions adaptées d’atténuation des risques et de prévention des atteintes graves. Le plan de vigilance doit encore présenter un mécanisme d’alerte et de recueil des signalements, mais aussi un dispositif de suivi des mesures et d’évaluation de leur efficacité.

Une maturité insuffisante

Où en sommes-nous aujourd’hui ? Cinq années après la parution de la loi, certains effets
se font déjà sentir et près de 70 % des entreprises mentionnent des dispositifs globaux
de suivi des plans de vigilance. Aujourd’hui, plus de neuf sociétés sur dix citent un ou
plusieurs indicateurs dans leur propre plan de vigilance, signe qu’une démarche est bel
et bien engagée. Dans plus d’une société sur deux, un comité formalisé dédié à la
vigilance a été créé, à vocation transverse. Ainsi, depuis 5 ans et en dépit de la crise
sanitaire, il est indéniable que les pratiques ont progressé.

Pour autant, rares sont les sociétés dont le niveau de maturité peut être qualifié d’élevé.
Les analyses produites (notamment par l’association EDH et A2 Consulting) démontrent
que les entreprises se focalisent sur des démarches de forme – pour ne pas dire de
communication – au détriment de la totalité des options réglementaires. Il est également
avéré que le risque n’est pas abordé par l’entreprise au regard de la capacité que celle-ci
a à le gérer. En d’autres termes, des référentiels complets de risques sont encore absents
au sein des organisations. Quels objectifs ? Comment les atteindre, notamment en termes de structuration d’un groupe de travail ? Ces questions demeurent en grande
partie ouvertes.

Parents pauvres

Le « Duty of Care » se révèle donc encore perfectible dans notre pays. Si la parution de la
loi, il y a 5 ans, a indéniablement engagé les entreprises sur un chemin d’acculturation,
force est de constater que la notion peine encore à s’ancrer dans les pratiques, comme
l’attestent les plans de vigilances publiés chaque année. La notion elle-même de « devoir
de vigilance » se révèle vaste, pour ne pas dire floue.

À ce jour, nous ne pouvons que constater qu’elle est particulièrement resserrée en matière de droits humains, de libertés fondamentales, d’environnement. Or, il est clair que la gestion des risques critiques que constituent les ouragans, les incendies, les catastrophes climatiques, les cyber-attaques ou encore les déplacements de collaborateurs dans des zones du monde en crise relèvent encore du parent pauvre de cette loi.

Risques critiques

Selon moi, la loi du 27 mars 2017 a permis de faire un pas dans la législation relative au
« Duty of Care », ce que nous attendions tous. Elle marque un tournant dans
l’encadrement de l’éthique et la bienveillance des entreprises envers leurs salariés et
leurs prestataires. Et ceci est déjà une première étape fondamentale. L’étape suivante
devra résider dans la prise en considération de la gestion de crise, de préciser plus
encore la notion de risque.

À ce titre, je pense que la gestion des risques critiques devrait à l’avenir être le second pilier de la nouvelle règlementation. Gageons que les années à venir verront cette approche du risque englober la dimension critique. Loin d’être exceptionnelle, celle-ci relève au contraire du quotidien de toutes les organisations – qu’il s’agisse des grands groupes ou de sociétés plus modestes. Ces risques critiques sont une menace majeure notamment dans les déplacements professionnels pour nos entreprises, en France ou à l’étranger. Ceux-ci doivent être pris en considération dans la législation Française.