Institut Panafricain du Développement Durable

La question de la cartographie des risques est au cœur du premier arrêt rendu sur le fond en France par la Cour d’appel de Paris le 17 juin 2025, qui confirme un premier jugement rendu par le Tribunal judiciaire de Paris le 5 décembre 2023 contre la société LA POSTE SA. Cette société publique française est la société mère d’un groupe qui emploie dans le monde près de 250 000 salariés, et qui dépasse à ce titre le seuil des 10 000 salariés au-delà duquel la loi française n° 2017-399 du 27 mars 2017, désormais codifiée par l’article L. 225-102-4 du Code de commerce, a imposé l’établissement d’un plan de vigilance, 7 ans avant la directive européenne du 13 juin 2024. L’objet du litige était le recours massif par cette société à la sous-traitance qui exposait les salariés au risque d’atteintes à leurs droits sociaux en matière notamment de harcèlement et de travail dissimulé. Quand bien même il ne concernait pas l’environnement ni le climat, ce premier jugement est néanmoins intéressant à plus d’un titre pour éclairer les futures décisions qui seront rendues en Europe sur le fondement de cette directive.

Dans cette affaire, la société LA POSTE SA avait bien établi et mis en œuvre un plan de vigilance. Mais le syndicat SUD PTT jugeait que celui-ci n’était pas conforme aux exigences légales. Après avoir notifié à la société une mise en demeure à la société de régulariser le plan conformément aux exigences de la loi, et après plusieurs escarmouches judiciaires concernant cette seule mise en demeure, le syndicat a saisi le tribunal en visant la nécessité de compléter le plan de vigilance de manière substantielle, concernant notamment une cartographie des risques précise et un mécanisme d’alerte en concertation avec les organisations syndicales représentatives. Il demandait qu’une injonction soit délivrée à la société LA POSTE SA assortie d’une astreinte de 50 000 € par jour de retard à compter du jugement à intervenir. De son côté, LA POSTE SA se défendait en mettant en avant les lacunes de la loi laquelle n’impose aucune obligation légale ou réglementaire de publier une « cartographie exhaustive de ces risques ». Elle faisait valoir « que la forme que doit revêtir cette cartographie n'est pas précisée ». Avec la conséquence selon elle qu'il en résulterait une liberté pour les sociétés assujetties à la loi du 27 mars 2017 de fixer les modalités de publication de la cartographie en cause. Et LA POSTE listait les risques en établissant une hiérarchie selon un critère de « criticité subsistante », autrement dit après la prise en compte des actions existantes afin de réduire le risque. La défense de LA POSTE SA pouvait donc apparaître pertinente dès lors qu’elle avait effectivement établi et mis en œuvre de la sorte son plan de vigilance.

Cet argument est néanmoins balayé par le jugement rendu par le tribunal qui, par-delà les termes de la loi, fixe un standard minimum devant régir la cartographie des risques dans toutes les sociétés assujetties au devoir de vigilance. Ce standard minimum exige une approche aussi concrète que possible devant être articulée sur les activités de l’entreprises en tous leurs aspects. Selon l’exposé de ses motifs, « il s'agit, en concertation avec les parties prenantes, d'identifier et d'analyser l'impact potentiel des activités de l'entreprise sur les droits fondamentaux des personnes, leur santé et sécurité ou sur l'environnement en prenant concrètement en compte, sur l'ensemble de la chaîne de valeur, des facteurs précis susceptibles d'engendrer la réalisation des risques tels que le secteur et la nature de l'activité, sa localisation, le mode de relation commerciale et le cadre juridique lui servant de support, la dimension, la structure ou les moyens des filiales ou des partenaires ainsi que les conditions matérielles de production ou de réalisation de la prestation ». LA POSTE SA est condamnée pour avoir mis en œuvre une méthodologie trop générale en s’étant limitée à une approche « in abstracto » des facteurs de risques, à un niveau excessivement global, sans tenir compte des spécificités de l’entreprise, et sans « déterminer quels facteurs de risque précis liés à l'activité et à son organisation engendrent une atteinte aux valeurs protégées ». Dès lors que la cartographie des risques était insuffisante, le plan de vigilance ne pouvait plus être suffisant également en ses autres éléments complémentaires, savoir l'évaluation des filiales et des sous-traitants, les actions de prévention, la mise en œuvre d’un mécanisme d'alerte et le suivi des mesures. De la sorte, la cartographie des risques est placée en plein cœur du plan de vigilance et du devoir de vigilance. Tel est l’apport principal de ce jugement. Un véritable plan de vigilance ne peut pas exister sans une cartographie des risques conforme au standard minimum qui est requis.

Ce premier jugement a été confirmé par la Cour d’appel de Paris le 17 juin 2025. Celle-ci confirme que la cartographie des risques se trouve au premier rang des mesures à prévoir dans le plan de vigilance d'une entreprise. Elle rappelle qu’en vertu de l’article L.225-102-4 du code de commerce, le plan de vigilance doit comporter « les mesures de vigilance raisonnables propres à identifier les risques et à prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle (…) ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie ». Et qu’il résulte de ces dispositions que « la finalité des mesures contenues dans le plan de vigilance est double puisqu'elles doivent permettre d'identifier les risques liés aux activités des sociétés concernées, comprenant les sous-traitants et les fournisseurs, mais également de prévenir les atteintes graves dans les trois domaines concernés par le devoir de vigilance (les droits humains et les libertés fondamentales, la santé et la sécurité des personnes, l'environnement) ». Etant précisé, selon elle, que « l'article L.225-102-4 du code de commerce ne met pas les entreprises concernées en situation de devoir prévenir ou atténuer tous les impacts de leur activité, mais seulement les risques ou atteintes graves, le critère déterminant étant la gravité ». Avec la conséquence que la cartographie des risques « doit être élaborée en considération du critère déterminant de leur gravité », quand bien même son contenu destiné à leur identification, à leur analyse et leur hiérarchisation n'est pas précisément détaillé par la loi. LA POSTE est condamnée en ce que son plan de vigilance se caractérise par un trop haut degré de généralité pour répondre à ces objectifs, sans préciser le degré de gravité des risques. Autrement dit, sa cartographie des risques demeurait superficielle en ce qu’elle restait à un haut niveau de généralité, et leur hiérarchisation ne permettait pas d'identifier les actions devant être instaurées ou renforcées prioritairement pour réduire la probabilité de leur réalisation. A suivre …