ESRS et CSDDD : comparaison des responsabilités en matière de reporting, de devoir de vigilance et de chaîne de valeur

Préparé en anglais britannique sous la forme d’un ensemble de fiches de connaissances pour les praticiens : réponse, explication, mise en application, éléments probants, liens et couche de publication.

Le langage des incidences, des chaînes de valeur, des parties prenantes, des actions et de la remédiation apparaît dans les deux régimes. Cela crée un raccourci tentant : mettre en place un seul processus de devoir de vigilance, le décrire une seule fois et supposer que l’organisation a satisfait aux deux ensembles d’obligations. Ce raccourci est risqué.

Une déclaration de durabilité peut décrire avec exactitude une politique et néanmoins révéler que cette politique n’est pas mise en œuvre efficacement. À l’inverse, une entreprise peut exercer un devoir de vigilance approfondi, mais omettre des informations importantes requises par l’ESRS, utiliser un périmètre de reporting incorrect ou ne pas expliquer les méthodes et les limites. L’équipe chargée du reporting, l’équipe juridique et les responsables opérationnels ont donc besoin d’une base commune d’éléments probants, sans fondre les deux conclusions juridiques en une seule.

Les ESRS indiquent expressément que les ESRS précisent les informations en matière de durabilité à publier et n’imposent pas de comportement autre que celui lié à l’établissement des rapports. L’établissement de rapports au titre des ESRS ne libère pas non plus une entreprise de ses obligations distinctes de diligence raisonnable en vertu du droit de l’Union. C’est le point de départ le plus clair pour la comparaison.

La CSDDD, en revanche, exige des États membres qu’ils veillent à ce que les entreprises entrant dans son champ d’application mettent en œuvre une diligence raisonnable fondée sur les risques en matière de droits humains et d’environnement. Les actions requises comprennent l’intégration de la diligence raisonnable dans les politiques et la gestion des risques, l’identification et l’évaluation des incidences, leur hiérarchisation lorsque cela est nécessaire, la prévention et l’atténuation des incidences potentielles, la mise un terme aux incidences réelles ou leur réduction au minimum, la mise en œuvre de mesures de réparation dans des circonstances définies, la concertation avec les parties prenantes, le maintien de mécanismes de notification et de plainte, le suivi de l’efficacité et la communication publique.

La conséquence pratique est simple :

• Les ESRS demandent une présentation fidèle des incidences, risques et opportunités importants et de la manière dont l’entreprise les gère.

• La CSDDD crée des obligations d’établir et de mettre en œuvre un processus de diligence raisonnable et de prendre les mesures appropriées.

Aucune de ces conclusions ne devrait être déduite de l’autre sans examiner les exigences juridiques et les faits applicables.

À compter des exercices commençant le 1 January 2027 ou après cette date, le périmètre modifié de la CSRD s’applique aux entreprises qui dépassent à la fois EUR450 millions de chiffre d’affaires net et une moyenne de 1,000 employés au cours de l’exercice, y compris au niveau du groupe consolidé lorsque cela est applicable. Pour les exercices 2025 et 2026, les États membres peuvent utiliser une dérogation pour exempter les entreprises de la première vague qui se situent en dessous des nouveaux seuils. Chaque groupe devrait donc maintenir une conclusion datée sur le périmètre juridique, par entité, juridiction et période de reporting.

La CSDDD modifiée prévoit un seuil général beaucoup plus élevé : plus de 5,000 employés et plus de EUR1.5 milliard de chiffre d’affaires net mondial pour les entreprises de l’UE, avec les tests correspondants concernant les groupes, les entreprises de pays tiers et la franchise ou la licence. Les États membres doivent transposer les modifications de la CSDDD d’ici le 26 July 2028 et appliquer les mesures à partir du 26 July 2029, tandis que les dispositions relatives à la communication s’appliquent aux exercices commençant le 1 January 2030 ou après cette date.

Ces calendriers signifient que de nombreuses organisations publieront des informations selon les ESRS avant d’être directement soumises à la CSDDD. Même ainsi, leurs informations ESRS peuvent déjà décrire la diligence raisonnable, les relations d’affaires, les parties prenantes affectées, les actions et la remédiation. Le reporting devrait décrire le processus qui existe réellement ; il ne devrait pas laisser entendre une conformité juridique anticipée à la CSDDD, à moins que l’entreprise n’ait achevé une évaluation juridique spécifique et ne choisisse une formulation soigneusement nuancée.

Les deux régimes bénéficient d’un inventaire commun des impacts. Un inventaire robuste consigne les personnes affectées ou les récepteurs environnementaux, le lieu, l’activité ou la relation d’affaires, la position dans la chaîne de valeur, le statut réel ou potentiel, les facteurs de gravité, la probabilité, les éléments probants sources, le responsable, les actions et le statut actuel.

L’inventaire devrait ensuite alimenter deux analyses contrôlées.

Analyse ESRS

L’évaluation de la double importance détermine si les impacts, risques ou opportunités sont importants et quels thèmes et informations doivent être publiés. Les informations relatives à la diligence raisonnable constituent un élément d’entrée important : les ESRS révisées expliquent que l’identification et l’évaluation des impacts effectuées dans le cadre de la diligence raisonnable éclairent l’évaluation des impacts négatifs importants aux fins du reporting. Les informations publiées qui en résultent doivent néanmoins satisfaire aux tests ESRS d’importance de l’information et de présentation fidèle.

Analyse CSDDD

La CSDDD exige un exercice de définition du périmètre fondé sur les risques, utilisant les informations raisonnablement disponibles pour identifier les domaines généraux dans lesquels les impacts négatifs sont les plus probables et les plus graves, suivi d’une évaluation approfondie dans ces domaines. Si l’entreprise ne peut pas traiter simultanément et intégralement tous les impacts négatifs identifiés, la priorisation repose sur la gravité et la probabilité.

Le même incident ou risque sous-jacent peut donc avoir des statuts différents dans les deux systèmes. Il peut être important pour le reporting ESRS, prioritaire pour l’action au titre de la CSDDD, les deux, ou aucun des deux après application des tests pertinents. Le système devrait enregistrer chaque conclusion séparément plutôt que d’écraser une seule valeur intitulée « important ».

Les ESRS exigent des informations utiles sur les intérêts et points de vue des parties prenantes et, lorsque cela est pertinent, sur la manière dont le dialogue a éclairé la stratégie, l’évaluation de l’importance et la gestion des impacts importants. La qualité des informations publiées dépend d’éléments probants précis : qui a été consulté, pourquoi, sur quelles questions, comment les obstacles ont été traités, ce qui a été entendu, ce qui a changé et quelles limites subsistaient.

La CSDDD va plus loin en exigeant un dialogue et une consultation effectifs à des étapes définies. Celles-ci comprennent la collecte d’informations permettant d’identifier, d’évaluer et de hiérarchiser les impacts ; l’élaboration de plans d’action préventive et corrective ; et l’adoption de mesures de remédiation. Les parties prenantes consultées peuvent demander des informations pertinentes supplémentaires, et tout refus doit être justifié par écrit. Lorsqu’un dialogue effectif avec les parties prenantes n’est pas raisonnablement possible, l’avis crédible d’experts est requis comme source supplémentaire.

Un programme commun de dialogue devrait donc distinguer :

1. le dialogue utilisé pour comprendre les impacts et éclairer l’évaluation de l’importance selon les ESRS ;

2. la consultation menée pour satisfaire à une étape du processus prévu par la CSDDD ;

3. le dialogue commercial courant avec les fournisseurs ou les clients ;

4. les interactions relatives aux réclamations, aux notifications ou à la réparation, qui exigent la confidentialité et une protection contre les représailles.

Selon les ESRS, l’organisation publie les politiques et actions qu’elle a mises en place pour les questions importantes. La norme ne transforme pas une politique publiée en obligation de conduite et ne permet pas non plus à une organisation de laisser entendre son efficacité simplement parce qu’une politique existe. Un reporting équilibré peut devoir identifier les lacunes de couverture, les actions retardées, les contraintes de ressources, les incidents non résolus et les résultats qui n’ont pas répondu aux attentes.

Selon la CSDDD, l’intégration des politiques et les mesures appropriées constituent des obligations substantielles. Selon les circonstances, les mesures peuvent inclure des plans d’action préventive ou corrective, des investissements, des changements opérationnels, des garanties contractuelles, un soutien aux partenaires commerciaux, une collaboration et, en dernier ressort et sous réserve de garanties, la suspension des relations d’affaires. Lorsque l’entreprise a causé ou causé conjointement un impact négatif réel, une remédiation est requise ; lorsqu’un partenaire commercial l’a causé seul, l’entreprise peut fournir une remédiation volontaire et utiliser son influence.

Un mécanisme de réclamation constitue une preuve de l’existence d’un canal, et non la preuve que tous les impacts ont été identifiés, que les réclamations ont été traitées équitablement ou que la remédiation a été efficace. La chaîne d’éléments probants devrait relier le signalement à l’évaluation, à la décision, à l’action, à la communication, au résultat et à l’examen de clôture.

Un modèle intégré pratique comporte six niveaux.

Figure 2. Comparaison des responsabilités en matière de reporting ESRS et de diligence raisonnable au titre de la CSDDD. Visuel pédagogique de marque de London Reporting Academy.

Règle de gouvernance

Le processus intégré peut comporter un seul comité directeur, une seule plateforme de données et un seul registre des éléments probants. Il devrait néanmoins exiger une validation distincte de la part du responsable du reporting de durabilité et du responsable juridique ou conformité. Le conseil d’administration devrait recevoir un document qui distingue :

• ce que l’organisation a fait ;

• ce que l’état de durabilité ESRS publie ;

• ce qui est exigé par le droit national en vigueur ;

• ce qui relève encore de la préparation future à la CSDDD ;

• les domaines dans lesquels les éléments probants ou la remédiation sont incomplets.

Contexte. Un fabricant diversifié reçoit des signalements crédibles selon lesquels des travailleurs migrants employés par un fournisseur indirect ont payé des frais de recrutement et se sont vu retenir leurs passeports. Le fournisseur est situé dans une zone géographique à haut risque et produit un composant ayant plusieurs sources alternatives.

Éléments probants disponibles. Entretiens avec des travailleurs menés par une organisation indépendante, documents d’approvisionnement, rapport d’audit, code du fournisseur, registres des réclamations et correspondance avec le fournisseur direct.

Travaux au titre des ESRS. L’entreprise évalue les incidences potentielles et réelles sur les travailleurs de la chaîne de valeur, examine leur gravité et leur probabilité, détermine si la question est importante et établit les informations à fournir au titre de l’ESRS S2 et des exigences générales. L’équipe chargée du rapport décrit la question, le périmètre, la réponse et les limites, sans identifier les travailleurs ni formuler d’affirmations non étayées sur l’efficacité.

Travaux au titre de la CSDDD. L’équipe chargée de la diligence raisonnable consigne la question comme étant identifiée, réalise l’évaluation requise, détermine si elle est causée, conjointement causée ou liée par l’intermédiaire d’un partenaire commercial, élabore des mesures appropriées, échange avec les parties prenantes affectées ou leurs représentants, examine la remédiation, utilise son influence et suit les résultats. Le conseil juridique vérifie la décision au regard de la législation nationale de mise en œuvre applicable.

Éléments probants communs. Le registre des incidences, les éléments probants de l’engagement, le plan d’action, les communications avec le fournisseur et les indicateurs de résultats étayent les deux volets de travaux.

Conclusions distinctes. « Cette incidence est importante au titre des ESRS » n’est pas la même affirmation que « l’entreprise a rempli toutes ses obligations au titre de la CSDDD ». Chaque conclusion repose sur ses propres critères et fait l’objet de sa propre approbation.

1. Utiliser un seul tableau de périmètre pour les deux régimes sans logique juridique distincte. Ajouter des champs de périmètre propres à chaque régime, les dates, les tests applicables au groupe et l’approbation juridique.

2. Considérer toute relation d’affaires comme faisant partie du même périmètre. Cartographier la relation une fois, puis appliquer séparément les définitions de la chaîne de valeur des ESRS et de la chaîne d’activités de la CSDDD.

3. Traiter la matrice de matérialité comme le plan d’action de diligence raisonnable. La matérialité étaye les décisions de reporting ; la priorisation des actions nécessite sa propre justification, ses responsables, son calendrier et son suivi.

4. Utiliser les questionnaires fournisseurs comme éléments probants principaux pour les incidences à haut risque. Combiner les informations des fournisseurs avec des sources indépendantes, les contributions des travailleurs ou des communautés, les données relatives aux réclamations et les éléments probants d’experts.

5. Assimiler la couverture par une politique à sa mise en œuvre. Suivre la mise en œuvre, les non-conformités, les ressources, les résultats et la remédiation.

6. Publier une déclaration générale de conformité avant l’analyse de la transposition nationale. Employer une formulation maîtrisée sur l’état de préparation et obtenir une validation juridique.

7. Laisser des éléments probants confidentiels de diligence raisonnable dans l’espace de travail public consacré au reporting. Séparer les documents publics, à accès restreint, couverts par le secret professionnel et contenant des données à caractère personnel, tout en préservant la traçabilité.

• ESRS 1 révisée : objectif, informations à fournir propres à l’entité, présentation fidèle, double matérialité, devoir de vigilance et reporting relatif à la chaîne de valeur.

• ESRS 2 GOV-3 révisée : déclaration indiquant où sont fournies les informations relatives aux principales étapes du devoir de vigilance. Dans les ESRS 2023, l’information à fournir correspondante est GOV-4.

• ESRS 2 GOV-4 révisée : gestion des risques et contrôles internes relatifs au reporting de durabilité. Dans les ESRS 2023, il s’agit de GOV-5.

• ESRS 2 SBM-2 et IRO-1 : intérêts et points de vue des parties prenantes ; processus d’évaluation de la matérialité.

• GDR-P, GDR-A, GDR-M et GDR-T : politiques, actions, indicateurs et objectifs relatifs aux thèmes importants.

• ESRS S2, S3 et S4 : travailleurs de la chaîne de valeur, communautés affectées, consommateurs et utilisateurs finaux.

• Articles 5 et 7-16 de la CSDDD : actions de devoir de vigilance, intégration de la politique, identification, hiérarchisation, prévention, mesures correctives, remédiation, dialogue, réclamations, suivi et communication.

La CSDDD remplace-t-elle les informations à fournir au titre du devoir de vigilance selon les ESRS ?

Non. La CSDDD crée des obligations de conduite. Les ESRS déterminent quelles informations matérielles sont communiquées et comment elles sont présentées. Les éléments probants relatifs à la CSDDD peuvent étayer les informations à fournir selon les ESRS, mais les exigences de reporting restent distinctes.

Une seule évaluation des impacts peut-elle étayer les deux dispositifs ?

Oui, un inventaire et un processus de collecte d’éléments probants uniques peuvent étayer les deux dispositifs. L’organisation devrait appliquer des critères distincts, consigner des résultats distincts et obtenir une validation distincte pour chaque conclusion juridique.

Une entité soumise au reporting au titre de la CSRD doit-elle publier une déclaration annuelle distincte sur son site web au titre de la CSDDD ?

L’article 16 de la CSDDD exempte les entreprises soumises à des exigences spécifiées en matière de reporting de durabilité prévues par la directive comptable, y compris certaines entités de groupe exemptées, de la déclaration annuelle distincte. L’organisation doit néanmoins confirmer que l’exemption s’applique à sa situation et à la mise en œuvre nationale.

Les éléments probants issus des audits des fournisseurs sont-ils suffisants ?

Habituellement, pas à eux seuls. Des éléments probants de grande qualité peuvent également nécessiter la contribution des parties prenantes affectées, des informations relatives aux réclamations, des sources indépendantes, des données opérationnelles, des registres de remédiation et un suivi des résultats.