Construire sa cartographie des risques fournisseurs

Une organisation qui a repéré les enjeux RSE de ses familles d’achats sait où regarder ; il lui reste à savoir chez qui. La cartographie des risques fournisseurs fait le lien entre les familles d’achats d’une part, les fournisseurs et leurs sites d’autre part, pour décider où concentrer l’évaluation, l’accompagnement et, le cas échéant, l’audit.

Elle prolonge le travail décrit dans l’article Identifier les enjeux RSE de vos familles d’achats et ouvre l’étape « J’engage mes fournisseurs » du parcours.

À quoi sert une cartographie des risques fournisseurs

Une cartographie des risques fournisseurs indique quels fournisseurs et quels sites présentent les risques sociaux, environnementaux et éthiques les plus élevés, afin d’y proportionner la vigilance. Elle fait aussi apparaître des opportunités : fournisseurs déjà engagés, offres moins carbonées ou structures inclusives.

Pour les entreprises soumises au devoir de vigilance, la loi du 27 mars 2017 en fait la première des cinq mesures du plan de vigilance. Dans son rapport d’évaluation de la loi publié en 2020 (nouvelle fenêtre), le Conseil général de l’économie relève qu’il est impossible en pratique d’exiger d’une seule entreprise une couverture complète de sa chaîne d’approvisionnement.

La directive européenne CS3D, modifiée par la directive Omnibus I (directive (UE) 2026/470 (nouvelle fenêtre)), remplace la cartographie exhaustive de la chaîne d’activités par un exercice de délimitation fondé sur les informations raisonnablement disponibles, suivi d’une analyse approfondie là où les atteintes sont les plus probables et les plus graves ; à probabilité et gravité égales, l’entreprise peut donner la priorité à ses partenaires directs.

Les obligations applicables selon la taille de l’entreprise, y compris pour les fournisseurs des entreprises soumises, sont détaillées dans l’article CSRD, devoir de vigilance, loi Climat, Beges : êtes-vous concerné ?.

Partir des enjeux par famille, puis descendre au fournisseur

La cartographie des risques fournisseurs reprend la matrice qui croise familles d’achats et enjeux RSE. Cette matrice a coté chaque enjeu selon trois critères : sa gravité, sa probabilité lorsque l’atteinte n’est que possible, puis l’exposition de l’organisation, c’est-à-dire le poids des achats concernés. La cartographie fournisseurs garde la gravité de la famille, mais évalue la probabilité et le poids fournisseur par fournisseur : chaque fournisseur, ou chaque site, devient l’unité d’analyse.

Un exemple fictif, repris tout au long de l’article, l’illustre : la famille des vêtements de travail et ses deux fournisseurs. Le confectionneur A fabrique dans ses propres ateliers en France et publie la liste de ses sites ; le négociant B s’approvisionne auprès d’ateliers qu’il ne nomme pas, dans des pays où le risque de travail forcé est élevé.

Construire la cartographie en trois étapes

La cartographie se construit en trois temps : rassembler les données, évaluer le niveau de risque de chaque fournisseur, puis classer les fournisseurs par niveau de vigilance.

1. Rassembler les données déjà disponibles

L’essentiel de l’information existe souvent déjà dans l’organisation : volumes dans l’analyse des dépenses, adresses des sites dans le fichier fournisseurs, sous-traitance autorisée dans les contrats, certifications et notations RSE partagées par le fournisseur. La collecte s’appuie d’abord sur ces données et sur des sources publiques, avant de solliciter les fournisseurs, comme le prévoit la directive Omnibus I pour les partenaires de moins de 5 000 salariés.

2. Évaluer le niveau de risque de chaque fournisseur

Le niveau de risque d’un fournisseur part de la gravité et de la probabilité cotées pour sa famille, puis se précise en trois lectures, sur les dimensions environnementale, sociale, éthique et de gouvernance.

La première porte sur le contexte : le pays des sites, le produit ou la matière achetée. L’extraction de matières premières, le textile, l’agriculture ou la construction sont plus souvent associés à des atteintes, de même que certains pays pour la corruption, le travail forcé ou les atteintes à l’environnement.

La deuxième porte sur le fournisseur lui-même, en deux temps. Le risque brut décrit la situation avant toute mesure : sous-traitance en cascade, incidents connus, alertes relayées par des associations ou par la presse, absence d’information. Le risque net tient compte des mesures déjà en place, comme des certifications pertinentes, une évaluation RSE récente ou la transparence sur les sites. Distinguer les deux permet de suivre l’efficacité de ces mesures, une certification ne couvrant qu’un périmètre précis.

Dans l’exemple, le risque brut du confectionneur A est modéré, une atteinte restant possible même en France, mais la publication de ses sites et une évaluation récente ramènent son risque net à faible. Celui du négociant B reste fort, faute de toute mesure.

La troisième porte sur les pratiques de l’organisation elle-même. Des délais très courts, une forte pression sur les prix ou des commandes modifiées tardivement peuvent conduire un fournisseur à sous-traiter sans le déclarer : l’acheteur contribue alors au risque qu’il cherche à maîtriser. Les délais de paiement ou la part que représente l’organisation dans le chiffre d’affaires du fournisseur relèvent de la même attention, au cœur du label RFAR.

3. Classer les fournisseurs par niveau de vigilance

Le classement croise le niveau de risque avec le poids du fournisseur : volume d’achats, dépendance de l’organisation envers lui, difficulté à le remplacer. Ce poids prolonge l’exposition de la matrice des familles ; l’étape « J’engage mes fournisseurs » parle de volume d’achats ou de criticité opérationnelle.

Le niveau de risque fixe l’ordre de priorité : un fournisseur modeste en volume mais concerné par une atteinte de gravité élevée reste prioritaire. Le poids départage ensuite les fournisseurs de risque comparable et renseigne sur le levier de l’acheteur, qu’une forte dépendance vient limiter.

Le croisement aboutit à quelques niveaux de vigilance, souvent trois. Le niveau élevé regroupe les fournisseurs à risque fort, ce qui recoupe les fournisseurs « critiques » de l’étape 4. Le niveau intermédiaire réunit les fournisseurs à risque modéré ainsi que ceux dont le risque est faible mais le poids important, parmi lesquels les fournisseurs « stratégiques » à risque plus faible. Le premier niveau rassemble les fournisseurs à risque faible et de faible poids, les fournisseurs « standard » du parcours.

Le résultat prend la forme d’un tableau, avec une ligne par fournisseur ou par site et une justification du classement, ici portée par les colonnes probabilité et risque net, qui permet de l’expliquer à un donneur d’ordre. Placer la ligne de la famille au-dessus de celles de ses fournisseurs fait apparaître ce qui se transmet d’un niveau à l’autre : la gravité reste celle de la famille, la probabilité prend une valeur propre à chaque fournisseur, l’exposition de la famille se répartit en poids entre eux.

Un second exemple, environnemental, montre le cas d’une atteinte déjà en cours, qui se cote sur sa seule gravité : les deux transporteurs se distinguent alors par leur risque net, c’est-à-dire par les mesures de réduction déjà engagées. Le transporteur D fait aussi apparaître une opportunité.

Aller au-delà du rang 1

La plupart des cartographies commencent par le rang 1, avec lequel l’organisation entretient en général un lien contractuel. Les risques les plus graves peuvent pourtant se situer plus loin dans la chaîne. La loi française vise les relations commerciales établies, que le Conseil général de l’économie n’interprète pas comme limitées au rang 1 ; la directive européenne couvre la chaîne d’activités.

Repérer les filières à remonter

Les matières à risques connus, comme les minerais de l’électronique, le coton, le cacao, l’huile de palme ou le bois, ainsi que la sous-traitance de main-d’œuvre figurent parmi les premières filières à remonter. Pour les minerais, un devoir de diligence existe déjà : le règlement européen présenté dans l’article sur les familles d’achats vise leurs importateurs.

S’appuyer sur le fournisseur direct

Une clause de transparence peut lui demander la liste de ses sites de production, comme le propose l’étape « J’engage mes fournisseurs », voire celle de ses principaux sous-traitants ; une clause de cascade peut l’engager à répercuter les exigences de la charte auprès de ses propres fournisseurs. Un audit mené avec lui chez un sous-traitant donne ensuite une vision directe des pratiques.

Mutualiser et ouvrir les canaux d’information

Les initiatives sectorielles et les audits partagés entre donneurs d’ordre évitent de solliciter plusieurs fois les mêmes sites ; le Conseil général de l’économie recommande de promouvoir les approches sectorielles et multipartites. La traçabilité des matières et un mécanisme d’alerte ouvert aux travailleurs des fournisseurs complètent ces dispositifs.

Du classement au plan d’action

Chaque niveau de vigilance appelle des actions proportionnées. La cartographie sert aussi en amont de la relation : elle indique dans quelles familles inscrire des exigences RSE au cahier des charges et quelle pondération donner au critère RSE dans l’analyse des offres.

Au niveau de vigilance le plus faible, la charte fournisseurs et quelques critères RSE au cahier des charges posent le cadre. Au niveau intermédiaire s’ajoute un questionnaire RSE, dont l’article Construire un questionnaire RSE fournisseurs efficace détaille la construction. Au niveau le plus élevé viennent l’évaluation approfondie, l’audit sur site, des clauses contractuelles adaptées et un plan de progrès construit avec le fournisseur.

Dans les exemples, le confectionneur A reçoit un questionnaire RSE et un suivi de ses sites. Le négociant B se voit demander la liste de ses ateliers, puis une évaluation approfondie, un audit si besoin et un plan de progrès ; faute de progrès, ses volumes passent à un autre fournisseur. Le transporteur C, difficile à remplacer, est engagé plutôt que quitté : bilan carbone et trajectoire de réduction demandés, clause carbone au contrat, critère carbone à la prochaine consultation. Le transporteur D reçoit un questionnaire RSE ; son engagement ouvre la voie à une part plus grande des volumes ou à une mutualisation des tournées.

Face à un risque élevé, la démarche décrite dans l’étape « J’engage mes fournisseurs » privilégie l’accompagnement puis une approche par paliers, le déréférencement restant le dernier recours. Lorsqu’un fournisseur ne peut pas être remplacé à court terme, la situation et le plan d’action alternatif sont documentés. L’article Engager ses fournisseurs dans une démarche de développement durable détaille les outils de cette relation.

Faire vivre la cartographie

Une cartographie se met à jour à intervalle régulier, par exemple une fois par an pour les familles les plus sensibles, ainsi qu’à chaque événement qui modifie le profil de risque d’un fournisseur, comme un changement de site, un résultat d’audit ou un signalement.

Associer à l’exercice les acheteurs, le service juridique, la direction RSE, les fournisseurs ainsi que, si possible, les représentants des personnes potentiellement touchées enrichit la lecture.

Le suivi peut reprendre les quatre niveaux d’indicateurs de l’article Choisir ses indicateurs achats durables : que mesurer ? : la part de la dépense couverte par la cartographie relève des réalisations, l’atteinte des objectifs des plans de progrès des résultats, les non-conformités sociales corrigées chez les fournisseurs des impacts. Ces données alimentent le tableau de bord de l’étape « Je pilote mes actions ».

Par où commencer

Une première cartographie n’a pas besoin d’être complète pour être utile. Un point de départ réaliste consiste à reprendre les familles d’achats jugées prioritaires dans la matrice des enjeux, à en extraire les fournisseurs de rang 1 qui représentent l’essentiel des volumes, puis à évaluer leur niveau de risque à partir des seules données disponibles.

La cartographie s’étend ensuite par cercles successifs, vers les autres familles, les fournisseurs de moindre volume puis, dans les filières les plus à risque, au-delà du rang 1.