Risque fournisseurs: comment répondre aux exigences des lois Sapin 2 et Devoir de vigilance ?

Identifier les fournisseurs à risque

La loi Sapin II a dans son champ d'application les fournisseurs de rang 1 (de biens et services en rapport direct avec l'activité de l'entreprise). Mais elle inclut aussi les clients de l'entreprise, ainsi que toutes les contreparties c'est-à-dire certaines relations avec des tiers (un investisseur par exemple). Toutefois, la loi ne cadre pas les fournisseurs qui doivent être évalués. "Il va y avoir des seuils et une tolérance limitée aux grands fournisseurs", rassure Daniel Pinazo, manager des solutions compliance chez Bureau Van Dijk.

C'est là que la cartographie des risques, imposée par les deux lois, intervient, car elle permet de comparer les données aux risques. En matière de devoir de vigilance, elle peut par exemple révéler le taux de dépendance de chaque fournisseur au groupe (et non à chaque filiale). Logiquement, une plateforme internet BtoC ne faisant appel qu'à des sous-traitants français est moins exposée au risque RSE qu'une entreprise d'extraction minière présente dans des pays à risque et travaillant avec des sous-traitants locaux.

Harmoniser et croiser la donnée

Certains outils vont permettre de mettre en regard les fournisseurs par rapport à des critères de risques identifiés. Mais pour faire ressortir les fournisseurs qui doivent être analysés, il convient au préalable d'harmoniser les bases de données dans toutes les filiales de son entreprise. Pour des filiales qui travaillent entre elles, il faut ainsi vérifier les données au niveau du groupe. Il est également fondamental d'avoir une bonne connaissance des différents liens capitalistiques pour identifier les bénéficiaires effectifs de chaque entreprise sous-traitante, en établissant des arborescences capitalistiques. "Les taux de détention très complexes servent souvent à dissimuler le bénéficiaire effectif d'une entreprise. 10% des sociétés de notre base de données mettent ainsi en oeuvre un montage type d'auto-détention pour cacher le détenteur réel, ce qui représente près de 25 millions d'entreprises", souligne Daniel Pinazo.

Ensuite, ces outils vont croiser ces données avec d'autres données pour les enrichir : base Orbis (qui rassemble des informations économiques, financières et d'identification sur 200 millions d'entreprises dans le monde), indicateurs Ecovadis ou Acesia de l'Afnor... Et révéler, par exemple, un risque de corruption accru dans le cas où un chef d'entreprise ou un membre du board est politiquement exposé dans sa zone. "Si une personne est politiquement exposée chez un fournisseur, ce n'est pas rédhibitoire pour les affaires, mais le fait d'en prendre conscience prouve que le donneur d'ordres est capable d'identifier un risque potentiel. Pour les autorités de régulation, il suffit de le savoir", précise Daniel Pinazo. Dans la même logique, il n'y a pas de règle imposant de ne pas travailler avec des entreprises déjà sanctionnées. Les entreprises soumises aux lois Sapin II et Devoir de vigilance doivent seulement démontrer au régulateur qu'elles possèdent ces informations et qu'elles ont développé un plan d'action en réaction.

Lire la suite en page 3: Que faire quand certains documents ne peuvent pas être obtenus ? Quels plans d'amélioration établir ?