Qu'est-ce que la loi allemande sur la diligence raisonnable dans la chaîne d'approvisionnement ?
La loi allemande sur la diligence raisonnable dans la chaîne d'approvisionnement (en allemand : LkSG) oblige les entreprises opérant en Allemagne et comptant au moins 3 000 employés à mettre en œuvre une diligence raisonnable en matière de droits humains dans leurs chaînes d'approvisionnement. Cette loi exige des entreprises qu'elles prennent toutes les mesures nécessaires pour prévenir les risques liés aux droits humains, rendent compte de leurs efforts, remédient aux risques et conservent la documentation pendant sept ans. En 2024, la loi s'étendra aux entreprises de plus de 1 000 employés.
Le non-respect de ces dispositions peut entraîner des sanctions pouvant aller jusqu'à 800 000 euros pour les particuliers et 400 millions d'euros ou 2 % du chiffre d'affaires annuel moyen pour les entreprises. La LkSG s'aligne sur les réglementations ESG mondiales visant à protéger les droits de l'homme, soulignant l'importance d'intégrer ses exigences dans les stratégies de gestion des risques des fournisseurs.
Cet article examine les exigences de la LkSG, notamment celles qui s'appliquent le plus à la gestion des risques fournisseurs, et recommande les meilleures pratiques pour y répondre.
Exigences de la loi allemande sur la diligence raisonnable dans la chaîne d'approvisionnement
La loi impose aux entreprises les obligations suivantes. Dans cet article, nous n'examinerons que les obligations indiquées en gras.
- Respecter les droits de l'homme et les obligations de diligence raisonnable en matière d'environnement dans la chaîne d'approvisionnement (section 3)
- Mettre en place un système de gestion des risques (section 4, paragraphe 1)
- Désigner une personne responsable (section 4, paragraphe 3)
- Effectuer régulièrement des analyses des risques (section 5)
- Publier des déclarations de politique générale (section 6, paragraphe 2)
- Mettre en œuvre des mesures préventives dans son propre domaine d'activité (section 6, paragraphes 1 et 3) et auprès des fournisseurs directs (section 6, paragraphe 4)
- Prendre des mesures correctives en cas de violation des droits de l'homme (section 7, paragraphes 1 à 3)
- Mettre en place une procédure de plainte concernant la notification des violations des droits de l'homme (section 8)
- Mettre en œuvre les obligations de diligence raisonnable pour les fournisseurs indirects (section 9)
- Document et rapport (section 10, paragraphes 1-2)
6 bonnes pratiques pour répondre aux exigences de la loi allemande sur la diligence raisonnable dans la chaîne d'approvisionnement
Remarque : cette section passe en revue uniquement les principales caractéristiques de la LkSG. Pour obtenir la liste complète des exigences, veuillez vous reporter à texte intégral de la loi.
Envisagez de mettre en œuvre les meilleures pratiques suivantes pour répondre aux principales dispositions de la LkSG en matière de gestion des risques fournisseurs.
1. Mettre en place un système de gestion des risques
Le paragraphe 1 de la section 4 stipule que « les entreprises doivent mettre en place un système de gestion des risques approprié et efficace afin de se conformer à l'obligation de diligence raisonnable [...] La gestion des risques doit être intégrée à tous les processus opérationnels pertinents par le biais de mesures appropriées ».
Pour répondre à cette exigence, commencez par élaborer et affiner les éléments clés de votre programme de gestion des risques fournisseurs, notamment :
- Politiques, normes, systèmes et processus de gouvernance
- Rôles et responsabilités clairement définis (par exemple, RACI)
- Logique de classification et de catégorisation des fournisseurs
- Seuils d'évaluation des risques basés sur les niveaux de tolérance au risque de votre organisation
- Cartographie des fournisseurs indirects pour comprendre l'écosystème étendu de votre organisation
- Déterminer les évaluations et les sources appropriées pour les données de surveillance continue (par exemple, commerciales, financières, liées à la réputation)
- Indicateurs clés de performance (KPI) et indicateurs clés de risque (KRI)
- les exigences en matière de conformité et de rapports contractuels par rapport aux niveaux de service
- Rapports sur les risques et les parties prenantes internes
- Stratégies d'atténuation des risques et de remédiation
Ces critères devraient constituer la base d'un programme de gestion des risques fournisseurs conforme aux meilleures pratiques, qui inclut une diligence raisonnable pour répondre aux exigences de la LkSG et qui peut être étendu à d'autres catégories de risques, telles que la cybersécurité.
2. Effectuer régulièrement des analyses des risques
La section 5 stipule que « l'entreprise doit mener une analyse des risques appropriée [...] afin d'identifier les risques liés aux droits de l'homme et à l'environnement [...] chez ses fournisseurs directs [...] Les risques doivent être pondérés et classés par ordre de priorité de manière appropriée [...] L'analyse des risques doit être effectuée une fois par an et de manière ponctuelle. »
Pour répondre à cette exigence, évaluez les pratiques des fournisseurs à l'aide d'une plateforme centralisée qui permet le calcul automatique des risques en fonction des réponses des fournisseurs par rapport aux seuils de risque acceptables, le téléchargement de pièces justificatives, et qui s'appuie sur un flux de travail et des recommandations et rapports de correction intégrés, ce qui facilite le respect des exigences et des délais en matière de reporting.
Un autre avantage d'une plateforme centrale de gestion des risques est qu'elle vous permet d'évaluer les fournisseurs par rapport à plusieurs types de risques et de corréler les données afin d'obtenir une vue d'ensemble complète des risques liés aux fournisseurs (au lieu d'une vue cloisonnée).
De plus, bien que les évaluations annuelles soient essentielles pour obtenir un aperçu interne des pratiques d'un fournisseur en matière de droits de l'homme, beaucoup de choses peuvent se passer entre les soumissions de rapports annuels. C'est pourquoi il est essentiel de valider les résultats des évaluations annuelles de diligence raisonnable à l'aide d'informations continues sur la réputation, les médias défavorables et les nouvelles négatives, les mesures réglementaires et juridiques, les sanctions, etc. Vous pouvez ensuite corréler les renseignements issus de la surveillance continue avec les résultats des évaluations périodiques pour obtenir des rapports de risque plus uniformes. La consolidation de toutes les informations dans un « tableau de bord unique » optimisera vos efforts d'analyse des risques.
3. Mettre en œuvre des mesures préventives
Le paragraphe 4 de la section 6 stipule que « l'entreprise doit mettre en place des mesures préventives appropriées [...] [notamment] la prise en compte des attentes lors de la sélection d'un fournisseur direct [...] des garanties contractuelles [...] et des mesures de contrôle contractuelles ».
Pour répondre à ces exigences, les informations récentes sur les activités et la réputation, les documents juridiques, les scores ESG, les sanctions et autres renseignements connexes doivent être examinés dans le cadre de l'évaluation des nouveaux fournisseurs. Au lieu de jongler avec plusieurs sources d'informations différentes, regroupez toutes les informations dans un profil fournisseur unique accessible à toutes les équipes de l'organisation. De plus, la collecte de renseignements doit être alignée sur les processus plus larges de gestion des appels d'offres afin de permettre une évaluation plus globale des fournisseurs.
Une fois que vous passez à la phase de contractualisation, intégrez des dispositions dans les contrats fournisseurs et suivez les progrès réalisés par le fournisseur au fil du temps. Au lieu de traiter le processus de contractualisation séparément, intégrez-le à votre processus d'évaluation des risques fournisseurs. Pour ce faire, centralisez tous les processus de distribution, de discussion, de conservation et de révision des contrats et tirez parti du flux de travail tout au long du cycle de vie des contrats fournisseurs. Cela simplifiera considérablement la communication d'informations sur les mesures de contrôle contractuelles telles que les indicateurs clés de performance (KPI) et les indicateurs clés de risque (KRI).
4. Prendre des mesures correctives
La section 7 stipule que « si l'entreprise découvre qu'une violation d'une obligation liée aux droits de l'homme ou à l'environnement a déjà eu lieu ou est imminente [...] elle doit, sans délai injustifié, prendre les mesures correctives appropriées ». L'une des mesures correctives prévues par la loi consiste à mettre fin à la relation avec le fournisseur.
À partir des résultats des évaluations des fournisseurs expliqués à la section 5, formulez des recommandations à l'intention du fournisseur, demandez des éclaircissements sur les politiques et soyez prêt à signaler toute violation aux autorités. Les solutions de gestion des risques liés aux fournisseurs comprendront des suggestions de mesures correctives intégrées à l'intention des fournisseurs. Il est essentiel de suivre cette étape, car elle est indispensable pour le signalement obligatoire.
S'il s'avère nécessaire de mettre fin à une relation avec un fournisseur, automatisez les évaluations finales des contrats et les procédures de départ afin de réduire le risque d'exposition post-contractuelle de votre organisation. Les tâches essentielles à accomplir dans ce cas sont les suivantes :
- Rapport sur l'accès au système, la destruction des données, la gestion des accès, les paiements finaux, etc.
- Stockez et gérez de manière centralisée les documents et certifications, tels que les accords de confidentialité, les accords de niveau de service, les cahiers des charges et les contrats.
- Mettre en correspondance les résultats de l'évaluation avec le cadre réglementaire afin de simplifier le rapport final.
5. Mettre en œuvre une diligence raisonnable pour les fournisseurs indirects
Le paragraphe 3 de la section 9 stipule : « Si une entreprise dispose d'indications concrètes laissant supposer une violation potentielle d'une obligation liée aux droits de l'homme ou à l'environnement chez ses fournisseurs indirects, [...] elle doit procéder à une analyse des risques, [...] définir des mesures préventives appropriées [...] et mettre en œuvre un concept de prévention. »
Pour répondre à cette obligation, il est essentiel d'identifier les relations de sous-traitance de quatrième et n-ième partie dans votre écosystème de fournisseurs. Une excellente façon de commencer ce processus consiste à mener une évaluation de vos fournisseurs à l'aide d'un questionnaire ou à analyser de manière passive l'infrastructure publique du fournisseur. La carte des relations illustre les dépendances étendues qui pourraient exposer votre organisation à des risques. Les fournisseurs identifiés grâce à ce processus doivent faire l'objet d'une surveillance continue afin d'identifier les risques ESG, commerciaux et liés aux sanctions.
6. Documenter et rendre compte
Les paragraphes 1 et 2 de l'article 10 stipulent que « les obligations de diligence raisonnable [...] doivent être documentées de manière continue [...] et conservées pendant au moins sept ans ». En outre, « l'entreprise doit établir un rapport annuel sur le respect de ses obligations de diligence raisonnable ».
Pour répondre à ces exigences, stockez et distribuez de manière centralisée les documents relatifs à la politique des fournisseurs, les résultats des évaluations, les conclusions des contrôles et les mesures correctives à prendre pour le dialogue et l'attestation lors de l'établissement des rapports. Les solutions de gestion des risques fournisseurs offrent un accès basé sur les rôles, ce qui vous permet d'étendre la visibilité aux auditeurs externes qui peuvent examiner vos processus de diligence raisonnable et vous conseiller sur les exigences en matière de rapports annuels.
La création et la maintenance d'une base de données centralisée des fournisseurs sont essentielles pour garantir l'efficacité du programme de gestion des risques fournisseurs (SRM) et respecter les exigences de déclaration prévues par la loi. La base de données doit inclure des profils complets des fournisseurs et offrir un accès basé sur les rôles aux contacts de l'entreprise, à la documentation, aux données démographiques, aux connexions avec les quatrièmes et n-ièmes parties, ainsi qu'aux informations sur les risques.
Prochaines étapes pour effectuer une vérification préalable de la chaîne d'approvisionnement
La plateforme Prevalent Third-Party Risk Management vous permet de gérer les risques liés aux droits de l'homme et à l'environnement dans votre chaîne d'approvisionnement en automatisant les évaluations basées sur des enquêtes des politiques des fournisseurs en matière de droits de l'homme et en validant les résultats grâce à un suivi externe continu de leurs pratiques réelles. Avec Prevalent, vous pouvez :
- Intégrez les processus d'appel d'offres, de passation de contrats et de diligence raisonnable dans une solution unique afin de gérer les risques tout au long du cycle de vie des fournisseurs.
- Établir un inventaire central des fournisseurs et calculer les risques inhérents que les fournisseurs introduisent dans votre environnement.
- Évaluez et surveillez en permanence les fournisseurs en matière de droits humains, d'environnement et de risques liés à la chaîne d'approvisionnement à l'aide d'une solution unique.
- Fournir des recommandations de remédiation automatisées aux fournisseurs afin de réduire l'exposition au risque résiduel.
- Mesurer les fournisseurs par rapport aux indicateurs de performance clés (KPI) et aux indicateurs de risque clés (KRI) contractuels.
- Utiliser des modèles pour simplifier l'établissement de rapports d'audit réglementaire à l'intention de multiples parties prenantes internes et externes.
Pour en savoir plus sur la manière dont la solution de conformité allemande de Prevalent en matière de diligence raisonnable dans la chaîne d'approvisionnement peut vous aider à atténuer les risques liés aux droits de l'homme et à l'environnement dans votre chaîne d'approvisionnement, planifiez dès aujourd'hui une démonstration personnalisée.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
