EUDR et bois : quelles dates de récolte sont concernées
Deux dates fixes, et non l’âge du bois, déterminent si vos meubles, papiers ou emballages nécessitent une déclaration de diligence raisonnable.
Trusty Compliance 5 novembre, 2026
Deux dates fixes, et non l’âge du bois, déterminent si vos meubles, papiers ou emballages nécessitent une déclaration de diligence raisonnable.
L’autorité anticorruption italienne fixe les règles pratiques des canaux de signalement internes. Ce que prévoient ses lignes directrices et ce qu’il faut vérifier dès maintenant.
La loi espagnole sur les lanceurs d’alerte fait du canal de signalement interne une obligation légale. Qui doit en disposer, ce qu’il doit permettre et les sanctions encourues.
L’EUDR et le règlement emballages touchent les mêmes expéditions sous des angles différents. Ce que chacun exige et comment les importateurs peuvent gérer les deux.
Un dispositif d’alerte traite certaines des données les plus sensibles de l’entreprise. Quand le RGPD impose une analyse d’impact (AIPD) et ce qu’elle doit couvrir.
La LkSG s’applique toujours en 2026, mais son contrôle est allégé. Ce qui s’applique aujourd’hui, ce qui a changé et le lien avec la directive européenne CSDDD.
L’EUDR s’applique à partir du 30 décembre 2026, soit dans environ dix semaines, aux opérateurs ainsi qu’aux opérateurs en aval et aux commerçants de toute taille ; les micro et petits opérateurs constitués en tant que tels au plus tard le 31 décembre 2024, ainsi que les personnes physiques, disposent d’un délai jusqu’au 30 juin 2027. La configuration de votre logiciel de conformité prend quelques minutes. La collecte des données de géolocalisation des parcelles, des preuves d’origine et de légalité auprès de vos fournisseurs prend des semaines, car ces données se trouvent chez des personnes extérieures à votre entreprise. Consacrez les quatre premières semaines aux données des fournisseurs, évaluez les risques à mesure que chaque chaîne d’approvisionnement est complétée, et gardez le mois de décembre pour résoudre les risques signalés et effectuer des dépôts de test.
L’EUDR fixe le cadre ; chaque État membre fixe les sanctions effectives. L’article 25 exige des amendes maximales d’au moins 4 % du chiffre d’affaires annuel total de l’entreprise dans l’UE, ainsi que la confiscation des marchandises et des revenus, et jusqu’à 12 mois d’exclusion des marchés publics. La plupart des États membres doivent aussi ériger les violations intentionnelles en infraction pénale, avec une peine maximale d’emprisonnement d’au moins cinq ans. À la mi-octobre 2026, la plupart des lois nationales sur les sanctions sont encore à l’état de projets, mais cela ne retarde pas les obligations propres à l’entreprise.
Le 30 décembre 2026, les obligations fondamentales de l’EUDR commencent à s’appliquer aux opérateurs ainsi qu’aux opérateurs en aval et aux commerçants de toute taille ; les micro et petits opérateurs constitués en tant que tels au plus tard le 31 décembre 2024, ainsi que les personnes physiques, disposent d’un délai jusqu’au 30 juin 2027. À partir de cette date, les produits concernés ne pourront être mis sur le marché de l’UE ou exportés que s’ils sont « zéro déforestation », produits légalement et couverts par une déclaration de diligence raisonnée. Les douanes vérifieront le numéro de référence de la déclaration, les autorités nationales commenceront les contrôles basés sur les risques, et l’ancien règlement de l’UE sur le bois (RBUE) sera abrogé. Il n’y a pas de période de grâce.
Un modèle gratuit de politique d’alerte pour les employeurs de l’UE. Découvrez les 10 éléments requis par la loi, copiez la formulation et adaptez-la pour l’Allemagne, l’Espagne, la France et l’Italie.
Un seul système de signalement peut-il couvrir plusieurs pays de l’UE ? Découvrez la règle par entité, les différences entre l’Allemagne, l’Espagne, la France et l’Italie, et un plan de déploiement en 7 étapes.
Depuis le 2 août 2026, la législation européenne sur les lanceurs d’alerte couvre les violations de la loi sur l’IA. Découvrez qui est protégé, ce qui peut être signalé et ce qu’il faut mettre à jour dans votre canal de signalement.
E-mail, hotline ou logiciel ? Découvrez quel canal de signalement respecte les sept exigences de la directive européenne, et comment choisir le bon système.
Le droit de l’alerte dans l’UE protège toute personne qui signale une violation du droit dont elle a eu connaissance dans le cadre de son travail.
Les MSPO sont dispensés de soumettre des déclarations de diligence raisonnée (DDS). Ils ne sont pas dispensés d’exercer la diligence raisonnée.
L’annexe I du RDUE a été modifiée par le règlement délégué (UE) 2026/2102, en vigueur depuis le 18 septembre 2026. Le cuir de bovins, les courroies en caoutchouc et d’autres articles en caoutchouc vulcanisé sont désormais exclus ; le café soluble, les langues de bovins congelées et les oléochimiques et savons à base d’huile de palme entrent dans le champ d’application le 30 décembre 2027. Pour tout le reste, le 30 décembre 2026 reste applicable.
Les échantillons gratuits lors d’un salon professionnel peuvent tout de même déclencher des obligations liées au RDUE. Découvrez ce qui est considéré comme entrant dans le champ d’application, ce qui est exempté et comment protéger votre prochain stand dans l’UE.
Le RDUE (EUDR) détermine si un produit lié à la déforestation ou à la dégradation des forêts, ou non produit conformément à la législation applicable du pays de production, peut entrer sur le marché de l’UE ou en sortir ; la CSRD impose aux entreprises concernées de publier des informations de durabilité selon les normes ESRS. Les deux textes sont juridiquement distincts, mais les données fournisseurs et de géolocalisation collectées pour le RDUE peuvent alimenter le reporting CSRD.
DORA exige que les entités financières concernées gèrent les risques liés aux prestataires tiers de services TIC et tiennent à jour des informations sur leurs accords contractuels TIC, avec des exigences renforcées lorsque les prestataires soutiennent des fonctions critiques ou importantes. NIS2 impose aux entités essentielles et importantes de traiter la sécurité de la chaîne d’approvisionnement, en particulier les risques impliquant les fournisseurs directs et les prestataires de services. Les deux régimes se chevauchent, mais DORA est plus prescriptif concernant la gestion des risques liés aux tiers TIC.
Le RDUE remplace et élargit considérablement le Règlement bois de l’UE (RBUE). Le RBUE visait à empêcher l’entrée sur le marché de l’UE de bois récolté illégalement. Le RDUE ajoute des exigences relatives à la déforestation et à la dégradation des forêts, la géolocalisation et une date butoir au 31 décembre 2020, et étend le régime au-delà du bois aux bovins, au cacao, au café, au palmier à huile, au caoutchouc et au soja.
L’opérateur met pour la première fois un produit concerné sur le marché de l’UE ou l’exporte, l’opérateur en aval met sur le marché un produit déjà couvert en amont, et le commerçant le met simplement à disposition. Selon l’EUDR révisé, le rôle se détermine produit par produit, et une même entreprise peut cumuler les trois.
MiCA réglemente l’agrément et le fonctionnement des prestataires de services sur crypto-actifs (PSAN) dans l’UE, tandis que le cadre LCB-FT de l’UE régit la manière dont ces entreprises préviennent le blanchiment de capitaux et le financement du terrorisme. MiCA ne remplace pas les exigences LCB-FT : les PSAN agréés doivent se conformer aux deux, y compris la vigilance à l’égard de la clientèle, la vérification des bénéficiaires effectifs, les contrôles des sanctions et des PPE, la surveillance des transactions et la déclaration d’activités suspectes.
Non. La certification PEFC ne satisfait pas automatiquement à la diligence raisonnée du RDUE. La certification PEFC et le système de diligence raisonnée PEFC pour le RDUE peuvent aider les entreprises à collecter des preuves, évaluer les risques et démontrer la conformité, mais la responsabilité de satisfaire aux exigences du RDUE demeure celle de l’entreprise soumise à ces obligations.
Non : la certification FSC ne rend pas automatiquement une entreprise conforme au RDUE. Elle fournit des preuves utiles pour l’évaluation des risques et la diligence raisonnée, mais l’entreprise reste responsable du respect des exigences du règlement de l’UE sur la déforestation, géolocalisation comprise.
Les exigences de géolocalisation de l’EUDR sont différentes pour le bétail : au lieu d’un polygone pour chaque parcelle de plus de quatre hectares, les opérateurs fournissent une paire de coordonnées par établissement où les animaux ont été détenus.
La date limite de l’EUDR pour les petites entreprises leur donne jusqu’au 30 juin 2027. Cependant, deux conditions de l’article 38(3) en excluent des milliers.
Les exigences relatives aux lignes d’alerte dépendent du type d’entreprise. Les sociétés cotées en bourse sont tenues d’en disposer.
L’EUDR ne couvre pas seulement le bois et l’huile de palme : par les codes douaniers de l’annexe I, il s’applique aussi au chocolat, aux pneus, au papier toilette et au charbon de bois et, à partir du 30 décembre 2027, au café soluble, à certains dérivés de l’huile de palme et à la langue de bœuf surgelée.
La conformité EUDR n’exige pas des PME d’acheter du cacao par l’intermédiaire d’un négociant : un petit ou moyen producteur peut toujours importer directement.
La période de transition de MiCA qui permettait aux prestataires de services sur crypto-actifs préexistants de continuer à opérer sans agrément s’est terminée le 1er juillet 2026 dans tous les États membres, sans mécanisme de prolongation prévu dans le règlement. Les CASP agréés continuent d’opérer dans toute l’UE grâce au passeport européen. Les CASP sans agrément doivent cesser immédiatement de servir les clients de l’UE et procéder à une cessation ordonnée de leurs activités, sous peine d’amendes, de suspension ou de fermeture forcée par les autorités nationales.
La liste des risques pays RDUE classe chaque pays d’approvisionnement en risque faible, standard ou élevé. Voici ce que chaque niveau exige.
La CSDDD, l’EUDR et les lois nationales comme la LkSG allemande sont trois régimes de devoir de vigilance de l’UE distincts qui peuvent tous s’appliquer à une même entreprise.
La gestion des risques liés aux tiers dans le cadre de DORA est partagée entre les entités financières et leurs prestataires TIC. Depuis le 17 janvier 2025, l’article 13, paragraphe 6, exige que les banques, les assureurs et les sociétés d’investissement mettent en place des programmes de sensibilisation à la sécurité TIC et des formations à la résilience, et, le cas échéant, y incluent leurs prestataires TIC ; et l’article 30, paragraphe 2, point i), exige que chaque contrat TIC précise comment le prestataire y participe. Les prestataires capables d’en apporter la preuve conservent le contrat.
La formation à la conformité des employés est efficace lorsqu’elle mesure la compréhension, et non la présence. Trusty Compliance App transforme n’importe quelle politique ou document en un module de formation en quelques minutes, avec des questions générées par IA, des explications pour chaque réponse et un certificat de réussite, afin que vous puissiez prouver que les gens ont compris les règles qui protègent l’organisation plutôt que de simplement avoir cliqué sur les diapositives.
La mise à jour de juillet 2026 de la Commission européenne modifie le champ d’application des produits EUDR et finalise les règles du système d’information. Voici ce qui est inclus, ce qui est exclu et les échéances qui s’appliquent toujours.
Depuis la modification de décembre 2025, les négociants et opérateurs en aval n’exercent plus de diligence raisonnée, mais l’EUDR leur impose toujours trois obligations : les grandes entreprises doivent s’enregistrer dans le système d’information de l’UE et toutes, quelle que soit leur taille, doivent conserver cinq ans les registres fournisseurs et clients et agir immédiatement face à des préoccupations étayées. Les ignorer expose à des amendes dont le plafond atteint au moins 4 % du chiffre d’affaires annuel dans l’UE, ainsi qu’à des actions de leurs propres clients.
Les employés ne lisent pas les politiques de conformité parce qu’elles sont difficiles d’accès, trop longues, rédigées dans un langage juridique et dispersées dans des PDF, des pièces jointes d’e-mail et des dossiers partagés, et non parce qu’ils ne s’en soucient pas. La solution ne consiste pas à créer un nouveau document : regroupez chaque politique en un seul endroit accessible depuis tout appareil, mettez en avant la règle elle-même, offrez des orientations plutôt que du texte, et mesurez qui l’a réellement lue et comprise.
Les opérateurs sont soumis à l’EUDR à partir du 30 décembre 2026 ; les micro et petits opérateurs constitués en tant que tels au plus tard le 31 décembre 2024, ainsi que les personnes physiques, disposent d’un délai jusqu’au 30 juin 2027, sauf pour les produits du bois énumérés à l’annexe du règlement de l’UE sur le bois. Les opérateurs en aval et les commerçants de toute taille doivent s’y conformer dès le 30 décembre 2026. Collecter les données de géolocalisation et de légalité auprès des fournisseurs prend des mois : commencez maintenant plutôt que de parier sur un nouveau report.
Le vrai travail et le coût résident dans la collecte des données de géolocalisation, de fournisseurs et de légalité, ainsi que dans l’évaluation des risques, et ce travail reste identique, qu’une entreprise déclare un envoi ou cinquante pour le même produit.
Le critère de la preuve du SFO est simple : une politique anti-fraude écrite sur laquelle personne n’est formé, qui n’est pas contrôlée et qui ne laisse aucune trace de son propre fonctionnement ne suffira pas à établir le moyen de défense fondé sur des procédures raisonnables en vertu de l’article 199 de l’ECCTA, en vigueur depuis le 1er septembre 2025. Ce qui protège une organisation, c’est la preuve que la procédure fonctionne : registres de formation, surveillance, canaux de signalement et suivi documenté.
Un lanceur d’alerte est une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations sur un crime, un délit ou une violation de la loi. Cette définition, posée par la loi Sapin II et précisée par la loi Waserman, ouvre droit à une protection contre les représailles.
Le monde des affaires moderne exige des programmes de conformité efficaces pour éviter la responsabilité pénale et garantir un fonctionnement éthique et conforme à la loi. De plus, cette conformité réglementaire renforce l’image et la réputation de l’entreprise auprès de la société. Cependant, elle n’est pas exempte de défis.
La Ley 2/2023 espagnole sur la protection des personnes qui signalent des infractions réglementaires et la lutte contre la corruption oblige les entreprises à mettre en place un système interne de signalement qui protège les auteurs de signalements contre les représailles. Les infractions sont classées en mineures, graves et très graves, avec des amendes pouvant atteindre un million d’euros pour les personnes morales. La loi transforme le canal de signalement d’un geste de responsabilité sociale des entreprises en une exigence légale.
La protection des données et la conformité reposent sur deux fonctions distinctes. Le Compliance Officer veille à ce que l’entreprise respecte la réglementation en vigueur et gère des programmes qui réduisent le risque juridique et réputationnel. Le DPO s’assure que les données personnelles sont traitées conformément au RGPD et aux règles nationales. Leurs missions sont différentes mais complémentaires et doivent être coordonnées, par exemple pour les canaux de signalement internes.
La conformité MiCA pour les CASP en 2026 repose sur trois piliers opérationnels : un ensemble complet de politiques spécifiques à MiCA couvrant les articles 68 à 73, la preuve que le personnel satisfait aux règles de connaissances et de compétences de l’ESMA applicables à partir du 28 juillet 2026, et un canal de signalement conforme simultanément à MiCA, à la directive sur les lanceurs d’alerte et à DORA. L’agrément n’est que le point de départ ; c’est la preuve d’un fonctionnement quotidien conforme que les autorités de supervision mesurent.
Depuis décembre 2025, le règlement (UE) 2025/2650 a reporté l’application du RDUE au 30 décembre 2026 pour les opérateurs, les opérateurs en aval et les commerçants de toute taille, et au 30 juin 2027 pour les micro et petits opérateurs établis en tant que tels au 31 décembre 2024 et les personnes physiques, sauf pour les produits du bois figurant à l’annexe du règlement de l’UE sur le bois, créé la catégorie des micro ou petits opérateurs primaires (MPOP) avec une déclaration simplifiée unique, et défini formellement les opérateurs en aval.
Le règlement de l’Union européenne sur la déforestation (RDUE) n’a pas été affaibli, mais il a été clarifié. Le rapport de réexamen de la Commission
Le Trusty FinTech Booster Pack standardise la conformité au sein d’un réseau de partenaires : un seul ensemble de politiques distribué aux commerçants, agents, distributeurs et fournisseurs tiers, une preuve que chaque partenaire les a lues et a été formé en conséquence, un contrôle intégré des sanctions et des PPE, ainsi qu’une visibilité en temps réel pour l’institution agréée. Il transforme une supervision fragmentée et manuelle des partenaires en un système auditable par les régulateurs.
Le filtrage des PPE identifie si un client, un fournisseur ou un partenaire commercial est une personne politiquement exposée : quelqu’un qui occupe ou a occupé une position publique de premier plan, ou un membre de sa famille ou une personne qui lui est étroitement associée. Une correspondance de nom n’est qu’un début. Un filtrage efficace vérifie le rôle, le niveau d’influence, le pays et si la personne est toujours en fonction, puis documente la décision de risque et répète la vérification si les circonstances changent.
La directive anti-corruption de l’UE harmonise les infractions de corruption dans l’ensemble des États membres, en ajoutant à la corruption le trafic d’influence, le détournement de fonds, l’obstruction à la justice et la dissimulation d’avoirs qui y sont liés, et étend la responsabilité des entreprises aux actes commis au bénéfice d’une entreprise. Les amendes peuvent atteindre cinq pour cent du chiffre d’affaires mondial, avec, en plus, l’exclusion des marchés publics. Les entreprises ont besoin de politiques anti-corruption opérationnelles, de formations et d’un canal de signalement, pas de documents rangés dans un tiroir.
Vous pensez que l’énergie verte se limite au solaire et à l’éolien ? Alors, vous pensez encore comme avant. Une nouvelle vague d’innovation redéfinit déjà
La conformité de la gestion des politiques signifie prouver que les politiques sont suivies, à jour et appliquées de manière cohérente, et non qu’elles existent. Les régulateurs examinent désormais trois aspects que la plupart des organisations ne peuvent pas voir : si les employés accèdent réellement aux politiques, si tout le monde travaille à partir de la dernière version approuvée, et si les équipes les appliquent de la même manière. Combler ces lacunes nécessite une distribution, un contrôle de version et une confirmation de lecture, et non davantage de documents.
Les PME peuvent répondre aux attentes ESG sans équipe de conformité en restant sur du léger : un court code de conduite, quelques politiques claires que les gens lisent vraiment, une formation de base, un canal pour signaler des préoccupations, et une vérification rapide de la diligence raisonnable sur les fournisseurs et partenaires commerciaux, là où se situe l’essentiel de l’exposition ESG. L’objectif est de réduire le risque réel et d’en apporter la preuve, pas de reproduire un service ESG de grande entreprise.
Le signalement d’alertes aux États-Unis s’étend au-delà de la finance. Les rapports concernaient autrefois la fraude sur titres dans les sociétés cotées ; en 2026, ils révèlent des défaillances en matière de cybersécurité, des fautes professionnelles, l’exposition aux sanctions et des problèmes de gouvernance plus larges. Pour les PME qui font partie de chaînes d’approvisionnement plus importantes ou travaillent avec des partenaires internationaux, un canal de signalement clair, un moyen de gérer les signalements entrants et un enregistrement de la manière dont les problèmes ont été traités deviennent essentiels pour démontrer que le risque est pris au sérieux.
Le filtrage des tiers pour les entreprises en croissance répond à une question avant la signature d’un contrat : avec qui faisons-nous réellement affaire ? En pratique, il vérifie trois signaux : si la contrepartie figure sur une liste de sanctions, si une personne physique est une personne politiquement exposée, et si des informations défavorables issues des médias pointent vers une fraude, de la corruption ou d’autres actes répréhensibles. Réalisé de manière cohérente, proportionnée et documentée, il s’agit d’un élément de base de la gestion des risques commerciaux, et non d’un exercice réservé aux banques.
La conformité aux sanctions pour les PME n’est plus facultative en 2026. La directive 2024/1226 érige les violations graves des sanctions en infractions pénales dans toute l’UE, fixe des sanctions minimales et étend la responsabilité aux entreprises, si bien que l’application de la loi touche désormais les petites structures qui commercent, exportent ou s’approvisionnent à l’international. Ce dont les PME ont besoin, c’est d’un processus clair et reproductible : contrôler chaque contrepartie au regard des listes de sanctions, enregistrer le résultat et surveiller les évolutions dans le temps.
La formation à la conformité en milieu de travail pour les PME échoue souvent, non par manque d’efforts, mais parce qu’elle est dispensée sous forme de PDF génériques, de longs diaporamas ou de sessions enregistrées que les employés valident sans les assimiler, et rien ne vérifie leur compréhension. En 2026, une formation efficace est courte, adaptée à des scénarios réels, s’intègre au mode de travail des collaborateurs et produit des preuves de compréhension que l’organisation peut présenter sur demande.
La conformité de la chaîne d’approvisionnement pour les PME change en 2026 car les règles de l’UE s’étendent désormais au-delà de l’entreprise réglementée pour atteindre ses fournisseurs : les demandes d’informations sur l’approvisionnement, l’actionnariat et les risques proviennent des clients et des partenaires, et non des régulateurs, et elles arrivent de manière plus fréquente et plus structurée. Les PME n’ont pas besoin d’une grande équipe, mais d’un processus clair pour savoir avec qui elles travaillent, collecter l’information une seule fois et répondre à chaque demande à partir de celle-ci.
Les PME peuvent satisfaire aux exigences NIS2 en matière de traitement des vulnérabilités grâce à un processus de signalement simple et structuré : un canal unique où les employés, les fournisseurs et les chercheurs peuvent signaler une faille de sécurité, un traitement confidentiel, un responsable désigné qui l’évalue et la corrige, et une trace de ce qui a été fait. Un système d’alerte professionnelle fournit déjà ce flux de travail, de sorte que le même canal peut servir les deux régimes.
Une idée reçue courante est que les PME peuvent attendre. En réalité, la plupart des PME font partie de chaînes d’approvisionnement plus larges. Même si elles ne sont pas directement réglementées aujourd’hui, leurs clients le sont.
L’UNI/PdR 125:2022 est la norme italienne pour la certification de l’égalité des sexes. Elle évalue une entreprise à l’aide d’indicateurs de performance clés (KPI) dans six domaines : culture et stratégie, gouvernance, processus RH, opportunités de carrière pour les femmes, égalité salariale entre les sexes et équilibre vie professionnelle-vie privée, et accorde une certification formelle au-delà du seuil requis. Pour les PME, elle peut représenter un avantage dans les appels d’offres publics, d’éventuels avantages fiscaux et un profil ESG renforcé, et elle exige un canal confidentiel pour signaler les discriminations.
Les chaînes d’approvisionnement mondiales évoluent. Elles deviennent à la fois plus fragiles, plus transparentes et plus réglementées. Les tensions géopolitiques modifient les relations commerciales. Les
Le dernier kilomètre de la conformité est l’écart entre la rédaction d’une politique et sa mise entre les mains des personnes qui prennent des décisions chaque jour. La plupart des défaillances de conformité surviennent là : la politique existe, mais les salariés ne la voient jamais, ne la trouvent pas ou ne la comprennent pas. Combler cet écart suppose de diffuser les politiques numériquement sur chaque appareil, de confirmer leur lecture et de mesurer qui les consulte.
La formation au signalement et un protocole de signalement sont les deux piliers d’un environnement de travail sain et éthique. Le protocole définit le fonctionnement du canal interne : confidentialité pour le lanceur d’alerte, procédure de réception et de suivi des signalements, et sanctions lorsque l’acte répréhensible est confirmé. La formation garantit que les employés connaissent l’existence du canal, lui font confiance et comprennent ce qu’il faut signaler, afin que les problèmes fassent surface tôt au lieu de s’envenimer.
La directive (UE) 2024/1226 impose à chaque État membre de criminaliser les violations graves et le contournement des sanctions de l’UE, harmonise la définition de ces infractions et fixe des peines minimales, y compris la responsabilité des entreprises. Pour les PME qui commercent ou s’approvisionnent au-delà des frontières, elle transforme le criblage des sanctions des clients, fournisseurs et partenaires d’une pratique réservée aux grandes entreprises en un contrôle commercial de base, proportionné et documenté.
Pour les PME, le filtrage des partenaires commerciaux n’est plus facultatif.
Vous n’avez pas besoin d’un département de conformité dédié. Mais vous avez besoin d’un processus structuré et défendable.
Les fonds de capital-risque évaluent soigneusement le risque produit, le risque de marché et le risque lié aux fondateurs, mais ne chiffrent pas le risque de conformité du portefeuille. Ne pas imposer un code de conduite, une formation et un canal d’alerte à travers les sociétés de portefeuille constitue un risque fiduciaire : les régulateurs appliquent des standards de « failure to prevent » et de « reasonable procedures » aux systèmes et aux preuves, les défaillances de gouvernance font dérailler les sorties et les valorisations, et sans politiques ni traces, il n’y a rien à défendre. La solution : un socle léger de gouvernance à l’échelle du portefeuille.
Comment Mettre en place un programme de conformité dans une petite entreprise Les attentes réglementaires à légard des petites entreprises augmentent, notamment en matière de
L’infraction de « manquement à la prévention de la fraude » de l’ECCTA s’applique aux grandes organisations, mais elle atteint les PME par le biais de leurs contrats. Puisque la seule défense légale consiste à prouver l’existence de procédures raisonnables, les entreprises britanniques demandent désormais aux fournisseurs de justifier de formations anti-fraude, de dispositifs d’alerte professionnelle, de droits d’audit et de clauses de résiliation. Les petits fournisseurs sont liés dans la pratique, et non par la loi elle-même.
La croissance d’une entreprise ne devrait pas augmenter sa responsabilité. Le développement ajoute des employés, des partenaires, des systèmes et des niveaux de décision, et la conformité informelle qui fonctionnait à 20 personnes s’effondre à 200 : les politiques restent dans des PDF, personne ne peut prouver qui a lu quoi, et les preuves demandées par un régulateur ou un assureur n’existent pas. Les entreprises qui se développent en toute sécurité gèrent la conformité comme un système : des politiques distribuées, des formations suivies et une diligence raisonnable documentée.
Quand les fêtes arrivent, la plupart des gens se tournent vers des bougies à la cannelle et des playlists pleines de nostalgie. Pas nous. Nous
Le Parlement européen a approuvé un deuxième report de l’EUDR. Cet éditorial examine l’impact sur la crédibilité, les investissements en conformité et les chaînes d’approvisionnement mondiales, et explique pourquoi l’incertitude entraîne désormais de réels coûts économiques.
Les derniers développements autour du règlement européen sur la déforestation (EUDR) révèlent un paysage de plus en plus divisé. Au cours des dernières 24 heures, les institutions politiques et les groupes industriels ont adopté des positions radicalement opposées quant à l’opportunité de reporter ou de mettre en œuvre l’EUDR comme prévu.
L’ordre du jour de novembre du Parlement européen ne prévoit pas de vote en séance plénière sur les « simplifications » de l’EUDR proposées par la Commission. La date limite de conformité de décembre 2025 pour les opérateurs de grande et moyenne taille reste en vigueur, tandis que les amendements sont toujours en cours d’examen.
Avec des millions de déclarations de diligence raisonnée attendues chaque année, le report de l’EUDR dépend de la capacité de données de l’EUIS et de la préparation des secteurs, et non du calendrier politique.
La Commission européenne propose de nouvelles mesures EUDR, simplifiant le reporting et prolongeant les délais pour les opérateurs de petite taille. Découvrez ce que ces changements signifient pour la conformité.
Dans la gestion de la chaîne d’approvisionnement, la proportionnalité consiste à concentrer la diligence raisonnable sur les fournisseurs les plus importants et les plus stratégiques, mais elle ne doit pas signifier ignorer les plus petits. Les petits fournisseurs comportent des risques cachés en matière de conformité, de continuité et de réputation, tout en apportant flexibilité, spécialisation et innovation. Une stratégie équilibrée évalue chaque fournisseur selon un niveau de référence et adapte le niveau de contrôle en fonction du risque, et non de la taille de l’entreprise.
De grandes entreprises mettent en garde contre un nouveau report de l’EUDR, alors que le Parlement l’a retiré de l’ordre du jour d’octobre. Découvrez ce que cela signifie pour le commerce de l’UE, la crédibilité du marché et la préparation des entreprises.
L’ordre du jour de la session plénière d’octobre du Parlement européen n’inclut pas l’EUDR, ce qui repousse à décembre toute décision concernant le report de l’application proposé. Cela raccourcit le calendrier de confirmation et augmente le risque de non-conformité si le report n’est pas approuvé. Les entreprises qui continuent à se préparer maintenant peuvent éviter les perturbations et renforcer leur réputation sur le marché.
La loi polonaise sur les lanceurs d’alerte, en vigueur depuis le 25 septembre 2024 et alignée sur la directive européenne sur les lanceurs d’alerte, exige que les organisations de 50 employés ou plus mettent en place des procédures de signalement internes : des canaux sécurisés, une personne ou une unité impartiale pour traiter les signalements, et la confidentialité pour le lanceur d’alerte. Les entreprises sont confrontées à des coûts de mise en place, des besoins de formation et des sanctions en cas de non-conformité, c’est pourquoi un canal prêt à l’emploi et localisé est la solution pratique.
La diligence raisonnable EUDR n’est pas un simple exercice de collecte de données. La collecte d’informations au titre de l’article 9 (produit, origine, permis, géolocalisation des parcelles) n’est que la première étape ; l’article 10 exige une évaluation systématique des risques de déforestation et de légalité, et l’article 11 impose une atténuation jusqu’à ce que le risque soit négligeable. Une déclaration de diligence raisonnée déposée sur la seule base de données, sans conclusion documentée sur l’évaluation des risques, n’est pas conforme au règlement.
Les canaux de signalement jouent un rôle essentiel dans la lutte contre la corruption : ils offrent aux employés et à d’autres personnes un moyen sûr, confidentiel et, si nécessaire, anonyme de signaler les pratiques corrompues ou illégales, afin que les actes répréhensibles soient détectés tôt et puissent faire l’objet d’une enquête. Leur efficacité dépend de la protection juridique du lanceur d’alerte, du traitement approprié de chaque signalement et d’une culture d’entreprise qui considère la prise de parole comme une contribution plutôt qu’une menace.
L’éthique de la chaîne d’approvisionnement s’accompagne désormais d’exigences juridiques. La directive sur le devoir de vigilance des entreprises en matière de durabilité, approuvée par le Parlement européen le 24 avril 2024, tient les grandes entreprises pour responsables de l’identification, de la prévention et de la réparation des atteintes aux droits humains et à l’environnement tout au long de leurs chaînes de valeur ; ce devoir se répercute sur leurs fournisseurs par le biais de contrats et de questionnaires. Les entreprises qui cartographient leur chaîne et documentent les contrôles de leurs fournisseurs répondent à cette demande et bénéficient d’un avantage commercial.
Chez Trusty AG, notre siège social est niché à Zoug, en Suisse, une ville pittoresque au bord d’un lac, entourée de montagnes. Les touristes affluent
Vous cherchez un logiciel de conformité EUDR ? Découvrez EUDR Passport, la plateforme de conformité EUDR de Trusty. La conformité EUDR devient obligatoire pour les
La formation des employés à la conformité fonctionne lorsque chaque politique devient un module court et personnalisé, que chacun suit sur n’importe quel appareil, dans sa propre langue, avec des questions et des explications pour tester la compréhension, ainsi qu’un registre indiquant qui a réussi et quand. Trusty Compliance App le fait grâce à l’IA : téléversez la politique, obtenez le module, suivez l’achèvement et la certification en temps réel, et conservez les preuves que les auditeurs et les clients demandent.
Le filtrage PPE et sanctions vous permet d’évaluer les tiers avant la signature du contrat et de continuer à les évaluer par la suite : vérifiez les prestataires, fournisseurs et partenaires par rapport aux listes de sanctions et de PPE ainsi qu’à la presse négative, documentez le résultat et revérifiez à mesure que les listes changent. Trusty QuickScreen360 effectue ces vérifications avec une surveillance continue, des contrôles personnalisables et moins de faux positifs, de sorte que la décision de risque repose sur des preuves actuelles.
Gérer proactivement le risque fournisseur signifie agir avant l’incident, pas après : cartographier les fournisseurs par catégorie et criticité afin que l’effort de surveillance corresponde au risque, évaluer chaque fournisseur avant, pendant et après la relation, vérifier les sanctions, la structure actionnariale et les enjeux réputationnels, et conserver une traçabilité documentée. Le risque fournisseur ne peut pas être éliminé, mais un processus structuré et reproductible permet de le garder visible et maîtrisable.
Un processus de diligence raisonnable des fournisseurs protège la chaîne d’approvisionnement en évaluant les fournisseurs au-delà du prix et des délais de livraison : définir des critères clairs alignés sur vos priorités ESG et de conformité, mener une évaluation structurée avec questionnaires, vérifications documentaires et contrôles, et maintenir l’évaluation à jour à mesure que les fournisseurs et les listes évoluent. Prévenir, c’est protéger : un processus documenté est ce que les régulateurs, les clients et les auditeurs demandent à voir.
Le processus de signalement interne dans une entreprise constitue un mécanisme essentiel pour identifier et traiter les fautes professionnelles, les fraudes ou les violations éthiques. La législation relative aux lanceurs d’alerte établit des lignes directrices claires sur la manière dont les organisations doivent traiter les signalements et, dans ce cadre, les cadres supérieurs et les dirigeants jouent un rôle clé dans l’examen de ces allégations.
Les cas Apple et John Deere montrent que la conformité de la chaîne d’approvisionnement ne s’arrête pas à la maison mère. Les deux groupes ont dû rendre des comptes pour des minerais provenant de zones de conflit comme la République démocratique du Congo. La leçon vaut pour toute entreprise : connaître l’origine des matériaux, contrôler et surveiller les fournisseurs à chaque maillon et documenter, car le préjudice touche la marque.
Le risque lié à la chaîne d’approvisionnement ne s’arrête pas aux fournisseurs stratégiques. Ne surveiller que les plus grands partenaires laisse des zones d’ombre parmi les centaines de petits fournisseurs, sous-traitants et fournisseurs occasionnels où l’exposition aux sanctions, la fraude, les problèmes sociaux et environnementaux ont tendance à se cacher. Gérer les risques sur l’ensemble de la chaîne signifie un contrôle de base pour chaque fournisseur, un examen plus approfondi lorsque le profil de risque le justifie, et une surveillance continue plutôt qu’un simple contrôle à l’entrée en relation.
La loi Sapin 2, telle que modifiée par la loi Waserman de 2022 transposant la directive européenne sur les lanceurs d’alerte, impose aux entreprises françaises de 50 salariés ou plus de mettre en place un canal interne de signalement. Les signalements doivent être traités de manière confidentielle, l’identité de l’auteur du signalement doit être protégée, et toute mesure de représailles à l’encontre d’un lanceur d’alerte de bonne foi est interdite. Les entreprises qui ne se conforment pas à cette obligation s’exposent à des sanctions : le canal et sa procédure doivent donc exister et fonctionner réellement.
Un logiciel de diligence raisonnable de la chaîne d’approvisionnement doit faire neuf choses : automatiser la collecte de données auprès des fournisseurs, réaliser des évaluations des risques adaptées à votre secteur et à vos réglementations, stocker les preuves avec une traçabilité complète, surveiller en continu et déclencher des alertes, s’intégrer aux systèmes que vous utilisez déjà, évoluer à mesure que la base de fournisseurs grandit, produire des rapports en temps réel via des tableaux de bord, inclure un support et des mises à jour continus, et fonctionner dans plusieurs langues et régimes réglementaires. Sans cela, on retombe dans le travail manuel.
La loi allemande sur le devoir de vigilance des entreprises dans les chaînes d’approvisionnement (LkSG) de juillet 2021 s’applique aux fournisseurs directs au titre de son article 6, paragraphe 4 : les entreprises doivent sélectionner leurs fournisseurs sur la base de critères liés aux droits de l’homme et à l’environnement, et non sur le seul critère du prix, obtenir des engagements contractuels qui se répercutent tout au long de la chaîne, former les fournisseurs et vérifier la conformité au moyen de contrôles fondés sur les risques. La difficulté pratique réside dans le suivi continu de centaines de fournisseurs, d’où l’importance d’une évaluation et d’une documentation structurées.
L’Italie a transposé la directive européenne relative aux lanceurs d’alerte par le décret législatif n° 24/2023, en vigueur depuis le 30 mars 2023 et applicable depuis le 15 juillet 2023 aux entreprises de 250 salariés ou plus et aux administrations publiques, puis à celles comptant entre 50 et 249 salariés. Il protège les lanceurs d’alerte dans les secteurs public et privé, impose un canal interne confidentiel, et l’ANAC peut infliger aux entreprises des amendes de 10 000 à 50 000 euros en cas de représailles ou d’obstruction. Massimiliano Galeazzi, du Studio Legale MCG, en détaille les tenants et aboutissants.
Les chaînes d’approvisionnement sont devenues un élément clé du succès de toute entreprise. Cependant, leur complexité entraîne également des risques importants qui peuvent affecter tout,
Le Régime Général de Prévention de la Corruption (RGPC) du Portugal, établi par le Décret-loi n° 109-E/2021, s’applique aux organismes publics et aux entités privées employant 50 salariés ou plus, y compris les succursales locales d’entreprises étrangères. Il impose un plan de prévention des risques de corruption, un code de conduite, un canal de signalement confidentiel conforme à la Loi n° 93/2021, ainsi qu’une formation obligatoire pour les cadres et les employés, avec des sanctions en cas de non-conformité supervisées par le MENAC.
Le Défenseur des droits joue un rôle central pour les lanceurs d’alerte en France. Il les informe, les conseille, oriente leur signalement vers l’autorité compétente, les protège contre les représailles et peut rendre un avis sur leur qualité de lanceur d’alerte dans un délai de six mois.
La Compliance 2.0 commence par les tiers parce que c’est là que se situe le risque : 62 pour cent des violations de données passent par des prestataires externes, plus de 80 pour cent des entreprises partagent des données sensibles avec eux et 98 pour cent sont liées à au moins un fournisseur victime d’une violation au cours des deux dernières années, selon le Data Breach Investigations Report de Verizon. Étendre les contrôles de conformité et de sécurité aux fournisseurs, partenaires et prestataires est le cœur de l’approche.
En cliquant sur « Envoyer », j’accepte les conditions d’utilisation et la politique de confidentialité de Trusty.