Plan de conformité CSRD : six décisions à organiser

Un projet CSRD avance lorsqu’une décision a un responsable, une preuve et une échéance. En septembre 2026, commencez par confirmer ce qui reste obligatoire pour votre entreprise, puis adaptez le travail aux ESRS révisés. Un planning universel de dix-huit mois ou un budget standard ne remplace pas ce cadrage.

Le plan doit aboutir à un rapport dont chaque affirmation importante peut être expliquée et justifiée. Cela demande de relier trois travaux souvent séparés : la sélection juridique des informations, leur production par les métiers et leur contrôle avant publication. Les six décisions ci-dessous permettent de construire ce circuit sans demander aux contributeurs un export intégral de leurs systèmes.

1. Fixer le périmètre et l’exercice

Produisez une note d’assujettissement : entité, groupe, forme juridique, comptes utilisés, effectif, exercice et exemptions examinées. Le calendrier français de l’article 33 a été modifié en 2025. La directive Omnibus 2026/470 modifie ensuite le périmètre européen, avec une transposition du volet CSRD au plus tard le 19 mars 2027.

La décision initiale doit distinguer obligation actuelle et préparation du futur régime. Le guide des entreprises concernées fournit la grille d’analyse. Si l’entreprise décide de poursuivre volontairement certains travaux, identifiez leur destinataire et leur utilité.

Livrable : une note datée, validée par la direction compétente, avec une prochaine revue lors de l’évolution du droit français.

2. Choisir le référentiel et les responsables

Désignez un pilote du reporting et les responsables finance, RH, achats, opérations, juridique et systèmes d’information. Le DPO conseille sur les traitements de données personnelles ; il ne remplace pas le responsable du projet.

Le règlement ESRS 2026/1563, articles 2 et 3, publié le 21 septembre, entre en vigueur le 10 novembre 2026. Il prévoit plusieurs options pour les exercices débutant en 2026, puis une application générale des normes révisées aux exercices débutant en 2027. La version appliquée pour 2026 devra être expressément indiquée dans l’état de durabilité.

Préparez donc une décision entre le référentiel antérieur modifié en 2025, les normes révisées ou l’ancien référentiel assorti des seuls allègements limitativement prévus par l’article 2(1)(b). Ce dernier choix n’autorise pas à prendre librement les exigences les plus faciles dans chaque version. Formalisez son effet sur les indicateurs et les limites des allègements avant de changer les formulaires.

Livrable : une fiche de référentiel et une liste des décisions que chaque fonction peut prendre. Les changements de version sont validés avant toute modification des formulaires de collecte.

3. Déterminer les informations utiles

Menez l’analyse de double matérialité à partir du modèle économique, des impacts, des risques et des sources disponibles. Les sujets importants conduisent aux informations à publier ; il n’est pas nécessaire de remplir toutes les cases d’une ancienne bibliothèque ESRS.

Pour chaque information, distinguez ce qui existe déjà, ce qui exige un calcul, ce qui peut être estimé dans le cadre applicable et ce qui manque réellement. Une absence de données ne devient pas une valeur nulle.

La matérialité d’impact et la matérialité financière sont deux voies d’entrée : un impact significatif sur des personnes ne disparaît pas de l’analyse parce qu’aucun coût financier immédiat n’est identifié. Les ESRS révisés, paragraphes 35 à 40 d’ESRS 1, le précisent. L’équipe documente la conclusion et ses raisons ; elle ne remplace pas cette analyse par un vote sur les sujets les plus faciles à mesurer.

Livrable : un tableau des informations retenues, avec motif, source, méthode, responsable et justificatif attendu. Les exigences taxonomiques sont examinées dans leur propre cadre.

4. Organiser la collecte et les contrôles

Définissez des règles simples : unités, périodes, périmètres, pièces acceptées, traitement des données manquantes et personne chargée de valider. Prévoyez une procédure de correction qui conserve l’ancienne valeur et la raison du changement.

Pour les indicateurs sociaux, demandez d’abord si les RH peuvent calculer le résultat dans leur système existant. Un fichier nominatif central ne doit pas devenir le point de départ automatique. Les données ESG soumises au RGPD exigent des finalités, des accès et des durées justifiés.

L’Art. 5(1)(c) et (e) du RGPD impose de limiter les données personnelles et leur conservation. Un besoin de contrôle peut justifier une consultation ciblée de pièces ; il ne justifie pas automatiquement leur copie permanente dans l’espace partagé de toute l’équipe RSE. La preuve du calcul et la publication du résultat sont deux destinations différentes.

Livrable : un protocole de collecte utilisable par les contributeurs. Testez le circuit sur quelques indicateurs représentatifs : un chiffre simple, une estimation et un indicateur provenant de plusieurs entités.

5. Préparer le rapport et sa certification

Reliez chaque partie du rapport aux méthodes et preuves correspondantes. Contrôlez la cohérence entre narration, indicateurs et informations financières. Une politique décrite doit correspondre à une décision réelle ; un objectif ne doit pas être présenté comme un résultat atteint.

L’article L.232-6-3 impose notamment une section distincte du rapport de gestion et la certification par un professionnel habilité. Convenez tôt du calendrier de l’audit CSRD, de la version ESRS et des modalités d’accès aux justificatifs. Le certificateur conserve son indépendance dans l’appréciation des travaux.

Livrable : une version du rapport, un dossier de preuve, un tableau des observations et les réponses approuvées.

6. Valider, publier et conserver les décisions

Identifiez les organes compétents et les modalités de communication ou de dépôt applicables à votre société. Distinguez le document électronique, son éventuel balisage et les futures modalités de diffusion : la seule présence d’une fonction XBRL dans l’outil ne détermine pas le droit applicable.

Figez les versions publiées et gardez la preuve de leur diffusion. Définissez qui reçoit les anomalies découvertes ensuite et qui décide d’une correction. Les extractions personnelles temporaires sont supprimées ou archivées selon leur finalité ; elles ne sont pas conservées sans limite avec le rapport public.

Livrable : un dossier de clôture et une liste des améliorations pour l’exercice suivant.

Dossier P-26 : passer d’une liste de tâches à une livraison

Voici une organisation fictive proposée, pas le compte rendu d’une mission réalisée. La société Aronde prépare un rapport pour l’exercice calendaire 2026 ; nous supposons que son obligation actuelle a été établie dans une note distincte. Son équipe doit organiser douze fiches de données dans un premier périmètre de travail. Ces douze fiches ne représentent pas l’intégralité de ses obligations CSRD.

La direction financière pilote la clôture, la responsable RSE coordonne les contributions, les responsables de sites et les RH établissent leurs chiffres. Le juridique conserve la décision de référentiel ; le DPO examine les flux personnels. La direction compétente tranche les ressources et les points remontés. Le certificateur est associé à l’organisation de ses travaux, sans recevoir le rôle de producteur des données qu’il devra apprécier.

Le comité utilise le tableau suivant pour décider du passage à la phase suivante. Les dates de travail sont fixées dans son calendrier interne ; elles ne constituent pas des échéances légales universelles.

Une fiche d’indicateur réellement renseignée

La fiche E-04 du dossier porte, par hypothèse, sur une consommation d’électricité requise après l’analyse du référentiel applicable. Elle couvre deux ateliers pendant l’année civile ; son objectif est de définir le circuit de preuve, pas de proposer à elle seule une méthode complète de reporting énergétique ESRS.

Le total de 800 MWh n’est publiable comme valeur réelle que si les entrées sont étayées. Ici, il sert uniquement à illustrer un calcul. Si une facture de décembre manque, le responsable recherche d’abord la pièce ou un relevé approprié. Si une estimation est admise par le référentiel retenu, sa méthode, ses hypothèses et son incertitude doivent être documentées. Sinon, le comité doit traiter le manque avant de présenter le chiffre comme complet.

Cette organisation rejoint l’exigence de vérifiabilité de l’appendice B, QC13 à QC15, d’ESRS 1 révisé : pouvoir corroborer une information ou les données qui ont servi à la produire. Conserver un fichier portant le nom « indicateurs_validés » ne démontre ni la couverture de la période ni la justesse d’une conversion.

Lire l’avancement sans fabriquer un taux de conformité

Supposons que, sur les douze fiches, neuf soient reçues. Parmi elles, sept ont passé les contrôles définis, une contient une estimation dont la méthode reste à justifier et une porte sur une période incorrecte. Trois autres ne sont pas encore reçues. Le comité peut écrire 9/12 reçues et 7/12 contrôlées sans anomalie identifiée dans le périmètre de contrôle.

Il ne peut pas transformer ce résultat en « 75 % conforme à la CSRD ». Le premier taux mesure la réception de fichiers ; le second ne couvre ni l’exhaustivité du rapport, ni la matérialité, ni la certification. La responsable RSE suit la pièce manquante, le responsable métier corrige la période et le pilote fait remonter l’arbitrage sur l’estimation. Une échéance interne dépassée ne permet pas de remplacer les inconnus par des zéros.

Construire le calendrier et le budget à partir du dossier

Ajustez les dates à la clôture, aux systèmes existants et à la disponibilité des contributeurs. Le coût doit être estimé par postes réels : temps interne, intégrations, accompagnement, outil et certification.

Partez de la date de livraison attendue par le processus de gouvernance, puis remontez : version examinable, revue de cohérence, clôture des calculs, collecte, instructions aux contributeurs. Certaines tâches restent parallèles, comme la préparation des accès et l’identification des preuves. D’autres dépendent d’une décision préalable : modifier le référentiel après consolidation exige de reprendre les fiches affectées, pas seulement de changer le titre du rapport.

Pour chiffrer le travail, estimez la production initiale, les contrôles et les reprises séparément. Par exemple, douze fiches supposées demander deux heures chacune représentent vingt-quatre heures de préparation hypothétique, auxquelles s’ajoutent la coordination et la revue. Ce calcul n’est ni un devis ni un standard de marché ; il rend simplement visible ce que le budget inclut. Un logiciel peut organiser les versions sans résoudre une méthode absente ou une qualification juridique incertaine.

Ce qu’il faut retenir

• Commencez par l’obligation réelle et la version ESRS retenue.
• Chaque information a une méthode, un responsable et une preuve.
• Séparez résultats publiés et justificatifs personnels.
• Planifiez à partir des dépendances et du calendrier de clôture.

FAQ

Faut-il commencer par acheter un logiciel ?

Le choix est plus fiable après le cadrage du périmètre et des circuits de collecte. L’outil doit répondre à un besoin décrit, pas déterminer par défaut les données collectées.

L’Omnibus permet-il de suspendre tout le projet ?

Il faut distinguer les obligations actuelles, les futurs seuils et les travaux volontaires. Une décision de suspension doit préciser son fondement et les activités qu’elle concerne.

Quelle durée prévoir pour le projet ?

Elle dépend du périmètre, des données disponibles et de la maturité des contrôles. Construisez un calendrier avec les contributeurs et le certificateur plutôt que de reprendre un minimum universel.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.