CSRD et PME : répondre aux demandes ESG des clients

Une PME qui reçoit un questionnaire ESG d’un client n’est pas, pour cette seule raison, obligée de publier un rapport CSRD. Elle peut répondre avec un dossier proportionné : périmètre, chiffres documentés, méthode et informations indisponibles. Le bon arbitrage consiste à distinguer votre obligation légale, le besoin de reporting du client et ce que vous avez accepté par contrat.

Le standard volontaire européen constitue désormais une base commune. Il ne transforme pas chaque questionnaire commercial en obligation, et son calendrier doit être distingué de celui du plafonnement des demandes dans la chaîne de valeur.

Identifier la raison de la demande avant de remplir le portail

Commencez par déterminer votre propre situation dans le guide des entreprises concernées par la CSRD. Le statut du client ne se transmet pas à son fournisseur. Une entreprise peut être hors du reporting obligatoire tout en recevant des demandes utiles au calcul des émissions, à une politique d’achat ou à une analyse de risques.

Faites préciser au demandeur : « Cette information sert-elle votre rapport de durabilité obligatoire, une obligation de vigilance, une évaluation commerciale ou plusieurs usages ? » La réponse détermine la discussion. Une rubrique exigée par un acheteur pour noter ses fournisseurs ne devient pas une exigence réglementaire de la PME parce que le formulaire porte le titre « CSRD ».

Relisez aussi le contrat existant avant de promettre une fréquence ou une certification. Si une annexe prévoit déjà une transmission annuelle définie, la traiter comme une simple sollicitation facultative serait imprudent. Inversement, un nouveau portail ne suffit pas à expliquer pourquoi les données demandées seraient dues sous toutes leurs formes.

Utiliser le standard volontaire, sans déclarer un rapport inexistant

Le règlement délégué (UE) 2026/1560, publié le 21 septembre 2026, entre en vigueur le 24 septembre. Son annexe I organise un module de base et un module complet supplémentaire. Le premier peut être utilisé seul ; le second suppose le premier. Certaines informations dépendent de leur applicabilité ou d’autres conditions : tout le catalogue n’est pas automatiquement à renseigner pour chaque PME.

Le module de base comporte notamment l’énergie, les effectifs, les accidents du travail et certaines informations sociales. Pour l’effectif, le point B8 prévoit une présentation en personnes ou en équivalents temps plein, avec les ventilations prévues. Une colonne intitulée seulement « collaborateurs » reste ambiguë : elle peut mélanger salariés, intérimaires et prestataires.

Adoptez une règle éditoriale simple : si vous répondez uniquement à six questions, appelez le document « réponse au questionnaire client ». N’annoncez pas un rapport conforme au standard volontaire sans avoir parcouru l’ensemble des exigences applicables au module choisi. Le document peut préparer ce rapport, mais les deux livrables sont différents.

L’annexe I prévoit aussi des indications comparatives à partir de la deuxième année de reporting. Conserver les définitions et le périmètre de la première réponse permettra d’expliquer une évolution. Un chiffre qui baisse parce qu’un établissement a été exclu ne traduit pas, à lui seul, une amélioration environnementale.

Comprendre ce que le plafonnement protège

La directive (UE) 2026/470, article 2, points 4 et 5, organise une protection des entreprises de la chaîne de valeur ne dépassant pas une moyenne de 1 000 salariés sur l’exercice précédent. Pour les demandes servant le reporting obligatoire, elle prévoit notamment un droit de refuser les informations dépassant le plafond et encadre les clauses contraires. Elle ne crée pas une obligation générale de répondre.

Deux limites évitent les faux refus. D’abord, l’articulation nationale de ces dispositions relève de leur transposition : ne présentez pas la directive comme une réponse suffisante à tout litige contractuel français. Ensuite, le mécanisme ne couvre pas indistinctement les demandes poursuivant d’autres finalités, notamment de vigilance.

Le règlement 2026/1560 définit la liste plafonnée en annexe II, distincte du contenu intégral du standard. Son article 3 s’applique aux exercices commençant à compter du 1er janvier 2027. L’utilisation volontaire du standard dès septembre 2026 n’anticipe pas cette date.

Pour une entreprise dépassant dix salariés, l’annexe II comprend notamment la consommation totale d’énergie et les émissions des scopes 1 et 2. Elle ne reprend pas le scope 3. Cela ne signifie ni que toute demande de scope 3 est déjà interdite en septembre 2026, ni qu’une PME ne peut jamais le communiquer volontairement. Il faut qualifier la finalité, la période et le cadre applicable avant d’invoquer le plafond.

Une réponse client commentée : l’atelier Liseron

Prenons une situation fictive. Liseron emploie 52 salariés et exploite un atelier en France. Son propre statut a été examiné : elle n’est pas tenue, dans cette hypothèse, de publier un rapport CSRD. En septembre 2026, un client demande ses données 2025 : énergie, effectif, accidents nominatifs, émissions complètes du scope 3 et actualisation mensuelle.

Liseron dispose des factures d’électricité et de gaz de l’atelier. Les consommations documentées atteignent respectivement 110 000 et 70 000 kWh : le total est de 180 000 kWh, soit 180 MWh. Ce calcul ne constitue pas un bilan carbone. Il n’établit pas non plus que toutes les sources d’énergie ont été recensées : la responsable des opérations doit confirmer le périmètre avant signature.

La PME possède également un décompte RH de 52 personnes au 31 décembre 2025. Elle n’a pas encore établi les ventilations nécessaires à un rapport complet, ni un inventaire fiable de ses émissions indirectes. Voici une réponse utilisable, à adapter aux données réellement vérifiées :

Notre réponse porte sur l’atelier Liseron et l’année civile 2025. Elle répond aux rubriques identifiées ci-dessous et ne constitue pas un rapport complet selon le standard volontaire européen.

Nous transmettons une consommation d’électricité et de gaz de 180 MWh, calculée à partir des factures du site. Le détail par énergie et la référence des pièces sont disponibles dans notre dossier de justification. Ce montant n’est pas présenté comme un total d’émissions de gaz à effet de serre.

L’effectif communiqué est de 52 salariés présents au 31 décembre 2025, en personnes. Il ne s’agit pas d’une moyenne annuelle ni d’un effectif en équivalents temps plein. Merci de confirmer si votre indicateur exige une autre définition.

Nous pouvons préparer les indicateurs de santé et sécurité pertinents. Nous ne joignons pas les noms des personnes accidentées ni leurs dossiers médicaux. Merci de préciser l’usage qui justifierait des informations supplémentaires.

L’inventaire complet du scope 3 n’est pas disponible. Nous proposons de délimiter avec vous les catégories et la méthode utiles à votre demande, puis de convenir d’un calendrier réaliste. Aucune valeur nulle ne doit être déduite de cette absence.

Notre proposition porte sur une actualisation annuelle. Une fréquence mensuelle demanderait une organisation distincte, à examiner avant tout engagement.

Cette réponse ne décline pas toute coopération : elle fournit ce qui est étayé et circonscrit ce qui manque. L’effectif au 31 décembre n’est pas rebaptisé « effectif moyen » pour satisfaire le logiciel client. Si le portail n’accepte qu’un nombre sans commentaire, demandez une voie de dépôt complémentaire. Ne saisissez pas un zéro technique qui deviendrait un résultat publié.

Pour les émissions indirectes, une estimation peut être pertinente, mais doit être identifiée comme telle, avec sa méthode et ses limites. Le standard volontaire évoque lui-même l’intérêt possible du scope 3 selon l’activité. Il n’autorise pas à transformer une estimation partielle en inventaire exhaustif.

Encadrer les échanges suivants par une annexe courte

La direction commerciale peut proposer une annexe de transmission. Voici une trame commentée, destinée à la négociation, pas une clause garantissant à elle seule la conformité de tous les contrats :

Objet et période. Les informations convenues figurent dans la liste jointe, pour l’exercice 2025 et le seul atelier Liseron. Le client précise leur utilisation dans son reporting ou dans son évaluation fournisseur.

Méthode et disponibilité. Chaque résultat est accompagné de sa définition et de son périmètre. Les estimations et informations non disponibles sont identifiées. Les parties examinent les demandes supplémentaires avant de convenir de leur production et de leur calendrier.

Transmission et correction. Les indicateurs sont adressés au destinataire désigné. Les pièces individuelles ne sont pas jointes au dossier standard. Toute correction est transmise avec son motif et la référence de la version remplacée ; le client confirme la prise en compte dans son dossier.

La première partie évite qu’un chiffre concernant l’atelier soit attribué à un groupe entier. La deuxième empêche de promettre un résultat inexistant. La troisième rend possible une correction après livraison : un fichier annuel n’est pas fiable uniquement parce qu’il a été envoyé une première fois.

Ajoutez une procédure spécifique si le client exige une vérification de pièces. Elle peut organiser une consultation ciblée, avec destinataires et confidentialité définis, sans dépôt permanent de toutes les factures ou pièces RH. Les échanges ESG dans la chaîne de valeur doivent rester proportionnés au résultat demandé.

Garder les données individuelles dans leur circuit

Un indicateur d’accidents et un dossier médical ne remplissent pas la même fonction. Le fait que le client prépare son rapport de durabilité ne justifie pas automatiquement la transmission des noms. Les articles 5(1)(c), 6(1) et, pour les données de santé, 9 du RGPD imposent une analyse propre du traitement.

Une petite cellule statistique peut identifier une personne même sans nom. Si un atelier compte une seule personne dans une fonction, croiser fonction, absence et accident peut révéler sa situation. Le DPO ou le référent doit alors adapter la ventilation ou examiner un autre moyen de répondre. Une simple suppression de la colonne « nom » ne suffit pas toujours.

Le contrat entre Liseron et son client n’est pas automatiquement la base de l’article 6(1)(b) pour traiter les données des salariés, qui n’en sont pas les parties. Le guide du RGPD appliqué aux données ESG détaille cette séparation entre production de l’indicateur et circulation des justificatifs.

Ce qu’il faut retenir

• Distinguez votre assujettissement, le besoin du client et l’engagement contractuel.
• Utilisez le standard volontaire sans présenter une réponse partielle comme un rapport complet.
• Le plafonnement vise une liste et un calendrier précis ; il ne règle pas toutes les demandes commerciales.
• Fournissez des chiffres définis, des limites explicites et une procédure de correction.

FAQ

Faut-il publier la réponse sur le site de la PME ?

Le standard volontaire n’impose pas de rendre le rapport public. Une transmission ciblée peut répondre au besoin du client ; précisez les destinataires et examinez séparément une éventuelle diffusion publique.

Une certification externe est-elle obligatoire ?

Le standard volontaire ne l’impose pas en lui-même. Si un client demande une assurance distincte, définissez son objet, le professionnel attendu et son coût avant de promettre une « certification ESG » non définie.

Faut-il acheter un logiciel pour chaque questionnaire ?

Non. Un dossier commun avec définitions, preuves et versions peut suffire. Un outil devient utile lorsque les contributeurs, sites ou demandes rendent ce suivi difficile ; il ne résout pas une méthode de calcul inconnue.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.