Norme ISO 26000 : comprendre les lignes directrices de la responsabilité sociétale

02 novembre 2026

À quoi sert la norme ISO 26000 ?

ISO 26000 est une norme internationale qui fournit des lignes directrices pour intégrer la responsabilité sociétale dans les décisions et les activités d’une organisation. Publiée par l’Organisation internationale de normalisation, elle concerne les entreprises, mais aussi les administrations, les associations, les établissements, les collectivités et toute autre structure qui souhaite évaluer les conséquences de ses choix sur la société et l’environnement.

La responsabilité sociétale ne se limite pas à la protection de l’environnement. Elle englobe également les droits humains, les conditions de travail, l’éthique des pratiques, la protection des consommateurs et la contribution au développement des communautés. Dans le domaine numérique, cette approche peut concerner la gestion des données personnelles, l’accessibilité d’un service en ligne, la durée de vie des équipements, la cybersécurité ou encore les effets sociaux d’un outil algorithmique.

ISO 26000 propose un cadre commun pour passer d’intentions générales à une démarche organisée. Elle aide à identifier les parties prenantes, à comprendre les impacts d’une activité, à hiérarchiser les priorités et à rendre compte des progrès réalisés. Elle ne fournit toutefois pas de seuil universel de performance applicable à toutes les organisations. Les objectifs doivent être définis selon le secteur, la taille, les ressources, le contexte juridique et les impacts réels de chaque activité.

ISO 26000 est-elle une norme certifiable ?

Un point mérite une attention particulière : ISO 26000 n’est pas une norme de certification. Elle ne prévoit pas d’audit de conformité donnant lieu à un certificat officiel comparable à ceux associés à certaines normes de systèmes de management. Une organisation peut s’en servir comme référentiel de travail, mais elle ne peut pas légitimement présenter une certification ISO 26000 comme preuve de conformité à la norme.

Cette distinction évite plusieurs confusions. Une organisation peut communiquer sur une démarche fondée sur ISO 26000, publier ses engagements ou faire évaluer certaines pratiques par un tiers. Cela ne transforme pas pour autant les lignes directrices en certification ISO 26000. Les déclarations doivent donc préciser la nature exacte de l’évaluation réalisée, son périmètre et les éléments vérifiés.

La norme adopte une approche volontaire. Elle ne remplace pas les lois et règlements applicables. Le respect du droit constitue le socle minimal d’une démarche responsable, tandis qu’ISO 26000 invite à aller plus loin en examinant les effets directs et indirects des décisions prises. Une organisation ne peut donc pas utiliser une action positive dans un domaine pour masquer une violation ou une défaillance dans un autre.

Les sept principes qui structurent la responsabilité sociétale

ISO 26000 présente sept principes destinés à guider les décisions et le comportement d’une organisation :

La redevabilité : l’organisation doit répondre de ses impacts sur la société, l’économie et l’environnement, et accepter un examen approprié de ses décisions.
La transparence : les informations importantes relatives aux politiques, aux décisions et aux impacts doivent être communiquées de manière compréhensible, exacte et suffisamment complète.
Le comportement éthique : les décisions doivent reposer sur l’intégrité, l’honnêteté et l’équité, avec des mécanismes permettant de prévenir les conflits d’intérêts et la corruption.
Le respect des intérêts des parties prenantes : les personnes ou groupes affectés par l’activité doivent être identifiés et leurs attentes prises en considération.
Le respect du principe de légalité : aucune démarche de responsabilité sociétale ne peut se substituer au respect des obligations légales.
Le respect des normes internationales de comportement : lorsqu’une protection juridique locale est insuffisante, les références internationales pertinentes doivent être prises en compte.
Le respect des droits humains : l’organisation doit reconnaître leur importance et éviter de contribuer à leur atteinte, y compris dans sa chaîne de valeur.

Ces principes sont liés entre eux. Par exemple, publier un indicateur environnemental sans expliquer son périmètre peut limiter la transparence. Consulter des parties prenantes sans tenir compte de leurs observations peut affaiblir la redevabilité. L’intérêt d’ISO 26000 réside donc moins dans une liste d’actions isolées que dans la cohérence du système de décision.

Les sept questions centrales à examiner

La norme organise les principaux domaines de responsabilité sociétale autour de sept questions centrales. Elles servent de grille de diagnostic, y compris pour une structure dont l’activité est principalement numérique.

Question centrale	Ce qu’elle permet d’examiner	Exemples dans le numérique
Gouvernance de l’organisation	La manière dont les décisions sont prises, contrôlées et expliquées	Responsabilités sur les données, critères d’arbitrage, gestion des risques
Droits humains	La prévention des atteintes aux droits fondamentaux	Vie privée, non-discrimination, conditions dans la chaîne d’approvisionnement
Relations et conditions de travail	La qualité du travail et le respect des droits professionnels	Santé au travail, charge numérique, compétences, sous-traitance
Environnement	Les effets de l’activité sur les ressources et les écosystèmes	Énergie des équipements, durée de vie, déchets électroniques, sobriété logicielle
Loyauté des pratiques	L’intégrité des relations avec les partenaires et le marché	Corruption, concurrence loyale, achats responsables, sécurité des fournisseurs
Questions relatives aux consommateurs	La protection et l’information des utilisateurs	Accessibilité, protection des données, information claire, sécurité des services
Communautés et développement local	La contribution au territoire et à l’intérêt collectif	Inclusion numérique, emploi local, partage de compétences, continuité de service

La pertinence de chaque sujet dépend du contexte. Une petite structure qui fournit un logiciel en ligne n’aura pas les mêmes priorités qu’un fabricant d’équipements informatiques. Elle devra toutefois examiner l’ensemble des questions centrales avant de décider lesquelles nécessitent un plan d’action prioritaire.

Identifier les parties prenantes et les impacts

Une démarche crédible commence par une cartographie des parties prenantes. Il s’agit des personnes ou groupes qui ont un intérêt dans les décisions de l’organisation, qui peuvent être affectés par ses activités ou qui peuvent influencer leur déroulement. Les salariés, clients, utilisateurs, fournisseurs, sous-traitants, partenaires, autorités, riverains et représentants de la société civile peuvent entrer dans cette analyse selon le contexte.

Pour chaque partie prenante, il est utile de documenter quatre éléments :

La relation avec l’organisation et le degré de dépendance réciproque.
Les impacts possibles, qu’ils soient économiques, sociaux, environnementaux ou liés aux droits humains.
Les attentes exprimées et les obligations applicables.
Le moyen de dialogue adapté : entretien, enquête, réunion, dispositif de réclamation ou analyse documentaire.

Dans un projet numérique, la cartographie peut faire apparaître des acteurs oubliés. Les utilisateurs finaux ne sont pas les seuls concernés. Les personnes exclues par une interface inaccessible, les équipes chargées de modérer des contenus, les techniciens qui maintiennent les infrastructures et les fournisseurs de composants peuvent subir des effets importants.

La consultation ne doit pas être traitée comme une formalité destinée à valider une décision déjà arrêtée. Les contributions doivent pouvoir modifier le périmètre d’un projet, les mesures de protection, les critères d’achat ou les indicateurs retenus. Lorsque certaines parties prenantes ne peuvent pas s’exprimer directement, l’organisation doit rechercher des sources complémentaires et documenter les limites de la consultation.

Construire une démarche ISO 26000 en six étapes

ISO 26000 peut être utilisée comme un cadre de progression. La démarche suivante permet de la traduire en actions opérationnelles :

Obtenir un engagement de la gouvernance : définir les responsabilités, le périmètre de la démarche et les moyens disponibles. L’engagement doit concerner les décisions et les pratiques, pas uniquement la communication.
Établir un état des lieux : recenser les politiques existantes, les procédures, les risques, les obligations légales, les contrats et les indicateurs déjà suivis. Les écarts entre les engagements affichés et les pratiques observées doivent être signalés.
Cartographier les parties prenantes : identifier les groupes concernés, leurs intérêts, leurs vulnérabilités et les modalités de dialogue appropriées.
Analyser les impacts et hiérarchiser les enjeux : évaluer la gravité, la probabilité, l’étendue et la capacité de l’organisation à agir. Cette analyse doit inclure les fournisseurs et les usages lorsque l’organisation exerce une influence sur eux.
Définir un plan d’action : associer chaque priorité à un responsable, un calendrier, des ressources, des critères de réussite et un mécanisme de suivi. Un objectif doit décrire une évolution attendue et non une intention vague.
Mesurer, dialoguer et réviser : examiner les résultats, recueillir les retours, expliquer les difficultés et modifier le plan lorsque les impacts ou le contexte changent.

Cette méthode peut être appliquée progressivement. Un diagnostic limité à quelques processus critiques apporte davantage d’informations qu’un inventaire très large qui ne débouche sur aucune décision. Le périmètre doit toutefois être annoncé clairement pour éviter de présenter une analyse partielle comme une vision globale.

Applications concrètes dans les activités numériques

La responsabilité sociétale prend des formes très concrètes dans l’informatique et les services numériques. Plusieurs axes peuvent être examinés en parallèle.

Données personnelles et vie privée : les données collectées doivent correspondre à un besoin explicite, être protégées contre les accès non autorisés et ne pas être conservées sans justification. La gouvernance doit préciser qui peut accéder aux informations, pendant combien de temps et selon quelles procédures les incidents sont traités. Le respect du Règlement général sur la protection des données constitue une obligation juridique dans les situations où il s’applique, mais une démarche ISO 26000 peut aussi conduire à examiner la compréhension réelle des utilisateurs et les effets d’une collecte excessive.

Accessibilité et inclusion : un service en ligne peut créer une exclusion si son interface, ses documents ou son assistance ne prennent pas en compte les différents besoins des utilisateurs. L’analyse doit porter sur le parcours complet, y compris l’authentification, les messages d’erreur, les contenus multimédias et l’accès au support. Des tests avec des profils concernés apportent des informations que les seuls contrôles techniques ne révèlent pas toujours.

Environnement numérique : les impacts ne se limitent pas à la consommation d’électricité d’un centre informatique. Il faut considérer la fabrication des équipements, leur transport, leur maintenance, les remplacements, les déchets et la fin de vie. La durée d’usage, la réparabilité, la mutualisation des ressources et la limitation des traitements inutiles peuvent devenir des leviers concrets.

Chaîne d’approvisionnement : les conditions sociales et environnementales des fournisseurs font partie des impacts indirects. Les critères d’achat peuvent inclure la sécurité, la protection des travailleurs, la traçabilité, la maintenance, la compatibilité et la possibilité de réemploi. Une clause contractuelle n’est pertinente que si elle est accompagnée d’un suivi et d’une capacité d’action en cas d’écart.

Conception des algorithmes : lorsqu’un système automatise une décision, l’organisation doit examiner les risques de discrimination, la qualité des données, la possibilité d’une intervention humaine et l’information fournie aux personnes concernées. La performance technique d’un modèle ne suffit pas à démontrer qu’un usage est responsable.

Quels indicateurs choisir sans réduire la démarche à des chiffres ?

Les indicateurs servent à suivre les progrès, mais ils ne remplacent ni l’analyse qualitative ni le dialogue. Un bon indicateur doit avoir un périmètre défini, une méthode de calcul documentée, une source identifiable et une fréquence de mise à jour cohérente avec le risque suivi.

Dans le numérique, des indicateurs peuvent porter sur les thèmes suivants :

Le délai de traitement des demandes relatives aux droits des utilisateurs.
La part des services évalués selon des critères d’accessibilité.
Le nombre de vulnérabilités critiques détectées et leur délai de correction, avec une définition précise du périmètre.
La durée moyenne d’utilisation des équipements et les modalités de réemploi ou de recyclage.
La part des fournisseurs évalués sur des critères sociaux, environnementaux et de sécurité.
Le nombre de signalements éthiques reçus, leur traitement et les mesures correctives prises.

Ces données doivent être interprétées avec prudence. Une hausse du nombre de signalements peut traduire une dégradation, mais aussi une meilleure confiance dans le dispositif d’alerte. Une baisse des incidents déclarés ne prouve pas nécessairement une amélioration si les utilisateurs rencontrent des obstacles pour signaler un problème. La transparence suppose donc de présenter les définitions, les limites, les tendances et les actions engagées, plutôt qu’un chiffre isolé destiné à produire une impression favorable.

Erreurs fréquentes et précautions de communication

Plusieurs erreurs fragilisent l’utilisation d’ISO 26000. La première consiste à confondre engagement et résultat. Une charte ou une politique interne ne démontre pas que les pratiques produisent les effets annoncés. Il faut distinguer les moyens déployés, les résultats observés et les impacts réels.

La deuxième erreur consiste à traiter uniquement les sujets visibles. Une réduction du papier ou une opération de recyclage ne répond pas à elle seule aux questions relatives aux droits humains, aux conditions de travail, à la protection des consommateurs ou à la loyauté des pratiques. La grille des sept questions centrales aide à éviter cette sélection trop étroite.

La troisième erreur consiste à ignorer la chaîne de valeur. Un service peut respecter des procédures internes rigoureuses tout en dépendant de fournisseurs présentant des risques importants. La profondeur de l’analyse doit être proportionnée à l’influence exercée et à la gravité potentielle des impacts.

Enfin, une communication imprécise peut créer une allégation trompeuse. Il est préférable de préciser :

Le périmètre couvert par la démarche.
Les parties prenantes consultées et les limites de cette consultation.
Les sources des données et la période observée.
Les sujets encore en cours de traitement.
La différence entre une démarche inspirée d’ISO 26000 et une certification, qui n’est pas prévue par cette norme.

La crédibilité repose sur la capacité à reconnaître les progrès comme les insuffisances. Une communication responsable décrit les décisions, les preuves disponibles et les prochaines étapes sans transformer une action ponctuelle en garantie générale.

ISO 26000, réglementation et autres référentiels : comment articuler les approches ?

ISO 26000 ne remplace pas les textes de loi ni les référentiels spécialisés. Elle offre une vision transversale qui peut relier des démarches déjà existantes. Une organisation peut par exemple utiliser des procédures de sécurité de l’information, un dispositif de protection des données, une politique d’achats responsables et un système de management environnemental, puis examiner leur cohérence à la lumière des principes de responsabilité sociétale.

Cette articulation évite deux écueils. Le premier est la multiplication de dispositifs séparés qui mobilisent des équipes différentes sans vue d’ensemble. Le second est la réduction de la responsabilité sociétale à un seul domaine, comme le climat ou la conformité juridique. ISO 26000 invite à comparer les impacts, les arbitrages et les responsabilités entre ces sujets.

La réglementation applicable doit être identifiée pays par pays et activité par activité. Les obligations peuvent concerner les données, le travail, la sécurité, l’environnement, les achats publics ou la protection des consommateurs. La norme ne fournit pas une dispense de veille juridique. Elle aide plutôt à intégrer ces obligations dans une gouvernance plus large, en tenant compte des attentes des parties prenantes et des conséquences indirectes des décisions.

FAQ sur la norme ISO 26000

ISO 26000 donne-t-elle lieu à une certification ?

Non. ISO 26000 fournit des lignes directrices et n’est pas une norme de certification. Une organisation peut faire évaluer sa démarche, mais cette évaluation ne doit pas être présentée comme une certification ISO 26000.

La norme concerne-t-elle uniquement les grandes entreprises ?

Non. Ses principes peuvent être adaptés à une petite structure, une administration, une association ou un acteur numérique indépendant. Le périmètre, les moyens et les priorités doivent correspondre à la taille et aux impacts de l’organisation.

Quelle différence existe-t-il entre responsabilité sociale et responsabilité sociétale ?

La responsabilité sociétale couvre un périmètre plus large que les seules relations sociales. Elle inclut notamment la gouvernance, les droits humains, l’environnement, les consommateurs, la loyauté des pratiques et les communautés. Le terme sociétal englobe donc les effets de l’organisation sur la société dans son ensemble.

Par quel sujet commencer dans une organisation numérique ?

Le point de départ pertinent est un diagnostic des impacts et des risques, complété par une cartographie des parties prenantes. Les données personnelles, l’accessibilité, la sécurité, les conditions de travail, les achats et la durée de vie des équipements constituent souvent des domaines à examiner, sans présumer de leur niveau de priorité.

Comment éviter une démarche réduite à la communication ?

Chaque engagement doit être relié à une responsabilité, une action, une méthode de mesure et un mécanisme de révision. La publication des limites et des résultats incomplets est aussi importante que la présentation des progrès.