La RSE ne se résume pas à quelques gestes écologiques
La responsabilité sociétale des entreprises, ou RSE, désigne la manière dont une organisation prend en compte ses effets sur la société, l’environnement et son fonctionnement économique. Elle concerne donc bien davantage le tri des déchets ou la réduction des impressions. Les achats, les conditions de travail, la sécurité des données, les relations avec les clients, la lutte contre les pratiques commerciales trompeuses et la continuité de l’activité en font aussi partie.
Dans une TPE ou une PME, la RSE ne nécessite pas forcément un service spécialisé. Elle peut être pilotée par la direction, par une personne volontaire ou par un petit groupe réunissant plusieurs métiers. La priorité consiste à construire une démarche proportionnée à la taille de l’entreprise, à ses risques et à son activité. Une action utile et suivie vaut mieux qu’un programme très large qui reste au stade des intentions.
La norme ISO 26000 constitue un cadre de référence pour comprendre la responsabilité sociétale. Elle aborde notamment la gouvernance, les droits humains, les relations et conditions de travail, l’environnement, la loyauté des pratiques, les questions relatives aux consommateurs et la contribution au développement local. Elle fournit des repères, mais ne correspond pas à une certification. Pour démarrer, elle peut servir de grille de lecture sans imposer de reproduire une organisation de grande entreprise.
Commencer par un état des lieux plutôt que par un catalogue d’actions
La première étape consiste à décrire la situation réelle de l’entreprise. Le diagnostic peut tenir dans un document partagé et être réalisé en quelques réunions courtes. L’objectif n’est pas de produire un rapport exhaustif, mais de repérer les impacts importants, les obligations applicables, les risques et les marges de progression.
Pour chaque thème, rassemblez les éléments déjà disponibles : factures d’énergie, contrats de fournisseurs, procédures d’achat, registre de santé et de sécurité au travail, incidents informatiques, retours clients, données sociales et documents liés aux déchets. Cette collecte permet d’éviter les décisions fondées sur des impressions.
Une grille de diagnostic peut comporter les questions suivantes :- Gouvernance : les responsabilités sont-elles identifiées, les décisions importantes sont-elles documentées et les alertes peuvent-elles être remontées ?
- Environnement : quels postes consomment le plus d’énergie, de matières, de déplacements ou de matériel numérique ?
- Travail : les salariés disposent-ils d’un environnement sûr, d’informations suffisantes et de possibilités de formation ?
- Achats : les fournisseurs sont-ils sélectionnés selon des critères de qualité, de sécurité, de durabilité et de respect des règles sociales ?
- Clients et utilisateurs : les informations commerciales sont-elles compréhensibles, loyales et accessibles ?
- Numérique : les comptes, sauvegardes, équipements et données sensibles sont-ils protégés et gérés pendant toute leur durée de vie ?
À ce stade, notez aussi les pratiques déjà en place. Une politique de télétravail, un entretien régulier des équipements, une procédure de signalement ou un fournisseur local ne constituent pas nécessairement une démarche RSE complète, mais peuvent devenir des points d’appui.
Choisir trois priorités avec une méthode de décision
Une TPE ou une PME ne peut pas traiter tous les sujets en même temps. Pour hiérarchiser les actions, attribuez à chaque enjeu une appréciation sur quatre critères : son importance pour l’activité, le risque associé, l’influence de l’entreprise et l’effort nécessaire. Il n’est pas indispensable de produire une note mathématique précise. Une échelle qualitative comme faible, moyen ou élevé permet déjà de comparer les sujets.
Placez ensuite les enjeux dans une matrice :- Impact élevé et effort limité : à traiter en premier, par exemple l’activation de l’authentification multifacteur sur les comptes sensibles ou la formalisation d’une procédure de sauvegarde.
- Impact élevé et effort important : à planifier, comme le remplacement progressif d’un parc informatique très ancien ou la révision d’un processus d’achat.
- Impact limité et effort limité : à intégrer lorsque l’occasion se présente, sans en faire le cœur du programme.
- Impact limité et effort important : à réexaminer avant d’engager des ressources.
Les priorités doivent correspondre aux enjeux propres à l’activité. Une société qui manipule des données personnelles sensibles ne choisira pas les mêmes premières actions qu’un atelier consommant beaucoup de matières ou qu’une entreprise dépendante de déplacements fréquents.
Pour éviter une démarche uniquement déclarative, chaque priorité doit être formulée comme un résultat observable. Préférez réduire les achats d’équipements neufs en prolongeant leur durée d’usage à adopter une informatique plus responsable. La première formulation peut être suivie avec des données concrètes et discutée avec les personnes concernées.
Construire un plan d’action adapté à une petite équipe
Un plan d’action utile tient sur quelques pages. Pour chaque mesure, indiquez le problème visé, la personne responsable, les étapes, le calendrier, les moyens requis et l’indicateur de suivi. La responsabilité ne doit pas être attribuée à une personne sans lui donner le temps, l’accès aux informations et la capacité de solliciter les autres métiers.
Un modèle de tableau peut être organisé ainsi :| Enjeu | Action | Responsable | Échéance | Indicateur |
|---|
| Comptes numériques vulnérables | Activer la double authentification sur les services prioritaires | Référent informatique ou prestataire | Calendrier défini par l’entreprise | Part des comptes prioritaires protégés |
| Achats peu documentés | Ajouter des critères de durabilité et de sécurité dans les demandes de devis | Direction ou achats | Prochaine campagne d’achat | Part des consultations comportant ces critères |
| Fin de vie du matériel | Inventorier les équipements et organiser leur réemploi, leur reprise ou leur recyclage | Référent matériel | Après l’inventaire | Équipements orientés vers une filière identifiée |
Commencez par un cycle court, avec une revue mensuelle ou trimestrielle selon la taille de l’équipe. Cette revue sert à vérifier ce qui a été réalisé, à comprendre les blocages et à modifier le plan. Une action abandonnée peut être remplacée ou redimensionnée ; elle ne doit pas être présentée comme achevée.
Réduire l’empreinte du numérique sans dégrader la sécurité
Le numérique est souvent un angle concret pour une démarche RSE, car il touche les achats, l’énergie, les données, le travail quotidien et la gestion des déchets. Une réduction de l’empreinte ne doit toutefois pas conduire à conserver un équipement défaillant ou à supprimer les protections de sécurité.
Commencez par un inventaire : ordinateurs, écrans, téléphones, imprimantes, serveurs, équipements réseau, logiciels et comptes en ligne. Relevez l’âge approximatif, l’état, la criticité et la personne utilisatrice. Cet inventaire permet de différer certains renouvellements, de regrouper des besoins et d’éviter les achats en urgence.
Lors d’un achat, examinez plusieurs critères : durée de support logiciel annoncée, possibilité de réparation, disponibilité des pièces, consommation, garantie, compatibilité avec les outils existants et conditions de reprise. Le coût d’acquisition ne représente qu’une partie du coût réel. Le déploiement, la maintenance, les licences, la formation et la fin de vie doivent aussi être considérés.
La prolongation de la durée d’usage doit être accompagnée de mesures de sécurité : mises à jour prises en charge, chiffrement lorsque le contexte le justifie, verrouillage automatique, comptes distincts et sauvegardes vérifiées. Un appareil trop ancien pour recevoir les correctifs nécessaires peut devenir un risque, même s’il fonctionne encore.
Les usages peuvent également évoluer : limiter le renouvellement systématique des équipements, supprimer les comptes inutilisés, réduire les pièces jointes volumineuses lorsque ce choix est compatible avec le besoin, paramétrer la veille des écrans et éviter le stockage de doublons. Ces pratiques ne remplacent pas une politique d’achats et de sécurité, mais elles améliorent la maîtrise du parc.
Faire de la sécurité numérique un volet de la responsabilité
La RSE inclut la protection des salariés, des clients, des fournisseurs et des informations confiées à l’entreprise. Une fuite de données ou une indisponibilité informatique peut produire des conséquences opérationnelles, financières et humaines. La sécurité doit donc être traitée comme un sujet de gouvernance, et non comme une question réservée au prestataire informatique.
Un socle de départ peut comprendre les mesures suivantes :- utiliser des mots de passe uniques et un gestionnaire adapté aux besoins de l’organisation ;
- activer l’authentification multifacteur sur la messagerie, l’administration des outils, les services cloud et les accès distants ;
- appliquer les mises à jour des systèmes, applications, équipements réseau et solutions de sécurité ;
- séparer les comptes d’administration des comptes utilisés au quotidien ;
- réaliser des sauvegardes régulières, protégées contre l’effacement accidentel, puis tester la restauration ;
- définir une procédure en cas de perte d’appareil, de fraude au paiement, de message suspect ou de suspicion de compromission ;
- former les salariés à vérifier les demandes urgentes, les pièces jointes et les changements de coordonnées bancaires.
Les recommandations de l’Agence nationale de la sécurité des systèmes d’information peuvent servir de base pour structurer ce socle. La Commission nationale de l’informatique et des libertés fournit de son côté des repères sur la protection des données personnelles. Il faut distinguer la sauvegarde, qui permet de retrouver des données, de la synchronisation, qui peut reproduire une suppression sur plusieurs appareils.
Associer les salariés sans créer une charge administrative excessive
Une démarche RSE qui reste entre les mains de la direction risque de manquer les problèmes du quotidien. Les salariés connaissent les tâches répétitives, les équipements peu adaptés, les déplacements évitables et les procédures qui provoquent des erreurs. Leur participation peut prendre la forme d’un atelier court, d’un questionnaire interne ou de points réguliers dans une réunion existante.
Pour que cette participation soit utile, demandez des faits et des propositions : quelle tâche consomme le plus de temps ou de ressources, quel incident se répète, quelle information manque, quel outil pose un problème d’accessibilité ou de sécurité ? Regroupez ensuite les idées par thème et indiquez ce qui sera retenu, différé ou écarté, avec une explication. Cette transparence évite de transformer la consultation en collecte sans suite.
Les conditions de travail doivent rester un axe central. Cela couvre notamment la prévention des risques, l’ergonomie, la charge de travail, le droit à la déconnexion, l’accessibilité des outils et la formation. Pour le télétravail, examinez la sécurité des connexions, l’usage des appareils personnels, la confidentialité des échanges et les modalités de support. Les règles applicables dépendent du contexte juridique et de l’organisation du travail ; les documents officiels du ministère chargé du Travail doivent être consultés pour les obligations concernées.
Une petite équipe peut désigner un référent RSE, mais cette fonction ne doit pas devenir un poste isolé chargé de compenser l’absence de décisions. La direction conserve la responsabilité des arbitrages et du suivi.
Intégrer la RSE dans les achats et les relations avec les fournisseurs
Les achats représentent souvent un levier plus important que les seules habitudes internes. Une TPE ou une PME peut agir sans multiplier les questionnaires fournisseurs. Commencez par les catégories les plus sensibles : informatique, énergie, transport, sous-traitance, emballages, matières premières ou services qui accèdent aux données de l’entreprise.
Dans une demande de devis, ajoutez des critères compréhensibles et vérifiables : durée de garantie, réparabilité, disponibilité des pièces, modalités de reprise, conditions de traitement des données, continuité de service, origine des produits lorsque cette information est pertinente, ou respect d’exigences sociales précisées dans le contrat. Demandez des éléments proportionnés au risque. Une petite prestation locale ne nécessite pas le même niveau de contrôle qu’un fournisseur ayant accès à des informations confidentielles.
Pour les prestataires numériques, vérifiez notamment où sont hébergées les données, qui peut y accéder, comment les comptes sont supprimés en fin de contrat, quelle assistance est prévue lors d’un incident et comment les données peuvent être récupérées. Ces points doivent apparaître dans les documents contractuels lorsque l’enjeu le justifie. La protection des données personnelles doit être examinée avec les obligations du règlement général sur la protection des données et les recommandations de la CNIL.
La relation fournisseur ne se limite pas à la sélection initiale. Une revue périodique peut porter sur les incidents, les changements de service, les mises à jour de sécurité, les délais et les engagements annoncés. Cette démarche réduit aussi la dépendance à une information commerciale invérifiable.
Mesurer sans transformer la RSE en usine à indicateurs
Les indicateurs doivent aider à décider. Pour chaque priorité, retenez un indicateur de réalisation et, lorsque c’est possible, un indicateur d’effet. Par exemple, la part des comptes protégés par une authentification multifacteur mesure la mise en œuvre, tandis que le nombre d’incidents liés à des comptes compromis renseigne sur l’évolution du risque. Un seul indicateur ne décrit jamais toute une situation.
Des données déjà disponibles peuvent être exploitées : consommation d’énergie, achats de matériel, volume de déchets, absentéisme, accidents, formations réalisées, incidents de sécurité, délais de traitement des demandes clients ou part des fournisseurs évalués. Documentez la méthode de calcul, la période retenue et les limites. Si une donnée est estimée, présentez-la comme telle et expliquez comment la qualité de la mesure pourra progresser.
Évitez les formulations qui donnent une apparence de précision sans base solide. Une baisse des impressions ne prouve pas à elle seule une réduction de l’impact environnemental si les documents ont été déplacés vers un stockage numérique très consommateur ou si les besoins ont changé. De la même manière, un nombre élevé d’actions de sensibilisation ne démontre pas une amélioration des pratiques.
Le bilan peut être présenté dans un document interne ou dans une communication destinée aux clients et partenaires. Il doit distinguer les actions réalisées, les objectifs en cours, les difficultés et les prochaines étapes. La sincérité de cette présentation protège la crédibilité de la démarche mieux qu’un vocabulaire très ambitieux.
Éviter les principaux pièges d’une démarche à petit budget
Le premier piège consiste à commencer par la communication. Un logo, une charte ou une page de présentation ne remplacent ni des preuves ni des changements dans les processus. La communication peut accompagner la démarche lorsque les actions sont suffisamment documentées.
Le deuxième consiste à copier un programme conçu pour un grand groupe. Les indicateurs, les comités et les procédures doivent être proportionnés aux ressources disponibles. Une TPE a davantage intérêt à suivre quelques risques bien choisis qu’à reproduire une organisation complexe.
Le troisième est de confondre achat responsable et achat systématiquement plus cher. Le coût total, la durée d’usage, la maintenance, la consommation, les interruptions et la fin de vie doivent être comparés. Une solution moins coûteuse à l’achat peut générer davantage de renouvellements ou de support.
Le quatrième est de traiter l’environnement sans traiter les personnes et les données. Une démarche cohérente examine les conditions de travail, la sécurité, l’accessibilité, la loyauté des pratiques et les droits des personnes concernées.
Enfin, méfiez-vous des labels, déclarations et outils d’autoévaluation utilisés sans vérifier leur périmètre. Demandez ce qui est réellement évalué, par qui, selon quelle méthode et pendant quelle période. Le choix d’un référentiel doit répondre à un besoin précis, non produire une apparence de conformité.
Un calendrier de démarrage en trois étapes
Un premier cycle peut être organisé autour de trois séquences. Première séquence, cadrer : désignez un pilote, réunissez les documents existants, échangez avec les salariés et identifiez les enjeux majeurs. Fixez une date de revue et les personnes qui participeront aux arbitrages.
Deuxième séquence, agir : retenez quelques mesures dont les responsables et les moyens sont connus. Associez une action de réduction d’impact, une action liée aux conditions de travail ou aux pratiques commerciales et une action de maîtrise du risque numérique. Ce dosage évite de réduire la RSE à un seul thème.
Troisième séquence, vérifier : comparez les résultats avec la situation de départ, recueillez les retours, consignez les écarts et choisissez les priorités suivantes. Si une mesure ne produit pas l’effet attendu, recherchez la cause avant de la généraliser.
Pour les ressources, recherchez d’abord les dispositifs publics et sectoriels correspondant à la taille, à l’activité et au territoire de l’entreprise. L’ADEME publie des ressources sur les démarches environnementales et la sobriété, tandis que des organismes publics et professionnels peuvent proposer des outils adaptés à certains secteurs. Vérifiez toujours les conditions d’accès, la date de mise à jour et le périmètre de chaque dispositif.
FAQ : démarrer une démarche RSE en TPE ou PME
Faut-il nommer un responsable RSE à temps plein ?
Non. Une personne peut coordonner la démarche dans le cadre de ses fonctions, à condition que son rôle, son temps disponible et son accès aux informations soient définis. Les décisions restent portées par la direction et les métiers concernés.
Quel budget faut-il prévoir ?
Il n’existe pas de montant universel. Le coût dépend de l’activité, des risques et des actions choisies. Commencez par les mesures qui utilisent des ressources internes, puis chiffre chaque investissement selon le coût total, la sécurité, la durée d’usage et les bénéfices attendus. Ne présentez pas une estimation comme une règle générale.
Une entreprise doit-elle obtenir une certification ?
Non, une certification n’est pas une condition pour commencer. La norme ISO 26000 est un guide de responsabilité sociétale et non une norme de certification. Une certification ou un label peut répondre à une demande de client ou à un besoin de structuration, mais son périmètre doit être compris avant tout engagement.
Comment éviter l’accusation de communication trompeuse ?
Décrivez des actions précises, leur périmètre, leur date et leurs limites. Conservez les éléments de preuve et évitez les affirmations globales comme responsable ou écologique lorsqu’elles ne peuvent pas être démontrées. Les règles relatives aux pratiques commerciales et aux allégations environnementales doivent être vérifiées dans les textes applicables.
La RSE concerne-t-elle vraiment la cybersécurité ?
Oui. La protection des données, la continuité de service, la prévention des fraudes et la sécurité des outils protègent les salariés, les clients et les partenaires. La cybersécurité doit donc être intégrée au diagnostic, aux achats, à la formation et au suivi des risques.