CSRD après l’Omnibus : qui doit encore se faire vérifier — et pourquoi cela reste important

Le processus législatif est achevé. La directive (UE) 2026/470 — la directive Omnibus I — a été publiée au Journal officiel de l'Union européenne le 26 février 2026, formellement adoptée par le Conseil le 24 février 2026, et est entrée en vigueur le 18 mars 2026. Les États membres de l'UE doivent désormais transposer les dispositions relatives à la CSRD en droit national avant le 19 mars 2027.

Pour la première fois depuis l'adoption de la directive sur les rapports de durabilité des entreprises en 2022, les entreprises disposent d'un cadre réglementaire stable et définitif. Il n'y a plus de propositions de suspension de délai en cours, plus d'accords provisoires en attente, et aucune négociation colégiférative active à surveiller.

La réaction de nombreuses équipes conformité a été un soulagement : moins d'entreprises dans le champ d'application, des normes plus simples en préparation, et un cadre d'assurance qui restera à un niveau d'assurance limitée plutôt que d'évoluer vers une assurance raisonnable. En apparence, la charge semble allégée.

Mais la simplification du périmètre ne signifie pas la simplification de l'objectif. Les entreprises qui restent dans les seuils révisés font face aux mêmes obligations fondamentales qu'auparavant — notamment l'évaluation de la double matérialité, la divulgation du Scope 3 lorsqu'elle est matérielle, et la vérification indépendante. Et les entreprises qui se trouvent en dehors du périmètre obligatoire font face à des pressions commerciales, financières et réglementaires qui n'ont pas disparu. Le seuil a changé. L'importance stratégique de données de durabilité crédibles, elle, n'a pas changé.

Le changement le plus déterminant de la directive Omnibus I est le remplacement des critères de périmètre existants par un double seuil strict.

En vertu de la CSRD initiale, les entreprises étaient qualifiées d'entreprises dans le champ d'application sur la base de la définition de « grande entreprise » de la directive comptable — un test deux-sur-trois appliqué à trois critères : 250 salariés ou plus, un chiffre d'affaires net dépassant 50 millions d'euros, ou un total de bilan supérieur à 25 millions d'euros. Satisfaire deux conditions sur trois était suffisant.

Cette logique est entièrement remplacée. Dans le nouveau cadre, une entité de l'UE relève du périmètre obligatoire de la CSRD uniquement si elle dépasse simultanément les deux critères suivants : une moyenne de plus de 1 000 salariés, et un chiffre d'affaires annuel net supérieur à 450 millions d'euros. Une entreprise avec 5 000 salariés et 300 millions d'euros de chiffre d'affaires n'est plus dans le périmètre. Une entreprise avec 600 millions d'euros de chiffre d'affaires et 800 salariés ne l'est pas non plus. Les deux seuils doivent être satisfaits simultanément.

Pour les entités mères non-UE, le déclencheur est également sensiblement plus élevé. Un groupe non-UE est désormais dans le périmètre uniquement s'il génère plus de 450 millions d'euros de chiffre d'affaires net dans l'UE pour chacun des deux derniers exercices fiscaux consécutifs, et dispose d'au moins une filiale ou succursale dans l'UE avec un chiffre d'affaires net dans l'UE dépassant 200 millions d'euros. Le seuil de chiffre d'affaires dans l'UE pour les groupes non-UE était auparavant de 150 millions d'euros — l'Omnibus l'a triplé.

Les PME cotées sont entièrement exclues du périmètre obligatoire. Il n'existe pas de version allégée de la CSRD pour elles — elles quittent totalement le régime.

L'effet combiné est une réduction du nombre d'entreprises directement dans le périmètre d'environ 80 à 90 % par rapport à la directive initiale — d'un nombre estimé à 50 000 entreprises à environ 5 000 à 10 000. Il s'agit d'un rétrécissement significatif de la population déclarante obligatoire. Mais cela ne doit pas occulter un fait distinct : les entreprises qui restent dans ce périmètre réduit sont soumises à la même profondeur d'exigences de divulgation, notamment l'évaluation complète de la double matérialité et le reporting des émissions de Scope 3 partout où les émissions de la chaîne de valeur sont considérées comme matérielles.

Pour les organisations qui franchissent le double seuil, la directive Omnibus I a résolu une question laissée ouverte depuis l'adoption initiale de la CSRD : quel niveau d'assurance sera finalement requis ?

La CSRD initiale envisageait une progression de l'assurance limitée vers l'assurance raisonnable — une évolution qui aurait substantiellement augmenté le niveau de contrôle appliqué aux rapports de durabilité au fil du temps. Cette progression a été supprimée. L'assurance limitée est désormais confirmée comme exigence finale, et non comme étape transitoire.

La Commission est tenue de développer des normes d'assurance limitée spécifiques à l'UE, dont l'adoption est fixée au 1er juillet 2027 au plus tard. Ces normes devraient s'aligner sur l'ISSA 5000, la norme internationale d'assurance en matière de durabilité publiée par l'IAASB en 2023. Jusqu'à l'adoption des normes spécifiques à l'UE, les missions d'assurance se déroulent selon les normes professionnelles nationales et les cadres existants.

Qu'est-ce que cela signifie en pratique ? Une mission d'assurance limitée exige d'un vérificateur indépendant qu'il examine le rapport de durabilité et conclue si quoi que ce soit a été porté à son attention suggérant que les informations sont matériellement erronées. Elle implique des demandes d'informations, des procédures analytiques et la collecte d'éléments probants ciblés — moins intensive qu'un audit complet, mais loin d'être superficielle. Elle exige toujours une traçabilité cohérente des données, des méthodologies documentées, des chaînes de preuves traçables et des contrôles internes capables de résister à un examen indépendant.

La confirmation que l'assurance limitée est l'objectif final — plutôt qu'une étape intermédiaire — donne aux entreprises une cible stable vers laquelle se préparer. Cela ne réduit pas l'effort nécessaire pour y parvenir.

Les normes européennes de reporting de durabilité qui définissent exactement ce que les entreprises dans le périmètre doivent divulguer sont actuellement en cours de révision. L'EFRAG a soumis son avis technique simplifié final à la Commission européenne le 3 décembre 2025, proposant une réduction significative des points de données obligatoires. La Commission est tenue d'adopter un acte délégué révisé intégrant ces modifications dans les six mois suivant l'entrée en vigueur de la directive — soit avant le 18 septembre 2026.

Jusqu'à l'adoption de cet acte délégué révisé, les ESRS existantes restent en vigueur. Les entreprises de la vague 1 — celles qui sont entrées dans le périmètre de la CSRD en tant qu'anciens déclarants au titre de la NFRD — doivent utiliser les normes actuelles pour le reporting des exercices 2025 et 2026, avec des allègements transitoires « quick fix » disponibles à la suite de l'acte délégué adopté par la Commission en juillet 2025. Une fois les ESRS simplifiées en vigueur, les entreprises pourront les appliquer volontairement pour le reporting de l'exercice 2026, avec une application obligatoire à partir de l'exercice 2027.

La simplification réduira de manière significative le volume des divulgations prescrites et donnera aux entreprises plus de latitude en fonction de leur évaluation de la double matérialité. Les normes ESRS sectorielles ont été entièrement supprimées ; des orientations sectorielles non contraignantes pourront être développées à leur place, mais n'auront pas de statut obligatoire. La proportion de points de données obligatoires devrait diminuer substantiellement.

Ce qui ne changera pas, c'est l'obligation fondamentale de conduire et de documenter une évaluation rigoureuse de la double matérialité comme fondement de ces décisions. Dans le cadre révisé, les entreprises peuvent omettre les divulgations thématiques pour les domaines jugés non matériels — mais le processus permettant d'aboutir à cette conclusion doit lui-même être approfondi, documenté et capable de résister à l'examen de vérification.

Pour la plupart des fabricants, distributeurs et groupes industriels, le climat restera matériel sous l'angle de l'impact et sous l'angle financier dans le cadre de la double matérialité. Cela signifie que les divulgations relatives aux émissions de Scope 1, 2 et 3 au titre de l'ESRS E1 ne disparaîtront probablement pas pour ces entreprises simplement parce que les normes ont été rationalisées. Le processus d'évaluation détermine ce qui doit être déclaré. La simplification modifie le volume des points de données possibles ; elle ne remet pas en cause la conclusion de matérialité pour les sujets climatiques fondamentaux.

Le message pratique est le suivant : ne construisez pas votre calendrier de préparation en supposant que la révision des ESRS de septembre 2026 réduira vos obligations de reporting spécifiques. Réalisez l'évaluation de la double matérialité maintenant. Laissez-la déterminer ce qui est dans le périmètre pour votre entreprise. Calibrez ensuite en fonction de la version des ESRS applicable lors de votre premier rapport.

Se retrouver en dessous du double seuil supprime l'obligation légale d'établir un rapport de durabilité CSRD. Cela ne supprime pas les raisons commerciales et financières de disposer de données de durabilité crédibles, vérifiées par un tiers.

Trois pressions durables continueront à générer des demandes de données sur les émissions et les critères ESG à l'égard des entreprises exclues du périmètre :

Pour les entreprises exclues du périmètre confrontées à l'une de ces pressions, la vérification volontaire selon la norme VSME offre une base crédible et proportionnée pour l'assurance par un tiers. La Commission est tenue d'adopter le contenu de la norme VSME volontaire avant le 19 juillet 2026. Un engagement précoce dans ce cadre — et une vérification volontaire contre celui-ci — démontre une gouvernance ESG proactive et peut différencier significativement une entreprise dans les contextes d'achats, de financement et de reporting aux parties prenantes.

L'un des changements les plus significatifs sur le plan opérationnel mais les moins discutés introduits par la directive Omnibus I est le plafonnement de la chaîne de valeur.

Les entreprises de moins de 1 000 salariés disposent désormais d'une base légale formelle pour refuser les demandes d'informations de durabilité émanant de grandes entreprises déclarantes lorsque ces demandes dépassent ce qui est spécifié dans la future norme VSME volontaire. Il s'agit d'une véritable protection — pas d'une directive ou d'une recommandation — pour les petits fournisseurs qui subissaient la charge répercutée de la CSRD : être sollicités par leurs clients pour remplir des questionnaires ESG détaillés comme condition pour rester sur les listes de fournisseurs agréés, malgré l'absence d'obligation directe au titre de la CSRD.

Pour les entreprises dans le périmètre, l'implication pratique est que les processus de collecte de données ESG orientés vers les achats doivent être réexaminés et, le cas échéant, recalibrés. Les demandes adressées aux partenaires de la chaîne de valeur comptant moins de 1 000 salariés doivent rester dans les limites de la norme volontaire une fois adoptée par la Commission au plus tard le 19 juillet 2026. Les demandes dépassant ces limites ne seront pas légalement exécutoires.

Cela crée également une nouvelle dimension pour les prestataires d'assurance. Dans le cadre d'une mission d'assurance limitée, la question ne porte plus seulement sur l'exactitude et la traçabilité des données divulguées, mais aussi sur la conformité de la méthode de collecte des données de la chaîne de valeur avec le cadre légal régissant ce qui pouvait être demandé aux petits partenaires. Les données obtenues par des demandes dépassant le plafond peuvent soulever des questions sur la validité du processus de collecte — une considération que les équipes d'assurance devront prendre en compte dans le cadre de leur mission.

Après plus de deux ans de reports par phases, de propositions de suspension de délai et de restructuration des vagues, le calendrier de reporting CSRD est désormais stable. La directive Omnibus I ne modifie pas les calendriers déjà établis par la directive Stop-the-Clock (UE) 2025/794, entrée en vigueur en avril 2025.

Les États membres ont jusqu'au 19 mars 2027 pour transposer les dispositions relatives à la CSRD de la directive Omnibus I en droit national. Jusqu'à l'achèvement de la transposition dans une juridiction donnée, les règles nationales de la CSRD transposées restent applicables dans ce pays. L'avancement de la transposition dans les 27 États membres de l'UE est inégal, et les entreprises ayant des entités juridiques dans plusieurs juridictions doivent surveiller séparément les évolutions au niveau national.

L'écart entre aujourd'hui et la première échéance de reporting de la vague 2 en 2028 peut sembler confortable. Il ne l'est pas. La construction d'une infrastructure de données pour soutenir des divulgations de Scope 3 vérifiables — en particulier la catégorie 1 des biens et services achetés — nécessite généralement 12 à 18 mois d'engagement structuré avec les fournisseurs, de conception des contrôles internes, de documentation des méthodologies et de mise en œuvre des systèmes. Commencer à mi-2026 laisse peu de marge pour les retards qui surviennent presque toujours.

Quelle que soit la version des ESRS qui s'appliquera finalement à votre premier rapport, les fondements d'un rapport de durabilité vérifiable sont constants et ne changent pas avec la simplification.

Aucune de ces exigences n'est affectée par le fait que les ESRS contiennent 1 100 points de données ou 430. Elles s'appliquent indépendamment du niveau de simplification atteint. Les entreprises qui construisent ces fondements pendant la période actuelle de transition réglementaire seront mieux positionnées pour l'assurance — et pour la crédibilité commerciale qui en découle — que celles qui traitent la simplification comme une raison de différer leur préparation.

La directive Omnibus I est une simplification réelle et significative du reporting de durabilité obligatoire dans l'UE. Le nombre d'entreprises dans le périmètre a diminué de 80 à 90 %. Le cadre d'assurance est désormais fixé à l'assurance limitée, sans voie d'escalade. Les ESRS sont en cours de réduction significative de leur complexité. Le calendrier de reporting n'est plus une cible mouvante.

Mais la simplification n'est pas synonyme de déréglementation, et le rétrécissement du périmètre ne signifie pas une réduction de la profondeur du contenu pour ceux qui y restent. Les entreprises qui franchissent le double seuil font face aux mêmes attentes en matière de qualité des données, de couverture du Scope 3, de rigueur de la double matérialité et de vérification indépendante que ce qu'envisageait la CSRD initiale. Et les entreprises qui se trouvent en dehors du seuil continuent de faire face à des pressions commerciales, financières et réglementaires — à travers les chaînes d'approvisionnement, les relations de financement, le MACF et les cadres volontaires d'objectifs — qui rendent les données de durabilité crédibles stratégiquement importantes indépendamment de toute obligation légale.

Le seuil a changé. La raison de prendre la vérification au sérieux, elle, n'a pas changé.