La tentation est grande, face au flot de textes européens et nationaux, de classer 2026 dans la catégorie des années « comme les autres » en matière réglementaire. Ce serait une erreur d’analyse. Notre thèse est la suivante : 2026 ne crée pas tant de nouvelles obligations qu’elle ne déplace le centre de gravité de la responsabilité du dirigeant, de la conformité formelle vers la preuve d’efficacité. Le document unique, le plan de prévention, le reporting de durabilité : tout converge vers la même exigence — démontrer que le dispositif fonctionne, pas seulement qu’il existe.

Du document qui prouve l’existence au document qui prouve l’action

Le Document Unique d’Évaluation des Risques Professionnels (DUERP) reste la pierre angulaire du dispositif français de prévention. Depuis la loi du 2 août 2021, sa conservation pendant quarante ans et son dépôt dématérialisé sur un portail dédié sont actés. La loi prévoyait ce dépôt à compter du 1er juillet 2023 pour les entreprises d’au moins 150 salariés et au plus tard le 1er juillet 2024 pour les autres (art. L4121-3-1 du Code du travail), mais le portail n’a toujours pas été mis en place : dans l’attente, l’employeur conserve les versions successives de son DUERP dans l’entreprise, sur papier ou sous forme numérique (art. R4121-4). L’obligation de conserver ces versions et de les tenir à disposition pendant 40 ans s’applique, elle, depuis le 31 mars 2022.

L’effet juridique est mécanique : un inspecteur, un juge, un ayant droit dans le cadre d’une faute inexcusable pourra reconstituer l’évolution de l’évaluation des risques sur plusieurs décennies. La question ne sera plus « avez-vous un document unique ? » mais « comment expliquez-vous qu’un risque identifié en 2022 n’ait pas été traité en 2025 ? ». Cette traçabilité longue change la nature de l’exercice. Elle transforme un document souvent perçu comme administratif en un journal de bord opposable.

Pour un dirigeant, la conséquence pratique est claire : un DUERP recopié d’année en année reste un risque, parce qu’il documente l’inaction. Quant à l’absence de DUERP, elle est désormais passible d’une amende administrative pouvant atteindre 4 000 € par travailleur concerné (art. L8115-1, 6° et L8115-3 du Code du travail, en vigueur depuis le 27 juin 2026).

CSRD et devoir de vigilance : la santé-sécurité entre dans le reporting financier

La directive européenne CSRD (Corporate Sustainability Reporting Directive) a été profondément révisée. La directive « stop-the-clock » (UE) 2025/794 du 14 avril 2025 a d’abord reporté les obligations des autres grandes entreprises aux exercices ouverts à compter du 1er janvier 2027, et celles des PME cotées à compter du 1er janvier 2028. Puis la directive « Omnibus I », publiée au Journal officiel de l’UE le 26 février 2026 et en vigueur depuis le 18 mars 2026, a réservé ce reporting aux entreprises de plus de 1 000 salariés réalisant plus de 450 millions d’euros de chiffre d’affaires (transposition en droit français à suivre).

L’élément que beaucoup de dirigeants sous-estiment : la CSRD ne s’arrête pas aux portes de l’entreprise. Les normes ESRS S1 (personnel propre) et S2 (travailleurs de la chaîne de valeur), en cours de simplification, devraient conduire à documenter les accidents du travail, les maladies professionnelles et les conditions de santé-sécurité, y compris chez les sous-traitants. Une ETI fournisseur d’un grand groupe pourra être sollicitée pour produire ces données, dans certaines limites : depuis la directive Omnibus I, les entreprises de moins de 1 000 salariés peuvent refuser de fournir des informations allant au-delà de la norme volontaire. La réglementation ruisselle par contrat avant de ruisseler par la loi.

S’ajoute la directive sur le devoir de vigilance (CS3D, directive (UE) 2024/1760), dont le calendrier a été reporté par la directive (UE) 2025/794, puis dont le champ a été restreint par la directive « Omnibus I » (proposée en février 2025, adoptée début 2026) aux entreprises de plus de 5 000 salariés réalisant plus de 1,5 milliard d’euros de chiffre d’affaires. Les PME n’y sont pas directement soumises, mais leurs donneurs d’ordre pourront les solliciter. Ce qui est certain : la santé-sécurité cesse d’être un sujet RH périphérique pour devenir un objet de reporting financier et juridique.

Risques émergents : chaleur, produits chimiques, charge mentale

Trois fronts réglementaires se précisent et concernent directement l’organisation du travail.

La chaleur, risque enfin nommé

Le décret n° 2025-482 du 27 mai 2025 relatif à la protection des travailleurs contre les risques liés à la chaleur s’applique depuis l’été 2025 (délai de mise en conformité d’un mois après sa publication au Journal officiel du 1er juin 2025). Il impose à l’employeur d’intégrer le risque chaleur dans le DUERP, de prévoir des mesures concrètes (eau potable, adaptation des horaires, organisation des pauses) et de réagir en cas d’alerte météorologique. La nouveauté n’est pas dans l’idée — la jurisprudence sanctionnait déjà l’inaction — mais dans la formalisation : un cadre explicite rend l’absence de plan beaucoup plus difficile à défendre.

Agents chimiques et valeurs limites

Les valeurs limites d’exposition professionnelle aux agents cancérogènes, mutagènes et reprotoxiques (CMR) font l’objet de révisions européennes successives, qui les abaissent pour plusieurs substances. Pour les secteurs concernés — métallurgie, construction, chimie, soins — cela suppose de revoir les protocoles de mesure et, parfois, de substituer le produit. Le coût n’est pas trivial ; l’arbitrage entre investissement et risque de mise en demeure est un sujet de direction générale, pas seulement de prévention.

Risques psychosociaux : un cadre européen en gestation

La Commission européenne prépare un « Quality Jobs Act » (consultations des partenaires sociaux en décembre 2025 puis en juillet 2026), qui couvre notamment la santé et la sécurité au travail ; aucune directive dédiée aux risques psychosociaux n’est adoptée à ce jour. Le calendrier reste incertain, et il serait imprudent d’annoncer une obligation formelle pour 2026. En revanche, la jurisprudence française et européenne retient déjà la charge mentale, le harcèlement organisationnel et l’épuisement comme des manquements à l’obligation de sécurité. Anticiper plutôt qu’attendre le texte est une stratégie défensive raisonnable.

Ce qui change pour la gouvernance de l’entreprise

L’objection classique à ce panorama est connue : l’entreprise se conforme déjà, ses équipes HSE travaillent, ses indicateurs sont suivis. Pourquoi 2026 changerait-elle quelque chose ? Trois raisons, à notre sens, justifient une revue stratégique au niveau du comité de direction.

Premièrement, la convergence des régimes de preuve. DUERP historisé, reporting CSRD, audits de devoir de vigilance : ces dispositifs produisent des données qui peuvent être croisées. Une incohérence entre le rapport de durabilité publié et le DUERP conservé devient un risque réputationnel et contentieux.

Deuxièmement, l’élargissement du périmètre. La responsabilité du donneur d’ordre vis-à-vis de ses sous-traitants se renforce, en droit comme en pratique commerciale. Un accident grave chez un prestataire sur site engage l’image et peut engager la responsabilité pénale de l’entreprise utilisatrice.

Troisièmement, le coût de l’inaction augmente. Sans avancer de chiffres précis, nous observons une tendance jurisprudentielle à reconnaître plus largement la faute inexcusable de l’employeur, avec des conséquences financières directes : la caisse récupère auprès de l’employeur la majoration de rente et les indemnisations complémentaires (art. L452-2 et L452-3-1 du code de la sécurité sociale).

Une feuille de route pragmatique pour les six prochains mois

Plutôt qu’une checklist exhaustive, nous suggérons trois chantiers prioritaires :

• Audit de cohérence documentaire. Vérifier que le DUERP, le programme annuel de prévention (entreprises d’au moins 50 salariés) ou la liste d’actions de prévention, les comptes rendus de CSE et, le cas échéant, le rapport de durabilité racontent la même histoire. Les écarts sont des angles d’attaque contentieux.
• Cartographie élargie des risques. Intégrer explicitement chaleur, RPS et chaîne de sous-traitance, même si tous ne font pas l’objet d’une obligation formelle en 2026. La cartographie est un outil de pilotage, pas seulement de conformité.
• Gouvernance HSE au comex. Faire remonter au moins une fois par trimestre un tableau de bord santé-sécurité au plus haut niveau, distinct du reporting RH classique. C’est le signal le plus crédible, en cas de contrôle ou de contentieux, d’une prise au sérieux de l’obligation de sécurité.

Conclusion : la conformité n’est plus un livrable, c’est une démonstration

2026 n’est pas l’année d’un grand soir réglementaire. C’est, plus discrètement, celle où les exigences se précisent (amende administrative pour absence de DUERP depuis le 27 juin 2026, décret chaleur appliqué depuis l’été 2025) et où la question posée aux dirigeants change de forme. Non plus « êtes-vous en règle ? », mais « pouvez-vous prouver que ce que vous avez mis en place produit des effets ? ». Cette inflexion mérite, à elle seule, une discussion au comité de direction. La vraie question, désormais, est moins celle des textes que celle de l’organisation : quelle gouvernance interne permet-elle de répondre, dans cinq ans, à un juge qui examinera nos décisions d’aujourd’hui ?

Photo : Anete Lusina sur Pexels

Article mis à jour le 2 octobre 2026 : dépôt du DUERP, amende pour absence de DUERP, CSRD et devoir de vigilance (directive Omnibus I) mis à jour.