Obligation de vigilance URSSAF sous-traitant : ce que le donneur d'ordre doit faire avant de signer

3 mars 2026

Obligation de vigilance URSSAF sous-traitant : ce que le donneur d'ordre doit faire avant de signer

Pourquoi la vigilance URSSAF n'attend pas la fin du chantier

Un responsable Achats qui signe un bon de commande sans pièce sociale à jour ne « prend pas un risque théorique ». Il ouvre une fenêtre de solidarité financière pour l'entreprise donneuse d'ordre. Le Code du travail (articles L.8222-1 et suivants) impose de vérifier que les sous-traitants et co-traitants respectent leurs obligations déclaratives avant le début de la prestation, puis de conserver la preuve de ces vérifications.

En réunion CODIR, le sujet revient toujours sous la même forme : « On a bien l'attestation URSSAF classique, non ? » Non. L'attestation de vigilance prévue à l'article D.8222-5 n'est pas l'attestation de régularité fiscale et sociale que votre comptable réclame pour la clôture. C'est un document distinct, délivré par l'URSSAF, qui atteste que l'organisme a procédé aux contrôles prévus sur le sous-traitant. Sans elle, ou avec une version périmée, votre registre est vide au moment où l'inspection ou un redressement sur le prestataire remonte la chaîne.

Le DAF n'est pas censé devenir juriste social. Il doit en revanche s'assurer qu'un process existe, qu'il est identique sur tous les sites, et qu'on peut reconstituer en 48 heures qui a validé quoi, à quelle date, pour quel SIREN.

Périmètre : qui est sous-traitant au sens L.8222-1

Sont visés les contrats par lesquels une entreprise confie à une autre, moyennant rémunération, l'exécution de travaux dans le cadre de son activité. Le critère n'est pas le libellé du contrat (« prestation intellectuelle », « mission », « contrat cadre ») mais la réalité de l'exécution : main-d'œuvre sur site, mise à disposition, fabrication pour votre compte, maintenance sur équipement client, nettoyage de locaux, gardiennage, transport dédié, etc.

La co-traitance (deux entreprises qui exécutent ensemble une même commande pour un donneur d'ordre) est soumise aux mêmes exigences de vigilance. L'erreur fréquente en PME industrielle : traiter le sous-traitant de maintenance comme un « fournisseur de pièces » parce que la facture passe en achats consommables. Si des techniciens interviennent chez vous avec un badge, la vigilance s'applique.

Sous-traitant de second rang : vous restez responsable de la vigilance sur l'ensemble de la chaîne (D.8222-5-1).
Travailleurs détachés : vigilance complémentaire (liste des salariés étrangers, attestation de détachement).
Prestataire sans salarié (auto-entrepreneur seul) : l'attestation de vigilance reste exigible ; le risque porte sur la réalité de l'activité déclarée.

Les pièces à exiger avant le démarrage

Le socle, c'est l'attestation de vigilance URSSAF visée à l'article D.8222-5. Elle doit être obtenue avant le début de l'exécution de la prestation et renouvelée tant que la relation continue. En parallèle, le sous-traitant doit fournir la liste nominative des salariés étrangers qu'il emploie et, le cas échéant, l'attestation de détachement prévue à l'article D.8222-5-3.

Côté donneur d'ordre, la copie de l'attestation ne suffit pas si personne n'a vérifié la date d'émission, le SIREN, le code de sécurité et la cohérence avec le contrat. Un PDF reçu par WhatsApp la veille du démarrage, sans trace dans un registre, ne protège pas en contentieux : les juridictions examinent la chronologie des sollicitations et la régularité des contrôles, pas seulement la présence d'un fichier dans une boîte mail.

Attestation de vigilance URSSAF (pas seulement l'attestation de régularité fiscale et sociale).
Liste des salariés étrangers + pièces de détachement si applicable.
Identité contractuelle : SIREN, raison sociale, adresse, correspondance avec le RNE.
Clause contractuelle autorisant la transmission des pièces et leur contrôle.

Calendrier opérationnel pour les Achats

Étape 1, à la qualification : le prestataire candidat reçoit la liste des pièces sociales exigées. Pas après attribution. Étape 2, avant signature : contrôle de validité de l'attestation de vigilance (six mois à compter de la date d'émission, sauf mention contraire sur le document). Étape 3, à l'entrée sur site ou au premier bon de commande : blocage ERP ou badge si pièce manquante ou expirée. Étape 4, tous les quatre à cinq mois : relance automatique pour renouvellement avant échéance.

Sur un panel de 80 sous-traitants actifs, la vigilance ne tient pas avec un tableau Excel mis à jour « quand on a le temps ». Les équipes qui s'en sortent ont un seul référentiel (registre), des feux tricolores par prestataire, et des relances tracées. Le prestataire dépose lui-même via un lien sécurisé : vous ne scrapez pas l'URSSAF, vous horodatez la réception.

Sous-traitance en chaîne : le point que les directions sous-estiment

Vous faites contrôler votre sous-traitant direct. Son propre sous-traitant intervient sur votre site sans que vous ayez jamais vu son attestation. En cas de travail dissimulé ou de cotisations impayées sur ce second rang, la solidarité peut remonter jusqu'à vous si vous n'avez pas exigé la preuve de vigilance sur l'ensemble de la chaîne, comme le prévoit le texte réglementaire.

La réponse opérationnelle n'est pas de multiplier les courriers papier. C'est d'imposer contractuellement que chaque sous-traitant transmette les attestations de ses propres sous-traitants avant intervention, et de stocker ces pièces dans le même registre que les vôtres, liées au lot ou au chantier.

Ce que les juges regardent quand la solidarité est invoquée

Les décisions publiées sur la solidarité URSSAF ne sanctionnent pas l'absence de prévoyance en abstracto. Elles constatent l'absence de preuve datée : pas de relance, attestation périmée acceptée, aucun registre, confusion entre pièces. Le blog Proceda recense des arrêts où des montants de solidarité dépassent largement le coût d'un outil de suivi annuel.

Pour un DAF, l'enjeu est financier et réputationnel : provisionner une dette sociale du sous-traitant, gérer un contentieux avec l'URSSAF, expliquer au comité d'audit pourquoi le contrôle interne n'a pas été documenté. La conformité L.8222-1 est un contrôle interne au même titre que la couverture des devises ou la validation des avenants.

Registre minimal acceptable en cas de contrôle

Un registre tient si, pour chaque prestataire, vous pouvez produire : date de première exigence de pièce, copies des attestations avec date de validité, historique des relances, nom du valideur interne, lien avec le contrat ou le bon de commande. Export CSV ou PDF en un clic, pas une chasse aux mails sur trois ans.

Horodatage des demandes et des dépôts (pas de modification a posteriori sans trace).
Séparation claire attestation de vigilance / attestation de régularité fiscale et sociale.
Alerte J-30 avant expiration pour lancer le renouvellement.
Archivage des versions successives, pas seulement la dernière.

Tableau de bord pour le COMEX (quatre chiffres)

Taux de couverture (% de prestataires actifs avec attestation valide), nombre de rouges, délai médian de régularisation après relance, nombre de sous-traitants de rang 2 sans pièce. Quatre indicateurs, mis à jour chaque mois, suffisent à une réunion de dix minutes sans noyer le sujet dans le juridique.

Quand le taux de couverture stagne sous 92 % malgré les relances, le problème est souvent organisationnel (pas de blocage ERP, pas de sponsor côté direction de site), pas documentaire.

Un audit interne trimestriel sur dix lignes tirées au sort du registre (pièce, dates, relances, valideur) prend moins d'une heure et détecte les failles avant l'URSSAF.

Questions que posent les directions en urgence

« Peut-on démarrer sans attestation et la récupérer sous quinzaine ? » Techniquement parfois oui, juridiquement vous assumez la période sans couverture. « Le groupe valide déjà les fournisseurs au niveau corporate, est-ce suffisant ? » Non si le site local signe des bons de commande sans reprise des pièces dans le registre local. « Qui porte la responsabilité, Achats ou RH ? » Les deux : Achats pour le flux documentaire, RH ou paie pour l'interprétation des pièces, le DAF pour le dispositif de contrôle.

Un registre conformité prestataires dédié (couche à côté de l'ERP) centralise ces flux sans dupliquer la comptabilité. Essai 14 jours, panel illimité : démarrer sur Proceda.