Loi S-211 — registre des fournisseurs, diligence raisonnable et rapport révisé (édition complète)

Guide utilisateur — Loi S-211, édition complète

Ce guide suppose le socle gratuit déjà en main : le test d'assujettissement de l'article 2, le rapport annuel et ses sept rubriques, l'approbation par le corps dirigeant, la publication et la transmission. Voir dyo_s211_ca_lite/doc/GUIDE_UTILISATEUR.md.

L'édition complète ajoute ce qui permet d'écrire honnêtement les rubriques a) et c) — le registre des fournisseurs, le risque par pays, les questionnaires de diligence raisonnable — et ce que l'article 12 exige d'un rapport révisé.

Non éprouvé en production. Aucun rapport produit par ce module n'a été déposé auprès de Sécurité publique Canada, et aucune campagne déclarative entière n'a été menée chez un utilisateur réel. Sécurité publique Canada n'ouvre aucune API de dépôt : le formulaire en ligne se remplit à la main. Le document imprimable est une feuille de relecture — vous le relisez, puis vous recopiez dans le formulaire. Le module ne transmet rien et ne signe rien.

Les écrans de l'édition complète se rangent sous le même menu « Loi S-211 » que le socle gratuit. Il n'y a pas de seconde application : vous avez acheté des fonctions, pas un deuxième endroit où chercher.

1. D'abord : la table du risque par pays, et pourquoi elle est vide

Loi S-211 → Configuration → Risque par pays.

Vous l'ouvrirez la première fois et vous n'y trouverez rien. C'est voulu, et c'est le point sur lequel il faut s'arrêter avant tout le reste.

Il existe des indices de risque de travail forcé par pays — publics, privés, gouvernementaux. Ils ne disent pas la même chose, ils changent tous les ans, et aucun n'a été confronté à sa source primaire dans le cadre de ce travail. En livrer un ferait croire que le module sait, alors qu'il ne ferait que répéter un classement dont il ignore la méthode. Une fausse confirmation éteint la vigilance : elle est pire que l'absence.

Vous choisissez donc votre référentiel, et le module vous fait écrire lequel.

Chaque ligne exige :

Un pays sans ligne est « non évalué », jamais « faible ». La différence est tout l'intérêt de la table : elle distingue le pays qu'on a regardé et jugé peu risqué de celui qu'on n'a pas regardé du tout.

Si vous n'avez pas trouvé de source pour un pays

Créez quand même la ligne, laissez le niveau à « Non évalué », et cochez « Valeur non trouvée » en écrivant dans la réserve ce que vous avez cherché. La ligne existe alors pour nommer le manque, et le module la traite comme inexistante : elle ne sera rattachée à aucun fournisseur.

Le module refuse qu'une ligne porte à la fois un niveau retenu et la marque « valeur non trouvée » : soit vous avez trouvé une source et vous retenez un niveau, soit vous ne l'avez pas trouvée et le pays reste non évalué. Pas les deux.

Groupe et filiale

Une ligne sans société vaut pour tout le groupe. Une ligne portant une société n'appartient qu'à elle, et prime sur celle du groupe. C'est ainsi qu'une filiale note un pays autrement sans l'imposer aux autres.

2. Le registre des fournisseurs

Loi S-211 → Chaîne d'approvisionnement → Fournisseurs.

Une fiche par fournisseur. Ce qui compte, dans l'ordre :

Le rang dans la chaîne. Rang 1 est votre fournisseur direct, rang 2 le fournisseur de votre fournisseur. Le risque de travail forcé se loge rarement au rang 1 — c'est précisément pourquoi la loi parle de chaînes, au pluriel. Si vous ne savez pas, dites-le : « Rang inconnu » est une réponse, et c'est une information pour la rubrique a).

Le pays de production, pas le pays de facturation. Les deux diffèrent souvent, et c'est le premier qui compte ici. Le champ « Autres pays de la chaîne » recueille ceux que vous connaissez en amont.

Le niveau de risque du fournisseur. Celui que vous retenez pour lui, au vu de ce que vous savez de lui. Il n'est jamais déduit du pays : un pays donne un contexte, il ne juge pas une entreprise.

La divergence : le module la constate, il ne tranche pas

À côté du niveau du fournisseur, le module affiche celui que vous avez retenu pour son pays, et il signale quand les deux divergent — dans les deux sens.

Il ne corrige ni l'un ni l'autre. C'est peut-être le pays qui est mal noté, c'est peut-être le fournisseur qui est mieux tenu que son pays. Seul vous le savez, et c'est le motif que vous écrivez qui le dira.

Figer l'évaluation

Bouton « Évaluer le risque ». Il pose la date et écrit une ligne au journal.

Deux refus, et ils ne sont pas de la bureaucratie :

• sans niveau retenu — « Non évalué » n'est pas une évaluation, c'est son absence. Et c'est très bien de le laisser tel quel tant que vous n'avez pas regardé ;
• sans motif — un niveau de risque sans motif ne se défend pas devant un acheteur, un auditeur, ni devant vous-même dans six mois. Et c'est justement six mois plus tard qu'on le relit.

3. Les questionnaires de diligence raisonnable

Loi S-211 → Chaîne d'approvisionnement → Questionnaires.

Ce n'est pas le questionnaire du ministre

L'article 11(6) prévoit que le rapport est fourni selon les modalités que le ministre précise, et qu'il peut comprendre un questionnaire. Celui-là n'a pas été récupéré depuis une source primaire : ni la loi ni son règlement ne le reproduisent. Le module n'en livre aucun et ne prétend pas le remplacer ; le formulaire en ligne de Sécurité publique Canada le pose au moment du dépôt, et vous y répondrez à partir des sept rubriques que le module prépare.

Ce qui est ici est votre questionnaire, celui que vous envoyez à vos fournisseurs. Le modèle livré — Configuration → Modèles de questionnaire — compte treize questions bâties sur les sept rubriques de l'article 11(3), qui, elles, sont dans la loi. Chaque question dit à quelle rubrique sa réponse servira : c'est ce qui empêche un questionnaire de grossir sans servir à rien. Il se modifie de bout en bout ; il est là pour ne pas partir de la page blanche.

Le parcours

1. Créer le questionnaire, choisir le modèle, cliquer « Préparer les questions » (le relancer ne double aucune ligne).
2. Annoncer une échéance. L'envoi est refusé sans elle : sans échéance, une absence de réponse ne se distingue pas d'une réponse en retard, et le suivi ne veut plus rien dire.
3. « Envoyer » consigne l'envoi. Le module n'expédie aucun courriel à votre place : un questionnaire de diligence raisonnable part d'une adresse nommée, avec un mot d'accompagnement qui n'est pas le même selon qu'on écrit à un fournisseur de dix ans ou à un nouveau. Le module tient le registre et l'échéance ; la lettre vous appartient.
4. « Relancer » date la relance et l'incrémente.
5. « Enregistrer la réponse » — refusé tant qu'aucune question n'a de réponse, sinon le registre dirait « répondu » sur un dossier vide.
6. « Clore sans réponse » quand il ne reviendra pas. C'est une information, pas un échec à cacher : elle a sa place dans la rubrique b).

L'avancement compte les questions réellement répondues : un questionnaire revenu à moitié rempli est une information, pas une réponse.

Les jamais interrogés

Loi S-211 → Chaîne d'approvisionnement → Jamais interrogés.

L'écran le plus utile du module, et le plus désagréable. Il liste les fournisseurs à qui rien n'a jamais été envoyé.

Attention au détail qui compte : un questionnaire préparé mais non envoyé ne fait pas sortir un fournisseur de cette liste. C'est la date d'envoi qui fait foi, pas l'existence de la fiche.

« Nous les avons tous interrogés » et « ils ont tous répondu » sont deux phrases très différentes dans un rapport annuel. Cet écran dit laquelle est vraie.

4. Préparer les rubriques a) et c)

Sur la fiche du rapport annuel, deux boutons, dans cet ordre.

« Reprendre le registre » rattache au rapport tous les fournisseurs de la société.

« Préparer les rubriques » compte — combien de fournisseurs, à quel rang, dans quels pays, combien à risque élevé, combien non évalués, combien de questionnaires envoyés et revenus — puis insère cet état des lieux dans les rubriques a) et c), marqué et daté :

--- Chaînes d'approvisionnement, préparé par le module le … --- (État des lieux tiré du registre. À relire et à récrire : le module compte, il ne rédige pas votre rapport.)

Le texte inséré n'est pas le rapport. C'est un point de départ, signalé comme tel pour que personne ne le laisse en l'état par mégarde. Un rapport qui se rédigerait tout seul ne dirait rien de vrai sur l'entreprise. Ce que vous aviez déjà écrit n'est jamais effacé : le bloc s'ajoute à la suite.

Et le bloc nomme ce qu'on préférerait taire :

ATTENTION : n fournisseur(s) ne sont pas évalués. Un fournisseur non évalué n'est pas un fournisseur à faible risque : c'est un fournisseur qu'on n'a pas regardé, et la rubrique c) doit le dire.

Les deux boutons sont refusés dès que le rapport n'est plus en rédaction.

5. Le document de rapport

Bouton « Imprimer » sur la fiche du rapport.

Il rassemble les sept rubriques, l'énoncé d'approbation, le signataire et sa fonction, la signature, les dates de publication et de transmission, et l'accusé de réception.

S'il manque la signature, la pièce le dit au lieu de laisser un blanc : « Aucune signature n'est jointe. L'article 11(5) b) exige la signature d'au moins un membre du corps dirigeant. »

Le pied de page porte la réserve : cette pièce ne vaut pas dépôt. Elle sert à relire le rapport avant de le reporter dans le formulaire en ligne.

6. Le rapport révisé — article 12

Bouton « Créer une révision », sur un rapport à l'état « Transmis ».

Sur un rapport qui n'a pas encore été transmis, le bouton refuse : l'article 12 vise un rapport déjà fourni au ministre. Avant cela, le rapport se corrige directement.

La révision repart en rédaction, sans les dates d'approbation, de publication, de transmission ni l'accusé du rapport d'origine — elle passerait sinon pour déjà déposée.

La signature n'est pas recopiée non plus. L'article 11(5) b) veut la signature d'un membre du corps dirigeant sur ce rapport ; une signature héritée attesterait un texte que personne n'a relu. L'approbation doit donc être attestée à neuf.

Deux exigences s'ajoutent, et l'approbation est refusée sans elles :

• la date de la modification — ce n'est pas la date d'approbation de la révision ;
• la description des modifications — une révision muette sur ce qu'elle change est exactement ce que l'article 12 veut éviter.

Le refus liste tout ce qui manque d'un coup. Un refus qui ne nomme qu'un défaut à la fois fait faire trois allers-retours pour une seule correction, et c'est ainsi qu'on finit par contourner le contrôle.

7. L'alerte d'échéance

Une activité est posée automatiquement sur les rapports dont l'échéance approche, avec sa date limite en rappel.

Le préavis n'est pas une valeur réglementaire : la loi n'en prévoit aucun. C'est un réglage d'exploitation, 60 jours par défaut — assez pour convoquer un conseil d'administration, ce que l'article 11(4) exige et ce qui prend le plus de temps. Il se change dans Paramètres → Technique → Paramètres système, clé dyo_s211_ca.jours_alerte.

Sans valeur réglementaire renseignée pour l'échéance elle-même — la date limite annuelle, dans les seuils du socle gratuit — aucune alerte n'est posée. Le module ne devine pas une date limite, et il préfère se taire plutôt que d'en inventer une.

L'alerte n'est jamais posée deux fois sur le même rapport, ni sur un rapport déjà transmis.

8. Le dépôt : l'API et son contournement

Loi S-211 → Configuration, puis, dans l'application Connexions aux référentiels publics, l'écran Services.

Une question de plus a été ajoutée à la chaîne du socle : « ce rapport annuel a-t-il été déposé, et qu'en a-t-on reçu comme accusé ? » Deux services y répondent.

Ici le contournement est le chemin normal, et l'API l'exception déclarée indisponible. Sécurité publique Canada n'ouvre aucune API de dépôt : ni point d'entrée documenté, ni schéma de requête, ni mécanisme d'authentification publiés. Ce n'est pas une limite du module, c'est un fait du service.

Le premier maillon existe pour que cette absence soit visible dans la chaîne plutôt que silencieuse : qui cherche « comment déposer automatiquement » trouve la réponse écrite, au lieu de croire à un défaut de configuration. Si l'API ouvre un jour, l'URL et l'en-tête se règlent depuis l'écran, sans toucher au code.

Le registre interne ne part jamais sur le réseau. Interrogez-le par la référence du rapport (S211-R/2026/001), ou à défaut par son année de production — du plus précis au moins précis, parce qu'une recherche par année peut renvoyer plusieurs rapports.

S'il trouve le rapport mais qu'aucune transmission n'y est consignée, il le dit : le module ne dépose rien tout seul, consignez le dépôt après l'avoir fait dans le formulaire en ligne.

9. Qui peut faire quoi

Les deux groupes sont ceux de l'édition gratuite — Loi S-211 : Consultation et Loi S-211 : Responsable de la conformité.

Le journal reste scellé, responsable compris. Une règle d'enregistrement en refuse la modification et la suppression à tout le monde. Un journal qu'on peut corriger après coup ne prouve rien — il prouve même le contraire : qu'on a pu le faire.

Le cloisonnement entre sociétés

Le registre porte des jugements sur des tiers : « risque élevé », « aucune mesure consignée », « clos sans réponse ». Ils n'ont aucune raison de circuler entre deux entités d'un même groupe qui ne partagent ni les mêmes acheteurs ni les mêmes contrats.

Fournisseurs, questionnaires et réponses sont donc cloisonnés par société, pour tout le monde. Seule exception, voulue : un niveau de risque par pays sans société est visible de tous — c'est ainsi qu'un groupe pose un référentiel commun que chaque filiale peut ensuite affiner pour elle seule.

10. Rappel des réserves

• Non éprouvé en production : aucun rapport déposé auprès de Sécurité publique Canada, aucune campagne déclarative entière menée chez un utilisateur réel. Le connecteur « API de dépôt » n'a éprouvé aucun service — il n'y a rien à éprouver.
• Aucune liste de pays à risque n'est livrée. Aucune. Vous choisissez votre référentiel et vous en écrivez la source.
• Le questionnaire de l'article 11(6) n'est pas livré : son contenu n'a pas été récupéré depuis une source primaire.
• Le module ne dépose rien, n'envoie aucun courriel, ne rédige pas votre rapport.
• Il constate, il ne conclut pas : il dit que deux niveaux de risque divergent, qu'un fournisseur n'a jamais été interrogé, qu'une révision ne dit pas ce qu'elle change. Il ne dit ni que votre chaîne est conforme, ni que votre rapport suffira.
• Le préavis d'alerte de 60 jours est un réglage, pas une obligation légale.
• Il ne constitue ni un conseil juridique, ni une garantie de conformité à la Loi sur la lutte contre le travail forcé et le travail des enfants dans les chaînes d'approvisionnement.

Support : welcome@dyonysos.fr — DYONYSOS, https://dyonysos.fr