Quels documents demander à un fournisseur ?

Un fournisseur n’est pas une catégorie juridique. Le code du travail ne connaît pas le mot : il parle de cocontractant, et il déclenche des obligations sur deux critères seulement — le montant de l’opération et sa nature. C’est la raison pour laquelle une liste de pièces « à demander à tout fournisseur » produit systématiquement deux erreurs symétriques.

La première consiste à réclamer des documents sans fondement : une attestation d’assurance décennale à un éditeur de logiciel, un Kbis à un artisan non commerçant qui n’en a pas. Le dossier bloque, le fournisseur s’agace, et personne n’est mieux protégé. La seconde est plus coûteuse : considérer qu’un « simple fournisseur » sort de l’obligation de vigilance parce qu’il ne vient jamais sur site. Le seuil de 5 000 € HT s’applique aussi à la fourniture et à la vente.

Ce guide sépare trois niveaux — le socle commun, ce que la loi impose, ce qui dépend de l’achat —, indique à quel moment réclamer chaque pièce, et traite deux points que les check-lists ignorent presque toujours : les trois sens du mot « sous-traitant », et le traitement d’un changement de coordonnées bancaires.

Fournisseur ou sous-traitant : ce que le mot change, et ce qu’il ne change pas

Dans l’usage courant, un fournisseur vend des biens ou des prestations, tandis qu’un sous-traitant exécute une partie d’un marché que vous avez vous-même contracté. La distinction est réelle et elle emporte des conséquences — mais pas celles qu’on croit.

Elle ne change rien à l’obligation de vigilance : l’article L8222-1 du code du travail vise « l’exécution d’un travail, la fourniture d’une prestation de services ou l’accomplissement d’un acte de commerce », ce qui englobe la vente et la fourniture. Un fournisseur de matières premières facturant 40 000 € par an relève exactement du même régime qu’un sous-traitant de chantier.

Elle change en revanche l’application de la loi du 31 décembre 1975 sur la sous-traitance — acceptation du sous-traitant et agrément de ses conditions de paiement par le maître d’ouvrage —, qui ne concerne que l’exécution d’un marché, jamais une vente. Et elle change les pièces techniques attendues, parce qu’on n’achète pas un produit comme on achète une intervention.

Si votre besoin porte sur l’exécution d’une partie de vos propres marchés, la page dédiée est plus directe : quels documents demander à un sous-traitant.

Le socle : ce qu’on demande à tout fournisseur

Ces pièces ne sont imposées par aucun texte général. Elles relèvent de la bonne pratique et de la sécurité du paiement — ce qui ne les rend pas facultatives dans les faits, mais impose de les prévoir au contrat plutôt que de les invoquer comme une obligation.

• L’identité de l’entreprise. Extrait Kbis pour une société immatriculée au RCS, attestation d’immatriculation au RNE délivrée gratuitement par l’INPI pour les artisans non commerçants et les professions libérales. Réclamer un Kbis à qui n’en a pas bloque le dossier sans faute du fournisseur : voir notre fiche sur l’extrait Kbis.
• Les coordonnées bancaires, avec la dénomination exacte du titulaire du compte. C’est la pièce la plus sensible du dossier — elle a sa section plus bas.
• Les éléments de facturation : numéro Siren, numéro de TVA intracommunautaire, conditions et délais de paiement. Ces mentions sont obligatoires sur la facture elle-même, et les collecter en amont évite les rejets comptables.
• Le contact et la plateforme de facturation. Depuis le 1^er septembre 2026, toutes les entreprises doivent être en mesure de recevoir des factures électroniques via une plateforme agréée.

Un questionnaire de conformité peut s’y ajouter, mais son statut doit être clair : c’est une exigence que vous posez, pas une obligation qui pèse sur le fournisseur.

Ce que la loi impose dès 5 000 € HT — y compris pour une vente

C’est le seul bloc réellement obligatoire, et il se déclenche sur le montant de l’opération, pas sur l’étiquette du partenaire.

• Seuil : tout contrat d’un montant au moins égal à 5 000 € hors taxes. Il s’apprécie sur l’opération globale, même si elle donne lieu à plusieurs factures : un abonnement de 500 € par mois pendant un an dépasse le seuil dès sa conclusion.
• Opérations visées : exécution d’un travail, fourniture d’une prestation de services, accomplissement d’un acte de commerce — ce qui inclut la fourniture et la vente.
• Pièce principale : l’attestation de vigilance Urssaf, datant de moins de six mois, dont l’authenticité se contrôle gratuitement avec le code de sécurité qu’elle porte.
• Pièce complémentaire : la liste nominative des salariés étrangers soumis à autorisation de travail, au titre de l’article L8254-1. Cette obligation est distincte de la vigilance, avec son propre régime de sanction.
• Rythme : à la conclusion du contrat, puis tous les six mois jusqu’à la fin de son exécution. Un contrôle unique à la signature ne couvre pas un contrat qui dure.

Ce que la loi impose est une vérification, pas une collecte. Détenir les pièces sans pouvoir démontrer qu’elles ont été réclamées et contrôlées à chaque échéance ne suffit pas : comment vérifier concrètement, et ce qui fait preuve.

Le piège du mot « sous-traitant » : trois régimes, trois pièces

Le même mot désigne trois réalités juridiques différentes, et la confusion coûte cher dans les deux sens : on applique la procédure d’acceptation à un prestataire informatique qui n’en relève pas, et on oublie le contrat de sous-traitance RGPD avec l’éditeur qui héberge le fichier clients.

Le troisième cas est le plus souvent manqué. Au sens de l’article 4 du RGPD, un sous-traitant est celui qui traite des données personnelles pour votre compte : éditeur de logiciel, hébergeur, prestataire de paie, plateforme d’e-mailing. La CNIL rappelle que cette qualification ne dépend pas du contrat mais des faits — qui décide des finalités, qui exécute.

L’article 28 du RGPD impose alors au responsable de traitement de s’assurer que le prestataire présente des garanties suffisantes, de conclure un contrat écrit encadrant le traitement, et de connaître l’identité des sous-traitants ultérieurs. Ce document n’a rien d’une attestation : il ne s’obtient pas sur un portail, il se négocie. Il appartient pourtant au dossier fournisseur au même titre que les autres.

Ce qui s’ajoute selon ce que vous achetez

Au-delà du socle et de l’obligation légale, chaque pièce supplémentaire doit pouvoir être rattachée à l’un de ces trois fondements — et le fondement détermine ce qui se passe en cas de refus.

• Obligation propre à l’activité du fournisseur. L’assurance décennale pour qui réalise des travaux de construction, la carte BTP pour les salariés intervenant sur un chantier, certaines assurances de responsabilité pour les professions réglementées. Le fournisseur y est tenu de son côté ; vous êtes fondé à en demander la preuve.
• Exigence contractuelle. L’attestation de RC professionnelle en est l’exemple le plus courant : hors professions réglementées, aucune obligation générale n’impose d’en souscrire une. La réclamer est parfaitement légitime — à condition que la clause soit écrite, faute de quoi vous n’aurez aucun levier le jour où elle manque.
• Exigence liée au contexte. L’attestation de régularité fiscale relève de la commande publique ; un questionnaire probité s’impose aux entreprises assujetties à l’article 17 de la loi Sapin II, qui doivent évaluer « la situation des clients, fournisseurs de premier rang et intermédiaires » au regard de leur cartographie des risques.

Une qualification professionnelle, un label RSE ou une certification ISO ne sont jamais des obligations réglementaires générales. Les présenter comme telles à un fournisseur est à la fois inexact et contre-productif.

Acheter un produit : les documents portent sur le produit, pas sur l’entreprise

C’est la différence de fond avec un dossier de sous-traitance, et elle est presque toujours absente des check-lists achats. Lorsque vous achetez un bien, la conformité qui vous engage n’est pas celle de l’entreprise mais celle de ce qu’elle vous livre.

• La déclaration UE de conformité. C’est le document par lequel le fabricant — ou son mandataire établi dans l’Union — atteste sous sa seule responsabilité que le produit respecte la législation européenne applicable. Il doit en conserver une copie dix ans après la mise sur le marché et la tenir à disposition des autorités. Elle doit accompagner certains produits, sans que ce soit une règle générale : pour les autres, c’est au contrat de la prévoir.
• Le marquage CE n’est pas un document : c’est l’apposition d’un marquage par le fabricant. Il ne remplace ni la déclaration de conformité ni la documentation technique.
• La fiche de données de sécurité (FDS) pour les produits chimiques. Pour un mélange classé dangereux, le fournisseur la transmet gratuitement et spontanément lors de la première fourniture ; pour les autres, elle est fournie sur demande du client. Elle doit être rédigée dans une langue officielle du pays de mise sur le marché, et toute version actualisée est adressée gratuitement aux destinataires des douze mois précédents.

Ces pièces ont une particularité de suivi : elles ne se périment pas à date fixe, elles se périment quand le produit ou la réglementation change. Un dossier fournisseur organisé uniquement autour de dates d’expiration les laisse vieillir sans alerte.

Le RIB : la pièce la plus sensible du dossier fournisseur

Aucun texte n’impose de procédure de vérification des coordonnées bancaires d’un fournisseur. C’est pourtant le point d’entrée le plus exploité de la relation fournisseur : un courriel bien rédigé annonçant un changement de banque suffit à détourner un flux de paiement, souvent pendant plusieurs mois avant que l’écart ne soit constaté.

Un appui réglementaire s’est ajouté récemment : depuis le 9 octobre 2025, les prestataires de services de paiement doivent vérifier gratuitement la concordance entre le nom du bénéficiaire et l’IBAN pour les virements SEPA, et signaler l’écart au payeur. L’alerte n’empêche pas le virement — si vous passez outre, vous prenez le risque de créditer un autre compte. Elle constitue en revanche un signal qui doit être consigné, pas cliqué.

Conséquence pratique pour le dossier fournisseur : le nom du titulaire du compte doit correspondre exactement à la dénomination sociale figurant au Kbis. Un écart entre le nom commercial et la raison sociale suffit à déclencher l’alerte de la banque — autant l’avoir résolu au référencement plutôt qu’au premier paiement.

Facturation électronique : ce qui change pour la relation fournisseur

Depuis le 1^er septembre 2026, toutes les entreprises, quelle que soit leur taille, doivent être en mesure de recevoir des factures électroniques. À la même date, les grandes entreprises et les entreprises de taille intermédiaire doivent les émettre ; les petites et micro-entreprises auront cette obligation au 1^er septembre 2027.

Pour un service achats, cela ajoute une donnée au dossier fournisseur — la plateforme agréée utilisée par le fournisseur — et une échéance à surveiller pour les fournisseurs les plus petits, qui basculeront un an plus tard. Ce n’est pas un justificatif de conformité, mais c’est une information de référencement qui manquera si personne ne la collecte.

Quand demander quoi

La plupart des dossiers incomplets ne le sont pas par négligence : les pièces ont été demandées au mauvais moment, quand le rapport de force ne permettait plus d’insister.

Trois principes en découlent. Ce qui n’a pas été exigé avant la signature ne s’impose plus après : la clause documentaire — pièces attendues, délai de transmission, conséquence d’un défaut — se négocie au contrat, pas au premier incident. Les rythmes ne sont pas alignés : la vigilance suit une échéance de six mois calée sur la conclusion du contrat, les assurances suivent leur échéance annuelle propre, les documents produit suivent les évolutions du produit. Et l’échéance qui compte est la vôtre, pas la date d’émission du document : une attestation parfaitement authentique peut être trop ancienne pour votre contrôle semestriel.

Ce que vous ne pouvez pas exiger sans fondement

Un dossier fournisseur qui réclame trop finit par ne plus rien obtenir. Quelques demandes courantes appellent une vigilance particulière :

• Les données personnelles des salariés du fournisseur. La liste nominative des salariés étrangers est prévue par un texte précis et dans un cadre précis. Réclamer les contrats de travail, les bulletins de paie ou les copies de pièces d’identité de l’ensemble du personnel intervenant n’a pas le même fondement et expose à un traitement de données sans base légale.
• Les documents comptables détaillés. Les comptes annuels des sociétés qui les déposent sont accessibles publiquement ; exiger un bilan détaillé ou une situation intermédiaire relève de la négociation commerciale, pas de la conformité.
• Les pièces sans rapport avec l’objet du contrat. Une attestation décennale demandée à un prestataire intellectuel, un CACES demandé à un fournisseur qui livre sur quai : chaque pièce injustifiée retarde le référencement et affaiblit la crédibilité des demandes qui, elles, sont fondées.

Quels risques si le dossier est incomplet

• Réglementaire et financier. À défaut de vérification au titre de l’obligation de vigilance, le donneur d’ordre peut être tenu solidairement au paiement des impôts, taxes, cotisations, rémunérations et charges dus par le cocontractant en cas de travail dissimulé. Le manquement relatif aux salariés étrangers relève d’un régime de sanction distinct.
• Contractuel. Une exigence non écrite ne s’exécute pas : sans clause, l’absence d’attestation d’assurance ne permet ni de suspendre les commandes, ni de retenir un paiement, ni de résilier.
• Opérationnel. Une pièce manquante se découvre au pire moment — le matin de l’intervention, à l’ouverture d’un appel d’offres, au cours d’un audit client.
• Financier direct. Un paiement détourné sur un faux RIB n’est pas couvert par la relation fournisseur : la dette envers le fournisseur réel demeure.
• Réputationnel. Un audit client ou une certification qui relève un suivi fournisseur défaillant met en cause votre organisation, pas celle de vos fournisseurs.

Organiser le suivi sans y passer ses journées

Vérifier un fournisseur une fois ne pose aucune difficulté. Le problème apparaît avec le nombre : cinquante fournisseurs actifs, trois à cinq pièces chacun, des échéances qui ne tombent jamais ensemble — la vigilance tous les six mois à compter de la conclusion de chaque contrat, les assurances à leur date anniversaire, les habilitations à leur propre terme. Sur un tableur, cela tient quelques mois, jusqu’au premier changement d’interlocuteur.

Ce qu’un suivi outillé doit permettre, indépendamment de l’outil retenu :

• une date d’expiration portée par la pièce, pas par une colonne tenue à la main ;
• des alertes en amont de l’échéance, calées sur le délai réel d’obtention du document ;
• des relances traçables, pour distinguer « pas encore reçu » de « jamais demandé » ;
• l’historique des versions : c’est l’attestation valable au moment de l’opération qui fait preuve, pas la dernière reçue ;
• une responsabilité de validation identifiée — qui a contrôlé l’authenticité, quand, sur quelle source ;
• un export présentable en cas de contrôle ou d’audit client.

C’est exactement le périmètre que couvre Conformity-hub : centraliser les justificatifs des tiers, porter leurs dates de validité, déclencher les relances et conserver la trace des validations. L’outil ne remplace pas la décision — c’est à vous de définir quelles pièces vous exigez et sur quel fondement —, mais il évite que cette décision dépende de la mémoire d’une personne.

À retenir

Le mot « fournisseur » ne déclenche rien. Dès 5 000 € HT, une fourniture ou une vente fait entrer la relation dans l’obligation de vigilance au même titre qu’une sous-traitance de chantier, avec une attestation Urssaf à réclamer à la conclusion du contrat puis tous les six mois. Tout le reste — assurances, qualifications, questionnaires — relève d’une obligation propre à l’activité du fournisseur ou d’une exigence que vous posez, et qui n’existe que si elle est écrite au contrat. Deux points sortent du cadre habituel des check-lists et méritent d’y entrer : le contrat de sous-traitance exigé par l’article 28 du RGPD dès qu’un prestataire traite des données pour votre compte, et la procédure de contrôle d’un changement de coordonnées bancaires, qui n’est imposée par aucun texte mais protège le flux le plus exposé de la relation fournisseur.

Les informations présentées sont fournies à titre informatif et ne constituent pas un conseil juridique. Elles reflètent l’état des sources officielles citées ci-dessous à la date de dernière mise à jour de cette page.