Le cadre légal en bref
L'obligation de vigilance vis-à-vis des prestataires figure aux articles L.8222-1 à L.8222-5 du Code du travail. Toute personne qui conclut un contrat en vue de l'exécution d'un travail, de la fourniture d'une prestation de services ou de l'accomplissement d'un acte de commerce, doit vérifier que son cocontractant s'acquitte de ses obligations de déclaration et d'immatriculation.
Le seuil de déclenchement est fixé à 5 000 euros HT cumulés sur l'année avec un même prestataire. Au-delà, le donneur d'ordre devient solidairement redevable des cotisations sociales et des impôts impayés du prestataire en cas de travail dissimulé constaté par l'URSSAF (article L.8222-2). Cette solidarité financière peut représenter plusieurs dizaines de milliers d'euros.
À qui s'appliquent ces obligations
Tout établissement HCR qui recourt à des prestataires extérieurs au-delà de 5 000 euros HT cumulés sur l'année avec un même prestataire. Les prestations concernées sont nombreuses : ménage, blanchisserie, plonge externalisée, sécurité et videurs, livreurs, maintenance technique, ramonage, dératisation, nettoyage de hottes, vidange de bac à graisse, traiteurs externes, vestiaires, chasseurs de cuisine.
Les fournisseurs de marchandises ne sont pas concernés par l'obligation de vigilance — celle-ci vise les prestations de services et le travail. Le seuil de 5 000 euros HT s'apprécie par cocontractant et par année civile, indépendamment du nombre de factures.
Les obligations concrètes
Les pièces à demander
Au moment de la conclusion du contrat, puis tous les six mois jusqu'à son terme, le donneur d'ordre demande au prestataire deux documents principaux (article D.8222-5 du Code du travail) :
- Une attestation de vigilance émise par l'URSSAF, qui prouve que le prestataire est à jour de ses cotisations sociales et déclarations. Cette attestation est délivrée gratuitement sur le compte URSSAF du prestataire.
- Un extrait Kbis ou une preuve d'immatriculation au registre du commerce et des sociétés, qui atteste de l'existence juridique de l'entreprise.
Pour les prestataires établis hors de France, des équivalents sont prévus : certificats sociaux et fiscaux du pays d'origine, document A1 pour le détachement de salariés européens.
Lorsque le prestataire emploie des salariés étrangers, le donneur d'ordre vérifie également que les autorisations de travail ont été délivrées (article L.8254-1 C. trav.) — sous peine de sanctions pénales lourdes.
Le rythme de vérification
L'attestation de vigilance URSSAF doit être renouvelée tous les six mois jusqu'à la fin du contrat. Le Kbis se vérifie à la conclusion du contrat ; un renouvellement annuel est recommandé pour les prestations de longue durée.
Concrètement, un établissement avec une dizaine de prestataires réguliers gère donc une vingtaine de demandes d'attestations par an, à étaler dans le calendrier. La défaillance — typiquement, l'oubli de la deuxième attestation à six mois — est la cause la plus fréquente de mise en cause de la solidarité financière.
Vérifier la validité de l'attestation
L'attestation de vigilance URSSAF comporte un code de vérification à six caractères. Le donneur d'ordre peut s'authentifier sur urssaf.fr (rubrique « Vérifier une attestation de vigilance ») et confirmer l'authenticité de l'attestation à l'aide de ce code et du SIREN du prestataire. La vérification est gratuite et instantanée. Elle met le donneur d'ordre à l'abri d'une attestation falsifiée — fait moins rare qu'on ne le croit dans le secteur du nettoyage et de la sécurité.
Conserver dans le dossier prestataire à la fois l'attestation reçue et la trace de la vérification effectuée — copie d'écran horodatée ou enregistrement du résultat retourné par l'URSSAF. C'est la trace de la diligence du donneur d'ordre.
Conservation et archivage
Les attestations et leurs vérifications doivent être conservées pendant la durée du contrat et au moins cinq ans après son terme — soit la durée habituelle de la prescription en matière de cotisations sociales. Aucune forme particulière n'est imposée : papier ou numérique, l'essentiel est la datation et l'horodatage des vérifications.
En cas de contrôle URSSAF, c'est cette traçabilité — l'enchaînement chronologique des attestations valides — qui prouve que l'obligation de vigilance a été respectée.
Cas particuliers — prestations spécialisées
Certains prestataires HCR sont soumis à des obligations supplémentaires que le donneur d'ordre a intérêt à vérifier en parallèle de l'attestation URSSAF. Le prestataire en désinsectisation doit être titulaire du certificat « certibiocide nuisibles » (arrêté du 9 octobre 2013), formation de vingt et une heures valable cinq ans. La fiche de données de sécurité (FDS) de chaque produit biocide utilisé doit être fournie à l'établissement et conservée sur site (règlement UE 528/2012). L'opérateur frigorifique doit posséder une attestation de capacité pour manipuler les fluides frigorigènes (règlement UE 2024/573). L'organisme contrôlant l'électricité, le gaz ou le SSI doit être agréé par le ministère de l'Intérieur.
Ces certifications professionnelles ne sont pas couvertes par l'attestation de vigilance URSSAF — elles font l'objet de demandes séparées au prestataire.
Sous-traitants en cascade
Si un prestataire principal sous-traite une partie de son intervention, l'obligation de vigilance s'applique en cascade : le donneur d'ordre principal n'a en principe pas à vérifier le sous-traitant, mais il a intérêt à exiger contractuellement que le prestataire principal ait lui-même rempli son obligation de vigilance vis-à-vis de ses sous-traitants.
Pour les prestataires habituels — nettoyage, sécurité — il est fréquent de découvrir lors d'un contrôle URSSAF que le prestataire principal sous-traite à un tiers en travail dissimulé. La solidarité financière peut alors se déclencher, même si le donneur d'ordre principal a vérifié l'attestation du prestataire qu'il a contractualisé. Une clause contractuelle interdisant la sous-traitance ou imposant un agrément préalable du donneur d'ordre est la meilleure protection.
Cas particulier — droits d'auteur (SACEM/SPRE)
Tout établissement diffusant de la musique protégée — radio, playlist, concerts — doit déclarer son activité à la SACEM (droits d'auteur, article L.122-4 du Code de la propriété intellectuelle) et s'acquitter d'une rémunération équitable au titre des droits voisins (artistes-interprètes et producteurs, article L.214-1 CPI), collectée par la SPRE. En pratique, la SACEM perçoit les deux redevances dans une facture unique.
Il ne s'agit pas d'une prestation au sens de l'obligation de vigilance L.8222-1 mais d'une cotisation. La déclaration est annuelle et reconduite tacitement. Elle ne s'applique pas si l'établissement diffuse exclusivement de la musique libre de droits ou du domaine public (auteurs décédés depuis plus de 70 ans). Le défaut de déclaration peut donner lieu à des poursuites pour contrefaçon (article L.335-2 CPI) et au paiement rétroactif des redevances avec majorations.
Les sanctions encourues
La sanction phare de l'obligation de vigilance n'est pas une amende, mais la solidarité financière : si le prestataire est verbalisé pour travail dissimulé et que le donneur d'ordre n'a pas vérifié l'attestation de vigilance dans les conditions requises, l'URSSAF peut réclamer au donneur d'ordre les cotisations impayées du prestataire.
Cette solidarité couvre toutes les sommes dues : cotisations, majorations, pénalités, intérêts de retard. Elle est rétroactive sur cinq ans. Pour un prestataire dont les irrégularités courent sur plusieurs années, le redressement peut atteindre des montants considérables — sans rapport avec le coût des prestations effectivement payées.
| Manquement | Sanction | Texte |
|---|---|---|
| Pas de vérification à la conclusion du contrat (> 5 000 €) | Solidarité financière sur les cotisations dues | Art. L.8222-1 + L.8222-2 C. trav. |
| Pas de renouvellement à 6 mois | Solidarité financière à compter de la défaillance | Art. D.8222-5 C. trav. |
| Recours à un prestataire sans Kbis valide | Solidarité + sanction pénale du dirigeant possible | Art. L.8222-1 C. trav. |
| Salarié étranger sans autorisation de travail chez le prestataire | 5 000 € par étranger + solidarité | Art. L.8254-1 et s. C. trav. |
| Travail dissimulé du prestataire non vérifié | Redressement intégral des cotisations sur 5 ans | Art. L.8222-2 C. trav. |
Les organismes de contrôle
L'URSSAF est l'autorité centrale en matière de vigilance. Lors d'un contrôle URSSAF programmé ou inopiné, l'inspecteur demande systématiquement à voir les attestations de vigilance des prestataires significatifs. Voir le chapitre 10 sur la conduite à tenir lors d'un contrôle.
L'inspection du travail intervient en parallèle dans les cas de travail dissimulé impliquant un prestataire opérant sur le site de l'établissement. Si un salarié du prestataire est trouvé sans déclaration, l'enquête remonte jusqu'au donneur d'ordre et aux modalités de vérification.
Pour les prestations de désinsectisation et de manipulation de fluides frigorigènes, la DREAL et la DDPP peuvent demander à voir les certifications professionnelles du prestataire.
Comment Normy gère ce sujet
Normy tient un registre des prestataires de l'établissement avec, pour chacun, le Kbis, la dernière attestation de vigilance URSSAF, les certifications professionnelles spécifiques (certibiocide, attestation fluides, agrément organisme). Le rappel automatique de la demande d'attestation à six mois part trente jours avant l'échéance.
Lorsqu'un prestataire ne fournit pas l'attestation à la date butoir, le module signale le manquement et l'établissement peut suspendre les paiements jusqu'à régularisation — protection efficace contre la solidarité financière.
L'export du dossier prestataires accompagne naturellement l'export du dossier de conformité globale présenté lors d'un contrôle URSSAF.