DUERP : qui est concerné et comment le tenir à jour

Le DUERP — document unique d'évaluation des risques professionnels — est sans doute l'obligation la plus connue des employeurs… et l'une des plus mal tenues. Beaucoup l'ont rédigé une fois, rangé dans un classeur, et plus jamais rouvert. Or, depuis la loi Santé au travail de 2021, c'est précisément cette logique du « document fait une fois » que le législateur a voulu casser : le DUERP est désormais un document vivant, historisé et conservé des décennies.

Ce guide fait le point sur l'essentiel : qui doit l'établir, ce qu'il doit contenir, à quelle fréquence le mettre à jour, la fameuse conservation de 40 ans, le dépôt dématérialisé (dont l'histoire mérite d'être connue), qui peut le consulter, et ce que l'on risque à le négliger.

Le DUERP, c'est quoi et qui est concerné ?

Le DUERP est le document dans lequel l'employeur transcrit les résultats de l'évaluation des risques pour la santé et la sécurité de ses salariés. Il ne s'agit pas d'un formulaire administratif de plus, mais de la traduction écrite d'une obligation de fond : évaluer les risques pour mieux les prévenir.

L'obligation s'impose à tout employeur dès le premier salarié, quels que soient la taille et le secteur. Elle découle des principes généraux de prévention inscrits dans le Code du travail — éviter les risques, évaluer ceux qui ne peuvent l'être, les combattre à la source, adapter le travail à l'homme, et ainsi de suite. Le DUERP est l'outil qui rend cette démarche traçable.

Concrètement, l'évaluation se fait par unité de travail : on découpe l'activité (un poste, un atelier, un site, une équipe) et, pour chacune, on identifie les risques — chute, incendie, manutention, bruit, risques chimiques, risques psychosociaux, etc.

Tout cela s'inscrit dans les neuf principes généraux de prévention que le Code du travail impose à l'employeur, et qui donnent la bonne hiérarchie d'action : éviter les risques ; évaluer ceux qu'on ne peut éviter ; les combattre à la source ; adapter le travail à l'homme ; tenir compte de l'évolution de la technique ; remplacer ce qui est dangereux par ce qui l'est moins ; planifier la prévention ; privilégier les protections collectives sur les protections individuelles ; et donner aux salariés les instructions appropriées. Le DUERP n'est que la mise en œuvre traçable de ces principes.

Pour un exploitant de site — commerce, établissement recevant du public, site industriel — le DUERP ne vit pas isolément : il dialogue avec les autres obligations de sécurité (registre de sécurité incendie, vérifications périodiques, permis de feu, plan de prévention). Un risque identifié au DUERP appelle souvent une action tracée ailleurs, et un incident consigné dans la main courante peut révéler un risque à réévaluer. Les tenir dans des outils séparés, qui ne se parlent pas, c'est multiplier les ressaisies et les angles morts ; les relier, c'est transformer une contrainte réglementaire en pilotage réel de la prévention.

Ce que le document unique doit contenir

Le DUERP n'a pas de format imposé, mais son contenu, lui, est attendu :

• l'inventaire des risques identifiés dans chaque unité de travail ;
• une hiérarchisation de ces risques (gravité, fréquence, nombre de salariés exposés) qui permet de prioriser l'action ;
• les actions de prévention qui en découlent.

Sur ce dernier point, la taille de l'entreprise change la forme attendue :

• dans les entreprises de moins de 50 salariés, le DUERP débouche sur une liste des actions de prévention consignée avec le document ;
• dans les entreprises d'au moins 50 salariés, il alimente un véritable programme annuel de prévention des risques (PAPRIPACT), qui fixe les mesures, leurs conditions d'exécution et leur coût estimé.

Autrement dit, le DUERP n'a de sens que s'il mène quelque part : identifier un risque sans décider quoi en faire, c'est passer à côté de son objet.

À quelle fréquence le mettre à jour ?

C'est l'un des points que la loi de 2021 a clarifiés. La règle se lit en trois temps :

• dans les entreprises d'au moins 11 salariés, le DUERP doit être mis à jour au moins une fois par an ;
• dans les entreprises de moins de 11 salariés, cette obligation annuelle ne s'applique pas — mais la mise à jour reste nécessaire dans les cas ci-dessous ;
• dans tous les cas, le DUERP doit être mis à jour lors de toute décision d'aménagement important modifiant les conditions de santé, de sécurité ou de travail, et lorsqu'une information nouvelle sur un risque apparaît.

La nuance est importante : alléger l'obligation pour les plus petites structures ne veut pas dire les en dispenser. Un changement de machine, un nouveau local, un accident évité de justesse — autant d'événements qui doivent déclencher une mise à jour, quelle que soit la taille.

Construire son DUERP, étape par étape

Que l'on parte de zéro ou que l'on révise un document existant, la démarche tient en cinq étapes :

• 1. Préparer. Définir les unités de travail et associer les personnes qui connaissent le terrain — encadrement, salariés, et le CSE lorsqu'il existe. On n'évalue bien que ce que l'on observe vraiment.
• 2. Identifier les dangers. Pour chaque unité, lister ce qui peut blesser ou rendre malade : risques physiques (chute, incendie, machine, manutention, bruit), chimiques, biologiques, mais aussi organisationnels et psychosociaux.
• 3. Évaluer et hiérarchiser. Pour chaque risque, croiser la gravité potentielle, la probabilité de survenue et le nombre de salariés exposés. Cette cotation fait remonter les priorités.
• 4. Décider les actions. À chaque risque prioritaire, associer une mesure concrète — en respectant la hiérarchie des principes (supprimer le risque avant de s'en protéger, protéger collectivement avant individuellement) — avec un responsable et une échéance.
• 5. Suivre et réviser. Vérifier que les actions décidées sont réalisées, et mettre à jour le document à chaque changement ou information nouvelle. C'est cette boucle qui maintient le DUERP vivant.

Aucune de ces étapes ne demande un expert à demeure ; elles demandent surtout de la régularité et une trace écrite. Un DUERP utile n'est pas le plus épais, c'est le plus à jour et le plus fidèle au terrain.

Le conserver 40 ans : la nouveauté de la loi de 2021

C'est le changement le plus structurant. Le DUERP et ses versions successives doivent désormais être conservés pendant au moins 40 ans à compter de leur élaboration. Il ne s'agit donc plus d'écraser l'ancienne version à chaque mise à jour, mais de garder la trace de l'évolution des risques dans le temps.

Pourquoi 40 ans ? Parce que certaines maladies professionnelles se déclarent des décennies après l'exposition. Conserver l'historique permet, le jour venu, de reconstituer à quels risques un salarié a été exposé, et quand. Logiquement, les travailleurs — et les anciens travailleurs — ont accès aux versions du DUERP en vigueur pendant leur période d'activité. Ces règles s'appliquent aux versions en vigueur à compter du 31 mars 2022.

Le dépôt dématérialisé : où en est-on vraiment ?

La loi de 2021 prévoyait aussi un dépôt dématérialisé du DUERP sur un portail numérique national, selon un calendrier : à partir du 1^er juillet 2023 pour les entreprises d'au moins 150 salariés, et au plus tard le 1^er juillet 2024 pour les plus petites.

Sauf que, dans les faits, ce portail n'a jamais été rendu opérationnel. Les difficultés techniques (hébergement sur 40 ans, authentification des accès, protection du secret des affaires, financement, maintenance) se sont accumulées. Un rapport de l'IGAS a même conclu à un bilan coûts-bénéfices négatif et recommandé d'abroger les dispositions sur le portail national — tout en maintenant, elles, l'obligation de conservation 40 ans et la transmission de chaque mise à jour au service de prévention et de santé au travail (SPST).

Que faire en pratique, donc ? Ne pas courir après un portail qui n'existe pas, mais conserver soigneusement ses versions successives (papier ou numérique) et transmettre chaque mise à jour à son SPST. C'est un bon exemple de pourquoi il faut se fier au droit réellement applicable, pas aux intentions annoncées : l'obligation de fond (évaluer, tracer, conserver) demeure, la modalité de dépôt, elle, est en suspens.

Qui peut le consulter

Le DUERP n'est pas un document secret : il doit être tenu à la disposition d'un cercle large de parties prenantes. En font partie les travailleurs (et anciens travailleurs, pour leur période d'activité), les membres du CSE, le médecin du travail et le SPST, l'inspection du travail, ainsi que les agents des services de prévention des organismes de sécurité sociale. Un avis indiquant les modalités de consultation doit d'ailleurs être affiché sur le lieu de travail.

Ce que l'on risque à ne pas l'avoir

L'absence de DUERP, ou son absence de mise à jour, est sanctionnée par une amende prévue pour les contraventions de 5^e classe — de l'ordre de 1 500 €, portée à 3 000 € en cas de récidive. Ce montant peut sembler modeste, mais il n'est pas le vrai risque.

Le vrai risque se révèle en cas d'accident du travail ou de maladie professionnelle. Un DUERP absent, incomplet ou manifestement obsolète affaiblit lourdement la position de l'employeur, et peut peser dans la reconnaissance d'une faute inexcusable, aux conséquences financières et humaines sans commune mesure avec l'amende. À l'inverse, un DUERP tenu à jour est la meilleure preuve que l'employeur a pris la mesure de ses risques et agi en conséquence.

Le vrai piège : un document mort

Le piège n'est pas de ne pas avoir de DUERP — la plupart des entreprises en ont un. Le piège, c'est le DUERP mort : rédigé une fois, photocopié d'année en année, totalement déconnecté de la réalité du terrain. Un inspecteur comme un juge regardent exactement cela : la cohérence entre ce qui est écrit et ce qui se passe vraiment, et la fraîcheur des mises à jour.

Garder un DUERP vivant à la main est épuisant : il faut ressaisir, recouper avec les rondes, les registres, les incidents, puis archiver chaque version. C'est précisément là qu'un outil fait la différence — en reliant l'évaluation des risques au terrain (rondes, main courante, incidents), en facilitant la mise à jour et en historisant automatiquement chaque version pour la conservation longue durée.

En résumé : le DUERP est obligatoire dès le premier salarié, il doit être mis à jour (au moins chaque année dès 11 salariés, et à chaque changement significatif), conservé 40 ans dans ses versions successives, et tenu à disposition des travailleurs et des contrôleurs. Le dépôt dématérialisé, lui, reste en suspens. Mais au-delà de la lettre, l'esprit est simple : un document unique n'a de valeur que s'il reflète la réalité et qu'on s'en sert pour agir.