DUERP TPE/PME : obligations 2026, sanctions et externalisation avec un IPRP indépendant reconnu par l'État

Guide pratique 2026

En bref : le DUERP (Document Unique d'Évaluation des Risques Professionnels) est obligatoire pour toute entreprise dès l'embauche du premier salarié, quelle que soit sa taille. Depuis le 27 juin 2026, son absence ou son défaut de mise à jour expose à une amende administrative pouvant atteindre 4 000 € par salarié ou d'une sanction pénale pouvant aller jusqu'à 7 500 €. Pour les TPE et PME sans ressource interne, la seule solution d'externalisation reconnue par l'État est le recours à un IPRP (Intervenant en Prévention des Risques Professionnels) indépendant, enregistré auprès de la DREETS.

Le Document Unique d'Évaluation des Risques Professionnels reste, année après année, l'une des obligations les plus mal maîtrisées par les petites entreprises françaises. Pourtant, ce document n'est pas une simple formalité administrative : c'est la pièce centrale de la politique de prévention de l'entreprise, opposable en cas de contrôle et déterminante en cas d'accident du travail. Cet article fait le point sur les obligations de conformité du DUERP, les nouvelles sanctions applicables depuis juin 2026, puis présente les acteurs reconnus par l'État qui peuvent accompagner les TPE et PME de moins de 50 salariés — en distinguant les organismes qui informent, outillent et financent, de l'acteur qui peut réellement prendre en charge l'externalisation du DUERP : l'IPRP indépendant.

Qu'est-ce que le DUERP ?

Le DUERP est le document dans lequel l'employeur recense et transcrit l'ensemble des risques professionnels auxquels sont exposés ses salariés, poste par poste ou unité de travail par unité de travail, puis les mesures de prévention correspondantes. Il trouve son fondement juridique dans les articles L.4121-1 à L.4121-4 et R.4121-1 et R.4121-2 du Code du travail, ainsi que dans le décret n°2001-1016 du 5 novembre 2001. La loi Santé au travail du 2 août 2021, entrée en vigueur le 31 mars 2022, en a considérablement renforcé les exigences.

Contrairement à une idée reçue, le DUERP est obligatoire dès l'embauche du premier salarié, quelle que soit la taille de l'entreprise, y compris pour un stagiaire ou un apprenti. Aucun seuil d'effectif n'en dispense.

Que doit contenir un DUERP conforme ?

Un DUERP conforme doit :

• couvrir l'ensemble des unités de travail de l'entreprise (postes, services, situations de travail similaires) ;
• identifier les dangers et évaluer les risques associés : chute, troubles musculo-squelettiques (TMS), risques chimiques, risques psychosociaux, exposition à la chaleur, etc. ;
• être établi avec la participation des acteurs concernés : direction, salarié désigné compétent, CSE lorsqu'il existe, médecin du travail et service de prévention et de santé au travail (SPST) ;
• intégrer tous les travailleurs, y compris ceux présents à distance, depuis l'accord national interprofessionnel du 26 novembre 2020 sur le télétravail.

Le lien avec le plan d'action de prévention

Un DUERP sans traduction opérationnelle perd une grande partie de sa valeur juridique et pratique. Pour les entreprises de 50 salariés et plus, la loi impose la rédaction d'un PAPRIPACT (Programme Annuel de Prévention des Risques Professionnels et d'Amélioration des Conditions de Travail), qui détaille chaque action avec son coût estimé, son calendrier et ses indicateurs de résultat, conformément à l'article L.4121-3-1 du Code du travail. Pour les entreprises de moins de 50 salariés, aucun format structuré n'est imposé, mais les actions de prévention doivent être consignées, avec un responsable et une échéance identifiés, directement dans le DUERP ou en annexe.

À quelle fréquence mettre à jour le DUERP ?

La fréquence de mise à jour dépend de l'effectif de l'entreprise :

• Moins de 11 salariés : aucune mise à jour annuelle obligatoire, mais une actualisation reste requise dès qu'un événement le justifie. Attention mettre à jour le plan d'action revient à une mise à jour du DUERP. Une révision annuelle est donc fortement recommandée.

• 11 salariés et plus : mise à jour obligatoire au moins une fois par an.
• Tous effectifs, sans exception : actualisation immédiate en cas de décision d'aménagement modifiant les conditions de travail, d'accident du travail, de maladie professionnelle, ou de toute information nouvelle intéressant l'évaluation des risques.

Archivage et accessibilité du DUERP

Depuis la loi du 2 août 2021, chaque version successive du DUERP doit être conservée pendant 40 ans. Le document doit par ailleurs être tenu à disposition :

• des salariés et anciens salariés exposés, pour leur période d'emploi ;
• des membres du CSE et de la CSSCT ;
• du médecin du travail et de l'équipe pluridisciplinaire du SPST ;
• de l'inspection du travail ;
• des agents des Carsat, Cramif et CGSS, ainsi que, dans le BTP, des agents de l'OPPBTP.

Un avis affiché dans les locaux doit indiquer les modalités de consultation du document.

Sanctions DUERP 2026 : amende administrative et sanction pénale, quelle différence ?

Depuis le 27 juin 2026, la loi n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales (article 48) a profondément réformé le régime de sanction applicable à l'absence ou au défaut de mise à jour du DUERP, en instaurant deux voies de sanction distinctes et non cumulables pour les mêmes faits : une voie administrative, nouvelle, et une voie pénale, renforcée.

L'amende administrative, nouveauté de la loi de 2026

• Elle est prononcée directement par l'administration du travail (le directeur de la DREETS), sur rapport d'un agent de contrôle de l'inspection du travail, sans passage devant un juge.
• Elle peut prendre la forme d'un simple avertissement ou d'une amende.
• Le montant est plafonné à 4 000 € par salarié concerné par le manquement, et peut donc être appliqué autant de fois qu'il y a de salariés concernés.
• Ce plafond est doublé en cas de récidive, soit jusqu'à 8 000 € par salarié.

La sanction pénale, également revalorisée

• Elle reste prononcée par un tribunal, dans le cadre d'une procédure judiciaire classique.
• Le défaut d'établissement ou de mise à jour du DUERP est désormais sanctionné par une amende pénale pouvant atteindre 7 500 €, portée à 15 000 € en cas de récidive.

Comment s'articulent les deux sanctions ?

La sanction administrative ne peut être prononcée qu'en l'absence de poursuites pénales engagées pour les mêmes faits : l'employeur ne peut donc pas être sanctionné deux fois pour le même manquement. En revanche, l'administration comme le juge pénal disposent chacun de leur propre base légale pour agir, selon la voie retenue par les autorités.

Au-delà de ces sanctions financières directes, un DUERP absent ou manifestement obsolète comme le défaut de désignation du référent SST continuent de faciliter la reconnaissance de la faute inexcusable de l'employeur en cas d'accident du travail, avec des conséquences qui peuvent dépasser très largement les montants ci-dessus : majoration de rente, indemnisation intégrale des préjudices, cotisation supplémentaire AT/MP, voire poursuites pour homicide ou blessures involontaires en cas d'accident grave.

Comment mettre son DUERP en conformité : les 6 étapes clés

1. Désigner un référent. L'article L.4644-1 du Code du travail impose à l'employeur, dès le premier salarié, de désigner une personne compétente pour s'occuper des activités de protection et de prévention des risques. C'est précisément lorsque cette compétence n'existe pas en interne que la loi ouvre la voie à l'externalisation via un IPRP.
2. Cadrer l'évaluation : définir le périmètre, la méthode et les acteurs impliqués (direction, salariés, CSE, SPST, IPRP le cas échéant).
3. Identifier les dangers et évaluer les risques, unité de travail par unité de travail.
4. Formaliser le document et le plan d'actions associé.
5. Diffuser et rendre accessible le DUERP conformément aux obligations légales.
6. Suivre et actualiser le document selon la fréquence requise et à chaque événement significatif.

Les acteurs publics qui informent, outillent et financent — sans se substituer à l'entreprise

Un écosystème d'organismes publics et parapublics accompagne les TPE-PME dans leur démarche de prévention. Il est important de comprendre leur rôle exact : ils mettent à disposition des outils, des financements et de l'expertise méthodologique, mais aucun d'entre eux ne réalise à la place de l'employeur l'évaluation des risques ni ne rédige le DUERP en son nom.

• L'Assurance Maladie – Risques professionnels (Carsat / Cramif / CGSS) est le premier point d'entrée pour la plupart des TPE-PME. Elle met à disposition un outil en ligne gratuit d'évaluation des risques, propose des formations à distance, et octroie des subventions Prévention TPE pour les entreprises de moins de 50 salariés qui investissent en prévention. Ces subventions peuvent contribuer au financement d'un accompagnement externe, mais la Carsat n'intervient pas elle-même comme prestataire d'externalisation.
• L'INRS diffuse la documentation technique, les fiches risques et les outils gratuits OiRA, des générateurs de DUERP sectorisés permettant à une entreprise de construire elle-même son document. L'INRS ne réalise pas de mission d'évaluation pour le compte des entreprises.
• L'Anact et son réseau régional, les Aract, accompagnent les entreprises sur les conditions de travail, la QVCT et le dialogue social, dans une logique de conseil méthodologique plutôt que d'exécution de la démarche à la place de l'employeur.
• L'OPPBTP, pour le secteur du BTP, propose diagnostics et outils adaptés, avec un accompagnement renforcé, mais reste un organisme de branche et non un prestataire d'externalisation individuelle.
• Les Services de Prévention et de Santé au Travail (SPST/SPSTI) disposent d'une cellule pluridisciplinaire (médecins du travail, ergonomes, IPRP internes) mobilisable en appui, dans le cadre de l'adhésion obligatoire de l'entreprise au service.
• La DREETS et l'inspection du travail portent la politique publique de santé-sécurité au travail et exercent un rôle de contrôle et de conseil réglementaire — la DREETS étant aussi l'autorité qui enregistre les IPRP externes.
• Les OPCO peuvent financer les formations liées à la santé-sécurité au travail, ce qui allège le coût global de la mise en conformité.

Ces acteurs constituent un socle indispensable d'information, de formation et de financement. Mais pour une entreprise qui n'a ni salarié compétent en interne, ni temps, ni expertise pour piloter elle-même la démarche, il manque un maillon : celui d'un prestataire habilité à prendre en charge concrètement l'évaluation des risques et la rédaction du DUERP. C'est le rôle exclusif de l'IPRP.

L'IPRP indépendant : comment externaliser légalement son DUERP

Pourquoi l'externalisation passe obligatoirement par un IPRP

L'article L.4644-1 du Code du travail prévoit que ce n'est que si l'entreprise ne dispose pas des compétences nécessaires en interne que l'employeur peut, après avis du CSE ou des représentants du personnel, faire appel à des compétences extérieures. Le texte n'ouvre alors que deux voies : les IPRP appartenant au service de santé au travail interentreprises (SPSTI) auquel adhère l'entreprise (renseignez-vous moins de 5% des SPSTI propose ce service complémentaire auprès de leurs adhérents), ou les IPRP enregistrés auprès de la DREETS, c'est-à-dire des professionnels indépendants ou des cabinets externes habilités.

Pour une structure sans aucune ressource interne, qui souhaite confier tout ou partie de la démarche à un tiers plutôt que de la piloter elle-même à l'aide d'outils en ligne, seul l'IPRP dispose du statut légal permettant cette prise en charge. Un consultant RH généraliste, un expert-comptable, secrétaire indépendante ou un cabinet de conseil non enregistré ne peuvent pas légalement porter, seuls, la responsabilité technique de cette mission.

Ce qu'un IPRP indépendant peut faire concrètement

• Réaliser l'évaluation des risques professionnels et rédiger ou mettre à jour le DUERP mandater par l'entreprise.
• Analyser les postes de travail : ergonomie, TMS, risques chimiques, risques psychosociaux.
• Construire le plan d'actions de prévention associé.
• Former le personnel désigné en interne, lorsque l'entreprise souhaite progressivement internaliser la démarche.
• Appuyer l'entreprise en cas de contrôle de l'inspection du travail.

Un statut encadré et contrôlé par l'État

Ce qui distingue l'IPRP de tout autre consultant est la procédure d'habilitation à laquelle il est soumis :

• Enregistrement obligatoire auprès de la DREETS de sa région de domiciliation, depuis le 1ᵉʳ juillet 2012, conformément à l'article L.4644-1 du Code du travail.
• Conditions de compétence vérifiées par l'article D.4644-6 : un diplôme lié au travail en rapport avec la prévention des risques professionnels, et, dans la plupart des cas, une expérience professionnelle d'au moins cinq ans dans ce champ.
• Déclaration d'intérêts obligatoire, garantissant que l'intervenant agit dans un objectif exclusif de prévention, sans conflit d'intérêts avec des activités commerciales annexes.
• Habilitation valable cinq ans sur l'ensemble du territoire national, renouvelable sur présentation d'un rapport d'activité.
• Obligation de traçabilité : l'IPRP doit tenir à disposition de la DREETS les éléments justifiant son activité.

À noter : pour les IPRP intervenant spécifiquement dans le secteur des carrières, un cadre renforcé issu du décret n°2025-729 et de l'arrêté du 29 juillet 2025 s'applique depuis le 1ᵉʳ janvier 2026.

Comment identifier un IPRP indépendant reconnu

Chaque DREETS régionale publie et met à jour la liste officielle des IPRP enregistrés dans son ressort territorial, personnes physiques et personnes morales, consultable en ligne. Avant de contractualiser, il est recommandé de vérifier la présence effective du prestataire sur la liste régionale publiée par la DREETS, la validité de son enregistrement (moins de cinq ans, ou renouvellement effectué), et le périmètre de compétences déclaré, afin qu'il corresponde aux risques réels de l'entreprise.

Le réseau EFC Prévention constitue une garantie supplémentaire. Chaque expert de ce réseau dispose d'un enregistrement d'IPRP, dont la validité est vérifiée et suivie dans le temps. De plus, les valeurs et les compétences de chacun sont évaluées afin de garantir aux entreprises le meilleur niveau d'expertise possible. Ce réseau permet également à chaque IPRP de maintenir et de développer ses compétences grâce à des ateliers et à des échanges entre pairs organisés par le réseau. Le réseau EFC Prévention est la seule organisation à effectuer ces vérifications complémentaires, en plus de celles réalisées officiellement par les DREETS.

Tous les IPRP du réseau EFC Prévention garantissent un enregistrement à jour. L'ensemble des professionnels sont contrôlés. Pour votre externalisation, partout en France, ayez le réflexe EFC Prévention.

‍

Pour en savoir plus, quelques liens d'aticles sur ce sujet :

• Rôle et Missions d'un IPRP
• Qui peut faire appel à un IPRP ?
• Externaliser la santé, sécurité au travail

Questions fréquentes sur le DUERP et son externalisation

Le DUERP est-il obligatoire pour une entreprise d'un seul salarié ?
Oui. Le DUERP est obligatoire dès l'embauche du premier salarié, quelle que soit la taille de l'entreprise, y compris pour un stagiaire ou un apprenti. Aucun seuil d'effectif n'en dispense.

Quel est le montant de l'amende en cas d'absence de DUERP en 2026 ?
Depuis le 27 juin 2026, deux sanctions distinctes coexistent : une amende administrative pouvant atteindre 4 000 € par salarié concerné (8 000 € en cas de récidive), prononcée par la DREETS sans juge, et une amende pénale pouvant atteindre 7 500 € (15 000 € en récidive), prononcée par un tribunal. Ces deux sanctions ne se cumulent pas pour les mêmes faits.

Peut-on externaliser entièrement la rédaction du DUERP ?
Oui, à condition de passer par un intervenant habilité. La loi n'autorise cette externalisation qu'auprès des IPRP appartenant au service de santé au travail de l'entreprise, ou auprès d'IPRP indépendants enregistrés auprès de la DREETS.

Qu'est-ce qu'un IPRP indépendant ?
Un IPRP (Intervenant en Prévention des Risques Professionnels) indépendant est un professionnel ou un cabinet externe, enregistré auprès de la DREETS, disposant de compétences vérifiées en santé et sécurité au travail et soumis à une déclaration d'intérêts garantissant son indépendance vis-à-vis de toute activité commerciale annexe.

Comment vérifier qu'un IPRP est bien reconnu par l'État ?
En consultant la liste officielle des IPRP enregistrés, publiée et mise à jour régulièrement par la DREETS de la région où le prestataire est domicilié.

Vous avez d'autres questions ? Consultez nos experts IPRP EFC Prévention — Consultation payante

Ce qu'il faut retenir

Pour une TPE ou une PME de moins de 50 salariés, la conformité du DUERP repose sur un document réellement à jour, un plan d'actions tracé, et une bonne connaissance des acteurs mobilisables. Carsat, INRS, Anact/Aract, OPPBTP et SPST forment un socle précieux d'information, d'outillage et de financement, mais aucun ne se substitue à l'entreprise pour réaliser la démarche elle-même. Pour les structures dépourvues de toute ressource interne, qui souhaitent véritablement externaliser l'évaluation des risques et la rédaction du DUERP, l'IPRP indépendant enregistré auprès de la DREETS est le seul acteur légalement reconnu pour porter cette mission, avec des garanties de compétence et d'indépendance vérifiées par l'État. Vérifier son inscription sur la liste régionale officielle avant toute contractualisation reste le réflexe essentiel pour sécuriser la démarche. Enfin, depuis la réforme du 27 juin 2026, la non-conformité expose désormais à un risque financier réel, administratif ou pénal, ce qui renforce d'autant l'intérêt d'anticiper la démarche plutôt que de la découvrir lors d'un contrôle.

Sources et références

Textes légaux et réglementaires :

• Code du travail, articles L.4121-1 à L.4121-4 (obligation générale d'évaluation des risques)
• Code du travail, articles R.4121-1 et R.4121-2 (contenu et forme du DUERP)
• Code du travail, article L.4121-3-1 (PAPRIPACT pour les entreprises de 50 salariés et plus)
• Code du travail, article L.4644-1 (désignation du salarié compétent et recours aux IPRP)
• Code du travail, article D.4644-6 (conditions de compétence requises pour l'enregistrement des IPRP)
• Décret n°2001-1016 du 5 novembre 2001 (création du document unique)
• Loi n°2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail (« loi Santé au travail »), entrée en vigueur le 31 mars 2022
• Accord national interprofessionnel (ANI) du 26 novembre 2020 relatif au télétravail
• Décret n°2025-729 du 29 juillet 2025 et arrêté du 29 juillet 2025 relatifs aux IPRP du secteur des carrières, applicables depuis le 1ᵉʳ janvier 2026
• Loi n°2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales, article 48 (réforme du régime de sanction du DUERP, entrée en vigueur le 27 juin 2026)

Sources officielles :

• Service-public.fr / Entreprendre Service Public (Direction de l'information légale et administrative, Premier ministre) — « Les manquements au DUERP sont désormais sanctionnés », publié le 26 juin 2026 : entreprendre.service-public.gouv.fr/actualites/A18908
• Légifrance — Article 48 de la loi n°2026-534 du 25 juin 2026
• INRS (Institut national de recherche et de sécurité) — pages « Acteurs de la prévention » et « Intervenant en prévention des risques professionnels (IPRP) » : inrs.fr
• Sites des DREETS régionales (Bretagne, Grand Est, Hauts-de-France, Provence-Alpes-Côte d'Azur, Auvergne-Rhône-Alpes, Île-de-France/DRIEETS) — pages consacrées à l'enregistrement et aux listes des IPRP
• Sites des Carsat régionales (Hauts-de-France, Midi-Pyrénées, Pays de la Loire, Aquitaine) — pages « Prévenir les risques professionnels » et « Accompagnement des TPE/PME »

‍