Loi Sapin II : les 8 mesures du programme anticorruption et le rôle du conseil

La loi Sapin II (loi n° 2016-1691 du 9 décembre 2016) impose aux sociétés d'au moins 500 salariés réalisant plus de 100 millions d'euros de chiffre d'affaires un programme de prévention et de détection de la corruption articulé en huit mesures : code de conduite, dispositif d'alerte interne, cartographie des risques, évaluation des tiers, contrôles comptables, formation, régime disciplinaire et dispositif de contrôle et d'évaluation. L'Agence française anticorruption (AFA) contrôle ce programme et peut saisir sa commission des sanctions. L'obligation pèse sur les dirigeants, mais l'AFA attend de l'organe de gouvernance qu'il porte l'engagement, valide la cartographie des risques et suive la mise en œuvre du dispositif.

Qui est concerné par l'article 17 de la loi Sapin II ?

L'article 17 vise deux catégories d'entités. D'une part, les sociétés qui emploient au moins 500 salariés et dont le chiffre d'affaires dépasse 100 millions d'euros. D'autre part, les sociétés appartenant à un groupe dont la société mère a son siège social en France, lorsque le groupe compte au moins 500 salariés et un chiffre d'affaires consolidé supérieur à 100 millions d'euros. Les établissements publics à caractère industriel et commercial sont soumis aux mêmes seuils. L'obligation s'applique depuis le 1er juin 2017.

La loi désigne des responsables nommément : les présidents, directeurs généraux et gérants sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence. La société elle-même est également responsable en tant que personne morale. Lorsque la société mère établit un programme applicable à l'ensemble de ses filiales, celles-ci sont réputées satisfaire à l'obligation, ce qui fait du programme groupe la solution la plus courante.

Le périmètre est plus large que celui de la seule corruption française. L'AFA attend que le code de conduite et la cartographie couvrent toutes les zones d'activité de l'entreprise, y compris à l'étranger, et les groupes exposés au Foreign Corrupt Practices Act américain ou au UK Bribery Act alignent en général leurs dispositifs sur le référentiel le plus exigeant. Notre hub Gouvernance d'entreprise en France : lois et normes situe la loi Sapin II parmi les autres textes applicables au conseil.

Les 8 mesures du programme anticorruption

L'article 17-II énumère huit mesures et procédures. Elles forment un tout : un code de conduite sans cartographie des risques n'est pas opposable à l'AFA, et une cartographie sans contrôle comptable ne détecte rien. Le tableau ci-dessous reprend chaque mesure, l'attente de l'AFA telle qu'elle ressort de ses recommandations du 12 janvier 2021, et l'élément de preuve que le conseil doit pouvoir produire.

Les recommandations de l'AFA de 2021, qui servent de référentiel lors de ses contrôles depuis le 13 juillet 2021, réorganisent ces huit mesures autour de trois piliers indissociables : l'engagement de l'instance dirigeante, la connaissance des risques par la cartographie et la gestion des risques par les mesures de prévention, de détection et de remédiation. Ce cadre est consultable sur le site de l'Agence française anticorruption.

L'AFA : conseil, contrôle et sanctions

L'Agence française anticorruption, placée auprès du ministre de la Justice et du ministre chargé du Budget, remplit une double mission. Elle conseille les acteurs publics et privés par ses recommandations, ses guides et ses avis. Elle contrôle la qualité et l'efficacité des programmes des entités assujetties, sur sa propre initiative ou à la demande du Premier ministre, de ministres ou du procureur de la République.

Un contrôle suit une séquence connue : notification, questionnaire, communication de documents, entretiens sur place, rapport de contrôle provisoire, observations de l'entité, rapport définitif. Si le programme est jugé défaillant, le directeur de l'AFA adresse un avertissement ou saisit la commission des sanctions, qui peut enjoindre à la société et à ses dirigeants d'adapter leurs procédures dans un délai maximal de trois ans et prononcer une sanction pécuniaire pouvant atteindre 200 000 euros pour une personne physique et 1 million d'euros pour une personne morale. La décision peut être publiée.

L'AFA est aussi chargée du suivi des programmes de mise en conformité imposés par une CJIP ou par une peine de programme de conformité prononcée par un tribunal. Cette mission de surveillance, exercée aux frais de l'entreprise, est le point de contact le plus concret entre l'agence et les conseils d'administration des grands groupes.

La CJIP : conclure sans reconnaissance de culpabilité

La convention judiciaire d'intérêt public, inspirée du deferred prosecution agreement américain, permet au procureur de la République de proposer à une personne morale mise en cause pour corruption, trafic d'influence ou blanchiment de fraude fiscale une convention qui éteint l'action publique sans reconnaissance de culpabilité ni condamnation. Elle est validée en audience publique par le président du tribunal judiciaire et publiée sur le site de l'AFA.

La convention comporte une ou plusieurs obligations : une amende d'intérêt public proportionnée aux avantages tirés des manquements, plafonnée à 30 % du chiffre d'affaires annuel moyen calculé sur les trois derniers exercices ; un programme de mise en conformité d'une durée maximale de trois ans sous le contrôle de l'AFA ; la réparation du préjudice des victimes. Pour le conseil, la CJIP soulève une question de gouvernance autant que de contentieux : elle n'exonère pas les personnes physiques, dirigeants compris, qui peuvent être poursuivies séparément, et elle impose un suivi de conformité que le conseil devra superviser pendant toute sa durée.

Représentants d'intérêts et lanceurs d'alerte : les autres volets

La loi Sapin II ne se limite pas à l'article 17. Elle crée un répertoire numérique des représentants d'intérêts, tenu par la Haute Autorité pour la transparence de la vie publique, auquel doivent s'inscrire les personnes morales dont un dirigeant ou un salarié a pour activité principale ou régulière d'influer sur la décision publique. L'inscription s'accompagne d'une déclaration annuelle des actions de représentation menées et des moyens qui y sont consacrés. Pour un groupe qui pratique le lobbying, la conformité à ce registre relève de la même fonction que le programme anticorruption, et le conseil a intérêt à en recevoir un point annuel.

La loi a également institué le premier statut général du lanceur d'alerte, avec une procédure de recueil des signalements pour les entreprises d'au moins 50 salariés. Ce volet a été profondément remanié par la loi Waserman du 21 mars 2022, qui élargit la définition, supprime la hiérarchie des canaux et fixe des délais de traitement précis, comme le détaille notre article Loi Waserman : ce que change la protection des lanceurs d'alerte pour les entreprises. Le dispositif d'alerte de l'article 17 et la procédure de la loi Waserman peuvent reposer sur un même canal, à condition de respecter les exigences des deux textes ; la solution de protection des lanceurs d'alerte d'Euronext Corporate Solutions est conçue pour ce double cadre, et la notion de lancement d'alerte sur le lieu de travail est définie dans notre glossaire.

Le rôle du conseil : l'engagement de l'instance dirigeante

La loi confie la responsabilité du programme aux dirigeants exécutifs, non au conseil. Pourtant, l'AFA a fait de l'engagement de l'instance dirigeante le premier de ses trois piliers, et elle entend par instance dirigeante l'ensemble des organes qui définissent la stratégie et supervisent la direction, conseil d'administration ou de surveillance compris. Lors d'un contrôle, l'agence examine si le conseil a été informé de la cartographie, s'il a discuté les moyens alloués à la conformité et s'il reçoit un reporting régulier. Un programme formellement complet mais que le conseil ne connaît pas est jugé faible.

Trois responsabilités structurent ce rôle. La première est de porter le message : le conseil valide le code de conduite et la politique anticorruption, et ses membres suivent eux-mêmes la sensibilisation prévue par la mesure 6. La deuxième est de valider et de revoir la cartographie des risques, au moins une fois par an et à chaque événement significatif (acquisition, entrée sur un nouveau marché, changement de modèle de distribution). La troisième est de superviser l'efficacité du dispositif, en confiant en général au comité d'audit l'examen des alertes, des contrôles comptables et des résultats de l'audit interne, avec une restitution en séance plénière. Le Code Afep-MEDEF rejoint cette lecture en demandant au comité d'audit de suivre l'efficacité des systèmes de contrôle interne et de gestion des risques, et notre article sur les indicateurs de conformité propose des exemples de mesures à présenter au conseil.

Ce que le conseil doit tracer pour un contrôle de l'AFA

Un contrôle de l'AFA se gagne sur pièces. L'agence demande les procès-verbaux dans lesquels le conseil ou ses comités ont traité de l'anticorruption, les versions successives de la cartographie et les décisions qui les ont validées, les rapports de la fonction conformité et de l'audit interne, et les comptes rendus des alertes. Un conseil qui traite le sujet une fois par an en séance mais dont les procès-verbaux ne mentionnent qu'un « point conformité » sans contenu ne peut pas démontrer son engagement.

Quatre pratiques rendent cette démonstration possible. Inscrire l'anticorruption comme point récurrent de l'ordre du jour du comité d'audit, avec les documents joints. Rédiger les procès-verbaux de façon à retracer la délibération et les décisions, non seulement les conclusions, en s'appuyant sur un modèle de procès-verbal de réunion du conseil. Conserver les versions datées de la cartographie et du code de conduite dans un espace d'archivage sécurisé, accessible aux administrateurs et au commissaire aux comptes. Enfin, contrôler qui a accès à quoi : les dossiers d'alerte, en particulier, doivent rester confinés au comité compétent. Admincontrol Board Portal répond à ces besoins avec des ordres du jour structurés, des procès-verbaux et des documents archivés dans un espace sécurisé, des droits d'accès définis par dossier et par comité, et une piste d'audit complète des consultations, hébergé dans l'Espace économique européen et certifié ISO 27001 et SOC 2 Type II.

Questions fréquemment posées