Programme de conformité anticorruption (Sapin II)
Un manquement au dispositif anticorruption prévu par la loi Sapin II expose l'entreprise à des injonctions de l'Agence française anticorruption, à des sanctions pénales pour les dirigeants et à une atteinte durable à la réputation. En pratique, nous observons que les programmes construits sans accompagnement juridique structuré sont les premiers à révéler des lacunes lors d'un contrôle de l'AFA ou d'une procédure judiciaire.
Un programme de conformité anticorruption au sens de la loi Sapin II désigne l'ensemble des mesures organisationnelles, documentaires et de surveillance qu'une entreprise est tenue de déployer en vertu des dispositions du Code pénal et du dispositif anticorruption issu de la loi du 9 décembre 2016. Vernay & Lestang accompagne les directions juridiques et les responsables conformité dans la construction, l'audit et la mise à jour de ce dispositif, de la cartographie des risques jusqu'à la procédure disciplinaire interne.
Cette page détaille le périmètre de la prestation, les étapes concrètes de l'accompagnement, les points de vigilance fréquemment sous-estimés et l'articulation avec les domaines connexes du cabinet.
Qu'impose réellement la loi Sapin II aux entreprises assujetties ?
La loi Sapin II impose aux sociétés dépassant les seuils fixés par les textes – en matière d'effectifs et de chiffre d'affaires – de mettre en place un programme de conformité anticorruption articulé autour de huit piliers. Ces obligations, rattachées au Code pénal et au dispositif de l'AFA, s'appliquent également aux filiales et aux sous-groupes dès lors qu'ils entrent dans le périmètre de consolidation concerné. L'assujettissement dépend de critères précis définis par voie réglementaire ; leur lecture ne souffre pas d'approximation.
Les huit mesures obligatoires comprennent, sans ordre de priorité : un code de conduite intégré au règlement intérieur, un dispositif d'alerte interne, une cartographie des risques de corruption et de trafic d'influence, des procédures d'évaluation des tiers, des procédures de contrôle comptable, un dispositif de formation des personnels exposés, un régime disciplinaire et un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre.
Dans notre pratique, nous constatons régulièrement que deux de ces piliers sont traités de façon insuffisante : la cartographie des risques, souvent trop générique, et les procédures d'évaluation des tiers, fréquemment limitées à un questionnaire non suivi d'effet. Or, l'AFA examine ces deux éléments en priorité lors de ses contrôles.
L'absence de programme ou un programme formellement constitué mais non opérationnel peut conduire à une injonction de mise en conformité assortie d'un calendrier contraignant, voire à une citation devant la commission des sanctions de l'AFA. Le risque ne se limite pas à l'entreprise : les dirigeants personnes physiques sont exposés à des poursuites pénales distinctes fondées sur les dispositions relatives à la corruption et au trafic d'influence.
Évaluer l'état de votre dispositif
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen de vos actes, de votre périmètre de consolidation et de la pratique de l'AFA dans votre secteur.
Pour une analyse de votre dispositif au regard des exigences de la loi Sapin II, écrivez-nous à contact@vernaylestang.com.
Quels sont les huit piliers d'un programme conforme aux exigences de l'AFA ?
Un programme conforme aux recommandations de l'AFA repose sur huit mesures distinctes, chacune devant être documentée, opérationnelle et périodiquement révisée. La conformité formelle – avoir un code de conduite signé et un système d'alerte installé – ne suffit pas : l'AFA examine l'effectivité du dispositif, c'est-à-dire la traçabilité des décisions prises, des formations dispensées et des alertes traitées.
- Code de conduite : document intégré au règlement intérieur, approuvé par l'instance dirigeante, définissant les comportements prohibés et les situations à risque propres à l'activité de l'entreprise.
- Dispositif d'alerte interne : canal sécurisé, confidentiel et accessible aux salariés et aux tiers, articulé avec les exigences du régime de protection des lanceurs d'alerte issu de la loi dite Wassermann-Sapin.
- Cartographie des risques : outil vivant, mis à jour selon une périodicité définie, croisant les activités, les géographies, les contreparties et les typologies d'actes corruptifs identifiés. Nous accompagnons les équipes dans la méthodologie de construction et dans la hiérarchisation des risques résiduels.
- Procédures d'évaluation des tiers : diligences raisonnables (en anglais : due diligence) conduites sur les clients, fournisseurs, intermédiaires et partenaires présentant un risque identifié, avec un niveau de vérification proportionnel au risque.
- Procédures de contrôle comptable : vérifications internes ou externes destinées à détecter les anomalies susceptibles de dissimuler des actes de corruption.
- Dispositif de formation : sessions ciblées pour les personnels les plus exposés – équipes commerciales, acheteurs, directions de filiales dans des zones à risque – avec traçabilité des participants.
- Régime disciplinaire : sanctions internes applicables en cas de manquement au code de conduite, intégrées au règlement intérieur conformément aux dispositions du Code du travail.
- Dispositif de contrôle et d'évaluation interne : revue périodique de l'ensemble des mesures, menée par le responsable conformité ou un tiers indépendant, donnant lieu à un rapport transmis à l'instance dirigeante.
Chacun de ces piliers est interdépendant. Une cartographie des risques bien construite nourrit les procédures d'évaluation des tiers et le plan de formation ; un dispositif d'alerte opérationnel renforce la fiabilité du contrôle interne. Leur cohérence d'ensemble est précisément ce que l'AFA vérifie lors d'un contrôle.
Comment Vernay & Lestang structure-t-il l'accompagnement d'un programme de conformité ?
L'accompagnement proposé par Vernay & Lestang suit une séquence en quatre phases, adaptée à la maturité du dispositif existant et au secteur d'activité de l'entreprise. Chaque phase donne lieu à un livrable documenté, utilisable par le responsable conformité dans ses échanges avec la direction générale et les commissaires aux comptes.
Phase 1 – Diagnostic de maturité. Nous examinons l'ensemble du dispositif existant au regard des recommandations de l'AFA et des positions jurisprudentielles de la commission des sanctions. Le diagnostic identifie les lacunes formelles, les insuffisances opérationnelles et les risques résiduels non couverts. Le livrable est un mémorandum de diagnostic avec une hiérarchisation des actions prioritaires.
Phase 2 – Construction ou refonte des mesures. Sur la base du diagnostic, nous co-construisons avec les équipes les documents manquants ou insuffisants : rédaction ou révision du code de conduite, structuration de la cartographie des risques de corruption, élaboration des procédures d'évaluation des tiers et des grilles de diligence raisonnable, rédaction des clauses contractuelles anticorruption pour les contrats avec les tiers à risque.
Phase 3 – Mise en cohérence avec le droit du travail et le droit des contrats. L'intégration du code de conduite au règlement intérieur, la mise en place du dispositif d'alerte et la définition du régime disciplinaire impliquent une articulation précise avec les dispositions du Code du travail. Nous assurons cette coordination, notamment lors des consultations des instances représentatives du personnel.
Phase 4 – Préparation aux contrôles et accompagnement continu. Nous assistons les responsables conformité dans la préparation aux contrôles de l'AFA, l'organisation des revues annuelles du programme et la gestion des alertes internes. En cas de procédure devant la commission des sanctions, nous assurons la défense de l'entreprise et de ses dirigeants.
Expérience de cabinet
Lors d'une mission conduite pour une entreprise de services industriels (région lyonnaise, printemps 2025), nous avons procédé à la refonte complète de la cartographie des risques et des procédures d'évaluation des tiers préalablement à un contrôle de l'AFA. Le dispositif restructuré a permis à la direction générale de présenter une documentation cohérente et traçable lors de l'instruction.
Vous avez déjà conduit une démarche de mise en conformité
Si une démarche antérieure a produit un résultat défavorable ou si votre programme n'a pas été actualisé depuis sa création, un regard extérieur permet d'identifier les leviers restants avant qu'un contrôle ne soit notifié.
Pour examiner l'application du dispositif Sapin II à votre organisation, contactez-nous à contact@vernaylestang.com.
Quels risques concrets découlent d'un programme insuffisant ou absent ?
Un programme insuffisant ou absent expose l'entreprise à plusieurs catégories de risques cumulatifs. Le risque le plus immédiat est procédural : l'AFA peut notifier un contrôle à tout moment, sans préavis imposé par les textes, et l'entreprise dispose alors d'un délai contraint pour produire sa documentation.
Le risque pénal est distinct et potentiellement plus grave. Les personnes physiques – directeur général, membres du conseil d'administration ayant reçu délégation de pouvoirs en matière de conformité – sont exposées aux poursuites pour corruption active ou passive, trafic d'influence et, le cas échéant, pour complicité. La défaillance du programme ne constitue pas en elle-même une infraction pénale autonome, mais elle prive l'entreprise et ses dirigeants de l'argument de « diligence raisonnable » lors d'une mise en examen.
Le risque contractuel est souvent sous-estimé. Les grands donneurs d'ordre – opérateurs publics, groupes cotés, partenaires étrangers soumis au FCPA américain ou au Bribery Act britannique – exigent désormais une attestation de conformité dans leurs procédures d'appels d'offres et de référencement fournisseurs. L'absence d'un programme documenté peut conduire à l'éviction d'une procédure de marché ou à la résiliation d'un contrat en cours.
Enfin, le risque réputationnel se matérialise dès la phase d'instruction d'une procédure AFA, dont les décisions sont publiées au Journal officiel. Nous accompagnons régulièrement des entreprises qui découvrent cette réalité au moment où il est le plus difficile d'y remédier.
Comment articuler le programme Sapin II avec la cartographie des risques et les procédures d'évaluation des tiers ?
La cartographie des risques de corruption constitue la colonne vertébrale du programme : elle conditionne la pertinence de toutes les autres mesures, notamment les diligences raisonnables sur les tiers et le plan de formation. Un programme dont la cartographie est générique ou obsolète est un programme dont aucun autre pilier n'est correctement calibré.
Dans notre pratique des programmes de conformité, nous structurons la cartographie autour de trois axes : les activités de l'entreprise susceptibles d'exposer à une demande ou à une offre de corruption, les géographies concernées selon les indices de perception de la corruption disponibles auprès des autorités compétentes, et les catégories de tiers – intermédiaires commerciaux, agents, sous-traitants, filiales dans des juridictions à risque – dont le profil appelle des diligences approfondies.
Les procédures d'évaluation des tiers découlent directement de cette cartographie. Elles doivent être proportionnées : un fournisseur de fournitures de bureau et un agent commercial dans une zone à risque élevé n'appellent pas le même niveau de diligence. La jurisprudence de la commission des sanctions de l'AFA a précisément sanctionné des entreprises dont les procédures d'évaluation étaient uniformes, sans gradation du niveau de vérification en fonction du profil de risque.
Nous accompagnons les équipes dans la construction de la cartographie des risques de corruption comme préalable indispensable à toute autre mesure du programme. Cette démarche intégrée réduit les risques de doublons et garantit la cohérence d'ensemble du dispositif lors d'un contrôle.
Quelles sont les idées reçues sur la conformité Sapin II qui exposent les entreprises ?
La première idée reçue est que la conformité Sapin II ne concerne que les grands groupes. En réalité, les obligations s'appliquent dès lors que les seuils réglementaires sont franchis, y compris pour des entreprises de taille intermédiaire dont l'effectif et le chiffre d'affaires dépassent les niveaux fixés. Par ailleurs, même les entreprises non assujetties ont intérêt à se doter d'un dispositif adapté, notamment pour satisfaire aux exigences contractuelles de leurs donneurs d'ordre assujettis.
La deuxième idée reçue est qu'un code de conduite publié sur l'intranet suffit. L'AFA attend la preuve de l'effectivité : les formations ont-elles été dispensées, les alertes traitées, les tiers évalués, les résultats des contrôles comptables documentés ? Un programme papier non opérationnel est traité comme une absence de programme lors d'un contrôle approfondi.
La troisième idée reçue porte sur le dispositif d'alerte interne. Certaines entreprises pensent pouvoir se limiter à un formulaire de signalement sans assurer la traçabilité du traitement des alertes. Or, les dispositions relatives à la protection des lanceurs d'alerte imposent des obligations de recevabilité, d'accusé de réception et de clôture documentée. L'absence de ces éléments peut constituer un manquement distinct, exposant les dirigeants à des sanctions propres.
Nous observons enfin une quatrième erreur fréquente : la délégation exclusive du programme à la direction des ressources humaines ou à la direction financière, sans coordination avec la direction juridique. La transversalité du programme – qui touche simultanément au droit pénal, au droit du travail, au droit des contrats et à la gouvernance – justifie une supervision juridique continue.
Expérience de cabinet
Dans le cadre d'une mission réalisée pour une ETI du secteur des services aux collectivités (Île-de-France, automne 2024), nous avons identifié lors d'un audit de maturité que le dispositif d'alerte interne ne respectait pas les exigences de traçabilité et de délai de réponse imposées par les textes. La mise en conformité a été menée avant la notification d'un contrôle AFA, dans un calendrier maîtrisé par l'entreprise.
Matrice de décision et check-list de préparation
La démarche à adopter varie selon la situation de l'entreprise. Voici une lecture synthétique des configurations les plus fréquentes :
Situation A – Entreprise nouvellement assujettie (franchissement de seuil) : construction du programme de zéro, débutant par la cartographie des risques et le code de conduite ; délai de mise en œuvre à déterminer selon le calendrier de l'entreprise ; niveau de risque élevé en l'absence d'action rapide.
Situation B – Programme existant mais non actualisé depuis plus de deux ans : audit de maturité prioritaire, puis mise à jour ciblée des mesures défaillantes ; niveau de risque moyen à élevé selon le contenu du programme initial.
Situation C – Contrôle AFA notifié ou procédure en cours : assistance immédiate dans la production des documents demandés, préparation des réponses aux questionnaires de l'AFA, défense devant la commission des sanctions le cas échéant ; niveau de risque immédiat, délais contraints.
Situation D – Groupe international soumis à plusieurs régimes (Sapin II, FCPA, Bribery Act) : harmonisation du programme et articulation entre les exigences des différentes législations, en coordination avec des conseils locaux dans les juridictions concernées ; niveau de complexité élevé.
Ce qu'il faut préparer avant d'engager la démarche :
- L'organigramme du groupe et la liste des entités entrant dans le périmètre Sapin II.
- Le programme de conformité existant et ses mises à jour documentées.
- La liste des tiers à risque identifiés et les procédures d'évaluation en vigueur.
- Les rapports des contrôles internes ou des audits antérieurs sur la conformité anticorruption.
- Toute correspondance avec l'AFA ou toute notification de contrôle reçue.
Domaines liés
- Cartographie des risques de corruption – construction méthodologique et mise à jour périodique du référentiel de risques anticorruption
- Plan de continuation et cession – gestion des procédures collectives et préservation des actifs en période de restructuration
FAQ – Programme de conformité anticorruption (Sapin II)
1. Programme de conformité anticorruption (Sapin II) : en quoi consiste cette prestation ?
La prestation de Vernay & Lestang couvre l'ensemble du cycle de vie du programme anticorruption : diagnostic de l'existant, construction ou refonte des huit mesures obligatoires, intégration dans les documents de gouvernance (règlement intérieur, contrats avec les tiers), préparation aux contrôles de l'AFA et défense en cas de procédure devant la commission des sanctions. Elle s'adresse aux entreprises assujetties à la loi Sapin II ainsi qu'aux groupes souhaitant aligner leur dispositif sur les meilleures pratiques, indépendamment de leur obligation formelle.
2. Programme de conformité anticorruption (Sapin II) : quelles sont les étapes de l'accompagnement ?
L'accompagnement suit quatre phases séquentielles : (1) diagnostic de maturité aboutissant à un mémorandum hiérarchisant les actions prioritaires ; (2) construction ou révision des mesures défaillantes, avec livrables documentés pour chaque pilier ; (3) mise en cohérence avec le Code du travail pour l'intégration au règlement intérieur et la consultation des instances représentatives du personnel ; (4) accompagnement continu incluant la préparation aux contrôles AFA et la gestion des alertes internes. Chaque phase est adaptée au secteur et à la taille de l'entreprise.
3. Programme de conformité anticorruption (Sapin II) : quelles prestations connexes peuvent être utiles ?
Les prestations les plus fréquemment combinées sont la construction de la cartographie des risques de corruption – préalable indispensable au calibrage de l'ensemble du programme – et l'audit des procédures contractuelles avec les tiers à risque. Pour les groupes en restructuration, l'articulation entre le programme de conformité et les procédures collectives peut également nécessiter un accompagnement coordonné, notamment pour préserver la continuité du dispositif en période de cession ou de plan de continuation.
4. À partir de quel moment une entreprise doit-elle mettre en place un programme Sapin II ?
L'obligation de mise en place d'un programme de conformité anticorruption naît dès que l'entreprise franchit les seuils d'assujettissement fixés par les textes réglementaires, qui portent sur l'effectif et le chiffre d'affaires consolidé. La loi Sapin II et ses textes d'application définissent ces seuils avec précision ; leur vérification est le premier acte d'un diagnostic de conformité. Les entreprises qui approchent ces seuils ont intérêt à anticiper leur assujettissement, notamment lors d'une acquisition qui ferait franchir les niveaux concernés.
5. Comment le dispositif d'alerte interne doit-il être structuré pour être conforme ?
Le dispositif d'alerte interne doit être sécurisé, confidentiel, accessible aux salariés et, pour les entreprises dépassant un certain effectif, aux collaborateurs extérieurs et aux tiers. Il doit prévoir un accusé de réception, un délai de traitement et une clôture documentée de chaque signalement. Les dispositions relatives à la protection des lanceurs d'alerte – issues du régime applicable en France depuis la transposition de la directive européenne – imposent des garanties spécifiques contre les représailles. L'absence de ces éléments constitue un manquement autonome, distinct des autres piliers du programme.
Vernay & Lestang – Conformité anticorruption
Vernay & Lestang est un cabinet d'avocats d'affaires parisien indépendant. Nous accompagnons les directions juridiques et les responsables conformité dans la construction, l'audit et la défense des programmes anticorruption au sens de la loi Sapin II. Notre intervention couvre l'ensemble du cycle – du diagnostic initial à la procédure devant la commission des sanctions de l'AFA – avec une approche coordonnée entre droit pénal des affaires, droit du travail et droit des contrats.
Pour une analyse de votre programme au regard des exigences Sapin II, écrivez-nous à contact@vernaylestang.com. Les honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité. – Voir le profil – Publié le 5 janvier 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.