Évolution du cadre de conformité des entreprises : qui est concerné et que faire
L'évolution du cadre de conformité des entreprises traduit un mouvement de fond : les obligations pesant sur les sociétés françaises s'intensifient, les autorités de contrôle renforcent leurs capacités d'instruction et le coût de l'inaction devient structurellement plus élevé que celui de la mise en conformité. Rattachée au dispositif anticorruption issu de la loi Sapin II, aux dispositions du Code de commerce relatives au droit de la concurrence et au Règlement général sur la protection des données, cette évolution concerne des entreprises de périmètres et de tailles variés.
Depuis le premier semestre 2026, plusieurs glissements normatifs convergent vers un standard rehaussé d'effectivité des programmes de conformité. Un compliance officer qui n'a pas réévalué son dispositif depuis dix-huit mois expose son organisation à un écart croissant entre les exigences des textes et la réalité opérationnelle. Cette note décrypte ce qui change, qui est concerné et quelles actions engager.
Elle s'articule autour de six axes : le périmètre des entreprises concernées, le contenu concret des nouvelles obligations, les risques en cas d'inaction, les points de vigilance procéduraux, la méthode de mise à jour du dispositif, et les documents à préparer en priorité.
Quelles entreprises sont concernées par l'évolution du cadre de conformité ?
L'évolution du cadre de conformité des entreprises ne se résume pas à une question de taille. Le périmètre est défini par le croisement de plusieurs critères : secteur d'activité, exposition aux risques de corruption et d'atteinte à la probité, nature des activités de traitement de données, et position sur certains marchés au sens du droit de la concurrence. Une PME sous-traitante d'un groupe soumis à la loi Sapin II peut se trouver contractuellement contrainte de se conformer à des standards équivalents à ceux de son donneur d'ordre.
Dans notre pratique des programmes de conformité, nous observons trois catégories d'entreprises particulièrement exposées à cette évolution. La première regroupe les sociétés directement assujetties aux obligations du dispositif anticorruption, c'est-à-dire celles qui dépassent les seuils de salariés et de chiffre d'affaires fixés par les textes en vigueur. La deuxième comprend les entreprises opérant dans des secteurs réglementés – santé, défense, marchés publics, énergie – où les autorités sectorielles ont aligné leurs attentes sur les standards les plus exigeants. La troisième, moins visible, rassemble les entreprises que leurs partenaires contractuels, leurs clients ou leurs investisseurs contraignent à démontrer une conformité effective, indépendamment de tout seuil légal.
Le droit de la concurrence ajoute une couche distincte. Les dispositions du Code de commerce relatives aux pratiques anticoncurrentielles – abus de position dominante, ententes illicites, pratiques restrictives de concurrence – s'appliquent indépendamment des seuils du dispositif anticorruption. Une entreprise qui occupe une position significative sur son marché, même régional, peut se trouver exposée à une procédure de l'Autorité de la concurrence sans avoir jamais considéré se doter d'un programme de conformité concurrence.
Ce qui change concrètement : nouvelles obligations et renforcement des standards
L'évolution porte principalement sur l'effectivité exigée des programmes de conformité, et non plus seulement sur leur existence formelle. Disposer d'un code de conduite affiché sur l'intranet ne suffit plus à démontrer que le dispositif est opérationnel. Les autorités de contrôle – l'Agence française anticorruption (AFA) au premier chef, mais aussi la CNIL pour la dimension données et l'Autorité de la concurrence pour les pratiques restrictives – renforcent leurs exigences de traçabilité, de mise à jour périodique et de formation des personnels exposés.
Plusieurs évolutions pratiques méritent d'être signalées. D'abord, le standard de la cartographie des risques : elle doit désormais être régulièrement actualisée, documentée et intégrée dans les décisions opérationnelles, et non plus traitée comme un exercice ponctuel de gouvernance. Ensuite, le dispositif d'alerte interne : les exigences issues de la transposition de la directive européenne sur la protection des lanceurs d'alerte ont étendu le périmètre des structures tenues de mettre en place un canal dédié et sécurisé. Le dispositif d'alerte interne et la protection du lanceur d'alerte font l'objet d'un encadrement renforcé qui impose une révision des procédures existantes.
Par ailleurs, les obligations et conformité en matière de données personnelles continuent d'évoluer sous l'influence de décisions de la CNIL et d'orientations du Comité européen de la protection des données. La cartographie des traitements, les analyses d'impact relatives à la protection des données (AIPD) et les clauses contractuelles imposées aux sous-traitants constituent des points de contrôle régulièrement vérifiés lors des inspections.
Votre dispositif est-il aligné sur les nouvelles exigences ?
La procédure de contrôle de l'AFA ou une demande d'information de l'Autorité de la concurrence peut intervenir à tout moment. Un écart entre le programme formalisé et les pratiques réelles est le premier facteur de risque identifié lors des instructions.
Pour une première analyse de votre dispositif au regard de l'évolution du cadre de conformité, écrivez-nous à contact@vernaylestang.com.
Quels risques en cas d'inaction face à ces évolutions ?
L'inaction face à l'évolution du cadre de conformité des entreprises expose à des risques de nature différente, dont aucun ne doit être minimisé. Le risque le plus immédiat est le risque administratif : une insuffisance du programme de conformité détectée lors d'un contrôle de l'AFA peut conduire à des recommandations contraignantes, à une mise en demeure et, à terme, à des sanctions dont les textes encadrent le montant sans que le REGISTRE disponible permette de les chiffrer ici de manière fiable. Le cabinet retient que ces sanctions peuvent être substantielles et affecter directement la direction générale comme la personne morale.
Le risque concurrentiel est souvent sous-estimé. Une entreprise qui ne dispose pas d'un programme de conformité concurrence documenté s'expose, en cas de procédure de l'Autorité de la concurrence, à ne pas pouvoir bénéficier des circonstances atténuantes que les lignes directrices de l'Autorité reconnaissent à celles qui ont mis en place un programme effectif avant le déclenchement de la procédure. Le périmètre des comportements susceptibles de constituer un abus ou une entente est plus large que ce qu'une direction juridique non spécialisée anticipe généralement.
Le risque réputationnel, enfin, est difficilement quantifiable mais réel. Dans notre pratique, nous accompagnons régulièrement des entreprises confrontées à une procédure publique ou à un signalement qui révèle une insuffisance de leur dispositif. La gestion de crise qui s'ensuit mobilise des ressources sans commune mesure avec le coût d'une mise en conformité préventive. Le décryptage de l'impact pratique et des étapes de préparation que nous avons publié détaille les conséquences opérationnelles de ces situations.
Points de vigilance procéduraux : ce que les autorités vérifient en pratique
L'expérience des procédures de contrôle menées par l'AFA et des instructions conduites par l'Autorité de la concurrence montre que les vérifications portent systématiquement sur quelques points nodaux, indépendamment du secteur d'activité. Les identifier en amont permet d'orienter les efforts de mise en conformité de manière ciblée plutôt que de procéder à une révision exhaustive et coûteuse de l'ensemble du dispositif.
Premier point de vigilance : la documentation de la cartographie des risques. Les contrôleurs vérifient non seulement l'existence du document, mais la méthodologie utilisée pour l'élaborer, la date de sa dernière mise à jour et la manière dont ses conclusions ont été répercutées dans les procédures opérationnelles. Une cartographie datée de plusieurs années, non révisée à la suite d'une acquisition ou d'une entrée sur un nouveau marché, constitue un signal d'alerte immédiat.
Deuxième point : la traçabilité des formations. L'obligation de former les personnels exposés aux risques de corruption ou aux comportements anticoncurrentiels suppose que l'entreprise soit en mesure de produire les supports utilisés, les listes de présence, les dates et la fréquence des sessions. Une formation « une fois pour toutes » lors de l'intégration ne satisfait pas aux exigences de périodicité que les autorités de contrôle attendent.
Troisième point : l'effectivité du dispositif d'alerte. Il ne suffit pas qu'un canal existe. Les autorités vérifient que le canal est connu des salariés, que les alertes reçues sont traitées selon une procédure documentée et que le signalant bénéficie de la protection prévue par les textes. Ce point est également au cœur des dispositions du Code du travail relatives à la protection des lanceurs d'alerte.
Illustration – Contrôle AFA (Île-de-France, printemps 2025)
Nous avons accompagné une entreprise de services professionnels de la région parisienne lors d'un contrôle de l'AFA portant sur son programme de conformité anticorruption. La cartographie des risques n'avait pas été actualisée depuis l'acquisition d'une filiale étrangère. Nous avons assisté l'entreprise dans la reconstitution de la documentation, la révision méthodologique de la cartographie et la préparation des réponses aux demandes de l'Autorité. Le contrôle s'est conclu sans recommandation contraignante.
Vous avez déjà engagé une démarche et souhaitez un second regard ?
Si une révision interne a mis au jour des lacunes ou si un contrôle est annoncé, l'analyse externe des points de fragilité restants permet d'identifier les leviers disponibles avant la phase contradictoire.
Pour examiner l'application des textes à votre situation, contactez-nous à contact@vernaylestang.com.
Comment mettre à jour le dispositif de conformité : méthode recommandée
La mise à jour d'un programme de conformité ne s'improvise pas. Dans notre pratique des dossiers de conformité concurrence et anticorruption, nous observons que les entreprises qui abordent cet exercice sans méthode produisent des révisions partielles qui créent de nouvelles incohérences sans résorber les risques existants. La démarche recommandée suit une logique en quatre temps.
Le premier temps est celui du diagnostic. Il consiste à confronter le dispositif existant – cartographie des risques, code de conduite, procédures d'alerte, plan de formation, procédures de contrôle comptable – aux nouvelles exigences applicables et aux points de vigilance procéduraux identifiés ci-dessus. Ce diagnostic doit être conduit à partir des textes actuellement en vigueur et des lignes directrices publiées par les autorités compétentes, et non d'un référentiel interne non actualisé.
Le deuxième temps est celui de la priorisation. Toutes les lacunes n'appellent pas le même niveau d'urgence. Une absence de canal d'alerte conforme est plus exposante qu'un code de conduite dont la formulation mériterait d'être précisée. La priorisation doit être documentée : elle témoigne, en cas de contrôle, que l'entreprise a adopté une approche structurée et proportionnée.
Le troisième temps est celui de la révision documentaire et opérationnelle. Il porte sur la rédaction ou la mise à jour des documents du programme, mais aussi sur leur diffusion effective, la formation des équipes concernées et la vérification de l'intégration des procédures dans les outils et les flux opérationnels.
Le quatrième temps est celui du test et de la traçabilité. Une révision non testée n'est pas une révision achevée. Les procédures révisées doivent faire l'objet d'un exercice de simulation ou d'un audit interne documenté, dont les conclusions seront conservées pour démontrer l'effectivité du programme en cas de contrôle ultérieur.
Pour les entreprises qui souhaitent situer leur dispositif par rapport à l'évolution du droit applicable à d'autres situations de transformation, la lecture de notre analyse sur l'évolution du droit de la restructuration offre un cadre de comparaison utile sur la méthode de préparation.
Check-list : ce qu'il faut préparer en priorité
Une entreprise confrontée à l'évolution du cadre de conformité doit s'assurer que les éléments suivants sont disponibles, à jour et documentés avant qu'un contrôle soit annoncé.
- Cartographie des risques actualisée – datée, méthodologiquement documentée, révisée après tout événement significatif (acquisition, nouvelle activité, changement de marché).
- Dispositif d'alerte interne conforme – canal opérationnel, procédure de traitement documentée, salariés informés, protection du signalant garantie par écrit.
- Plan de formation à jour – supports datés, liste des personnels formés, fréquence de recyclage respectée, traçabilité des sessions.
- Code de conduite révisé – aligné sur les textes en vigueur, signé ou reconnu par les personnels concernés, décliné pour les tiers (fournisseurs, partenaires, intermédiaires commerciaux).
- Registre des traitements de données à jour – cohérent avec les pratiques réelles, AIPD réalisées pour les traitements à risque élevé, clauses sous-traitance conformes au RGPD.
Matrice de décision – orientation selon la situation de l'entreprise
Situation A : entreprise directement assujettie au dispositif anticorruption (seuils légaux atteints), cartographie non révisée depuis plus de douze mois → priorité : révision urgente de la cartographie et audit du dispositif d'alerte, avant toute autre démarche.
Situation B : entreprise non directement assujettie mais exerçant dans un secteur réglementé ou liée à un donneur d'ordre soumis aux obligations → priorité : évaluation de l'exposition contractuelle et rédaction d'un programme proportionné, niveau de risque modéré mais croissant.
Situation C : entreprise détenant une position significative sur son marché, sans programme de conformité concurrence formalisé → priorité : diagnostic du risque concurrence, formation des équipes commerciales et direction générale, niveau de risque élevé en cas de déclenchement d'une procédure.
Domaines liés
- Dispositif d'alerte interne et lanceur d'alerte – cadre légal, obligations et mise en place du canal sécurisé
- Évolution du cadre de conformité : impact pratique et préparation – analyse opérationnelle et étapes de mise en conformité
Illustration – Programme de conformité concurrence (Grand Est, hiver 2025–2026)
Nous avons assisté une entreprise industrielle établie dans la région Grand Est dans la mise en place d'un programme de conformité concurrence, à la suite d'une demande de son actionnaire minoritaire entrant. Le diagnostic initial a révélé l'absence de procédure documentée sur les échanges d'informations entre concurrents lors de salons professionnels. Nous avons accompagné la rédaction des procédures, la formation des équipes commerciales et la mise en place d'un suivi trimestriel de l'effectivité du programme.
FAQ – Évolution du cadre de conformité des entreprises
1. Quelles sanctions en cas de non-conformité ?
Les sanctions applicables en cas de défaillance du programme de conformité varient selon le fondement de la procédure : l'AFA peut adresser des recommandations contraignantes et des injonctions aux personnes morales et physiques concernées ; l'Autorité de la concurrence dispose du pouvoir de prononcer des sanctions pécuniaires déterminées en fonction du dommage à l'économie et des circonstances de l'infraction ; la CNIL peut mettre en demeure et sanctionner les manquements au RGPD. Dans notre pratique, l'insuffisance du programme de conformité est systématiquement traitée comme un facteur aggravant lors de l'instruction, ce qui justifie une mise en conformité préventive.
2. Quelles démarches engager en priorité ?
La première démarche consiste à conduire un diagnostic du dispositif existant au regard des obligations actuelles, en identifiant les écarts par ordre de criticité. L'expérience des dossiers traités par le cabinet montre que la cartographie des risques et le dispositif d'alerte sont les deux points de contrôle les plus fréquemment défaillants lors des inspections. Une fois les priorités établies, la révision documentaire et la formation des personnels exposés constituent les étapes suivantes, avant la mise en place d'un mécanisme de test périodique.
3. Quels documents ou process mettre à jour ?
Les documents et processus à réviser en priorité sont : la cartographie des risques (anticorruption et, le cas échéant, concurrence et données), le code de conduite et ses annexes tiers, le règlement intérieur du dispositif d'alerte, les supports et registres de formation, les clauses de conformité insérées dans les contrats avec les fournisseurs et intermédiaires, et le registre des traitements de données personnelles. La cohérence entre ces documents est aussi importante que leur existence individuelle : une incohérence entre la cartographie et les procédures opérationnelles est un signal d'alerte lors des contrôles.
4. Le programme de conformité s'impose-t-il aux filiales et aux sous-traitants ?
Le programme de conformité doit, selon les dispositions applicables au dispositif anticorruption, être étendu aux filiales que la société contrôle, quel que soit leur pays d'établissement. Pour les sous-traitants et partenaires commerciaux, les textes imposent des procédures d'évaluation et de vérification des tiers, qui se traduisent par des clauses contractuelles et des questionnaires de diligence raisonnable. Une entreprise qui omet ce volet « tiers » expose l'ensemble de son programme à une critique d'effectivité.
5. Quel est le rôle de l'avocat concurrence Paris dans la mise en conformité ?
Un avocat spécialisé en conformité et en droit de la concurrence intervient à plusieurs stades : l'analyse juridique des obligations applicables à l'entreprise selon son secteur et sa taille, la rédaction ou la révision des documents du programme, la formation des équipes dirigeantes et opérationnelles, et l'assistance lors des procédures de contrôle. Dans le cadre d'une procédure devant l'Autorité de la concurrence, la qualité et l'antériorité du programme de conformité concurrence peuvent influer sur l'appréciation portée par l'Autorité sur la situation de l'entreprise.
Vernay & Lestang – Avocats d'affaires · Paris
Le cabinet accompagne les entreprises dans la conception, la révision et la défense de leurs programmes de conformité, au regard du dispositif anticorruption, du droit de la concurrence et des obligations en matière de données personnelles. Nos interventions couvrent le diagnostic initial, la révision documentaire, la formation des équipes et l'assistance lors des procédures de contrôle conduites par l'AFA, l'Autorité de la concurrence ou la CNIL.
Notre approche est fondée sur une lecture précise des textes en vigueur et sur l'expérience des procédures effectivement conduites par les autorités de contrôle. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dispositif de conformité, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de données personnelles et de conformité. Voir son profil. Article publié le 16 juin 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.