Renforcement des obligations anticorruption : points de vigilance pour les dirigeants

Un responsable conformité qui prenait appui sur les exigences de la loi Sapin II découvre aujourd'hui que le cadre anticorruption se resserre encore. Des textes récents – et des lignes directrices actualisées de l'Agence française anticorruption (AFA) – rehaussent les attentes en matière de programme de conformité, élargissent le cercle des acteurs soumis à contrôle et précisent les conséquences d'un manquement. Pour les dirigeants et les compliance officers, la question n'est plus de savoir si l'entreprise est concernée, mais d'identifier ce qu'il reste à faire avant la prochaine revue ou le prochain contrôle.

Le renforcement des obligations anticorruption s'appuie sur le dispositif issu de la loi Sapin II et sur les recommandations de l'AFA, eux-mêmes intégrés dans le Code pénal et dans le corpus du Code de commerce relatif aux relations d'affaires. Il impose aux entreprises assujetties de vérifier et, le cas échéant, de densifier leur programme de conformité : cartographie des risques, procédures internes, formation, dispositif d'alerte et évaluation des tiers constituent les piliers de cet édifice. Tout manquement expose la direction à une injonction de l'AFA et, en cas d'infraction avérée, à des sanctions pénales.

Cette alerte examine ce qui change concrètement, qui est concerné, quelles actions conduire en priorité et selon quel calendrier. Elle s'adresse aux dirigeants, aux directeurs juridiques et aux compliance officers d'entreprises françaises et de filiales françaises de groupes étrangers.

Ce qui change concrètement : un durcissement sur trois fronts

Le renforcement des obligations anticorruption se traduit par une triple évolution : des recommandations de l'AFA actualisées qui élèvent le niveau d'exigence attendu, un contrôle plus systématique de la mise en œuvre effective des programmes, et une attention accrue portée aux acteurs de taille intermédiaire qui se situaient jusqu'ici dans un angle mort. Ce triple mouvement correspond à une tendance de fond observée depuis plusieurs exercices dans notre pratique des programmes de conformité.

Sur le premier front, l'AFA a affiné ses recommandations relatives aux huit piliers du programme anticorruption. L'exigence de mise à jour régulière de la cartographie des risques est désormais explicite : une cartographie statique, établie une fois pour toutes, ne satisfait plus aux attentes exprimées lors des contrôles. Elle doit intégrer les évolutions de l'activité, des marchés servis et des tiers avec lesquels l'entreprise entretient des relations d'affaires significatives.

Sur le deuxième front, les contrôles de l'AFA s'orientent vers une vérification de l'effectivité et non plus seulement de l'existence formelle des dispositifs. Disposer d'une charte éthique sans formation documentée des équipes, ou d'une procédure de signalement sans test de fonctionnement, expose l'entreprise à une injonction de mise en conformité. La distinction entre la forme et l'effectivité du programme est le principal vecteur de risque que nous observons aujourd'hui.

Sur le troisième front, des groupes qui se situaient en dessous des seuils légaux d'assujettissement direct peuvent désormais être atteints indirectement, notamment lorsqu'ils interviennent dans la chaîne de valeur d'un donneur d'ordres lui-même soumis aux obligations légales. Ce dernier est tenu d'évaluer ses tiers, y compris ses fournisseurs et sous-traitants de rang significatif, au titre des diligences anticorruption.

Qui est concerné par le renforcement des obligations anticorruption ?

Sont directement assujettis aux obligations légales de programme anticorruption les sociétés qui dépassent des seuils fixés par les textes en termes d'effectifs et de chiffre d'affaires, ainsi que leurs filiales et sociétés contrôlées, dès lors que l'entité tête de groupe dépasse ces seuils. Le périmètre couvre aussi bien les sociétés françaises cotées ou non cotées que les filiales françaises de groupes étrangers actifs en France.

Au-delà de l'assujettissement direct, deux catégories d'entreprises doivent porter une attention renforcée à cette évolution. Premièrement, les entreprises qui fournissent des biens ou des services à des donneurs d'ordres assujettis : elles font l'objet d'évaluations anticorruption de la part de ces clients et se trouvent ainsi soumises à une pression contractuelle croissante. Deuxièmement, les entreprises candidates à un marché public ou à un partenariat avec une entité publique : les critères d'intégrité y sont vérifiés avec une rigueur accrue.

Les dirigeants – président, directeur général, membres du directoire – portent une responsabilité personnelle dans la mise en place et le maintien du programme. Cette responsabilité n'est pas déléguée à la seule direction de la conformité : le message porté par la direction générale (tone at the top) constitue l'un des critères d'évaluation de l'AFA. Nous accompagnons régulièrement des directions générales dans la définition de cette posture et de ses déclinaisons opérationnelles.

Quelles nouvelles obligations cela implique-t-il ?

Les nouvelles obligations ne créent pas un régime ex nihilo, mais elles rehaussent sensiblement le niveau d'exigence sur chacun des piliers du programme de conformité anticorruption. Pour chaque pilier, la question pertinente n'est plus « existe-t-il un document ? » mais « ce document est-il opérationnel, connu des équipes et régulièrement mis à l'épreuve ? ».

La cartographie des risques doit désormais refléter une analyse des risques propres à l'entreprise, avec une granularité suffisante pour identifier les fonctions, les zones géographiques et les types de tiers exposés. Une cartographie copiée sur un référentiel sectoriel sans adaptation au contexte de l'entreprise ne satisfait pas à cette exigence.

Le code de conduite anticorruption – qui décrit les comportements interdits et les situations à risque – doit être intégré au règlement intérieur ou à un document de portée équivalente, et faire l'objet d'une diffusion documentée auprès de l'ensemble du personnel. Son actualisation doit suivre celle de la cartographie.

Le dispositif d'alerte interne, au sens des dispositions applicables, doit garantir la confidentialité du signalement, protéger le lanceur d'alerte et prévoir un circuit de traitement tracé. L'absence d'un tel dispositif opérationnel ou son caractère purement formel constitue un manquement identifié lors des contrôles de l'AFA.

L'évaluation des tiers – fournisseurs, prestataires, intermédiaires, agents commerciaux – doit être proportionnée au risque identifié dans la cartographie. Elle suppose une procédure de screening (sélection, vérification, approbation), une documentation des vérifications effectuées et un suivi des situations à risque dans la durée de la relation.

La formation des collaborateurs exposés constitue une obligation d'effectivité : les sessions de sensibilisation doivent être adaptées au poste, traçables et renouvelées à une fréquence cohérente avec les évolutions du dispositif. Une formation datant de plusieurs années, non actualisée, expose l'entreprise lors d'un contrôle.

Enfin, le dispositif de contrôle interne et d'audit du programme doit intégrer des indicateurs permettant de mesurer l'effectivité des procédures, pas seulement leur existence. Le rapport de l'organe de direction sur le programme anticorruption doit rendre compte de ces résultats.

Quels sont les risques d'un manquement aux obligations anticorruption ?

Un manquement aux obligations de mise en place d'un programme de conformité n'est pas directement une infraction pénale en soi – mais il expose l'entreprise à plusieurs mécanismes de sanction qui peuvent se cumuler. Cette superposition des risques est souvent mal appréhendée par les dirigeants lors d'une première rencontre avec le sujet.

L'AFA dispose du pouvoir d'enjoindre l'entreprise de se mettre en conformité dans un délai qu'elle fixe, et de prononcer des sanctions administratives en cas de manquement persistant. Ces sanctions sont susceptibles d'être publiées, ce qui génère un risque réputationnel significatif au-delà de la sanction elle-même.

Sur le plan pénal, la corruption active ou passive, le trafic d'influence et les infractions connexes exposent les personnes physiques à des peines d'emprisonnement et à des amendes. Les personnes morales peuvent se voir infliger des amendes dont le montant peut atteindre plusieurs fois celui prévu pour les personnes physiques, ainsi que des peines complémentaires telles que l'exclusion des marchés publics.

Un programme de conformité effectif est reconnu par les autorités compétentes comme un facteur d'atténuation – sans constituer une garantie – lorsqu'une infraction est néanmoins commise. Il peut peser sur l'appréciation de la bonne foi et de la diligence de la direction. C'est l'une des raisons pour lesquelles le programme n'est pas seulement une contrainte réglementaire, mais aussi un investissement de protection.

Pour une analyse approfondie de la cartographie des risques de corruption dans votre secteur, notre équipe peut conduire un diagnostic des zones d'exposition prioritaires.

Comment préparer l'entreprise : actions et calendrier

Face au renforcement des obligations anticorruption, la préparation suit une logique séquentielle qui part du diagnostic pour aller vers l'amélioration continue. Dans notre pratique, nous recommandons d'articuler cette préparation en quatre temps, indépendamment de la taille ou du secteur de l'entreprise.

Premier temps – le diagnostic de conformité : évaluer l'état du programme au regard des exigences actualisées, identifier les écarts, hiérarchiser les manquements par niveau de risque. Ce diagnostic doit couvrir les huit piliers et s'appuyer sur une revue documentaire et des entretiens avec les fonctions exposées.

Deuxième temps – la mise à jour prioritaire : actualiser la cartographie des risques, réviser le code de conduite et les procédures d'évaluation des tiers. Ces trois éléments forment le socle sur lequel s'appuient tous les autres piliers. Un défaut sur l'un d'eux fragilise l'ensemble du dispositif.

Troisième temps – la formation et la communication : organiser des sessions de sensibilisation adaptées aux fonctions à risque, documenter les participants et les contenus, mettre à jour l'affichage interne et les supports de référence. Le tone at the top se traduit ici par une prise de parole documentée de la direction générale.

Quatrième temps – le contrôle et l'amélioration continue : mettre en place un tableau de bord de suivi des indicateurs du programme, définir la fréquence des revues et l'articulation entre audit interne et rapport à la direction. Ce cycle de contrôle est le signe le plus visible de l'effectivité du programme aux yeux de l'AFA.

Vous trouverez une analyse complémentaire de ce cadre dans notre dossier sur ce que les entreprises doivent anticiper face au renforcement des obligations anticorruption.

Matrice de décision : quel niveau d'intervention selon votre situation ?

La réponse appropriée varie selon l'état du programme existant et l'horizon de contrôle envisagé. Voici une grille de lecture orientée décision.

Situation A – programme inexistant ou purement formel : l'entreprise ne dispose ni de cartographie récente ni de procédures documentées. Instrument requis : refondation complète du programme. Délai : celui fixé par les textes en cas d'injonction de l'AFA est contraignant ; anticiper vaut mieux. Niveau de risque : élevé, notamment en cas de contrôle ou d'appel d'offres public.

Situation B – programme existant mais non mis à jour : les documents sont en place mais n'ont pas été révisés depuis plusieurs exercices. Instrument requis : mise à jour de la cartographie, révision du code de conduite et plan de formation. Délai : à planifier dans les mois suivant l'alerte réglementaire. Niveau de risque : moyen, avec un risque résiduel identifiable lors d'un contrôle d'effectivité.

Situation C – programme actif mais insuffisamment testé : les procédures existent, sont connues des équipes, mais aucun test du dispositif d'alerte ni audit interne du programme n'a été conduit. Instrument requis : exercice de test, audit interne ciblé et rapport à la direction. Délai : court, idéalement avant le prochain exercice ou la prochaine revue externe. Niveau de risque : faible à moyen, atténuable rapidement.

Check-list « ce qu'il faut préparer »

• Vérifier que la cartographie des risques de corruption a été mise à jour au cours des douze derniers mois et qu'elle intègre les tiers significatifs et les zones géographiques à risque.
• Contrôler que le code de conduite anticorruption est intégré au règlement intérieur, diffusé à l'ensemble du personnel et accessible.
• S'assurer que le dispositif d'alerte interne est opérationnel, testé et documenté, et que la liste des tiers faisant l'objet d'une évaluation est à jour.
• Recenser les sessions de formation des collaborateurs exposés conduites au cours de l'exercice écoulé et planifier celles manquantes.
• Préparer le rapport de la direction sur le programme anticorruption et y intégrer les indicateurs d'effectivité.

Dans notre pratique, un groupe industriel de taille intermédiaire (Nantes, printemps 2025) a fait appel à nos services après avoir reçu une demande de diligences anticorruption de la part d'un donneur d'ordres lui-même soumis aux obligations légales. Nous avons conduit un diagnostic du programme existant, identifié les lacunes prioritaires – cartographie non actualisée depuis trois ans, dispositif d'alerte non testé – et accompagné la mise en conformité dans un calendrier adapté à l'échéance contractuelle imposée par le client. L'entreprise a pu répondre aux exigences du donneur d'ordres dans les délais impartis.

Pour les entreprises qui souhaitent également sécuriser leur situation en cas de difficultés opérationnelles affectant leur calendrier de mise en conformité, notre guide sur comment anticiper les difficultés et recourir au mandat ad hoc apporte un éclairage complémentaire sur les marges de manœuvre disponibles.

Domaines liés

• Cartographie des risques de corruption – identification et hiérarchisation des zones d'exposition prioritaires
• Ce que les entreprises doivent anticiper – analyse approfondie des impacts du renforcement réglementaire