Loi Sapin II et obligations anticorruption : le cadre juridique expliqué aux dirigeants
Un dirigeant qui découvre, à l'occasion d'un contrôle de l'Agence française anticorruption, que le programme de conformité de son entreprise ne satisfait pas aux exigences légales s'expose à des sanctions personnelles significatives. Depuis son entrée en vigueur, la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – dite loi Sapin II – a profondément reconfiguré les obligations pesant sur les entreprises françaises et leurs dirigeants. Elle s'inscrit dans une architecture juridique d'ensemble, articulée autour du Code pénal, du Code de commerce et du régime de contrôle de l'Agence française anticorruption.
La loi Sapin II et les obligations anticorruption qui en découlent imposent aux sociétés dépassant les seuils légaux de mettre en place un programme de conformité structuré en huit piliers, sous peine de sanctions administratives à l'encontre de l'entreprise et de ses dirigeants. Ce cadre s'applique indépendamment de tout comportement corruptif avéré : l'absence du dispositif suffit à constituer un manquement.
Ce dossier expose le cadre juridique applicable, les risques concrets pour la direction, les leviers d'action et les points d'attention que nous identifions dans notre pratique des programmes de conformité. Il s'adresse aux responsables conformité, aux directeurs juridiques et aux dirigeants qui souhaitent comprendre leur exposition réelle avant d'agir.
Quels sont les fondements juridiques de la loi Sapin II et de ses obligations anticorruption ?
La loi Sapin II désigne la loi n° 2016-1691 du 9 décembre 2016, codifiée pour l'essentiel dans le Code pénal, le Code de commerce et la loi elle-même pour les dispositions institutionnelles. Elle crée une obligation autonome de prévention de la corruption, distincte des infractions pénales de corruption active et passive existantes. L'entreprise peut donc être sanctionnée pour carence du dispositif, sans qu'aucun acte corruptif n'ait été commis.
Trois textes forment le socle normatif. D'abord, les dispositions de la loi Sapin II relatives à l'obligation de mise en conformité, qui s'imposent aux sociétés atteignant un seuil d'effectif et de chiffre d'affaires consolidé déterminé par les textes. Ensuite, les dispositions du Code pénal relatives aux infractions de corruption, de trafic d'influence et de prise illégale d'intérêts, qui restent pleinement applicables. Enfin, les recommandations de l'Agence française anticorruption – autorité administrative indépendante créée par la même loi – qui précisent les attentes en termes de contenu et de mise en œuvre du programme.
L'articulation avec les textes européens et internationaux est importante. La Convention de l'OCDE sur la lutte contre la corruption d'agents publics étrangers, les directives européennes en matière de passation de marchés et le règlement général sur la protection des données forment un environnement normatif dense que les sociétés opérant à l'international doivent appréhender de manière cohérente. Nous observons que les entreprises qui traitent ces textes de façon isolée s'exposent à des redondances coûteuses et à des lacunes dans leur couverture.
Qui est concerné par les obligations de la loi Sapin II ?
Les obligations de mise en place d'un programme anticorruption visent les sociétés – et leurs présidents, directeurs généraux, gérants ou membres du directoire – dont l'effectif et le chiffre d'affaires ou le chiffre d'affaires consolidé excèdent les seuils fixés par la loi. Les sociétés tête de groupe sont tenues de déployer le programme à l'échelle de l'ensemble du périmètre de consolidation, y compris pour les filiales étrangères.
Deux catégories d'entités sont concernées. Les sociétés qui atteignent les seuils légaux de manière autonome. Les sociétés filiales d'un groupe dont la société mère dépasse ces seuils, même si la filiale, prise isolément, n'y satisfait pas. Cette extension du champ d'application aux filiales est un point fréquemment sous-estimé dans notre pratique : la responsabilité de la tête de groupe ne se substitue pas à celle des dirigeants de filiale.
Les entités du secteur public entrant dans le périmètre de la loi – établissements publics à caractère industriel et commercial, sociétés d'économie mixte – font l'objet d'un régime spécifique, avec des obligations renforcées et une surveillance directe de l'Agence française anticorruption. La loi distingue par ailleurs les entreprises relevant du seuil de contrôle obligatoire de celles pour lesquelles un programme de conformité est seulement recommandé, sans être exigible à peine de sanction administrative.
Votre société entre-t-elle dans le champ d'application de la loi Sapin II ?
La qualification du périmètre – autonome ou par appartenance à un groupe – est une première étape déterminante. Une erreur de qualification retarde l'ensemble de la mise en conformité et laisse la direction exposée.
Quels sont les huit piliers du programme de conformité anticorruption ?
Le programme de conformité anticorruption imposé par la loi Sapin II repose sur huit mesures et procédures que l'Agence française anticorruption a précisées dans ses recommandations successives. Leur mise en œuvre effective – et non leur seule existence formelle – est ce que contrôle l'autorité.
- Le code de conduite : il définit et illustre les comportements interdits au regard des risques de corruption, et doit être intégré au règlement intérieur de l'entreprise, soumis à la consultation des instances représentatives du personnel.
- Le dispositif d'alerte interne : il permet aux salariés de signaler des comportements ou des situations contraires au code de conduite. Ce dispositif s'articule avec le régime général de protection des lanceurs d'alerte issu de la loi Sapin II elle-même et renforcé par la transposition de la directive européenne relative aux lanceurs d'alerte.
- La cartographie des risques : elle recense, analyse et hiérarchise les risques d'exposition de la société à des sollicitations de corruption ou de trafic d'influence. Elle doit être régulièrement actualisée. Nous accompagnons régulièrement des directions juridiques dans la conduite de cet exercice, qui constitue le socle sur lequel reposent les autres piliers.
- Les procédures d'évaluation des tiers : elles portent sur les clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques. L'évaluation ne se limite pas à une vérification documentaire initiale : elle implique un suivi dans la durée.
- Les procédures de contrôle comptable : elles visent à s'assurer que les comptes de la société ne sont pas utilisés pour dissimuler des actes de corruption ou de trafic d'influence. L'articulation avec les procédures d'audit interne et externe est ici essentielle.
- Le dispositif de formation : il doit être déployé à destination des cadres et personnels les plus exposés, en tenant compte de la cartographie des risques.
- Le régime disciplinaire : il permet de sanctionner les salariés qui ne respectent pas le code de conduite.
- Le dispositif de contrôle et d'évaluation interne : il garantit que les sept premières mesures sont effectivement mises en œuvre et actualisées. L'Agence française anticorruption attend un contrôle de premier niveau (opérationnel) et un contrôle de deuxième niveau (conformité), distincts.
La hiérarchie entre ces piliers est réelle, même si la loi ne l'exprime pas en ces termes. La cartographie des risques conditionne la pertinence de l'ensemble du dispositif. Un programme bâti sur une cartographie insuffisante – trop générale, non actualisée ou non validée par la direction – sera regardé avec scepticisme par l'Agence française anticorruption lors d'un contrôle.
Illustration de pratique – Ile-de-France, printemps 2025
Nous avons accompagné une société de services aux entreprises, filiale d'un groupe coté, dans la refonte de sa cartographie des risques à la suite d'un premier contrôle de l'Agence française anticorruption ayant identifié des insuffisances dans le pilier « évaluation des tiers ». Le travail a porté sur la reclassification des intermédiaires commerciaux, la révision des questionnaires de diligence et la mise en place d'un comité de validation interne. La société a pu démontrer, lors du contrôle de suivi, que les recommandations de l'AFA avaient été intégrées dans le dispositif opérationnel.
Quels sont les risques juridiques et les sanctions encourues par les dirigeants ?
L'absence ou l'insuffisance du programme de conformité anticorruption expose le dirigeant – et non la seule société – à des sanctions administratives prononcées par la Commission des sanctions de l'Agence française anticorruption. Cette responsabilité personnelle distingue le régime Sapin II des obligations de conformité purement organisationnelles.
Deux niveaux de sanctions coexistent. D'une part, les sanctions administratives pour manquement à l'obligation de mise en conformité, qui peuvent prendre la forme d'une injonction de mise en conformité, d'une sanction pécuniaire à l'encontre de la personne morale et d'une sanction pécuniaire personnelle à l'encontre du dirigeant concerné. D'autre part, les sanctions pénales, qui relèvent du Code pénal pour les infractions de corruption, de trafic d'influence et de prise illégale d'intérêts, indépendamment du programme de conformité.
La sanction administrative pour manquement à l'obligation de programme s'applique sans qu'un acte corruptif soit établi. C'est le défaut du dispositif – ou son caractère formel sans effectivité réelle – qui est sanctionné. Nous observons que les dossiers de contrôle qui aboutissent à des recommandations défavorables portent le plus souvent sur l'effectivité des mesures et non sur leur existence formelle.
Le risque de réputation mérite une mention distincte. Une injonction de l'AFA publiée au Journal officiel constitue un signal négatif pour les partenaires commerciaux, les banques et, le cas échéant, les co-contractants publics. Ce risque indirect dépasse souvent, dans les conséquences pratiques, le montant de la sanction pécuniaire elle-même.
Par ailleurs, les entreprises françaises qui opèrent à l'international sont potentiellement exposées à des législations étrangères à portée extraterritoriale – notamment le Foreign Corrupt Practices Act américain et le UK Bribery Act britannique – qui peuvent se superposer à la loi Sapin II. L'analyse de l'exposition transfrontalière fait partie du cadre de risque global à examiner pour toute société ayant des activités hors de France.
Une démarche antérieure a révélé des insuffisances dans votre dispositif ?
Un second regard permet d'identifier les leviers restants et de préparer la réponse à un contrôle de suivi de l'AFA ou à une mise en demeure. L'analyse porte sur le fond du programme autant que sur la documentation produite.
Comment fonctionne le contrôle de l'Agence française anticorruption ?
Le contrôle de l'Agence française anticorruption suit une procédure administrative contradictoire organisée en plusieurs phases distinctes. Il peut être déclenché de manière spontanée par l'AFA ou à la demande du procureur de la République, notamment en cas de poursuites pénales parallèles pour des faits de corruption.
La procédure débute par une notification de contrôle, adressée à la société et à son dirigeant. S'ouvre ensuite une phase documentaire durant laquelle l'AFA recueille les pièces relatives au programme de conformité – code de conduite, cartographie, procédures, registres de formation, rapports de contrôle interne. Cette phase est suivie d'auditions des personnels clés et, le cas échéant, d'une visite sur site.
Au terme du contrôle, l'AFA notifie ses constats. Si elle identifie des manquements, elle peut émettre des recommandations ou saisir la Commission des sanctions. La Commission des sanctions statue dans le respect du principe du contradictoire, avec la possibilité pour la société et le dirigeant de présenter leurs observations. Ses décisions sont susceptibles de recours devant le Conseil d'État.
Dans notre pratique, les entreprises qui bénéficient d'une préparation anticipée – documentation organisée, interlocuteurs identifiés, argumentaire prêt sur les points de faiblesse connus – abordent le contrôle dans des conditions sensiblement différentes de celles qui découvrent la procédure au moment de la notification. La préparation ne vise pas à masquer des lacunes, mais à donner au programme sa pleine lisibilité face aux vérificateurs.
Quelles sont les idées reçues sur le programme anticorruption que les dirigeants doivent écarter ?
La première idée reçue est que le programme de conformité est une formalité documentaire. L'Agence française anticorruption contrôle l'effectivité des mesures : un code de conduite non intégré au règlement intérieur, une cartographie des risques non mise à jour depuis plusieurs exercices ou une formation délivrée à des personnels non exposés constituent des manquements caractérisés, indépendamment de l'existence des documents.
La deuxième idée reçue est que le programme protège automatiquement la société contre toute sanction pénale. La loi Sapin II a introduit la convention judiciaire d'intérêt public (CJIP), qui permet à une entreprise de conclure avec le parquet une convention comportant le paiement d'une amende et la mise en place d'un programme de mise en conformité sous contrôle de l'AFA. L'existence d'un programme préalable peut constituer un facteur pris en compte dans la négociation d'une CJIP, mais il ne confère aucune immunité.
La troisième idée reçue est que seules les grandes entreprises sont concernées. Si les obligations formelles de programme s'appliquent aux sociétés dépassant les seuils légaux, la jurisprudence constante de la Cour de cassation en matière de corruption pénale vise des entités de toutes tailles. Les PME qui atteignent les seuils Sapin II sans avoir mis en place de programme s'exposent à des contrôles ciblés, notamment à la suite d'une procédure pénale.
Enfin, certains dirigeants estiment que l'appartenance à un groupe doté d'un programme de groupe les exonère de toute démarche propre. Or, l'AFA contrôle la déclinaison opérationnelle du programme au niveau de la société française, pas seulement son existence au niveau de la tête de groupe. La délégation de conformité vers la filiale doit être documentée et effective.
Illustration de pratique – Grand Est, automne 2024
Nous avons accompagné une filiale française d'un groupe européen dans la mise en conformité de son programme anticorruption local après que le groupe eut conclu une convention judiciaire d'intérêt public avec le parquet. Le programme groupe existait, mais sa déclinaison locale était restée à l'état de référencement documentaire sans effectivité opérationnelle. Nous avons structuré un plan d'action prioritaire, avec un calendrier de déploiement validé par la direction générale locale, pour répondre aux exigences du moniteur désigné dans le cadre de la CJIP.
Quelles sont les tendances et les points d'attention pour les directions en 2026 ?
Plusieurs évolutions récentes méritent l'attention des directions et des responsables conformité. L'Agence française anticorruption a renforcé ses recommandations relatives à l'évaluation des tiers, en particulier pour les chaînes d'approvisionnement complexes et les partenariats d'affaires dans des zones géographiques à risque élevé. L'articulation entre le dispositif anticorruption et les obligations de vigilance raisonnable – au sens de la loi sur le devoir de vigilance des sociétés mères et des donneurs d'ordre – est un point de convergence sur lequel les entreprises doivent construire une approche cohérente.
La numérisation des programmes de conformité est un autre point d'attention. Les outils technologiques permettant l'automatisation des contrôles de tiers, la gestion des alertes et le suivi des formations offrent des gains d'efficacité réels. Ils soulèvent toutefois des questions de gouvernance des données et de responsabilité en cas de défaillance du système, qui relèvent à la fois du droit de la conformité anticorruption, du règlement général sur la protection des données et, selon les secteurs, du droit de la concurrence.
L'articulation entre la loi Sapin II, le contrôle des concentrations et la notification aux autorités de concurrence devient un sujet opérationnel pour les sociétés en croissance externe. Une opération de fusion-acquisition peut, selon sa configuration, déclencher simultanément une obligation de notification à l'Autorité de la concurrence et une révision du périmètre du programme anticorruption, notamment si l'entité acquise présente des risques spécifiques identifiés lors des diligences.
La cartographie des risques et le dispositif de conformité sont enfin au cœur d'une évolution réglementaire plus large : la directive européenne sur le devoir de vigilance des entreprises (CSRD et CS3D) introduit des obligations de diligence raisonnable qui recoupent, pour une part, les exigences de la loi Sapin II. Les directions qui anticipent cette convergence évitent de construire deux dispositifs parallèles et coûteux.
Quelle est la méthode du cabinet pour accompagner les entreprises soumises à la loi Sapin II ?
Notre intervention commence par un diagnostic du programme existant, ou de l'absence de programme, au regard des huit piliers. Ce diagnostic n'est pas un audit au sens comptable, mais une analyse juridique des pratiques et documents en place, confrontée aux recommandations de l'AFA et à la pratique des contrôles que nous connaissons.
Nous structurons ensuite un plan d'action priorisé selon le niveau de risque : les lacunes qui exposent à une sanction immédiate en cas de contrôle sont traitées en premier, avant les insuffisances de forme. Cette priorisation n'est pas un raccourci : c'est la méthode qui permet à la direction de mobiliser ses ressources là où l'exposition est la plus forte.
Pour les sociétés qui font l'objet d'un contrôle de l'AFA ou d'une procédure pénale connexe, nous intervenons en défense et en conseil simultanément : préparation des réponses aux demandes documentaires, accompagnement lors des auditions, analyse des constats notifiés et préparation des observations en réponse. Nos équipes travaillent, le cas échéant, en coordination avec des conseils locaux dans la juridiction concernée pour les volets transfrontaliers.
Matrice de décision :
- Société dépassant les seuils, sans programme en place – risque immédiat de sanction administrative – priorité : diagnostic et plan d'action urgent, avant tout contrôle annoncé.
- Société avec programme formel mais effectivité insuffisante – risque modéré mais réel lors d'un contrôle – priorité : revue des piliers critiques (cartographie, évaluation des tiers, contrôle interne) et remise à niveau documentaire.
- Société faisant l'objet d'un contrôle AFA en cours – risque immédiat de recommandations défavorables et de saisine de la Commission des sanctions – priorité : organisation de la défense et préparation des observations contradictoires.
- Filiale de groupe souhaitant aligner son programme sur le groupe – risque faible si la déclinaison locale est documentée et effective – priorité : gap analysis entre le programme groupe et les exigences locales, formalisation des délégations.
Ce qu'il faut préparer avant toute démarche :
- Inventaire des huit piliers existants ou en projet, avec état d'avancement par pilier.
- Cartographie des risques en vigueur : date de la dernière mise à jour, périmètre couvert, validations par la direction.
- Liste des tiers évalués et des procédures d'évaluation appliquées, notamment pour les intermédiaires commerciaux.
- Documentation des formations dispensées : liste des personnels formés, contenu, fréquence.
- Rapports de contrôle interne ou d'audit relatifs au programme anticorruption, et suites données aux recommandations.
Pour un premier avis sur votre dossier de conformité anticorruption, vous pouvez également consulter notre guide sur la négociation d'un plan de continuation, qui illustre notre méthode en matière de traitement séquencé des obligations légales sous contrainte de délai.
Domaines liés
- Contrôle des concentrations et notification – qualification, dépôt et suivi du dossier devant l'Autorité de la concurrence
- Cartographie des risques et dispositif de conformité – enjeux, stratégies et mise en œuvre opérationnelle
FAQ – Loi Sapin II et obligations anticorruption
1. Quand consulter un avocat sur ce sujet ?
Il est opportun de consulter un avocat dès lors que votre société atteint ou s'approche des seuils légaux d'application de la loi Sapin II et qu'elle ne dispose pas encore d'un programme de conformité structuré. Le recours à un conseil est également indispensable à la réception d'une notification de contrôle de l'Agence française anticorruption, avant toute réponse documentaire ou audition. Dans notre pratique, une intervention précoce – avant que le contrôle soit déclenché – offre des marges de manœuvre que l'urgence d'un contrôle en cours ne permet plus.
2. Loi Sapin II et obligations anticorruption : quels sont les enjeux pour l'entreprise ?
Les enjeux pour l'entreprise couvrent trois dimensions. La dimension juridique : l'exposition à des sanctions administratives personnelles pour le dirigeant, indépendamment de tout acte corruptif. La dimension économique : le risque de réputation lié à une injonction publiée au Journal officiel, qui peut affecter les relations avec les partenaires commerciaux et les établissements de crédit. La dimension stratégique : la convergence croissante entre les obligations anticorruption issues de la loi Sapin II, les obligations de vigilance raisonnable et les exigences de la réglementation européenne sur le devoir de vigilance, qui rendent coûteuse une approche fragmentée des dispositifs.
3. Quel est le cadre juridique applicable ?
Le cadre juridique applicable à la loi Sapin II et aux obligations anticorruption est constitué, pour l'essentiel, des dispositions de la loi n° 2016-1691 du 9 décembre 2016, des dispositions pertinentes du Code pénal relatives aux infractions de corruption et de trafic d'influence, et des recommandations de l'Agence française anticorruption qui en précisent les exigences opérationnelles. Pour les sociétés à dimension internationale, ce cadre s'articule avec les dispositions du Code monétaire et financier, les conventions internationales ratifiées par la France et, selon les activités, les législations étrangères à portée extraterritoriale.
4. La convention judiciaire d'intérêt public (CJIP) peut-elle bénéficier à une entreprise dont le programme est incomplet ?
La convention judiciaire d'intérêt public est un instrument de résolution amiable des poursuites pénales en matière de corruption, introduit par la loi Sapin II. Elle peut être conclue entre le procureur de la République et une personne morale mise en cause, sans reconnaissance de culpabilité. L'état du programme de conformité au moment de la mise en cause est un facteur pris en compte dans la négociation, mais l'absence ou l'insuffisance du programme n'interdit pas la conclusion d'une CJIP : elle peut en revanche affecter les conditions imposées, notamment l'obligation de se soumettre à un moniteur chargé de vérifier la mise en conformité.
5. Comment articuler le programme anticorruption avec les obligations de l'analyse juridique en droit de la concurrence ?
L'analyse juridique en droit de la concurrence et le programme anticorruption partagent plusieurs points de contact opérationnel. Les pratiques d'échanges d'informations entre concurrents, les ententes et les abus de position dominante relèvent des dispositions du Code de commerce et du droit de l'Union européenne, et sont traités par l'Autorité de la concurrence. Certaines des procédures d'évaluation des tiers et de contrôle interne mises en place dans le cadre de la loi Sapin II peuvent utilement nourrir la cartographie des risques en matière de concurrence, notamment pour les équipes commerciales et les responsables achats. L'articulation entre ces deux corpus est un sujet que nous traitons régulièrement dans notre pratique des programmes de conformité.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les dirigeants, les directions juridiques et les responsables conformité d'entreprises françaises et internationales sur la mise en œuvre et la défense des dispositifs anticorruption au regard de la loi Sapin II. Notre intervention couvre le diagnostic du programme, la préparation et la conduite des contrôles de l'Agence française anticorruption, la négociation de conventions judiciaires d'intérêt public et l'articulation avec les obligations de conformité concurrence. Les honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de protection des données et de conformité, notamment en matière de programmes anticorruption et de dispositifs de mise en conformité réglementaire.
Voir le profil · Publié le 16 avril 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.