Loi Sapin II et obligations anticorruption : ce que les dirigeants doivent savoir
La loi Sapin II – désignant la loi n° 2016-1691 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, rattachée aux dispositions du Code de commerce et du Code pénal applicables aux entreprises – impose aux sociétés dépassant certains seuils de taille la mise en place d'un programme de conformité anticorruption structuré, sous la supervision de l'Agence française anticorruption (AFA). Pour un dirigeant ou un compliance officer, ignorer ces obligations expose l'entreprise à des sanctions administratives et pénales, mais aussi à des risques réputationnels durables.
Au printemps 2026, le contrôle exercé par l'AFA s'intensifie et les attentes des partenaires commerciaux, des investisseurs et des donneurs d'ordre publics en matière d'intégrité n'ont jamais été aussi précises. Ce dossier examine les fondements du dispositif, les obligations concrètes qu'il impose, les risques d'une mise en œuvre insuffisante et les leviers d'une conformité robuste – dans une perspective opérationnelle, à l'usage des directions juridiques et des responsables conformité.
Les sections qui suivent abordent successivement le champ d'application de la loi, la structure des huit piliers du programme, les sanctions encourues, la pratique du contrôle de l'AFA, la dimension transfrontalière et les points d'attention pour 2026.
Pourquoi la loi Sapin II représente-t-elle un tournant pour les entreprises françaises ?
La loi Sapin II constitue une rupture dans l'approche française de la lutte contre la corruption : pour la première fois, elle impose aux entreprises une obligation active de prévention – et non plus seulement d'abstention – sous peine de sanctions propres à la personne morale et au dirigeant. Avant son adoption, le droit français sanctionnait les actes de corruption avérés ; la loi crée une obligation de résultat procédural : l'entreprise doit être en mesure de démontrer qu'elle a mis en place un dispositif sérieux.
L'enjeu économique est direct. Une entreprise soumise à la loi qui ne dispose pas d'un programme conforme s'expose à une injonction de mise en conformité assortie d'une sanction pécuniaire, mais aussi à l'exclusion des marchés publics, à des difficultés dans ses relations avec des partenaires étrangers soumis au Foreign Corrupt Practices Act (FCPA) américain ou au UK Bribery Act britannique, et à une exposition accrue au risque pénal pour ses dirigeants.
Dans notre pratique des programmes de conformité, nous observons que les entreprises sous-estiment systématiquement deux aspects : la territorialité étendue du dispositif – il couvre les filiales étrangères – et la durée des contrôles de l'AFA, qui peut s'étendre sur plusieurs mois. L'anticipation est le seul levier réel.
Votre entreprise entre-t-elle dans le champ d'application de la loi Sapin II ? La délimitation du périmètre est la première étape, et elle est moins évidente qu'il n'y paraît pour les groupes à structure complexe. Pour une analyse de votre situation au regard des obligations anticorruption, écrivez-nous à contact@vernaylestang.com.
Quelles entreprises sont soumises aux obligations de la loi Sapin II ?
Le champ d'application de la loi Sapin II est défini par deux critères cumulatifs : un seuil d'effectifs et un seuil de chiffre d'affaires, appréciés au niveau du groupe pour les sociétés tenues d'établir des comptes consolidés. Les dispositions du Code de commerce précisent que les sociétés anonymes, les sociétés par actions simplifiées et, plus généralement, les personnes morales de droit privé ou public dépassant ces seuils sont assujetties.
La notion de groupe est ici centrale. Une filiale française d'un groupe international, même si elle n'atteint pas les seuils en propre, peut être entraînée dans le périmètre si la société mère consolidante y est assujettie. À l'inverse, une holding de taille modeste contrôlant des filiales opérationnelles importantes peut se retrouver hors champ si la consolidation fait apparaître des effectifs inférieurs au seuil. La qualification du périmètre exact est donc un acte juridique à part entière, qui précède toute construction du programme.
Les sociétés publiques et les établissements publics à caractère industriel et commercial sont également concernés, dans des conditions précisées par les textes. Les associations et fondations dépassant certains seuils de subventions publiques relèvent, elles, d'un régime distinct mais voisin.
Un point d'attention fréquent dans notre pratique : les entreprises qui franchissent les seuils à la suite d'une acquisition ou d'une fusion ne disposent que d'un délai limité pour adapter leur programme. Ce délai n'est pas contractuellement négociable avec l'AFA ; c'est une contrainte réglementaire qui doit être anticipée dès la phase de diligences dans tout projet de M&A.
Les huit piliers du programme anticorruption : ce que la loi exige concrètement
Le programme anticorruption exigé par la loi Sapin II repose sur huit composantes que les recommandations de l'AFA – autorité administrative indépendante chargée du contrôle – détaillent avec précision. Ces composantes ne sont pas des options : leur absence ou leur caractère insuffisant constitue le principal fondement des injonctions prononcées à l'issue des contrôles.
La première composante est le code de conduite, qui définit les comportements interdits et les situations à risque. Il doit être intégré au règlement intérieur pour produire ses effets à l'égard des salariés. La deuxième est le dispositif d'alerte interne, qui permet aux salariés et collaborateurs de signaler des faits susceptibles de constituer un manquement ; ce dispositif s'articule avec les obligations issues de la loi sur le devoir de vigilance et avec le cadre général des lanceurs d'alerte tel que précisé par les textes en vigueur.
La troisième composante est la cartographie des risques : document central, régulièrement mis à jour, qui identifie les activités, zones géographiques, partenaires et secteurs exposant l'entreprise à un risque de corruption ou de trafic d'influence. Sans cartographie sérieuse, les autres piliers manquent de fondement. La quatrième est l'évaluation des tiers – clients, fournisseurs, intermédiaires, partenaires – proportionnée au risque identifié dans la cartographie.
Les quatre composantes suivantes sont : les procédures comptables de contrôle interne destinées à détecter les faits susceptibles de corruption ; les dispositifs de formation des personnels exposés ; le régime disciplinaire permettant de sanctionner les manquements ; et le dispositif de contrôle et d'évaluation interne du programme lui-même, assurant son amélioration continue.
La cartographie des risques et l'évaluation des tiers sont les deux composantes les plus fréquemment mises en cause lors des contrôles AFA, d'après les rapports de l'autorité. Leur construction nécessite une méthodologie documentée et une actualisation périodique, pas une photographie statique.
Dans notre pratique, au cours d'un mandat d'accompagnement conduit pour une ETI de services industriels (région lyonnaise, hiver 2025), nous avons identifié que la cartographie des risques existante ne couvrait pas les agents commerciaux tiers opérant en dehors de l'Union européenne. La refonte de l'évaluation de ces intermédiaires a permis de combler un écart significatif avant l'ouverture d'un contrôle AFA annoncé.
Quelles sont les sanctions encourues en cas de non-conformité ?
Les sanctions prévues par la loi Sapin II sont de nature administrative et pénale, et elles atteignent à la fois la personne morale et les personnes physiques dirigeantes. Sur le plan administratif, l'AFA peut prononcer, après une procédure contradictoire devant sa commission des sanctions, une injonction de mise en conformité assortie d'une sanction pécuniaire dont le plafond est fixé par les textes – plusieurs millions d'euros pour la personne morale, un plafond distinct pour les personnes physiques. Ces décisions sont publiques.
La publicité de la sanction – la « name and shame » à la française – constitue en pratique une sanction réputationnelle aussi redoutée que la sanction financière elle-même. Les décisions de la commission des sanctions de l'AFA sont consultables en ligne et reprises par la presse spécialisée. Pour une entreprise dont la réputation d'intégrité conditionne l'accès aux marchés publics ou aux appels d'offres de grands donneurs d'ordre privés, cet effet est disproportionné par rapport au montant de la pénalité.
Sur le plan pénal, les dispositions du Code pénal sanctionnent les actes de corruption active et passive, le trafic d'influence et les manquements au devoir de probité. La responsabilité pénale du dirigeant peut être engagée si une insuffisance du programme de conformité a facilité la commission d'une infraction. La jurisprudence des juridictions pénales françaises, notamment des chambres correctionnelles des cours d'appel, témoigne d'une appréciation de plus en plus sévère de l'obligation de vigilance qui pèse sur les mandataires sociaux.
Enfin, en cas de mise en cause dans une procédure étrangère – notamment américaine au titre du FCPA – l'absence d'un programme de conformité conforme aux standards internationaux aggrave la situation de l'entreprise lors de la négociation d'un accord de poursuite différée (« deferred prosecution agreement »). Nous accompagnons régulièrement des entreprises françaises dans la mise en cohérence de leur programme avec des exigences plurijuridictionnelles.
Un défaut de conformité identifié avant un contrôle est toujours moins coûteux qu'une sanction. Si une démarche antérieure de mise en conformité a produit un résultat insuffisant, ou si un contrôle AFA est en cours ou annoncé, un second regard permet d'identifier les leviers restants. Écrivez-nous à contact@vernaylestang.com.
Comment se déroule un contrôle de l'AFA en pratique ?
Le contrôle de l'AFA est une procédure administrative contradictoire qui peut être déclenchée à l'initiative de l'autorité ou sur saisine du Parquet national financier, d'un ministre ou du Premier ministre. Il comprend une phase d'instruction – examen documentaire, auditions de personnels, vérifications sur site – suivie d'un rapport préliminaire transmis à l'entreprise, qui dispose d'un délai pour présenter ses observations, puis d'un rapport définitif.
Si le rapport définitif conclut à des manquements, l'AFA peut saisir sa commission des sanctions, instance collégiale dont les décisions sont susceptibles de recours devant le Conseil d'État. La procédure est contradictoire à chaque étape, ce qui suppose que l'entreprise soit en mesure de produire une documentation structurée et cohérente. Une documentation fragmentée ou des versions contradictoires du programme constituent des facteurs aggravants.
La phase d'instruction peut s'étendre sur plusieurs mois. Pendant cette période, l'entreprise doit maintenir une mobilisation interne – juridique, conformité, ressources humaines – tout en poursuivant son activité. L'anticipation d'un scénario de contrôle, par des exercices de simulation ou des audits internes préalables, est une pratique que nous recommandons systématiquement dans notre accompagnement des programmes de conformité.
Lors d'un mandat récent (Bordeaux, printemps 2025), nous avons assisté la direction juridique d'une société de distribution dans la préparation d'un contrôle AFA annoncé. L'analyse préalable du programme existant a permis d'identifier et de corriger, avant le début de la phase d'instruction, des lacunes dans la traçabilité des évaluations de tiers. L'entreprise a pu présenter un dossier documenté et cohérent dès la première demande de l'autorité.
Quelle est la dimension transfrontalière des obligations anticorruption ?
La loi Sapin II s'applique au groupe dans son ensemble, filiales étrangères comprises, dès lors que la société mère consolidante est assujettie. Cette portée extraterritoriale crée des obligations concrètes pour les entités situées hors de France, qu'elles soient dans l'Union européenne ou dans des pays tiers. Le programme de conformité doit couvrir ces entités, ce qui suppose une déclinaison locale tenant compte des droits applicables sur place.
Cette dimension se complique lorsque l'entreprise opère dans des pays où le droit local interdit certaines pratiques que la loi Sapin II exige – par exemple, des restrictions à la collecte de données dans le cadre de l'évaluation des tiers. La mise en cohérence de ces exigences suppose une analyse juridique pays par pays, conduite en coordination avec des conseils locaux dans la juridiction concernée.
Par ailleurs, la convergence progressive des standards internationaux – recommandations de l'OCDE, directives européennes, évolutions du droit américain – tend à uniformiser les attentes en matière de programme anticorruption. Un programme aligné sur les recommandations de l'AFA offre une base solide pour répondre à ces exigences convergentes, mais il ne dispense pas d'une vérification au regard des standards spécifiques de chaque juridiction d'activité.
Nous observons dans notre pratique que les entreprises françaises ayant des activités significatives en Afrique subsaharienne, au Moyen-Orient ou en Asie du Sud-Est sont confrontées à des niveaux de risque élevés et à des pratiques locales qui nécessitent une attention particulière dans la cartographie et l'évaluation des agents et intermédiaires locaux.
Tendances et points d'attention pour les directions en 2026
L'environnement réglementaire de la conformité anticorruption évolue sur plusieurs fronts simultanément en 2026. La transposition des directives européennes en matière de devoir de vigilance renforce les obligations des grandes entreprises en matière d'identification et de prévention des risques, y compris dans leur chaîne de valeur. Ces obligations recoupent partiellement celles de la loi Sapin II, ce qui crée des opportunités de rationalisation mais aussi des risques de lacunes si les deux dispositifs sont gérés de façon cloisonnée.
L'AFA a publié des recommandations révisées qui durcissent les attentes en matière de cartographie des risques et d'évaluation des tiers. Les entreprises dont le programme a été construit il y a plusieurs années sans révision systématique doivent vérifier sa conformité aux standards actuels. Un programme formellement complet mais non actualisé constitue, aux yeux de l'AFA, un manquement caractérisé.
La question du rôle du dirigeant est centrale. La loi Sapin II fait peser sur les représentants légaux une obligation personnelle de s'assurer de l'existence et de l'effectivité du programme. Cette responsabilité ne peut pas être entièrement déléguée au responsable conformité ou au directeur juridique ; elle suppose un engagement documenté de la gouvernance. Les comités exécutifs et les conseils d'administration doivent pouvoir justifier d'une information régulière sur l'état du programme et d'une prise de décision tracée.
Enfin, la convergence entre conformité anticorruption et droit de la concurrence mérite d'être soulignée. Une entreprise sanctionnée pour des pratiques anticoncurrentielles – entente, abus de position – voit systématiquement son programme de conformité scruté dans le cadre de la procédure. L'intégration d'un volet concurrence dans le programme de conformité anticorruption, ou à tout le moins leur articulation cohérente, est désormais une attente des autorités.
Comment bâtir un programme anticorruption robuste : méthode et leviers
Un programme anticorruption robuste repose sur une démarche structurée en quatre temps : qualification du périmètre, cartographie des risques, déploiement des composantes, et vérification continue. La tentation de commencer par la rédaction du code de conduite – la composante la plus visible – est à éviter : sans cartographie préalable, le code de conduite est une coquille vide qui ne reflète pas les risques réels de l'entreprise.
La qualification du périmètre suppose de déterminer avec précision quelles entités du groupe sont assujetties, quelles activités présentent les expositions les plus élevées et quels tiers – agents, distributeurs, sous-traitants, coentrepreneurs – sont susceptibles d'agir pour le compte de l'entreprise dans des contextes à risque. Cette étape est juridique autant qu'opérationnelle.
La cartographie des risques est un document vivant. Elle doit être revue périodiquement – a minima annuellement – et à chaque événement significatif : entrée dans un nouveau marché, acquisition, renouvellement d'un contrat d'agent. Sa méthodologie doit être documentée pour être opposable lors d'un contrôle.
Le déploiement des composantes doit être proportionné aux risques identifiés. Une PME nouvellement assujettie n'a pas à reproduire le programme d'un groupe du CAC 40 ; elle doit en revanche justifier que ses choix de priorisation sont fondés sur une analyse sérieuse de ses risques réels. La proportionnalité est un principe explicitement reconnu par l'AFA.
La vérification continue passe par des audits internes réguliers, des tests du dispositif d'alerte, des mises à jour de formation et une revue annuelle du programme par la gouvernance. Ces éléments constituent la preuve de l'effectivité du programme – critère central pour l'AFA et pour tout juge pénal qui aurait à apprécier la diligence de l'entreprise.
Matrice de décision : adapter le niveau de programme au profil de risque
Situation A – Entreprise nouvellement assujettie, activité principalement en France, peu d'intermédiaires tiers : priorité à la cartographie des risques et au code de conduite intégré au règlement intérieur ; évaluation des tiers simplifiée ; formation ciblée sur les fonctions commerciales et achats ; contrôle interne annuel. Niveau de risque résiduel : modéré si les composantes sont effectivement déployées.
Situation B – Groupe international, activités dans des pays à risque élevé, recours important à des agents et intermédiaires locaux : programme complet sur les huit piliers, cartographie différenciée par zone géographique, due diligence (diligence raisonnable) renforcée sur les tiers, procédures comptables dédiées, formation obligatoire pour tous les personnels exposés, reporting trimestriel à la gouvernance. Niveau de risque résiduel : élevé sans révision régulière ; faible avec un programme actualisé et audité.
Situation C – Société soumise à un contrôle AFA ou à une procédure pénale en cours : audit immédiat du programme existant, identification des lacunes documentaires, préparation des observations à présenter à l'autorité, coordination avec la défense pénale si nécessaire. Urgence procédurale réelle.
Ce qu'il faut préparer : check-list opérationnelle
- Vérification du périmètre d'assujettissement (effectifs et chiffre d'affaires consolidés) et documentation de la conclusion.
- Cartographie des risques formalisée, datée, validée par la gouvernance et mise à jour annuellement.
- Procédures d'évaluation des tiers documentées et traçables, proportionnées au niveau de risque de chaque catégorie de tiers.
- Code de conduite intégré au règlement intérieur et plans de formation à jour pour les personnels exposés.
- Dispositif d'alerte interne opérationnel, accessible et conforme aux exigences légales sur la protection des lanceurs d'alerte.
Domaines liés
- Dispositif d'alerte interne et lanceurs d'alerte – cadre légal, mise en place et conformité du dispositif de signalement
- Loi Sapin II : analyse juridique et portée – examen approfondi du cadre normatif et de la jurisprudence applicable
- Anticiper les difficultés : mandat ad hoc – guide pratique des procédures préventives pour les entreprises en difficulté
Idée reçue : « notre programme existe, nous sommes conformes »
L'existence formelle d'un programme anticorruption ne suffit pas à satisfaire les exigences de la loi Sapin II. L'AFA évalue l'effectivité du programme – c'est-à-dire sa réalité concrète dans la vie de l'entreprise – et non sa seule existence documentaire. Un code de conduite non diffusé, une cartographie non révisée depuis plusieurs années, des procédures d'évaluation des tiers non appliquées constituent autant de lacunes caractérisées, même si les documents correspondants existent dans un serveur interne.
Ce point est crucial pour les dirigeants. La responsabilité personnelle du représentant légal s'apprécie au regard de ce que l'entreprise fait réellement, pas de ce qu'elle a formellement produit. Un programme « sur le papier » peut constituer un facteur aggravant lors d'une procédure, car il démontre une connaissance des obligations sans mise en œuvre effective.
Nous accompagnons régulièrement des entreprises qui disposent d'un programme formellement complet mais dont l'audit interne révèle des écarts substantiels entre les procédures documentées et les pratiques réelles. L'exercice de mise en cohérence – souvent plus court qu'une construction à partir de zéro – est une priorité absolue avant tout contrôle AFA ou toute opération de M&A dans laquelle le programme de la cible sera scruté.
Questions fréquentes sur la loi Sapin II et les obligations anticorruption
1. Quand consulter un avocat sur ce sujet ?
Il est utile de consulter un avocat dès que l'entreprise s'interroge sur son assujettissement à la loi Sapin II, lors de la construction ou de la révision de son programme, à la réception d'une notification de contrôle de l'AFA, ou dans le cadre d'une opération de M&A impliquant une cible soumise à ces obligations. Un avis juridique permet de qualifier les risques réels et de prioriser les actions correctives avant qu'une procédure ne soit engagée.
2. Loi Sapin II et obligations anticorruption : quels sont les enjeux pour l'entreprise ?
Les enjeux pour l'entreprise sont à la fois juridiques, financiers et réputationnels. Sur le plan juridique, l'absence de programme conforme expose la personne morale et les dirigeants à des sanctions administratives et pénales. Sur le plan financier, les sanctions pécuniaires et les coûts d'une procédure prolongée peuvent être significatifs. Sur le plan réputationnel, la publicité des décisions de la commission des sanctions de l'AFA peut affecter durablement les relations commerciales et l'accès aux marchés publics. La conformité anticorruption est donc aussi un actif stratégique pour l'entreprise.
3. Quel est le cadre juridique applicable ?
Le cadre juridique applicable repose principalement sur les dispositions de la loi n° 2016-1691 dite loi Sapin II, rattachées au Code de commerce et au Code pénal, complétées par les recommandations de l'AFA. Les dispositions du Code pénal sanctionnent les actes de corruption et de trafic d'influence. Le cadre est complété par les textes relatifs aux lanceurs d'alerte et, pour les groupes opérant à l'international, par les standards de l'OCDE et les législations anticorruption des juridictions étrangères dans lesquelles l'entreprise est présente.
4. Le programme anticorruption doit-il couvrir les filiales étrangères ?
Oui, le programme anticorruption doit couvrir l'ensemble du groupe, y compris les filiales étrangères, dès lors que la société mère consolidante est assujettie à la loi Sapin II. Cette portée extraterritoriale implique une déclinaison locale du programme, adaptée aux droits applicables dans chaque juridiction, et conduite en coordination avec des conseils locaux dans les pays concernés. L'AFA vérifie lors de ses contrôles que le programme ne se limite pas aux entités françaises du groupe.
5. Quel rôle joue le conseil d'administration dans la conformité anticorruption ?
Le conseil d'administration – ou l'organe de gouvernance équivalent – joue un rôle central dans la conformité anticorruption : il doit être régulièrement informé de l'état du programme, valider les orientations stratégiques et s'assurer que les ressources nécessaires sont allouées. La traçabilité des délibérations et des décisions relatives au programme est un élément déterminant lors d'un contrôle AFA. Un engagement documenté de la gouvernance distingue un programme effectif d'un programme formel.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions juridiques, les compliance officers et les dirigeants sur la construction et l'audit des programmes anticorruption, la préparation aux contrôles de l'AFA et la gestion des procédures administratives et pénales liées aux obligations de la loi Sapin II. Notre intervention couvre également l'articulation avec le droit de la concurrence et les obligations de vigilance dans les opérations de M&A. Les honoraires sont définis après analyse du dossier.
Pour examiner l'application du dispositif anticorruption à votre organisation, contactez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité, notamment en matière de programmes anticorruption et de dispositifs de mise en conformité réglementaire. Voir sa présentation.
Publié le 14 avril 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.