Loi Sapin II et obligations anticorruption : enjeux et stratégies pour les entreprises
La loi Sapin II – dont l'intitulé exact est la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – désigne l'ensemble du dispositif législatif français qui impose aux entreprises dépassant certains seuils de chiffre d'affaires et d'effectif la mise en place d'un programme de conformité anticorruption. Ce programme comprend notamment une cartographie des risques, des procédures d'alerte interne, un code de conduite et des dispositifs de formation. Le non-respect de ces obligations expose la société et ses dirigeants à des sanctions prononcées par l'Agence française anticorruption (AFA), autorité administrative indépendante créée par la même loi, et, en cas d'infraction caractérisée, à des poursuites pénales.
Au printemps 2026, la conformité anticorruption s'impose comme l'un des chantiers prioritaires des directions juridiques et des fonctions conformité. L'AFA a intensifié ses contrôles, et plusieurs entreprises françaises ont été confrontées à des injonctions ou à des mises en demeure. Pour le compliance officer, la question n'est plus de savoir si le programme doit exister, mais de s'assurer qu'il est robuste, opérationnel et capable de résister à un contrôle externe. Ce dossier analyse le cadre juridique, les risques concrets, les leviers disponibles et les tendances qui orienteront les contrôles à venir.
Les sections suivantes examinent successivement : la portée exacte des obligations, la logique du contrôle de l'AFA, les zones de vulnérabilité fréquemment relevées dans notre pratique, la dimension internationale du dispositif, les leviers de mise en conformité, les arbitrages que doit piloter la direction, et les perspectives pour les mois à venir.
Quelle est la portée exacte des obligations imposées par la loi Sapin II ?
La loi Sapin II et les obligations anticorruption qu'elle instaure s'appliquent aux sociétés employant au moins cinq cents salariés et réalisant un chiffre d'affaires supérieur à un seuil fixé par les textes, ainsi qu'aux sociétés-mères de groupes répondant aux mêmes critères agrégés. Au-delà de ces seuils, le dispositif est obligatoire et non optionnel : la direction générale en est personnellement responsable.
Le programme de conformité anticorruption comporte huit mesures distinctes définies par les dispositions du Code pénal et par les recommandations de l'AFA régulièrement mises à jour. Ces mesures incluent l'adoption d'un code de conduite intégré au règlement intérieur, la mise en place d'un dispositif d'alerte interne permettant aux salariés de signaler des comportements suspects, une cartographie des risques hiérarchisée par probabilité et impact, des procédures de diligences raisonnables (communément désignées due diligence) sur les tiers – clients, fournisseurs, intermédiaires –, un dispositif de contrôle comptable spécifique, un plan de formation des personnels exposés, un régime de sanctions disciplinaires pour les manquements au code de conduite, et un dispositif de contrôle et d'évaluation interne du programme lui-même.
Dans notre pratique des programmes de conformité, nous observons que la confusion la plus fréquente porte sur le périmètre des tiers soumis aux diligences raisonnables. La loi vise non seulement les partenaires commerciaux établis, mais aussi les prestataires ponctuels et les intermédiaires intervenant dans des opérations à l'international. Un programme qui n'intègre pas cette dimension reste parcellaire, quelles que soient la qualité de son code de conduite et la régularité de ses formations.
Vous évaluez la couverture de votre programme de conformité ? La portée des obligations de la loi Sapin II et obligations anticorruption varie selon la structure juridique du groupe et la nature des activités exposées. Pour une analyse de votre périmètre, écrivez-nous à contact@vernaylestang.com.
Comment l'AFA contrôle-t-elle les programmes de conformité anticorruption ?
L'Agence française anticorruption exerce ses contrôles selon une procédure administrative contradictoire : les inspecteurs de l'AFA examinent les documents du programme, conduisent des entretiens avec les responsables et peuvent émettre des recommandations, des injonctions ou saisir la Commission des sanctions. Cette commission, formation collégiale indépendante, peut prononcer des sanctions pécuniaires à l'encontre de la personne morale et de ses dirigeants, dans des plafonds définis par la loi.
Le contrôle de l'AFA s'organise autour d'un plan national de contrôle qui cible les secteurs d'activité présentant une exposition élevée au risque de corruption : BTP, défense, énergie, secteur pharmaceutique, commerce international. La sélection des entreprises contrôlées n'est pas aléatoire : elle croise le secteur, la taille, la présence géographique dans des juridictions à risque et, parfois, des signalements reçus.
Nous accompagnons régulièrement des entreprises en cours de contrôle ou en phase de préparation à un contrôle AFA. L'expérience montre que les inspecteurs s'attachent moins à la forme documentaire du programme qu'à sa réalité opérationnelle : les cartographies sont-elles actualisées ? Les formations ont-elles bien eu lieu ? Les procédures de diligences raisonnables sont-elles appliquées uniformément, y compris pour les contrats de faible montant dans des juridictions sensibles ?
La logique du contrôle repose sur un principe de proportionnalité : le programme attendu d'une ETI industrielle de huit cents salariés n'est pas identique à celui d'un groupe coté réalisant plusieurs milliards d'euros de chiffre d'affaires. Toutefois, cette proportionnalité n'exonère pas les entreprises proches des seuils de se doter d'un socle complet. En définitive, l'AFA vérifie que l'entreprise peut démontrer, pièces à l'appui, que chaque composante du programme est vivante et tracée.
Quelles sont les zones de vulnérabilité les plus fréquemment identifiées ?
Les zones de vulnérabilité dans un programme de conformité anticorruption se concentrent, dans notre pratique, sur quatre points récurrents : la cartographie des risques obsolète ou insuffisamment granulaire, les diligences raisonnables sur les tiers non homogènes entre les entités du groupe, le déficit de traçabilité des formations et, enfin, l'absence de lien entre le programme de conformité et les processus décisionnels réels de l'entreprise.
La cartographie des risques constitue la colonne vertébrale du programme. Une cartographie réalisée il y a plus de deux ans et non revue après une acquisition, une extension géographique ou un changement de modèle commercial est, en pratique, une cartographie caduque. L'AFA vérifie systématiquement la date de la dernière mise à jour et les événements ayant motivé cette révision.
Les diligences raisonnables sur les tiers représentent l'autre point de fragilité majeur. Dans les groupes multi-entités, il est fréquent de constater que la maison-mère applique une procédure structurée tandis que les filiales, notamment celles acquises récemment, maintiennent leurs propres pratiques antérieures. Cette hétérogénéité expose l'ensemble du groupe, car la responsabilité est appréciée au niveau consolidé.
Illustration de pratique – Paris, hiver 2025
Nous avons accompagné une société de services opérant dans plusieurs pays d'Afrique subsaharienne, dont la cartographie des risques n'avait pas été actualisée depuis l'intégration d'une filiale locale. À l'occasion d'un contrôle AFA, nous avons coordonné la mise à jour de la cartographie, revu les procédures de diligences raisonnables appliquées aux partenaires locaux et formalisé la traçabilité des formations. L'entreprise a pu démontrer, lors des entretiens avec les inspecteurs, la cohérence entre la documentation et les pratiques effectives.
La traçabilité des formations est souvent sous-estimée. Il ne suffit pas d'organiser des sessions de formation : chaque session doit être documentée (liste de présence signée, contenu attesté, date), et les personnels exposés doivent être formés à une fréquence définie par le programme lui-même. L'absence de traces constitue, aux yeux de l'AFA, un indicateur de défaillance du pilotage.
Enfin, le programme de conformité ne doit pas rester un document autonome sans connexion avec les décisions opérationnelles. La question que se posent les inspecteurs est simple : si un commercial souhaite recruter un agent commercial dans un pays à risque élevé, le processus de validation interne est-il automatiquement déclenché ? Si la réponse est non, le programme existe sur le papier mais pas dans les faits.
Vous avez engagé une démarche de conformité mais identifiez des lacunes ? Un second regard permet de cibler les points de fragilité avant un contrôle. Pour examiner l'application des obligations de la loi Sapin II à votre programme de conformité, contactez-nous à contact@vernaylestang.com.
Quelle est la dimension internationale du dispositif et comment interagit-il avec d'autres régimes ?
La loi Sapin II s'inscrit dans un paysage normatif international que le compliance officer doit maîtriser : le Foreign Corrupt Practices Act (FCPA) américain, le UK Bribery Act britannique et les conventions de l'OCDE sur la lutte contre la corruption d'agents publics étrangers constituent des instruments avec lesquels le programme français doit coexister, voire se superposer.
Pour les groupes français cotés sur des marchés américains ou ayant des activités aux États-Unis, l'exposition au FCPA est réelle et distincte de celle créée par la loi Sapin II. Ces deux régimes partagent une logique commune – prévenir la corruption d'agents publics étrangers – mais divergent sur des points opérationnels, notamment la définition de l'agent public, les standards de diligence raisonnablement attendue et les modalités de coopération avec les autorités. Un programme qui n'articule pas explicitement ces deux régimes est susceptible de créer des angles morts.
L'analyse juridique des interactions entre les régimes doit également tenir compte du droit pénal des affaires français, qui réprime la corruption active et passive, le trafic d'influence et la prise illégale d'intérêts par des dispositions du Code pénal. Le programme de conformité Sapin II ne constitue pas un fait justificatif automatique en matière pénale, mais il peut être pris en considération dans l'appréciation de la bonne foi de l'entreprise et dans la négociation d'une convention judiciaire d'intérêt public (CJIP), instrument transactionnel introduit par la même loi et permettant à une entreprise de régler un litige pénal sans condamnation formelle, moyennant le paiement d'une amende et la mise en place d'un programme de mise en conformité supervisé par l'AFA.
En coordination avec des conseils locaux dans les juridictions concernées, nous accompagnons les groupes français dans l'articulation de leurs programmes de conformité avec les exigences extraterritoriales applicables. L'expérience des opérations transfrontalières montre que la cohérence entre les différents régimes n'est pas automatique et doit être construite opération par opération, entité par entité.
Comment structurer un programme de conformité robuste : méthode et leviers
Un programme de conformité anticorruption robuste repose sur une architecture en quatre strates : l'engagement de la gouvernance, la cartographie des risques vivante, les procédures opérationnelles intégrées aux processus métiers, et le dispositif de pilotage et d'amélioration continue.
L'engagement de la gouvernance n'est pas une formalité. Le Code de commerce impose que la direction générale soit responsable du programme. En pratique, cela signifie que le comité exécutif ou le conseil d'administration doit avoir adopté formellement le programme, que des ressources humaines et financières lui ont été allouées, et que des reportings réguliers sur son état sont présentés aux instances dirigeantes. Un programme piloté uniquement par la direction juridique sans remontée au comité exécutif manque de l'ancrage organisationnel que l'AFA vérifie en premier lieu.
La cartographie des risques doit être construite par l'entreprise elle-même, avec l'appui de ses équipes opérationnelles, et non importée d'un modèle sectoriel générique. Elle doit couvrir tous les processus exposés – ventes, achats, ressources humaines, relations institutionnelles –, identifier les tiers à risque et hiérarchiser les scénarios de corruption selon leur probabilité et leur impact potentiel. Cette cartographie est un document vivant : elle est révisée à chaque événement significatif (acquisition, ouverture d'une zone géographique, changement de modèle commercial).
Les procédures opérationnelles ne valent que si elles sont intégrées aux outils de travail des équipes concernées. Une procédure de diligences raisonnables sur les tiers qui nécessite de consulter un document PDF archivé sur un intranet peu accessible a peu de chances d'être appliquée systématiquement. Les meilleurs programmes sont ceux dont les étapes de validation sont intégrées directement dans les systèmes de gestion de la relation client, de gestion des achats ou de gestion des projets.
Le dispositif de pilotage repose sur des indicateurs définis à l'avance : taux de complétion des formations, nombre de diligences réalisées, nombre d'alertes reçues et traitées, résultats des contrôles internes. Ces indicateurs doivent être présentés périodiquement à la direction et documentés. Ils constituent la preuve que le programme fonctionne.
Quels arbitrages stratégiques la direction doit-elle piloter ?
La conformité anticorruption soulève des arbitrages stratégiques que la direction générale ne peut déléguer entièrement à la fonction conformité : le niveau d'investissement dans le programme, la gestion des conflits entre objectifs commerciaux et exigences de conformité, et la gouvernance des alertes internes.
Le premier arbitrage porte sur les ressources. Un programme de conformité efficace requiert un responsable de la conformité (communément désigné chief compliance officer) disposant d'une autorité réelle, d'un budget propre et d'un accès direct à la direction générale. Dans les ETI, cette fonction est souvent exercée par le directeur juridique à titre complémentaire, ce qui crée des risques de charge et de priorité. La direction doit décider si cette organisation est suffisante au regard du profil de risque de l'entreprise.
Le deuxième arbitrage concerne la gestion des tensions entre conformité et développement commercial. Il arrive que des équipes commerciales perçoivent les procédures de diligences raisonnables sur les tiers comme un frein à la conclusion d'affaires. Cette tension est réelle. La réponse ne consiste pas à assouplir les procédures pour les contrats urgents, mais à calibrer leur complexité selon le niveau de risque identifié dans la cartographie, de manière à accélérer les diligences à faible risque sans réduire la vigilance sur les dossiers sensibles.
Le troisième arbitrage touche à la gouvernance des alertes internes. Le dispositif d'alerte prévu par la loi Sapin II s'inscrit dans le cadre plus large de la protection des lanceurs d'alerte instaurée par la loi Sapin II elle-même, renforcée par la transposition de la directive européenne sur la protection des lanceurs d'alerte. La direction doit s'assurer que les alertes sont traitées dans des délais définis, que les informations sont documentées de manière confidentielle et que les lanceurs d'alerte bénéficient des protections prévues par les textes. Un dispositif d'alerte mal géré expose l'entreprise à un risque juridique supplémentaire, distinct du risque de corruption lui-même.
Matrice de décision :
- Situation A – Entreprise au-dessus des seuils légaux, programme existant mais non actualisé depuis plus de dix-huit mois → révision prioritaire de la cartographie des risques et audit des diligences raisonnables → niveau de risque élevé en cas de contrôle AFA.
- Situation B – Entreprise juste en dessous des seuils légaux mais filiale d'un groupe soumis au FCPA ou au UK Bribery Act → mise en place volontaire d'un programme proportionné → niveau de risque modéré, bénéfice d'une posture anticipée.
- Situation C – Entreprise en croissance approchant les seuils → anticipation de la mise en conformité avant le franchissement → niveau de risque réduit, délai de mise en place maîtrisé.
Quelles sont les tendances et les points d'attention pour les mois à venir ?
Plusieurs tendances structurelles orientent les priorités de la conformité anticorruption en 2026 et méritent l'attention du compliance officer et des directions générales.
La première tendance est l'intensification des contrôles de l'AFA sur les programmes de conformité des fournisseurs stratégiques. L'AFA a exprimé une attention croissante pour la manière dont les grandes entreprises soumises à la loi exercent, en pratique, leurs diligences raisonnables sur leur chaîne d'approvisionnement. Cette vigilance s'articule avec les obligations issues de la loi relative au devoir de vigilance, qui crée un continuum normatif entre la prévention de la corruption et la prévention des atteintes aux droits humains dans les chaînes de valeur.
La deuxième tendance concerne l'utilisation des outils numériques dans les programmes de conformité. L'automatisation des diligences raisonnables sur les tiers, le recours à des bases de données de criblage et l'intégration des vérifications dans les systèmes d'information créent de nouvelles attentes de la part de l'AFA, qui apprécie positivement la traçabilité numérique à condition que les outils soient correctement paramétrés et leurs limites comprises par les utilisateurs.
La troisième tendance est l'articulation croissante entre conformité anticorruption et conformité en matière de pratiques commerciales. Les entreprises qui pilotent ces deux disciplines de manière cloisonnée prennent le risque d'une incohérence dans leur gouvernance, susceptible d'être relevée aussi bien par l'AFA que par l'Autorité de la concurrence. Une approche intégrée de la conformité, articulant les risques de corruption, les risques concurrentiels et les risques contractuels, représente désormais la référence attendue par les autorités.
Pour une analyse juridique approfondie des obligations qui pèsent spécifiquement sur les dirigeants, nous vous invitons à consulter notre dossier dédié aux obligations des dirigeants au titre de la loi Sapin II.
Illustration de pratique – Lyon, printemps 2025
Nous avons accompagné un groupe industriel de taille intermédiaire dans la refonte de son programme de conformité anticorruption à l'occasion d'une opération de croissance externe qui avait doublé son effectif et étendu ses activités à deux nouvelles zones géographiques. La mission a couvert la mise à jour de la cartographie des risques intégrant les nouvelles entités, la révision des procédures de diligences raisonnables sur les tiers, et la conception d'un plan de formation différencié selon l'exposition des fonctions. Le programme revu a été présenté au conseil d'administration et documenté de manière à pouvoir être soumis à un contrôle AFA sans délai de préparation supplémentaire.
La quatrième tendance est la convergence progressive des standards de conformité anticorruption au niveau européen. Les travaux en cours au sein des institutions de l'Union européenne sur un corpus commun de règles anticorruption annoncent une harmonisation partielle qui renforcera, à terme, les obligations des entreprises opérant dans plusieurs États membres. Les groupes qui auront anticipé cette convergence en construisant des programmes déjà alignés sur les standards les plus exigeants seront mieux positionnés pour absorber de futures évolutions normatives.
Pour les entreprises confrontées à des arbitrages entre procédures internes, il peut également être utile de comparer les différentes options de résolution disponibles en cas de différend. Notre guide de décision sur les procédures applicables peut offrir un éclairage complémentaire sur les mécanismes transactionnels disponibles.
Ce qu'il faut préparer : check-list opérationnelle pour le compliance officer
La préparation d'un programme de conformité anticorruption prêt à résister à un contrôle AFA suppose de réunir, a minima, les éléments suivants.
- La cartographie des risques mise à jour, datée et signée par un responsable identifié, avec mention de la méthodologie et des événements ayant motivé la dernière révision.
- Les procédures de diligences raisonnables sur les tiers, avec les journaux de traçabilité des vérifications effectuées pour chaque partenaire commercial significatif au cours des douze derniers mois.
- Les listes de présence signées et les supports des formations dispensées aux personnels exposés, avec indication des fonctions concernées et des dates.
- Les registres du dispositif d'alerte interne : alertes reçues, délais de traitement, décisions prises et documentation de la confidentialité maintenue.
- Les reportings présentés à la direction générale ou au conseil d'administration sur l'état du programme, avec date et destinataires.
Domaines liés
- Conformité des pratiques commerciales – audit, mise en conformité et défense devant l'Autorité de la concurrence
- Obligations anticorruption des dirigeants – analyse juridique des responsabilités personnelles au titre de la loi Sapin II
Questions fréquentes sur la loi Sapin II et les obligations anticorruption
1. Quelles entreprises sont concernées par les obligations de la loi Sapin II ?
Les obligations de la loi Sapin II s'appliquent aux sociétés employant au moins cinq cents salariés et dont le chiffre d'affaires dépasse le seuil fixé par les textes, ainsi qu'aux sociétés-mères de groupes atteignant ces critères de manière consolidée. Les filiales dont la société-mère est soumise à la loi sont également concernées par ricochet, dans la mesure où le programme de conformité doit couvrir l'ensemble du périmètre du groupe. Les entreprises sous les seuils légaux peuvent s'y soumettre volontairement, notamment lorsqu'elles appartiennent à la chaîne de valeur d'un donneur d'ordre soumis à la loi ou opèrent dans des juridictions exigeant un programme équivalent.
2. Comment anticiper les enjeux de la loi Sapin II en pratique ?
Anticiper les enjeux de la loi Sapin II implique, dans notre pratique, trois actions prioritaires : réaliser ou actualiser la cartographie des risques en impliquant les équipes opérationnelles, auditer les procédures de diligences raisonnables existantes pour identifier les angles morts, et vérifier la traçabilité des formations et des alertes traitées. Ces actions peuvent être conduites en interne avec l'appui d'un conseil externe chargé de l'analyse juridique et de la coordination des travaux. L'anticipation est d'autant plus importante que les contrôles de l'AFA se préparent difficilement dans l'urgence : un programme qui n'est documenté qu'au moment du contrôle ne convaincra pas les inspecteurs de sa réalité opérationnelle.
3. Quand est-il opportun de consulter un avocat sur les obligations de la loi Sapin II ?
Consulter un avocat spécialisé est pertinent dans plusieurs situations : au moment de la première mise en place du programme de conformité, lors d'une révision consécutive à une acquisition ou à une extension géographique, en amont d'un contrôle annoncé par l'AFA, ou encore lorsqu'une alerte interne soulève une question susceptible d'engager la responsabilité pénale de dirigeants. Une intervention précoce permet de structurer la démarche, de sécuriser la documentation et d'anticiper les questions des inspecteurs. Elle est également recommandée dans le cadre de la négociation d'une convention judiciaire d'intérêt public, procédure pour laquelle le rôle du conseil est déterminant.
4. Quelles sont les sanctions encourues en cas de non-conformité à la loi Sapin II ?
En cas de manquement aux obligations du programme de conformité, la Commission des sanctions de l'AFA peut prononcer des sanctions pécuniaires à l'encontre de la personne morale et de ses dirigeants, dans des plafonds définis par les dispositions de la loi. Au-delà du risque administratif, une infraction de corruption avérée relève du Code pénal et expose les personnes physiques et morales à des peines d'amende et, pour les personnes physiques, à des peines d'emprisonnement. La convention judiciaire d'intérêt public constitue une voie de résolution transactionnelle qui peut être envisagée en cas de révélation d'actes de corruption, à condition que l'entreprise coopère avec les autorités et accepte un programme de mise en conformité supervisé.
5. La loi Sapin II s'applique-t-elle aux filiales françaises de groupes étrangers ?
Les filiales françaises de groupes étrangers sont soumises à la loi Sapin II dès lors qu'elles remplissent les critères de seuil applicables en France, indépendamment de la nationalité de la maison-mère. Par ailleurs, si la maison-mère étrangère est elle-même soumise à un régime anticorruption extraterritorial – tel que le FCPA américain ou le UK Bribery Act britannique –, les obligations se cumulent et doivent être articulées de manière cohérente. Le programme de conformité de la filiale française doit satisfaire aux exigences de la loi Sapin II, tout en s'inscrivant dans le cadre global défini par le groupe et applicable dans les autres juridictions.
Vernay & Lestang – Avocats d'affaires · Paris
Notre cabinet accompagne les directions générales, les directions juridiques et les fonctions conformité dans la structuration et l'audit de leurs programmes de conformité anticorruption, la préparation aux contrôles de l'AFA, l'articulation des obligations Sapin II avec les régimes étrangers applicables, et la gestion des situations de crise – alerte interne, enquête, convention judiciaire d'intérêt public. Notre intervention couvre l'analyse juridique, la coordination des équipes internes et, si nécessaire, la représentation devant les autorités compétentes. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre programme de conformité anticorruption, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, données et conformité. Voir son profil
Publié le 14 avril 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.