Comment mettre en place un programme de conformité Sapin II : guide pratique
Mettre en place un programme de conformité Sapin II désigne l'ensemble des mesures organisationnelles, procédurales et documentaires qu'une entreprise soumise à la loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique doit déployer pour prévenir et détecter les faits de corruption et de trafic d'influence. Le dispositif s'organise autour de huit piliers définis par les textes et précisés par les recommandations de l'Agence française anticorruption (AFA), qui en assure le contrôle.
Au sein de Vernay & Lestang, nous accompagnons régulièrement des compliance officers et des directions juridiques dans la structuration de ces programmes, depuis l'analyse de l'assujettissement jusqu'à la préparation aux contrôles de l'AFA. Ce guide présente la procédure étape par étape, les conditions de déclenchement, les documents indispensables et les erreurs à éviter pour déployer un programme solide.
Le guide suit le séquençage suivant : vérification de l'assujettissement, cartographie des risques, élaboration des piliers obligatoires, déploiement et formation, contrôle interne et révision, puis préparation au contrôle de l'AFA.
Quelles entreprises sont soumises aux obligations de la loi Sapin II ?
L'assujettissement aux obligations du programme de conformité anticorruption résulte de critères cumulatifs tirés des dispositions du Code pénal et de la loi Sapin II : être une société employant au moins cinq cents salariés – ou appartenir à un groupe dont la société mère est établie en France et dont l'effectif consolidé atteint ce seuil – et réaliser un chiffre d'affaires annuel, ou un chiffre d'affaires consolidé du groupe, supérieur à un seuil fixé par les textes. Les présidents, directeurs généraux et gérants de ces sociétés supportent personnellement l'obligation de mise en œuvre.
Dans notre pratique, nous observons que deux erreurs de périmètre reviennent fréquemment. La première consiste à négliger le critère de la tête de groupe : une filiale française en deçà des seuils peut être entraînée dans le champ si sa société mère française les dépasse. La seconde tient à l'effectif des salariés détachés ou mis à disposition, qui entre dans le calcul selon les règles applicables au droit du travail.
Les entreprises publiques et les établissements publics à caractère industriel et commercial entrent dans le champ pour les obligations les plus exigeantes. Les collectivités territoriales au-delà d'un certain seuil de population relèvent d'un régime distinct, administré par la Haute Autorité pour la transparence de la vie publique, et ne sont pas traitées dans le présent guide.
La vérification de l'assujettissement est le premier acte du programme. Elle conditionne l'ensemble des étapes suivantes et doit être documentée dans un mémorandum interne, conservé et mis à jour annuellement.
Vous êtes en train d'évaluer l'assujettissement de votre groupe à la loi Sapin II ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des effectifs consolidés et de la structure du groupe. Pour une analyse adaptée à votre situation, écrivez-nous à contact@vernaylestang.com.
Étape 1 – Réaliser la cartographie des risques de corruption
La cartographie des risques de corruption constitue le socle du programme : elle identifie, hiérarchise et documente les scénarios dans lesquels l'entreprise est susceptible d'être exposée à des faits de corruption active ou passive, de trafic d'influence ou de prise illégale d'intérêts. L'AFA a précisé dans ses recommandations les attendus méthodologiques de cet exercice.
La démarche comprend quatre temps successifs :
- Identification des activités à risque : recenser les fonctions exposées (achats, commerce, affaires publiques, ressources humaines, finance) et les zones géographiques à risque élevé selon les indices internationaux reconnus.
- Évaluation de l'exposition brute : apprécier la probabilité et l'impact potentiel de chaque scénario sans tenir compte des contrôles en place.
- Intégration des mesures de maîtrise existantes : recenser les procédures, les contrôles et les délégations déjà déployés, et en apprécier l'effectivité réelle.
- Cotation du risque résiduel : après prise en compte des contrôles, établir une carte de chaleur documentée, priorisée et validée par la direction générale.
La cartographie n'est pas un document figé. Elle doit être révisée à chaque événement structurant – acquisition, entrée dans un nouveau marché, changement de dirigeant – et a minima tous les deux ans selon les recommandations de l'AFA. Dans notre pratique, nous recommandons de lier sa mise à jour au cycle de révision du plan stratégique.
Étape 2 – Élaborer les huit piliers obligatoires du programme
Le programme de conformité Sapin II repose sur huit piliers que les textes imposent aux entités assujetties : code de conduite, dispositif d'alerte interne, cartographie des risques, procédures d'évaluation des tiers, procédures de contrôle comptable, dispositif de formation, régime disciplinaire, et dispositif de contrôle et d'évaluation interne. L'absence ou le caractère formel d'un seul de ces piliers constitue un manquement susceptible d'être sanctionné par l'AFA.
Code de conduite. Il définit et illustre, par des exemples adaptés aux activités de la société, les comportements à proscrire comme constitutifs de corruption ou de trafic d'influence. Il est annexé au règlement intérieur et, à ce titre, soumis à la procédure de consultation du comité social et économique et de dépôt auprès de l'inspection du travail.
Dispositif d'alerte interne. Il permet à tout collaborateur de signaler, de manière confidentielle, des faits susceptibles de constituer une violation du code de conduite. Il doit être articulé avec le dispositif général d'alerte prévu par la loi du 21 mars 2022 (transposition de la directive européenne sur les lanceurs d'alerte), qui a élargi les canaux et les protections applicables.
Procédures d'évaluation des tiers. Elles constituent l'un des points d'attention prioritaires lors des contrôles de l'AFA. Elles doivent s'appliquer aux clients, aux fournisseurs, aux intermédiaires et aux partenaires commerciaux présentant un risque identifié sur la cartographie, avant l'entrée en relation et à intervalles réguliers. La profondeur de la vérification est proportionnée au niveau de risque.
Contrôles comptables. Les procédures d'évaluation comptable et financière doivent permettre de s'assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption. Elles couvrent notamment les notes de frais, les cadeaux et avantages, les commissions d'intermédiaires et les paiements de facilitation.
Formation. Le programme de formation doit toucher les dirigeants, les personnels les plus exposés au regard de la cartographie des risques, et – progressivement – l'ensemble des collaborateurs. La traçabilité des formations (listes d'émargement, supports, fréquence) est contrôlée par l'AFA.
Les trois derniers piliers – régime disciplinaire, contrôle interne et évaluation – seront développés dans les étapes suivantes.
Micro-cas A — Île-de-France, printemps 2025
Nous avons accompagné une entreprise de services aux entreprises dans la structuration de ses procédures d'évaluation des tiers. Le dispositif initial, documenté mais non appliqué aux sous-traitants de rang deux, a été refondu pour couvrir l'ensemble des partenaires exposés identifiés sur la cartographie des risques. Le résultat a été une conformité documentée aux attendus de l'AFA avant le déclenchement d'un contrôle annoncé.
Étape 3 – Déployer le programme et organiser la formation
Le déploiement du programme est une phase d'exécution que les compliance officers sous-estiment souvent : un programme techniquement solide mais non diffusé, non compris et non appliqué est un programme ineffectif aux yeux de l'AFA. La loi Sapin II ne se satisfait pas d'une documentation, elle exige une mise en œuvre réelle.
Le déploiement suit un ordre logique. Le code de conduite est le premier document à diffuser, après sa consultation par le comité social et économique et son dépôt. Il doit faire l'objet d'un accusé de réception ou d'une attestation de lecture de la part des collaborateurs. Le dispositif d'alerte est activé en parallèle, avec communication des canaux disponibles.
La formation des personnels exposés est organisée en priorité. Nous accompagnons régulièrement des directions compliance dans la construction de modules différenciés selon le niveau de risque de chaque population : un module approfondi pour les commerciaux et les acheteurs, un module de sensibilisation pour les fonctions support. La fréquence de renouvellement est déterminée par la politique interne, en cohérence avec les recommandations de l'AFA.
Le régime disciplinaire doit mentionner explicitement les violations du code de conduite comme fautes susceptibles de sanction. Cette mention figure soit dans le règlement intérieur, soit dans un avenant ou un document annexé, selon la taille et la structure de l'entreprise.
Une démarche antérieure a produit des lacunes identifiées lors d'un pré-audit interne ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner l'application du dispositif anticorruption à votre situation, contactez-nous à contact@vernaylestang.com.
Étape 4 – Mettre en place le contrôle interne et l'évaluation du programme
Le huitième pilier – dispositif de contrôle et d'évaluation interne – est celui qui différencie un programme vivant d'un programme formel. Il impose de vérifier périodiquement que les procédures sont effectivement appliquées, que les formations sont suivies, que les alertes sont traitées et que les évaluations des tiers sont réalisées dans les délais prévus.
L'organisation de ce contrôle prend généralement l'une des trois formes suivantes :
- Audit interne dédié : la direction de l'audit interne intègre le programme anticorruption dans son plan annuel d'audit, avec des missions spécifiques sur les procédures les plus exposées.
- Auto-évaluation structurée : le compliance officer conduit une revue annuelle à partir d'une grille d'évaluation documentée, avec production d'un rapport présenté à la direction générale et, le cas échéant, au conseil d'administration ou de surveillance.
- Mission confiée à un tiers : un conseil externe réalise un audit de conformité indépendant, dont les conclusions servent de base à la mise à jour du programme.
Quelle que soit la forme retenue, le contrôle interne produit un rapport documenté. Ce rapport constitue la pièce centrale du dossier présenté lors d'un contrôle de l'AFA. Il doit mentionner les lacunes identifiées, les actions correctives engagées et leur suivi dans le temps.
Quelles erreurs fréquentes compromettent l'effectivité du programme ?
Les erreurs les plus courantes dans la mise en place d'un programme Sapin II ne tiennent pas à une méconnaissance du droit, mais à des défaillances d'exécution que l'AFA constate systématiquement lors de ses contrôles.
Cartographie déconnectée de la réalité opérationnelle. Un exercice conduit uniquement par la direction juridique, sans entretiens avec les métiers, produit une cartographie théorique que les opérationnels ne reconnaissent pas. L'AFA vérifie que la cartographie reflète les activités réelles de l'entreprise.
Évaluation des tiers réduite à une recherche documentaire. La vérification de l'intégrité des partenaires commerciaux ne se réduit pas à la collecte d'un extrait Kbis et d'un formulaire. Elle exige une appréciation structurée, proportionnée au risque, avec traçabilité de la décision d'entrée en relation.
Formation non renouvelée. Une formation dispensée une seule fois lors de l'onboarding ne satisfait pas aux exigences. L'AFA attend un programme de formation récurrent, avec des mises à jour en cas d'évolution du programme ou des risques.
Absence de portage par la direction générale. Le programme anticorruption ne peut pas être l'affaire exclusive du service compliance. La loi Sapin II place l'obligation sur les épaules du dirigeant. L'implication de la direction générale dans la validation de la cartographie, l'approbation du code de conduite et la présentation des résultats du contrôle interne est un signal fort, observé et valorisé par l'AFA.
Mise à jour irrégulière des procédures. Un programme non révisé depuis plusieurs années, alors que l'entreprise a changé de périmètre, d'activité ou de marchés, est perçu comme un programme formel. La mise à jour doit être tracée et documentée.
Micro-cas B — Lyon, automne 2024
Nous avons assisté une ETI du secteur industriel dans la remise à niveau de son programme après un contrôle de l'AFA ayant mis en évidence des lacunes dans l'évaluation des tiers et la traçabilité des formations. La refonte du dispositif, conduite sur plusieurs mois, a permis d'apporter une réponse structurée aux injonctions de l'AFA dans le délai imparti.
Comment se préparer à un contrôle de l'Agence française anticorruption ?
L'AFA dispose d'un pouvoir de contrôle et, en cas de manquements, de la faculté de saisir sa commission des sanctions, qui peut prononcer des injonctions et des sanctions pécuniaires à l'encontre de la société et de ses dirigeants. La préparation à un contrôle est donc un exercice à part entière du programme de conformité.
Un contrôle de l'AFA suit un déroulement structuré : notification, phase documentaire, entretiens avec les dirigeants et les responsables opérationnels, et rapport préliminaire sur lequel l'entreprise peut formuler des observations. Le délai entre la notification et la remise du rapport final peut s'étendre sur plusieurs mois.
Les points de contrôle systématiquement vérifiés par l'AFA comprennent :
- L'existence et la mise à jour de la cartographie des risques, avec traçabilité des révisions.
- La diffusion effective du code de conduite et son intégration au règlement intérieur.
- L'opérationnalité du dispositif d'alerte : canaux accessibles, traitement des signalements, protection des lanceurs d'alerte.
- La profondeur et la traçabilité des évaluations des tiers pour les partenaires à risque.
- Les preuves de formation : listes d'émargement, supports utilisés, fréquence des sessions.
- Le rapport de contrôle interne le plus récent et le suivi des actions correctives.
Dans notre pratique, nous recommandons de conduire un audit à blanc – selon la même grille que celle utilisée par l'AFA dans ses lignes directrices – au minimum six mois avant une échéance anticipée ou lors de chaque révision majeure du programme.
Matrice de décision et check-list opérationnelle
Le choix du niveau de maturité du programme à atteindre en priorité dépend de la situation de départ :
Situation A – Programme inexistant ou purement formel : priorité absolue à la cartographie des risques et au code de conduite. Déploiement séquencé sur plusieurs mois. Niveau de risque élevé en cas de contrôle. Recours à un conseil externe recommandé pour la phase de diagnostic.
Situation B – Programme existant mais non mis à jour : démarrage par un audit interne à blanc, identification des lacunes, plan de remédiation priorisé. Niveau de risque modéré si les piliers fondamentaux sont en place. Délai de mise à jour déterminé par les actions correctives à engager.
Situation C – Programme complet, contrôle AFA annoncé ou probable : constitution du dossier documentaire, préparation des interlocuteurs clés aux entretiens, revue des procédures les plus récentes. Niveau de risque faible si le programme est effectivement appliqué.
Check-list « ce qu'il faut préparer »
- Mémorandum d'assujettissement documenté et mis à jour (seuils d'effectif et de chiffre d'affaires vérifiés).
- Cartographie des risques signée par la direction générale, avec date de dernière révision.
- Code de conduite annexé au règlement intérieur, avec preuve de consultation du comité social et économique et de dépôt.
- Procédures d'évaluation des tiers, liste des partenaires évalués et fiches de diligence raisonnable (due diligence) correspondantes.
- Registre des formations : listes d'émargement, supports, dates, populations formées.
- Rapport de contrôle interne le plus récent et tableau de suivi des actions correctives.
Domaines liés
- Conformité des pratiques commerciales – encadrement juridique des pratiques commerciales et prévention des risques concurrentiels
- Mettre en place un programme Sapin II : étapes, conditions et délais – guide complémentaire sur le séquençage et les délais réglementaires applicables
- Gérer une déclaration de cessation des paiements : check-list entreprises – procédure et documents en cas de difficulté financière affectant la continuité du dispositif
Questions fréquentes sur la mise en place d'un programme de conformité Sapin II
1. Mettre en place un programme de conformité Sapin II : comment procéder en pratique ?
Mettre en place un programme de conformité Sapin II suppose de respecter un séquençage en six étapes principales : vérification de l'assujettissement, cartographie des risques, élaboration des huit piliers obligatoires (code de conduite, alerte, évaluation des tiers, contrôles comptables, formation, régime disciplinaire, contrôle interne), déploiement auprès des collaborateurs, révision périodique et préparation aux contrôles de l'AFA. Le programme repose sur les dispositions de la loi du 9 décembre 2016 et sur les recommandations de l'Agence française anticorruption, qui en contrôle l'effectivité.
2. Quels sont les prérequis avant de mettre en place un programme de conformité Sapin II ?
Les prérequis tiennent à l'assujettissement : l'entreprise doit remplir les critères cumulatifs de seuil d'effectif et de chiffre d'affaires prévus par la loi Sapin II, que ce soit à titre individuel ou au niveau consolidé du groupe dont la société mère est établie en France. Avant toute autre démarche, un mémorandum interne documentant cette analyse est indispensable. Par ailleurs, l'engagement explicite de la direction générale – qui supporte personnellement l'obligation – est une condition d'effectivité du programme.
3. Quels délais et conditions respecter pour déployer le programme ?
La loi Sapin II n'impose pas de délai unique pour le déploiement du programme ; en revanche, l'obligation est permanente dès lors que les seuils sont atteints. Dans la pratique, l'AFA attend que les entités assujetties disposent d'un programme opérationnel et mis à jour. La cartographie des risques doit être révisée a minima tous les deux ans selon les recommandations de l'AFA, et à chaque événement structurant (acquisition, nouveau marché, changement de dirigeant). Le droit de la concurrence impose des contraintes procédurales distinctes, notamment pour le contrôle des concentrations, qui suit un calendrier propre devant l'Autorité de la concurrence.
4. Le programme Sapin II s'articule-t-il avec le droit de la concurrence ?
Le programme de conformité Sapin II traite de la prévention de la corruption et du trafic d'influence ; il est distinct des obligations issues du droit de la concurrence, qui encadrent les ententes, les abus de position dominante et le contrôle des concentrations. Ces deux champs de la conformité et du droit de la concurrence peuvent coexister dans un même programme global de compliance, mais leurs procédures, leurs autorités de contrôle – l'AFA d'un côté, l'Autorité de la concurrence de l'autre – et leurs sanctions sont distincts. Une politique de conformité des pratiques commerciales cohérente couvre idéalement les deux volets.
5. Quelles sanctions l'AFA peut-elle prononcer en cas de manquement ?
En cas de manquement constaté lors d'un contrôle, l'AFA peut saisir sa commission des sanctions, qui dispose du pouvoir de prononcer des injonctions de mise en conformité et des sanctions pécuniaires à l'encontre de la personne morale et des dirigeants concernés, dans les limites prévues par la loi Sapin II. Les montants maximaux et les modalités de la procédure contradictoire sont définis par les textes ; les praticiens et les procédures et étapes applicables en cas de contrôle sont précisés dans les lignes directrices publiées par l'AFA sur son site officiel.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille des entreprises et des investisseurs sur la structuration et la mise en œuvre de programmes de conformité anticorruption, l'articulation avec les obligations issues du droit de la concurrence et la préparation aux contrôles des autorités compétentes. Notre intervention couvre l'analyse de l'assujettissement, la conduite des diligences raisonnable, l'élaboration des huit piliers du programme et la représentation lors des contrôles de l'AFA.
Pour un premier avis sur votre programme de conformité Sapin II, adressez-nous un message à contact@vernaylestang.com. Les honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron
Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social et de restructurations sociales, ainsi que les questions de conformité affectant l'organisation interne des entreprises.
Publié le 11 février 2026 · Voir le profil
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.