Mettre en place un programme de conformité Sapin II : check-list pour les entreprises
Un compliance officer qui reçoit pour la première fois mission de déployer un programme anticorruption se retrouve face à un empilement de textes, de recommandations de l'Agence française anticorruption et d'injonctions contradictoires de la direction générale. La loi Sapin II – dont les dispositions anticorruption figurent dans le Code de commerce et dans des textes spécifiques à l'AFA – impose aux entreprises concernées de structurer huit piliers avant tout contrôle. L'enjeu n'est pas seulement de cocher des cases : un programme insuffisant peut exposer l'entreprise à des sanctions administratives et le dirigeant à une mise en cause personnelle.
Mettre en place un programme de conformité Sapin II consiste à déployer, de façon séquencée et documentée, les huit mesures et procédures prévues par les dispositions anticorruption du Code de commerce, sous le contrôle de l'AFA. La démarche commence par la cartographie des risques de corruption et de trafic d'influence, se poursuit par la rédaction d'un code de conduite, la mise en place d'un dispositif d'alerte, la formation des personnels exposés, et s'achève par un dispositif de contrôle et d'audit interne. En l'absence d'un programme formalisé, l'entreprise s'expose à un plan de mise en conformité imposé par l'AFA, voire à des sanctions devant la commission des sanctions.
Ce guide détaille, étape par étape, la procédure à suivre pour mettre en place un programme de conformité Sapin II : prérequis, séquencement des huit piliers, documents à produire, erreurs à éviter et check-list opérationnelle. Il s'adresse aux compliance officers, aux directeurs juridiques et aux dirigeants d'entreprises soumises au dispositif.
Quelles entreprises sont concernées par la loi Sapin II ?
Le premier réflexe avant de mettre en place un programme de conformité Sapin II est de vérifier que l'entreprise entre dans le champ d'application du dispositif anticorruption. Les dispositions du Code de commerce visent les sociétés qui emploient au moins cinq cents salariés – ou qui appartiennent à un groupe dont la société mère est établie en France et dont l'effectif consolidé atteint ce seuil – et dont le chiffre d'affaires consolidé dépasse le seuil fixé par les textes. Ces deux conditions sont cumulatives.
Dans notre pratique, nous constatons deux erreurs récurrentes à ce stade. La première consiste à ne compter que les salariés de la société mère française en ignorant les filiales étrangères. La seconde est d'omettre que le seuil de chiffre d'affaires s'apprécie au niveau du groupe consolidé, non de l'entité juridique seule. Une vérification rigoureuse du périmètre est donc la condition préalable à toute démarche.
Les dirigeants des entités concernées sont personnellement tenus de mettre en œuvre le programme. Cette responsabilité individuelle est distincte de la responsabilité pénale de la personne morale pour corruption ou trafic d'influence. Un groupe en croissance doit par ailleurs anticiper le franchissement des seuils plutôt que de réagir après coup : le programme doit être opérationnel dès que les seuils sont atteints.
Votre périmètre est-il clairement délimité ?
La démarche de mise en conformité commence par une qualification précise du périmètre : entités concernées, effectifs consolidés, exposition internationale. Pour un premier cadrage de votre situation au regard du dispositif Sapin II, écrivez-nous à contact@vernaylestang.com.
Comment séquencer les huit piliers du programme de conformité ?
Le programme de conformité Sapin II repose sur huit piliers dont l'ordre de déploiement n'est pas anodin : certains sont des prérequis logiques pour les suivants. L'AFA vérifie non seulement l'existence de chaque pilier, mais aussi la cohérence de l'ensemble.
Pilier 1 – L'engagement de l'instance dirigeante. Aucun programme ne tient sans un engagement formel et visible de la direction générale. Cela signifie une délibération du conseil d'administration ou du directoire, une lettre de cadrage diffusée à l'ensemble des collaborateurs, et une présence du sujet dans les communications internes régulières. L'AFA attend que cet engagement soit tracé et daté.
Pilier 2 – La cartographie des risques de corruption. C'est le fondement de tout le programme. La cartographie identifie, hiérarchise et documente les scénarios de corruption et de trafic d'influence auxquels l'entreprise est exposée, en tenant compte de son secteur, de ses implantations géographiques et de la nature de ses partenaires commerciaux. Une cartographie des risques de corruption rigoureuse détermine la portée des piliers suivants : un code de conduite déconnecté de la cartographie perd toute pertinence opérationnelle.
Pilier 3 – Le code de conduite. Intégré au règlement intérieur selon les modalités prévues par le Code du travail, le code de conduite définit les comportements proscrits et les obligations des salariés en matière d'intégrité. Il doit être rédigé en termes concrets, illustrés par des exemples tirés de l'activité réelle de l'entreprise. Un texte générique copié d'un modèle sectoriel n'est pas considéré comme suffisant par l'AFA.
Pilier 4 – Le dispositif d'alerte interne. Les entreprises concernées doivent mettre en place une procédure permettant aux salariés et aux collaborateurs extérieurs de signaler des faits susceptibles de caractériser une corruption ou un trafic d'influence. Ce canal doit être accessible, confidentiel et distinct de la voie hiérarchique directe. Les conditions de recevabilité des signalements et les garanties offertes aux lanceurs d'alerte sont encadrées par les dispositions du Code du travail issues de la loi dite Sapin II et de la transposition de la directive européenne sur la protection des lanceurs d'alerte.
Pilier 5 – La procédure d'évaluation des tiers. L'entreprise doit disposer d'une procédure formalisée pour évaluer la situation des clients, fournisseurs de premier rang et intermédiaires au regard des risques identifiés dans la cartographie. Cette diligence raisonnable (due diligence) porte sur l'intégrité des partenaires commerciaux et doit être documentée, proportionnée aux risques et reproductible.
Pilier 6 – Les procédures comptables de contrôle. Des contrôles comptables et financiers doivent être mis en place pour détecter les opérations susceptibles de dissimuler des actes de corruption : paiements à des tiers sans contrepartie identifiée, notes de frais anormales, rémunérations d'intermédiaires sans contrat formalisé. Ces contrôles s'intègrent dans le dispositif de contrôle interne existant.
Pilier 7 – Le dispositif de formation. Les personnels exposés aux risques identifiés doivent bénéficier d'actions de formation adaptées. L'AFA distingue la formation générale de sensibilisation et la formation spécialisée pour les fonctions à risque élevé (acheteurs, commerciaux, fonctions finances, relations institutionnelles). Les sessions doivent être tracées et leur contenu mis à jour après chaque révision de la cartographie.
Pilier 8 – Le dispositif de contrôle et d'évaluation interne. Le programme doit prévoir sa propre évaluation périodique, par l'audit interne ou par un dispositif équivalent. Cette boucle de retour est ce qui distingue un programme vivant d'une documentation statique. L'AFA attend un plan d'audit pluriannuel et la trace des actions correctives décidées à l'issue des contrôles.
Quels documents constituer pour chaque pilier ?
La documentation est la preuve matérielle du programme. Un programme bien conçu mais mal documenté est, du point de vue de l'AFA, un programme insuffisant. Chaque pilier appelle une liste documentaire précise.
Pour l'engagement de la direction : procès-verbal de délibération, lettre de cadrage, communication interne datée. Pour la cartographie : rapport de cartographie avec la méthodologie employée, la liste des scénarios évalués, les niveaux de risque retenus et le plan de traitement. Pour le code de conduite : document intégré au règlement intérieur, accusé de réception par les salariés, traductions dans les langues des filiales concernées.
Pour le dispositif d'alerte : procédure formalisée, mentions légales, registre des signalements (anonymisé), preuves de diffusion. Pour l'évaluation des tiers : formulaire de diligence, rapport d'évaluation par niveau de risque, contrats-types incluant des clauses anticorruption. Pour les contrôles comptables : cartographie des contrôles, fiches de contrôle, résultats des tests. Pour la formation : plan de formation, supports, listes d'émargement, attestations. Pour le contrôle interne : plan d'audit, rapports, plans d'action corrective.
Nous accompagnons régulièrement des groupes dans la constitution de cette documentation avant un contrôle de l'AFA. L'expérience montre que les lacunes les plus fréquentes se situent dans la traçabilité de la formation et dans l'absence de mise à jour formalisée de la cartographie après un changement de périmètre ou d'activité.
Illustration pratique
À l'automne 2025, nous avons accompagné une ETI du secteur des services aux entreprises (région parisienne) dans la refonte complète de sa cartographie des risques et dans la mise à jour de ses procédures d'évaluation des tiers, préalablement à un contrôle de l'AFA annoncé. La priorité portait sur la cohérence entre la cartographie révisée et le contenu du code de conduite, dont certaines clauses ne reflétaient plus les risques réellement identifiés.
Une démarche antérieure a produit des résultats insuffisants ?
Si un programme a déjà été mis en place mais que sa robustesse vous préoccupe, un regard extérieur permet d'identifier les lacunes avant qu'elles soient relevées lors d'un contrôle. Pour examiner l'état de votre programme au regard des recommandations de l'AFA, contactez-nous à contact@vernaylestang.com.
Quelles sont les erreurs fréquentes dans la mise en place du programme ?
Les erreurs de fond dans un programme Sapin II sont plus dangereuses que les lacunes formelles : elles exposent l'entreprise à un plan de mise en conformité contraignant ou à des sanctions de la commission des sanctions de l'AFA. Dans notre pratique du conseil en conformité, nous observons un nombre limité d'erreurs récurrentes, mais leur impact est élevé.
Erreur 1 – La cartographie non mise à jour. La cartographie n'est pas un document figé. Toute acquisition, entrée dans un nouveau marché géographique, changement de modèle commercial ou modification du cercle des intermédiaires exige une révision. Une cartographie qui date de plusieurs années sans trace de mise à jour est un signal d'alerte immédiat pour les contrôleurs de l'AFA.
Erreur 2 – Le code de conduite générique. Un code copié d'un modèle sectoriel, sans ancrage dans les scénarios de risque propres à l'entreprise, ne satisfait pas aux exigences. L'AFA attend que les exemples de comportements proscrits correspondent aux situations que rencontrent effectivement les salariés dans leur activité quotidienne.
Erreur 3 – Le dispositif d'alerte inaccessible ou méconnu. L'existence d'un canal d'alerte ne suffit pas : les salariés doivent en connaître l'existence, les modalités de saisine et les garanties qui leur sont offertes. Un dispositif non communiqué est considéré comme inopérant.
Erreur 4 – L'évaluation des tiers non proportionnée aux risques. Appliquer la même procédure de diligence à un fournisseur de fournitures de bureau et à un intermédiaire commercial actif dans un pays à risque élevé est une erreur de méthode. La proportionnalité est un critère central d'appréciation.
Erreur 5 – L'absence de pilotage du programme. Le programme doit être piloté par une fonction identifiée, dotée des ressources et de l'accès à la direction nécessaires. Une fonction compliance sans ligne directe vers le dirigeant et sans budget propre ne peut pas exercer son rôle de façon indépendante.
Comment piloter la mise en conformité dans le temps ?
Un programme de conformité Sapin II n'est pas un projet à date de livraison unique : c'est un dispositif permanent qui doit s'intégrer dans le cycle de vie de l'entreprise. Le pilotage dans le temps repose sur un calendrier de gouvernance structuré.
En pratique, la boucle de pilotage recommandée comprend une revue annuelle de la cartographie, une mise à jour du code de conduite en cas d'évolution significative du périmètre, un plan de formation annuel, et un audit interne du programme selon une fréquence définie dans le plan d'audit pluriannuel. Les résultats de ces revues et les plans d'action corrective doivent être formellement documentés et validés par la direction.
La dimension internationale du programme mérite une attention particulière. Pour les groupes disposant de filiales dans plusieurs pays, le programme doit être décliné en tenant compte des législations locales applicables, en coordination avec des conseils locaux dans les juridictions concernées. Les dispositions anticorruption du Code de commerce français s'appliquent aux entités françaises du groupe, mais elles coexistent avec des obligations potentiellement plus étendues dans certaines juridictions étrangères.
La procédure de contrôle des concentrations offre un parallèle utile : comme pour la notification d'une concentration, l'anticipation et la préparation de la documentation en amont d'un contrôle de l'AFA déterminent en grande partie la qualité de l'issue. Attendre la réception d'un avis de contrôle pour constituer les dossiers est une stratégie risquée.
Illustration pratique
Au printemps 2025, nous avons accompagné un groupe industriel de taille intermédiaire (Lyon) dans la structuration de son comité de conformité et la rédaction de son plan d'audit pluriannuel, à la suite d'une acquisition qui avait étendu son périmètre à plusieurs filiales dans des pays à risque élevé. L'enjeu était d'intégrer les entités nouvellement acquises dans le programme existant dans un délai compatible avec les obligations légales du groupe.
Check-list opérationnelle : ce qu'il faut préparer
La check-list ci-dessous synthétise les documents et actions indispensables à la mise en place d'un programme de conformité Sapin II conforme aux recommandations de l'AFA. Elle peut servir de base à un état des lieux interne avant un contrôle ou un audit.
- Périmètre et gouvernance – Vérification des seuils (effectif et chiffre d'affaires consolidés) ; désignation d'un responsable conformité avec accès direct à la direction ; délibération ou décision formelle de l'instance dirigeante.
- Cartographie des risques – Rapport de cartographie daté, incluant la méthodologie, les scénarios évalués, les niveaux de risque et le plan de traitement ; procédure de mise à jour définie.
- Code de conduite – Document intégré au règlement intérieur selon les modalités du Code du travail ; exemples concrets tirés des activités à risque identifiées ; traductions dans les langues des filiales concernées ; accusés de réception.
- Dispositif d'alerte – Procédure formalisée et diffusée ; canal accessible et confidentiel ; registre des signalements ; désignation d'un référent alerte ; informations légales aux salariés.
- Évaluation des tiers – Procédure documentée, proportionnée aux niveaux de risque ; formulaires de diligence ; rapports d'évaluation archivés ; clauses anticorruption dans les contrats avec les tiers à risque.
- Contrôles comptables – Cartographie des contrôles ; fiches de contrôle ; résultats des tests ; procédures de validation des paiements et notes de frais.
- Formation – Plan de formation annuel ; supports adaptés par profil de risque ; listes d'émargement ou attestations en ligne ; traçabilité des sessions passées.
- Audit et contrôle interne – Plan d'audit pluriannuel ; rapports d'audit du programme ; plans d'action corrective formalisés et validés par la direction.
Matrice de décision : quel niveau de programme selon votre situation ?
Toutes les entreprises soumises à Sapin II ne présentent pas le même profil de risque. La profondeur et la sophistication du programme doivent être calibrées en conséquence.
Situation A – Entreprise soumise, faible exposition internationale, secteur peu exposé : programme de base couvrant les huit piliers avec une cartographie de premier niveau, un code de conduite sobre et une formation générale. Niveau de complexité : modéré. Délai de déploiement initial : plusieurs mois selon la taille et la maturité existante.
Situation B – Entreprise soumise, présence dans des pays à risque élevé, secteur exposé (construction, défense, matières premières, services aux gouvernements) : programme approfondi avec une cartographie pays et fonction détaillée, des procédures d'évaluation des tiers différenciées par niveau de risque, des formations spécialisées pour les fonctions à risque, et un dispositif d'audit interne dédié. Niveau de complexité : élevé. Déploiement progressif, avec révisions régulières.
Situation C – Groupe ayant fait l'objet d'un plan de mise en conformité de l'AFA : programme renforcé, avec un suivi rapproché par la direction, un reporting régulier à l'AFA selon les modalités définies dans le plan, et une révision prioritaire des piliers ayant fait l'objet de recommandations. Priorité immédiate à la cartographie et au dispositif de contrôle interne. Pour approfondir la dimension procédurale des contrôles de l'AFA, voir également notre guide pratique sur la cartographie des risques de corruption.
Les entreprises confrontées à des difficultés financières simultanément à des obligations de conformité se trouvent dans une situation particulière : la conformité n'est pas suspendue par une procédure collective. Notre analyse des procédures de sauvegarde détaille les obligations qui perdurent en période de difficulté.
Domaines liés
- Contrôle des concentrations et notification – Qualification, notification et instruction devant les autorités compétentes.
- Cartographie des risques de corruption – Méthodologie pas-à-pas pour réaliser la cartographie des risques de corruption.
Questions fréquentes sur la mise en place d'un programme de conformité Sapin II
1. Quels sont les prérequis avant de mettre en place un programme de conformité Sapin II ?
Avant de mettre en place un programme de conformité Sapin II, l'entreprise doit vérifier qu'elle entre dans le champ d'application du dispositif, c'est-à-dire qu'elle remplit les deux conditions cumulatives de seuil – effectif et chiffre d'affaires consolidés – fixées par les dispositions du Code de commerce. Une fois le périmètre confirmé, il convient de désigner un responsable conformité disposant d'un accès direct à la direction générale, et d'obtenir un engagement formel de l'instance dirigeante, matérialisé par une délibération ou une décision tracée. Ces deux prérequis – qualification du périmètre et gouvernance – conditionnent la crédibilité de l'ensemble du programme.
2. Mettre en place un programme de conformité Sapin II : comment procéder en pratique ?
En pratique, la mise en place d'un programme de conformité Sapin II suit un séquencement en huit piliers : engagement de la direction, cartographie des risques, code de conduite, dispositif d'alerte interne, procédure d'évaluation des tiers, contrôles comptables, formation des personnels exposés, et dispositif d'audit et de contrôle interne. La cartographie des risques est le prérequis logique de la plupart des autres piliers, car elle détermine la portée du code de conduite, le niveau de diligence à appliquer aux tiers et les populations prioritaires à former. Chaque pilier doit être documenté de façon à être opposable lors d'un contrôle de l'AFA.
3. Quelles conséquences en cas d'erreur de procédure dans le programme Sapin II ?
Une erreur de procédure ou une insuffisance du programme peut entraîner, à l'issue d'un contrôle de l'AFA, soit une injonction de mise en conformité assortie d'un plan à respecter dans un délai déterminé par l'autorité, soit, dans les cas les plus graves, une saisine de la commission des sanctions de l'AFA. La commission des sanctions peut prononcer des sanctions administratives à l'encontre de la société et, le cas échéant, du dirigeant personnellement. Ces sanctions sont publiques, ce qui induit un risque réputationnel distinct du risque financier.
4. Le programme de conformité Sapin II doit-il être mis à jour régulièrement ?
Le programme de conformité Sapin II doit être maintenu à jour en continu : la cartographie des risques doit être révisée à chaque changement significatif du périmètre ou de l'activité, le code de conduite doit refléter les risques effectivement identifiés, et le plan de formation doit être revu annuellement. L'AFA attend un programme vivant, doté d'une boucle de contrôle interne permettant de détecter les insuffisances et d'y remédier. Un programme figé depuis plusieurs années, sans trace de mise à jour, constitue l'un des signaux d'alerte les plus fréquemment relevés lors des contrôles.
5. Un programme de conformité Sapin II est-il obligatoire pour les filiales françaises d'un groupe étranger ?
Les filiales françaises d'un groupe étranger sont soumises aux obligations anticorruption du Code de commerce dès lors qu'elles remplissent les seuils d'effectif et de chiffre d'affaires fixés par les textes, indépendamment de la nationalité de la société mère. Si la société mère a déployé un programme de conformité dans sa juridiction d'origine, ce programme doit être décliné et adapté aux exigences françaises pour les entités soumises à la loi Sapin II, en tenant compte des spécificités de la réglementation française et des recommandations de l'AFA.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions générales, juridiques et conformité dans la conception, le déploiement et la révision de programmes anticorruption au titre de la loi Sapin II. Notre intervention couvre la qualification du périmètre, la réalisation ou la revue de la cartographie des risques, la rédaction des procédures et du code de conduite, et la préparation aux contrôles de l'AFA. Les honoraires sont définis après analyse du dossier.
Pour un premier échange sur votre programme de conformité, écrivez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de conformité, de protection des données et de propriété intellectuelle.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.