Mettre en place un programme de conformité Sapin II : étapes, conditions et délais

Un programme de conformité anticorruption exige une méthode rigoureuse. Sans séquencement précis, les entreprises assujetties à la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – dite loi Sapin II – exposent leurs dirigeants à des sanctions personnelles prononcées par l'Agence française anticorruption. La question n'est donc pas de savoir si un programme est nécessaire, mais comment le construire correctement.

Mettre en place un programme de conformité Sapin II désigne la démarche, encadrée par les dispositions du Code pénal et par les recommandations de l'Agence française anticorruption, par laquelle une société assujettie déploie un dispositif structuré de prévention et de détection des faits de corruption et de trafic d'influence. Ce dispositif comprend huit piliers définis par les textes, chacun devant être opérationnel, documenté et contrôlé. L'absence ou l'insuffisance de l'un d'eux constitue un manquement susceptible d'engager la responsabilité du dirigeant.

Ce guide présente, étape par étape, la méthode pour bâtir ce programme : des conditions de déclenchement jusqu'au contrôle continu, en passant par les documents à produire et les erreurs à éviter.

À qui s'applique l'obligation de mettre en place un programme de conformité Sapin II ?

L'obligation de mettre en place un programme de conformité Sapin II s'applique aux sociétés qui emploient au moins cinq cents salariés et dont le chiffre d'affaires dépasse cent millions d'euros, ainsi qu'aux groupes qui atteignent ces seuils de manière consolidée. Cette qualification relève des dispositions du Code pénal relatives à la lutte contre la corruption, dont le respect est contrôlé par l'Agence française anticorruption.

Dans notre pratique des programmes de conformité, nous observons que deux questions préalables structurent le dossier. La première est le périmètre d'assujettissement : la société elle-même est-elle assujettie, ou la mère l'est-elle au niveau du groupe ? La seconde est la répartition des responsabilités entre le président, le directeur général et le responsable de la conformité. Ces deux questions doivent recevoir une réponse documentée avant d'engager le déploiement.

Les établissements publics à caractère industriel et commercial répondant aux mêmes critères entrent également dans le champ de l'obligation. En revanche, les sociétés qui n'atteignent pas les seuils peuvent néanmoins choisir de déployer un programme volontaire, notamment lorsque leurs clients ou partenaires contractuels le demandent.

Quels sont les prérequis avant de lancer le déploiement ?

Avant d'entamer le déploiement, trois prérequis doivent être réunis : un mandat formel du dirigeant, une cartographie préliminaire des risques de corruption et de trafic d'influence, et la désignation d'un responsable du programme disposant d'un accès direct à l'organe délibérant.

Le mandat du dirigeant n'est pas une formalité symbolique. Les recommandations de l'Agence française anticorruption insistent sur l'engagement personnel et documenté de la direction générale. Un programme porté par la seule direction juridique ou compliance, sans implication formalisée du président ou du directeur général, sera considéré comme insuffisant lors d'un contrôle.

La cartographie préliminaire sert de socle. Elle permet d'identifier les secteurs d'activité, les zones géographiques, les types de tiers et les processus internes exposés. Sans elle, les procédures et les formations risquent de ne pas cibler les risques réels de l'entreprise. Nous accompagnons régulièrement des groupes qui engagent un déploiement sans cartographie formalisée : l'AFA, lors du contrôle, relève systématiquement ce manque comme un point de défaillance structurelle.

La désignation du responsable de la conformité doit être actée par une décision de l'organe compétent – conseil d'administration ou conseil de surveillance selon la forme sociale – et mentionner explicitement les ressources allouées et le périmètre d'intervention. Un titre sans ressources ne constitue pas un programme.

Les huit piliers du programme : séquencement et priorités

Le programme de conformité Sapin II repose sur huit piliers définis par les textes, qui doivent être déployés dans un ordre logique : engagement de l'instance dirigeante, cartographie des risques, code de conduite, dispositif d'alerte interne, procédures d'évaluation des tiers, procédures comptables dédiées, dispositif de formation, et régime disciplinaire. Leur séquencement influe directement sur la robustesse du dispositif lors d'un contrôle de l'Agence française anticorruption.

Pilier 1 – Engagement de l'instance dirigeante. Il constitue la base sur laquelle tous les autres piliers s'appuient. Cet engagement prend la forme d'une charte ou d'une résolution formelle, rendue accessible à l'ensemble du personnel.

Pilier 2 – Cartographie des risques. Elle doit être dynamique – révisée a minima à chaque changement significatif d'activité, de périmètre ou d'implantation géographique. La cartographie recense les risques bruts, puis les risques résiduels après prise en compte des contrôles existants.

Pilier 3 – Code de conduite. Ce document définit les comportements attendus et prohibés. Il doit être annexé au règlement intérieur pour produire ses effets disciplinaires, ce qui suppose le respect de la procédure applicable en droit du travail. Un code non annexé est inopposable aux salariés.

Pilier 4 – Dispositif d'alerte interne. Il doit permettre à tout salarié de signaler des faits de corruption ou de trafic d'influence. Son articulation avec le dispositif général d'alerte prévu par la loi dite Wasserstein – relative à la protection des lanceurs d'alerte – doit être documentée. Pour les développements sur le dispositif d'alerte, consultez notre analyse sur le dispositif d'alerte interne et la protection des lanceurs d'alerte.

Pilier 5 – Procédures d'évaluation des tiers. Fournisseurs, sous-traitants, intermédiaires commerciaux, clients à risque élevé : chacun doit faire l'objet d'une diligence raisonnable (« due diligence ») proportionnée à son niveau de risque. Les procédures doivent préciser les critères de classification et les actions déclenchées selon le résultat de l'évaluation.

Pilier 6 – Procédures comptables. Des contrôles internes spécifiques doivent être intégrés pour détecter les enregistrements comptables susceptibles de dissimuler des faits de corruption : factures sans prestation, paiements à des tiers sans justification économique, commissions disproportionnées.

Pilier 7 – Dispositif de formation. Les formations doivent cibler en priorité les salariés les plus exposés – commerciaux, acheteurs, directeurs de filiales dans des zones à risque. Un plan de formation documenté, avec relevés de présence, constitue une preuve opérationnelle lors du contrôle de l'AFA.

Pilier 8 – Régime disciplinaire. Le code de conduite n'est effectif que s'il est adossé à un régime de sanctions. Ce régime doit être prévu dans le règlement intérieur et respecter les procédures disciplinaires applicables en droit du travail.

Comment séquencer le déploiement dans le temps ?

Le déploiement d'un programme de conformité Sapin II s'étale généralement sur plusieurs mois, selon la taille de l'entreprise et la maturité de ses processus existants. La logique est de construire en couches : la cartographie des risques ne peut être finalisée avant l'inventaire des activités et des tiers, et le code de conduite ne peut être annexé au règlement intérieur avant que ses dispositions soient arrêtées.

Dans notre pratique, nous observons trois phases distinctes dans les déploiements que nous accompagnons.

La phase de diagnostic et de gouvernance consiste à recueillir les données nécessaires à la cartographie, à formaliser le mandat du dirigeant et à désigner le responsable de la conformité. C'est une phase préparatoire qui conditionne toutes les suivantes.

La phase de construction documentaire produit les textes fondateurs – code de conduite, procédures d'évaluation des tiers, procédures comptables – et les articule avec les documents sociaux existants (règlement intérieur, chartes déjà en vigueur, accords collectifs). Cette phase suppose une coordination entre la direction juridique, les ressources humaines et la direction financière.

La phase de déploiement opérationnel met en place les outils – plateforme d'alerte, questionnaires tiers, modules de formation – et forme les populations exposées. Elle se conclut par un audit interne permettant de documenter le niveau de maturité atteint avant un éventuel contrôle de l'AFA.

Pour une analyse approfondie de la méthode et des points de vigilance spécifiques, nous renvoyons à notre guide dédié : mettre en place un programme de conformité Sapin II – méthode et points de vigilance.

Quelles erreurs fréquentes compromettent la robustesse du programme ?

Les insuffisances les plus souvent relevées lors des contrôles de l'Agence française anticorruption ne tiennent pas à l'absence de documents, mais à leur manque d'effectivité : des procédures qui existent sur papier mais ne sont pas appliquées, des formations dispensées sans traçabilité, un dispositif d'alerte opaque pour les salariés.

La première erreur est de confondre la rédaction d'un code de conduite avec la mise en place d'un programme. Un code de conduite non annexé au règlement intérieur, non communiqué et non formé est inopérant. Il ne protège pas le dirigeant.

La deuxième erreur est de traiter la cartographie des risques comme un exercice unique. Une cartographie statique, réalisée lors du déploiement initial et jamais mise à jour, ne reflète plus la réalité des risques après une acquisition, une entrée sur un nouveau marché ou un changement de direction commerciale.

La troisième erreur concerne l'évaluation des tiers. Beaucoup d'entreprises appliquent un questionnaire standardisé à l'ensemble de leurs tiers, sans différenciation selon le niveau de risque. Cette approche génère un volume d'analyses disproportionné pour les tiers à faible risque, tout en sous-dimensionnant les diligences sur les intermédiaires à risque élevé.

Enfin, la quatrième erreur est l'absence de traçabilité du contrôle continu. Le programme doit être revu régulièrement : les procédures doivent mentionner leur fréquence de révision, les résultats des audits internes doivent être documentés, et les mesures correctives doivent être tracées. Sans cette documentation, le programme existe mais son efficacité ne peut pas être établie lors d'un contrôle.

Check-list opérationnelle : ce qu'il faut préparer

Avant d'engager le déploiement ou de faire évaluer le programme existant, voici les éléments indispensables à réunir.

• Décision formalisée de l'organe dirigeant actant l'engagement de la direction et désignant le responsable de la conformité, avec mention des ressources allouées.
• Cartographie des risques de corruption et de trafic d'influence, documentant les risques bruts et résiduels par processus, zone géographique et catégorie de tiers.
• Code de conduite annexé au règlement intérieur selon la procédure applicable, accessible à l'ensemble du personnel.
• Procédures d'évaluation des tiers distinguant les niveaux de risque et précisant les diligences à conduire selon chaque niveau.
• Plan de formation documenté avec relevés de présence, ciblant en priorité les populations exposées.

Pour les entreprises qui traversent simultanément une phase de restructuration financière, les obligations de conformité demeurent pleinement applicables. Notre guide sur la négociation avec les créanciers en amont d'une procédure présente la méthode pour traiter en parallèle ces différents impératifs.

Domaines liés

• Dispositif d'alerte interne et lanceurs d'alerte – cadre juridique, obligations et protection des signalants en droit français
• Programme de conformité Sapin II – méthode et points de vigilance – analyse approfondie des huit piliers et des contrôles AFA