Mettre en place un programme de conformité Sapin II : la méthode et les points de vigilance
Mettre en place un programme de conformité Sapin II désigne l'ensemble des mesures organisationnelles, procédurales et documentaires qu'une entité assujettie doit déployer pour prévenir et détecter les faits de corruption et de trafic d'influence, conformément aux dispositions de la loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique. La construction de ce programme obéit à une logique de séquencement précis : chaque composante conditionne les suivantes, et l'absence de l'une fragilise l'ensemble du dispositif.
En février 2026, l'Agence française anticorruption (AFA) maintient une doctrine de contrôle exigeante. Les sociétés et leurs dirigeants qui abordent la démarche sans méthode s'exposent à des injonctions de mise en conformité, voire à des sanctions prononcées par la Commission des sanctions de l'AFA. Ce guide expose, étape par étape, la procédure pour structurer un programme solide – de l'analyse des seuils d'assujettissement jusqu'à l'audit interne de vérification.
Nous accompagnons régulièrement des directeurs juridiques et des responsables conformité dans cette démarche. Les difficultés que nous observons sont presque toujours les mêmes : une cartographie des risques trop théorique, un code de conduite déconnecté des réalités opérationnelles, et un dispositif d'alerte mal articulé avec les obligations issues du RGPD. Les sections qui suivent traitent chacune de ces questions.
Qui est assujetti à la loi Sapin II : vérifier les conditions préalables
Avant d'engager la moindre ressource, la première étape consiste à vérifier si la société remplit effectivement les conditions d'assujettissement posées par la loi Sapin II. Les obligations de prévention de la corruption s'imposent aux sociétés dépassant les seuils de taille fixés par le texte – en termes d'effectifs et de chiffre d'affaires – ainsi qu'aux présidents, directeurs généraux et gérants de ces sociétés à titre personnel. Ces seuils figurent au REGISTRE ; si votre périmètre est incertain, une analyse préalable est indispensable avant toute décision d'architecture.
La loi Sapin II s'applique également aux filiales françaises de groupes étrangers dès lors qu'elles franchissent les seuils. Un groupe dont la société mère est établie hors de France ne peut donc pas considérer que le programme déployé au niveau central épuise les obligations pesant sur ses entités françaises. Dans notre pratique, cette erreur est fréquente : une filiale tricolore d'un groupe américain ou asiatique suppose un examen distinct de l'assujettissement au regard du droit français.
Sont également assujettis les établissements publics à caractère industriel et commercial. Les associations et fondations ne relèvent pas du champ d'application directement obligatoire de la loi Sapin II, mais peuvent y adhérer volontairement ou être soumises à des recommandations sectorielles de l'AFA.
Une fois l'assujettissement confirmé, il convient de cartographier le périmètre : la société seule, ou le groupe dans son ensemble ? La réponse oriente l'architecture du programme et le niveau de portage par la direction générale.
Votre société s'interroge sur son assujettissement ou sur le périmètre de ses obligations ?
La qualification préalable est déterminante : elle conditionne chacune des étapes qui suivent. Pour une analyse de votre situation au regard de la loi Sapin II, écrivez-nous à contact@vernaylestang.com.
Quelles sont les huit composantes obligatoires d'un programme de conformité Sapin II ?
La loi Sapin II et les recommandations de l'AFA organisent le programme autour de huit piliers dont chacun fait l'objet d'un contrôle distinct lors des missions de vérification. Leur articulation est hiérarchique : certains piliers doivent être en place avant que les suivants puissent être déployés efficacement.
- Le code de conduite – document de référence décrivant les comportements interdits, notamment les situations de corruption active et passive, les cadeaux et avantages, les conflits d'intérêts et les paiements de facilitation. Il est annexé au règlement intérieur.
- Le dispositif d'alerte interne – procédure permettant au personnel de signaler des comportements contraires au code de conduite, dans le respect des exigences de la loi sur la protection des lanceurs d'alerte (dite loi Sapin II elle-même, renforcée par la loi du 21 mars 2022). Il doit garantir la confidentialité de l'identité du lanceur d'alerte.
- La cartographie des risques – document établissant une hiérarchisation des risques de corruption et de trafic d'influence propres aux activités de la société, aux secteurs dans lesquels elle opère et aux zones géographiques concernées. C'est le pivot du programme : toutes les autres mesures doivent en découler.
- Les procédures d'évaluation des tiers – processus de diligences raisonnables appliqué aux clients, fournisseurs, intermédiaires et partenaires présentant un risque identifié dans la cartographie. Ces procédures déterminent le niveau de vérification requis selon le profil de risque du tiers.
- Les procédures comptables – contrôles destinés à s'assurer que les livres et comptes ne peuvent être utilisés pour dissimuler des faits de corruption. Elles visent notamment les achats, les notes de frais, les ristournes et les commissions versées à des intermédiaires.
- Le dispositif de formation – sessions destinées aux cadres et aux personnels exposés aux risques identifiés. La formation doit être proportionnée au niveau d'exposition et documentée (présence, support, évaluation).
- Le régime disciplinaire – mécanisme permettant de sanctionner les manquements au code de conduite. Il suppose une articulation soigneuse avec le Code du travail et, en particulier, les règles de procédure disciplinaire.
- Le dispositif de contrôle et d'évaluation interne – suivi régulier de l'efficacité des mesures déployées, généralement confié à l'audit interne ou à un comité dédié.
Ces huit composantes ne sont pas de simples cases à cocher. L'AFA évalue leur effectivité concrète : un code de conduite non diffusé, ou une cartographie jamais mise à jour, n'emporte aucune valeur lors d'un contrôle.
Comment construire une cartographie des risques de corruption : méthode et séquencement
La cartographie des risques est le fondement du programme. Elle conditionne la proportionnalité de toutes les autres mesures et constitue la première pièce examinée par l'AFA lors d'un contrôle. Sa construction suit un protocole méthodologique que les recommandations de l'AFA détaillent.
La démarche s'organise en quatre temps :
- Identification des processus exposés : achats, ventes, relations avec les acteurs publics, opérations à l'international, management des intermédiaires. Chaque processus est décrit factuellement avant toute évaluation.
- Identification des scénarios de risque : pour chaque processus, les situations susceptibles de générer ou d'exposer la société à un acte de corruption. La granularité doit être suffisante pour orienter les mesures correctrices.
- Cotation des risques bruts : probabilité d'occurrence et impact potentiel, croisés pour produire une note de risque inhérent. La méthode de cotation doit être documentée et reproductible.
- Évaluation des contrôles existants et cotation du risque résiduel : les mesures de maîtrise déjà en place sont inventoriées et évaluées. Le risque résiduel, qui tient compte de l'efficacité de ces contrôles, détermine la priorité d'action.
Dans notre pratique, la cartographie est l'étape qui requiert le plus d'implication opérationnelle. Elle ne peut pas être conduite exclusivement par le service juridique ou la direction de la conformité : elle nécessite des entretiens avec les responsables des fonctions exposées. Un programme construit sur une cartographie réalisée en chambre, sans les équipes terrain, ne résiste pas à un contrôle de l'AFA.
Lors d'une mission récente (Lyon, automne 2025), nous avons accompagné une ETI du secteur des services aux entreprises dans la reconstruction de sa cartographie des risques, après qu'un contrôle de l'AFA avait mis en évidence une couverture insuffisante des risques liés aux intermédiaires commerciaux à l'international. La cartographie révisée a intégré des entretiens structurés avec les équipes commerciales de six pays et a conduit à la refonte des procédures d'évaluation des tiers.
Quelles procédures d'évaluation des tiers sont exigées par l'AFA ?
L'évaluation des tiers – ou diligence raisonnable (due diligence) – désigne l'ensemble des vérifications à mener sur les partenaires commerciaux présentant un risque de corruption identifié dans la cartographie. L'obligation porte sur les clients, fournisseurs, intermédiaires et partenaires exposés, selon un niveau de diligence proportionnel au risque.
La procédure comprend généralement trois niveaux :
- Niveau 1 (risque standard) : vérifications documentaires de base – identification de la structure juridique, recherche d'antécédents publics, vérification des listes de sanctions internationales.
- Niveau 2 (risque modéré) : en sus du niveau 1, analyse de la réputation commerciale, vérification de la réalité économique de l'entité, entretien ou questionnaire anticorruption.
- Niveau 3 (risque élevé) : en sus des niveaux précédents, rapport d'investigation approfondi incluant la vérification des bénéficiaires effectifs, la recherche de liens avec des personnes politiquement exposées (PPE) et une analyse des flux financiers si accessible.
Un point de vigilance récurrent concerne les intermédiaires commerciaux : agents, courtiers, consultants rémunérés à la commission. L'AFA leur accorde une attention particulière, car ils représentent un vecteur historique de corruption dans les marchés internationaux. Le contrat avec un intermédiaire doit inclure des clauses de représentation et de garantie anticorruption, et prévoir des droits d'audit.
La procédure d'évaluation des tiers doit être formalisée dans un document de politique interne, révisée périodiquement et traçable : chaque diligence effectuée doit laisser une trace dans le système d'information.
Votre procédure d'évaluation des tiers a été mise en cause lors d'un contrôle ou d'un audit ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner l'application du dispositif Sapin II à votre organisation, contactez-nous à contact@vernaylestang.com.
Comment mettre en place un dispositif d'alerte interne conforme à la loi Sapin II et au RGPD
Le dispositif d'alerte interne constitue l'un des piliers les plus sensibles du programme : il cumule des obligations issues de la loi Sapin II, de la loi du 21 mars 2022 (transposition de la directive européenne sur la protection des lanceurs d'alerte) et du Règlement général sur la protection des données (RGPD). Leur articulation correcte exige une conception préalable, pas un assemblage après coup.
La structure du dispositif repose sur plusieurs éléments :
- Un canal dédié : la procédure d'alerte doit être accessible par un canal distinct des canaux hiérarchiques ordinaires. Elle peut être interne (responsable conformité, référent éthique) ou externe (avocat, prestataire tiers dédié). Le choix entre canal interne et externe doit être documenté.
- La confidentialité de l'identité : le dispositif doit garantir que l'identité du lanceur d'alerte ne sera pas divulguée sans son accord, sauf obligation légale spécifique. Cela suppose des mesures techniques et organisationnelles documentées.
- L'accusé de réception et le traitement dans un délai déterminé : la loi impose des délais d'accusé de réception et de traitement des signalements ; leur respect doit être traçable.
- La protection contre les représailles : le dispositif doit inclure des règles explicites interdisant toute mesure de rétorsion à l'encontre d'un lanceur d'alerte de bonne foi.
La dimension RGPD est souvent sous-estimée. Le traitement des données personnelles collectées dans le cadre du dispositif d'alerte constitue un traitement à risque élevé au sens du Règlement général sur la protection des données. Il doit faire l'objet d'une analyse d'impact relative à la protection des données (AIPD) avant déploiement, être inscrit au registre des activités de traitement, et répondre à des règles de conservation limitée des données.
Nous observons fréquemment des dispositifs d'alerte déployés sans AIPD préalable ni mention d'information aux salariés. Ces lacunes exposent la société à une double non-conformité : au regard de l'AFA et au regard de la CNIL.
Quelles erreurs fréquentes fragilisent un programme Sapin II lors d'un contrôle AFA ?
Les erreurs qui exposent le plus sérieusement un programme lors d'un contrôle de l'AFA ne sont pas toujours celles que les responsables conformité redoutent. Dans notre pratique, les fragilités récurrentes suivent des schémas identifiables.
La première fragilité est le défaut de mise à jour de la cartographie des risques. Une cartographie établie lors du lancement du programme et non révisée depuis – a fortiori si l'activité ou la géographie de la société a évolué – n'emporte aucune effectivité. L'AFA recommande une révision régulière, et plus fréquente en cas de changement significatif (acquisition, nouveau marché, nouvel intermédiaire).
La deuxième fragilité est la déconnexion entre le code de conduite et le règlement intérieur. Un code de conduite non annexé au règlement intérieur n'a pas de valeur disciplinaire opposable aux salariés. Sa portée normative interne est alors nulle, ce que l'AFA relève systématiquement.
La troisième fragilité tient aux formations non documentées. Une formation peut avoir eu lieu ; si elle n'est pas tracée (liste de présence, support, résultats d'évaluation), elle est réputée inexistante lors du contrôle.
Enfin, l'absence de pilotage par la direction générale est rédhibitoire. La loi Sapin II impose une responsabilité personnelle du président, du directeur général ou du gérant. Un programme confié exclusivement à la direction de la conformité, sans portage explicite de la direction, est immédiatement identifié comme un programme « vitrine ».
Dans le cadre d'une mission conduite à Bordeaux au printemps 2024, nous avons assisté la direction juridique d'une société de distribution dans la réponse à une injonction de mise en conformité émise par la Commission des sanctions de l'AFA. L'injonction portait précisément sur l'absence de traçabilité des formations et sur une cartographie non révisée depuis trois ans. La refonte du programme, conduite sur un calendrier contraint, a permis de répondre dans les délais impartis.
Matrice de décision et check-list : ce qu'il faut préparer avant de démarrer
La structuration du programme dépend de la situation de départ : société qui part de zéro, société qui dispose d'un programme existant à réviser, ou groupe qui doit harmoniser des pratiques hétérogènes entre filiales. La démarche n'est pas identique.
Situation A – Programme à créer (société sans dispositif existant) : priorité à la cartographie des risques, puis au code de conduite, puis au dispositif d'alerte. Délai de déploiement : plusieurs mois selon la taille et la complexité. Niveau de risque immédiat en cas de contrôle : élevé si la société est assujettie depuis plus d'un an sans programme.
Situation B – Programme existant à mettre à niveau : audit d'écart (gap analysis) sur les huit composantes, avec cotation du niveau de maturité de chacune. Priorité donnée aux composantes ayant reçu une appréciation insatisfaisante lors d'un précédent contrôle. Niveau de risque : modéré si les écarts sont documentés et un plan d'action est en cours.
Situation C – Groupe multi-entités avec programmes hétérogènes : rationalisation autour d'un programme cadre groupe, décliné en programmes locaux tenant compte des spécificités réglementaires de chaque juridiction. La coordination avec des conseils locaux dans les juridictions concernées est généralement indispensable.
Check-list opérationnelle – ce qu'il faut préparer avant de démarrer :
- Vérification de l'assujettissement (seuils d'effectifs et de chiffre d'affaires) et du périmètre (société seule ou groupe)
- Inventaire des processus exposés et identification des fonctions à interviewer pour la cartographie
- Recueil des documents existants : code de conduite, règlement intérieur, procédures d'achat, contrats d'intermédiaires
- Identification du responsable conformité en charge du pilotage et de l'interlocuteur de direction
- Calendrier de déploiement validé par la direction générale, avec jalons et responsables pour chaque composante
Consultez également notre fiche de service dédiée sur le programme de conformité anticorruption Sapin II pour une vue d'ensemble des actes et des interventions du cabinet dans ce domaine.
Comment l'AFA contrôle-t-elle l'effectivité du programme et quelles sont les suites possibles ?
Le contrôle de l'AFA suit une procédure encadrée par les dispositions du Code de commerce et par le règlement intérieur de l'AFA. Comprendre cette procédure permet d'anticiper les demandes et de préparer la société à y répondre de manière structurée.
Le contrôle débute par un questionnaire préalable, suivi d'une phase documentaire (demande de pièces) et, dans la majorité des cas, d'entretiens avec les dirigeants et les personnels clés. Les agents de l'AFA disposent d'un droit d'accès aux locaux et aux documents de l'entité contrôlée.
À l'issue du contrôle, trois issues sont possibles :
- Clôture sans suite : le programme est jugé conforme aux exigences. Cette issue suppose que les huit composantes soient en place et effectivement déployées.
- Recommandations : l'AFA formule des observations et recommande des améliorations. La société dispose d'un délai pour y répondre ; le suivi est assuré lors d'un contrôle ultérieur.
- Renvoi devant la Commission des sanctions : en cas de manquements substantiels, l'AFA peut saisir sa Commission des sanctions. Celle-ci peut prononcer des injonctions de mise en conformité et des sanctions pécuniaires à l'encontre de la société et du dirigeant. Les montants de ces sanctions sont fixés par le texte législatif ; ils figurent au REGISTRE si renseignés, sinon se référer aux dispositions du Code de commerce.
Le dirigeant est personnellement exposé, indépendamment de la société. Cette dualité de responsabilité est l'un des traits distinctifs de la loi Sapin II par rapport aux régimes de conformité qui n'engagent que la personne morale.
Pour approfondir les erreurs à éviter dans la construction et le maintien du programme, notre guide Mettre en place un programme de conformité Sapin II : erreurs à éviter et bonnes pratiques traite ces questions de manière complémentaire.
Si votre activité inclut des opérations de reprise ou des acquisitions, les questions de conformité s'articulent avec la gestion des procédures collectives : notre guide sur la sécurisation d'une opération de reprise à la barre apporte des éclairages complémentaires sur la gestion des risques dans ces contextes.
Domaines liés
- Programme de conformité anticorruption Sapin II – structuration, mise en oeuvre et suivi du dispositif pour les sociétés assujetties
- Erreurs à éviter et bonnes pratiques Sapin II – analyse des fragilités récurrentes et recommandations opérationnelles
Questions fréquentes sur la mise en place d'un programme de conformité Sapin II
1. Quelles sont les étapes clés à ne pas manquer ?
Les étapes critiques d'un programme Sapin II sont, dans l'ordre : (1) vérification de l'assujettissement, (2) construction de la cartographie des risques, (3) rédaction et annexion du code de conduite au règlement intérieur, (4) déploiement du dispositif d'alerte interne avec AIPD préalable, (5) mise en place des procédures d'évaluation des tiers, (6) déploiement de la formation documentée, et (7) mise en oeuvre du dispositif de contrôle interne. Chaque étape doit être tracée et validée par la direction générale. L'absence de l'une d'elles constitue un manquement autonome lors d'un contrôle de l'AFA.
2. Quelles conséquences en cas d'erreur de procédure ?
Un manquement aux obligations de la loi Sapin II peut entraîner, selon sa gravité, une recommandation de l'AFA, une injonction de mise en conformité ou une sanction pécuniaire prononcée par la Commission des sanctions de l'AFA, à l'encontre de la société et personnellement de son dirigeant. Les dispositions du Code de commerce fixent les montants maximaux de ces sanctions. En dehors du cadre de la loi Sapin II, un défaut de programme peut également aggraver la position de la société dans le cadre d'une procédure pénale pour corruption ou trafic d'influence.
3. Mettre en place un programme de conformité Sapin II : comment procéder en pratique ?
En pratique, la démarche commence par la vérification de l'assujettissement et la désignation d'un responsable interne. La cartographie des risques est ensuite conduite avec les équipes opérationnelles concernées. Les huit composantes du programme sont déployées par ordre de priorité selon les résultats de la cartographie. Chaque composante est formalisée dans un document de politique interne, diffusé, et son déploiement est tracé. Le calendrier est validé par la direction générale, qui assure le portage visible du dispositif.
4. Un programme de conformité Sapin II s'applique-t-il aux filiales étrangères d'un groupe français ?
La loi Sapin II s'applique aux sociétés françaises et à leurs filiales dès lors que les seuils sont franchis au niveau du groupe. La société mère française qui dépasse les seuils légaux doit intégrer ses filiales, y compris étrangères, dans sa cartographie des risques et ses procédures d'évaluation des tiers. En revanche, les obligations personnelles des dirigeants pesant sur les responsables des filiales étrangères relèvent du droit local de chaque juridiction concernée, ce qui suppose une coordination avec des conseils locaux.
5. Quelle est la différence entre le programme de conformité Sapin II et un code éthique ?
Le code éthique ou code de conduite est l'une des huit composantes du programme Sapin II, non l'équivalent du programme lui-même. Un code éthique seul, aussi bien rédigé soit-il, ne constitue pas un programme de conformité au sens de la loi. Le programme suppose l'ensemble des mesures organisationnelles et procédurales – cartographie, évaluation des tiers, formation, contrôle interne – dont le code de conduite n'est qu'une pièce. Confondre les deux conduit à une non-conformité structurelle que l'AFA identifie immédiatement.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang accompagne les sociétés assujetties, leurs dirigeants et leurs responsables conformité dans la construction, la révision et la défense de programmes de conformité anticorruption. Notre intervention couvre la structuration des huit composantes du programme Sapin II, la préparation aux contrôles de l'AFA et la réponse aux injonctions de mise en conformité. Nous intervenons également dans la rédaction des politiques internes et dans la formation des équipes exposées.
Les honoraires sont définis après analyse du dossier et sur devis.
Pour un premier avis sur votre programme de conformité, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données personnelles et de conformité. Article publié le 13 février 2026. Voir le profil.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.