Mesures loi Sapin 2 : les 8 piliers à mettre en place et les contrôles de l’AFA

Les mesures loi Sapin 2 structurent la prévention de la corruption et du trafic d’influence en entreprise. Adoptée le 9 décembre 2016 et entrée en vigueur le 1er juin 2017, la loi impose aux organisations concernées un programme anticorruption documenté, suivi et contrôlé par l’Agence française anticorruption, l’AFA.

Pour un dirigeant, un juriste, un responsable conformité ou un directeur financier, l’enjeu est clair : savoir quelles obligations appliquer, à quels acteurs elles s’adressent, comment les faire vivre et quels risques existent si le dispositif reste incomplet.

À quoi servent les mesures loi Sapin 2 ?

La loi Sapin 2 a changé l’approche française de la corruption. Elle ne se limite pas à sanctionner après coup des comportements illicites, elle impose aussi à certaines entreprises de mettre en place des mécanismes de prévention, de détection et de contrôle.

Son objectif est double. D’un côté, renforcer la transparence de la vie économique et la confiance dans les affaires. De l’autre, rapprocher la France des standards internationaux de compliance, notamment ceux promus par l’OCDE, et de régimes étrangers comme le Foreign Corrupt Practices Act américain ou le UK Bribery Act britannique.

Concrètement, les mesures loi Sapin 2 visent à empêcher qu’un avantage indu, un cadeau disproportionné, une commission dissimulée, un conflit d’intérêts ou une intervention douteuse auprès d’un décideur public ne devienne une pratique ordinaire. La logique reste opérationnelle : repérer les zones à risque, encadrer les comportements, former les personnes exposées et vérifier que le dispositif fonctionne.

Les 8 piliers à mettre en place

Le dispositif anticorruption repose sur 8 mesures complémentaires. Aucune ne fonctionne seule : un code de conduite sans formation reste théorique, une cartographie sans contrôle s’use vite, et une alerte interne sans confidentialité décourage les signalements.

Mesure	Finalité pratique
Code de conduite	Définir les comportements interdits et les règles attendues
Dispositif d’alerte interne	Permettre un signalement confidentiel des manquements
Cartographie des risques	Identifier les activités, pays, métiers ou tiers les plus exposés
Évaluation des tiers	Vérifier les clients, fournisseurs, intermédiaires et partenaires
Contrôles comptables	Détecter les écritures masquant une corruption ou un trafic d’influence
Formation	Sensibiliser les salariés et dirigeants exposés
Régime disciplinaire	Sanctionner les violations du code de conduite
Contrôle interne	Mesurer l’efficacité du programme et l’actualiser

Code de conduite et alerte interne : poser les règles et ouvrir un canal sûr

Le code de conduite anticorruption décrit les comportements interdits, comme les paiements de facilitation, les cadeaux excessifs, les invitations sans justification professionnelle, le mécénat de façade, les commissions injustifiées ou le recours opaque à un intermédiaire. Il doit être intégré au règlement intérieur lorsque l’entreprise en dispose, pour lui donner une portée concrète auprès des salariés.

Le dispositif d’alerte interne permet de signaler un fait suspect de manière sécurisée et confidentielle. La loi Waserman de 2022 a renforcé la protection des lanceurs d’alerte, ce qui impose une vigilance particulière sur la confidentialité, l’absence de représailles et le traitement sérieux des signalements. Le canal peut être numérique, externalisé ou interne, mais il doit inspirer confiance.

Cartographie, tiers et contrôles comptables : repérer les zones sensibles

La cartographie des risques est souvent le cœur du dispositif. Elle classe les risques selon les pays d’intervention, les secteurs, les types de clients, les circuits de vente, les intermédiaires utilisés ou les interactions avec des autorités publiques. Une entreprise qui travaille via des agents commerciaux dans plusieurs pays n’a pas le même profil qu’une société qui vend uniquement en direct sur un marché local.

Il faut la penser comme une matrice vivante plutôt que comme un tableau figé : chaque case croise une exposition, un impact possible, un niveau de maîtrise et une preuve disponible. Cette lecture révèle parfois un angle mort décisif. Par exemple, une zone géographique modérément risquée peut devenir prioritaire si elle concentre des distributeurs peu documentés, des remises commerciales atypiques et peu de validation hiérarchique. La conformité gagne alors en précision, car on ne contrôle pas tout avec la même intensité, on concentre l’effort là où la combinaison des signaux crée une vulnérabilité réelle.

L’évaluation des tiers prolonge cette analyse. Elle consiste à vérifier les clients, fournisseurs, sous-traitants, distributeurs, consultants, agents et partenaires avant ou pendant la relation d’affaires. La due diligence anticorruption peut inclure l’identification du bénéficiaire effectif, la réputation du tiers, son exposition politique, la cohérence de sa rémunération et la présence de clauses anticorruption dans les contrats.

Les contrôles comptables, internes ou externes, servent à détecter les flux anormaux : factures imprécises, prestations sans livrable, notes de frais excessives, dons ou sponsoring mal justifiés, commissions versées à des structures peu transparentes. La corruption laisse souvent une trace comptable ; encore faut-il que les contrôles soient conçus pour la repérer.

Formation, discipline et évaluation : faire vivre le dispositif

La formation vise d’abord les personnes exposées : commerciaux, acheteurs, dirigeants, équipes finance, responsables de filiales, collaborateurs travaillant avec des agents publics ou des intermédiaires. Elle doit être adaptée aux situations rencontrées, avec des exemples concrets plutôt qu’un simple rappel juridique.

Le régime disciplinaire permet de sanctionner les manquements au code de conduite. Il doit être clair, proportionné et appliqué de manière cohérente. Enfin, le contrôle et l’évaluation interne servent à vérifier que les mesures existent vraiment, qu’elles sont comprises et qu’elles évoluent lorsque l’activité, les marchés ou l’organisation changent.

Entreprises concernées : seuils, groupes et responsabilités

Les obligations anticorruption de la loi Sapin 2 concernent surtout les grandes entreprises et les groupes qui atteignent certains seuils. Le seuil généralement retenu est de 500 salariés et 100 millions d’euros de chiffre d’affaires consolidé. L’analyse doit être menée avec attention dans les groupes, car les filiales françaises ou étrangères peuvent entrer dans le périmètre selon l’organisation et le contrôle exercé.

Les dirigeants sont directement concernés. La conformité anticorruption n’est pas seulement un sujet juridique ou RH : elle engage la gouvernance, les processus financiers, les achats, les ventes, les filiales et parfois les partenaires commerciaux. Le dirigeant doit pouvoir démontrer que l’entreprise a identifié ses risques et mis en place des moyens adaptés.

Même lorsqu’une entreprise n’atteint pas les seuils, elle peut avoir intérêt à s’inspirer des mesures loi Sapin 2. C’est particulièrement vrai pour une PME qui travaille avec de grands donneurs d’ordre, répond à des appels d’offres internationaux ou utilise des intermédiaires commerciaux. Dans ces cas, un dispositif proportionné peut devenir un atout de crédibilité.

Contrôles de l’AFA et sanctions possibles

L’Agence française anticorruption, ou AFA, contrôle la qualité et l’effectivité des dispositifs anticorruption. Elle peut examiner la cartographie des risques, le code de conduite, les procédures d’évaluation des tiers, les formations, les contrôles comptables et la traçabilité des décisions. L’enjeu n’est donc pas seulement de produire des documents, mais de prouver leur application.

En cas de manquement, les conséquences peuvent être importantes. Une amende administrative peut atteindre 200 000 euros pour les dirigeants. Au-delà de la sanction financière, une entreprise risque aussi une atteinte à sa réputation, une perte de confiance de ses partenaires, des difficultés lors d’appels d’offres et une fragilisation de sa gouvernance.

Le risque de non-conformité n’est pas théorique : 52 % des entreprises contrôlées étaient non conformes en 2022. Ce chiffre montre un point essentiel : beaucoup d’organisations disposent de documents, mais peinent à démontrer un dispositif complet, cohérent et régulièrement actualisé.

Pour se préparer à un contrôle, l’entreprise doit pouvoir répondre à trois questions simples : quels sont ses principaux risques de corruption, quelles mesures ont été prises pour les réduire, et quelles preuves montrent que ces mesures fonctionnent réellement ? Les comptes rendus de formation, les validations de tiers, les audits internes, les mises à jour de cartographie et les décisions disciplinaires documentées deviennent alors des éléments clés.

Par où commencer pour appliquer les 8 mesures sans se disperser ?

La meilleure approche consiste à avancer par priorités. Vouloir tout formaliser en même temps conduit souvent à un dispositif lourd, peu utilisé et difficile à maintenir. À l’inverse, une démarche progressive permet de construire une conformité solide et proportionnée.

1. Définir le périmètre : sociétés concernées, filiales, métiers, pays, partenaires et processus sensibles.
2. Construire ou mettre à jour la cartographie : elle doit guider les efforts, pas rester un exercice abstrait.
3. Formaliser les règles : code de conduite, politique cadeaux, validation des intermédiaires, clauses contractuelles.
4. Former les populations exposées : avec des cas proches du terrain, adaptés aux fonctions.
5. Installer des contrôles et des preuves : indicateurs, audits, revues de tiers, contrôles comptables ciblés.

La conformité Sapin 2 fonctionne lorsqu’elle devient un réflexe de décision. Avant de signer avec un agent commercial, de financer un événement, d’accorder une remise inhabituelle ou de répondre à un appel d’offres sensible, les équipes doivent savoir quels contrôles appliquer et à qui demander validation.

Pour consulter les textes officiels, le site Légifrance reste la référence. Les recommandations de l’Agence française anticorruption sont également utiles pour comprendre les attentes pratiques en matière de prévention, de détection et de pilotage du risque anticorruption.