◇L’essentiel à retenir
- La loi Sapin 2 impose une prévention documentée de la corruption, pas seulement une réaction après incident.
- Elle vise surtout les entreprises de 500 salariés et 100 millions d’euros de chiffre d’affaires sur deux exercices.
- Le dispositif repose sur huit mesures clés : cartographie des risques, code de conduite, alertes, formation et contrôles.
- Les tiers à risque, comme fournisseurs, agents ou consultants, doivent être évalués avant contractualisation.
- Un plan d’action anticorruption simple, tracé et mis à jour réduit le risque de sanction et protège la réputation.
La loi Sapin 2 n’est pas un texte de juristes pour juristes. C’est une loi très concrète, qui oblige les entreprises à structurer leur prévention de la corruption avant qu’un problème n’éclate. Quand une société réalise plusieurs millions d’euros de chiffre d’affaires, emploie quelques centaines de salariés et traite avec des fournisseurs, des intermédiaires ou des clients publics, le sujet devient vite opérationnel. Vous devez savoir qui est concerné, ce qu’il faut mettre en place et où se situent les vrais risques.
Qu’est-ce que la loi Sapin 2 et quel est son but ?
La loi Sapin 2, adoptée en 2016 dans le cadre de la modernisation de la vie économique, a été pensée pour renforcer la transparence et la lutte contre la corruption. Son ambition est simple : faire passer les organisations d’une logique de réaction à une logique de prévention documentée.
Une loi de prévention, pas seulement de répression
On résume souvent Sapin 2 à ses sanctions, alors que le cœur du texte est ailleurs. L’idée est de pousser les entreprises à identifier leurs zones de fragilité, à formaliser leurs procédures et à prouver qu’elles maîtrisent leurs risques de corruption et trafic d’influence.
Dans les bilans que j’ai épluchés, le même schéma revient souvent : tout semble propre sur le papier, mais rien n’est tracé, rien n’est testé, rien n’est mis à jour. C’est là que la conformité devient un sujet de gouvernance, pas seulement un sujet juridique.
Le texte ne vise donc pas uniquement le pénal. Il touche aussi l’organisation, la comptabilité, le contrôle interne et le management. Une entreprise peut être de bonne foi et rester malgré tout exposée si elle n’a pas de dispositif prouvable.
Pourquoi ce texte change la gestion quotidienne
Sapin 2 oblige à regarder les opérations ordinaires avec un œil neuf. Un cadeau client à 300 €, une commission versée à un intermédiaire, une facture mal libellée ou un recrutement accéléré peuvent devenir des signaux faibles si rien n’encadre ces pratiques.
Le texte impose donc une logique de programme de conformité. On ne cherche pas seulement à éviter l’infraction. On cherche à montrer, documents à l’appui, que l’entreprise a mis en place des mesures anticorruption adaptées à sa taille, à son secteur et à ses zones de risque.
Qui est concerné ? Seuils, groupes visés et responsabilité des dirigeants
La loi vise d’abord certaines entreprises concernées par des seuils précis, mais la lecture devient vite piégeuse dès qu’un groupe, une holding ou une filiale entre dans l’équation. La responsabilité, elle, ne s’arrête pas à la seule personne morale.
Les seuils Sapin 2 à retenir
Voici le repère de base à connaître. La loi s’applique aux sociétés françaises qui dépassent, pendant deux exercices consécutifs, les seuils suivants.
| Critère | Seuil |
|---|---|
| Effectif | 500 salariés et plus |
| Chiffre d’affaires | 100 millions d’euros et plus |
| Forme | Personne morale soumise au droit français |
| Cas de groupe | Peut inclure maison mère et filiales selon l’organisation |
Le saviez-vous ? Beaucoup de directions pensent être hors champ parce qu’une filiale locale reste sous les seuils. C’est souvent une lecture trop rapide, car on raisonne en pratique au niveau du groupe et de ses risques consolidés, pas seulement à l’échelle d’une entité isolée.
Groupe, holding, filiale : là où les erreurs coûtent cher
Une personne morale n’existe jamais seule dans la vraie vie économique. Une holding pilote parfois la politique éthique, une maison mère fixe les standards, et une filiale exécute sur le terrain avec ses propres fournisseurs, ses propres marchés et ses propres intermédiaires.
Vous vous demandez peut-être si la présence internationale change tout. La réponse est oui, parce qu’un contrat signé à l’étranger, un distributeur local ou un agent commercial dans un pays à risque augmentent mécaniquement l’exposition au risque de corruption. Dans ce cas, la cartographie doit refléter la réalité des flux, pas un organigramme trop propre.
| Situation | Point de vigilance | Erreur fréquente |
|---|---|---|
| Holding française | Coordination du dispositif | Laisser chaque filiale agir seule |
| Filiale à l’étranger | Tiers et intermédiaires locaux | Sous-estimer les usages locaux |
| Groupe intégré | Harmonisation des procédures internes | Multiplier des règles incohérentes |
| Croissance externe | Intégration des entités acquises | Reporter la mise en conformité |
Dirigeants et salariés : une exposition bien réelle
La conformité ne repose pas uniquement sur la société. Les dirigeants et, selon les cas, les salariés exposés aux achats, aux ventes, à la finance ou aux relations publiques peuvent être directement concernés par les contrôles, les investigations internes et la politique disciplinaire.
C’est ici que vous arbitrez. Un dispositif mal tenu peut fragiliser une direction générale, un directeur financier ou un responsable achat, surtout si les alertes remontent mal et si les décisions ne sont pas documentées. La responsabilité managériale devient alors un sujet de preuve.
3 piliers ou 8 mesures : comment lire réellement l’article 17
L’article 17 est souvent résumé en trois piliers, mais la lecture opérationnelle repose bien sur huit mesures obligatoires. Cette distinction change tout, car elle évite de confondre une architecture de programme avec la liste précise des obligations opposables.
Trois piliers, une grille de lecture utile
Les trois piliers servent surtout à comprendre la logique globale : prévenir, détecter et corriger. C’est pratique pour structurer un discours de conformité, mais insuffisant pour piloter un plan d’action ou préparer un contrôle de l’AFA.
En réalité, le texte demande un ensemble cohérent de dispositifs. L’entreprise doit pouvoir montrer ses règles, ses contrôles, ses formations et ses preuves de suivi. Sans cela, le programme existe peut-être sur le papier, mais il ne tient pas en audit.
Huit obligations, huit preuves attendues
Les huit mesures de l’article 17 ne sont pas un inventaire abstrait. Elles forment une chaîne logique qui commence par l’identification des risques et se termine par le contrôle des flux et des comportements.
Le bon réflexe consiste à relier chaque mesure à un livrable concret, daté et responsable. On ne demande pas un classeur épais, on attend une documentation de conformité exploitable, mise à jour et compréhensible par le management.
Les 8 obligations en pratique : de la cartographie des risques au contrôle interne
Pour éviter l’effet inventaire, il faut regrouper les obligations par familles. On voit alors apparaître trois blocs très clairs : connaître les risques, encadrer les comportements, puis vérifier que les contrôles fonctionnent.
Connaître ses risques et ceux de ses tiers
La cartographie des risques est la base. Elle recense les zones d’exposition selon les pays, les métiers, les processus, les clients, les fournisseurs, les intermédiaires et les schémas de rémunération. Sans elle, tout le reste flotte.
L’évaluation des tiers, ou due diligence des tiers, complète ce travail. Un fournisseur sensible, un agent commercial ou un consultant rémunéré au succès peuvent devenir des tiers à risque s’ils sont mal sélectionnés ou mal suivis. Honnêtement, c’est souvent là que les failles apparaissent.
| Famille de risque | Exemples concrets | Preuves attendues |
|---|---|---|
| Clients | Marchés publics, donneurs d’ordres sensibles | Vérifications, décisions tracées |
| Fournisseurs | Prestataires critiques, sous-traitance | Évaluation, surveillance, contrats |
| Intermédiaires | Agents, apporteurs d’affaires, consultants | Contrôle renforcé, justification des honoraires |
| Opérations | Cadeaux et invitations, remises, commissions | Procédures internes, validations |
Encadrer les comportements et les alertes
Le code de conduite ou code de conduite anticorruption fixe les règles du jeu. Il doit traiter les cadeaux et invitations, les conflits d’intérêts, les paiements sensibles, les avantages indus et les situations où la frontière entre usage commercial et risque pénal devient floue.
Le dispositif d’alerte interne est l’autre pilier visible. Il doit permettre à un lanceur d’alerte de signaler un comportement suspect sans crainte de représailles, avec un traitement tracé et confidentiel. Si l’alerte disparaît dans un coin de messagerie, vous avez un problème.
Former, contrôler, prouver
La formation anticorruption n’est pas un module de ressources humaines décoratif. Elle doit viser les équipes exposées, les managers, les achats, les commerciaux et les fonctions support qui valident les paiements ou les contrats. Une formation suivie par 80 % des personnes ciblées vaut mieux qu’un parcours envoyé à 100 % mais jamais lu.
Le contrôle interne et les contrôles comptables internes et externes viennent ensuite. Ils doivent repérer les anomalies classiques : factures sans détail, doublons, notes de frais atypiques, commissions élevées ou montages qui contournent les validations. Dans les faits, c’est souvent la comptabilité qui parle la première.
C’est ici que vous arbitrez : plan d’action, contrôles AFA et risque de sanction
La mise en conformité ne se gagne pas avec un document unique. Elle se construit avec une gouvernance claire, un calendrier réaliste et des contrôles capables de tenir devant l’AFA ou devant un juge en cas de CJIP.
Mettre en place un plan d’action anticorruption réaliste
Commencez par un diagnostic de conformité. Il permet de savoir ce qui existe déjà, ce qui manque, ce qui est obsolète et ce qui n’est jamais appliqué. Ensuite, vous hiérarchisez : d’abord les zones de risque élevé, puis les procédures, puis les formations et les contrôles.
Un bon plan d’action anticorruption tient sur quelques pages, pas sur cinquante. Il doit préciser le sponsor de direction, le responsable conformité, les échéances, les livrables et les preuves à conserver. C’est une question de pilotage, pas de décoration interne.
Ce que l’AFA regarde vraiment
L’Agence française anticorruption vérifie la cohérence d’ensemble. Elle regarde si la cartographie des risques colle à l’activité, si le code de conduite est compris, si les contrôles comptables sont appliqués et si les tiers à risque sont bien évalués avant contractualisation.
Elle observe aussi la maturité du dispositif. Un programme figé depuis trois ans, sans mise à jour après une acquisition ou une ouverture internationale, laisse une mauvaise impression. À l’inverse, un dispositif proportionné, testé et documenté inspire confiance, même s’il reste simple.
Sanctions, mais aussi effet réputationnel
Les sanctions Sapin 2 peuvent être lourdes. Elles combinent amendes, injonctions de mise en conformité et, dans certains cas, un impact réputationnel immédiat, sans parler des coûts de gestion de crise et des frais de conseil. Le vrai coût n’est pas seulement juridique.
La CJIP, ou convention judiciaire d’intérêt public, illustre bien l’enjeu. Elle ne règle pas le problème à votre place, elle entérine souvent une défaillance déjà documentée et impose un effort de remédiation rapide. Mieux vaut un dispositif vivant et prouvable qu’un manuel superbe que personne n’applique.
Faire le bon choix pour votre entreprise
La loi Sapin 2 ne demande pas une perfection théorique. Elle demande une organisation capable de prévenir, de détecter et de corriger avec méthode. Si vous êtes dirigeant, DAF, juriste ou responsable conformité, le bon arbitrage consiste à bâtir un programme simple, ciblé et traçable.
Au fond, tout se joue là : un dispositif proportionné vaut mieux qu’un décor réglementaire. Et si vous devez commencer quelque part, commencez par les risques, les tiers et les preuves. C’est ce trio qui fait tenir la conformité dans la durée.
Foire aux questions
À quoi sert la loi Sapin 2 dans une entreprise ?
La loi Sapin 2 vise à prévenir la corruption, le trafic d’influence et les conflits d’intérêts avant qu’un incident ne survienne. Elle pousse les entreprises à mettre en place des contrôles, des procédures et des preuves concrètes de conformité, plutôt qu’une simple politique affichée.
Quelles entreprises sont réellement concernées par Sapin 2 ?
Sont surtout visées les sociétés françaises qui dépassent 500 salariés et 100 millions d’euros de chiffre d’affaires pendant deux exercices consécutifs. Dans un groupe, l’analyse ne se limite pas à une entité isolée, car la maison mère et les filiales peuvent être concernées selon l’organisation et les risques consolidés.
Quels sont les éléments clés du dispositif Sapin 2 à mettre en place ?
Le socle repose sur la cartographie des risques, le code de conduite, le dispositif d’alerte interne, la formation, l’évaluation des tiers et les contrôles comptables. À cela s’ajoutent des mesures de suivi et de mise à jour pour démontrer que le programme fonctionne vraiment au quotidien.
Les “3 piliers” de Sapin 2 remplacent-ils les 8 mesures de l’article 17 ?
Non, les trois piliers servent surtout de grille de lecture pour comprendre la logique du dispositif. Sur le plan opérationnel, l’article 17 impose bien huit mesures, avec des preuves attendues sur la prévention, la détection et le contrôle.
Que risque une entreprise qui ne respecte pas Sapin 2 ?
L’entreprise s’expose à des sanctions financières, à des injonctions de mise en conformité et à un risque réputationnel parfois plus lourd que l’amende elle-même. Un contrôle de l’AFA peut aussi révéler un dispositif trop théorique, mal documenté ou jamais actualisé, ce qui fragilise fortement la direction.
