Le contrôle anticorruption de l’AFA constitue un moyen de vérifier concrètement la qualité du dispositif de prévention et de détection des atteintes à la probité mis en place par une entreprise. Il ne s’agit donc pas uniquement de vérifier l’existence de procédures, l’Agence Française Anticorruption examine également leur qualité et leur efficacité.
Pour les entreprises soumises à l’article 17 de la loi Sapin 2, comprendre le fonctionnement de ce contrôle permet de mieux appréhender les attentes de l’autorité et les éventuelles conséquences d’un contrôle.
Qui peut être contrôlé ? Dans quelles circonstances ? Comment se déroule la procédure et quelles suites peuvent être données aux constats de l’AFA ? Autant de questions qui permettent de replacer le contrôle dans son véritable cadre : celui d’une évaluation du dispositif anticorruption dans son ensemble.
Pourquoi l’AFA réalise-t-elle des contrôles anticorruption ?
Le contrôle constitue l’une des missions confiées à l’Agence Française Anticorruption par la loi Sapin 2. Son objectif n’est pas simplement de vérifier qu’une entreprise possède les documents prévus par la réglementation, mais d’apprécier si son dispositif permet effectivement de prévenir et de détecter les atteintes à la probité.
Quel est le rôle de l’Agence Française Anticorruption ?
Sans parler en détail des missions de l’AFA, Agence Française Anticorruption, il faut retenir que le contrôle fait partie de ses principales attributions.
L’AFA intervient notamment pour contrôler les dispositifs anticorruption des acteurs économiques concernés par l’article 17 de la loi Sapin 2. Elle exerce également des missions de conseil, d’assistance et d’élaboration de recommandations.
Toutefois, cette fonction de contrôle doit être distinguée d’une mission de police judiciaire. L’AFA évalue le dispositif de prévention et de détection mis en place par l’organisation. Elle cherche notamment à déterminer si celui-ci est cohérent avec les risques auxquels l’entité est exposée et s’il est effectivement déployé.
La loi Sapin 2 confie par ailleurs à l’AFA une mission plus large de prévention et de détection de plusieurs atteintes à la probité, parmi lesquelles la corruption, le trafic d’influence, la concussion, la prise illégale d’intérêts, le détournement de fonds publics et le favoritisme.
Pour les entreprises soumises à l’article 17, le périmètre des obligations de prévention et de détection porte toutefois sur les faits de corruption et de trafic d’influence.
Que vérifie l’AFA lors des contrôles de conformité anticorruption ?
Le contrôle porte sur l’existence, la qualité et l’efficacité des mesures et procédures du dispositif anticorruption. L’AFA ne s’arrête donc pas à contrôler si l’entreprise dispose d’une procédure. Elle cherche notamment à vérifier si :
- les mesures correspondent aux risques réellement identifiés ;
- les responsabilités sont clairement définies ;
- les procédures sont effectivement appliquées ;
- leur mise en œuvre peut être démontrée ;
- les contrôles permettent d’identifier les éventuelles défaillances ;
- l’entreprise est capable de prendre des mesures correctives.
Cette distinction entre existence formelle et efficacité réelle est essentielle. Une entreprise peut, par exemple, disposer d’une procédure d’évaluation des tiers parfaitement rédigée, mais ne pas l’appliquer à certaines catégories de partenaires. De la même manière, un programme de formation peut exister sans permettre de vérifier que les collaborateurs concernés ont réellement été formés.
L’AFA précise d’ailleurs que ses contrôles tiennent compte de la taille, du contexte, de l’environnement de l’entité et de la nature des risques identifiés. Elle ne cherche donc pas à imposer un modèle unique d’organisation.
Conseil pratique : pour apprécier la solidité d’une mesure, il est utile de se poser trois questions : est-elle formalisée ? Est-elle réellement appliquée ? Quels éléments permettent de le démontrer ? Ces questions permettent déjà de repérer de nombreuses faiblesses avant même qu’un contrôle soit engagé.
Qui peut faire l’objet d’un contrôle de l’AFA ?
Le périmètre du contrôle dépend du fondement juridique sur lequel l’AFA intervient. Il faut notamment distinguer les entreprises soumises aux obligations de l’article 17 des acteurs publics et autres organismes pouvant faire l’objet d’un contrôle au titre de l’article 3 de la loi Sapin 2.
Quelles entreprises sont soumises au contrôle de l’AFA ?
L’article 17 de la loi Sapin 2 vise notamment les sociétés employant au moins 500 salariés et dont le chiffre d’affaires, ou le chiffre d’affaires consolidé, est supérieur à 100 millions d’euros.
Le dispositif concerne également certaines sociétés appartenant à un groupe dont la société mère a son siège en France et qui répond aux conditions prévues par le texte. L’article 17 prévoit aussi des dispositions concernant les filiales et sociétés contrôlées lorsqu’une société établit des comptes consolidés.
Lorsque les conditions sont réunies, les dirigeants concernés doivent mettre en œuvre les mesures et procédures destinées à prévenir et à détecter les faits de corruption et de trafic d’influence.
Bon à savoir : l’Agence Française Anticorruption dispose également de compétences de contrôle à l’égard de certains acteurs publics et dans le cadre de programmes de mise en conformité résultant de mesures judiciaires.
L’AFA peut-elle contrôler une entreprise qui n’est pas soumise à l’article 17 ?
Une entreprise qui ne remplit pas les critères de l’article 17 n’est pas soumise, du seul fait de son activité, aux huit obligations prévues par cet article. Elle n’est donc pas dans la même situation qu’une grande entreprise entrant dans son champ d’application.
L’AFA peut néanmoins intervenir dans d’autres cadres. Elle contrôle notamment l’exécution des programmes de mise en conformité prévus dans le cadre d’une convention judiciaire d’intérêt public (CJIP) ou d’une peine de programme de mise en conformité. Ces dispositifs peuvent concerner des personnes morales de droit privé de différentes tailles et formes juridiques.
Il faut également distinguer les contrôles des acteurs économiques de ceux réalisés auprès des acteurs publics sur le fondement de l’article 3 de la loi Sapin 2. L’AFA peut ainsi contrôler certaines administrations, collectivités territoriales, sociétés d’économie mixte, associations et fondations reconnues d’utilité publique ainsi que certains établissements publics.
Le contrôle AFA ne se résume donc pas à une question de taille d’entreprise. Le fondement du contrôle et la situation juridique de l’entité déterminent les obligations applicables et les suites susceptibles d’être données.
Quels sont les différents types de contrôle de l’AFA ?
Tous les contrôles de l’AFA ne poursuivent pas exactement le même objectif ni ne portent sur le même périmètre. L’Agence distingue notamment les contrôles d’initiative et les contrôles liés à l’exécution de mesures judiciaires ou de décisions de mise en conformité.
Le contrôle d’initiative : évaluer le dispositif anticorruption
Le contrôle d’initiative est décidé par le directeur de l’AFA. Pour les entreprises relevant de l’article 17 de la loi Sapin 2, il vise à apprécier l’existence, la qualité et l’efficacité des mesures et procédures destinées à prévenir et détecter les faits de corruption et de trafic d’influence.
Son périmètre peut varier. L’AFA peut réaliser :
- un contrôle global, portant sur l’ensemble du dispositif ;
- un contrôle thématique, limité à certaines mesures ou à certains risques ;
- un contrôle de suite, destiné à vérifier la mise en œuvre des recommandations formulées lors d’un précédent contrôle.
L’Agence peut donc examiner l’ensemble du dispositif ou concentrer son analyse sur un sujet particulier. Un contrôle thématique pourrait, par exemple, approfondir l’évaluation des tiers ou les contrôles comptables sans reprendre avec la même intensité toutes les composantes du dispositif.
Cette distinction est importante pour comprendre la portée d’un contrôle. Une entreprise ne doit pas nécessairement s’attendre à une vérification uniforme de chacun de ses processus. Le périmètre dépend notamment de l’objet du contrôle et des éléments recueillis par l’AFA.
Les contrôles liés à une mesure judiciaire ou à une mise en conformité
L’AFA intervient également pour contrôler l’exécution de certains programmes de mise en conformité résultant d’une décision judiciaire ou d’une décision de la Commission des sanctions.
C’est notamment le cas dans le cadre d’une convention judiciaire d’intérêt public (CJIP) ou d’une peine de programme de mise en conformité (PPMC). Dans ces situations, il ne s’agit plus simplement d’évaluer spontanément le dispositif anticorruption existant, l’AFA vérifie la mise en œuvre du programme auquel la personne morale est soumise.
Elle peut également être chargée de contrôler l’exécution d’une injonction de mise en conformité prononcée par la Commission des sanctions de l’AFA.
Ces contrôles répondent donc à une logique différente. L’entreprise doit démontrer qu’elle a effectivement mis en œuvre les mesures attendues dans le cadre qui lui a été imposé.
Comment se déroule un contrôle de l’AFA ?
Le contrôle suit un cadre formalisé, avec une première phase consacrée à l’examen du dispositif puis, lorsque cela est nécessaire, des investigations plus approfondies. L’AFA réalise ses contrôles sur pièces et sur place dans le respect du principe contradictoire. On vous explique tout ce qu’il faut savoir pour vous préparer à un contrôle conformité anticorruption de l’AFA.
La notification et le lancement du contrôle
Les dirigeants de l’entité contrôlée sont informés du contrôle par une lettre qui précise notamment son objet, son périmètre et la composition de l’équipe chargée de la mission. Cette notification est accompagnée d’un premier questionnaire. L’entité doit également désigner une personne pour la représenter au cours des opérations de contrôle.
Cette étape permet donc à l’entreprise de connaître le cadre dans lequel le contrôle va se dérouler. Le périmètre annoncé constitue un premier repère ; il permet de distinguer les éléments qui seront directement examinés des autres composantes du dispositif.
Le questionnaire AFA joue ensuite un rôle important dans la collecte d’informations. Les réponses fournies permettent à l’équipe de contrôle d’appréhender l’organisation, les risques et les mesures mises en place avant d’approfondir certains sujets.
L’analyse documentaire et les contrôles sur place
La première phase repose notamment sur l’analyse des réponses au questionnaire, l’examen des documents transmis et les entretiens avec les personnes concernées. L’AFA peut ainsi confronter les procédures formalisées aux pratiques effectivement mises en œuvre.
Les fonctions en l’entreprise et leur exposition au risque de corruption et de trafic d’influence
Les échanges ne concernent pas nécessairement uniquement les responsables de la conformité. Selon le périmètre du contrôle, l’équipe peut rencontrer différents collaborateurs et interlocuteurs de l’organisation afin de comprendre comment les mesures sont appliquées dans les processus opérationnels.
Cette approche explique pourquoi la preuve de l’application compte autant que l’existence d’une procédure. Une entreprise peut présenter un code de conduite, une procédure d’évaluation des tiers ou un dispositif de contrôle comptable, mais encore faut-il pouvoir expliquer comment ces mesures sont utilisées et par qui.
Lorsque les premiers constats le justifient, l’AFA peut engager une seconde phase destinée à approfondir certains risques, mesures, activités ou processus. Elle peut alors adresser des demandes complémentaires de pièces, questionnaires ou entretiens.
Le rapport de contrôle et la phase contradictoire
À l’issue des opérations de contrôle, l’AFA établit un rapport présentant ses observations, les éventuels constats de manquement pour les entités relevant de l’article 17 et les recommandations associées.
Le rapport est ensuite transmis à l’entité contrôlée, qui dispose d’une phase contradictoire de deux mois pour présenter ses observations écrites. Elle peut également transmettre un projet de plan d’action précisant les mesures envisagées, leur calendrier et les personnes responsables de leur mise en œuvre.
Cette étape est importante, car le rapport initial ne constitue pas nécessairement la version définitive des conclusions. Les observations de l’entreprise peuvent conduire l’AFA à modifier certains éléments avant la notification du rapport définitif.
Le rapport définitif comprend notamment le plan d’action validé et l’analyse des réponses apportées par l’entreprise.
À retenir : un contrôle AFA ne se résume donc pas à une journée d’audit sur place. Il s’inscrit dans une procédure comprenant collecte d’informations, analyse, échanges, éventuelles investigations complémentaires, rapport et phase contradictoire.
Quels documents et éléments l’AFA peut-elle examiner ?
L’AFA ne limite pas son contrôle aux documents qui composent officiellement le dispositif anticorruption. Elle cherche à comprendre comment celui-ci fonctionne réellement. Les pièces demandées peuvent donc concerner à la fois la gouvernance, les procédures, leur mise en œuvre et les éléments permettant d’en vérifier l’application.
Les documents formalisant le dispositif
L’équipe de contrôle peut notamment examiner les documents permettant de comprendre l’organisation du dispositif et les mesures mises en place :
- organisation et responsabilités en matière de conformité ;
- documents relatifs à l’engagement de la direction ;
- cartographie des risques de corruption et de trafic d’influence ;
- code de conduite et procédures associées ;
- dispositif d’alerte ;
- procédure d’évaluation des tiers ;
- programme de formation ;
- dispositif disciplinaire ;
- procédures de contrôles comptables ;
- modalités de contrôle et d’évaluation interne du dispositif.
L’objectif n’est pas de vérifier que l’entreprise possède une collection complète de documents. L’AFA examine leur cohérence avec les risques identifiés et leur articulation avec les pratiques de l’organisation.
Une cartographie qui identifie un risque important lié aux intermédiaires commerciaux, par exemple, doit trouver une traduction concrète dans la procédure d’évaluation des tiers. De même, les contrôles comptables doivent être cohérents avec les risques que l’entreprise a identifiés dans ses flux financiers.
Les preuves de mise en œuvre des mesures
L’AFA peut également demander des éléments permettant de vérifier que les mesures formalisées sont effectivement appliquées. Cette dimension est particulièrement importante, car un dispositif peut être correctement documenté tout en restant largement théorique.
Les justificatifs peuvent notamment prendre la forme de :
- dossiers d’évaluation de tiers ;
- preuves de formation des collaborateurs ;
- comptes rendus ou résultats de contrôles ;
- documents attestant du suivi des alertes ;
- éléments relatifs aux mesures disciplinaires prises ;
- résultats des évaluations internes ;
- rapports ou tableaux de suivi des actions correctives.
Prenons l’exemple d’une entreprise qui dispose d’une procédure d’évaluation des partenaires commerciaux. Le document explique comment évaluer un tiers, mais l’AFA peut également chercher à comprendre comment cette procédure est appliquée dans les faits, quels tiers ont été évalués, selon quels critères et avec quelles suites.
Cette logique vaut pour l’ensemble du dispositif. Il ne s’agit donc pas seulement de prouver ce qui est prévu, mais également de montrer que la mesure fonctionne.
Conseil pratique : pour chaque mesure importante, identifiez à l’avance un ou deux exemples récents permettant d’illustrer son application. Cela permet de vérifier rapidement qu’une procédure n’est pas restée purement documentaire.
Quelles peuvent être les conséquences d’un contrôle de l’AFA ?
Un contrôle de conformité anticorruption peut aboutir à des constats très différents selon la situation de l’entité et la nature des insuffisances relevées. Il ne conduit donc pas automatiquement à une sanction. Pour les entreprises soumises à l’article 17, l’AFA peut formuler des observations et recommandations et, dans certaines situations, engager une procédure devant sa Commission des sanctions.
Des observations aux mesures correctives
Le contrôle peut mettre en évidence des insuffisances dans la conception ou le déploiement du dispositif. L’entreprise peut alors être invitée à prendre des mesures correctives.
Le rapport définitif peut notamment comporter des recommandations destinées à améliorer le dispositif. L’entreprise peut également présenter un plan d’action précisant les mesures qu’elle prévoit de mettre en œuvre, leur calendrier et les responsables désignés.
Il est donc possible qu’un contrôle débouche principalement sur une feuille de route d’amélioration.
Il faut bien comprendre qu’un contrôle de conformité anticorruption ne vise pas uniquement à rechercher des manquements. Il vise à identifier les mesures permettant de rendre le dispositif plus cohérent et plus opérationnel.
Dans quels cas l’AFA peut-elle prononcer une sanction ?
Pour les entités soumises à l’article 17, lorsque l’AFA constate un manquement aux obligations prévues par la loi, son directeur peut saisir la Commission des sanctions de l’AFA. Celle-ci dispose alors de son propre pouvoir d’appréciation et statue dans le cadre d’une procédure contradictoire.
Il faut donc distinguer deux étapes :
- le contrôle, conduit par les agents de l’AFA et donnant lieu à des constats ;
- la procédure de sanction, qui relève de la Commission des sanctions lorsqu’elle est saisie.
Le simple fait de faire l’objet d’un contrôle ne signifie donc pas que l’entreprise sera sanctionnée.
Quelles sanctions sont prévues par la loi Sapin 2 ?
La Commission des sanctions peut prononcer une injonction visant à mettre en conformité les mesures et procédures de l’entreprise dans un délai déterminé.
Elle peut également prononcer une sanction pécuniaire, dont le montant maximal est fixé par l’article 17 de la loi Sapin 2 à 200 000 € pour les personnes physiques et à 1 million d’euros pour les personnes morales.
La Commission peut également ordonner la publication, la diffusion ou l’affichage de sa décision dans les conditions prévues par la loi.
Bon à savoir : au-delà de l’obligation de conformité, une entreprise peut faire l’objet d’une procédure judiciaire en cas d’atteinte à la probité pouvant mener à des sanctions pénales (amende et/ou emprisonnement) en plus des sanctions de la commission de l’AFA. Cette procédure est indépendante et complémentaire au contrôle AFA, l’AFA n’étant pas habilitée à enquêter sur des faits de corruption. Ce rôle appartient au Parquet national financier, auquel l’agence transmet les éléments susceptibles de constituer une infraction lorsqu’un contrôle en révèle.
La sanction ne porte donc pas sur l’existence d’un risque de corruption en tant que tel. Elle intervient dans le cadre du non-respect des obligations légales de prévention et de détection applicables à l’entité contrôlée.
Bon à savoir : une entreprise qui identifie elle-même une faiblesse avant un contrôle dispose d’une marge de manœuvre bien différente de celle qui découvre cette faiblesse pendant les opérations de contrôle. D’où l’intérêt de réaliser régulièrement des auto-évaluations et de suivre les actions correctives plutôt que d’attendre une éventuelle intervention de l’AFA.
Un contrôle de l’AFA ne devrait pas être envisagé comme un événement exceptionnel auquel l’entreprise se prépare quelques semaines avant l’arrivée des contrôleurs. Il constitue plutôt un révélateur de la maturité réelle du dispositif anticorruption : cohérence des procédures, implication de la direction, traçabilité des actions et capacité à démontrer leur application. Cette logique invite à intégrer le contrôle dans le pilotage courant de la conformité. Une entreprise capable de retrouver rapidement ses justificatifs, d’expliquer ses choix et de mesurer ses actions correctives est aussi mieux armée pour faire évoluer son dispositif au fil des risques.
