La loi Sapin 2 anticorruption pour les entreprises ne se limite pas à l’interdiction de verser ou de recevoir des pots-de-vin. Son objectif est plus large : prévenir les atteintes à la probité susceptibles de toucher l’entreprise, parmi lesquelles figurent notamment la corruption, le trafic d’influence ou encore certains conflits d’intérêts.
Pour les entreprises concernées, le dispositif repose sur huit mesures complémentaires prévues par l’article 17 de la loi.
L’enjeu n’est donc pas d’empiler des procédures, des contrôles et des documents, mais de construire un dispositif cohérent avec les risques réellement rencontrés. Cartographier les risques, fixer les règles, former les collaborateurs, surveiller certaines opérations ou encore traiter les alertes répondent à des fonctions différentes, mais interdépendantes. On vous explique !
Loi Sapin 2 : les entreprises concernées et leurs obligations
Avant d’examiner les huit mesures prévues par l’article 17 de la loi Sapin, il faut distinguer le champ d’application de la loi de la manière dont l’entreprise doit concrètement organiser son dispositif. Toutes les entreprises ne sont pas soumises aux mêmes obligations et les mesures doivent être adaptées à leur exposition aux risques.
Les entreprises soumises aux obligations de l’article 17 de la loi Sapin
L’article 17 de la loi Sapin 2 impose aux présidents, directeurs généraux et dirigeants de certaines entreprises et certains établissements publics de prendre des mesures destinées à prévenir et détecter les faits de corruption ou de trafic d’influence.
Sont notamment concernés les entreprises et groupes répondant aux critères prévus par la loi, notamment ceux employant au moins 500 salariés et dont le chiffre d’affaires est supérieur à 100 millions d’euros. Pour les groupes, l’appréciation doit également tenir compte de l’organisation et du périmètre des sociétés concernées.
Le dispositif ne doit toutefois pas être réduit à un raisonnement fondé uniquement sur un seuil d’effectif ou de chiffre d’affaires. Une entreprise qui n’entre pas dans le champ de l’article 17 peut elle aussi avoir intérêt à mettre en place certaines mesures de prévention de la corruption et des autres atteintes à la probité, notamment lorsqu’elle intervient dans des secteurs ou environnements particulièrement exposés.
L’Agence Française Anticorruption (AFA) accompagne d’ailleurs les entreprises au-delà du seul périmètre des entités légalement assujetties avec des recommandations et référentiels permettant de structurer une démarche de prévention adaptée aux risques.
Lois Sapin 2 : une obligation structurée autour de huit mesures
Pour les entreprises soumises à l’article 17, le dispositif anticorruption repose sur huit mesures qui couvrent différentes étapes de la prévention et de la détection :
- un code de conduite définissant les comportements à proscrire ;
- un dispositif d’alerte interne ;
- une cartographie des risques de corruption ;
- une procédure d’évaluation des tiers ;
- des procédures de contrôles comptables internes ;
- un dispositif de formation destiné aux collaborateurs exposés ;
- un régime disciplinaire permettant de sanctionner les violations du code de conduite ;
- un dispositif de contrôle et d’évaluation interne des mesures mises en œuvre.
Ces mesures ne doivent pas être considérées comme huit obligations indépendantes. Leur efficacité dépend de leur articulation. La cartographie peut, par exemple, conduire à renforcer l’évaluation de certains tiers ou les contrôles comptables. Une anomalie détectée lors d’un contrôle peut conduire à revoir une procédure. Un signalement peut révéler un risque insuffisamment pris en compte dans la cartographie.
L’article 17 fixe ainsi une architecture commune, mais ne fournit pas un modèle unique applicable à toutes les entreprises. Le dispositif doit rester cohérent avec l’activité, l’organisation et le niveau d’exposition de l’entreprise aux risques d’atteinte à la probité.
Les 8 piliers de la loi Sapin 2 : une logique en trois temps
Les huit mesures prévues par l’article 17 ont chacune une fonction propre, mais elles prennent tout leur sens lorsqu’elles sont envisagées comme les différentes étapes d’un même dispositif.
Pour faciliter leur compréhension, elles peuvent être regroupées autour de trois objectifs : identifier et prévenir les risques, agir et réagir lorsqu’une situation se présente, puis évaluer et actualiser les mesures mises en place.
Identifier et prévenir : connaître ses risques et poser les règles
La prévention commence par la connaissance des situations auxquelles l’entreprise est réellement exposée. La cartographie des risques permet d’identifier et de hiérarchiser les scénarios d’atteinte à la probité susceptibles de se présenter dans le cadre de son activité.
Cette analyse doit ensuite se traduire dans les pratiques quotidiennes. Le code de conduite précise les comportements attendus et ceux qui sont interdits ou à risque.
La formation des collaborateurs concernés leur permet de comprendre ces règles et de savoir comment les appliquer face à des situations concrètes.
Enfin, l’évaluation des tiers étend cette démarche aux personnes et organisations avec lesquelles l’entreprise entretient une relation d’affaires.
Ces quatre mesures sont donc complémentaires :
- la cartographie identifie les risques ;
- le code de conduite fixe les règles ;
- la formation permet de les comprendre et de les appliquer ;
- l’évaluation des tiers permet d’apprécier les risques liés aux partenaires de l’entreprise.
Prenons l’exemple d’une société qui fait régulièrement appel à des intermédiaires pour développer son activité dans des pays où elle entretient des relations avec des acteurs publics. La cartographie peut faire ressortir un risque particulier lié à ces intermédiaires. L’entreprise peut alors prévoir des règles spécifiques dans son code de conduite, former les collaborateurs qui sélectionnent ou supervisent ces partenaires et renforcer leur évaluation avant et pendant la relation d’affaires.
La prévention ne consiste donc pas à appliquer quatre mesures séparément : elle transforme l’analyse des risques en règles et en pratiques opérationnelles.
Agir et réagir : détecter, traiter et sanctionner
Même un dispositif préventif bien construit ne permet pas d’écarter tous les risques. L’entreprise doit également être capable de détecter une situation problématique, de l’analyser et, lorsqu’une violation est établie, d’y apporter une réponse appropriée.
Trois mesures jouent ici des rôles distincts : le dispositif d’alerte interne, les enquêtes internes anticorruption et le régime disciplinaire.
- Le dispositif d’alerte offre un canal permettant de faire remonter des faits ou comportements susceptibles de constituer une atteinte à la probité.
- Les contrôles comptables et enquêtes internes, quant à eux, permettent de repérer des anomalies dans certains flux financiers pouvant nécessiter des vérifications complémentaires.
- Le régime disciplinaire intervient ensuite lorsqu’un collaborateur enfreint les règles applicables et que les conditions d’une sanction sont réunies.
Cette articulation peut être illustrée simplement. Une anomalie relevée dans une opération financière peut conduire à des vérifications. Un signalement peut faire émerger des faits qui n’auraient pas été détectés par les contrôles habituels. Si une violation du code de conduite est finalement établie, l’entreprise doit pouvoir appliquer les mesures prévues par son régime disciplinaire.
L’objectif n’est pas de considérer chaque anomalie ou signalement comme la preuve d’un comportement illicite. Il s’agit de disposer de mécanismes permettant de détecter, qualifier et traiter les situations qui le nécessitent, tout en conservant une traçabilité suffisante des actions réalisées.
Évaluer et actualiser : vérifier que le dispositif fonctionne réellement
Le huitième pilier, consacré au contrôle et à l’évaluation interne des mesures mises en œuvre, permet de fermer la boucle. Un dispositif anticorruption ne peut pas rester identique alors que l’entreprise, ses activités et son exposition aux risques évoluent.
L’évaluation interne doit notamment permettre de vérifier que les mesures prévues sont effectivement appliquées et qu’elles restent adaptées aux risques identifiés. Elle peut mettre en évidence une procédure mal comprise, un contrôle insuffisant ou, au contraire, une mesure devenue disproportionnée par rapport au niveau de risque.
Les enseignements tirés de cette évaluation doivent ensuite alimenter l’évolution du dispositif. Une difficulté rencontrée lors de l’évaluation d’un tiers peut conduire à modifier la procédure correspondante. Une anomalie comptable récurrente peut justifier le renforcement d’un contrôle. Une alerte peut révéler un scénario de risque absent de la cartographie.
On retrouve ainsi une véritable boucle d’amélioration : identifier les risques → prévenir → détecter → traiter → évaluer → actualiser.
Cette logique permet de comprendre pourquoi les huit piliers de la loi Sapin 2 ne constituent pas une simple liste de documents ou de procédures à produire. Leur cohérence et leur capacité à fonctionner ensemble déterminent en grande partie l’efficacité réelle du dispositif de prévention des atteintes à la probité.
Piloter un dispositif Sapin 2 : le mode opératoire
La mise en place des huit mesures ne suffit pas à garantir leur efficacité. Un dispositif anticorruption doit également être piloté dans la durée : les responsabilités doivent être comprises, les informations utiles doivent circuler et l’entreprise doit être capable de vérifier que les mesures prévues produisent réellement les effets attendus.
Le pilotage ne consiste donc pas à multiplier les réunions ou les indicateurs. Il s’agit surtout de disposer d’une organisation permettant de savoir qui fait quoi, quelles informations doivent remonter et comment décider d’une action corrective.
Définir les responsabilités et les circuits de décision
Le bon fonctionnement du dispositif suppose que les responsabilités soient identifiées au-delà de la seule direction ou du responsable conformité. Chaque mesure peut en effet mobiliser des interlocuteurs différents : ressources humaines pour la formation et le régime disciplinaire, achats pour l’évaluation des tiers, direction financière pour certains contrôles comptables, juridique ou conformité pour les procédures et le suivi des alertes.
L’enjeu est surtout d’éviter les zones grises. Pour chaque processus sensible, l’entreprise doit pouvoir déterminer :
- qui est chargé de réaliser l’action ;
- qui la valide lorsque cela est nécessaire ;
- qui doit être informé en cas d’anomalie ;
- qui décide des suites à donner.
Une matrice de responsabilités peut être utile pour formaliser cette organisation sans créer une procédure supplémentaire particulièrement lourde.
Prenons l’exemple d’un problème identifié lors de l’évaluation d’un intermédiaire. Le service achats peut être chargé du référencement, mais il doit savoir à quel interlocuteur transmettre une difficulté concernant l’intégrité du tiers et qui est habilité à décider de poursuivre, suspendre ou refuser la relation.
Cette répartition doit également tenir compte de la taille de l’entreprise. Dans une PME, plusieurs fonctions peuvent être exercées par une même personne. Cela ne pose pas nécessairement problème, à condition que les responsabilités soient clairement définies et que les situations présentant un risque de conflit d’intérêts soient correctement gérées.
Faire circuler les informations utiles entre les différentes mesures
Le pilotage devient réellement utile lorsque les informations produites par les différentes composantes du dispositif peuvent être exploitées pour prendre des décisions.
Il ne s’agit pas de faire communiquer systématiquement tous les services entre eux, mais d’identifier les informations susceptibles de modifier l’appréciation d’un risque ou le fonctionnement d’une mesure, comme :
- une difficulté récurrente lors de l’évaluation des tiers peut révéler un risque insuffisamment pris en compte ;
- une anomalie comptable peut justifier une vérification d’une procédure existante ;
- un signalement peut faire apparaître une situation non prévue dans le code de conduite ;
- un contrôle interne peut mettre en évidence un besoin de formation supplémentaire.
Cette circulation de l’information permet d’éviter que chaque mesure fonctionne en vase clos. Elle doit toutefois respecter les règles applicables à la confidentialité des informations, notamment lorsqu’il s’agit de signalements ou d’investigations internes.
Bon à savoir : il n’est pas nécessaire de créer une base de données complexe pour assurer ce suivi. Un registre des actions correctives ou un tableau de pilotage partagé peut suffire dans une organisation de taille limitée, dès lors que les informations importantes sont documentées, actualisées et accessibles aux personnes habilitées.
Mesurer l’efficacité du dispositif plutôt que son existence
Le nombre de procédures rédigées ou de collaborateurs formés ne permet pas, à lui seul, de déterminer si le dispositif fonctionne. Le pilotage doit également s’intéresser à son efficacité réelle.
Quelques indicateurs peuvent apporter des informations utiles, à condition d’être interprétés dans leur contexte :
- proportion de collaborateurs concernés ayant suivi la formation prévue ;
- nombre et nature des contrôles réalisés ;
- anomalies détectées et actions correctives engagées ;
- délais de traitement des actions correctives ;
- nombre de tiers réévalués selon les échéances prévues ;
- évolution des risques identifiés dans la cartographie.
Attention toutefois à ne pas transformer ces indicateurs en objectifs mécaniques. Une hausse du nombre d’alertes, par exemple, ne signifie pas nécessairement que le dispositif se dégrade. Elle peut, au contraire, traduire une meilleure connaissance du dispositif d’alerte par les collaborateurs.
L’intérêt de ces données est surtout de permettre à la direction de repérer les tendances et de poser les bonnes questions : une procédure est-elle réellement appliquée ? Une faiblesse revient-elle régulièrement ? Les actions correctives sont-elles effectivement clôturées ?
Le pilotage consiste finalement moins à démontrer que l’entreprise possède les huit mesures qu’à être capable d’expliquer comment elle sait qu’elles fonctionnent et ce qu’elle fait lorsqu’elles ne fonctionnent pas suffisamment.
Construire un dispositif Sapin 2 proportionné à son entreprise
Les huit piliers de la loi Sapin 2 donnent une structure commune, mais ils ne conduisent pas à appliquer exactement les mêmes procédures dans toutes les entreprises. La proportionnalité consiste donc à adapter le niveau de formalisation, la fréquence des contrôles et les moyens consacrés à chaque mesure aux risques effectivement rencontrés.
Adapter les mesures à la taille et à l’exposition aux risques
La première étape consiste à éviter une approche uniforme. Toutes les activités, tous les collaborateurs et tous les tiers ne présentent pas le même niveau d’exposition aux atteintes à la probité.
Une entreprise peut notamment tenir compte :
- de son secteur et de ses marchés ;
- de son implantation géographique ;
- de ses relations avec des acteurs publics ;
- du recours à des intermédiaires ou partenaires commerciaux ;
- de la complexité de ses opérations ;
- de la nature des fonctions exercées par ses collaborateurs.
Cette analyse doit ensuite entraîner des conséquences concrètes sur le dispositif. Un collaborateur qui négocie régulièrement avec des décideurs publics n’aura pas nécessairement les mêmes besoins de formation qu’un salarié sans contact avec des tiers externes.
De même, un intermédiaire intervenant dans une opération particulièrement exposée peut justifier des vérifications plus poussées qu’un fournisseur courant.
Conseil pratique : pour chaque mesure, posez-vous trois questions : qui est réellement exposé ? À quel risque ? Et quel niveau de maîtrise est nécessaire ? Cela permet d’éviter de déployer des mesures trop lourdes auprès de populations ou de situations peu exposées.
La proportionnalité concerne également les moyens consacrés au dispositif. Une petite structure peut centraliser certaines responsabilités et utiliser des outils simples de suivi, tandis qu’un groupe devra généralement formaliser davantage les circuits de validation et le reporting.
Éviter le dispositif documentaire déconnecté du terrain
Un dispositif peut être particulièrement complet sur le papier tout en étant difficilement applicable au quotidien. C’est notamment le cas lorsque les procédures sont trop longues, que les responsabilités sont floues ou que les contrôles prévus ne correspondent pas aux pratiques réelles.
Pour chaque mesure, il est donc utile de vérifier régulièrement trois éléments :
- La règle est-elle compréhensible ?
- La personne chargée de l’appliquer sait-elle concrètement quoi faire ?
- L’entreprise peut-elle démontrer que la mesure est effectivement appliquée ?
Prenons une procédure d’évaluation des tiers prévoyant une dizaine de vérifications. Si aucun service ne dispose du temps ou des informations nécessaires pour les réaliser, la procédure restera théorique. Il peut être préférable de distinguer les vérifications systématiques des contrôles complémentaires déclenchés lorsque le niveau de risque le justifie.
Conseil pratique : faites tester les procédures par les personnes qui devront réellement les appliquer. Un acheteur, un comptable ou un commercial doit pouvoir comprendre rapidement ce qu’il doit vérifier, à quel moment et vers qui se tourner en cas de difficulté. Le retour du terrain permet souvent d’identifier des exigences irréalistes avant qu’elles ne deviennent un problème.
La même logique vaut pour le code de conduite, les formations ou les contrôles. Une règle utile est une règle que les collaborateurs peuvent appliquer sans devoir interpréter seuls chaque situation.
Enfin, la proportionnalité ne doit pas devenir un prétexte pour réduire artificiellement le dispositif. Elle consiste à adapter les moyens aux risques, pas à supprimer les mesures qui paraissent difficiles à mettre en œuvre. Pour une entreprise assujettie à l’article 17, les huit piliers restent le socle du dispositif. C’est leur niveau de déploiement et leurs modalités pratiques qui peuvent être adaptés à la réalité de l’organisation.
Faire vivre le dispositif anticorruption dans le temps en pratique
Un dispositif Sapin 2 n’est pas un ensemble de documents à rédiger une fois pour toutes. L’activité de l’entreprise évolue, ses partenaires changent, de nouveaux marchés peuvent être ouverts et des incidents peuvent révéler des risques qui n’avaient pas été identifiés. Le dispositif doit donc pouvoir évoluer avec elle.
Déclencher une mise à jour à partir d’événements concrets
La mise à jour ne doit pas nécessairement attendre une échéance annuelle. Certains événements doivent conduire à se demander si les mesures existantes restent adaptées.
C’est notamment le cas lors :
- d’une entrée sur un nouveau marché ou dans une nouvelle zone géographique ;
- d’une acquisition, fusion ou réorganisation importante ;
- du lancement d’une nouvelle activité ;
- du recours à un nouveau type d’intermédiaire ou de partenaire ;
- d’une modification significative de l’entreprise ;
- d’un incident ou d’une alerte révélant une faiblesse du dispositif.
Conseil pratique : plutôt que de prévoir uniquement une revue annuelle, définissez quelques événements déclencheurs qui imposent une réévaluation. La mise à jour devient ainsi une conséquence naturelle de la vie de l’entreprise et non un exercice administratif supplémentaire.
Conserver la trace des évolutions et des actions correctives
Faire évoluer le dispositif suppose également de pouvoir comprendre ce qui a changé et pourquoi. La traçabilité permet de conserver l’historique des décisions prises et de vérifier que les faiblesses identifiées ont effectivement donné lieu à des actions.
Il peut être utile de conserver dans un même outil de suivi :
- le point de départ ou le constat réalisé ;
- le risque ou la faiblesse identifiée ;
- l’action corrective décidée ;
- la personne responsable ;
- l’échéance prévue ;
- la date de réalisation ;
- le résultat du contrôle effectué après correction.
Ce suivi permet notamment d’éviter qu’une recommandation issue d’un contrôle, d’une alerte ou d’une évaluation interne reste sans suite.
Bon à savoir : la traçabilité ne signifie pas nécessairement produire davantage de documents. Un tableau de suivi correctement renseigné peut être plus utile qu’une succession de comptes rendus difficiles à exploiter.
Transformer les retours d’expérience en amélioration du dispositif
La meilleure manière de faire vivre le dispositif consiste enfin à exploiter les situations réellement rencontrées. Une difficulté lors de l’évaluation d’un tiers, une question récurrente posée par les collaborateurs ou une anomalie détectée lors d’un contrôle peuvent révéler un besoin d’adaptation.
Le retour d’expérience peut conduire à :
- préciser une règle du code de conduite ;
- modifier une procédure ;
- compléter une formation ;
- renforcer un contrôle ;
- ajouter un scénario à la cartographie des risques ;
- revoir les critères utilisés pour évaluer certaines situations.
Cette démarche permet de passer d’un dispositif simplement conforme à un dispositif capable d’apprendre de son propre fonctionnement.
En définitive, les huit mesures de l’article 17 ne doivent pas être envisagées comme huit obligations indépendantes. Elles constituent le socle d’un dispositif destiné à prévenir et détecter les atteintes à la probité, mais aussi à permettre à l’entreprise de réagir lorsqu’un risque se concrétise. L’enjeu, pour une entreprise, est donc moins de pouvoir présenter huit documents que de démontrer que ces mesures correspondent à ses risques, qu’elles sont réellement appliquées et qu’elles évoluent lorsque son environnement change. C’est cette capacité d’adaptation qui donne au dispositif Sapin 2 sa véritable portée opérationnelle.
