L’application des contrôles anticorruption de l’AFA ne se limite pas à vérifier que l’entreprise possède les huit mesures prévues par l’article 17 de la loi Sapin 2. L’Agence Française Anticorruption cherche à apprécier leur existence, mais surtout leur qualité et leur efficacité.
Pour une entreprise, se préparer à un contrôle consiste donc moins à constituer précipitamment un dossier qu’à vérifier qu’elle peut expliquer son dispositif, démontrer sa mise en œuvre et produire les éléments permettant d’en attester.
Cette préparation permet aussi d’identifier les faiblesses qui peuvent encore être corrigées avant le contrôle. On vous explique comment vous préparer.
Contrôle conformité Sapin 2 AFA : que faut-il être capable de démontrer ?
L’article 17 de la loi Sapin impose huit mesures et procédures destinées à prévenir et détecter les faits de corruption et de trafic d’influence. L’AFA (Agence Française Anticorruption) ne s’intéresse toutefois pas uniquement à leur existence formelle : son contrôle porte également sur leur qualité et leur efficacité.
L’existence des mesures ne suffit pas
Une procédure anticorruption rangée dans un dossier ou un code de conduite signé ne permet pas de démontrer que le dispositif fonctionne. L’entreprise doit pouvoir montrer comment les mesures sont effectivement déployées.
Pour une formation, cela peut passer par les supports utilisés et les éléments attestant de la participation des personnes concernées. Pour l’évaluation des tiers, il peut s’agir de dossiers effectivement examinés et de traces des décisions prises. Pour les contrôles, les plans de contrôle et leurs résultats permettent de matérialiser leur réalisation.
Le questionnaire utilisé par l’AFA pour les entités assujetties à l’article 17 demande d’ailleurs des éléments concrets sur la mise en œuvre du dispositif, notamment les modalités de contrôle et leurs résultats.
Conseil pratique : pour chacune des huit mesures, posez-vous une question simple : « Si je devais démontrer demain que cette mesure fonctionne, quelle preuve pourrais-je présenter ? ». Si la réponse se limite à la simple existence d’une procédure, alors, il existe probablement un point à examiner.
Vérifier la cohérence entre les risques et les mesures mises en place
L’AFA ne regarde pas nécessairement chaque mesure indépendamment. Elle apprécie surtout la cohérence entre les risques auxquels l’entreprise est exposée et la manière dont elle les maîtrise.
Une entreprise identifiant dans sa cartographie une exposition particulière aux intermédiaires commerciaux doit ainsi pouvoir expliquer comment ce risque est pris en compte dans l’évaluation des tiers, la formation des collaborateurs concernés ou les contrôles réalisés.
À l’inverse, une cartographie faisant apparaître un risque élevé alors qu’aucune mesure spécifique ne semble avoir été prévue mérite d’être réexaminée.
Bon à savoir : avant un contrôle, il peut être utile de sélectionner quelques risques importants de la cartographie et de vérifier leur traduction concrète dans le reste du dispositif. Cette approche permet de repérer rapidement les incohérences sans devoir relire l’intégralité de chaque procédure.
Être capable de produire des éléments probants
La preuve de la conformité ne repose pas sur un document unique. Elle se construit à partir des traces laissées par le fonctionnement quotidien du dispositif : versions des documents, validations, formations réalisées, contrôles effectués, décisions prises ou actions correctives mises en œuvre.
L’objectif n’est pas de conserver systématiquement tous les documents produits par l’entreprise. Il faut surtout pouvoir retrouver les éléments pertinents et établir leur contexte : quoi, quand, par qui et avec quel résultat.
Cette logique est particulièrement importante pour le contrôle et l’évaluation interne. Les recommandations de l’AFA prévoient notamment que les contrôles permettent de vérifier la mise en œuvre et l’efficacité des mesures, d’identifier les manquements et de définir, si nécessaire, des actions correctives.
Comment réaliser un diagnostic avant un contrôle anticorruption AFA ?
Un diagnostic préalable permet de prendre de la hauteur avant qu’un contrôleur ne le fasse à la place de l’entreprise. Il ne s’agit pas de reproduire le contrôle de l’AFA, mais de rechercher les principaux écarts entre le dispositif prévu et sa mise en œuvre réelle.
Examiner les huit mesures comme un contrôleur
Une première revue peut être réalisée à partir des huit mesures prévues par l’article 17 :
Pour chacune, trois niveaux peuvent être distingués :
- la formalisation : la mesure est-elle définie et à jour ? ;
- le déploiement : est-elle réellement appliquée ? ;
- la preuve : peut-on démontrer sa mise en œuvre et ses résultats ?
Cette grille évite de confondre mesure existante et mesure effective.
Conseil pratique : faites réaliser cette revue par une personne qui n’est pas directement responsable de toutes les mesures. Un regard extérieur permet plus facilement de repérer une procédure théorique, une responsabilité mal définie ou une preuve impossible à retrouver.
Identifier les écarts entre conformité formelle et pratique
Le diagnostic doit ensuite confronter les documents aux pratiques réelles. C’est souvent à ce stade que les faiblesses les plus intéressantes apparaissent.
Une procédure peut prévoir une validation préalable alors que, dans la pratique, les dossiers sont validés après la décision. Une formation peut être obligatoire pour une population donnée alors que les nouveaux arrivants ne sont pas systématiquement intégrés au dispositif. Un contrôle peut être prévu chaque année, mais ne laisser aucune trace permettant de vérifier qu’il a effectivement été réalisé.
Ces écarts ne signifient pas nécessairement que l’ensemble du dispositif est défaillant. Ils permettent surtout de distinguer les corrections prioritaires des simples ajustements documentaires.
Posez-vous quelques questions pour vous aider à vérifier :
- les procédures correspondent-elles aux pratiques réellement observées ? ;
- les responsabilités prévues sont-elles encore celles exercées ? ;
- les contrôles annoncés ont-ils effectivement été réalisés ? ;
- les actions correctives précédentes ont-elles été clôturées ? ;
- les documents disponibles sont-ils suffisamment récents pour refléter la situation actuelle ?
Prioriser les corrections avant le contrôle
Tous les écarts identifiés ne justifient pas la même réaction. Une erreur de version dans un document n’a pas la même portée qu’une mesure essentielle qui n’est jamais appliquée.
Le diagnostic doit donc déboucher sur un plan d’action simple avec pour chaque correction :
- le problème constaté ;
- son niveau de priorité ;
- la personne responsable ;
- l’action à réaliser ;
- l’échéance ;
- l’élément permettant de vérifier que la correction est effective.
Conseil pratique : ne cherchez pas à tout corriger simultanément. Commencez par les écarts qui touchent directement les risques les plus importants ou qui révèlent une absence réelle de maîtrise. Une correction effectivement mise en œuvre vaut mieux qu’une dizaine d’actions annoncées, mais non terminées.
Comment organiser les documents et les preuves utiles ?
Une préparation efficace ne consiste pas à accumuler des centaines de fichiers en prévision du contrôle. L’objectif est plutôt de pouvoir retrouver rapidement les éléments qui démontrent la mise en œuvre du dispositif et d’en expliquer le contexte.
Constituer un dossier de preuves par mesure
Un classement simple peut être organisé autour des huit mesures de l’article 17. Pour chaque mesure, conservez les documents de référence et quelques éléments permettant d’en démontrer l’application effective, par exemple :
- pour une formation : le programme, les supports, la population concernée et les éléments attestant de sa réalisation ;
- pour une évaluation de tiers : la méthode utilisée, les critères appliqués et des dossiers représentatifs ;
- pour un contrôle : le plan de contrôle, les travaux réalisés, les résultats et les éventuelles actions correctives.
Cette organisation facilite également les demandes de pièces susceptibles d’intervenir au cours du contrôle. L’AFA peut en effet demander tout document professionnel ou toute information utile à ses opérations de contrôle.
Conseil pratique : nommez les documents de manière homogène et indiquez leur date ou leur période de validité. Évitez notamment les dossiers intitulés « version finale », « nouveau code » ou « procédure définitive » sans date, car quelques mois plus tard, il devient difficile de déterminer quel document était réellement applicable.
Vérifier la traçabilité des actions réalisées
Une preuve utile ne se limite pas au document qui décrit ce qui devrait être fait. Elle permet aussi de démontrer ce qui a effectivement été fait.
Pour chaque mesure, recherchez donc les traces correspondant à son fonctionnement : validations, contrôles réalisés, formations dispensées, décisions prises, résultats obtenus ou actions correctives engagées.
Cette vérification permet parfois de repérer un problème avant le contrôle. Une procédure peut être parfaitement rédigée alors qu’aucune trace ne permet de démontrer son application.
L’AFA recommande elle-même que les contrôles soient formalisés et que les pièces afférentes soient conservées.
Bon à savoir : il n’est pas nécessaire de conserver une quantité illimitée de documents. Gardez ce qui permet de démontrer qu’une mesure a été appliquée sur une période donnée et les éléments permettant de le faire. Autrement dit, pas de collecte documentaire inutile. C’est le meilleur moyen pour repérer des manquements.
Comment préparer les équipes et les responsables concernés ?
Un contrôle ne se prépare pas uniquement dans les dossiers de la fonction conformité. Les opérations de contrôle de l’AFA peuvent comprendre des entretiens et des demandes d’informations complémentaires.
Identifier les interlocuteurs susceptibles d’être sollicités
Commencez par identifier les personnes qui connaissent réellement les différentes composantes du dispositif : direction, conformité, ressources humaines, achats, finance, juridique ou contrôle interne selon l’organisation.
L’objectif n’est pas de désigner une personne qui répondra à toutes les questions. Il faut plutôt savoir vers qui se tourner lorsqu’une question concerne un processus précis.
Une PME pourra par exemple avoir un référent centralisant les échanges avec l’AFA, tandis qu’un groupe devra identifier plusieurs interlocuteurs capables de présenter les pratiques de leur périmètre.
La désignation d’un représentant chargé d’organiser les échanges avec l’AFA fait d’ailleurs partie des modalités prévues pour les contrôles.
Préparer les collaborateurs aux questions de terrain
Il ne s’agit surtout pas de préparer des réponses parfaites ou mensongères ni de demander aux salariés de réciter les procédures. L’objectif est de vérifier que les pratiques réelles correspondent au dispositif présenté.
Un collaborateur chargé des achats doit, par exemple, savoir expliquer comment il évalue un tiers présentant un niveau de risque particulier. Un responsable financier doit pouvoir décrire les contrôles qu’il réalise réellement. Un manager doit savoir vers quel canal orienter un collaborateur souhaitant effectuer un signalement.
Conseil pratique : organisez quelques entretiens à blanc avec des collaborateurs différents de ceux qui ont conçu les procédures. Demandez-leur simplement ce qu’ils font dans une situation X. Si leur réponse ne correspond pas au processus formalisé, vous avez identifié un point à corriger.
Vérifier que les pratiques correspondent aux procédures
Cette étape permet de rapprocher les deux réalités : ce que l’entreprise dit faire et ce qu’elle fait effectivement.
Une divergence n’est pas nécessairement problématique en soi. Elle peut révéler une procédure devenue obsolète, une évolution de l’organisation ou une règle trop complexe pour être appliquée correctement. Mais elle doit être identifiée et expliquée.
Le diagnostic préalable peut donc inclure quelques tests simples : sélectionner plusieurs dossiers récents, demander aux personnes concernées de décrire leur pratique et comparer leurs réponses avec les procédures applicables.
L’objectif est d’arriver au contrôle avec un dispositif cohérent, compréhensible et démontrable, plutôt qu’avec des documents préparés spécialement pour l’occasion.
Notre checklist de préparation à un contrôle anticorruption de l’AFA
Avant le contrôle, vérifiez point par point que vous pouvez répondre oui, partiellement ou non à chacune des questions suivantes.
1. Vérifier la cohérence générale du dispositif
☐ Le périmètre des entités et activités concernées par le dispositif anticorruption est clairement défini.
☐ Les responsabilités de chacun sont identifiées et toujours d’actualité.
☐ Les documents du dispositif correspondent à l’organisation actuelle de l’entreprise.
☐ Les mesures mises en place répondent bien aux risques identifiés dans la cartographie.
☐ Les éventuelles évolutions récentes de l’activité ont été prises en compte.
☐ Les incohérences entre les différentes procédures ou documents ont été corrigées.
2. Vérifier chaque mesure du dispositif
Pour chacune des huit mesures prévues par l’article 17 de la loi Sapin 2 :
☐ La mesure est formalisée lorsque cela est nécessaire.
☐ Le document applicable est à jour et identifiable par sa date ou sa version.
☐ Les personnes concernées savent ce qu’elles doivent faire.
☐ La mesure est effectivement appliquée dans les opérations courantes.
☐ Des éléments permettent de démontrer cette mise en œuvre.
☐ Les éventuels contrôles réalisés sur cette mesure sont documentés.
☐ Les anomalies détectées ont fait l’objet d’une action corrective lorsque nécessaire.
Point d’attention : une procédure ne constitue donc pas, à elle seule, une preuve de conformité. Pour chaque mesure, cherchez au moins un exemple récent permettant de démontrer son application réelle.
3. Tester la traçabilité
Pour plusieurs opérations récentes et représentatives :
☐ Pouvez-vous retrouver rapidement les documents ayant servi à prendre la décision ?
☐ La personne ayant effectué ou validé l’opération peut-elle être identifiée ?
☐ La date de l’action ou du contrôle est-elle identifiable ?
☐ Le résultat du contrôle est-il conservé ?
☐ Les éventuelles anomalies et décisions prises sont-elles documentées ?
☐ Les actions correctives peuvent-elles être suivies jusqu’à leur clôture ?
L’objectif n’est pas de constituer artificiellement un dossier pour l’AFA, mais de vérifier que le fonctionnement habituel du dispositif laisse suffisamment de traces pour être démontré.
4. Tester le dispositif avec les équipes
Interrogez quelques collaborateurs directement concernés, sans leur fournir les réponses à l’avance :
☐ Savent-ils identifier les situations présentant un risque de corruption ou d’atteinte à la probité ?
☐ Savent-ils quelles règles appliquer dans leur activité ?
☐ Savent-ils à qui s’adresser en cas de difficulté ?
☐ Connaissent-ils le dispositif d’alerte interne ?
☐ Les responsables opérationnels savent-ils expliquer les contrôles relevant de leur périmètre ?
☐ Les réponses données correspondent-elles aux procédures écrites ?
Test particulièrement révélateur : demandez simplement « Que faites-vous si vous êtes confronté à cette situation ? » plutôt que « Connaissez-vous la procédure ? ». La première question permet de vérifier l’appropriation réelle du dispositif.
5. Vérifier les preuves disponibles
Pour chaque mesure, identifiez à l’avance les documents que vous pourriez présenter :
☐ document de référence applicable ;
☐ éléments démontrant sa diffusion ;
☐ exemples récents de mise en œuvre ;
☐ résultats des contrôles ou évaluations ;
☐ anomalies éventuellement détectées ;
☐ actions correctives et éléments attestant de leur réalisation.
Bon à savoir : il vaut mieux disposer de quelques dossiers représentatifs, complets et facilement accessibles que d’un volume considérable de documents dont personne ne sait précisément ce qu’ils démontrent.
6. Vérifier la capacité de l’entreprise à répondre aux demandes
☐ Un interlocuteur est identifié pour coordonner les échanges avec l’AFA.
☐ Les responsables des différentes mesures savent qu’ils peuvent être sollicités.
☐ Les documents peuvent être retrouvés sans délai excessif.
☐ Les versions historiques importantes peuvent être distinguées des documents actuellement applicables.
☐ Les personnes susceptibles d’être interrogées connaissent leur périmètre de responsabilité.
☐ L’entreprise sait expliquer les choix effectués dans son dispositif, notamment lorsqu’elle a retenu une approche proportionnée à ses risques.
7. Faire un dernier test « comme si le contrôle avait lieu demain »
Prenez enfin quelques mesures au hasard et demandez-vous :
« Si l’AFA me demande demain de démontrer que cette mesure fonctionne, puis-je expliquer ce qui est prévu, montrer comment c’est appliqué et produire une preuve de son efficacité ? »
Si la réponse est non, le problème mérite d’être examiné. Si elle est partielle, identifiez précisément ce qui manque. Si la réponse est oui, vérifiez que cette capacité ne repose pas uniquement sur une personne : le dispositif doit pouvoir continuer à fonctionner et être documenté même en cas de changement d’interlocuteur.
Cette dernière vérification est probablement la plus intéressante à conserver comme auto-contrôle périodique, plutôt que comme simple préparation ponctuelle à un contrôle de l’AFA.
Se préparer à un contrôle AFA revient finalement à se poser la même question que le contrôleur : le dispositif anticorruption permet-il réellement de prévenir et détecter les atteintes à la probité auxquelles l’entreprise est exposée ? La réponse ne se trouve pas uniquement dans les procédures, mais dans leur cohérence, leur application, leur compréhension et les preuves de leur efficacité. C’est cette capacité à relier risques, mesures et pratiques qui transforme la conformité en véritable outil de maîtrise des risques. Un contrôle à blanc peut ainsi devenir un outil de pilotage.