La loi Sapin 2, promulguée en décembre 2016, impose aux entreprises soumises à son champ d’application de mettre en place un programme de prévention et de détection de la corruption. Deux seuils principaux déterminent l’assujettissement : 500 salariés et 100 millions d’euros de chiffre d’affaires. Pour savoir si votre groupe est concerné, il est essentiel d’appliquer ces seuils sur une base consolidée et d’opter pour une méthode de calcul documentée conformément aux règles du code de commerce et aux pratiques d’audit.
Comment vérifier le périmètre d’assujettissement
Le calcul doit reposer sur les comptes consolidés du groupe. Concrètement, vous devez :
- Rassembler les états de consolidation (balance consolidée, annexes, périmètre) pour les trois derniers exercices disponibles, afin d’apprécier la permanence du seuil.
- Inclure les filiales contrôlées selon les règles d’intégration (intégration globale, proportionnelle, mise en équivalence le cas échéant) pour le calcul de l’effectif consolidé et du chiffre d’affaires consolidé.
- Documenter la méthodologie retenue (périmètre, conversion des devises, règles d’exclusion éventuelle) et conserver les pièces justificatives (rapports d’audit, états de paie, annexes aux comptes).
Pour les groupes multinationales, l’intégration des filiales étrangères suit les mêmes règles comptables : l’existence d’un lien de contrôle ou d’un pouvoir effectif entraîne l’inclusion des effectifs et du chiffre d’affaires dans le périmètre consolidé. Les cas particuliers (associations, entités avec liens contractuels forts mais sans contrôle juridique) nécessitent une analyse au cas par cas et une formalisation du raisonnement.
Les obligations prévues par l’article 17 : éléments obligatoires du programme
L’article 17 impose la mise en place d’un dispositif structuré. Les éléments que l’Agence française anticorruption (AFA) et la doctrine attendent sont les suivants :
- Un code de conduite anti-corruption, repris dans les pratiques et signé par la direction.
- Une cartographie des risques détaillée, actualisée et datée, identifiant processus, fonctions, zones géographiques et tiers à risque.
- Des procédures de contrôle interne et des dispositifs comptables visant à prévenir et détecter les faits de corruption ou de trafic d’influence.
- Une procédure d’évaluation et de due diligence des tiers (fournisseurs, agents, intermédiaires), incluant vérification de l’UBO, scoring de risque et dossier décisionnel.
- Un dispositif d’alerte interne sécurisé permettant le signalement confidentiel, la protection du lanceur d’alerte et la traçabilité des investigations.
- Un programme de formation adapté aux différents publics (direction, commerciaux, fonctions achats, filiales à risque) et des attestations de suivi horodatées.
- Des procédures disciplinaires et contractuelles visant la sanction des manquements et la résiliation de relations avec des tiers à risque non remédiés.
- Une gouvernance claire (référent compliance, comité de supervision, reporting au conseil) et un suivi périodique du dispositif.
Livrables et preuves attendues en cas de contrôle
La conformité ne repose pas sur l’existence d’actions isolées mais sur la capacité à démontrer, par des preuves horodatées et traçables, la mise en œuvre effective du dispositif. Les livrables à conserver sont notamment :
- La cartographie des risques datée avec plan d’actions et indicateurs de suivi.
- Les politiques et procédures signées (code de conduite, politique cadeaux, politique de conflits d’intérêts, procédure d’alerte).
- Les listes de participants aux formations, modules suivis et attestations de compréhension.
- Les rapports de due diligence tiers (rapports de KYC, scoring, décision et archivage des pièces justificatives).
- Les journaux d’alerte et comptes rendus d’enquête interne, mesures prises et mesures de protection du lanceur.
- Les tests de contrôles et les revues internes (résultats d’audits, plan de remédiation et preuves d’exécution).
- Les procès-verbaux de gouvernance et reporting au comité/directoire/conseil d’administration montrant le suivi régulier du dispositif.
Mise en œuvre pratique et calendrier recommandé
Pour un groupe soumis à la loi, il est recommandé d’initialiser le projet de conformité avec un périmètre pilote et de le déployer selon un calendrier pragmatique :
- Nommer un responsable compliance et établir la gouvernance (1er mois).
- Réaliser la cartographie des risques et prioriser les processus et pays (mois 1–3).
- Élaborer ou adapter les politiques clés et le code de conduite (mois 2–4).
- Déployer le dispositif d’alerte et initier la due diligence tiers sur les relations à risque élevé (mois 3–6).
- Lancer les formations prioritaires, puis étendre à l’ensemble des populations concernées (mois 4–12).
- Mettre en place les contrôles comptables et les tests périodiques, puis documenter les résultats (continu après mois 6).
Points particuliers : filiales étrangères, protection des données et preuve d’efficacité
Les adaptations locales sont nécessaires : tenir compte des contraintes de droit local (conflits entre obligations locales et françaises) et du RGPD pour le traitement des alertes. Les filiales doivent appliquer les principes essentiels du programme, avec une adaptation proportionnée aux risques locaux. Enfin, la preuve d’efficacité repose sur des indicateurs (nombre d’alertes traitées, délais de traitement, avancement des plans de remédiation) et sur la capacité des commissaires aux comptes ou de l’AFA à constater la réalité opérationnelle du dispositif.
En synthèse, la conformité Sapin 2 exige à la fois une approche méthodique pour déterminer l’assujettissement au niveau consolidé et un dispositif anticorruption complet, documenté et piloté. La clef du succès est la preuve : des politiques visibles, des actions datées et traçables, et un suivi gouvernance régulier permettant d’attester de l’efficacité du programme.
