La loi Sapin II organise notamment la prévention et la détection de la corruption. Pour une entreprise, la première étape consiste à vérifier l’assujettissement à l’article 17, puis à relier les huit mesures du programme aux risques, aux responsables et aux preuves de fonctionnement. La présence d’un code de conduite ne suffit pas à démontrer l’efficacité de l’ensemble.
Ce guide détaille le périmètre d’application de la loi, les huit piliers de conformité de la loi Sapin 2, les modalités pratiques de mise en œuvre et les sanctions encourues en cas de manquement.
Qu’est-ce que la loi Sapin II ?
La loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique poursuit trois objectifs principaux. Elle impose aux entreprises un dispositif de prévention et de détection de la corruption. Elle crée l’Agence Française Anticorruption (AFA) pour superviser ces dispositifs. Elle renforce la protection des lanceurs d’alerte, consolidée ensuite par la loi Waserman du 21 mars 2022.
Le programme anticorruption doit aussi respecter les règles applicables aux données personnelles utilisées dans les évaluations de tiers et les alertes. Cette articulation avec le RGPD ne signifie pas que les deux dispositifs ont les mêmes finalités ou les mêmes conditions d’application.
Quelles entreprises sont concernées ?
L’article 17, dans sa version en vigueur depuis le 15 juin 2025, combine pour les sociétés visées un effectif d’au moins 500 salariés et un chiffre d’affaires, ou chiffre d’affaires consolidé, supérieur à 100 millions d’euros. Il prévoit le cas d’appartenance à un groupe dont la société mère a son siège en France, ainsi que des dispositions pour certains établissements publics industriels et commerciaux et membres de directoire.
Le texte vise aussi les dirigeants des personnes morales exploitant les installations portuaires précisément désignées par le code des transports. Cette disposition ne permet pas d’affirmer que toute entreprise transportant des conteneurs est automatiquement concernée.
Analysez la consolidation et les sociétés contrôlées : le périmètre du programme peut dépasser la seule entité qui atteint les seuils. Les conditions de couverture des filiales par les mesures de la société qui les contrôle doivent être vérifiées. Hors article 17, les autres règles applicables, notamment pénales, restent à examiner.
Fiche d’assujettissement : exemple fictif
Une société française indépendante compte 510 salariés et réalise 120 millions d’euros de chiffre d’affaires. Dans cette hypothèse, les deux seuils de la règle générale sont réunis. L’équipe conserve les documents établissant les valeurs et identifie les dirigeants concernés. Elle ne se contente pas d’une estimation commerciale ou d’un organigramme non daté.
Une seconde société compte 200 salariés mais appartient à un groupe. Son effectif individuel ne permet pas, à lui seul, de conclure à l’absence d’obligation : il faut examiner la société mère, les valeurs du groupe, la consolidation et le contrôle. Le dossier doit expliquer cette analyse, même lorsque la conclusion est qu’un programme commun couvre l’entité.
| Champ | Pièce à conserver |
|---|---|
| Entité et dirigeants concernés | Identification juridique et responsabilités |
| Effectifs et chiffre d’affaires | Documents et période retenus |
| Groupe et contrôle | Organigramme juridique, siège de la mère, périmètre consolidé |
| Cas particulier | Qualification précise de l’activité et disposition applicable |
| Programme commun | Mesures effectivement déployées dans les filiales concernées |
| Validation et réexamen | Auteur de l’analyse, date et événements déclencheurs |
Les 8 piliers de la conformité
L’article 17 impose la mise en place de huit mesures et procédures, énumérées au II de l’article 17.
1. Code de conduite. Document intégré au règlement intérieur qui définit les comportements proscrits : corruption, trafic d’influence, conflits d’intérêts. Il doit être diffusé et expliqué à l’ensemble des collaborateurs.
2. Dispositif d’alerte interne. Canal sécurisé permettant aux salariés de signaler des faits de corruption en toute confidentialité. La loi Waserman de 2022 a renforcé la protection des lanceurs d’alerte en interdisant toute mesure de représailles.
3. Cartographie des risques. Identification et hiérarchisation des risques de corruption par secteur d’activité, zone géographique et catégorie de tiers. Ce document doit être actualisé régulièrement.
4. Évaluation des tiers. Procédures concernant les clients, fournisseurs de premier rang et intermédiaires, au regard de la cartographie des risques. Le périmètre et l’intensité des vérifications doivent être expliqués.
5. Contrôles comptables. Procédures internes (séparation des tâches, audits, vérification indépendante) destinées à détecter les anomalies financières liées à la corruption.
6. Formation. Programmes réguliers adaptés aux niveaux hiérarchiques et aux postes les plus exposés.
7. Régime disciplinaire. Dispositif permettant de sanctionner les violations du code de conduite, dans le respect des règles de droit du travail applicables.
8. Contrôle et évaluation interne. Audits réguliers de l’ensemble du dispositif pour vérifier son efficacité et l’adapter aux évolutions législatives et aux nouveaux risques identifiés.
Mise en œuvre pratique des obligations
Comment structurer un programme anticorruption ?
La mise en conformité débute par l’engagement de la direction générale. Attribuez les décisions, les moyens et le suivi à des responsables capables de traiter les risques identifiés.
Concrètement, la démarche se déroule en quatre phases. Premièrement, réaliser la cartographie des risques en associant les directions opérationnelles (achats, commercial, finance). Deuxièmement, rédiger ou mettre à jour le code de conduite et le faire valider par le comité de direction.
Troisièmement, déployer le dispositif d’alerte interne conforme aux exigences de la loi Waserman et du RGPD (registre des traitements, analyse d’impact). Quatrièmement, planifier les formations et les contrôles selon les risques et les changements pertinents.
Coordination avec le RGPD et les autres obligations
La coordination avec les autres cadres réglementaires est essentielle pour éviter les redondances et les incohérences. Le DPO doit être associé à la conception du dispositif d’alerte pour conseiller sur les règles applicables et les risques pour les personnes.
Le dispositif d’alerte peut contenir des informations confidentielles, des données de santé ou des informations relatives à des infractions. L’identité du signalant n’est pas automatiquement une catégorie particulière de données au sens de l’article 9 du RGPD. Examinez les données réellement traitées, les accès, la conservation et les conditions de l’analyse d’impact, notamment la liste CNIL des traitements soumis à AIPD.
Relier chaque mesure à une preuve
Le tableau suivant propose des exemples de vérification interne. Il ne remplace pas les exigences du texte ni une analyse des recommandations applicables au secteur.
| Mesure | Exemple de preuve à examiner |
|---|---|
| Code de conduite | Version applicable, diffusion et exemples adaptés aux situations du métier |
| Alerte | Parcours connu, accès limités et dossier traité selon la procédure |
| Cartographie | Scénarios documentés, contributeurs et hiérarchisation expliquée |
| Évaluation des tiers | Dossier de relation et décision cohérente avec le risque identifié |
| Contrôle comptable | Vérification exécutée, anomalie et traitement de l’écart |
| Formation | Population exposée identifiée, participation et compréhension vérifiée |
| Discipline | Articulation avec le code et les règles applicables |
| Évaluation interne | Contrôle réalisé, action corrective attribuée et résultat vérifié |
Prenez un dossier de tiers fictif ou un dossier réel accessible aux seuls intervenants autorisés. Parcourez la création de la relation, l’évaluation, la décision et le contrôle d’un paiement. Si une question reste sans réponse, identifiez le propriétaire de l’action et les éléments nécessaires pour décider. Un questionnaire complété sans lecture des réponses ne prouve pas que le risque a été examiné.
Le compliance officer peut coordonner cette vérification avec les achats, la finance et le juridique. Le registre des traitements décrit les usages de données associés ; il ne remplace pas la cartographie anticorruption. Un outil de conformité Sapin II doit être évalué à partir de ces opérations et des résultats démontrés.
Le contrôle de l’AFA et les suites possibles
L’AFA contrôle le dispositif dans les conditions prévues par la loi. Distinguez le rapport et les recommandations, l’avertissement éventuel du directeur de l’agence et la procédure devant la commission des sanctions. Préparez des pièces cohérentes avec les opérations, sans reconstituer artificiellement après coup des contrôles qui n’ont pas eu lieu.
Selon l’article 17, la commission peut prononcer une injonction d’adaptation et une sanction pécuniaire plafonnée à 200 000 euros pour une personne physique et un million d’euros pour une personne morale. Le montant dépend des conditions prévues par le texte. La publication peut être ordonnée ; elle n’est pas à présenter comme automatique. Ces suites du manquement au programme doivent être distinguées des sanctions d’une infraction de corruption et des mécanismes judiciaires. Article 17, IV et V.
FAQ
Les seuils suffisent-ils à vérifier l’assujettissement ?
Ils constituent une partie de l’analyse. Vérifiez aussi le groupe, le siège de la société mère, le périmètre consolidé, les dirigeants et les cas particuliers prévus par l’article 17. Documentez les éléments retenus et les événements qui déclencheront un réexamen.
Les huit mesures peuvent-elles être traitées séparément ?
Elles doivent fonctionner ensemble : la cartographie oriente l’évaluation des tiers, les formations et les contrôles ; les alertes et constats alimentent leur actualisation. Le guide des huit piliers Sapin II permet d’approfondir cette organisation. Évitez huit dossiers sans lien avec les décisions quotidiennes.
Un programme signé suffit-il lors d’un contrôle ?
La signature établit une validation documentaire, sans démontrer toutes les opérations. Conservez les résultats de contrôles, les décisions motivées et le suivi des corrections. Les éléments doivent permettre de comprendre ce qui a réellement été fait et ce qui reste à améliorer.
Qui peut prononcer les sanctions de l’article 17 ?
La commission des sanctions intervient selon la procédure prévue par l’article. Distinguez son rôle de celui du directeur de l’AFA et des autorités judiciaires. Les plafonds applicables aux personnes physiques et morales diffèrent ; ils ne doivent pas être intervertis. Texte officiel.
Dernière vérification des sources : 8 septembre 2026.