Logiciel conformité Sapin 2 : cartographie des risques

Un logiciel de conformité Sapin 2 outille le dispositif anticorruption imposé par l’article 17 de la loi du 9 décembre 2016 : cartographie des risques de corruption, évaluation des tiers, dispositif d’alerte interne, contrôles comptables et formation. C’est la cartographie des risques — pilier central du dispositif et point de départ de tous les autres — qui bénéficie le plus d’un outil dédié, parce que l’Agence française anticorruption (AFA) en fait le socle de ses contrôles. Voici comment un logiciel couvre les huit piliers et le comparatif des approches.

Points clés

• La loi Sapin 2 (n° 2016-1691 du 9 décembre 2016) impose huit mesures anticorruption aux entreprises de plus de 500 salariés et 100 M€ de chiffre d’affaires.
• La cartographie des risques de corruption est le pilier fondateur : elle conditionne l’évaluation des tiers et les contrôles.
• L’AFA contrôle le dispositif et sa commission des sanctions peut prononcer des injonctions et des sanctions pécuniaires.
• Un logiciel structure la cartographie, industrialise l’évaluation des tiers et trace le dispositif d’alerte.
• Sapin 2 partage des objets avec le RGPD (traitement des données d’alerte, évaluation des tiers) : les dispositifs se recoupent.

Les huit piliers à outiller

L’article 17 de la loi Sapin 2 énumère huit mesures que le dispositif doit comporter. Toutes ne demandent pas le même outillage.

Pilier	Ce que le logiciel apporte
Code de conduite	Diffusion, accusés de lecture, versions
Dispositif d’alerte interne	Canal sécurisé, traçabilité, confidentialité
Cartographie des risques	Évaluation structurée, mise à jour, priorisation
Évaluation des tiers	Questionnaires, scoring, due diligence
Contrôles comptables	Points de contrôle, piste d’audit
Formation	Suivi, rappels, preuves
Régime disciplinaire	Documentation des sanctions
Contrôle et évaluation interne	Tableaux de bord, plan d’action

Trois piliers concentrent la valeur d’un logiciel : la cartographie des risques, l’évaluation des tiers et le dispositif d’alerte. Ce sont ceux qui produisent le plus de données à structurer et à tracer, et ceux que l’AFA examine en priorité. Notre guide pour comprendre et appliquer la loi Sapin 2 détaille chacun d’eux.

La cartographie des risques : le cœur du dispositif

La cartographie des risques de corruption identifie, évalue et hiérarchise les situations d’exposition de l’entreprise, par processus, par géographie et par tiers. L’AFA en fait le pivot de son référentiel : un dispositif dont la cartographie est faible est jugé défaillant dans son ensemble, car tous les autres piliers en découlent.

Un logiciel apporte ici ce qu’un tableur ne peut pas offrir :

• Une méthode structurée : découpage par processus, cotation de la probabilité et de l’impact, identification des scénarios de corruption.
• La mise à jour : la cartographie doit vivre au rythme de l’entreprise (nouveaux marchés, nouveaux tiers, réorganisations).
• La traçabilité : l’AFA vérifie la méthodologie et la gouvernance de la cartographie, pas seulement son résultat.
• Le lien avec les autres piliers : chaque risque cartographié doit se traduire en contrôles et en évaluations de tiers.

Cette logique de cartographie recoupe celle de la cartographie des données RGPD : même exercice de recensement structuré, appliqué à un autre objet.

L’évaluation des tiers : industrialiser la due diligence

L’évaluation de l’intégrité des tiers (clients, fournisseurs, intermédiaires) est le pilier le plus consommateur de temps. Sur des milliers de tiers, la due diligence manuelle est impraticable. Un logiciel industrialise le processus : questionnaires automatisés, scoring de risque, déclenchement d’une évaluation renforcée pour les tiers sensibles (juridictions à risque, marchés publics, intermédiaires commerciaux), et archivage des preuves. C’est souvent le premier motif d’achat d’un outil Sapin 2.

L’enjeu n’est pas seulement le volume, mais la proportionnalité. L’AFA attend une évaluation modulée selon le niveau de risque du tiers : une due diligence légère pour un fournisseur de fournitures de bureau, approfondie pour un agent commercial opérant dans une juridiction exposée. Un outil qui applique la même grille à tous les tiers rate la cible ; un bon logiciel calibre la profondeur de l’évaluation sur le risque cartographié, en cohérence directe avec le pilier précédent.

Comparatif des approches logicielles

Approche	Cartographie	Évaluation des tiers	Alerte interne	Positionnement
Suites GRC dédiées anticorruption	Oui	Très poussé	Oui	Grands comptes, sur devis
Plateformes de conformité intégrées	Oui	Oui	Oui	ETI, sur devis
Outils d’alerte spécialisés	Non	Non	Oui, expert	Complément
Tableur + canal d’alerte externe	Manuel	Manuel	Externalisé	Petites structures

Le marché Sapin 2 se partage entre des suites GRC très complètes pour les grands groupes et des plateformes de conformité plus légères pour les ETI. Le choix se fait sur le volume de tiers à évaluer et sur la maturité attendue de la cartographie. Pour une organisation qui doit aussi couvrir le RGPD, mutualiser la brique « évaluation des tiers » entre les deux dispositifs — comme le permet une plateforme de conformité multi-référentiels — évite de dédoubler le travail sur des tiers communs. Legiscope adresse cette logique d’intégration côté données personnelles, en articulation avec la gouvernance de conformité globale.

Ce que l’AFA vérifie, pilier par pilier

Les contrôles de l’AFA suivent une logique constante : elle n’examine pas seulement l’existence d’un pilier, mais son effectivité et sa traçabilité. Anticiper ses points d’attention oriente le choix de l’outil.

Cartographie des risques. L’AFA vérifie la méthodologie (découpage par processus, cotation, scénarios de corruption) et la gouvernance : qui l’a élaborée, comment elle est validée et à quelle fréquence elle est actualisée. Une cartographie non datée ou jamais révisée est le manquement le plus fréquemment relevé.

Évaluation des tiers. L’attention porte sur la proportionnalité et la traçabilité : l’entreprise applique-t-elle une due diligence graduée selon le risque, et conserve-t-elle la preuve des vérifications ? Une évaluation uniforme, ou des questionnaires sans pièces justificatives, sont régulièrement pointés.

Dispositif d’alerte. L’AFA contrôle l’accessibilité du canal, la confidentialité du lanceur d’alerte et le traitement effectif des signalements. Un dispositif existant mais inconnu des salariés, ou sans suivi documenté des alertes reçues, est jugé défaillant.

Contrôles comptables. Elle examine l’articulation entre les risques cartographiés et les points de contrôle comptable : les contrôles couvrent-ils réellement les zones de risque identifiées, avec une piste d’audit ?

Formation. L’AFA attend un ciblage des populations exposées (achats, commercial, dirigeants) et la preuve de la réalisation, pas une simple diffusion générale non suivie.

Le fil rouge de ces contrôles est toujours le même : l’AFA sanctionne l’écart entre un dispositif affiché et un dispositif effectif et documenté. Un logiciel qui horodate chaque action, relie les piliers entre eux et conserve les preuves répond précisément à cette exigence de démonstration, là où un dispositif tenu sur documents épars s’effondre au premier contrôle approfondi.

Sapin 2 et RGPD : les recoupements

Le dispositif d’alerte traite des données personnelles sensibles (identité du lanceur d’alerte, personnes mises en cause) : il exige une base légale, une durée de conservation encadrée et une information adaptée. L’évaluation des tiers manipule aussi des données personnelles de dirigeants et de bénéficiaires effectifs. Ces recoupements imposent de traiter Sapin 2 et RGPD ensemble, sous la supervision d’une fonction conformité unifiée — souvent portée par le même compliance officer. La gestion des conflits d’intérêts et la continuité d’activité complètent ce socle de gouvernance.

FAQ

Quelles entreprises sont concernées par Sapin 2 ?

Les sociétés d’au moins 500 salariés (ou appartenant à un groupe de cette taille) et réalisant un chiffre d’affaires supérieur à 100 millions d’euros. Leurs dirigeants doivent mettre en place les huit mesures de l’article 17. Les entreprises plus petites peuvent aussi être concernées indirectement, comme tiers évalués par leurs clients.

La cartographie des risques est-elle obligatoire ?

Oui, c’est l’un des huit piliers obligatoires et le plus scruté par l’AFA. Un dispositif sans cartographie robuste est considéré comme défaillant dans son ensemble, puisque les contrôles et l’évaluation des tiers doivent en découler. Elle doit être méthodique, documentée et mise à jour.

Un logiciel Sapin 2 gère-t-il aussi le RGPD ?

Certains oui, partiellement. Le dispositif d’alerte et l’évaluation des tiers traitent des données personnelles soumises au RGPD. Une plateforme de conformité intégrée permet de mutualiser ces briques, mais un outil Sapin 2 pur ne couvre pas l’ensemble des obligations RGPD (registre, demandes de droits).

Que risque une entreprise en cas de dispositif insuffisant ?

L’AFA contrôle le dispositif et peut, via sa commission des sanctions, prononcer des injonctions de mise en conformité et des sanctions pécuniaires à l’encontre de la société et de ses dirigeants. Au-delà, un dispositif faible expose l’entreprise aux poursuites pour les faits de corruption qu’il aurait dû prévenir.

Conclusion

Un logiciel de conformité Sapin 2 vaut d’abord par ce qu’il apporte à la cartographie des risques et à l’évaluation des tiers — les deux piliers les plus lourds et les plus contrôlés par l’AFA. La cartographie conditionne tout le reste : un outil qui la structure, la relie aux contrôles et la maintient à jour transforme un exercice ponctuel en dispositif vivant et traçable. Pour les organisations qui portent aussi le RGPD, mutualiser l’évaluation des tiers et la gestion des données d’alerte entre les deux dispositifs est le vrai levier d’efficacité. Choisissez sur le volume de tiers et la maturité de cartographie attendue, pas sur la longueur de la liste de modules.