Un logiciel de conformité Sapin 2 outille le dispositif anticorruption imposé par l’article 17 de la loi du 9 décembre 2016 : cartographie des risques de corruption, évaluation des tiers, dispositif d’alerte interne, contrôles comptables et formation. C’est la cartographie des risques — pilier central du dispositif et point de départ de tous les autres — qui bénéficie le plus d’un outil dédié, parce que l’Agence française anticorruption (AFA) en fait le socle de ses contrôles. Voici comment un logiciel couvre les huit piliers et le comparatif des approches.
Points clés
- L’article 17 de la loi Sapin 2 (texte officiel) vise notamment les sociétés d’au moins 500 salariés ou certains groupes de cette taille et dont le chiffre d’affaires dépasse 100 M€; le périmètre exact doit être vérifié dans la version en vigueur.
- La cartographie des risques de corruption est le pilier fondateur : elle conditionne l’évaluation des tiers et les contrôles.
- L’AFA contrôle le dispositif et sa commission des sanctions peut prononcer des injonctions et des sanctions pécuniaires.
- Un logiciel structure la cartographie, industrialise l’évaluation des tiers et trace le dispositif d’alerte.
- Sapin 2 partage des objets avec le RGPD (traitement des données d’alerte, évaluation des tiers) : les dispositifs se recoupent.
Les huit piliers à outiller
L’article 17 de la loi Sapin 2 énumère huit mesures que le dispositif doit comporter. Toutes ne demandent pas le même outillage.
| Pilier | Ce que le logiciel apporte |
|---|---|
| Code de conduite | Diffusion, accusés de lecture, versions |
| Dispositif d’alerte interne | Canal sécurisé, traçabilité, confidentialité |
| Cartographie des risques | Évaluation structurée, mise à jour, priorisation |
| Évaluation des tiers | Questionnaires, scoring, due diligence |
| Contrôles comptables | Points de contrôle, piste d’audit |
| Formation | Suivi, rappels, preuves |
| Régime disciplinaire | Documentation des sanctions |
| Contrôle et évaluation interne | Tableaux de bord, plan d’action |
Trois piliers concentrent la valeur d’un logiciel : la cartographie des risques, l’évaluation des tiers et le dispositif d’alerte. Ces piliers produisent souvent beaucoup de données à structurer et à tracer; l’AFA examine l’effectivité du dispositif dans son ensemble. Notre guide pour comprendre et appliquer la loi Sapin 2 détaille chacun d’eux.
La cartographie des risques : le cœur du dispositif
La cartographie des risques de corruption identifie, évalue et hiérarchise les situations d’exposition de l’entreprise, par processus, par géographie et par tiers. L’AFA en fait le pivot de son référentiel : un dispositif dont la cartographie est faible est jugé défaillant dans son ensemble, car tous les autres piliers en découlent.
Selon la configuration retenue, un logiciel peut faciliter des tâches qu’un tableur rend difficiles à l’échelle :
- Une méthode structurée : découpage par processus, cotation de la probabilité et de l’impact, identification des scénarios de corruption.
- La mise à jour : la cartographie doit vivre au rythme de l’entreprise (nouveaux marchés, nouveaux tiers, réorganisations).
- La traçabilité : l’AFA vérifie la méthodologie et la gouvernance de la cartographie, pas seulement son résultat.
- Le lien avec les autres piliers : chaque risque cartographié doit se traduire en contrôles et en évaluations de tiers.
Cette logique de cartographie recoupe celle de la cartographie des données RGPD : même exercice de recensement structuré, appliqué à un autre objet.
L’évaluation des tiers : industrialiser la due diligence
L’évaluation de l’intégrité des tiers (clients, fournisseurs, intermédiaires) est le pilier le plus consommateur de temps. Sur des milliers de tiers, la due diligence manuelle est impraticable. Un logiciel industrialise le processus : questionnaires automatisés, scoring de risque, déclenchement d’une évaluation renforcée pour les tiers sensibles (juridictions à risque, marchés publics, intermédiaires commerciaux), et archivage des preuves. C’est souvent le premier motif d’achat d’un outil Sapin 2.
L’enjeu n’est pas seulement le volume, mais la proportionnalité. L’AFA attend une évaluation modulée selon le niveau de risque du tiers : une due diligence légère pour un fournisseur de fournitures de bureau, approfondie pour un agent commercial opérant dans une juridiction exposée. Un outil qui applique la même grille à tous les tiers rate la cible ; un bon logiciel calibre la profondeur de l’évaluation sur le risque cartographié, en cohérence directe avec le pilier précédent.
Comparatif des approches logicielles
| Approche | Cartographie | Évaluation des tiers | Alerte interne | Positionnement |
|---|---|---|---|---|
| Suites GRC dédiées anticorruption | Oui | Très poussé | Oui | Grands comptes, sur devis |
| Plateformes de conformité intégrées | Oui | Oui | Oui | ETI, sur devis |
| Outils d’alerte spécialisés | Non | Non | Oui, expert | Complément |
| Tableur + canal d’alerte externe | Manuel | Manuel | Externalisé | Petites structures |
Le marché Sapin 2 se partage entre des suites GRC très complètes pour les grands groupes et des plateformes de conformité plus légères pour les ETI. Le choix se fait sur le volume de tiers à évaluer et sur la maturité attendue de la cartographie. Pour une organisation qui doit aussi couvrir le RGPD, mutualiser la brique « évaluation des tiers » entre les deux dispositifs — comme le permet une plateforme de conformité multi-référentiels — évite de dédoubler le travail sur des tiers communs. Pour chaque offre, vérifiez concrètement la frontière entre fonctions anticorruption, protection des données et intégration avec les outils déjà en place.
Ce que l’AFA vérifie, pilier par pilier
Les contrôles de l’AFA suivent une logique constante : elle n’examine pas seulement l’existence d’un pilier, mais son effectivité et sa traçabilité. Anticiper ses points d’attention oriente le choix de l’outil.
Cartographie des risques. L’AFA vérifie la méthodologie (découpage par processus, cotation, scénarios de corruption) et la gouvernance : qui l’a élaborée, comment elle est validée et à quelle fréquence elle est actualisée. Une cartographie non datée ou jamais révisée est le manquement le plus fréquemment relevé.
Évaluation des tiers. L’attention porte sur la proportionnalité et la traçabilité : l’entreprise applique-t-elle une due diligence graduée selon le risque, et conserve-t-elle la preuve des vérifications ? Une évaluation uniforme, ou des questionnaires sans pièces justificatives, sont régulièrement pointés.
Dispositif d’alerte. L’AFA contrôle l’accessibilité du canal, la confidentialité du lanceur d’alerte et le traitement effectif des signalements. Un dispositif existant mais inconnu des salariés, ou sans suivi documenté des alertes reçues, est jugé défaillant.
Contrôles comptables. Elle examine l’articulation entre les risques cartographiés et les points de contrôle comptable : les contrôles couvrent-ils réellement les zones de risque identifiées, avec une piste d’audit ?
Formation. L’AFA attend un ciblage des populations exposées (achats, commercial, dirigeants) et la preuve de la réalisation, pas une simple diffusion générale non suivie.
Le fil rouge de ces contrôles est toujours le même : l’AFA sanctionne l’écart entre un dispositif affiché et un dispositif effectif et documenté. Un logiciel qui horodate chaque action, relie les piliers entre eux et conserve les preuves répond précisément à cette exigence de démonstration, là où un dispositif tenu sur documents épars s’effondre au premier contrôle approfondi.
Sapin 2 et RGPD : les recoupements
Le dispositif d’alerte traite des données personnelles confidentielles (identité du lanceur d’alerte, personnes mises en cause) : il exige une base légale, une durée de conservation encadrée et une information adaptée. L’évaluation des tiers manipule aussi des données personnelles de dirigeants et de bénéficiaires effectifs. Ces recoupements imposent de traiter Sapin 2 et RGPD ensemble, sous la supervision d’une fonction conformité unifiée — souvent portée par le même compliance officer. La gestion des conflits d’intérêts et la continuité d’activité complètent ce socle de gouvernance.
FAQ
Quelles entreprises sont concernées par Sapin 2 ?
Notamment les sociétés d’au moins 500 salariés, ou relevant d’un groupe répondant aux conditions de l’article 17, et dont le chiffre d’affaires ou chiffre d’affaires consolidé dépasse 100 millions d’euros. Le périmètre exact, y compris les situations particulières, se vérifie dans la version en vigueur de la loi. Leurs dirigeants doivent mettre en place les huit mesures de l’article 17. Les entreprises plus petites peuvent aussi être concernées indirectement, comme tiers évalués par leurs clients.
La cartographie des risques est-elle obligatoire ?
Oui, c’est l’un des huit piliers obligatoires et le plus scruté par l’AFA. Un dispositif sans cartographie robuste est considéré comme défaillant dans son ensemble, puisque les contrôles et l’évaluation des tiers doivent en découler. Elle doit être méthodique, documentée et mise à jour.
Un logiciel Sapin 2 gère-t-il aussi le RGPD ?
Certains oui, partiellement. Le dispositif d’alerte et l’évaluation des tiers traitent des données personnelles soumises au RGPD. Une plateforme de conformité intégrée permet de mutualiser ces briques, mais un outil Sapin 2 pur ne couvre pas l’ensemble des obligations RGPD (registre, demandes de droits).
Que risque une entreprise en cas de dispositif insuffisant ?
L’AFA contrôle le dispositif et peut, via sa commission des sanctions, prononcer des injonctions de mise en conformité et des sanctions pécuniaires à l’encontre de la société et de ses dirigeants. Au-delà, un dispositif faible expose l’entreprise aux poursuites pour les faits de corruption qu’il aurait dû prévenir.
Construire un dossier d’achat à partir des scénarios de risque
Le choix d’un logiciel commence par trois situations réelles de l’entreprise, pas par une liste de modules. Prenez, par exemple, l’entrée dans un marché public à l’étranger, le recours à un intermédiaire commercial et l’achat d’une société disposant d’un réseau de distributeurs. Pour chaque situation, le responsable conformité décrit le processus, les décideurs, les zones géographiques, le type de tiers, les risques de corruption ou de trafic d’influence et les contrôles existants. La cartographie doit pouvoir conserver l’évaluation brute, la mesure de maîtrise, le risque résiduel et la décision de traitement. Si l’outil ne permet pas de remonter d’un risque à la pièce justificative et au contrôle testé, son tableau de bord sera difficile à défendre lors d’un contrôle.
La méthode de cartographie des risques doit être choisie par l’organisation; aucun vendeur ne peut la déduire automatiquement de ses données. Dans la démonstration, demandez d’ajouter un nouveau scénario, de modifier la cotation après un changement de pays et de comparer les deux versions. Vérifiez qui peut proposer la modification, qui la valide et comment les métiers exposés participent. Un score calculé sans explication ne suffit pas: l’AFA attend une démarche adaptée à l’activité et actualisée. Le logiciel peut tracer cette démarche, mais il ne remplace ni les entretiens opérationnels ni l’arbitrage de la direction.
Tester l’évaluation d’un tiers de bout en bout
Choisissez un tiers à risque faible et un intermédiaire à risque élevé. Pour chacun, faites exécuter dans l’outil la même chaîne: demande d’entrée en relation, collecte des informations utiles, analyse proportionnée, contrôle des pièces, avis conformité, décision métier, date de réexamen et événement déclencheur d’une nouvelle évaluation. Une offre qui ne montre qu’un questionnaire et un indicateur rouge-vert ne prouve pas que l’organisation pourra décider. Le dossier doit conserver les sources consultées, leur date et la justification d’une éventuelle dérogation. Les données des bénéficiaires effectifs et des dirigeants ne doivent pas être aspirées sans limite; la finalité et la durée de conservation restent à définir au regard du RGPD.
Le périmètre des tiers vient de la cartographie: fournisseurs, clients, intermédiaires ou partenaires selon l’exposition propre à l’entreprise. Une plateforme doit éviter deux pièges opposés. Le premier est de soumettre tous les petits fournisseurs à une enquête lourde et inutile. Le second est de dispenser un agent commercial stratégique parce que son contrat est ancien. Le contrôle de tiers dans un programme GRC doit permettre un examen périodique et un contrôle déclenché par un changement de mission, de pays ou d’alerte. Demandez au vendeur de montrer comment ces changements arrivent dans la file de travail et comment un retard est porté au décideur.
Alerte interne, confidentialité et séparation des accès
Un canal d’alerte n’est pas un simple formulaire ajouté à la cartographie. Les personnes habilitées à recueillir et instruire un signalement doivent être limitées; l’identité du lanceur d’alerte et celle des personnes mises en cause ne doivent pas apparaître dans une vue générale des tiers. Vérifiez le cloisonnement des rôles, le journal d’accès, les notifications sans contenu sensible et la possibilité de traiter un conflit d’intérêts de l’instructeur. Le dispositif d’alerte professionnelle relève aussi du régime de protection des lanceurs d’alerte et de règles de conservation propres: ne supposez pas qu’un module « Sapin 2 » règle à lui seul ce régime.
Une démonstration utile crée une alerte fictive et suit les étapes de réception, accusé, orientation, enquête et clôture. Elle vérifie que le manager mis en cause ne reçoit aucune notification, que les pièces sensibles restent accessibles aux seuls enquêteurs et que l’export remet des éléments compréhensibles à un auditeur sans exposer inutilement des identités. Le même test doit fonctionner sur mobile et sans compte salarié si le dispositif vise d’autres parties prenantes. Le cadre RGPD des signalements doit être examiné séparément de la simple fonctionnalité informatique, à partir des textes et de la doctrine de la CNIL.
Comparer les offres sur des preuves, puis décider
Remettez aux candidats un jeu de données fictif identique: trois processus, deux scénarios de corruption, deux tiers et une alerte. Demandez une démonstration chronométrée par un utilisateur métier, puis une exportation lisible par la conformité et l’audit. Notez cinq critères: fidélité de la cartographie, qualité de l’évaluation des tiers, confidentialité de l’alerte, traçabilité des décisions et facilité de mise à jour. Ajoutez les contraintes de sécurité, de localisation, de réversibilité et de contrat; ne donnez pas une note de conformité juridique globale à partir d’une démo. La grille de sélection d’un logiciel de conformité peut structurer ce comparatif, sous réserve que chaque fonction soit vérifiée dans l’offre réelle.
Le prix total comprend la configuration des workflows, la reprise des tiers, la formation et l’entretien des règles, pas seulement la licence. Si l’entreprise utilise déjà un outil de risques ou un canal d’alerte satisfaisant, une intégration documentée peut être préférable à un remplacement. À l’inverse, des fichiers répartis entre plusieurs équipes peuvent coûter cher en rapprochements et en erreurs de version. La décision d’achat doit identifier l’outil maître pour chaque donnée, le propriétaire des mises à jour et la procédure d’export en cas de changement de fournisseur. Un logiciel bien choisi rend le dispositif plus vérifiable; il ne crée pas, à lui seul, une cartographie juste ni une culture anticorruption.
La manière de conduire une démonstration peut s’inspirer d’une méthode d’essai sur des scénarios de risque, même si les scénarios anticorruption et cyber restent distincts. L’équipe de conformité remplace les exemples techniques par ses propres cas d’exposition, puis vérifie chaque export avec les métiers concernés.
Sources de référence
Le périmètre et les huit mesures sont définis par l’article 17 de la loi du 9 décembre 2016. Les recommandations de l’AFA détaillent la construction d’un dispositif proportionné. Pour les données personnelles traitées dans l’alerte et l’évaluation des tiers, vérifiez le RGPD sur EUR-Lex et les recommandations applicables de la CNIL.
Conclusion
Un logiciel de conformité Sapin 2 vaut d’abord par ce qu’il apporte à la cartographie des risques et à l’évaluation des tiers — les deux piliers les plus lourds et les plus contrôlés par l’AFA. La cartographie conditionne tout le reste : un outil qui la structure, la relie aux contrôles et la maintient à jour transforme un exercice ponctuel en dispositif vivant et traçable. Pour les organisations qui portent aussi le RGPD, mutualiser l’évaluation des tiers et la gestion des données d’alerte entre les deux dispositifs est le vrai levier d’efficacité. Choisissez sur le volume de tiers et la maturité de cartographie attendue, pas sur la longueur de la liste de modules.