Depuis 2017, les grandes entreprises françaises ne peuvent plus se contenter d’afficher leur refus de la corruption : elles doivent prouver qu’elles ont organisé sa prévention. L’article 17 de la loi Sapin II leur impose huit mesures précises, dont le respect est contrôlé par l’Agence française anticorruption, indépendamment de toute infraction. Qui est concerné, que faut-il mettre en place, et que risque-t-on en cas de manquement ? Le point sur le texte, tel qu’il est en vigueur.
En bref
- Sont visées les sociétés d’au moins 500 salariés (ou appartenant à un groupe de cette taille dont la mère a son siège en France) et dont le chiffre d’affaires dépasse 100 millions d’euros.
- L’obligation pèse sur les dirigeants et sur la société elle-même.
- Le dispositif comprend huit mesures, du code de conduite au contrôle interne.
- L’Agence française anticorruption en contrôle le respect.
- La commission des sanctions peut prononcer jusqu’à 200 000 € pour une personne physique et un million d’euros pour une personne morale.
Qui est soumis à l’article 17 ?
L’article 17 de la loi n° 2016-1691 du 9 décembre 2016 vise les présidents, les directeurs généraux et les gérants d’une société qui remplit deux conditions cumulatives :
- elle emploie au moins cinq cents salariés, ou appartient à un groupe de sociétés dont la société mère a son siège social en France et dont l’effectif comprend au moins cinq cents salariés ;
- son chiffre d’affaires ou son chiffre d’affaires consolidé est supérieur à 100 millions d’euros.
L’obligation s’impose également aux dirigeants d’établissements publics à caractère industriel et commercial répondant aux mêmes seuils, et aux membres du directoire des sociétés anonymes à directoire.
Deux précisions sont essentielles pour les groupes. Lorsque la société établit des comptes consolidés, les obligations portent sur la société elle-même ainsi que sur l’ensemble de ses filiales ou des sociétés qu’elle contrôle. Et les filiales qui dépassent elles-mêmes les seuils sont réputées satisfaire à leurs obligations dès lors que la société qui les contrôle met en œuvre les mesures et que celles-ci s’appliquent à l’ensemble du groupe.
Les huit mesures
| N° | Mesure | Ce que le texte exige |
|---|---|---|
| 1 | Code de conduite | Il définit et illustre les comportements à proscrire. Il est intégré au règlement intérieur et fait l’objet de la consultation des représentants du personnel. |
| 2 | Dispositif d’alerte interne | Il permet le recueil des signalements émanant d’employés et relatifs à des conduites ou situations contraires au code de conduite. |
| 3 | Cartographie des risques | Une documentation régulièrement actualisée, destinée à identifier, analyser et hiérarchiser les risques d’exposition à des sollicitations externes aux fins de corruption. |
| 4 | Évaluation des tiers | Des procédures d’évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie. |
| 5 | Contrôles comptables | Des procédures, internes ou externes, destinées à s’assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption ou de trafic d’influence. |
| 6 | Formation | Un dispositif destiné aux cadres et aux personnels les plus exposés. |
| 7 | Régime disciplinaire | Il permet de sanctionner les salariés en cas de violation du code de conduite. |
| 8 | Contrôle et évaluation interne | Un dispositif de contrôle et d’évaluation interne des mesures mises en œuvre. |
Ces mesures forment un système : la cartographie oriente l’évaluation des tiers, la formation et les contrôles comptables ; le code de conduite fonde l’alerte et le régime disciplinaire ; le contrôle interne vérifie l’ensemble. Deux d’entre elles font l’objet d’articles dédiés : la cartographie des risques de corruption et les contrôles comptables anticorruption.
Une responsabilité à deux étages
Le texte est explicite : indépendamment de la responsabilité des dirigeants, la société est également responsable en tant que personne morale en cas de manquement aux obligations de l’article 17. Il s’agit d’une obligation de prévention, distincte du délit de corruption lui-même : une entreprise peut être sanctionnée pour un dispositif insuffisant sans qu’aucun fait de corruption n’ait été commis.
Le contrôle de l’Agence française anticorruption
L’Agence française anticorruption contrôle le respect des mesures et procédures de l’article 17. Le contrôle donne lieu à un rapport transmis à l’autorité qui l’a demandé et aux représentants de la société. Ce rapport contient les observations de l’agence sur la qualité du dispositif et, le cas échéant, des recommandations en vue de l’amélioration des procédures existantes.
L’article 3 de la loi charge par ailleurs l’agence d’élaborer des recommandations destinées à aider les personnes morales à prévenir et détecter les faits de corruption. Ces recommandations sont adaptées à la taille des entités et à la nature des risques, régulièrement mises à jour, et font l’objet d’un avis publié au Journal officiel. Elles sont le référentiel de fait de tout dispositif, y compris pour les entreprises situées sous les seuils. Elles sont disponibles sur le site de l’Agence française anticorruption.
Les suites d’un manquement
En cas de manquement constaté, et après avoir mis la personne concernée en mesure de présenter ses observations, le magistrat qui dirige l’agence dispose de trois voies :
- adresser un avertissement aux représentants de la société ;
- saisir la commission des sanctions pour qu’il soit enjoint à la société et à ses représentants d’adapter leurs procédures de conformité ;
- saisir la commission des sanctions afin que soit infligée une sanction pécuniaire.
La commission des sanctions peut enjoindre d’adapter les procédures selon les recommandations qu’elle adresse, dans un délai qu’elle fixe et qui ne peut excéder trois ans. Elle peut prononcer une sanction pécuniaire dont le montant ne peut excéder 200 000 € pour les personnes physiques et un million d’euros pour les personnes morales.
Le rôle de l’audit dans le dispositif
La huitième mesure impose un dispositif de contrôle et d’évaluation interne des mesures mises en œuvre. Elle recouvre à la fois les contrôles courants et une évaluation périodique indépendante : c’est la place de l’audit. Un audit du dispositif répond à trois questions pour chacune des huit mesures.
- Existe-t-elle ? Le document ou la procédure est formalisé, validé, diffusé.
- Est-elle déployée ? Elle s’applique à toutes les entités du périmètre, y compris les filiales étrangères.
- Est-elle effective ? Des tests sur des dossiers réels montrent qu’elle est suivie et qu’elle produit des effets.
C’est sur le troisième point que les dispositifs se distinguent. Un code de conduite existe presque partout ; la preuve qu’un intermédiaire à risque a été évalué avant d’être rémunéré est plus rare. Ces principes sont ceux de tout contrôle interne, appliqués à un risque particulier.
Et sous les seuils ?
Les entreprises qui n’atteignent pas les seuils ne sont pas soumises à l’article 17. Elles restent exposées au risque pénal de corruption et, de plus en plus, aux exigences de leurs donneurs d’ordre : une société soumise à la loi doit évaluer ses fournisseurs de premier rang et ses intermédiaires, et attend d’eux des garanties. Un dispositif proportionné, inspiré des recommandations de l’agence, devient ainsi un argument commercial autant qu’une protection.
Questions fréquentes
Les deux seuils sont-ils cumulatifs ?
Oui. La société doit à la fois atteindre le seuil d’effectif, apprécié au niveau de la société ou du groupe, et dépasser 100 millions d’euros de chiffre d’affaires ou de chiffre d’affaires consolidé.
Une filiale française d’un groupe étranger est-elle concernée ?
Le critère du groupe suppose une société mère ayant son siège social en France. Une filiale française peut néanmoins être concernée si elle atteint elle-même les seuils.
Le commissaire aux comptes vérifie-t-il le dispositif anticorruption ?
La certification des comptes n’a pas cet objet. La loi prévoit toutefois que les contrôles comptables anticorruption peuvent être réalisés en ayant recours à un auditeur externe à l’occasion des audits de certification.
Combien de temps faut-il pour se mettre en conformité ?
Cela dépend de l’existant, du nombre d’entités et de pays. La cartographie des risques est le préalable : les autres mesures en découlent.
Conclusion
La loi Sapin II a déplacé la question : il ne s’agit plus seulement de ne pas corrompre, mais de démontrer que l’on s’est organisé pour l’empêcher. Les huit mesures de l’article 17 forment un système dont la solidité se mesure à son effectivité. Paris Ouest Audit en propose l’évaluation indépendante avec sa mission d’audit anticorruption Sapin II.