La mise en conformité avec la loi Sapin II et ses dispositifs anticorruption

Loi Sapin II : périmètre légal et entreprises assujetties

La loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique — dite « loi Sapin II » — constitue le cadre légal de référence en matière de prévention de la corruption en France. Son article 17 définit précisément les structures soumises à obligation de conformité.

Critères d’assujettissement (article 17, loi Sapin II)

Source : Légifrance, loi Sapin II, art. 17 ; Agence française anticorruption (AFA).

Les deux seuils — effectif et chiffre d’affaires — doivent être atteints simultanément pour déclencher l’obligation. Les TPE et PME ne sont pas soumises à cette obligation légale ; il leur est néanmoins recommandé de se rapprocher des pratiques anticorruption dès lors qu’elles entretiennent des relations commerciales avec des entités assujetties, afin de sécuriser leurs propres flux d’affaires.

Les 8 mesures obligatoires de l’article 17 II de la loi Sapin II

Toute société assujettie doit déployer, sans exception, les huit mesures suivantes, telles qu’elles figurent à l’article 17 II de la loi Sapin II (Légifrance) :

1. Un code de conduite — Ce document définit et illustre les comportements à proscrire susceptibles de caractériser des faits de corruption ou de trafic d’influence. Il doit être intégré au règlement intérieur et soumis à l’avis des représentants du personnel.
2. Un dispositif d’alerte interne — Il permet à tout collaborateur de signaler, de manière sécurisée et confidentielle, des comportements ou des situations contraires au code de conduite anticorruption.
3. Une cartographie des risques — L’entreprise identifie, analyse et hiérarchise les risques d’exposition à la corruption selon ses secteurs d’activité, zones géographiques et types de partenaires. Cette cartographie doit être mise à jour régulièrement.
4. Des procédures d’évaluation des tiers — Clients, fournisseurs de premier rang et intermédiaires doivent être évalués afin de déterminer leur intégrité et leur niveau de risque de corruption.
5. Des contrôles comptables internes ou externes — Ces vérifications garantissent que la comptabilité de l’entreprise ne dissimule aucune opération liée à des faits de corruption ou de trafic d’influence.
6. Un dispositif de formation — La formation cible spécifiquement les cadres et les personnels les plus exposés aux risques de corruption et de trafic d’influence.
7. Un régime disciplinaire — Il permet de sanctionner les salariés qui enfreignent le code de conduite anticorruption de l’entreprise.
8. Un dispositif de contrôle et d’évaluation interne — Il assure le suivi et l’évaluation de l’efficacité des sept mesures précédentes.

Source : Légifrance, loi Sapin II, art. 17 II.

Le rôle de contrôle de l’AFA : données 2025

L’Agence française anticorruption (AFA), créée par la loi Sapin II elle-même, est chargée de vérifier l’existence, la qualité et l’efficacité des dispositifs anticorruption mis en place par les entités assujetties. Son action de contrôle couvre aussi bien les acteurs économiques privés que les acteurs publics.

Bilan des contrôles de l’AFA (rapport d’activité 2025)

Source : AFA, rapport d’activité 2025.

Lorsque l’AFA constate un manquement, elle peut émettre une injonction de mise en conformité. En cas de persistance du manquement, une sanction pécuniaire peut être prononcée : jusqu’à 200 000 euros pour une personne physique et jusqu’à 1 000 000 euros pour une personne morale.

Procédure concrète de mise en conformité Sapin II : étapes à suivre

Pour les dirigeants d’une structure assujettie à l’article 17, la mise en conformité suit une séquence logique et documentée :

1. Vérifier l’assujettissement : confirmer que les deux seuils de l’article 17 sont simultanément atteints (≥ 500 salariés et CA > 100 M€, siège social en France).
2. Réaliser la cartographie des risques : c’est le socle de l’ensemble du dispositif ; elle conditionne la pertinence de toutes les autres mesures.
3. Rédiger et diffuser le code de conduite : l’intégrer au règlement intérieur après consultation des représentants du personnel.
4. Mettre en place le dispositif d’alerte interne : garantir confidentialité et protection du lanceur d’alerte.
5. Déployer les procédures d’évaluation des tiers : documenter les diligences effectuées sur clients, fournisseurs de premier rang et intermédiaires.
6. Organiser les contrôles comptables : définir leur périmètre (interne ou externe) et leur fréquence.
7. Lancer le programme de formation : cibler en priorité les cadres et les personnels exposés.
8. Formaliser le régime disciplinaire et le dispositif d’évaluation interne : consigner les procédures et planifier les révisions périodiques.

L’ensemble du dispositif doit pouvoir être présenté à l’AFA lors d’un contrôle, sous forme de documentation probante pour chacune des huit mesures.

Sources

• Légifrance — Loi n° 2016-1691 du 9 décembre 2016 (loi Sapin II), notamment art. 17 et art. 17 II (consulté 2025).
• Agence française anticorruption (AFA) — Rapport d’activité 2025.