Évaluation des tiers (KYS/KYC) : comment auditer ses fournisseurs ?

Auditer ses fournisseurs au titre de Sapin 2, c’est d’abord classer ses tiers selon le risque de corruption que révèle la cartographie, puis adapter la profondeur des vérifications à chaque classe : simplifiée pour les tiers peu exposés, approfondie pour les intermédiaires, les zones sensibles ou les relations avec des agents publics. L’article 17 de la loi Sapin 2 vise les clients, les fournisseurs de premier rang et les intermédiaires ; il n’exige pas un audit sur place de chacun, mais des procédures d’évaluation proportionnées, tracées et mises à jour. Cet article détaille comment construire ce dispositif, quelles informations collecter et comment prouver la démarche en cas de contrôle.

À retenir
– L’évaluation des tiers est l’un des piliers du dispositif anticorruption : elle s’appuie sur la cartographie des risques, qui doit donc exister avant elle.
– KYC désigne la connaissance des clients, KYS celle des fournisseurs ; la logique est la même : identifier, catégoriser, vérifier, décider, suivre.
– La profondeur des diligences dépend du risque : simplifiée, standard ou renforcée, selon les critères propres à l’entreprise.
– Une évaluation vaut par sa traçabilité : sources consultées, risques identifiés, décision prise et mesures associées.
– Le résultat n’est pas binaire : approuver, approuver sous surveillance renforcée, refuser ou différer la décision sont quatre issues possibles.

Ce que Sapin 2 demande réellement sur les tiers

L’article 17 de la loi du 9 décembre 2016 impose aux présidents, directeurs généraux et gérants des sociétés concernées de mettre en œuvre un programme de prévention de la corruption et du trafic d’influence. Parmi ses mesures figure la mise en place de procédures d’évaluation de la situation des clients, des fournisseurs de premier rang et des intermédiaires au regard de la cartographie des risques. La formule est courte, mais elle pose trois exigences : une évaluation propre à chaque tiers, un lien explicite avec la cartographie, et des procédures, c’est-à-dire un processus décrit et reproductible plutôt qu’une vérification ponctuelle.

Il faut aussi distinguer ce que la loi impose de ce que l’Agence française anticorruption (AFA) recommande. Le texte cible trois catégories de tiers. L’AFA recommande d’élargir la démarche à d’autres partenaires : prestataires, sous-traitants, titulaires de marchés publics, concessionnaires, délégataires, bénéficiaires de subventions, cibles d’acquisition ou bénéficiaires d’actions de mécénat et de sponsoring, comme le rapporte la même source. Une entreprise n’est donc pas condamnée à tout évaluer de la même manière, mais elle doit pouvoir expliquer pourquoi elle traite certains tiers et pas d’autres.

Les acronymes KYC (Know Your Customer), KYS (Know Your Supplier) ou KYI (intermédiaires) proviennent souvent de la lutte contre le blanchiment. Sous Sapin 2, ils servent à désigner des flux de travail différents autour d’un même objectif : savoir avec qui l’on contracte et quel risque de corruption cette relation fait courir à l’entreprise.

Les recommandations de l’AFA décrivent plusieurs acteurs : les opérationnels collectent l’information et émettent un premier avis, la fonction conformité éclaire les cas plus risqués, la direction tranche les cas les plus sensibles, et des prestataires externes peuvent intervenir sur les dossiers complexes (Provigis, précité).

Étape 1 : segmenter les tiers grâce à la cartographie

L’évaluation individuelle de milliers de tiers est irréaliste. La cartographie des risques sert précisément à constituer des groupes homogènes de tiers présentant des profils de risque comparables. L’AFA insiste sur cette phase, qui conditionne le parcours de diligence attribué à chaque groupe : simplifié, standard ou renforcé (même source).

Les critères de catégorisation les plus souvent retenus dans la pratique sont :

• la zone géographique d’intervention ;
• le secteur d’activité ;
• l’interaction avec des agents publics ou des personnes politiquement exposées ;
• le mode de rémunération, en particulier les commissions liées au succès ;
• la dépendance économique entre l’entreprise et le tiers ;
• la complexité de la mission confiée.

Ces critères sont détaillés dans une méthodologie publiée par un cabinet spécialisé. Ils ne sont pas imposés par la loi : chaque entreprise choisit et pondère les siens, à condition de pouvoir justifier son modèle.

Les règles que l’on attend des partenaires doivent d’ailleurs être formalisées en amont, comme l’explique rédiger le code de conduite et l’intégrer au règlement intérieur.

Étape 2 : collecter l’information et proportionner les diligences

Une fois le tiers classé, la profondeur de la vérification varie. Pour un tiers à faible exposition, un questionnaire court, la consultation de sources ouvertes et la vérification de l’identité et de l’existence légale suffisent le plus souvent. Pour un tiers à risque élevé, les diligences sont renforcées : analyse de l’actionnariat et des bénéficiaires effectifs, recherche de médias défavorables, contrôle des listes de sanctions, entretien avec le dirigeant, demande de documents sur son propre dispositif de conformité.

Les sources sur lesquelles l’AFA indique que l’évaluation peut reposer sont les listes internes, les informations en source ouverte, les bases de données de personnes ou d’entités sanctionnées, les fournisseurs de données commerciales et les documents transmis par le tiers lui-même (Provigis, précité). Le principe directeur est la proportionnalité : ni un questionnaire de quarante pages pour un fournisseur de fournitures courantes, ni une simple case à cocher pour un agent qui négocie des marchés à l’étranger.

construire la cartographie qui alimente l’évaluation

Étape 3 : décider, documenter et encadrer par contrat

L’évaluation débouche sur une décision, et celle-ci n’est pas forcément un oui ou un non. L’AFA reconnaît plusieurs issues : approbation, avec ou sans surveillance renforcée, refus, ou report de la décision dans l’attente d’informations complémentaires. Elle rappelle aussi que l’absence de facteurs de risque ne garantit pas un risque nul, et que l’identification d’un risque n’interdit pas automatiquement de contracter (Provigis, précité). Ce dernier point est essentiel pour les acheteurs : un signal d’alerte appelle une mesure d’atténuation ou une décision motivée, pas nécessairement une rupture.

La documentation de la décision est ce qui rend le dispositif défendable. Une méthodologie spécialisée le résume ainsi : la solidité du système dépend de la qualité du raisonnement, c’est-à-dire des éléments examinés, des risques identifiés et des mesures arrêtées (BECLM, précité). Une décision sans trace, même prise avec discernement, est en pratique invisible lors d’un contrôle.

Le contrat prolonge l’évaluation. Selon le profil de risque, il est courant d’y insérer :

• une clause anticorruption par laquelle le tiers déclare respecter la loi et s’engage à ne pas verser d’avantage indu ;
• un droit d’audit ou de demande d’informations ;
• une faculté de résiliation en cas de manquement ;
• une attestation périodique de conformité pour les tiers les plus exposés.

Ces clauses sont décrites comme des points de vigilance dans un guide méthodologique de la conformité fournisseurs. Leur contenu exact dépend de la relation, du droit applicable et du rapport de force commercial.

Étape 4 : le stock, le flux et la réévaluation

Un point pratique divise les entreprises : faut-il évaluer les tiers déjà en portefeuille (le stock) ou seulement les nouveaux (le flux) ? Un praticien de la conformité illustre le problème par un exemple chiffré : un groupe de 15 000 relations, dont 5 000 fournisseurs et 10 000 clients, qui en intègre environ 300 nouvelles par an, aurait besoin, selon son estimation, de l’équivalent de neuf personnes à temps plein pendant un an pour tout évaluer rétroactivement. Il en déduit une approche réaliste : traiter les nouveaux tiers dès l’entrée en relation et les tiers existants à l’occasion du renouvellement du contrat. Il s’agit d’un point de vue de praticien et d’un exemple illustratif, non d’une règle de l’AFA.

La position de l’AFA est plus exigeante sur le fond : la réévaluation doit être liée au niveau de risque, pas seulement à l’agenda commercial. Une méthodologie publiée en 2025 rapporte, à partir de l’enquête menée par l’AFA en 2024, des fragilités persistantes : inventaires de tiers incomplets (31,3 % dans les résultats cités), collecte d’informations homogène quel que soit le risque, et réévaluation déclenchée par le renouvellement du contrat plutôt que par le niveau de risque (BECLM, précité). Ce chiffre est rapporté par un tiers ; l’enquête elle-même est publiée par l’AFA sous forme de document PDF.

La réévaluation combine donc deux déclencheurs : un calendrier proportionné au risque (plus fréquent pour les tiers sensibles) et des événements précis, comme un changement d’actionnaire, une information défavorable dans la presse, un élargissement de la mission ou l’entrée du tiers dans une zone géographique sensible.

Aucun dispositif ne tient sans une organisation claire. Les méthodologies publiées convergent sur quatre éléments de gouvernance : des circuits de décision avec des responsabilités nommées, une information consolidée à partir des systèmes achats, CRM et finance, des critères standardisés qui limitent la subjectivité, et une piste d’audit exploitable par l’AFA (BECLM, précité). Une entreprise dont les données tiers sont dispersées dans trois systèmes sans identifiant commun aura du mal à répondre à la première question d’un contrôleur : combien de tiers évaluez-vous, et selon quelle segmentation ?

L’outil (logiciel de gestion des tiers, base de données externe, simple tableur) est secondaire par rapport à la méthode. Un tableur bien tenu avec des critères clairs vaut mieux qu’une plateforme sophistiquée alimentée par des données obsolètes. Un guide de mise en conformité résume l’idée : l’évaluation ne peut plus se limiter à un exercice ponctuel ou documentaire, elle doit s’appuyer sur des critères objectivés, des mises à jour régulières et une traçabilité complète des décisions (Aprovall, loi Sapin 2 et évaluation des tiers).

aligner l’évaluation sur les contrôles de l’agence

Les erreurs les plus fréquentes et les risques en cas de contrôle

Les points faibles récurrents relevés par les praticiens sont les suivants :

• un modèle de risque non actionnable, qui ne permet pas de trancher ;
• des questionnaires trop longs pour les tiers peu exposés, qui découragent les fournisseurs sans améliorer la maîtrise du risque ;
• l’absence de mise à jour continue des évaluations ;
• une traçabilité insuffisante des décisions ;
• un périmètre de tiers incomplet, faute d’inventaire fiable.

Sur le plan des risques, une source spécialisée indique que le non-respect de l’obligation peut entraîner des sanctions administratives pouvant atteindre un million d’euros (Supervizor, précité). Le montant applicable dépend de la décision de la commission des sanctions de l’AFA et de la personne visée ; il ne faut pas le confondre avec les sanctions pénales de la corruption elle-même, qui relèvent d’un régime distinct.

les obligations techniques du dispositif d’alerte

FAQ

Faut-il évaluer tous ses fournisseurs ?

La loi vise les fournisseurs de premier rang, mais l’évaluation est proportionnée : la cartographie sert à regrouper les tiers et à réserver les diligences approfondies à ceux dont le profil est le plus risqué. L’AFA recommande d’ailleurs d’élargir la démarche à d’autres catégories de tiers, avec des parcours allégés lorsque le risque est faible.

Un questionnaire suffit-il à évaluer un tiers ?

Non. Le questionnaire est déclaratif et doit être recoupé avec des sources indépendantes : registres, sources ouvertes, listes de sanctions, documents du tiers. Pour un tiers à faible risque, un questionnaire court accompagné de vérifications d’identité peut être proportionné ; pour un intermédiaire, il ne constitue qu’un point de départ.

À quelle fréquence réévaluer un tiers ?

La loi ne fixe pas de périodicité. Les recommandations et les méthodologies convergent sur une fréquence liée au niveau de risque, complétée par des déclencheurs d’événements : changement d’actionnariat, information défavorable, extension de la mission ou changement de zone d’intervention.

Que faire si un tiers présente un signal d’alerte ?

Un signal d’alerte n’impose pas la rupture automatique. L’AFA indique que l’identification d’un risque n’interdit pas de contracter : la décision peut être une approbation sous surveillance renforcée, un refus ou un report dans l’attente d’informations. Dans tous les cas, la décision et ses motifs doivent être consignés.

Conclusion

Auditer ses fournisseurs sous Sapin 2 revient à construire un processus en cinq temps : segmenter à partir de la cartographie, collecter des informations proportionnées, décider et documenter, encadrer par contrat, puis réévaluer selon le risque. Les points qui font la différence en cas de contrôle sont concrets : un périmètre de tiers complet, des critères de risque écrits et cohérents, une décision motivée pour chaque dossier sensible et une réévaluation qui ne dépend pas seulement du calendrier commercial. La loi fixe le principe ; la qualité de l’évaluation se juge à la manière dont l’entreprise l’applique à ses propres risques.

repérer les tiers à traiter en priorité