Le guide complet · 18 min de lecture
Article 17, alertes, contrôle de l’AFA, outils, prestataires et assurance : la méthode pour bâtir un dispositif anticorruption Sapin 2 solide.
La loi n° 2016-1691 du 9 décembre 2016, dite loi Sapin 2, a changé la nature de la lutte contre la corruption dans les entreprises françaises. Elle ne se contente plus de punir des faits commis : elle impose aux plus grandes sociétés de les prévenir, par un dispositif organisé que l’Agence française anticorruption (AFA) contrôle, et dont le défaut peut être sanctionné même en l’absence de toute affaire de corruption.
Pour un dirigeant ou un responsable conformité, la difficulté n’est pas de connaître la liste des mesures. Elle est de savoir par où commencer, ce qu’il faut construire en interne, ce qu’il est raisonnable de confier à un prestataire, quel outil retenir pour recueillir les alertes et ce qu’une assurance peut réellement apporter. Ce guide rassemble ces choix, dans l’ordre où ils se posent, à partir des textes et des publications officielles. Il reprend aussi l’essentiel du statut du lanceur d’alerte, indissociable d’un dispositif crédible.
À retenir
- L’article 17 vise les sociétés et groupes d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros ; en dessous, les recommandations de l’AFA restent la meilleure référence.
- Tout dispositif commence par l’engagement de l’instance dirigeante et par une cartographie des risques propre à l’entreprise.
- Dès 50 salariés, une procédure interne de recueil des signalements est obligatoire : accusé de réception sous sept jours ouvrés, retour sous trois mois.
- La commission des sanctions de l’AFA peut infliger jusqu’à 200 000 euros à une personne physique et un million d’euros à une personne morale, sans qu’aucun fait de corruption soit établi.
- Une assurance peut financer une défense ; elle ne couvre pas la faute intentionnelle et ne dispense d’aucune mesure.
L’obligation pèse sur les présidents, directeurs généraux et gérants des sociétés qui emploient au moins 500 salariés, ou qui appartiennent à un groupe de cette taille dont la société mère a son siège en France, et dont le chiffre d’affaires ou le chiffre d’affaires consolidé dépasse 100 millions d’euros. Les établissements publics à caractère industriel et commercial qui remplissent les mêmes critères sont également visés.
Deux points méritent l’attention avant toute autre démarche.
Une PME ou une ETI sous les seuils n’est pas soumise à l’article 17, mais reste exposée au risque pénal et aux exigences contractuelles de ses grands clients. Les recommandations de l’AFA sont d’ailleurs présentées comme obligatoires pour les entreprises assujetties et comme une référence pour les structures plus petites et les acteurs publics. Le bon choix est alors un dispositif proportionné : une cartographie simple, un code de conduite court, un canal d’alerte et une évaluation des principaux intermédiaires.
Les administrations de l’État, les collectivités territoriales, leurs établissements publics, les sociétés d’économie mixte et certaines associations et fondations reconnues d’utilité publique entrent dans le champ des contrôles de l’AFA prévus par l’article 3 de la loi. Leurs risques les plus documentés touchent les marchés publics, l’urbanisme, les subventions et les recrutements. La démarche décrite ici s’y transpose, avec les adaptations propres à la gouvernance publique.
La première erreur consiste à acheter un code de conduite type et une plateforme d’alerte, puis à considérer le sujet comme traité. Les recommandations de l’AFA reposent sur trois piliers indissociables : l’engagement de l’instance dirigeante, la cartographie des risques d’atteintes à la probité et la gestion de ces risques. Les documents viennent ensuite, comme traduction de ces choix.
L’engagement de l’instance dirigeante est la décision, portée au plus haut niveau, de faire de la prévention de la corruption une priorité visible, dotée de moyens et suivie. Il se manifeste par une prise de position écrite et diffusée de la direction générale, la désignation d’un responsable de la conformité anticorruption disposant d’un accès direct à la direction, un budget et un calendrier réalistes, et un compte rendu régulier devant l’organe de direction.
Le choix du pilote dépend de la taille. Dans un groupe, une fonction conformité dédiée coordonne les directions juridique, financière, achats, ressources humaines et audit interne. Dans une ETI proche du seuil, le rôle revient souvent à la direction juridique ou financière, à condition de lui laisser du temps. Évitez de le confier à la personne la plus exposée au risque, comme le responsable commercial export : le cumul fragilise l’indépendance du dispositif. Le lexique de la conformité anticorruption définit les rôles et notions que ces arbitrages mobilisent.
Rangée troisième dans le texte, la cartographie est première dans la logique. L’article 17 la décrit comme une documentation régulièrement actualisée, destinée à identifier, analyser et hiérarchiser les risques d’exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d’activité et des zones géographiques. Toutes les autres mesures en découlent : une cartographie faible rend le dispositif incohérent.
Une méthode en cinq temps permet de la construire :
C’est la mesure où un appui extérieur apporte le plus, surtout la première fois : méthode, animation des entretiens, regard neutre. Mais elle ne se sous-traite pas entièrement. Un document produit par un tiers à partir de questionnaires génériques, que personne en interne ne sait expliquer, sera vite repéré comme tel. Achetez une méthode, gardez la main sur les scénarios et la cotation.
L’article 17 énumère huit mesures : un code de conduite, un dispositif d’alerte interne, une cartographie des risques, des procédures d’évaluation des clients, fournisseurs de premier rang et intermédiaires, des contrôles comptables, un dispositif de formation, un régime disciplinaire et un dispositif de contrôle et d’évaluation interne. Elles forment un ensemble cohérent, contrôlé dans son existence comme dans son efficacité.
Le code de conduite définit et illustre les comportements à proscrire comme susceptibles de caractériser des faits de corruption ou de trafic d’influence. Il est intégré au règlement intérieur et fait l’objet, à ce titre, de la consultation des représentants du personnel prévue à l’article L. 1321-4 du code du travail. Illustrer signifie partir des risques cartographiés : cadeaux, conflits d’intérêts, paiements de facilitation, mécénat. Un code copié d’un autre groupe manque sa cible.
Le régime disciplinaire permet de sanctionner les salariés qui violent le code. Sans sanction effective, le code reste déclaratif.
L’évaluation des tiers porte sur les clients, fournisseurs de premier rang et intermédiaires. Son intensité suit le risque : un intermédiaire rémunéré à la commission dans un pays exposé n’appelle pas la même diligence qu’un fournisseur de fournitures courantes. Les fiches pratiques de l’AFA décomposent la démarche en sept étapes, de la gouvernance au suivi, en passant par le recensement des tiers, leur regroupement en ensembles homogènes, l’évaluation individuelle et la remédiation.
Les contrôles comptables, internes ou externes, vérifient que les livres et comptes ne masquent pas de faits de corruption. Le guide pratique de l’AFA insiste sur des contrôles dédiés, recensés et formalisés, ciblant les situations à risque.
La formation vise d’abord les cadres et les personnels les plus exposés. La sensibilisation générale ne suffit pas : l’exposition détermine le contenu et la fréquence.
Le dispositif d’alerte interne recueille les signalements des employés sur des conduites contraires au code ; il est détaillé dans la section suivante. Le contrôle et l’évaluation interne vérifient que les sept autres mesures existent, sont appliquées et produisent leurs effets, et alimentent la mise à jour de la cartographie.
Le tableau propose une grille de lecture neutre, non une obligation.
| Mesure | Cœur à garder en interne | Appui externe possible | Outil utile |
|---|---|---|---|
| Cartographie des risques | Scénarios, cotation, plan d’action | Méthode, animation d’ateliers | Tableur ou module de gestion des risques |
| Code de conduite | Choix des règles et des exemples | Relecture juridique, traduction | Diffusion et attestation de lecture |
| Dispositif d’alerte | Traitement, enquête, décisions | Réception externalisée, enquête indépendante | Plateforme de recueil sécurisée |
| Évaluation des tiers | Décision d’entrer en relation | Recherches approfondies sur les tiers à risque | Base de données, questionnaires en ligne |
| Contrôles comptables | Définition des contrôles ciblés | Audit externe | Outils d’analyse des écritures |
| Formation | Messages de la direction, cas internes | Conception pédagogique | Plateforme d’apprentissage en ligne |
| Régime disciplinaire | Décisions et suivi | Conseil en droit du travail | Registre des suites données |
| Contrôle et évaluation interne | Programme de contrôle | Audit indépendant du dispositif | Tableau de bord des indicateurs |
Le dispositif d’alerte est le point de rencontre des deux volets de la loi : prévention de la corruption et protection des lanceurs d’alerte. Il doit être paramétré en tenant compte des deux régimes.
L’alerte de l’article 17 vise les signalements des employés contraires au code de conduite. Le régime général, remanié par la loi n° 2022-401 du 21 mars 2022, qui transpose la directive (UE) 2019/1937, impose une procédure interne de recueil et de traitement des signalements aux entités d’au moins 50 salariés. Une entreprise assujettie à l’article 17 a intérêt à organiser un canal unique plutôt que deux circuits concurrents.
Le lanceur d’alerte est, selon l’article 6 de la loi du 9 décembre 2016 dans sa rédaction issue de la loi de 2022, une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, ou une violation du droit. La protection s’étend aux facilitateurs, personnes physiques ou personnes morales de droit privé à but non lucratif qui l’aident.
Depuis le 1er septembre 2022, le lanceur d’alerte choisit librement entre signalement interne et signalement externe. Le canal externe comprend les autorités désignées par décret, le Défenseur des droits, l’autorité judiciaire et les institutions compétentes de l’Union européenne. La divulgation publique n’est protégée que dans des cas limitativement prévus. Conséquence pratique : un canal interne peu fiable pousse les salariés vers l’extérieur.
Le décret n° 2022-1284 du 3 octobre 2022 impose d’informer par écrit l’auteur de la réception de son signalement dans un délai de sept jours ouvrés, puis de lui communiquer, dans un délai raisonnable n’excédant pas trois mois à compter de l’accusé de réception, les mesures envisagées ou prises. La procédure garantit une stricte confidentialité de l’identité de l’auteur, des personnes visées et des tiers mentionnés. Ces règles ont aussi imposé une mise à jour du règlement intérieur et des affichages obligatoires.
Le Défenseur des droits oriente les lanceurs d’alerte vers l’organisme compétent, recueille les signalements relevant de ses domaines et rend, sur demande, un avis sur la qualité de lanceur d’alerte. Ce site, lui, ne recueille aucun signalement : une personne qui détient des informations doit utiliser les voies prévues par la loi.
Plateformes, bases de données, modules de formation, conseil : aucune solution ne rend un dispositif conforme par elle-même. Le bon choix sert la cartographie et reste maîtrisé par l’entreprise.
Les exigences du décret de 2022 fournissent une grille de sélection objective. Vérifiez que l’outil permet :
Une plateforme ne traite pas une alerte : il faut désigner, former et protéger les personnes qui instruisent les signalements.
Bases de données et questionnaires en ligne font gagner du temps, sans remplacer la décision. Retenez un outil qui module la profondeur de l’analyse selon le risque, documente les recherches et les remédiations, et programme les réévaluations. Les fiches de l’AFA sur l’évaluation des tiers constituent un bon cahier des charges.
Pour choisir un prestataire, demandez une méthode écrite rattachée à l’article 17 et aux recommandations de l’AFA, vérifiez l’absence de conflit d’intérêts si le même cabinet conçoit puis évalue le dispositif, exigez un transfert de compétences et méfiez-vous des promesses de conformité garantie : seule l’AFA contrôle. Une certification de système de management anticorruption, comme la norme ISO 37001, peut structurer la démarche ; elle ne se substitue pas à l’article 17.
Puisque l’article 17 vise personnellement les dirigeants, la question de leur protection se pose. Elle doit être abordée sans illusion.
L’assureur ne répond pas des pertes et dommages provenant d’une faute intentionnelle ou dolosive de l’assuré. Un fait de corruption, par nature intentionnel, sort donc du champ de la garantie. Les amendes et sanctions pécuniaires, personnelles, sont en règle générale exclues par les contrats : lisez attentivement la clause qui les concerne.
Le poste réellement assurable est la défense. Un contrat de responsabilité des dirigeants peut prendre en charge des frais d’avocat, au civil comme au pénal, selon ses conditions. La question décisive est le stade à partir duquel il intervient : contrôle de l’AFA, enquête, mise en cause, procès. Vérifiez aussi le traitement des procédures à l’étranger, le plafond des frais de défense et la définition de la réclamation. Pour les élus locaux, la collectivité accorde en principe la protection fonctionnelle pour les faits liés aux fonctions ; la faute personnelle détachable relève d’une autre logique, qui peut justifier un contrat personnel.
Le comparatif des assurances de responsabilité des dirigeants lit dix organismes selon six critères identiques, sans tarif ni commission : adéquation au profil, clarté de la présentation, frais de défense, lisibilité des exclusions, accès à un interlocuteur et situations internationales. Seuls les documents contractuels font foi.
Un contrôle se prépare en construisant le dispositif. L’AFA vérifie l’existence des mesures sur pièces, leur efficacité sur place par des entretiens et des tests, et leur cohérence avec les risques cartographiés, ainsi que l’implication réelle de la direction.
Saisie par le directeur de l’AFA, la commission des sanctions peut enjoindre d’adapter les procédures internes dans un délai maximal de trois ans, prononcer une sanction pécuniaire plafonnée à 200 000 euros pour une personne physique et à un million d’euros pour une personne morale, proportionnée à la gravité des manquements, et ordonner la publication de sa décision aux frais de la personne sanctionnée. Ces sanctions visent le défaut de prévention, indépendamment de tout fait de corruption.
Si des faits de corruption sont découverts, une personne morale peut conclure une convention judiciaire d’intérêt public (CJIP). Elle comporte une amende d’intérêt public qui ne peut excéder 30 % du chiffre d’affaires moyen annuel, et peut imposer un programme de mise en conformité sous le contrôle de l’AFA pendant trois ans au plus, aux frais de la personne morale.
Suivez peu d’indicateurs, mais réellement : formations ciblées réalisées, nombre et nature des alertes, délai de traitement, part des tiers à risque évalués, anomalies comptables, avancement du plan d’action. Présentez-les au moins une fois par an à l’organe de direction. Mettez la cartographie à jour après une acquisition, l’ouverture d’un pays, un incident ou une nouvelle publication de l’AFA.
Un groupe présent à l’étranger peut aussi relever du Foreign Corrupt Practices Act américain ou du UK Bribery Act britannique. Un programme unique peut répondre à plusieurs régimes, à condition de retenir sur chaque point l’exigence la plus stricte, par exemple sur les paiements de facilitation. Enfin, la loi Sapin 2 a créé le répertoire des représentants d’intérêts tenu par la Haute Autorité pour la transparence de la vie publique : une entreprise qui cherche régulièrement à influer sur la décision publique doit s’y inscrire et déclarer chaque année ses actions.
Elle n’est pas soumise à l’article 17, mais reste exposée au risque pénal et aux exigences de ses clients. Dès 50 salariés, elle doit disposer d’une procédure interne de recueil des signalements. Un dispositif proportionné, inspiré des recommandations de l’AFA, est le choix le plus prudent.
Par l’engagement de la direction, puis par la cartographie. Rédiger un code ou acheter une plateforme avant d’avoir cartographié ses risques produit des documents génériques, vite mis en défaut lors d’un contrôle.
Non. La méthode, la réception des alertes, des recherches sur les tiers ou un audit peuvent être confiés à des prestataires. Les décisions et le traitement des manquements restent de la responsabilité de l’entreprise et de ses dirigeants.
En règle générale, non : les sanctions pécuniaires sont personnelles et les contrats les excluent le plus souvent, et la faute intentionnelle est exclue par la loi. L’assurance peut financer la défense. La foire aux questions reprend ces points par profil de lecteur.
Non. Depuis le 1er septembre 2022, il choisit librement entre canal interne et canal externe. La divulgation publique n’est protégée que dans les cas prévus par la loi, et le Défenseur des droits peut l’orienter.
Bien choisir son dispositif anticorruption, c’est refuser les raccourcis : ni un code type, ni une plateforme, ni une assurance ne suffisent à satisfaire l’article 17. L’engagement de la direction ouvre la démarche, la cartographie oriente chaque choix, les huit mesures s’y rattachent et le contrôle interne fait vivre l’ensemble. Outils et prestataires se choisissent ensuite, sur des critères vérifiables, sans perdre la maîtrise des décisions.
Ce guide résume les textes et les publications officielles ; il ne remplace ni leur lecture intégrale, ni l’analyse propre à chaque organisation. Pour approfondir, consultez les analyses publiées sur le blog ou le lexique. La page à propos présente la méthode éditoriale du site, et une erreur peut être signalée via la page de contact.
Ce guide est publié à titre informatif, à partir des textes et des publications officielles à la date indiquée. Il ne remplace ni un avis juridique, ni l’analyse d’une situation particulière par un professionnel habilité.
Pour aller plus loin
Secteur Public & Transparence
Déclarations à la HATVP, charte de l'élu, répertoire des lobbys, dispositif d'alerte : ce qui s'impose aux élus locaux et ce que Sapin 2 a vraiment ajouté.
30 octobre 2026
Protection des Lanceurs d'Alerte
Crime ou délit dans votre entreprise : canal interne, autorité externe, justice ou divulgation publique. Les règles de la loi Sapin 2 modifiée et les protections.
26 octobre 2026
Les 8 Piliers de la Conformité
Sapin 2 impose d'évaluer clients, fournisseurs de premier rang et intermédiaires selon la cartographie des risques : méthode, diligences, suivi et preuves.
22 octobre 2026
500 salariés et 100 millions d’euros de chiffre d’affaires : au-delà, huit mesures s’imposent. Les guides les détaillent une à une.
