Conformité anti-corruption : construire un dispositif qui tient devant l'AFA

La plupart des dispositifs anti-corruption concentrent leurs moyens sur la couche gouvernance : code de conduite, évaluation des tiers, formation, dispositif d'alerte. Cette couche est nécessaire. Elle ne suffit pas.

L'article 17 de la loi Sapin II impose un cinquième pilier dont on parle beaucoup moins : des procédures de contrôles comptables destinées à s'assurer que les livres, registres et comptes ne servent pas à masquer des faits de corruption. Autrement dit, tester les paiements réels, pas seulement documenter les règles qui les encadrent.

C'est l'écart que l'AFA examine. Un dispositif qui produit des politiques sans démontrer que les décaissements ont été vérifiés laisse le contrôleur sans preuve. Depuis juillet 2026, cet écart se chiffre.

Qu'est-ce que la conformité anti-corruption ?

La conformité anti-corruption désigne l'ensemble des mesures qu'une organisation met en place pour prévenir, détecter et traiter les atteintes à la probité commises par ses salariés ou par des tiers agissant pour son compte.

Le droit français distingue trois qualifications que les dispositifs confondent souvent :

• La corruption active : proposer un avantage à une personne pour qu'elle accomplisse ou s'abstienne d'accomplir un acte de sa fonction
• La corruption passive : solliciter ou accepter cet avantage
• Le trafic d'influence : monnayer une influence, réelle ou supposée, sur une décision publique

S'y ajoutent les paiements de facilitation, interdits en France et au Royaume-Uni, tolérés dans un périmètre étroit par le droit américain.

L'enjeu dépasse le respect formel de l'obligation. Selon le rapport Occupational Fraud 2026: A Report to the Nations de l'ACFE, publié en mai 2026, la corruption est présente dans 45 % des cas de fraude professionnelle analysés, avec une perte médiane de 150 000 dollars. La durée médiane avant détection, tous schémas confondus, reste de douze mois. Un dispositif anti-corruption est donc aussi un dispositif de protection du résultat.

Les principaux cadres réglementaires

Sapin II structure l'obligation française. L'article 17 de la loi n° 2016-1691 du 9 décembre 2016 impose un dispositif en huit mesures aux sociétés d'au moins 500 salariés réalisant plus de 100 millions d'euros de chiffre d'affaires, ainsi qu'à leurs dirigeants à titre personnel. Le périmètre exact des entités assujetties, y compris pour les filiales de groupes étrangers, est détaillé dans notre analyse de qui est concerné par la loi Sapin II.

Le FCPA américain ajoute une dimension que Sapin II ne couvre pas de la même manière. Ses dispositions comptables, codifiées aux sections 13(b)(2)(A) et 13(b)(2)(B) du Securities Exchange Act, imposent aux sociétés cotées aux États-Unis de tenir des livres exacts et de maintenir des contrôles comptables internes. Ces dispositions s'appliquent même quand la corruption n'est pas établie. En septembre et octobre 2024, la SEC a sanctionné Deere & Company et Moog Inc. sur ce seul fondement, sans retenir d'infraction de corruption contre les groupes.

L'extraterritorialité est réelle pour les entreprises françaises. En mars 2026, le fabricant français de dispositifs médicaux Balt SAS a obtenu du DOJ une décision de ne pas poursuivre (declination), assortie d'une restitution de 1,2 million de dollars et d'une résolution parallèle avec les autorités françaises.

Le UK Bribery Act de 2010 crée une responsabilité de l'entreprise pour défaut de prévention (section 7), dont la seule défense est l'existence de procédures adéquates. Il ne comporte aucune obligation comptable propre. Cette lacune se comble depuis le 1er septembre 2025, avec l'entrée en vigueur de l'infraction de failure to prevent fraud créée par l'Economic Crime and Corporate Transparency Act 2023, dont les infractions sous-jacentes incluent le faux en écritures comptables.

ISO 37001 reste une certification volontaire. Sa deuxième édition, ISO 37001:2025, a été publiée en février 2025 et remplace celle de 2016, désormais retirée. Elle impose de formaliser des contrôles financiers et non financiers, avec des exemples concrets : séparation des tâches, double signature, seuils d'approbation, classification exacte des paiements en comptabilité.

Un groupe français coté aux États-Unis et présent au Royaume-Uni relève des trois cadres simultanément. Les trois convergent sur un point : la preuve attendue est transactionnelle. À l'échelle européenne, la directive (UE) 2026/1021, publiée au JOUE le 11 mai 2026, harmonise les infractions de corruption et devra être transposée au plus tard le 1er juin 2028.

Les 8 piliers du dispositif Sapin II

Les huit mesures de l'article 17 constituent la grille la plus opérationnelle disponible, parce qu'elles sont les seules auditées par une autorité dédiée. Chacune appelle une preuve distincte.

Les piliers 5 et 8 forment un couple. Le premier exige des tests sur les écritures comptables. Le second exige la preuve que ces tests ont bien eu lieu, que leurs résultats ont été analysés et que les anomalies ont été traitées.

Dans ses recommandations publiées au Journal officiel le 12 janvier 2021, l'AFA structure les contrôles comptables anticorruption en trois niveaux. Le premier relève des équipes comptables et financières, et doit être formalisé et documenté. Le deuxième vérifie la bonne exécution du premier, par une personne indépendante de celle qui l'a réalisé. Le troisième relève de l'audit interne. L'agence a consacré à ce pilier un guide pratique dédié, publié en novembre 2021.

Notre guide complet de la loi Sapin II reprend chaque pilier en détail.

Les deux couches d'un dispositif anti-corruption

Un dispositif anti-corruption fonctionne sur deux couches qui ne répondent pas à la même question.

La couche gouvernance répond à : avons-nous défini les règles et formé les bonnes personnes ? Elle regroupe les piliers 1, 2, 3, 4, 6 et 7. C'est la couche sur laquelle la quasi-totalité des entreprises assujetties a investi depuis 2017, et celle que couvre l'essentiel des offres du marché.

La couche transactionnelle répond à une question plus exigeante : nos écritures comptables montrent-elles que ces règles ont été respectées ? Elle correspond aux piliers 5 et 8, et teste les paiements réels, les notes de frais réelles, les tiers réellement créés dans le référentiel fournisseurs.

La distinction est utile pour comprendre ce que couvre l'outillage existant. Les solutions de screening et de due diligence vérifient à qui vous payez : elles interrogent des bases de sanctions, de personnes politiquement exposées, de bénéficiaires effectifs. Elles ne vérifient pas ce que vous payez réellement une fois le tiers approuvé. Un intermédiaire validé en due diligence peut parfaitement recevoir, dix-huit mois plus tard, une commission sans livrable identifiable.

L'exemple le plus courant est celui des cadeaux et invitations. Une politique parfaitement rédigée n'empêche pas une invitation de 12 000 euros adressée à un acheteur public d'être comptabilisée en frais de déplacement. Seul un test sur les écritures le révèle.

[ASSET : schéma à produire] Couche gouvernance (piliers 1, 2, 3, 4, 6, 7) au-dessus de la couche transactionnelle (piliers 5 et 8). Mention de l'écart entre ce que la politique interdit et ce que les écritures prouvent.

Ce que contrôle l'AFA

Le contrôle de l'AFA se déroule en plusieurs temps. L'agence notifie l'ouverture, adresse un questionnaire détaillé accompagné d'une demande de pièces, puis conduit des entretiens sur place avec la direction, la conformité, la comptabilité et l'audit interne. Elle rédige ensuite un rapport soumis au contradictoire avant notification définitive.

Les volumes restent mesurés mais la pression augmente. Selon son rapport d'activité 2025, publié le 6 juillet 2026, l'AFA a ouvert 10 contrôles d'acteurs économiques en 2025, portant le total à 175 contrôles depuis 2017. L'agence comptait 60 agents au 31 décembre 2025 et a reçu 2 257 signalements sur l'année, dont 242 jugés recevables.

Les suites sont graduées : recommandations, avertissement de la directrice, ou saisine de la commission des sanctions.

Sur le terrain, c'est le pilier 5 qui pose le plus de difficultés. Les entreprises produisent sans peine leur code de conduite et leurs supports de formation. Elles peinent davantage à démontrer qu'un contrôle comptable anticorruption a été exécuté, sur quel périmètre, avec quel résultat et quel traitement des anomalies. Un contrôle réalisé mais non documenté est, pour un contrôleur, un contrôle inexistant.

C'est la raison pour laquelle la surveillance continue constitue une preuve de diligence efficace. Un dispositif qui produit, à chaque extraction de données, une liste horodatée d'anomalies et leur historique de traitement répond simultanément aux piliers 5 et 8. Notre article sur la préparation d'un contrôle de l'AFA détaille les pièces à rassembler en amont.

Signaux d'alerte de corruption dans les données financières

La corruption passe rarement par un virement direct. Le Foreign Bribery Report de l'OCDE, publié en 2014 sur 427 affaires conclues, établit que des intermédiaires interviennent dans trois affaires sur quatre : agents, distributeurs et courtiers dans 41 % des cas, véhicules sociétaires, sociétés écrans ou entités détenues par l'agent public dans 35 %.

Ces schémas laissent des traces dans des processus financiers identifiables.

Les trois premiers signaux figurent dans les listes des autorités, notamment le guide de l'AFA et le FCPA Resource Guide du DOJ et de la SEC. Les suivants relèvent de la pratique d'audit : ils ne constituent pas une liste réglementaire, mais ils désignent les écritures à examiner en priorité. La détection d'anomalies comptables repose sur ces mêmes règles.

Comment tester l'efficacité de vos contrôles

Le passage de la documentation à la preuve transactionnelle se joue sur la couverture. Tester 40 paiements fournisseurs sur 180 000 revient à espérer que le schéma frauduleux se trouve dans l'échantillon. Le sondage statistique reste la pratique dominante en audit, mais il repose sur une hypothèse que les données ne valident pas : la fraude n'est pas distribuée de façon homogène dans la population testée.

Trois conditions rendent les tests défendables devant un contrôleur :

• Le test exhaustif, sur 100 % de la population et non sur un échantillon, pour chaque cycle à risque : achats, trésorerie, notes de frais, référentiel tiers
• La surveillance continue, puisqu'un test annuel laisse onze mois pendant lesquels rien n'est détecté
• La piste d'audit, qui documente le test, son résultat et le traitement de chaque anomalie, conformément au pilier 8

C'est le rôle du contrôle interne outillé. La plateforme Supervizor applique plus de 350 contrôles prêts à l'emploi sur l'intégralité des transactions, à chaque extraction de données, sur les cycles achats, trésorerie, notes de frais et données de référence tiers, dont les modifications de coordonnées bancaires. Les anomalies remontent dans un espace d'investigation et de reporting qui conserve leur contexte et leur traitement, ce qui constitue la trace attendue au titre du pilier 8.

Cette couche est complémentaire des outils de due diligence, non concurrente : ces derniers qualifient le tiers en amont, la surveillance transactionnelle vérifie ce qui lui est effectivement versé ensuite. Le logiciel Sapin II et le logiciel d'audit analytics couvrent ce périmètre.

Une entreprise qui teste l'intégralité de ses paiements ne retrouve pas seulement les risques inscrits dans sa cartographie. Elle en identifie d'autres, qu'aucun atelier de cotation n'aurait anticipés.

Sanctions et conséquences

La commission des sanctions de l'AFA peut prononcer une injonction de mise en conformité, sous un délai qu'elle fixe, et une sanction pécuniaire plafonnée à 1 million d'euros pour une personne morale et 200 000 euros pour une personne physique.

Cette possibilité est devenue effective. Le 9 juillet 2026, la commission a rendu sa première décision assortie d'une sanction pécuniaire : 350 000 euros contre une société et 60 000 euros contre son président à titre personnel. Les décisions sont publiables, ce qui ajoute une exposition médiatique à la sanction financière.

En parallèle, la voie pénale reste ouverte. Le Parquet national financier peut proposer une convention judiciaire d'intérêt public, qui combine une amende d'intérêt public et, le plus souvent, un programme de mise en conformité de plusieurs années placé sous le contrôle de l'AFA. L'agence recensait 27 CJIP conclues pour des atteintes à la probité depuis 2017, dont quatre nouvelles en 2025. À défaut de CJIP, les poursuites de droit commun s'appliquent aux personnes morales comme aux dirigeants.

Les conséquences indirectes pèsent souvent davantage que l'amende : exclusion des procédures de marchés publics, résiliation de contrats comportant des clauses de probité, difficultés de financement et dégradation de la relation avec les donneurs d'ordre. Notre article sur les sanctions prévues par Sapin II détaille les régimes applicables.

Conclusion

L'AFA ne demande pas si vos politiques existent. Elle demande ce que vos écritures comptables prouvent. Depuis juillet 2026, l'écart entre les deux se traduit par une sanction pécuniaire.

Le point de départ est simple : un test rétrospectif sur douze mois de paiements fournisseurs, de notes de frais et de modifications de coordonnées bancaires, en appliquant les signaux d'alerte listés plus haut. Le résultat indique si votre cinquième pilier fonctionne.