Conformité financière en entreprise : ce que ça veut dire (hors banque)

Le 9 juillet 2026, la commission des sanctions de l'Agence française anticorruption a infligé 350 000 € à une entreprise et 60 000 € à son président. Sept des huit obligations de l'article 17 de la loi Sapin 2 n'étaient pas respectées, parmi lesquelles les procédures de contrôles comptables. L'entreprise concernée n'est pas un établissement financier. Le mot « conformité » reste pourtant associé à la banque : une fonction dédiée, un responsable déclaré au superviseur, des contrôles sur les clients. Pour une direction financière industrielle ou de services, le terme désigne autre chose : la fiabilité des comptes, et les contrôles capables de la démontrer.

Conformité financière et conformité bancaire : la confusion à lever

Deux régimes portent le même nom. En banque, la conformité est une fonction imposée par un texte : l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque oblige les établissements à désigner un responsable de la vérification de la conformité et à communiquer son identité à l'ACPR. Le poste existe parce que la réglementation l'exige, et il relève d'un régulateur prudentiel.

Hors du secteur financier, aucun texte général n'impose de fonction conformité nommée. La loi Sapin 2 impose un dispositif en huit mesures et fait peser l'obligation sur le président, le directeur général ou le gérant. Elle ne crée aucune direction. L'organisation reste à la main de l'entreprise, la responsabilité reste personnelle. C'est cette asymétrie qui explique pourquoi les contenus sur la conformité en général se transposent mal au monde industriel.

Qui porte la conformité financière dans une entreprise ?

Quatre acteurs se partagent le sujet, et aucun ne s'appelle « compliance officer ». Le CFO porte la responsabilité finale du chiffre publié ; dans une société cotée aux États-Unis, il la signe nominativement au titre de SOX 302. La comptabilité et le contrôle de gestion exécutent les contrôles de premier niveau : rapprochements, revues d'écritures, validation des tiers. L'audit interne intervient en troisième ligne, pour vérifier que ces contrôles existent et fonctionnent. Le comité d'audit, enfin, supervise sans exécuter.

Cette répartition n'est pas un simple usage. L'article L.821-67 du Code de commerce, en vigueur depuis le 1er janvier 2024, charge le comité spécialisé de « suivre l'efficacité des systèmes de contrôle interne et de gestion des risques » pour les procédures relatives à l'élaboration de l'information comptable et financière. Le verbe compte : le comité suit l'efficacité, il ne la produit pas. De son côté, l'IIA a actualisé son modèle des trois lignes par une prise de position du 8 juillet 2026, qui attribue au management la propriété des risques et des contrôles, aux fonctions de deuxième ligne l'expertise et la remise en question, à l'audit interne l'assurance indépendante.

Les obligations concrètes

L'ICFR s'applique aux groupes français cotés aux États-Unis, comme Sanofi ou TotalEnergies, et par ricochet à leurs filiales françaises intégrées au périmètre. La SEC le définit comme un processus donnant une assurance raisonnable sur la fiabilité du reporting financier. L'évaluation annuelle par la direction relève de SOX 404 ; l'attestation de l'auditeur externe, elle, ne vise aujourd'hui que les accelerated filers, c'est-à-dire les émetteurs dont le flottant dépasse 75 millions de dollars. Une proposition de la SEC du 19 mai 2026 relèverait ce seuil à 2 milliards de dollars de flottant, ce qui exempterait une large part des émetteurs. Elle n'est pas adoptée, et le périmètre actuel de SOX reste la référence.

La cinquième mesure de l'article 17 de Sapin 2 est celle qui rattache l'anticorruption à la comptabilité. Elle impose des procédures de contrôles comptables destinées à s'assurer que les livres, registres et comptes ne servent pas à masquer des faits de corruption. Ces contrôles peuvent être internes ou confiés au commissaire aux comptes. Le guide pratique de l'AFA sur les contrôles comptables anticorruption précise l'architecture attendue : un premier niveau exécuté par les équipes comptables et financières, un deuxième réalisé par des personnes indépendantes des premières et étalé sur l'année, un troisième relevant de l'audit interne. C'est l'un des rares endroits où un régulateur français décrit précisément la mécanique attendue d'un dispositif de contrôle.

La reconnaissance du revenu, encadrée par IFRS 15 depuis les exercices ouverts au 1er janvier 2018 et par ASC 606 aux États-Unis, complète le tableau avec son modèle en cinq étapes, de l'identification du contrat à la comptabilisation du produit. Ces obligations s'articulent avec les outils de gestion des risques financiers déployés par les directions financières.

Le FEC, mécanisme franco-français

Le fichier des écritures comptables doit être remis à l'administration fiscale dès le début d'une vérification de comptabilité. Son format est fixé par l'article A.47 A-1 du Livre des procédures fiscales : dix-huit champs obligatoires, dans un ordre imposé, du code journal jusqu'à l'identifiant de devise. Le défaut de présentation ou un fichier non conforme expose à une amende de 5 000 € au titre de l'article 1729 D du CGI, portée à 10 % des droits rappelés si ce montant est supérieur. Aucune autre juridiction n'impose un export comptable normé de cette nature, ce qui en fait un point de contrôle propre aux entités françaises.

Comment prouver sa conformité financière

La documentation d'une procédure ne vaut pas démonstration de son efficacité. C'est la distinction que l'AFA a opposée à l'entreprise sanctionnée en juillet 2026 : des mesures adoptées après le contrôle peuvent modérer l'amende, elles ne font pas disparaître le manquement constaté. La même logique vaut pour un audit SOX, où l'évaluateur teste l'exécution réelle du contrôle sur la période, pas son existence sur le papier.

Reste la question de la couverture. Tester un échantillon de 25 écritures sur un journal qui en compte 400 000 renseigne sur la régularité du processus. Les anomalies recherchées ici sont rares et construites pour ressembler au reste : elles échappent par nature à un tirage de cette taille. Quand les contrôles de premier niveau sont automatisés, le guide de l'AFA demande d'adapter en conséquence les contrôles de deuxième niveau, ce qui ouvre la voie à des dispositifs testant l'intégralité des transactions à chaque extraction. C'est le principe de la surveillance continue des contrôles : Supervizor analyse 100 % des écritures via plus de 350 contrôles préconfigurés sur les cycles achats, ventes, comptabilité générale, trésorerie et notes de frais, avec traçabilité des résultats à chaque passage. Les approches de monitoring de conformité assisté par IA poursuivent le même objectif : produire une preuve datée et reproductible plutôt qu'un classeur de procédures.

Ce qui se passe en cas de défaillance

Trois conséquences, d'intensité croissante. La première est le retraitement comptable. Audit Analytics recense 391 retraitements aux États-Unis en 2025, en baisse de 18 % sur un an ; la reconnaissance du revenu figure dans 14 % d'entre eux, juste derrière les erreurs de classement entre dettes et capitaux propres. La deuxième est la faiblesse significative, qui oblige à déclarer publiquement un contrôle interne inefficace et pèse immédiatement sur la relation avec les investisseurs et les auditeurs.

La troisième est la sanction. L'AFA a mené 175 contrôles d'acteurs économiques depuis 2017 selon son rapport d'activité 2025, soit une dizaine par an : la probabilité d'être contrôlé reste faible, mais la nature du risque a changé depuis qu'une amende peut être prononcée sans injonction préalable, dans la limite d'un million d'euros pour la personne morale et de 200 000 € pour le dirigeant. Côté américain, les dispositions comptables du FCPA restent en vigueur malgré la pause décidée par l'exécutif en février 2025 ; la SEC a engagé 47 procédures portant sur le reporting des émetteurs et sur des questions d'audit et de comptabilité pour l'exercice 2025. Les schémas de fraude interne qui alimentent ces dossiers, écritures manipulées ou fournisseurs fictifs, relèvent des mêmes contrôles que ceux décrits plus haut, et c'est précisément le terrain de la détection de fraude par l'IA.

Conclusion

La conformité financière d'une entreprise ne se résume pas à un corpus réglementaire : elle se joue sur la capacité à désigner, pour chaque obligation, qui l'exécute et avec quelle preuve. Partez de la cartographie des risques, attribuez chaque contrôle à un propriétaire nommé, puis vérifiez ce que vaut la preuve produite. Si elle repose sur un échantillon annuel, la question suivante est celle de la couverture réelle.