Loi Sapin II — Article 17
Les 8 mesures, pas à pas

La loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique — dite loi Sapin II — constitue le socle du droit anticorruption français. Son article 17, entré en vigueur le 1er juin 2017, impose aux grandes entreprises et à leurs dirigeants de déployer un programme de prévention et de détection de la corruption articulé autour de huit mesures précises, sous peine de sanctions pénales et administratives.

En 2024, à l'approche du huitième anniversaire de la loi, l'Agence française anticorruption (AFA) a publié son troisième diagnostic national sur les dispositifs anticorruption dans les entreprises françaises. Les résultats confirment des progrès réels — mais aussi des lacunes persistantes, notamment chez les entreprises non directement assujetties mais exposées par effet de ruissellement via leurs donneurs d'ordre.

Ce guide ne résume pas la loi. Il la décompose opérationnellement : chaque mesure est expliquée dans sa logique, ses critères AFA, ses exigences documentaires, les erreurs fréquentes observées en contrôle et les implications pratiques pour une ETI française. Les données sont sourcées sur les documents AFA originaux.

Ce document est destiné aux directeurs conformité, DAF, DRH et directeurs généraux d'ETI françaises de 200 à 5 000 salariés — qu'ils soient directement assujettis à l'article 17 ou soumis à l'effet de ruissellement de leurs clients grands comptes.

Texte de l'article 17 (extrait structuré)

L'article 17 de la loi Sapin II impose aux entités assujetties de "prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence". Il liste explicitement huit mesures constitutives du programme anticorruption :

Article 17 — Loi n° 2016-1691 du 9 décembre 2016

Les sociétés qui emploient au moins cinq cents salariés, ou appartenant
à un groupe de sociétés dont la société mère a son siège social en France
et dont l'effectif comprend au moins cinq cents salariés, et dont le
chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à cent
millions d'euros sont tenues de mettre en œuvre les mesures suivantes :

  1° Un code de conduite définissant et illustrant les comportements à
     proscrire comme susceptibles de caractériser des faits de corruption
     ou de trafic d'influence.

  2° Un dispositif d'alerte interne destiné à permettre le recueil des
     signalements émanant d'employés et relatifs à l'existence de
     conduites ou de situations contraires au code de conduite de la
     société.

  3° Une cartographie des risques destinée à identifier, analyser et
     hiérarchiser les risques d'exposition de la société à des sollicitations
     externes à des fins de corruption.

  4° Des procédures d'évaluation de la situation des clients, fournisseurs
     de premier rang et intermédiaires au regard de la cartographie des
     risques.

  5° Des procédures de contrôles comptables, internes ou externes,
     destinées à s'assurer que les livres, registres et comptes ne sont pas
     utilisés pour masquer des faits de corruption ou de trafic d'influence.

  6° Un dispositif de formation destiné aux cadres et aux personnels les
     plus exposés aux risques de corruption et de trafic d'influence.

  7° Un régime disciplinaire permettant de sanctionner les salariés de la
     société en cas de violation du code de conduite de la société.

  8° Un dispositif de contrôle et d'évaluation interne des mesures mises
     en œuvre.

Ce que révèle la structure de l'article

La "présomption simple de conformité"

Les recommandations de l'AFA constituent un référentiel de conformité dont le respect crée une présomption simple que l'entité a rempli ses obligations. Cette présomption est réfragable : l'AFA peut démontrer qu'un dispositif formellement conforme aux recommandations est inefficace en pratique.
— Recommandations AFA, JORF n°0010 du 12 janvier 2021, §I.3

La portée de cette présomption est double : elle protège les entités qui suivent les recommandations, mais elle signifie aussi qu'un dispositif "sur le papier" sans application réelle ne suffit pas. L'AFA contrôle l'effectivité, pas seulement l'existence formelle.

Les deux critères cumulatifs

Piège fréquent : une entreprise de 600 salariés réalisant 80 M€ de CA n'est PAS assujettie directement. Les deux critères doivent être simultanément atteints. En revanche, si elle est fournisseur d'un grand groupe assujetti, elle peut être contractuellement contrainte de déployer un dispositif équivalent — c'est l'effet de ruissellement.

Calcul de l'effectif et du CA — cas des groupes

L'effet de ruissellement — le périmètre réel du marché

L'article 17 fixe le seuil légal à 500 salariés / 100 M€ CA. Mais les entreprises assujetties répercutent leurs exigences de conformité dans leurs contrats fournisseurs et sous-traitants. Ce mécanisme — documenté par l'AFA dans son rapport du dixième anniversaire de la loi (mars 2026) — étend le périmètre effectif de l'obligation bien au-delà des seuils légaux.

Infractions visées — au-delà de la corruption

L'article 17 vise explicitement deux infractions, mais les recommandations AFA élargissent le périmètre :

L'AFA n'a pas retenu la liste des 8 mesures telle quelle pour structurer ses recommandations. Elle les a réorganisées en 3 piliers indissociables, introduisant une logique de dépendance : sans le pilier 1 (engagement de l'instance dirigeante), les piliers 2 et 3 sont sans effet juridique. Sans le pilier 2 (cartographie des risques), les mesures du pilier 3 sont arbitraires et non défendables en contrôle.

Vue d'ensemble — 3 piliers, 8 mesures

Correspondance 3 piliers / 8 mesures légales

Le principe de proportionnalité

Les recommandations de l'AFA s'appliquent de façon proportionnée à la taille, aux activités et aux risques de l'entité. Une ETI de 600 salariés active sur un seul marché national n'a pas à déployer un programme identique à celui d'un groupe coté opérant dans 40 pays. Ce que l'AFA évalue : l'adéquation du dispositif aux risques réels identifiés.
— Recommandations AFA, §I.4.1 — Principe de proportionnalité

Définition de l'instance dirigeante

L'AFA distingue soigneusement l'instance dirigeante selon la forme juridique de l'entité :

Ce que l'AFA exige de l'instance dirigeante

Erreur fréquente — la délégation totale

Responsabilité personnelle des dirigeants

L'article 17 génère deux niveaux de responsabilité :

• Responsabilité administrative de la personne morale : jusqu'à 1 M€ d'amende + injonction de mise en conformité (max 3 ans) prononcée par la commission des sanctions AFA
• Responsabilité administrative personnelle du dirigeant : jusqu'à 200 000 € d'amende personnelle
• Responsabilité pénale des personnes physiques : les infractions de corruption et trafic d'influence sont des crimes/délits du code pénal — le programme Sapin II est un élément de défense, pas une immunité

La cartographie des risques est la mesure la plus structurante du dispositif. L'AFA la positionne comme un préalable aux sept autres : on ne peut pas rédiger un code de conduite pertinent, former les bonnes personnes ou évaluer les bons tiers sans savoir d'abord où se situent réellement les risques.

Les 3 étapes de la cartographie AFA

Matrice de risques — grille type (4×4)

Niveaux : Faible = surveillance · Modéré = procédure formelle · Élevé = contrôle renforcé · Critique = action corrective immédiate

Facteurs de risque — ce que l'AFA recherche

Mise à jour de la cartographie

L'AFA recommande une révision au moins tous les deux ans, et systématiquement lors d'événements déclencheurs : entrée sur un nouveau marché, acquisition, changement de direction, incident détecté, modification réglementaire. Une cartographie figée est un signal négatif fort lors d'un contrôle.

Le code de conduite est souvent la première mesure mise en place — et l'une des plus mal conçues. L'AFA distingue un code de conduite anticorruption d'une charte éthique générale : le premier est précis, illustré, et directement lié à la cartographie des risques. La seconde est une déclaration de valeurs sans portée opérationnelle.

Contenu obligatoire selon les recommandations AFA

Ce qui ne suffit pas

Validation et diffusion — les preuves documentaires attendues

• PV ou délibération du conseil approuvant le code
• Accusé de réception signé par chaque collaborateur (ou confirmation de lecture en e-learning)
• Intégration dans le règlement intérieur (obligatoire pour que les sanctions soient opposables)
• Remis lors de l'onboarding + mention dans le contrat de travail ou avenant
• Accessible en permanence (intranet, portail RH)

Population cible — qui former en priorité

L'article 17 vise "les cadres et les personnels les plus exposés aux risques de corruption et de trafic d'influence". La cartographie des risques (§05) est le seul outil qui permet d'identifier ces populations de façon défendable.

Ce que l'AFA contrôle sur la formation

L'évaluation des tiers (due diligence anticorruption) est la mesure qui génère le plus d'incertitude opérationnelle. La loi parle de "clients, fournisseurs de premier rang et intermédiaires". Les recommandations AFA étendent implicitement le périmètre à tout tiers présentant un risque identifié en cartographie.

Définition du périmètre des tiers à évaluer

Niveaux de diligence proportionnés au risque

Sources publiques mobilisables gratuitement (recommandées par l'AFA)

Base Sirene / Infogreffe        → Existence légale, dirigeants, capital
Registre des bénéficiaires eff. → INPI / Pappers — qui détient réellement
BODACC                          → Procédures collectives, jugements
Listes de sanctions             → OFAC (US) · Sanctions UE · Trésor FR · ONU
Registre des représentants      → Haute Autorité pour la transparence (HATVP)
Décisions AFA publiées          → Antécédents de sanctions anticorruption
Presse et open source           → Google News, Factiva, Dow Jones Risk
Score CPI pays                  → Transparency International (voir guide CPI/IPC TRIADS)

Résultat du diagnostic AFA 2024 sur l'évaluation des tiers

Le dispositif d'alerte interne prévu à l'article 17 est distinct — mais complémentaire — du dispositif d'alerte prévu par la loi Waserman (loi n° 2022-401 du 21 mars 2022). L'articulation entre les deux est un point clé que l'AFA examine lors de ses contrôles.

Article 17 vs loi Waserman — tableau de différences

Ce que les recommandations AFA imposent (§55–60)

• Un ou plusieurs canaux de signalement accessibles — au minimum une adresse email dédiée, idéalement une plateforme spécialisée
• Accessibilité aux tiers (fournisseurs, partenaires) : optionnelle mais fortement recommandée
• Anonymat préservable : le dispositif doit permettre des échanges avec l'auteur tout en préservant son anonymat
• Confidentialité garantie : limitation des accès aux seuls personnels autorisés — les droits d'accès doivent être formalisés
• Destruction des données : si aucune suite, destruction sous 2 mois après clôture des vérifications
• Indicateurs de suivi : nombre d'alertes reçues, classées sans suite, traitées, délais — transmis à l'instance dirigeante

Rapport AFA 2024 — signalements reçus

Signal : l'explosion des signalements (+83 % en un an) traduit une meilleure connaissance des droits par les salariés et une augmentation des recours externes. Un dispositif interne bien conçu capte ces alertes avant qu'elles n'atteignent l'AFA ou la presse — c'est son intérêt stratégique pour l'entreprise.

Le contrôle comptable anticorruption est souvent traité comme une simple extension de l'audit financier classique. C'est une erreur de positionnement : l'AFA attend des procédures spécifiquement orientées vers la détection de schémas de corruption, pas une revue comptable générale.

Ce que l'AFA entend par "contrôles comptables"

Les procédures de contrôle comptable visent à s'assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption ou de trafic d'influence — notamment via des paiements fictifs, des commissions opaques, des cadeaux mal comptabilisés ou des dépenses de représentation sans justification réelle.
— Art. 17, 5° loi Sapin II

Schémas de corruption à détecter via les comptes

Les 3 niveaux de contrôle interne (recommandations AFA §61–65)

Interaction avec la DGCCRF — délais de paiement

Les contrôles DGCCRF sur les délais de paiement (LME, article L.441-10 et suivants) constituent un angle d'entrée complémentaire. En 2025, sur 409 entreprises contrôlées, 228 procédures ont été engagées pour 47 M€ d'amendes — un taux d'anomalie de 40 %. Ces défaillances résultent souvent des mêmes lacunes organisationnelles qui exposent une entreprise en matière de Sapin II.

C'est la mesure qui "ferme la boucle" du programme anticorruption. Elle impose à l'entité de vérifier périodiquement que son propre dispositif fonctionne — pas seulement qu'il existe sur le papier. C'est sur ce pilier que l'écart entre conformité formelle et conformité réelle est le plus visible.

Objectifs du contrôle du dispositif

• Prévenir et détecter les atteintes à la probité
• Contrôler la mise en œuvre effective, conforme et efficace des mesures (pas seulement leur existence)
• Définir des recommandations correctives et suivre leur mise en œuvre

Ce que l'AFA contrôle sur cette mesure

Régime disciplinaire — conditions de validité

Sans régime disciplinaire formellement opposable, le code de conduite n'a aucune force contraignante. L'AFA vérifie que les sanctions prévues sont réelles, proportionnées et effectivement appliquées.

Gestion des insuffisances constatées — processus de remédiation

Insuffisance détectée (contrôle N1/N2/N3 ou alerte interne)
      │
      ▼
Qualification : atteinte à la probité ? Violation du code de conduite ?
      │
      ├── OUI → Enquête interne → Rapport → Décision de l'instance dirigeante
      │         → Mesure disciplinaire si salarié · Résiliation si tiers
      │         → Signalement AFA si nécessaire · Signalement judiciaire si infraction
      │
      └── NON → Insuffisance organisationnelle → Plan d'action correctif
                → Responsable + échéance + suivi → Rapport à la direction

La remédiation comme signal positif en contrôle AFA

L'AFA ne s'attend pas à un dispositif parfait. Elle attend un dispositif honnête : qui identifie ses propres faiblesses, les documente, et met en œuvre des corrections. Un programme qui ne signale jamais d'incidents est suspect — il peut indiquer que le dispositif de détection ne fonctionne pas, pas que l'entreprise est irréprochable.

L'AFA dispose d'un pouvoir de contrôle de l'existence et de l'efficacité des dispositifs anticorruption (article 3, II de la loi Sapin II). Ce contrôle est inopiné ou sur demande, distinct d'une procédure judiciaire. Il débouche soit sur un avis favorable, soit sur une mise en demeure, soit sur une saisine de la commission des sanctions.

Les 5 phases du contrôle AFA

Ce que les contrôleurs AFA testent en pratique

La CJIP (article 22 de la loi Sapin II) est une mesure alternative aux poursuites pénales qui permet au parquet de conclure une convention avec une personne morale mise en cause pour corruption. Elle impose le versement d'une amende d'intérêt public et, dans la grande majorité des cas, la mise en place d'un programme de conformité sous supervision AFA pour une durée de 1 à 3 ans.

Cadre financier de la CJIP

Sélection de CJIPs publiées — cas documentés

Source : AFA — liste publiée des CJIPs. Les montants exacts d'amende sont publiés par les ministères de la Justice et du Budget, non directement par l'AFA.

Ce que révèle la liste des CJIPs

Intérêt stratégique de la CJIP pour l'entreprise

La CJIP présente deux avantages par rapport à une condamnation pénale : elle ne génère pas de casier judiciaire pour la personne morale et elle évite l'exclusion automatique des marchés publics. En contrepartie, le programme de conformité imposé est supervisé directement par l'AFA — une exposition maximale au regard du régulateur pendant 1 à 3 ans.

Composition et indépendance

La commission des sanctions de l'AFA est composée de 6 membres titulaires (conseillers d'État, de la Cour des comptes et de la Cour de cassation) et 6 suppléants. Son indépendance est garantie par la nature de ses membres — magistrats permanents non soumis à l'autorité de l'AFA.

Procédure menant à la commission

Contrôle AFA → Manquement constaté → Mise en demeure (2 mois)
      │
      ├── Mise en conformité dans le délai → Clôture sans suite
      │
      └── Manquement persistant → Avertissement OU saisine commission
                                          │
                                          ▼
                              COMMISSION DES SANCTIONS
                                          │
                              ┌─────────────────────────┐
                              │ Personnes physiques      │
                              │   → Jusqu'à 200 000 €   │
                              │ Personnes morales        │
                              │   → Jusqu'à 1 000 000 € │
                              │ Injonction conformité    │
                              │   → Max 3 ans            │
                              │ Publication de la        │
                              │   décision (naming)      │
                              └─────────────────────────┘

L'injonction de mise en conformité est souvent plus lourde que l'amende. Elle place l'entreprise sous surveillance directe de l'AFA pendant jusqu'à 3 ans, avec obligation de produire des rapports d'avancement réguliers. C'est une exposition réglementaire et réputationnelle continue qui pèse sur les opérations, les recrutements et les relations avec les partenaires.

L'AFA a réalisé en 2024 son troisième diagnostic national sur les dispositifs anticorruption dans les entreprises françaises (enquête printemps 2024, 550 réponses dont 173 entièrement exploitables). C'est la source de données la plus récente sur l'état réel de mise en œuvre de Sapin II.

Profil des répondants

Taux de déploiement des mesures

Source : Diagnostic national AFA 2024 — 173 réponses exploitables · printemps 2024

Lecture critique des chiffres

Biais de sélection à prendre en compte : les entreprises ayant répondu à cette enquête sont, par définition, celles qui s'intéressent au sujet. Les chiffres de conformité réels pour l'ensemble du tissu ETI français sont vraisemblablement inférieurs à ceux observés ici. L'AFA le reconnaît elle-même dans le document.

Principaux enseignements 2024

Les 8 erreurs les plus fréquentes observées

Priorisation selon le niveau de maturité

PROCESSUS         SCÉNARIO DE RISQUE               P    I    RISQUE BRUT   CONTRÔLE EXISTANT         RISQUE NET
──────────────────────────────────────────────────────────────────────────────────────────────────────────────────
Achats            Pot-de-vin fournisseur            3    4    Élevé         Séparation des tâches     Modéré
Achats            Commission occulte intermédiaire  2    4    Élevé         Aucun                     Élevé ⚠
Ventes            Remise commerciale fictive        2    3    Modéré        Validation N+1            Faible
Marchés publics   Favoritisme appel d'offres        2    4    Élevé         Procédure interne         Modéré
Finance           Fausse facturation                1    4    Modéré        Audit comptable annuel    Faible
RH                Conflit d'intérêts recrutement   3    3    Modéré        Déclaration informelle    Modéré ⚠
Cadeaux/Hospit.   Hospitalité excessive             3    3    Modéré        Seuil défini (150 €)      Faible
International     Corruption agent douanier étranger 2  5   Critique       Clause contractuelle      Élevé ⚠

P = Probabilité (1=Rare → 4=Quasi-certaine)
I = Impact (1=Faible → 5=Critique)
⚠ = Zone prioritaire — action corrective requise

Ce tableau est fourni à titre illustratif. Chaque cartographie doit être construite à partir des données réelles de l'entreprise et validée par l'instance dirigeante.

Pilier 1 — Instance dirigeante

• L'instance dirigeante a-t-elle formellement validé le programme anticorruption ? (PV / délibération)
• Un responsable conformité est-il nommé par écrit avec accès direct à la direction ?
• Un budget dédié est-il alloué et traçable dans les comptes ?
• Un rapport de conformité a-t-il été présenté à l'instance dirigeante au cours des 12 derniers mois ?

Pilier 2 — Cartographie des risques

• La cartographie date-t-elle de moins de 2 ans ?
• A-t-elle été révisée lors du dernier événement déclencheur (acquisition, nouveau marché, incident) ?
• Couvre-t-elle les zones géographiques et secteurs d'activité de l'entreprise ?
• Les risques sont-ils cotés en brut ET en net (avec/sans contrôles) ?
• A-t-elle été validée par l'instance dirigeante ?

Mesure 1° — Code de conduite

• Le code couvre-t-il corruption ET trafic d'influence avec des définitions distinctes ?
• Contient-il des exemples concrets adaptés au secteur ?
• Prévoit-il une politique cadeaux avec seuil explicite ?
• Est-il intégré au règlement intérieur ?
• Chaque salarié a-t-il signé un accusé de réception ou complété la confirmation en ligne ?

Mesure 2° — Dispositif d'alerte

• Un canal d'alerte opérationnel est-il en place et connu des salariés ?
• L'anonymat de l'auteur de l'alerte est-il garanti ?
• Un registre des alertes reçues et traitées est-il tenu ?
• Les délais de traitement sont-ils respectés et documentés ?

Mesure 4° — Évaluation des tiers

• Une procédure formalisée d'évaluation des tiers existe-t-elle ?
• Les tiers à risque élevé font-ils l'objet de diligences renforcées documentées ?
• Les dossiers tiers sont-ils archivés avec sources, grille et décision ?
• Les listes de sanctions sont-elles vérifiées pour chaque nouveau tiers significatif ?

Mesure 5° — Contrôle comptable

• Des contrôles spécifiquement orientés détection de corruption existent-ils (≠ audit financier ordinaire) ?
• Les 3 niveaux de contrôle sont-ils formalisés ?
• Un exception reporting sur les paiements à risque est-il en place ?

Mesure 6° — Formation

• Les populations exposées (achats, commercial, finance, direction) sont-elles formées ?
• Les preuves de formation sont-elles nominatives et archivées ?
• Une formation initiale est-elle systématisée à l'onboarding ?

Mesure 7° — Régime disciplinaire

• Le régime disciplinaire figure-t-il dans le règlement intérieur visé par l'inspection du travail ?
• Des sanctions ont-elles été effectivement prononcées en cas de violation (et documentées) ?

Mesure 8° — Contrôle du dispositif

• Un plan de contrôle annuel du dispositif est-il formalisé et approuvé ?
• Les résultats des contrôles sont-ils documentés et archivés sur 3 ans ?
• Un suivi des recommandations correctives est-il en place ?
• Le contrôle du dispositif est-il indépendant de celui qui a conçu les mesures ?

Votre programme Sapin II est-il opposable aujourd'hui ?

Vous venez de lire l'intégralité du cadre légal. La vraie question est : votre organisation pourrait-elle présenter un dossier solide lors d'un contrôle AFA demain ? Un diagnostic d'une demi-journée répond à cette question — avec un rapport documenté et un plan d'action.

+33 7 67 32 03 15  ·  par-triads@ivlabs.io  ·  Réponse sous 48h