Sapin 2 : ce que vous engagez vraiment en déployant un programme anti-corruption
Quand un client est sanctionné par l'Agence française anticorruption, le consultant qui a conçu son programme Sapin 2 devient une cible naturelle. Ce que dit la loi et comment vous protéger.
- La loi Sapin 2 impose 8 piliers anti-corruption dont la cartographie des risques est le socle : c'est le maillon où votre responsabilité est la plus exposée.
- L'AFA sanctionne l'entreprise et ses dirigeants, mais ceux-ci peuvent se retourner contre le consultant ayant conçu un dispositif jugé insuffisant.
- La sanction administrative subie par votre client est un préjudice immatériel : il faut une RC Pro qui couvre explicitement ce poste.
- Documenter la méthodologie de la cartographie et les arbitrages du client est votre protection juridique principale.
Les 8 piliers Sapin 2 : un terrain de responsabilité balisé
La loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique — dite loi Sapin 2 — impose aux entreprises concernées (plus de 500 salariés et 100 M€ de chiffre d'affaires, ou appartenant à un groupe atteignant ces seuils) un dispositif anti-corruption articulé autour de huit piliers :
- Un code de conduite
- Un dispositif d'alerte interne
- Une cartographie des risques de corruption
- Des procédures d'évaluation des tiers
- Des contrôles comptables
- Un dispositif de formation
- Un régime disciplinaire
- Un dispositif de contrôle et d'évaluation interne du dispositif lui-même
Chaque pilier que vous concevez ou évaluez crée une zone de responsabilité. Mais tous ne se valent pas en termes d'exposition. La cartographie des risques est le socle : si elle est mal calibrée, tous les piliers en aval sont biaisés.
La cartographie : le maillon où votre faute coûte le plus cher
La cartographie des risques de corruption n'est pas un exercice de forme. L'Agence française anticorruption (AFA) la place au cœur de ses contrôles, car elle conditionne la pertinence de tout le reste : on ne contrôle bien que les risques qu'on a su identifier.
Une cartographie qui omet un risque majeur — par exemple les paiements de facilitation dans une filiale étrangère, ou les conflits d'intérêts dans les appels d'offres publics — vous expose directement si ce risque se matérialise et que l'AFA reproche au dispositif son incomplétude.
Votre défense repose sur la méthodologie. Une cartographie défendable s'appuie sur :
- Une identification des processus et entités à risque (achats, ventes, mécénat, lobbying, relations avec les agents publics).
- Des entretiens documentés avec les opérationnels.
- Une cotation brute puis nette (après prise en compte des contrôles existants) explicitée.
- Une validation formelle par la direction et l'instance dirigeante.
Si la méthodologie est rigoureuse et tracée, un risque manqué relève de l'aléa, pas de la faute. C'est la différence entre une zone grise défendable et une négligence.
Qui l'AFA sanctionne-t-elle, et comment cela retombe sur vous
Point essentiel : l'AFA ne sanctionne pas le consultant. Sa Commission des sanctions vise l'entreprise assujettie et ses dirigeants. Le quantum peut atteindre 1 M€ pour les personnes morales et 200 000 € pour les personnes physiques, sans compter l'injonction de mise en conformité et la publicité de la décision.
Mais c'est précisément là que naît votre risque indirect. Le dirigeant sanctionné, ou l'entreprise, cherchera à transférer une partie de la charge vers celui qui a conçu le dispositif jugé défaillant : vous. La mise en cause prend la forme d'une action en responsabilité civile professionnelle.
Le préjudice réclamé peut inclure :
- Tout ou partie de l'amende AFA (au titre du préjudice immatériel consécutif).
- Les frais de mise en conformité imposés par l'injonction.
- Le préjudice de réputation.
D'où l'importance d'une RC Pro couvrant explicitement le préjudice immatériel consécutif lié à une sanction administrative. Beaucoup de contrats généralistes l'excluent ou le plafonnent fortement.
Plafond de garantie : pourquoi Sapin 2 exige du sur-mesure
Sur une mission classique de contrôle interne, un plafond de 1 M€ peut suffire. Sur une mission Sapin 2, l'exposition change d'échelle, car le préjudice potentiel est adossé à une amende pouvant elle-même atteindre 1 M€, augmentée des frais de remédiation et de défense.
| Type de mission | Plafond recommandé |
|---|---|
| Contrôle interne PME | 1 M€ |
| Mission Sapin 2 (ETI / grand groupe) | 2 M€ et plus |
| Mission combinée Sapin 2 + SOX / cotation | Plafond renforcé sur mesure |
Les comités d'audit et directions juridiques de vos clients exigent d'ailleurs souvent une attestation d'assurance avec un plancher de garantie avant de vous confier la mission. Un plafond adapté n'est donc pas qu'une protection : c'est une condition d'accès aux missions les plus rémunératrices.
Cadrer la mission par écrit : votre première ligne de défense
Avant l'assurance, il y a la lettre de mission. Sur du Sapin 2, le périmètre doit être chirurgical, car la tentation du client d'élargir vos responsabilités a posteriori est forte.
- Définissez le périmètre exact : quels piliers, quelles entités, quels processus. Excluez explicitement ce qui n'est pas couvert.
- Précisez la nature de votre intervention : conception, déploiement, ou évaluation. Les responsabilités diffèrent radicalement.
- Documentez les arbitrages du client : si la direction refuse d'inclure une filiale dans la cartographie pour des raisons de coût, écrivez-le.
- Rappelez l'obligation de moyens et le caractère évolutif du dispositif, qui doit être actualisé par le client.
- Reliez la mission à votre couverture en vérifiant que vos garanties RC Pro englobent bien le périmètre annoncé.
Une lettre de mission précise est le document que votre avocat brandira en premier. Elle vaut souvent plus que des heures de plaidoirie.
Questions fréquentes
Non. La Commission des sanctions de l'AFA vise l'entreprise assujettie et ses dirigeants, pas les prestataires externes. Votre risque est indirect : l'entreprise ou le dirigeant sanctionné peut engager une action en responsabilité civile contre vous si votre dispositif est jugé défaillant.
Pas l'amende en tant que telle, qui est une sanction personnelle à l'entreprise. En revanche, si une part de cette amende vous est réclamée au titre de votre faute, ce préjudice immatériel consécutif peut être pris en charge, à condition que votre contrat le prévoie explicitement. Vérifiez ce point avant toute mission Sapin 2.
Un plafond de 2 M€ est un minimum raisonnable pour une mission Sapin 2 sur une ETI ou un grand groupe, l'amende AFA pouvant atteindre 1 M€ à elle seule. Pour des missions combinées Sapin 2 et cotation, un plafond renforcé sur mesure est conseillé.
Documentez systématiquement les arbitrages du client par écrit. Si la direction refuse d'inclure une filiale dans la cartographie ou de financer un contrôle, une trace formelle de votre recommandation et de leur refus transfère la responsabilité de ce choix vers le client.
Oui. L'AFA en fait le socle de tout le dispositif et le cœur de ses contrôles. Une cartographie incomplète biaise tous les piliers en aval. C'est statistiquement le livrable où une faute du consultant est la plus facile à démontrer, d'où l'importance d'une méthodologie rigoureuse et tracée.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant contrôle interne — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant contrôle interne →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.