Sapin 2 : décryptage des recommandations définitives de l’AFA

Quelles recommandations ?

Cette publication a été longuement attendue tant par les entités publiques que privées qui y sont soumises, leur permettant d’initier, de poursuivre ou de finaliser leurs démarches de mise en conformité dans un cadre normatif plus clair.

Tout comme ses recommandations provisoires, l’AFA  expose ses préconisations mesure par mesure :

1- L’engagement de l’instance dirigeante 

Bien que cela ne figure pas explicitement dans l’article 17 de la loi Sapin 2, l’engagement de l’instance dirigeante est considéré par l’AFA comme l’étape initiale de la mise en place d’un programme de conformité digne de ce nom. Cet engagement se décline selon l’AFA comme suit :

• La mise en place d’une politique tolérance zéro face aux risque de corruption

Concrètement, il s’agit pour les entreprises d’allouer les ressources nécessaires pour prévenir et détecter les faits de corruption.  Il s’agit également de l’adoption d’une attitude ferme vis-à-vis des cas de corruption au travers d’un régime disciplinaire efficace.

• L’intégration de l’anticorruption dans les politiques et les procédures de l’entreprise, ce qui peut inclure la politique adoptée ou la mise en place d’un dispositif d’alerte
• La gouvernance du programme de prévention et de détection de la corruption

Ce qui suppose la désignation d’un responsable de la conformité en charge du pilotage, du déploiement, de la mise en œuvre, de l’évaluation et de l’actualisation du programme anticorruption adoptée par l’entité en question.

• L’adoption d’une politique de communication tant pour les collaborateurs que pour les différents partenaires extérieurs.

2- Le code de conduite anticorruption

L’AFA vient clarifier certaines incertitudes. Elle confirme la possibilité d’intégrer le code de conduite dans le règlement intérieur. Ce dernier peut aussi bien renvoyer à des fiches détaillées ou être commun à toutes les sociétés d’un groupe à condition que cela ne le rende pas moins efficace.

L’AFA rappelle qu’il doit être décliné partout où l’entité exerce son activité et qu’il peut constituer un outil de communication vis-à-vis des tiers.

3- Le dispositif d’alerte interne 

Les recommandations définitives viennent apporter des précisions concernant la mise en place de deux dispositifs d’alertes différents au titre de l’article 8 et 17 de la Loi Sapin 2, constituant un problème de lisibilité pour les collaborateurs.

Selon l’AFA, lors de la mise en place d’un seul dispositif, les entreprises doivent pouvoir discriminer les signalements en fonction du régime dont ils relèvent. A défaut, elles doivent étendre le régime légal de lanceurs d’alerte à tous les signalements.

4- La cartographie des risques 

L’élaboration d’une cartographie des risques figure parmi les mesures exigées par l’article 17 de la loi Sapin 2. Selon l’AFA, « dans la mesure où les risques, que la cartographie des risques de corruption conduit à identifier, déterminent le contenu et le niveau de détail du programme de conformité anticorruption, les organisations devraient porter leurs efforts de mise en conformité sur cette cartographie ».

Ces risques, selon l’AFA, doivent être identifiés en prenant en compte les particularités de chaque organisation : zone géographique, secteur d’activité, processus et métier, parties prenantes.

L’agence n’exige plus une connaissance exhaustive des risques, l’important c’est que la connaissance des risques soit précise. Ce qui ne rend pas l’exercice de la cartographie moins exigeants pour les entités qui y sont soumises. L’AFA confirme en effet la nécessité de couvrir, tant les processus managériaux qu’opérationnels, en y associant les différents niveaux hiérarchiques.

5- Le dispositif de formation 

Les recommandations définitives mettent l’accent sur la sensibilisation de l’ensemble du personnel au travers de différents types de formations : des formations thématiques sur les activités à risque, des formations de base sur la corruption, des formations spécifiques concernant le dispositif d’alerte qui doivent être déclinées en fonction du niveau d’exposition au risque du collaborateur. Aucune référence à la formation des collaborateurs extérieurs n’a été faite.

6- Les procédures de contrôles comptables 

L’article 17-II-5 de la loi n° 2016-1691 du 9 décembre 2016 exige la mise en place de « procédures de contrôles comptables, internes ou externes, destinées à s’assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption ou de trafic d’influence ».

Selon les recommandations de l’AFA, l’entreprise ne doit pas créer une nouvelle procédure comptable mais « intégrer le fait que le risque de dissimulation de faits de corruption est l’un des risques que font courir l’irrégularité, l’insincérité et l’infidélité des documents comptables ».

Les personnes chargées de la vérification des documents comptables doivent avoir « conscience de ce risque et de l’enjeu attaché de prévention et de détection des faits de corruption ».

Les procédures de contrôle comptable peuvent être mises en œuvre tant en interne qu’en externe. Au niveau interne, trois niveaux de contrôle sont recommandés :

1. Un premier contrôle par les personnes en charge de la saisie et de la validation des écritures comptables,
2. Un second contrôle par sondage par des personnes indépendantes de celles ayant réalisé les contrôles de premier niveau,
3. Un troisième contrôle par le biais d’audits internes.

7- Les procédures d’évaluation des tiers 

La mise en place de procédures d’évaluation des tiers est l’obligation la plus redoutée par les entreprises soumises à la loi Sapin 2. Cette obligation exige des entreprises de mettre en place des évaluations pour identifier et mesurer « les risques de corruption auxquels s’expose l’organisation qui entre en relation ou poursuit une relation avec ce tiers ».

Non seulement cette obligation change drastiquement pour les entreprises la façon d’appréhender leurs relations avec les tiers, mais elle met à leur charge un travail considérable.

Les procédures d’évaluation consistent principalement en la collecte d’informations sur les tiers, la vérification de leurs présences et de celles des dirigeants, des bénéficiaires effectifs et des administrateurs dans les listes de sanctions ainsi que la vérification de la présence éventuelle des personnes politiquement exposées parmi les dirigeants, les administrateurs ou les bénéficiaires effectifs.

Ces procédures n’ont pas connu de changements majeurs avec les recommandations définitives. Toutefois, il est intéressant de relever que l’AFA a décidé de donner à cette application un champ beaucoup plus large. Au-delà de ce qui est prévu par la loi Sapin II, qui limite les Due Diligence aux clients et fournisseurs de premier rang et intermédiaires, l’AFA estime que les vérifications doivent être réalisées sur tous les tiers avec lesquels l’entreprise est en relation ou souhaite entrer en relation, en priorisant ceux identifiés par la cartographie des risques.

Il est à noter que le triple niveau de contrôle recommandé par l’AFA ainsi que le grand nombre d’indicateurs de suivi peuvent constituer une réelle crainte de lourdeur de processus pour les entreprises, quoique nécessaires dans leurs principes pour veiller à la bonne application des mesures en question.

8- Un dispositif de contrôle et d’évaluation interne 

La mise en place d’un dispositif de contrôle et d’évaluation interne du programme de conformité est une obligation ultime prévue par la loi Sapin 2.

Un dispositif pareil vise à tester l’efficacité des mesures de prévention mises en place, ainsi qu’à identifier et comprendre les manquements dans leurs mises en œuvre afin de mettre en place les mesures correctives nécessaires pour assurer plus d’efficacité.