Entre 2017 et 2023, l’Agence française anticorruption (l’« AFA » ou l’ « Agence ») a réalisé 235 contrôles. Son activité a témoigné de la volonté des pouvoirs publics français de voir se déployer, au sein d’entités publiques et privées, des programmes de conformité susceptibles d’ériger notre pays au niveau des meilleurs standards internationaux existant dans le domaine de la prévention et de la lutte contre la corruption.

A l’issue de sept années d’examen des dispositifs anticorruption mis en place au sein des entreprises et des administrations relevant du périmètre de la loi Sapin 2 (Loi 2016-1691 du 9-12-2016), les actions d’information et de contrôle conduites par l’AFA sont riches d’enseignements et ont fait l’objet d’utiles retours d’expériences.

Certes, ces contrôles peuvent se révéler contraignants pour les entités qui y sont soumises, mais ils permettent aussi à ces dernières de sensibiliser et d’accompagner leurs instances dirigeantes dans la nécessaire prise en compte des risques réputationnels et judiciaires pouvant résulter de manquements dans le déploiement des procédures de conformité leur incombant.

Avec le recul du temps, le bilan de l’activité de l’AFA permet de mettre en lumière à la fois les évolutions ayant pu affecter les méthodes de contrôle et les attentes de l’Agence vis-à-vis des organisations assujetties à la loi Sapin 2.

Chaque contrôle débute par une notification officielle adressée au dirigeant de l’entité concernée. Cette notification précise l’objet et le périmètre du contrôle (qu’il s’agisse des entités concernées ou des piliers de la loi Sapin 2 contrôlés), ainsi que la composition de l’équipe de contrôle dédiée au sein de l’AFA et le délai donné à l’entité contrôlée pour retourner ses réponses (un mois le plus souvent).

L’entité contrôlée doit alors désigner un interlocuteur, chargé de l’interface avec l’AFA tout au long de la procédure de contrôle. Il s’agit idéalement du responsable de la conformité au sein de l’organisation contrôlée.

Une réunion d’ouverture des opérations de contrôle est concomitamment organisée, au cours de laquelle l’entité contrôlée est invitée à présenter ses activités et son organisation. Cette première réunion est essentielle, en ce qu’elle permet le plus souvent de définir précisément les modalités du contrôle, en fonction notamment de la complexité de l’organisation de l’entité contrôlée (périmètre géographique, modalités de réponses selon le périmètre défini, etc.). La présentation faite à l’AFA, à cette occasion, est déterminante.

Conseil Compte tenu de sa dimension stratégique, il est recommandé de tenir cette réunion avant la remise des réponses au questionnaire initial, afin de pouvoir les adapter en fonction du déroulement de cette réunion le cas échéant.

La première étape consiste à fournir la réponse au questionnaire initial adressé par l’AFA, qui est accessible sur son site internet. Ce questionnaire est structurant, dans la mesure où il permet à l’AFA de bénéficier d’une vue d’ensemble du dispositif anticorruption déployé au sein de l’entreprise ou de l’administration contrôlée. Il couvre tous les piliers de la loi Sapin 2, ainsi qu’une présentation de l’entité contrôlée, l’organisation de la fonction conformité et l’engagement de l’instance dirigeante. Les réponses doivent être accompagnées de documents justificatifs permettant à l’AFA de vérifier l’existence et la pertinence des mesures décrites, qui peuvent le cas échéant être transmis en anglais s’il n’en existe pas de version française. Les réponses aux questions doivent en revanche, elles, être rédigées en français.

Compte tenu du nombre de questions à traiter et du volume de la documentation à réunir en appui des réponses communiquées à l’AFA, il est recommandé de préparer ces éléments en amont de tout contrôle. C’est là, en effet, la garantie de pouvoir apporter les éléments les plus clairs et aboutis possibles, le soin apporté à cette phase écrite étant un premier indicateur de la maturité du dispositif de conformité de l’entité contrôlée.

Cette première étape inclut également des entretiens avec des responsables clés de l’organisation et des questionnaires complémentaires, qui permettront d’approfondir certains points et de mieux comprendre les conditions de déploiement du programme anticorruption au sein de l’entité contrôlée.

Ces échanges incluent en général des entretiens avec des responsables des départements sensibles, comme ceux des achats, des ventes ou du marketing, mais également avec le responsable de la conformité, des représentants de l’audit, du contrôle interne et de la finance. Des représentants de filiales situées à l’étranger ainsi que des tiers à l’organisation contrôlée peuvent également être sollicités, si l’AFA le juge utile.

Si les agents de l’AFA prennent des notes durant les entretiens, aucun procès-verbal formel n’est présenté et signé par les participants. Il est donc essentiel que l’entité contrôlée assure elle aussi la traçabilité des échanges avec l’AFA, en prenant ses propres notes. C’est souvent le rôle du conseil externe ou de l’interlocuteur qui a été désigné au sein de l’entité pour assurer l’interface avec l’AFA, qui peuvent en principe tous deux assister aux entretiens.

Conseil La qualité des informations partagées lors de ces entretiens est essentielle pour démontrer l’efficacité des dispositifs. Comme pour les questionnaires écrits, ces échanges se préparent et sont déterminants dans l’appréciation par l’AFA de la maturité du dispositif anticorruption.

Dans certains cas, l’AFA peut décider d’initier une seconde phase de contrôle, destinée à approfondir son analyse du dispositif anticorruption de l’entité contrôlée.

Cette étape, qui ne préjuge en rien de l’issue du contrôle et des ultimes conclusions de l’AFA, permet d’examiner de manière plus détaillée certains aspects du programme anticorruption, en s’appuyant sur des demandes d’échantillonnages et des entretiens complémentaires, qui peuvent s’étaler sur plusieurs semaines ou mois. Cet approfondissement peut porter sur un ou plusieurs processus particuliers, sur une activité spécifique ou encore sur une zone géographique déterminée.

A l’issue de la première et, le cas échéant, de la seconde phase, les opérations de contrôle se concluent par une réunion de clôture, au cours de laquelle l’AFA présente à l’entité contrôlée ses premiers constats, puis par l’envoi d’un rapport provisoire, dans lequel l’Agence formule des observations, des recommandations et des constats de manquement. Le rapport provisoire contient également les délais de mise en conformité imposés par l’AFA pour chacun des piliers considérés.

S’ouvre alors la phase dite « contradictoire ». Une fois le rapport provisoire reçu, l’entité contrôlée dispose d’un délai de deux mois pour répondre aux remarques de l’AFA, rectifier d’éventuelles erreurs factuelles ou d’interprétation, présenter un plan d’action détaillé en vue de remédier aux insuffisances relevées et, le cas échéant, demander des délais supplémentaires pour mettre en œuvre ce plan d’action. Cette phase contradictoire est cruciale pour démontrer la capacité de l’organisation à réagir rapidement aux constats de l’AFA.

Enfin, un rapport définitif est émis par l’AFA, aux termes duquel le contrôle est clôturé ou la commission des sanctions saisie.

Les attentes de l’AFA relatives à la qualité des dispositifs de prévention de la corruption ont évolué, pour mieux s’adapter aux enjeux croissants de la lutte contre la corruption et aux pratiques des entreprises. Huit ans après la promulgation de la loi Sapin 2, il est en effet attendu des organisations assujetties un niveau de maturité plus important.

Ce sont les dispositifs de contrôle interne et de contrôle comptable qui sont jugés les moins matures par l’AFA, ces piliers faisant presque toujours l’objet de constats de manquement en raison :

• de l’inexistence ou de l’insuffisance de formalisation de plans de contrôles spécifiquement dédiés au programme de prévention de la corruption ;

• d’un périmètre de contrôle insatisfaisant ;

• de modalités de contrôle défaillantes (ce qui peut, par exemple, être le cas lorsque les contrôles internes reposent exclusivement sur des questionnaires d’auto-évaluation).

Sans surprise, la cartographie des risques, qui occupe également une place centrale dans l’appréciation portée par l’AFA sur l’efficience d’un dispositif de conformité, fait encore très souvent l’objet d’observations. Il est attendu de ce document stratégique qu’il soit conduit « aux bornes » de l’organisation (entités, zones géographiques, processus), qu’il soit bien spécifique à celle-ci (il est souvent reproché par l’AFA des scénarii de risques trop génériques par rapport aux activités et processus de l’organisation considérée), qu’il soit réalisé selon une méthodologie parfaitement auditable, facilitant le traçage de chacune des étapes du processus d’élaboration de la cartographie, et qu’il soit enfin régulièrement actualisé.

L’AFA a également des attentes de plus en plus exigeantes en matière d’évaluation des tiers. En synthèse, elle relève encore souvent :

• un lien absent ou insuffisant avec la cartographie des risques ;

• une mise en œuvre insatisfaisante et/ou non homogène des procédures d’évaluation au sein des différentes entités et zones géographiques d’une organisation donnée ;

• ou encore un périmètre insuffisant, dans lequel un trop grand nombre de tiers est exclu de tout type d’évaluation éthique.

La formation fait également régulièrement l’objet de constats de manquements par l’AFA, essentiellement en raison d’un lien insuffisant entre la cartographie des risques et l’identification des populations exposées, pour lesquelles des formations spécifiques doivent être dispensées.

Conseil Il est recommandé de formaliser ce lien et de revoir la liste des collaborateurs exposés lors de chaque mise à jour de la cartographie des risques.

Les organisations semblent en revanche plus matures en matière de codes de conduite, de politiques annexes ou de procédures d’alerte interne, qui font plus rarement l’objet de constats de manquements.