Lorsque l'Agence française anticorruption ouvre un contrôle, elle part du principe que vous disposez d'un programme de conformité. La question qu'elle pose réellement, à travers son questionnaire, ses demandes de documents et ses entretiens, est autre : êtes-vous capable de prouver que votre programme fonctionne ?
C'est là que trébuchent bien des programmes de conformité pourtant sérieux. Le code de conduite existe. Les formations ont été dispensées. La cartographie des risques a été approuvée. Mais quand l'AFA demande les indicateurs qui montrent que ces mesures sont pilotées, revues et corrigées dans le temps, la réponse se résume à un dossier de PDF et à une fouille précipitée dans de vieux e-mails.
Cet article passe en revue ce que l'AFA attend réellement du reporting de conformité au titre de la loi Sapin II : la place du reporting dans l'article 17, ce que recherchent les contrôleurs, les indicateurs qui comptent, et pourquoi votre tableau de bord de conformité doit être conçu comme une preuve d'audit.
La place du reporting dans l'article 17
L'article 17 de la loi Sapin II énumère huit mesures que les entreprises assujetties doivent mettre en œuvre : un code de conduite, un dispositif d'alerte interne, une cartographie des risques de corruption, des procédures d'évaluation des tiers, des contrôles comptables, des formations pour les personnels exposés, un régime disciplinaire, et — celle qui nous intéresse ici, un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre (article 17, II, 8°).
Le reporting est la huitième mesure, et il est aussi le fil conducteur qui traverse les sept autres. Les recommandations de l'AFA organisent l'ensemble du dispositif autour de trois piliers : l'engagement de l'instance dirigeante, la cartographie des risques de corruption et la gestion des risques identifiés. Le reporting est ce qui rend le premier pilier visible. Une instance dirigeante ne peut pas revendiquer de manière crédible son engagement envers un programme qu'elle ne revoit jamais. Et la seule façon de revoir un programme, ce sont des indicateurs, des tableaux de bord et des décisions documentées.
Ce que l'AFA recherche pendant un contrôle
Le questionnaire de l'AFA est votre feuille de route
Tout contrôle de l'AFA commence par un questionnaire détaillé, suivi de demandes de documents. Sur la formation, par exemple, le questionnaire demande quelles populations ont été identifiées comme exposées, quelle proportion d'entre elles a suivi la formation, comment le suivi est assuré, et comment le programme a été ajusté en conséquence. Autrement dit, il demande des indicateurs, des cycles de revue et des preuves de suivi.
Le questionnaire devient ainsi le meilleur outil d'auto-évaluation à votre disposition, gratuitement, avant même que l'AFA ne se présente. Si votre reporting ne permet pas de répondre à ses questions avec des données datées et sourcées, vous venez d'identifier votre lacune.
Trois niveaux de contrôle — et la preuve que les trois fonctionnent
L'AFA attend que le contrôle interne du programme anticorruption s'exerce à trois niveaux :
- Premier niveau : les contrôles opérationnels réalisés par les métiers eux-mêmes — un directeur commercial vérifiant qu'un nouveau distributeur a bien fait l'objet d'une évaluation d'intégrité avant la signature du contrat.
- Deuxième niveau : les contrôles réalisés par la fonction conformité ou contrôle interne — retester périodiquement un échantillon de dossiers de tiers pour confirmer que le contrôle de premier niveau fonctionne réellement.
- Troisième niveau : l'audit interne, qui évalue de manière indépendante la conception et le fonctionnement de l'ensemble du dispositif.
Voici le piège : la plupart des entreprises peuvent démontrer que ces contrôles sont conçus. Beaucoup moins peuvent démontrer qu'ils fonctionnent. Un contrôle qui existe sur le papier mais ne laisse aucune trace d'exécution — pas de résultats d'échantillonnage, pas de rapports d'anomalies, pas de suivi des écarts — échoue au test d'effectivité de l'AFA. Votre reporting doit montrer chaque niveau en fonctionnement : qui a réalisé le contrôle, quand, sur quel échantillon, avec quels constats, et quelles suites ont été données.
Les preuves de pilotage
Dans ses constats de contrôle publiés, l'AFA distingue systématiquement les programmes qui existent des programmes qui sont pilotés. Les preuves de pilotage ressemblent à ceci : des comptes rendus de comité conformité montrant que les indicateurs ont été revus et des décisions prises ; des extraits de tableau de bord présentés à l'instance dirigeante ; des plans de remédiation avec des responsables désignés, des échéances et des statuts à jour ; une trace documentée allant de « anomalie détectée » à « action corrective clôturée ».
Trois propriétés rendent ces preuves défendables : elles sont horodatées, traçables jusqu'à leur source et versionnées. Une cartographie des risques datée et approuvée en mars, révisée en septembre à la suite d'une acquisition, avec une révision documentée : voilà qui raconte l'histoire d'un programme vivant. Un tableur sans date et de provenance incertaine raconte l'histoire inverse, quel que soit son contenu.
L'enjeu dépasse le contrôle de l'AFA lui-même. Si votre entreprise fait un jour l'objet d'une enquête pour corruption, ces mêmes extraits de tableau de bord et comptes rendus de comité deviennent le cœur de votre dossier de défense. C'est la preuve que l'organisation a été diligente.
Les indicateurs qui comptent
L'AFA ne prescrit aucune liste fixe de KPI, et c'est délibéré : les indicateurs doivent être proportionnés à votre profil de risque. Mais un principe clair se dégage de ses recommandations et de sa pratique de contrôle : un petit nombre d'indicateurs robustes par pilier, revus à une cadence fixe, vaut mieux que cinquante métriques dont personne ne tire de conséquences. En règle pratique, visez une poignée d'indicateurs par mesure de l'article 17, revus trimestriellement par la fonction conformité et au moins annuellement par l'instance dirigeante.
Exemples d'indicateurs de pilotage | |
|---|---|
Taux de couverture de la formation sur les populations exposées, par entité et par fonction | |
Délai de traitement des alertes, et part des alertes instruites dans le délai cible | |
Part des tiers actifs évalués — et réévalués selon le calendrier prév | |
Évolution du risque résiduel par scénario depuis la dernière revue | |
Résultats des tests de deuxième niveau : taux de conformité, anomalies, statut des remédiations |
De la cartographie au tableau de bord : boucler la boucle
L'élément le plus convaincant que vous puissiez présenter à un contrôleur n'est pas une liste de mesures. C'est un graphique montrant le risque brut, les contrôles appliqués et le risque net (résiduel) qui en résulte et leur évolution dans le temps.
C'est la boucle que l'AFA veut voir bouclée : la cartographie identifie et cote les scénarios ; les plans d'action découlent des risques résiduels les plus élevés ; les plans d'action sont suivis jusqu'à leur terme ; et la revue suivante de la cartographie montre que le risque résiduel bouge réellement. Chaque tour de boucle est daté et documenté. Cette trajectoire, risque brut stable, contrôles renforcés, risque résiduel en baisse, est la définition même d'un programme qui fonctionne.
C'est ainsi que fonctionnent des plateformes comme Naltilia : les documents et les données opérationnelles sont analysés par l'IA, les résultats sont validés par des humains, la cotation des risques est algorithmique et actualisée à mesure que les données sous-jacentes et l'avancement des plans d'action évoluent, et le tableau de bord est alimenté par les preuves de réalisation des plans d'action. La couche de reporting devient une vue en temps réel, ce qui est précisément le sens du mot « pilotage ».
Le recoupement avec la CSRD : un tableau de bord, deux obligations
Si votre entreprise entre dans le champ de la CSRD, votre reporting anticorruption a désormais un second public. En octobre 2024, l'AFA a publié un guide aidant les entreprises à faire le lien entre leur programme anticorruption et les informations à publier au titre de l'ESRS G1 « conduite des affaires » : incidents de corruption, condamnations et amendes, couverture de la formation des fonctions à risque, et gouvernance du dispositif anticorruption, entre autres.
Regardez cette liste de près : ce sont en grande partie les mêmes données que votre tableau de bord Sapin II devrait déjà contenir. Couverture de la formation des populations exposées, nombre d'incidents et suites données, gouvernance du programme — collectées une fois, utilisées deux fois. Les entreprises qui ont structuré leurs données de conformité pour le pilotage interne constatent que la publication CSRD sur la conduite des affaires en est d'autant plus simple.
Conclusion : construisez le tableau de bord avant que l'AFA ne le demande
L'attente de l'AFA devient cohérente dès lors que l'on voit le reporting pour ce qu'il est : la huitième mesure de l'article 17, la preuve visible du premier pilier, et la piste d'audit de tout le reste. Un programme de conformité réellement piloté produit ses propres preuves comme un sous-produit de son fonctionnement : indicateurs datés, revues documentées, remédiations suivies. Un programme qui n'est pas piloté ne peut produire ces preuves que par reconstruction — et les contrôleurs font la différence.
À retenir en pratique : définissez une poignée d'indicateurs déclencheurs de décision par mesure, fixez une cadence de revue, et assurez-vous que chaque donnée de votre tableau de bord est horodatée et traçable jusqu'à sa source. Votre tableau de bord n'est pas une corvée de reporting. C'est le témoignage de votre programme.
Frequently Asked Questions
Quels indicateurs l'AFA attend-elle pour un programme anticorruption ?
L'AFA ne prescrit aucune liste fixe. Les indicateurs doivent correspondre à votre profil de risque. En pratique, les contrôleurs attendent un petit nombre d'indicateurs robustes par mesure de l'article 17 : couverture des populations exposées pour la formation, taux d'évaluation et de réévaluation pour les tiers, délais de traitement pour le dispositif d'alerte, résultats des tests de deuxième niveau pour les contrôles internes, et évolution du risque résiduel issue de la cartographie.
Un tableau de bord de conformité est-il obligatoire au titre de la loi Sapin II?
Le mot « tableau de bord » n'apparaît nulle part dans la loi. Mais l'article 17 exige un dispositif de contrôle et d'évaluation interne de l'ensemble du programme, et les recommandations de l'AFA attendent de l'instance dirigeante qu'elle pilote le programme sur la base d'un reporting. Le tableau de bord est la forme pratique que prend cette obligation.
À quelle fréquence les indicateurs de conformité doivent-ils être revus?
Une cadence courante et défendable : une revue trimestrielle par la fonction conformité, avec remontée des anomalies au fil de l'eau, et une revue au moins annuelle par l'instance dirigeante, en parallèle de la mise à jour de la cartographie des risques. Ce qui compte pour l'AFA, c'est que la cadence soit définie, respectée et documentée.
Quels documents l'AFA demande-t-elle pendant un contrôle?
Typiquement : le questionnaire complété, la cartographie des risques et sa méthodologie, les politiques et procédures pour chaque mesure de l'article 17, les registres de formation, les dossiers d'évaluation des tiers, les registres d'alertes, les plans de contrôle et leurs résultats, les comptes rendus de comité conformité et d'instance dirigeante, et les plans de remédiation avec leur statut. Le fil conducteur : des preuves d'exécution et de suivi, pas seulement de conception.
