Le 9 juillet 2026, la commission des sanctions de l’Agence française anticorruption a franchi un cap attendu depuis près de dix ans. Pour la première fois depuis l’entrée en vigueur de la loi Sapin II, elle prononce des sanctions pécuniaires : 350 000 euros à l’encontre d’une société, et 60 000 euros à l’encontre de son président, à titre personnel.
Sept manquements sur les huit obligations prévues au II de l’article 17 de la loi ont été retenus : cartographie des risques, code de conduite, régime disciplinaire, évaluation des tiers, contrôles comptables anticorruption, formation des personnels exposés et contrôle interne. Seul le dispositif d’alerte échappait à la liste.
Au-delà des montants, c’est la méthode qui marque un tournant. L’AFA a saisi directement la commission aux fins de sanction, sans passer par l’injonction préalable de mise en conformité. Cette possibilité existait dans le texte depuis 2016, mais personne ne l’avait encore vue à l’œuvre. La décision n° 25-01 redéfinit les règles du jeu pour toutes les entreprises assujetties, et elle mérite qu’on s’y arrête.
Que retenir ?
La régularisation a posteriori ne protège plus. Ce qui compte, c’est l’état du programme de conformité à la date du rapport définitif de contrôle, pas celui du jour de l’audience. Se mettre en conformité pendant la procédure atténue la sanction, mais ne l’efface pas.
L’AFA peut demander une sanction directe. La phase d’injonction préalable n’est pas un passage obligé. La directrice de l’Agence choisit librement sa stratégie, en fonction de la nature, de la gravité et de l’ancienneté des manquements.
Le dirigeant est personnellement exposé. La commission a retenu la responsabilité individuelle du président, avec une sanction de 60 000 euros à titre personnel. L’implication de la direction générale dans le dispositif anticorruption n’est plus une simple bonne pratique. C’est devenu une condition de protection du dirigeant lui-même.
La cartographie des risques est le socle de tout. Sans cartographie finalisée et adaptée, les autres obligations ne peuvent pas être considérées comme remplies.
C’est l’absence de dispositif qui est sanctionnée, pas la corruption. Aucun fait de corruption n’est reproché à la société. Le seul défaut de mise en œuvre des mesures de l’article 17 suffit.
Analyse détaillée
La saisine directe : la fin de la logique de « seconde chance »
Lors des deux précédentes affaires portées devant la commission des sanctions, en 2020 et 2021, l’AFA avait demandé des injonctions de mise en conformité. La sanction pécuniaire n’était envisagée qu’en cas d’inexécution. Les sociétés concernées disposaient donc, de fait, d’un délai supplémentaire pour se mettre en règle, et aucune sanction n’avait été prononcée.
Ce schéma vient de disparaître. La commission confirme que le IV de l’article 17 offre à la directrice de l’AFA deux voies, alternatives ou cumulatives : l’injonction ou la sanction directe. Le texte n’impose aucun mécanisme de réponse graduée. En l’espèce, la conjonction de sept manquements et d’une inaction prolongée a conduit l’Agence à choisir la voie la plus ferme. Les premières réflexions sur la cartographie des risques ne dataient que de début 2024, soit sept ans après l’entrée en vigueur de la loi.
Le message aux entreprises assujetties est limpide : le temps de la pédagogie touche à sa fin. Une entreprise contrôlée aujourd’hui ne peut plus compter sur une injonction pour gagner du temps.
La date de caractérisation des manquements : le rapport définitif fait foi
C’est sans doute l’apport juridique le plus structurant de la décision. La société soutenait que les manquements devaient être appréciés à la date à laquelle la commission statue. Une position qui semblait cohérente avec les deux décisions antérieures, où la mise en conformité intervenue en cours de procédure avait écarté toute sanction.
La commission rejette cet argument avec une motivation solide. Les affaires de 2020 et 2021 concernaient des saisines aux fins d’injonction : la commission devait alors nécessairement apprécier la situation au jour où elle se prononçait. Dans le cadre d’une saisine directe aux fins de sanction, la logique est différente. Les manquements sont caractérisés à la date du rapport définitif de contrôle, ici le 9 juillet 2025.
La commission ajoute un argument d’efficacité difficilement contestable. Admettre qu’une entreprise puisse se mettre en conformité jusqu’à l’audience priverait la loi de toute portée, et créerait une concurrence déloyale entre les entreprises qui investissent dans leur conformité dès l’origine et celles qui attendent d’être contrôlées.
Concrètement, l’entreprise dispose au mieux de la fenêtre entre la réunion d’ouverture du contrôle et la remise du rapport définitif, soit une dizaine de mois en l’espèce, pour démontrer une mise en conformité. Au-delà, les efforts engagés ne jouent plus que sur le montant de la sanction.
La responsabilité personnelle du dirigeant : pierre angulaire du dispositif
La décision consacre avec une netteté remarquable la responsabilité individuelle de l’instance dirigeante. Le président de la société, fondateur du groupe, principal actionnaire et directement impliqué dans sa gestion, a été sanctionné à hauteur de 60 000 euros à titre personnel. La commission relève qu’il ne pouvait ignorer les enjeux du dispositif anticorruption, qu’il disposait de l’autorité nécessaire pour engager la mise en conformité, et que la société avait les ressources pour le faire.
Trois enseignements pratiques en découlent. D’abord, ce n’est ni la direction juridique ni la fonction conformité qui répond des manquements devant la commission : c’est le dirigeant. Ensuite, le statut de « professionnel averti » évoluant dans un secteur exposé aggrave l’appréciation. L’ancienneté dans le métier ne joue pas comme circonstance atténuante, mais comme facteur de responsabilité. Enfin, pour les directions conformité, cette décision est un levier interne puissant : le déploiement du programme anticorruption protège désormais directement le dirigeant. Le sujet relève de la gouvernance au plus haut niveau, pas d’un chantier qu’on délègue et qu’on repousse indéfiniment.
La cartographie des risques, préalable à tout le reste
La commission rappelle un principe de méthode que les praticiens connaissent bien : la cartographie des risques de corruption n’est pas une obligation parmi d’autres. C’est le fondement sur lequel reposent l’évaluation des tiers, les contrôles comptables, la formation et le contrôle interne. En l’absence de cartographie finalisée et adaptée à l’entreprise, ces obligations ne peuvent pas, par construction, être remplies.
Pour les entreprises qui structurent aujourd’hui leur mise en conformité, l’ordre des chantiers est donc dicté par la loi elle-même : cartographie d’abord, dispositifs ensuite, chacun calibré sur les risques réellement identifiés.
Ce qui est sanctionné : l’absence de programme, pas des faits de corruption
Aucun fait de corruption n’est reproché à la société sanctionnée. Ce point mérite d’être souligné, car une idée reçue persiste : « nous ne faisons rien de répréhensible, nous ne risquons donc rien ». La décision démontre le contraire. La loi Sapin II sanctionne le défaut de prévention, indépendamment de toute infraction sous-jacente.
C’est une logique d’obligation de moyens structurée. L’entreprise doit être en mesure de démontrer, pièces à l’appui, l’existence et l’effectivité de chacune des huit mesures de l’article 17. La bonne foi ou l’absence d’incident ne remplacent pas cette démonstration.
Ce que le déroulé du contrôle nous apprend
La décision offre par ailleurs une visibilité rare sur la chronologie d’un contrôle d’initiative de l’AFA. En l’espèce : avis de contrôle en juin 2024, réunion d’ouverture en septembre 2024, contrôle sur place en novembre 2024, réunion de clôture en mars 2025, rapport définitif en juillet 2025, puis décision de la commission en juillet 2026.
Comptez donc environ un an entre l’ouverture et le rapport définitif, et près de deux ans jusqu’à la décision de sanction. Ces durées ne sont pas normatives, mais elles donnent un ordre de grandeur précieux. Elles confirment surtout que la fenêtre utile pour démontrer sa conformité est courte au regard de l’ampleur des chantiers à mener quand on part de zéro.
Conclusion : l’effectivité démontrable devient la norme
Cette décision ne change pas les obligations, inchangées depuis 2016. Elle change le coût de l’attentisme. Pour les entreprises assujetties, l’enjeu n’est plus seulement d’avoir un programme, mais d’être capable d’en démontrer l’existence et l’effectivité à tout moment, documentation à l’appui.
C’est aussi une opportunité. Un dispositif anticorruption structuré et documenté n’est pas qu’un bouclier réglementaire. C’est un actif institutionnel, qui renforce la confiance des partenaires commerciaux, des investisseurs et des clients soumis à leurs propres obligations de vigilance. Les entreprises qui prennent ce virage maintenant transforment une contrainte en avantage.
