Une premiere en France : l'AFA sanctionne sans mise en demeure prealable
Le 9 juillet 2026, la Commission des sanctions de l'Agence francaise anticorruption (AFA) a prononce, pour la premiere fois depuis l'entree en vigueur de la loi Sapin 2, une sanction pecuniaire directe : 350 000 euros a l'encontre d'une entreprise et 60 000 euros a l'encontre de son dirigeant. Fait notable, la Commission n'avait, dans ce dossier, delivre aucune injonction prealable de mise en conformite, contrairement a ses deux precedentes decisions. Elle a considere que sept manquements aux obligations de l'article 17 de la loi du 9 decembre 2016 justifiaient une sanction immediate.
Cette decision change la donne pour les entreprises soumises au dispositif anticorruption : l'AFA peut desormais sanctionner directement, sans laisser de delai correctif, des lors que les manquements sont juges suffisamment caracterises. Or, dans ce dossier comme dans la grande majorite des controles de l'AFA, ce qui a fait la difference n'est pas l'existence d'une politique de conformite sur le papier, mais la capacite de l'entreprise a produire les preuves documentaires de son application effective.
Deux dispositifs distincts, deux obligations documentaires
La loi Sapin 2, modifiee par la loi n 2022-401 du 21 mars 2022 (dite loi Waserman) et son decret d'application n 2022-1284 du 3 octobre 2022 qui transpose la directive europeenne 2019/1937, impose en realite deux regimes distincts, souvent confondus.
Le dispositif d'alerte professionnelle (article 8)
Toute personne morale de droit prive d'au moins cinquante salaries doit mettre en place, apres consultation du comite social et economique, une procedure de recueil et de traitement des signalements accessible aux salaries comme aux collaborateurs exterieurs. L'organisme doit accuser reception du signalement sous 7 jours ouvres, puis informer l'auteur des suites envisagees dans un delai raisonnable qui ne peut exceder trois mois. Le defaut de mise en place de cette procedure est punissable d'un an d'emprisonnement et de 15 000 euros d'amende au titre de l'article 13 de la loi.
Le programme anticorruption des huit piliers (article 17)
Les societes et groupes employant au moins cinq cents salaries et realisant un chiffre d'affaires superieur a 100 millions d'euros doivent, eux, deployer un programme de prevention de la corruption structure autour de huit piliers : code de conduite, dispositif d'alerte interne, cartographie des risques, evaluation des clients et fournisseurs, controles comptables, formation des personnels exposes, regime disciplinaire et dispositif de controle interne. C'est ce second regime, plus lourd, qui etait en cause dans la sanction de juillet 2026.
Ce que l'AFA a reproche : des documents absents ou incomplets
Les sept manquements retenus contre l'entreprise sanctionnee portaient tous sur des elements de preuve documentaire manquants ou lacunaires :
- Absence de cartographie des risques de corruption a jour
- Code de conduite incomplet au regard du perimetre reel de l'activite
- Absence de procedures disciplinaires formalisees en cas de violation du code
- Absence de procedure d'evaluation de l'integrite des tiers (clients, fournisseurs, intermediaires)
- Controles comptables juges insuffisants pour detecter des ecritures suspectes
- Absence de dispositif de formation documente pour les personnels les plus exposes
Dans chacun de ces cas, ce n'est pas necessairement l'inexistence d'une pratique qui a ete sanctionnee, mais l'impossibilite de la demontrer par des documents dates, versionnes et rattaches a une population de destinataires identifiable. Un controle AFA porte typiquement sur plusieurs exercices et suppose de retrouver, plusieurs annees apres leur emission, les versions successives du code de conduite, les comptes rendus de formation, les fiches d'evaluation des tiers ou les comptes rendus de cartographie.
Duree de conservation des signalements : ce que precise le referentiel CNIL
Le referentiel de la CNIL relatif aux alertes professionnelles, actualise en juillet 2023, encadre la conservation des donnees issues des signalements. Les donnees peuvent etre conservees en base active jusqu'a la decision definitive sur les suites a donner a l'alerte. Lorsque le signalement n'est suivi d'aucune procedure disciplinaire ou judiciaire, les donnees doivent etre detruites ou anonymisees dans un delai de deux mois apres la cloture des verifications. En revanche, lorsqu'une procedure disciplinaire ou contentieuse est engagee, les donnees peuvent etre conservees en archivage intermediaire pendant la duree strictement necessaire a cette procedure. Une fois anonymisees, les donnees statistiques peuvent en revanche etre conservees sans limitation de duree.
Checklist documentaire pratique
Pour les entreprises concernees par l'un ou l'autre de ces regimes, la constitution d'un dossier de preuves solide suppose de tenir a jour et de pouvoir retrouver rapidement :
- Le registre des signalements avec horodatage des accuses de reception (delai de 7 jours ouvres) et des retours faits aux auteurs (delai de 3 mois)
- Les versions successives et datees du code de conduite, avec preuve de diffusion aux salaries
- La cartographie des risques et ses mises a jour periodiques
- Les comptes rendus et emargements des sessions de formation des personnels exposes
- Les fiches d'evaluation d'integrite des tiers, classees par date et par entite evaluee
- Les preuves de consultation du comite social et economique lors de la mise en place ou de la modification du dispositif
- Les journaux de purge ou d'anonymisation des donnees de signalement, alignes sur les delais du referentiel CNIL
Face a un controle de l'AFA, la question n'est plus seulement de savoir si une politique existe, mais si son application peut etre reconstituee, document par document, sur plusieurs exercices successifs.
