Les nouvelles recommandations de l’AFA : le nouveau référentiel anticorruption

Dans le cadre de sa mission de conseil, l’Agence Française Anticorruption (AFA) a actualisé ses recommandations anticorruption par avis publié au Journal Officiel de la République Française n° 0010 le 12 janvier 2021.

Après trois années d’expérience, tant dans le cadre de ses missions de conseil que de contrôles, l’AFA a entrepris plusieurs travaux d’évaluation des dispositifs anticorruption mis en place par la loi n°2016-1691 du 9 décembre 2016 dite « Sapin II ». Ces travaux ont conduit à la définition de nouvelles recommandations à destination des personnes morales de droit public et de droit privé.

Après avoir été soumises à une consultation publique du 16 octobre au 16 novembre 2020 auprès des acteurs concernés privés comme publics, l’AFA a finalisé ses nouvelles recommandations qui ont été publiées au Journal Officiel le 12 janvier 2021.

Ces nouvelles recommandations annulent et remplacent les premières recommandations de l’AFA publiées le 22 décembre 2017 et sont entrées en vigueur le 13 janvier 2021 sous réserve des dispositions du paragraphe 9.

L’AFA se réfère à ses recommandations dans le cadre de ses missions de conseil et de contrôle. L’AFA ne pourra cependant se référer à ses nouvelles recommandations que pour les contrôles ouverts à compter du sixième mois suivant leur date d’entrée en vigueur, soit à compter du 13 juillet 2021 (paragraphe 9). Les entreprises ont donc six mois pour adapter ou mettre à jour leurs procédures et dispositifs anticorruption au regard des nouvelles positions de l’AFA.

Quelle est la portée juridique de ces recommandations ?

Les recommandations de l’AFA ne sont pas juridiquement obligatoires, les acteurs privés ou publics sont libres d’adopter d’autres méthodes, sous réserve que leurs mises en œuvre leur permettent de se conformer aux objectifs et exigences de la loi Sapin II.

Une telle liberté devra être toutefois envisagé avec prudence, les entreprises devant en cas de contrôle de l’AFA justifier de leur décision en expliquant les mesures de remplacement adoptées (selon le mécanisme « Comply or Explain » déjà connu en matière de gouvernance d’entreprise). Le processus sera ainsi beaucoup plus lourd et risqué pour les acteurs qui feraient ce choix en cas de contrôle de l’AFA, dans la mesure où il leur appartiendra de justifier de leur choix et de démontrer la conformité de leurs méthodes aux exigences de la loi Sapin II. Dans cette hypothèse, la charge de la preuve n’incombe donc pas à l’AFA (comme c’est le cas si l’entreprise bénéficie d’une présomption simple de conformité) mais à l’acteur contrôlé.

Les recommandations sont toutefois opposables à l’AFA notamment dans le cadre de ses activités de contrôle : les acteurs privés ou publics qui ont appliqué ces recommandations pourront s’en prévaloir, et bénéficieront ainsi d’une présomption simple de conformité. L’AFA devra donc démontrer une application non effective, incorrecte ou incomplète des recommandations pour caractériser le manquement de l’entreprise aux objectifs de la loi Sapin II. Cette présomption simple de conformité, qui apporte une clarification souhaitée quant à la valeur juridique des recommandations de l’AFA, résulte de la jurisprudence issue des deux décisions rendues à ce jour par la Commission des sanctions de l’AFA.

La notion de présomption simple de conformité introduite par ces nouvelles recommandations constitue par conséquent un mécanisme fortement incitatif pour les acteurs assujettis à la loi Sapin II à se conformer à la méthodologie définie par l’AFA.

Nouvelles recommandations articulées autour de 3 piliers indissociables

Les anciennes recommandations de décembre 2017 étaient organisées autour des « 8 piliers + 1 » (qui reprenaient les huit dispositifs mis à la charge des entreprises assujetties à l’article 17 de la loi Sapin II plus l’engagement de l’instance dirigeante ne résultant pas expressément de la loi Sapin II). Les nouvelles recommandations reprennent et condensent ces thèmes dans trois piliers indissociables.

• PREMIER PILIER : « L’engagement de l’instance dirigeante »
• DEUXIEME PILIER : « La cartographie des risques d’atteinte à la probité »
• TROISIEME PILIER : « La gestion des risques »
  
  

Le régime de ces trois piliers est exposé dans le cadre des recommandations de la manière suivante :

• En une première partie intitulée « Dispositions générales » que l’AFA présente comme applicables à « toutes personnes morales de droit privé ou public, de droit français ou de droit étranger qui déploient leur activité en France comme à l’étranger, quels que soient leur taille, leur forme sociale ou leur statut juridique, leur secteur ou domaine d’activité, leur budget ou leur chiffre d’affaires » (ces dispositions générales étant dès lors applicables à l’ensemble des acteurs publics ou privé opérant sur le territoire français, assujettis ou non à l’article 17 ou au 3° de l’article 3 de la loi Sapin II) ;
• En une seconde partie, intitulée « Déclinaisons des dispositions générales aux entreprises assujetties à l’article 17 de la loi (Sapin II) » ;
• En une troisième partie, intitulée « Déclinaisons des dispositions générales aux acteurs publics assujettis au 3e de l’article 3 de la loi (Sapin II) ».

Cette nouvelle organisation en trois piliers est un changement important par rapport aux précédentes recommandations de l’AFA, et est en décalage avec l’équilibre initial de la loi Sapin II qui ne prévoyait pas une telle hiérarchisation des mesures de lutte contre la corruption. L’AFA a ainsi donné à l’engagement de l’instance dirigeante (qui ne figure pourtant pas dans le texte même de la loi Sapin II) et à la cartographie des risques le statut de pilier. Le 3eme pilier est quant à lui composé des sept autres mesures et procédures de gestion des risques d’atteinte à la probité.

Cette nouvelle structuration peut s’expliquer par la pratique constatée par l’AFA lors de ses précédents contrôles, et permet de mettre l’accent sur l’« élément fondateur de l’instance dirigeante » et de rappeler également que la cartographie des risques constitue, quant à elle, la « pierre angulaire du dispositif anticorruption ».

Une attention plus particulière sera portée ci-après sur les dispositions générales définies par la première partie des recommandations de l’AFA (1), ainsi que sur les dispositions spécifiques applicables aux entreprises assujetties à l’article 17 de la loi Sapin II (2).

DISPOSITIONS GENERALES : UN REFERENTIEL ANTICORRUPTION COMMUN A TOUS LES ACTEURS (QUE CEUX-CI SOIENT ASSUJETTIS OU NON A LA LOI SAPIN II)

Comme les recommandations de 2017, ce référentiel anticorruption commun s’adresse à toutes les personnes morales de droit public et de droit privé que celles-ci-soient ou non assujetties à la loi Sapin II (en vertu de l’article 17 ou du 3° de l’article 3 de cette loi).

L’AFA consacre toutefois des développements bien plus importants à ces dispositions générales que dans ses recommandations de 2017. Cette partie générale, applicable à l’ensemble des acteurs économiques opérant sur le territoire français, lui permet en effet d’étendre la sphère d’influence de ses recommandations : ainsi, les entreprises ou acteurs publics qui ne remplissent pas les seuils définis par la loi Sapin II pour être tenus à la mise en œuvre des mesures de lutte contre la corruption visés par cette loi, sont également invitées à s’inspirer de ces dispositifs et de la méthodologie définie par l’AFA pour participer à leur propre niveau à la prévention et à la détection des atteintes à la probité.

L’AFA encourage ainsi toutes les organisations à se doter d’un dispositif afin de prévenir et détecter les « atteintes à la probité », définies comme les faits délictuels de corruption, trafic d’influence, concussion, prise illégale d’intérêt, détournement de fonds publics et favoritisme.

L’AFA rappelle en outre que, conformément au principe de proportionnalité, ces recommandations doivent être adaptées par les organisations qui y ont recours en fonction de leur profil de risques, de leurs activités, de leur structure de gouvernance, leur organisation, leur taille, leurs implantations géographiques et les différentes catégories de tiers avec lesquels elles interagissent.

Si la première partie des recommandations rappelle dans les grandes lignes les principes fondamentaux des trois piliers, celle-ci reprend également (sans les détailler) l’ensemble des thèmes applicables aux entités assujetties à l’article 17 (ou au 3° de l’article 3) et semble ainsi généraliser le champ d’application de l’article 17 en allant par conséquent au-delà des exigences de la loi Sapin II.

Par ce référentiel commun à tous les acteurs, l’AFA encourage ainsi toutes les entreprises à se doter d’un dispositif anticorruption (avec l’établissement d’une cartographie des risques, d’un code de conduite, d’une procédure d’évaluation des tiers etc…). Certes l’AFA ne dispose pas pour ces entreprises non assujetties à l’article 17 d’un pouvoir de contrôle ou de sanction, et précise même que ces recommandations devront être déclinées en fonction du profil de risque de l’entité et de ses activités (en application du principe de proportionnalité), mais ces nouvelles recommandations ne seront pas sans influence sur les PME.

Cette position participe en effet de l’accroissement de l’importance de la lutte contre la corruption dans le paysage économique français, et doit conduire l’ensemble des acteurs privés ou publics à s’interroger sur les dispositifs en place (ou non) au sein de leurs organisations et aux mesures à mettre en œuvre pour atteindre « de manière proportionnée en fonction de leur profil de risque » les objectifs fixés par la loi Sapin II (telle qu’interprétée par l’AFA).

Certaines de ces entreprises, qui contractent déjà avec des grands groupes ou participent à des appels d’offres de marché public n’auront pas d’autre choix que de de démontrer qu’elles disposent d’un dispositif anticorruption, ces exigences commencent déjà à faire leur apparition dans les pratiques de marché des grands groupes économiques français ou internationaux.

Il serait à cet égard souhaitable que l’AFA fournisse à l’ensemble de ces acteurs « généraux » davantage de précisions quant au niveau d’engagement et à l’ampleur des mesures attendues de ces derniers, la rédaction actuelle de ses recommandations les laissant dans l’incertitude sur ce point.

DECLINAISONS DES DISPOSITIONS GENERALES : LES RECOMMANDATIONS SPECIFIQUES AUX ENTREPRISES ASSUJETTIS A LA LOI SAPIN II

Les nouvelles recommandations ont avant tout et surtout détaillé et précisé les prescriptions qui figuraient dans les premières recommandations de 2017. Toutefois, des précisions nouvelles sont apportées et devraient conduire les entreprises assujetties à revoir et actualiser leur dispositif et procédures anticorruption déjà mis en place.

Parmi ces nouvelles précisions, l’on peut notamment souligner les éléments suivants :

• Le périmètre du dispositif anticorruption 

L’AFA rappelle dans ses nouvelles recommandations que les mesures et procédures énumérées au II de l’article 17 de la loi Sapin II ne visent que la prévention de deux des six infractions énumérées à l’article 1 de la loi, la corruption et le trafic d’influence (§87). Or, si l’article I de l’article 17 de la loi Sapin II vise bien les deux infractions (la corruption et le trafic d’influence), l’article II 3° de l’article 17 relatif à la cartographie des risques ne vise que les « sollicitations externes aux fins de corruption ».

Malgré la lettre de l’article 17, l’AFA énonce cependant qu’au-delà de ce que prévoit la loi, « il est conseillé » que le dispositif anticorruption appréhende plus largement d’autres risques non prévus par le texte, mais susceptibles de constituer « les prémices ou la conséquence de ceux prévus par la loi », les recommandations visant ainsi les infractions de faux, d’abus de biens sociaux, de recel ou de blanchiment des faits de corruption ou de trafic d’influence.

L’AFA procède donc, une fois de plus, à une interprétation extensive de la loi Sapin II. Les entreprises doivent donc non seulement intégrer dans leur cartographie des risques le risque de trafic d’influence en sus du risque de corruption, (ce qui avait déjà été pris en compte par les entreprises dans leur cartographie des risques), mais également intégrer d’autres types de risques non expressément visés par la loi Sapin II, mis logiquement liés aux risques de corruption et de trafic d’influence selon l’AFA.

Cette interprétation extensive du périmètre de l’article 17 de la loi Sapin II devraient donc conduire les entreprises assujetties, qui avaient déjà avancé ou finalisé la mise en place de leur dispositif anti-corruption, à se remettre à l’ouvrage pour appréhender et y intégrer cette batterie supplémentaire de risques si ce n’était pas déjà le cas. Le délai de 6 mois laissé par l’AFA aux entreprises pour se conformer à ces nouvelles recommandations pourrait apparaître insuffisant cet égard au vu de l’ampleur des nouveaux risques à prendre en compte.

• Le 1er pilier du dispositif anticorruption, l’« engagement de l’Instance dirigeante » 

L’AFA qualifie l’engagement au plus haut niveau dans la mise en place du dispositif anticorruption comme l’« élément fondateur » de la démarche de prévention et de détection de la corruption. Cet engagement doit se traduire par la mise en œuvre par l’instance dirigeante d’une politique de tolérance zéro, par la promotion et la diffusion de la culture de la conformité anticorruption au sein de l’entreprise et vis-à-vis des tiers, par la mise à disposition de moyens dédiés, ainsi qu’une politique de communication interne et externe adaptée.

L’AFA détaille ainsi dans ses nouvelles recommandations le rôle et la responsabilité de l’instance dirigeante et du responsable de la conformité ainsi que les moyens dédiés – humains et financiers- proportionnés au profil de risque de l’entreprise à mettre en place par l’instance dirigeante.

L’AFA adopte en outre une conception extensive des instances concernées, en rappelant que si les membres de conseils d’administration ou autres organes de contrôle ou de surveillance ne sont pas visés par la définition de l’instance dirigeante au sens de l’article 17 de la loi Sapin II, il est néanmoins recommandé que le dispositif anticorruption et ses actualisations leur soient périodiquement présentés pour que ces derniers disposent de l’ensemble des informations nécessaires pour veiller à la conformité de l’entreprise.

L’autonomisation de l’engagement de l’instance dirigeante en tant que pilier du dispositif anticorruption constitue ainsi un message clair adressé par l’AFA aux organes décisionnels des entreprises assujetties : le succès du dispositif anticorruption repose sur leur implication effective ainsi que sur leur contrôle régulier des travaux de mise en conformité réalisés par leurs équipes.

• Le 2eme pilier du dispositif anticorruption, « la cartographie des risques » 
  
  

Il convient de noter que l’AFA n’affiche plus comme exigence préalable pour l’établissement de la cartographie des risques une connaissance « précise des risques internes et externe de l’organisation » mais recommande dorénavant « de disposer d’une connaissance étendue de l’entreprise et de ses activités, dont les processus managériaux, opérationnels et support que ces activités nécessitent de mettre en œuvre ». Cette connaissance étendue est considérée comme le préalable à l’analyse fine des processus qui apporte, selon l’AFA, une assurance raisonnable que la cartographie reflète fidèlement les risques auxquels l’entreprise est réellement exposée.

L’AFA ajoute en outre un certain nombre d’éléments à prendre en compte dans la cartographie des risques pour appréhender les risques en fonction des particularités de chaque entreprise, en sus des secteurs d’activités, des zones géographiques et de la typologie des tiers : le contexte concurrentiel et réglementaire, les modèles de revenus, la chaîne de valeur, l’organisation interne de l’entreprise, ou encore les circuits de décision.

Le principe d’une méthodologie pour la mise en place de la cartographie des risques en six étapes demeure inchangé, l’AFA revenant toutefois plus en détail sur la procédure à suivre pour chacune de ces étapes, les premières recommandations étaient plus sommaires à ce titre.

A titre d’exemples :

Dans la première étape « rôle et responsabilités des parties prenantes à la cartographie des risques », l’AFA confirme la nécessité d’associer les différents niveaux hiérarchiques à l’élaboration de la cartographie des risques (l’instance dirigeante, le responsable de conformité, les responsables des processus décisionnels, opérationnels et comptables et autres activités support, le responsable en charge de la maîtrise des risques et les personnels forts de leur expérience pratique des processus de l’entreprise).

La deuxième étape « identification des risques inhérents aux activités de l’entreprise (recensement des processus et scénarios de risques) » est notamment complétée avec le recensement par l’entreprise de ses processus sur la base des activités qu’elle exerce, cet état des lieux préalable permettant d’identifier les scénarios de risques propres à l’entreprise.

La sixième étape « formalisation, mise à jour et archivage de la cartographie des risques » est complétée avec l’exigence d’archivage de tous les éléments permettant d’apprécier la mise en œuvre effective de la cartographie.

• Le 3eme pilier du dispositif anticorruption, « la gestion des risques » 
  

Il est ici rappelé que ce 3ème pilier regroupe l’ensemble des autres mesures requises par la loi Sapin II au titre du dispositif anticorruption.

Les nouvelles recommandations de l’AFA apportent des précisions intéressantes pour certaines de ces mesures.

S’agissant du code de conduite (ou tout autre document équivalent quelle que soit sa dénomination) : l’AFA rappelle que dans les entreprises dans lesquelles il existe un règlement intérieur, le code de conduite doit y être intégré. L’AFA souligne en outre que d’autres politiques en matière de conduite éthique et de déontologie peuvent y être intégrées ou annexées comme les politiques régissant l’octroi de cadeaux, le mécénat, le sponsoring, le lobbying, la gestion des conflits d’intérêts etc…. Mais l’AFA a surtout supprimé, s’agissant du code de conduite, toute référence à sa transmission externe à titre d’outil de communication notamment avec les clients, usagers, fournisseurs ou partenaires de l’organisation concernée, qui était pourtant prévue dans ses recommandations de 2017. L’AFA précise à cet égard que le code de conduite peut utilement être communiqué aux tiers, mais sous réserve d’adaptations nécessaires pour protéger les éventuelles informations confidentielles qu’il contient. Il est également recommandé d’imposer aux tiers le respect de ce document par l’acceptation d’une clause contractuelle.

S’agissant de l’évaluation des tiers : l’AFA formalise de manière détaillée la procédure d’évaluation des tiers, qui doit s’opérer à trois niveaux d’acteurs (personnel en charge des évaluations, service de la conformité, instance dirigeante). Elle recommande de mettre en place des procédures d’évaluation des clients, fournisseurs de premier rang et des intermédiaires, conformément aux dispositions de l’article 17.II.4° de la loi Sapin II mais conseille en outre d’inclure des dispositifs d’évaluation d’autres catégories de tiers avec lesquels l’entreprise peut être en relation (cibles d’acquisition, bénéficiaire d’action de sponsoring ou mécénat). L’AFA se montre également beaucoup plus prolixe sur les facteurs de risque à prendre en compte par l’entreprise lors de son évaluation des tiers (durée de la relation financière, devises utilisées, montant de la rémunération, qualité d’intermédiaire, localisation du compte bancaire, modalités de paiement, implantation à l’étranger…).

S’agissant du dispositif d’alerte interne : l’AFA conseille aux entités de mettre en place un dispositif technique unique de recueil des signalements dans un souci de lisibilité, englobant les deux dispositifs d’alerte mentionnés aux articles 8 et 17 II 2° de la loi Sapin II. Cette mise en place d’un dispositif d’alerte unique suppose d’ouvrir la possibilité de recueillir au sein d’un seul canal les signalements émanant non seulement des employés mais également des collaborateurs occasionnels ou extérieurs de l’entreprise assujettie (personnel intérimaire, stagiaire, prestataire de service, salariés des sous-traitants…). L’AFA renforce également ses exigences en termes de formalisation des procédures d’alerte, avec notamment la définition et la formalisation d’une procédure d’enquête interne suite au signalement, ou encore la rédaction formelle d’un rapport à la suite de la réalisation de cette enquête interne.

S’agissant des dispositifs en matière de contrôle et d’évaluation interne : l’AFA détaille de manière approfondie les typologies de contrôle à mettre en place par les entreprises afin de s’assurer de l’adéquation et de l’efficacité des mesures et procédures visées au II de l’Article 17 de la loi Sapin II mises en place par l’entreprise assujettie. Un tableau de typologie de contrôles à déployer est ainsi produit dans les recommandations, ces contrôles étant articulés autour de de trois niveaux de contrôle pour chacun des éléments du dispositif anticorruption. Il appartiendra donc aux entreprises qui ont déjà mis en place des dispositifs de contrôles qui correspondent à leur organisation de vérifier l’adéquation de leurs dispositifs de contrôle actuels avec ces recommandations.

Enfin, s’agissant des mesures disciplinaires : l’AFA précise le régime applicable aux sanctions disciplinaires (prévu par l’Article 17. II 7°de la loi Sapin II ) qui n’était pas mentionné dans ses recommandations de 2017, et prescrit notamment une gradation des sanctions qui doivent être proportionnées à la faute commise, une mise en œuvre des sanctions disciplinaires par l’instance dirigeante sans attendre une décision pénale si les faits sont avérés et que leur gravité le justifie, et une communication interne (sous un format garantissant le total anonymat) des sanctions disciplinaires afin de rappeler la politique de tolérance zéro.

CONCLUSION

Ces nouvelles recommandations étaient très attendues par l’ensemble des acteurs économiques suite à la mise en œuvre des premiers contrôles de l’AFA et à l’adoption des premières décisions de la Commission des sanctions.

Elles sont incontestablement plus détaillées, plus explicatives et mieux structurées que les premières recommandations de 2017, mais également plus contraignantes et parfois même prescriptives pour les entreprises, qui si elles souhaitent bénéficier de la présomption simple de conformité définie par ces recommandations, n’auront pas d’autres choix que de les suivre et/ ou de réviser leur dispositif anticorruption déjà mis en place pour s’y conformer en tous points.

Il serait par conséquent souhaitable que l’AFA fasse preuve de souplesse lors des contrôles qui seront diligentés à compter du 13 juillet 2021, afin de prendre en compte le nécessaire effort qui devra être consenti par les acteurs privés ou publics pour intégrer ces nouvelles prescriptions au sein de leur dispositif anticorruption.

A propos du département Compliance de Taylor Wessing à Paris 

Menée par une équipe pluridisciplinaire composée de cinq de nos Associés (Markus Asshoff, Gilles Amsallem, Paul-Albert Iweins, Evelyne Friedel, Anne-Juliette de Zaluski), nous accompagnons les entreprises et leurs dirigeants sur de nombreuses problématiques en matière de Compliance,  notamment : données personnelles, RGPD et cybersécurité, lutte anti-corruption et responsabilité pénale des dirigeants, gouvernance d’entreprise, mise en place de procédures d’alerte internes, investigations pénales et RH, risques psycho-sociaux, réglementation relative au devoir de vigilance, etc.

Reconnus par l’ONU en tant qu’« expert indépendant », nous intervenons auprès de nos clients afin de leur permettre à la fois d’éviter les comportements illicites, de les détecter, d’y répondre rapidement et efficacement, et de les aider à limiter les préjudices causés à l’entreprise et à sa réputation.