Programme anticorruption : cartographie, contrôles, alertes
Un programme anticorruption tient sur trois piliers : savoir où sont les risques, les contrôler, et entendre ceux qui voient les dérives. Le reste, code de conduite compris, s'appuie sur eux.
L’erreur la plus fréquente, en matière de conformité anticorruption, consiste à commencer par le code de conduite. Le document est rédigé, signé par la direction, diffusé. Puis rien ne change, parce qu’il ne dit rien des risques réels de l’entreprise : il dit ce que dirait n’importe quel code. Un programme qui fonctionne commence ailleurs, par la question « où, chez nous, un acte de corruption pourrait-il se produire ? ».
Le cadre, en bref
En France, la loi n° 2016-1691 du 9 décembre 2016, dite Sapin II, impose aux sociétés d’au moins 500 salariés et 100 millions d’euros de chiffre d’affaires huit mesures : code de conduite, dispositif d’alerte interne, cartographie des risques, évaluation des tiers, contrôles comptables, formation, régime disciplinaire, contrôle et évaluation internes. L’Agence française anticorruption (AFA) en contrôle la mise en œuvre et publie des recommandations. Le Royaume-Uni (Bribery Act de 2010) et les États-Unis (FCPA) ont des exigences voisines, et la norme ISO 37001 propose un cadre de système de management anticorruption.
Ces textes convergent sur un point : le programme doit être proportionné aux risques. D’où l’ordre proposé ici.
Pilier 1 : une cartographie qui sert
La cartographie des risques est l’exercice qui donne du sens à tout le reste. Elle se construit par processus, pas par service, et à partir d’entretiens avec ceux qui font, pas seulement avec ceux qui dirigent.
- Lister les processus exposés Achats, ventes (en particulier à l’export et aux acheteurs publics), recours à des intermédiaires et agents commerciaux, obtention de licences et autorisations, dons, mécénat, sponsoring, cadeaux et invitations, recrutement, fusions et acquisitions.
- Décrire les scénarios Pour chaque processus, comment un acte de corruption pourrait-il se produire concrètement ? « Un agent commercial dans un pays à risque reçoit une commission anormalement élevée » est un scénario ; « risque de corruption » n’en est pas un.
- Évaluer Probabilité et gravité, d’abord brutes, puis nettes des contrôles existants. Les facteurs aggravants sont connus : pays, secteur, contact avec des agents publics, montants, recours à des tiers.
- Hiérarchiser et décider Les risques nets les plus élevés reçoivent un plan d’action, un responsable et une échéance.
Une bonne cartographie tient en quelques dizaines de scénarios précis, chacun rattaché à un processus et à un propriétaire. Un tableur de trois cents lignes génériques n’aide personne à décider.
Pilier 2 : des contrôles proportionnés
Les contrôles découlent de la cartographie. Ils sont de deux natures.
Les contrôles préventifs
- Évaluation des tiers Fournisseurs, clients, intermédiaires : collecte d’informations, vérification des bénéficiaires effectifs, recherche dans les listes de sanctions, intensité graduée selon le niveau de risque du tiers.
- Règles de délégation Séparation des tâches entre celui qui commande, celui qui réceptionne et celui qui paie ; double signature au-delà d’un seuil.
- Politique cadeaux et invitations Seuils, registre, autorisation préalable au-delà d’un montant, interdiction envers certains interlocuteurs.
- Clauses contractuelles Engagement anticorruption, droit d’audit, résiliation en cas de manquement, notamment pour les intermédiaires.
Les contrôles comptables et de détection
Ils visent à repérer ce que la prévention n’a pas empêché : paiements vers des pays sans lien avec la prestation, commissions hors grille, factures sans bon de commande, fractionnement de dépenses sous les seuils d’autorisation, comptes fournisseurs créés puis vite fermés. Une partie de ces contrôles peut être automatisée par des règles sur les données comptables et d’achat ; leur intérêt dépend de la qualité de ces données.
Pilier 3 : un dispositif d’alerte crédible
Les dérives sont souvent connues en interne avant d’être découvertes par un audit. Un dispositif d’alerte sert à ce qu’elles remontent. Il n’est utile que s’il inspire confiance.
- Canal accessible à tous, y compris aux tiers
- Confidentialité stricte de l’identité de l’auteur
- Accusé de réception et retour d’information dans des délais fixés
- Traitement par des personnes indépendantes de la hiérarchie concernée
- Protection effective contre les représailles
- Une adresse courriel lue par le supérieur hiérarchique
- Aucune nouvelle après un signalement
- Une enquête qui révèle l’auteur
- Des alertes traitées sans trace ni décision
- Un lanceur d’alerte mis à l’écart ensuite
Dans l’Union européenne, la directive (UE) 2019/1937 encadre la protection des lanceurs d’alerte ; en France, la loi du 21 mars 2022 l’a transposée et a renforcé les protections. Le dispositif anticorruption peut s’appuyer sur le même canal que les autres alertes, à condition que les règles de traitement soient claires.
Faire tenir l’ensemble
Les autres mesures prennent appui sur les trois piliers. Le code de conduite illustre les scénarios de la cartographie avec des exemples tirés des métiers de l’entreprise. La formation cible en priorité les fonctions exposées : acheteurs, commerciaux export, responsables de filiales. Le régime disciplinaire est appliqué, et cela se sait. Le contrôle interne vérifie, chaque année, que les contrôles prévus sont réellement exécutés.
Les outils numériques aident sur trois points précis : l’évaluation des tiers en volume, la traçabilité des contrôles (qui a vérifié quoi, quand), et la gestion confidentielle des alertes. Ils n’aident pas à la cartographie, qui reste un travail d’entretiens et de jugement. Notre offre Gouvernance et notre expertise cybersécurité et conformité couvrent ces deux dimensions.
Liste de contrôle pour la direction
- La cartographie date-t-elle de moins d’un an, et décrit-elle des scénarios précis ?
- Chaque risque net élevé a-t-il un responsable et un plan d’action ?
- Les intermédiaires à l’export sont-ils évalués avant contractualisation ?
- Combien d’alertes ont été reçues l’an dernier, et combien ont fait l’objet d’une décision ?
- Les contrôles comptables prévus ont-ils été exécutés, et par qui ?
Un « zéro alerte » sur plusieurs années n’est pas forcément une bonne nouvelle : c’est souvent le signe que le canal n’inspire pas confiance.
Pour approfondir : Gouvernance & traçabilité
Questions fréquentes
Qui est concerné par la loi Sapin II ?
L'article 17 vise les sociétés d'au moins 500 salariés dont le chiffre d'affaires dépasse 100 millions d'euros, ainsi que les groupes de même taille. Les acteurs publics ont aussi des obligations, contrôlées par l'Agence française anticorruption (AFA).
À quelle fréquence mettre à jour la cartographie des risques ?
Au moins une fois par an, et à chaque changement significatif : nouveau pays, nouvelle activité, acquisition, incident. Une cartographie qui n'a pas bougé depuis trois ans ne décrit plus l'entreprise.
Faut-il un logiciel pour gérer un programme anticorruption ?
Pas au départ. Un logiciel devient utile pour l'évaluation des tiers en volume, la traçabilité des contrôles et la gestion confidentielle des alertes. Il ne remplace ni la cartographie ni l'implication de la direction.
Une PME doit-elle se soucier de tout cela ?
Même hors du champ légal, une PME qui exporte ou travaille avec de grands donneurs d'ordre se verra demander des garanties. Un programme simple, proportionné, est un atout commercial autant qu'une protection.