Dispositif alerte professionnelle et loi Sapin 2 : nouvelles obligations documentaires pour les entreprises

Une première en France : l'AFA sanctionne sans mise en demeure préalable

Le 9 juillet 2026, la Commission des sanctions de l'Agence française anticorruption (AFA) a prononce, pour la première fois depuis l'entree en vigueur de la loi Sapin 2, une sanction pécuniaire directe : 350 000 euros a l'encontre d'une entreprise et 60 000 euros a l'encontre de son dirigeant. Fait notable, la Commission n'avait, dans ce dossier, delivre aucune injonction préalable de mise en conformité, contrairement a ses deux précédentes décisions. Elle a considere que sept manquements aux obligations de l'article 17 de la loi du 9 décembre 2016 justifiaient une sanction immédiate.

Cette décision change la donne pour les entreprises soumises au dispositif anticorruption : l'AFA peut désormais sanctionner directement, sans laisser de délai correctif, des lors que les manquements sont juges suffisamment caracterises. Or, dans ce dossier comme dans la grande majorité des controles de l'AFA, ce qui a fait la différence n'est pas l'existence d'une politique de conformité sur le papier, mais la capacité de l'entreprise a produire les preuves documentaires de son application effective.

Deux dispositifs distincts, deux obligations documentaires

La loi Sapin 2, modifiée par la loi n 2022-401 du 21 mars 2022 (dite loi Waserman) et son décret d'application n 2022-1284 du 3 octobre 2022 qui transpose la directive européenne 2019/1937, impose en réalité deux regimes distincts, souvent confondus.

Le dispositif d'alerte professionnelle (article 8)

Toute personne morale de droit prive d'au moins cinquante salaries doit mettre en place, apres consultation du comite social et économique, une procédure de recueil et de traitement des signalements accessible aux salaries comme aux collaborateurs extérieurs. L'organisme doit accuser réception du signalement sous 7 jours ouvres, puis informer l'auteur des suites envisagées dans un délai raisonnable qui ne peut excéder trois mois. Le défaut de mise en place de cette procédure est punissable d'un an d'emprisonnement et de 15 000 euros d'amende au titre de l'article 13 de la loi.

Le programme anticorruption des huit piliers (article 17)

Les sociétés et groupes employant au moins cinq cents salaries et réalisant un chiffre d'affaires supérieur a 100 millions d'euros doivent, eux, déployer un programme de prévention de la corruption structure autour de huit piliers : code de conduite, dispositif d'alerte interne, cartographie des risques, évaluation des clients et fournisseurs, controles comptables, formation des personnels exposes, régime disciplinaire et dispositif de controle interne. C'est ce second régime, plus lourd, qui était en cause dans la sanction de juillet 2026.

Ce que l'AFA a reproche : des documents absents ou incomplets

Les sept manquements retenus contre l'entreprise sanctionnée portaient tous sur des éléments de preuve documentaire manquants ou lacunaires :

• Absence de cartographie des risques de corruption a jour
• Code de conduite incomplet au regard du périmètre réel de l'activite
• Absence de procédures disciplinaires formalisées en cas de violation du code
• Absence de procédure d'evaluation de l'integrite des tiers (clients, fournisseurs, intermédiaires)
• Controles comptables juges insuffisants pour détecter des écritures suspectes
• Absence de dispositif de formation documente pour les personnels les plus exposes

Dans chacun de ces cas, ce n'est pas nécessairement l'inexistence d'une pratique qui a été sanctionnée, mais l'impossibilite de la démontrer par des documents dates, versionnes et rattaches a une population de destinataires identifiable. Un controle AFA porte typiquement sur plusieurs exercices et suppose de retrouver, plusieurs années apres leur émission, les versions successives du code de conduite, les comptes rendus de formation, les fiches d'evaluation des tiers ou les comptes rendus de cartographie.

Durée de conservation des signalements : ce que precise le référentiel CNIL

Le référentiel de la CNIL relatif aux alertes professionnelles, actualise en juillet 2023, encadre la conservation des données issues des signalements. Les données peuvent être conservées en base active jusqu'a la décision définitive sur les suites a donner a l'alerte. Lorsque le signalement n'est suivi d'aucune procédure disciplinaire ou judiciaire, les données doivent être détruites ou anonymisées dans un délai de deux mois apres la cloture des vérifications. En revanche, lorsqu'une procédure disciplinaire ou contentieuse est engagée, les données peuvent être conservées en archivage intermédiaire pendant la durée strictement nécessaire a cette procédure. Une fois anonymisées, les données statistiques peuvent en revanche être conservées sans limitation de durée.

Checklist documentaire pratique

Pour les entreprises concernées par l'un ou l'autre de ces regimes, la constitution d'un dossier de preuves solide suppose de tenir a jour et de pouvoir retrouver rapidement :

• Le registre des signalements avec horodatage des accuses de réception (délai de 7 jours ouvres) et des retours faits aux auteurs (délai de 3 mois)
• Les versions successives et datées du code de conduite, avec preuve de diffusion aux salaries
• La cartographie des risques et ses mises a jour periodiques
• Les comptes rendus et émargements des sessions de formation des personnels exposes
• Les fiches d'evaluation d'integrite des tiers, classées par date et par entité évaluée
• Les preuves de consultation du comite social et économique lors de la mise en place ou de la modification du dispositif
• Les journaux de purge ou d'anonymisation des données de signalement, alignes sur les délais du référentiel CNIL

Face a un controle de l'AFA, la question n'est plus seulement de savoir si une politique existe, mais si son application peut être reconstituée, document par document, sur plusieurs exercices successifs.