La loi dite « Sapin 2 », dont le premier chapitre est dédié à la lutte contre la corruption, confirme l’ambition de la France d’adapter sa législation aux standards internationaux les plus élevés. Promulguée le 9 décembre 2016, celle-ci impose aux entreprises et à leurs dirigeants l’obligation de mettre en œuvre des mesures internes pour prévenir et détecter les risques de corruption ou de trafic d’influence. Autrement dit, elle demande aux entreprises qui ne l’ont pas déjà fait, de se doter d’un programme de conformité anti-corruption robuste, incluant des mesures de prévention, détection et réaction en cas d’allégations de faits de corruption. Ces obligations concernent les sociétés françaises et les sociétés étrangères ayant des activités économiques en France, employant au moins 500 salariés et dont le chiffre d’affaires annuel consolidé est supérieur à 100 millions d’euros. Celles-ci se traduisent dans la loi par 8 mesures clés, parmi lesquelles figure la cartographie des risques, l’évaluation de la situation des clients, des fournisseurs de premier rang et des intermédiaires, ou encore la mise en œuvre d’un dispositif de contrôle et d’évaluation des mesures mises en place.

Un enjeu de gouvernance qui implique la responsabilité du management

Les mots d’ordre sont désormais : identification pertinente des risques, monitoring efficace, audit régulier, investigation adaptée, reporting partagé et amélioration continue. De ce point de vue, le traitement des problématiques de compliance, qui sont à la croisée des chemins entre le business, la stratégie et la gouvernance, ne peut se limiter à une seule fonction de l’entreprise. Les diverses « parties prenantes » internes concernées - compliance, juridique, financier, audit et contrôle interne, comités d’audit et conseil d’administration – devront désormais gérer ensemble ces problématiques transverses pour assurer l’efficacité du dispositif. Par ailleurs, les enjeux de compliance devront être intégrés dans les divers comités, les systèmes de management et plus généralement la gouvernance de l’entreprise.

En cas de manquement ou de défaut de mise en place du programme de compliance, non seulement les entreprises (publiques ou privées) pourraient être sanctionnées, mais également leur président, directeur général ou gérant, ainsi que les organes de gouvernance. L’entrée en vigueur des mesures prévues par la loi Sapin 2 est prévue au plus tard le 1er juin 2017.

Si beaucoup d’entreprises se sont déjà mises en conformité avec ces dispositions, un grand nombre d’entre elles n’ont pas encore atteint ce niveau de maturité. Les principaux points d’amélioration concernent les volets détection et investigation, l’engagement des dirigeants et les moyens consacrés à la surveillance de l’efficacité du dispositif. Cela étant, nous observons ces dernières années un mouvement de fond, discret mais certain, en faveur de la lutte contre la corruption au sein des organisations, alors que ces problématiques étaient trop souvent jugées « peu pertinentes » par le passé. Parallèlement, de nouvelles fonctions émergent, à l’image de celle de responsable des investigations par exemple. Nous observons par ailleurs qu’à l’initiative de leur conseil d’administration, les sociétés sont de plus en plus nombreuses à souhaiter un accompagnement dans la mise en place ou la revue critique de leur cartographie des risques anti-corruption. Un premier pas primordial, qui permet à l’entreprise d’identifier ses risques prioritaires et de mettre en place les mesures de prévention nécessaires, mais qui reste encore insuffisant.

Prévention, détection, investigation : trois étapes pour protéger l’entreprise

Au-delà de la phase de prévention, incluant la mise en place du code de conduite, des procédures d’une cartographie des risques, de formations, etc. l’entreprise doit se doter d’un dispositif de détection, permettant le contrôle et l’évaluation continue du programme existant. Ce volet du dispositif est essentiel car il permet d’en analyser la qualité et la robustesse. Il inclut notamment les contrôles comptables et financiers, l’évaluation continue des tierces parties les plus « à risque » (clients, fournisseurs, agents publics, etc.), l’identification et la remontée, à travers le dispositif d’alerte interne, d’allégations de cas de corruption, ou encore la recherche de transactions « atypiques ».

Lorsque l’entreprise détecte des faits de corruption, par exemple, dans le cadre d’un audit effectué dans l’une de ses filiales, elle doit réagir de manière diligente. En cas d’investigation par des autorités, françaises ou étrangères, elle doit être en mesure de démontrer très concrètement avoir mis en œuvre les moyens proportionnés pour prévenir les risques de corruption, les détecter, et le cas échéant avoir pris les mesures appropriées de remédiation. Elle doit également justifier du traitement des alertes, y compris à travers le déploiement d’une investigation interne, en fonction de la vraisemblance et gravité des faits. In fine, elle doit démontrer que le cas de corruption, s’il est avéré, est un fait isolé et qu’il ne reflète pas une pratique courante. De ce point du vue, l’investigation a un rôle crucial : elle permet à l’entreprise d’identifier les schémas frauduleux, les rôles et responsabilités, ainsi que les impacts (financiers et autres) pour son organisation.

Détecter, investiguer, documenter, c’est protéger l’entreprise à long terme des conséquences dommageables d’une accusation de corruption, qu’il s’agisse d’amendes potentiellement considérables, de mise en cause de la responsabilité pénale des dirigeants ou encore de l’atteinte à sa réputation.

Par Philippe Hontarrède, Associé, Fraud Investigation & Dispute Services et Susana de Lencastre, Senior Manager, Fraud Investigation & Dispute Services - EY (Ernst & Young)