Guide pratique : dispositions anticorruption de la Loi Sapin 2

La loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique dite Sapin 2 (la « Loi ») a été définitivement adoptée le 8 novembre 2016. Le 8 décembre 2016, le Conseil Constitutionnel a confirmé la constitutionalité des dispositions anti-corruption décrites ci-dessous.

Nous proposons ci-dessous une analyse pratique des dispositions anticorruption de la Loi. Cette analyse est basée sur les dispositions de la Loi, les travaux parlementaires qui l’ont précédée mais aussi sur l’expérience quotidienne que l’équipe contentieux et éthique des affaires de Norton Rose Fulbright à Paris a acquise ces dix dernières années en matière de compliance et d’anticorruption en France et à l’étranger.

Les mesures de lutte anticorruption de la Loi s’appliquent aux présidents, directeurs généraux et gérants des sociétés : 

• employant au moins 500 salariés

  ou

• appartenant à un groupe de sociétés dont la société mère a son siège en France et dont l’effectif comprend au moins 500 salariés

  et

• dont le chiffre d’affaires ou le chiffre d’affaires consolidé est supérieur à 100 millions d’euros.

Dans l’hypothèse où la société établit des comptes consolidés, les mesures de lutte anticorruption portent également sur les filiales et les sociétés qu’elle contrôle.

Toutefois, la Loi précise que, dans le cas où ces filiales ou sociétés contrôlées dépassent elles-mêmes les seuils, elles sont considérées avoir rempli cette obligation dès lors que la société qui les contrôle met en œuvre ces mesures pour l’ensemble de ses filiales et/ou sociétés contrôlées.

Ces mesures de lutte anticorruption s’appliquent à des sociétés françaises filiales de groupes non français mais également aux filiales de groupes français situées à l’étranger, répondant aux deux critères cumulatifs susvisés.

L’article 21 de la Loi précise en outre que la loi française sera applicable lorsqu’une infraction de corruption ou de trafic d’influence d’agent public étranger est commise en dehors du territoire français, par un Français ou par une personne résidant habituellement ou exerçant tout ou partie de son activité économique sur le territoire français.

Ce dernier point constitue une grande nouveauté : le législateur a choisi de donner un caractère extraterritorial très étendu à la Loi puisque la justice française pourrait désormais théoriquement poursuivre des infractions de corruption d’agent public étranger commises à l’étranger par une société étrangère exerçant « une partie de son activité économique » en France. Il est encore tôt pour déterminer dans quelle mesure cette disposition sera effectivement mise en œuvre – il faudra de la volonté politique et surtout des moyens – mais la France n’a désormais plus rien à envier dans ce domaine aux lois anticorruption américaine et britannique, en tout cas sur le papier.

Une des principales questions qui se posera dans un premier temps sera de savoir ce qu’on entend par exerçant « tout ou partie de son activité économique sur le territoire français» : quel pourcentage ? La filiale du groupe étranger doit-elle avoir participé, même partiellement, à l’infraction ou suffit-il que la société étrangère tête de groupe ou une des autres filiales étrangères ait commis l’infraction ?

L’une des grandes nouveautés apportées par la Loi est de prévoir un volet préventif jusqu’ici inexistant dans les textes et composé de huit mesures.

Code de conduite

La Loi prévoit que le code de conduite doit définir et illustrer les différents types de comportements à proscrire comme étant susceptibles de caractériser des faits de corruption ou de trafic d’influence.

Il s’agit ici d’un guide pratique expliquant clairement les situations susceptibles de constituer des actes de corruption ou de trafic d’influence. La corruption ne se limite pas aux enveloppes remplies d’argent liquide. Le code doit décrire les différentes formes de corruption possibles, par exemple les cadeaux et invitations. Il doit impérativement donner des lignes directrices claires et pratiques, lisibles non seulement par les cadres du siège en France mais également par les collaborateurs qui sont sur le terrain, dans des pays où ils sont quotidiennement confrontés à la corruption.  

Dans ce cadre, le code doit être tourné vers les activités spécifiques de la société et ne doit pas être une simple copie de ce que d’autres sociétés ont mis en place. Les sociétés, selon leur secteur d’activité et selon leur organisation sur le terrain, ne sont pas confrontées aux mêmes risques (la cartographie des risques qui sera évoquée plus bas permettra de bien cibler les risques spécifiques).

Ce code de conduite doit être intégré au règlement intérieur de l’entreprise, ce qui suppose les procédures et formalités suivantes :

• soumettre le projet pour avis au comité d’entreprise et, pour les matières relevant de sa compétence, au CHSCT ; 
• déposer le document au secrétariat-greffe du Conseil de prud’hommes ;
• le porter par tout moyen à la connaissance des personnes ayant accès aux lieux de travail ou aux locaux où se fait l’embauche. En même temps qu’il fait l’objet de ces mesures de publicité, le règlement intérieur, accompagné de l’avis du comité d’entreprise et, le cas échéant, du CHSCT, est communiqué à l’inspecteur du travail.

 Dispositif d’alerte interne

Ce dispositif est destiné à recueillir les signalements d’employés relatifs aux violations du code de conduite.

Il s’agit donc d’un dispositif spécifique aux violations du code de conduite qui vient d’être évoqué. Rien n’empêche à notre sens que ce dispositif soit inclus dans un dispositif d’alerte interne plus large que l’entreprise met en place pour d’autres matières (fraude, concurrence, harcèlement, etc.). Il conviendra dans tous les cas de respecter les dispositions applicables à la mise en place des procédures d’alerte interne (whistleblowing) notamment en matière de traitement de données à caractère personnel. Il est également important de s’assurer que, lorsque le dispositif est mis en place au sein de filiales étrangères, il respecte les lois locales. 

Ce dispositif concerne les signalements des employés, ce qui exclut les signalements des autres parties prenantes, par exemple des fournisseurs de la société. Pour autant, si la ligne d’alerte spécifique n’est pas ouverte aux tiers, la société ne peut, à notre sens, se borner à classer sans autre formalité les signalements remontés par ces tiers à travers d’autres canaux : elle doit dans tous les cas de figure traiter l’alerte qui est remontée, notamment en enquêtant sur les faits concernés et, si la violation est avérée, elle doit prendre les mesures adéquates pour la faire cesser (par exemple à travers des sanctions disciplinaires) et, par la suite, tirer les leçons de l’incident (par exemple par une communication ou une session de formation spécifiques).

Les personnes qui traitent les alertes, notamment celles qui enquêtent, doivent avoir une formation adéquate et respecter ici encore les textes applicables (confidentialité, protection du lanceur d’alerte, protection de la personne mise en cause, recueil des preuves, vie privée du salarié, éventuelle interaction avec les autorités, etc.). Les enquêteurs peuvent faire partie d’un service spécialisé de l’entreprise ou peuvent être externes, par exemple des avocats pour permettre notamment à l’enquête de bénéficier du secret professionnel.

Cette enquête est cruciale car elle va permettre d’agir en amont pour arrêter le plus vite possible la violation et garder, dans la mesure du possible, le contrôle de la situation, notamment vis-à-vis des autorités et vis-à-vis de l’extérieur (médias, communication au marché). Dans certains cas, la société pourrait même faire le choix de s’auto-dénoncer aux autorités pour tenter de bénéficier d’une sanction moins sévère (voir plus bas).

Enfin, s’il est indispensable d’agir, il est également important de veiller à éviter, dans la mesure du possible, des actes susceptibles de constituer une gestion de fait d’une filiale.

Cartographie des risques

La Loi impose de mettre en œuvre « une cartographie des risques prenant la forme d’une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d’exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d’activité et des zones géographiques dans lesquels la société exerce son activité. »

Il s’agit de l’une des premières étapes à mettre en œuvre afin de bien cibler les autres mesures préventives, par exemple le code de conduite. Cette étape est indispensable pour éviter de se lancer dans des mesures inutilement lourdes et peu efficaces au regard du risque spécifique de la société.

La première phase consiste à identifier les risques initiaux de l’entreprise, c’est-à-dire les risques existants préalablement à la mise en œuvre de procédures de prévention. Dans un second temps, il sera nécessaire de déterminer le risque résiduel de l’entreprise, autrement dit celui qui subsiste après l'application de mesures de prévention ou d‘atténuation du risque.

Les risques initiaux peuvent être évalués au regard du ou des secteurs d’activité de l’entreprise, des pays où elle est implantée, de ses objectifs stratégiques de développement, de ses partenaires commerciaux ainsi que des lois et règlements qui lui sont applicables.

La cartographie des risques peut être schématisée ainsi :

Gestion des tiers

Une majorité des grandes affaires de corruption transnationale implique des intermédiaires extérieurs à la société (agents, consultants, joint-ventures, etc.).

Un des risques principaux provient donc des tiers et il est essentiel de bien les évaluer avant d’entrer en relation avec eux mais également tout au long de cette relation.

Bien entendu, il ne suffit pas d’avoir mis en place une procédure de gestion des tiers ; il faut l’appliquer. L’entreprise doit connaître tous ses tiers, partout dans le monde. Si le contrat avec le tiers permet un droit d’audit, il faut l’exercer de temps en temps. Si les due diligence sur le tiers le classent dans la catégorie des risques élevés de corruption, il conviendra que la société en tire les conséquences, parfois en arrêtant immédiatement la poursuite du contrat. Une telle décision peut être difficile à prendre car elle implique des risques de contentieux avec le tiers en question et surtout un risque commercial élevé puisque la société se prive ainsi dans certains cas de partenaires très importants grâce auxquels elle a accès à une transaction ou à un marché et qui peuvent être suffisamment bien introduits pour gêner par la suite les activités commerciales de la société dans la région concernée. A l’inverse, si la société ne prend pas ces mesures, elle fera face à un risque important puisque c’est l’un des critères que les autorités actives dans les poursuites en matière de corruption (par exemple les Etats-Unis) vérifient soigneusement. Par ailleurs, il arrive souvent que, lorsqu’un tiers a été impliqué dans une affaire de corruption, les enquêtes soient étendues à tous les partenaires de ce tiers et le risque de réputation (association de nom de l’entreprise à celui du tiers en question) ne doit pas être négligé.

Procédures de contrôles comptables

L’objectif est ici de s’assurer que les livres, registres et comptes de la société « ne sont pas utilisés pour masquer des faits de corruption ou de trafic d’influence.»

En effet, des paiements illicites peuvent être comptabilisés sous d’autres rubriques, et permettre ainsi de cacher la vraie nature du paiement. Le contrôle comptable spécifique prévu par la Loi permet de limiter un tel risque.

Le contrôle peut être interne (services de contrôle comptable et financier propres à la société) ou externe (auditeurs qui certifient les comptes de la société). Cela suppose, pour que leur travail soit efficace, que les contrôleurs soient suffisamment sensibilisés aux situations et aux schémas de la corruption et du trafic d’influence.   

Dispositif de formation

Il est inutile d’avoir un dispositif de conformité si les collaborateurs de l’entreprise n’y sont pas sensibilisés de façon efficace. La compliance est, malheureusement, souvent associée à des procédures contraignantes ou à de la paperasse et, de ce fait, beaucoup de collaborateurs s’en désintéressent. Or, et c’est ici une évidence, leur rôle est crucial et sans leur implication le dispositif ne sera pas efficace. A l’inverse, si les collaborateurs comprennent le dispositif et y adhèrent, les processus se transformeront en culture.

Par conséquent, la formation ne doit pas, à notre sens, être limitée à des formations en ligne ou e-learnings. Si des formations en ligne peuvent être suffisantes pour des personnels qui ne sont pas exposés au risque quotidien en matière de corruption, d’autres fonctions doivent être formées de façon plus efficace : commerciales, achats, finance, contrôle interne, ressources humaines et bien sûr juridique.

Des formations « physiques » peuvent se révéler très efficaces : non seulement les personnes présentes sont plus impliquées que derrière un ordinateur mais, surtout, ces formations permettent de discuter de cas concrets auxquels le public concerné fait spécifiquement face. Elles permettent aussi à la fonction compliance d’avoir une bonne vision du « terrain » à travers les questions posées ou les commentaires des participants.

La formation et les exemples doivent être surtout adaptés à la fonction concernée et à la culture locale. Un travail de pédagogie est ici indispensable : on n’explique pas la politique cadeaux dans un pays du nord de l’Europe comme on le ferait en Asie du Sud-Est ou au Moyen-Orient.

Enfin, les formateurs doivent non seulement insister sur ce qu’il est interdit de faire, mais également être en mesure d’expliquer comment, en pratique, les collaborateurs présents peuvent continuer leur business et réaliser leurs objectifs commerciaux et financiers.

Régime disciplinaire

L’employeur pouvait, avant cette Loi, prendre des mesures disciplinaires à l’encontre d’un salarié qui a été impliqué dans des actes de corruption.

L’objectif ici est de viser spécifiquement les violations du code de conduite anticorruption et de mettre en exergue la nécessité de le respecter. Cela ne signifie pas que l’employeur devrait prévoir un régime spécifique de sanctions disciplinaires mais simplement préciser que les sanctions disciplinaires habituelles peuvent être prononcées en cas de violation du code de conduite (lequel, il convient de le rappeler, fait partie du règlement intérieur de la société).

Ici encore, le régime de sanctions disciplinaires doit être effectivement appliqué aussi bien pour se protéger vis-à-vis des autorités que pour donner l’exemple. Si des faits graves sont avérés, une sanction adéquate doit être prise contre le contrevenant, quel que soit son rang hiérarchique et quelle que soit sa contribution financière au chiffre de la société.

C’est ici l’occasion de signaler que la Loi a omis un élément-clé du dispositif, à savoir le tone at the top, ou le ton qui vient d’en haut. Si les dirigeants au plus haut niveau de l’entreprise ne s’impliquent pas personnellement et n’apportent pas les soutiens nécessaires, les mesures préventives auront échoué. Les collaborateurs n’appliqueront pas efficacement les mesures édictées ci-dessus si l’exemple ne vient pas d’en haut, si les ressources nécessaires ne sont pas assurées pour la bonne mise en œuvre du programme, si certains échappent aux contrôles et aux sanctions ou s’il n’y a pas de communication permanente de la part des plus hauts dirigeants sur ces sujets.

Dispositif de contrôle et d’évaluation

Un dispositif de contrôle et d’évaluation interne des mesures mises en œuvre doit être prévu.

Il s’agit pour l’entreprise de contrôler et d’évaluer l’efficacité de ses procédures et, le cas échéant, de les adapter. Cette évaluation doit être périodique. Elle peut être menée en interne, le cas échéant avec l’intervention d’un prestataire extérieur pour assurer l’indépendance de l’évaluation du processus.

La Loi a créé l’Agence Française Anticorruption (l’ « Agence ») qui a notamment pour prérogatives de veiller au contrôle et au respect du dispositif qui vient d’être décrit.

L’Agence dispose d’une commission des sanctions qui peut notamment enjoindre à la société et à ses représentants d’adapter les procédures de conformité et elle peut prononcer des sanctions pécuniaires pouvant aller jusqu’à 200 000 euros pour les personnes physiques (la Loi impose aux dirigeants de mettre en place le dispositif) et un million d’euros pour les personnes morales. Ces sanctions peuvent être prononcées du simple fait du non-respect du dispositif de prévention décrit plus haut, même si aucun acte de corruption ou de trafic d’influence n’a été constaté. Bien entendu, les sanctions pénales habituelles sont susceptibles, en plus, d’être prononcées, en cas d’actes de corruption ou de trafic d’influence.

La Loi prévoit également une sanction complémentaire nouvelle si la société est condamnée pour corruption ou trafic d’influence, qui consiste à l’obliger à se soumettre, sous le contrôle de l’Agence, à un programme de mise en conformité d’une durée maximale de cinq ans. Il s’agit ici d’un régime proche du « monitorship » qui existe déjà dans certaines législations (Etats-Unis, Royaume-Uni, Banque Mondiale…). Le fait pour les organes ou les représentants de la personne morale de s’abstenir de prendre les mesures nécessaires ou de faire obstacle à la bonne exécution des mesures qui en découlent est puni de deux ans d’emprisonnement et de 50 000 euros d’amende (d’autres peines sont prévues pour les personnes morales). La personne morale supporte les frais de cette mise en conformité.

Plusieurs systèmes juridiques étrangers connaissent le deferred prosecution agreement ou son équivalent, qui consiste à conclure une transaction entre la partie poursuivante et la partie poursuivie au lieu d’aller au procès. Chacune des parties y trouve son avantage : la personne poursuivie évite les aléas et l’exposition médiatique du procès et va pouvoir clore plus rapidement l’affaire. L’autorité poursuivante, elle aussi, pourra clore les poursuites beaucoup plus rapidement en économisant du temps et des ressources, et surtout en étant certaine d’obtenir une condamnation de la personne poursuivie sans devoir apporter des preuves de la culpabilité, parfois très difficiles et longues à recueillir (y compris à la suite d’enquêtes dans des pays étrangers pas toujours coopératifs).

La convention judiciaire d’intérêt public (la « Convention ») s’inscrit dans ce cadre. La Loi prévoit en effet que, tant que l’action publique n’a pas été mise en mouvement, le Procureur de la République peut proposer à la personne morale de conclure une Convention proposant une ou plusieurs des obligations suivantes :

• une amende proportionnée aux avantages tirés des manquements constatés pouvant aller jusqu’à 30% du chiffre d’affaires moyen annuel calculé sur les trois derniers chiffres d’affaires annuels connus à la date du constat des manquements ;

• se soumettre, sous le contrôle de l’Agence, au programme de mise en conformité ci-dessus évoqué pour une période maximale de trois ans (contre cinq si la condamnation est prononcée à la suite d’un procès).

La Convention prévoit également les modalités de réparation du préjudice des éventuelles victimes de l’infraction.

Si la Convention est acceptée par la personne morale susceptible d’être poursuivie, elle est soumise à la validation du Président du Tribunal de grande instance après audition de cette dernière et des éventuelles victimes en audience publique. Le Président vérifie notamment le montant de l’amende et la proportionnalité des mesures prévues par rapport aux avantages tirés des manquements.    

Si le Président du Tribunal valide la Convention, la personne morale bénéficie d’un délai de dix jours pour se rétracter. En l’absence de rétractation, les obligations prévues par la Convention entrent en vigueur. L’ordonnance de validation ne vaut pas déclaration de culpabilité ni les effets d’un jugement de condamnation. La Convention n’est pas inscrite au bulletin n° 1 du casier judiciaire.

Si la personne morale se rétracte ou si le Président du Tribunal ne valide pas la Convention, le Procureur ne peut faire état devant la juridiction d’instruction ou de jugement des déclarations faites ou des documents remis par la personne morale au cours de la procédure de négociation.

Quelques observations s’imposent quant à ce processus nouveau.

En premier lieu, si le texte prévoit que la Convention est « proposée » par le Procureur, rien n’empêche à notre sens que cette proposition intervienne à la suite d’une auto-dénonciation de la personne morale. C’est d’ailleurs un des principaux intérêts de ce nouveau mécanisme.

En deuxième lieu, les personnes physiques sont exclues du dispositif, en sorte que si la personne morale conclut la Convention, les personnes physiques pourront être néanmoins poursuivies. Ainsi, les dirigeants qui doivent se prononcer sur la Convention pourraient être en conflit d’intérêt lorsque leur propre responsabilité pénale est susceptible d’être recherchée, même si c’est souvent l’intérêt de la société et de ses actionnaires qui finit en pratique par l'emporter sur l’intérêt des individus poursuivis.

En troisième lieu, l’audience préalable à la validation de la Convention est publique, en sorte que, même si une rétractation est possible ou si la Convention n’est pas validée, les propos lors de cette audience auront été tenus publiquement et il sera difficile pour la société en cas de poursuites ultérieures, de revenir sur lesdits propos.

En quatrième lieu, on l’a vu, l’ordonnance de validation ne vaut pas déclaration de culpabilité ni les effets d’un jugement de condamnation. On comprend aisément cette précaution puisque la culpabilité est susceptible d’entraîner un certain nombre de conséquences graves pour la société, telles que l’exclusion de marchés publics. A l’inverse, on peut s’interroger sur le point de savoir si cette Convention empêche la poursuite et la condamnation de la société, pour les mêmes faits (règle du non bis in idem), par des autorités étrangères qui pourraient se déclarer compétentes soit parce que leur législation a un effet extraterritorial, soit parce que les faits qui ont abouti à la Convention se sont déroulés sur leur territoire.

Ce risque est d’autant plus important que l’audience de validation est publique, la Convention fait l’objet d’un communiqué de presse du Procureur de la République, et que l’ordonnance de validation, le montant de l’amende et la Convention sont publiés sur le site internet de l’Agence.  

Dans ces conditions, avant de prendre sa décision de transiger ou non, la société doit s’interroger sur les impacts de cette décision dans d’autres pays.  

En conclusion, les dispositions anticorruption de la Loi doivent conduire les sociétés qui n’ont pas encore mis en place de politique de conformité anticorruption répondant aux exigences décrites ci-dessus à se lancer dans cette tâche.

De nombreuses sociétés soumises à la Loi ont une partie de leur activité à l’étranger et sont ainsi soumises à des lois anticorruption étrangères. Certaines autorités étrangères (par exemple les Etats-Unis, le Royaume-Uni, les Pays-Bas, la Suisse, la Chine, le Brésil…) poursuivent et condamnent les sociétés et les personnes physiques impliquées dans des actes de corruption de façon très sévère.

La conformité anticorruption doit donc être abordée globalement. Dès lors, lorsqu’elles mettent en place le dispositif de la Loi, il est recommandé aux sociétés concernées d’en profiter pour s’assurer, dans le même temps, que leur dispositif répond aux exigences de ces lois étrangères les plus souvent appliquées et, en tout cas, aux meilleures pratiques en matière d’anticorruption.

Une fois mis en place, et au-delà de la mise en conformité avec la Loi, le dispositif, s’il est efficace, va surtout permettre de protéger l’entreprise, ses dirigeants et ses collaborateurs contre les risques de corruption.

L’équipe contentieux et éthique des affaires de Norton Rose Fulbright à Paris est classée en bande 1 de Chambers Europe en corporate compliance et investigations. Elle a remporté le trophée d’or du Palmarès des avocats du Monde du Droit en 2016 dans la catégorie compliance. L’équipe mondiale de compliance, regulatory et investigations de Norton Rose Fulbright regroupe 800 avocats dans plus de 50 bureaux dans le monde.