Sapin 2 : dix ans après, tout ça pour ça ?

Le 9 décembre prochain, la loi Sapin 2 fêtera ses dix ans.

Dix ans de cartographies des risques, d'évaluations de tiers, de codes de conduite, de formations, de contrôles comptables et de dispositifs d'alerte. Dix ans aussi de procédures, de questionnaires, de matrices Excel, de comités et de preuves soigneusement conservées pour être capables, le jour venu, de démontrer que tout cela existe bien.

Dix ans d'efforts, de budgets et d'énergie mobilisés dans les entreprises françaises.

Alors, au risque de gâcher un peu la fête d'anniversaire, posons la question : tout ça pour ça ?

En 2016, la France avait un problème

Il serait injuste de relire Sapin 2 avec les lunettes de 2026.

En 2016, la France a un véritable problème de crédibilité en matière de lutte contre la corruption internationale. L'OCDE s'est montrée sévère sur la faiblesse des poursuites et des condamnations françaises en matière de corruption transnationale.

Le contraste avec les États-Unis est saisissant.

Depuis des années, les autorités américaines utilisent notamment le Foreign Corrupt Practices Act (FCPA) pour poursuivre des entreprises étrangères dès lors qu'elles peuvent établir un rattachement suffisant avec les États-Unis. Plusieurs grands groupes français en font l'expérience, parfois très douloureusement.

L'affaire Alstom reste évidemment dans toutes les mémoires. BNP Paribas, dans un autre domaine, se voit infliger en 2014 une sanction de près de 9 milliards de dollars par les autorités américaines.

Au-delà du débat sur la réalité des infractions reprochées à ces entreprises, une question de souveraineté devient alors impossible à éluder : peut-on durablement accepter que les comportements internationaux de nos entreprises soient poursuivis et sanctionnés principalement par une puissance étrangère, qui, au surplus, favoriserait une main basse sur des pépites ainsi fragilisée ?

Sapin 2 répond donc à deux préoccupations qui se rejoignent.

• La première est « morale » : la France doit devenir plus efficace dans la prévention et la répression de la corruption.

• La seconde est plus géopolitique : elle doit se doter d'un bouclier suffisamment crédible pour reprendre la maîtrise de ses propres affaires.

Sapin 2 n'est donc pas seulement une grande loi de compliance. C'est aussi, dans une certaine mesure, une loi de souveraineté juridique.

Une loi livrée avec son mode d'emploi… et son contrôleur

Sapin 2 introduit également quelque chose d'assez nouveau dans le paysage français.

La loi ne se contente pas de dire : « Ne corrompez pas. »

Elle est livrée avec son mode d’emploi, qui explique aux entreprises comment elles sont censées s'organiser pour prévenir le risque.

Cartographie des risques, code de conduite, dispositif d'alerte, évaluation des tiers, contrôles comptables, formation des personnes exposées, régime disciplinaire, contrôle et évaluation interne du dispsitif : huit piliers parfaitement documentés.

Et, avec l'Agence française anticorruption, elle se dote d'un acteur chargé notamment de contrôler l'existence et la qualité de ces dispositifs.

Commence alors une période assez particulière.

Dans beaucoup d'entreprises, il faut d'abord comprendre ce que signifie réellement cette nouvelle obligation.

Jusqu'où faut-il aller ? Qu'attendra concrètement l'AFA ? Qu'est-ce qu'une "bonne" cartographie ? Jusqu'où évaluer un fournisseur ? Quelle profondeur donner aux contrôles comptables ? Quelles preuves faudra-t-il conserver ?

Bref, comme souvent lorsqu'apparaît une nouvelle réglementation, il devient d'abord urgent… d'attendre un peu.

Les textes existent. Les premières recommandations apparaissent. Les cabinets donnent leur lecture. Les entreprises observent leurs voisines. Et chacun essaie progressivement de comprendre où se situe réellement la barre.

Puis l'AFA frappe à la porte

Les premiers contrôles changent évidemment la donne.

Lorsqu'une autorité de contrôle demande à voir une cartographie des risques, il devient beaucoup plus difficile d'expliquer que celle-ci est « en cours de finalisation ».

La mise en conformité s'accélère.

Et, assez naturellement, les entreprises adoptent alors une attitude défensive : il faut pouvoir démontrer que :

• le tiers a été évalué.

• le collaborateur a été formé.

• le contrôle comptable a été réalisé.

• la cartographie a été actualisée.

• l'alerte a été traitée.

Cette période a incontestablement professionnalisé la compliance française. Elle a créé des fonctions, des compétences, des méthodes et une culture qui existaient beaucoup moins auparavant.

Mais elle a aussi produit son lot de bureaucratie.

Des questionnaires toujours plus longs, des matrices, des procédures, des campagnes annuelles, des taux de complétion, des justificatifs. Et parfois cette petite tentation, bien connue de tous les professionnels du contrôle, de confondre progressivement la preuve que le dispositif fonctionne avec la preuve que le dispositif existe.

Ce n'est d'ailleurs pas nécessairement un reproche adressé aux compliance officers.

Lorsqu'une organisation se sent observée, voire soupçonnée, son premier réflexe est assez rationnel : montrer qu'elle a fait ce qu'on attendait d'elle.

Dix ans après : qu'avons-nous gagné ?

Sur le premier objectif de Sapin 2, le bilan paraît plutôt favorable.

La France dispose désormais d'une architecture anticorruption crédible, d'une autorité spécialisée, de mécanismes transactionnels comme la CJIP et d'une capacité beaucoup plus sérieuse à traiter elle-même les affaires impliquant ses entreprises.

La bataille de la souveraineté juridique a donc produit des résultats tangibles.

La France de 2026 n'est plus tout à fait celle que l'OCDE interpellait dix ans auparavant.

Mais il reste le second objectif.

Sommes-nous, concrètement, moins exposés à la corruption qu'en 2016 ?

Les indices internationaux de perception de la corruption ne montrent pas la rupture spectaculaire que l'on aurait pu espérer après dix années d'efforts. Surtout, la Cour des comptes a elle-même souligné récemment la nécessité d'améliorer la connaissance du phénomène et les instruments permettant d'en mesurer l'évolution.

Voilà un paradoxe assez savoureux.

Après dix ans, nous savons plutôt bien compter les cartographies réalisées, les tiers évalués, les collaborateurs formés ou les contrôles effectués.

Nous savons beaucoup moins bien mesurer la corruption que tout cela a effectivement permis d'éviter.

Il faut évidemment rester prudent : absence de mesure ne signifie pas absence de résultat. Et un indice de perception de la corruption ne constitue certainement pas un instrument permettant d'isoler l'effet causal d'une loi.

Mais précisément : nous ne savons pas vraiment.

Et pour une réglementation qui a justement consacré autant d'énergie à la mesure, au contrôle et à la traçabilité, le constat mérite au moins d'être relevé.

Tout ça pour ça ?

Alors, faut-il en conclure que Sapin 2 a échoué ?

Ce serait beaucoup trop simpliste.

Elle a contribué à restaurer la crédibilité juridique de la France. Elle a installé durablement la compliance dans la gouvernance des grandes entreprises. Elle a fait entrer dans les organisations des concepts qui paraissent aujourd'hui parfaitement naturels : cartographier un risque, connaître ses tiers, organiser l'alerte, cibler des contrôles, exploiter des données pour détecter des anomalies.

Et c'est peut-être finalement là que se trouve l'héritage le plus intéressant de Sapin 2.

Car ces mécanismes ont depuis largement dépassé le seul champ de la corruption.

D'autres réglementations sont advenues. D'autres risques ont émergé. Les mêmes questions se posent désormais autour de la protection des données, de la cybersécurité, des droits humains, de la fraude, de la résilience des fournisseurs ou encore de la maîtrise des opérations comptables.

Et, curieusement, nous retrouvons souvent les mêmes briques : connaître, cartographier, évaluer, surveiller, contrôler, alerter.

Peut-être faut-il donc regarder Sapin 2 autrement.

Non plus seulement en demandant si elle a atteint tous les objectifs qu'on lui avait assignés en 2016, mais en regardant ce qu'elle nous a appris à faire depuis dix ans — et ce que nous pouvons maintenant faire de cet apprentissage.

C'est ce que nous vous proposons d'explorer dans les prochains Risk Perspectives.

Et finalement, cela nous donnera peut-être une bonne raison de souffler les dix bougies le 9 décembre.

Joyeux anniversaire, Sapin 2.