Sapin II & évaluation des tiers : construire le pilier 4 conforme aux recommandations AFA

Selon le diagnostic national de l’Agence française anticorruption, 59 % des entreprises considèrent l’évaluation des tiers comme la mesure la plus difficile à mettre en œuvre parmi les huit du dispositif anticorruption de la loi Sapin II. L’enquête menée par l’AFA auprès de plusieurs centaines d’entreprises en 2023-2024 confirme ce constat : difficultés de recensement, hétérogénéité des groupes de tiers, accès aux données, faux positifs, absence de réévaluation dans le temps. En juillet 2025, l’AFA a soumis à consultation publique un projet de huit fiches pratiques qui, pour la première fois, détaille une méthodologie complète : la conception de groupes de tiers homogènes (GTH), une gouvernance formalisée à trois niveaux d’acteurs, et une liste étoffée de points de vérification. Ces fiches ne créent pas d’obligation nouvelle, mais elles précisent très concrètement ce que l’AFA attend lors d’un contrôle. Aucun article opérationnel ne les a encore traduites en plan d’action — c’est l’objet de celui-ci.

Qui est soumis à l’évaluation des tiers Sapin II ? Le piège des seuils

L’article 17 de la loi n° 2016-1691 du 9 décembre 2016 (« loi Sapin II ») impose aux présidents, directeurs généraux et gérants des sociétés employant au moins 500 salariés, dont la société mère a son siège social en France et dont le chiffre d’affaires dépasse 100 millions d’euros, de déployer « des procédures d’évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ».

Le piège de seuil le plus fréquent : ces critères s’apprécient au niveau du groupe, pas de chaque filiale isolément. Une filiale française de 80 salariés peut se retrouver couverte par l’obligation dès lors que sa société mère dépasse les seuils — et inversement, une entreprise qui franchit ces seuils en cours d’exercice découvre souvent tardivement qu’elle doit déployer un dispositif qu’elle n’avait jamais formalisé. L’AFA va d’ailleurs plus loin que le texte : elle recommande d’élargir le périmètre des tiers évalués au-delà des seuls clients, fournisseurs de premier rang et intermédiaires visés par la loi, pour couvrir aussi les bénéficiaires d’actions de mécénat ou de parrainage, les partenaires de projets stratégiques ou d’investissement, et les cibles d’opérations de fusion-acquisition. Les fiches pratiques de 2025 précisent que ce guide s’adresse également, sur une base volontaire, aux PME et ETI non assujetties qui souhaitent structurer leurs relations avec leurs tiers.

Quels sont les 14 points de vérification recommandés par l’AFA ?

Les recommandations de l’AFA (JORF du 12 janvier 2021) et les fiches pratiques de 2025 détaillent les informations à recueillir sur chaque tiers, réparties en six familles. En pratique, une quinzaine de points reviennent systématiquement dans les procédures d’évaluation, dont ces quatorze constituent le socle qu’aucune entreprise assujettie ne peut ignorer :

1. Raison ou dénomination sociale (une société fictive ou récemment créée est un premier signal d’alerte).
2. Date de création et historique de l’activité.
3. Effectifs, compétences et moyens réels du tiers pour exécuter la prestation.
4. Chiffre d’affaires et capital, pour identifier une éventuelle dépendance économique.
5. Secteur d’activité, au regard de son exposition connue au risque de corruption.
6. Implantation géographique et « risque pays » de la prestation elle-même, pas seulement du siège social.
7. Forme juridique, actionnariat et identification des bénéficiaires effectifs.
8. Informations défavorables (« adverse media ») en sources ouvertes, dans plusieurs langues.
9. Présence sur des listes de sanctions financières et existence de condamnations civiles ou pénales.
10. Qualité d’agent public ou de personne politiquement exposée (PPE), y compris les proches.
11. Existence, chez le tiers, d’un dispositif de conformité anticorruption propre.
12. Degré de dépendance économique et nature de la relation (durée, tiers imposé ou recommandé).
13. Nature et localisation réelle de la prestation.
14. Modalités de rémunération : schéma de paiement, cohérence du montant, localisation du compte bancaire.

Hiérarchiser ces points est aussi important que les collecter : l’AFA est explicite sur ce point, un questionnaire unique appliqué uniformément à tous les tiers ne suffit pas. La profondeur de vérification doit dépendre du niveau de risque du groupe de tiers homogène auquel appartient le tiers évalué — ce qui renvoie directement à l’étape suivante.

Comment construire ses GTH ? La méthode de segmentation proportionnée

La nouveauté structurante des fiches 2025 est la méthodologie de conception des groupes de tiers homogènes (GTH). L’AFA recommande une démarche en trois étapes.

Première étape : identifier les catégories de tiers, en évitant les catégories trop larges — « fournisseurs » ne suffit pas, il faut distinguer par exemple les fournisseurs de matières premières des prestataires intellectuels. Deuxième étape : regrouper ces catégories en GTH présentant des profils de risque comparables, en croisant la nature de la relation, le secteur d’activité, l’implantation géographique et l’interaction avec des acteurs publics — le tout en cohérence avec les scénarios de la cartographie des risques de corruption. Troisième étape : formaliser, pour chaque GTH, la méthode d’évaluation individuelle retenue, en associant à chaque groupe un niveau de risque faible, moyen ou élevé qui détermine la profondeur des vérifications à conduire.

L’AFA signale un défaut récurrent constaté lors de ses contrôles : une incohérence entre les scénarios décrits dans la cartographie des risques et la procédure d’évaluation des tiers. Certains intermédiaires apparaissent parmi les scénarios les plus risqués de la cartographie sans faire l’objet de l’évaluation la plus poussée — et inversement, certains GTH très précis ne renvoient à aucun scénario de la cartographie. Cette proportionnalité fonctionne dans les deux sens : les groupes jugés peu risqués peuvent ne faire l’objet d’aucune évaluation ou d’une évaluation simplifiée, tandis que les groupes les plus exposés justifient une évaluation approfondie, incluant par exemple la remontée de la chaîne actionnariale.

Quels sont les 3 niveaux d’acteurs dans la procédure AFA ?

Les fiches 2025 formalisent un modèle de gouvernance à trois niveaux, directement issu des recommandations de 2021.

Le personnel exerçant des fonctions opérationnelles — achats, commercial, mécénat — collecte les informations et documents auprès du tiers et réalise une première évaluation sur la base des éléments recueillis. Le service conformité, ou tout responsable désigné, apporte son expertise sur les cas qui soulèvent des questions ou présentent le risque le plus élevé, et peut conduire une évaluation renforcée dite de second niveau. L’instance dirigeante — présidents, directeurs généraux, gérants — décide des suites à donner aux cas les plus risqués qui lui sont communiqués. Ce dernier point mérite l’attention d’un CODIR : l’instance dirigeante est la seule responsable devant la Commission des sanctions de l’AFA en cas de manquement constaté, même lorsqu’elle a délégué le pilotage opérationnel du dispositif. Une délégation doit être formalisée, mais elle ne peut jamais avoir pour effet d’exonérer sa responsabilité.

Un point d’attention structurant pour éviter tout risque d’autocontrôle : le service conformité qui a réalisé une évaluation renforcée ne peut pas être également en charge du contrôle de second niveau vérifiant la bonne réalisation des contrôles de premier niveau. Cette fonction doit revenir au contrôle interne ou à une autre fonction support indépendante de la chaîne d’évaluation.

Automatiser sans déléguer la décision : ce que l’AFA tolère

Les entreprises qui gèrent des milliers de tiers ont largement recours à des solutions numériques, parfois dotées d’intelligence artificielle, pour traiter le volume. L’AFA ne s’y oppose pas — au contraire, elle reconnaît leur utilité pour pallier le manque de ressources humaines face à un stock important de tiers. Mais elle pose une limite claire : ces solutions ne peuvent jamais se substituer à l’analyse humaine, en particulier pour les tiers les plus à risque, et l’entreprise demeure seule responsable de la qualité et de la pertinence de ses évaluations, quel que soit l’outil utilisé.

Concrètement, cela signifie que le paramétrage de l’outil — taux d’homonymie retenu pour limiter les faux positifs, définition du statut de personne politiquement exposée, pondération des signaux d’alerte — doit être compris, documenté et conforme à la procédure d’évaluation des tiers de l’entreprise, et non laissé à la seule main du prestataire. C’est exactement l’équilibre que décrit Alain Chenal, Procurement Methods & Performance Director chez Egis : « Aprovall, et le lien avec l’ERP d’Oracle, nous permet de qualifier notre référentiel automatiquement et rapidement. Désormais, nous avons un peu plus de 6000 tiers actifs dans notre référentiel sur l’ERP, dont l’onboarding fluidifié pose les bases d’un pilotage plus fin de la conformité et des engagements RSE. » L’automatisation traite le volume et fiabilise la donnée ; la décision sur les cas à risque reste entre les mains de la conformité et de l’instance dirigeante.

Quelles preuves l’AFA recherche-t-elle lors d’un contrôle ? L’enjeu du dispositif « vivant »

Un dispositif d’évaluation des tiers qui n’a pas évolué depuis sa création est, pour l’AFA, un signal en soi. Les fiches pratiques insistent sur le fait que le niveau de risque d’un tiers doit être révisé périodiquement, en fonction de son GTH d’appartenance, mais aussi en cas de changement significatif : évolution de l’actionnariat, information défavorable apparue en cours de relation, contrat de courte durée qui se transforme en relation de long terme représentant une part importante du chiffre d’affaires du tiers. L’AFA recommande même le déploiement d’un outil de veille juridique et économique pour détecter ces changements en continu, plutôt que d’attendre le renouvellement annuel du plan.

Lors d’un contrôle, l’agence recherche donc des preuves concrètes de ce caractère vivant : la procédure d’évaluation est-elle formalisée et diffusée au personnel concerné, avec des rôles et responsabilités clairement définis ? Les décisions prises sur les tiers à risque sont-elles tracées, datées et documentées ? Les GTH sont-ils cohérents avec les scénarios de la cartographie des risques, ou reflètent-ils un exercice mené indépendamment de celle-ci ? Existe-t-il un plan d’action daté et budgété pour couvrir le stock de tiers existants, au-delà du seul flux de nouvelles relations ?

C’est précisément cette traçabilité qui distingue un dispositif qui résiste à un contrôle d’un document produit pour la forme. Marie-Soisick Floc’h, cheffe de mission Conformité et Contrôle Interne à la Société des grands projets, résume ce gain : « La solution nous a permis de structurer nos processus, d’éliminer les doubles saisies et de centraliser toutes les informations documentaires. On a gagné en traçabilité, en réactivité lors des évaluations Sapin 2 ainsi qu’en efficacité au quotidien. » Chez Antin Résidences, Antoine Beaume-Dessertaine, directeur du contrôle interne et de la conformité, va plus loin sur le fond de la démarche : « Sur nos 2000 tiers, nous avons pu cartographier les risques, automatiser les contrôles, et intégrer les rapports de probité. Cette mise en place marque un véritable cap de maturité pour Antin Résidences. » Ce sont exactement les éléments — cartographie cohérente, contrôles documentés, rapports intégrés — que l’AFA vient vérifier point par point lors d’un contrôle.

Ce que Sapin II partage avec le devoir de vigilance, et ce qui les distingue

Les deux dispositifs reposent sur la même architecture : une cartographie des risques, des procédures d’évaluation des tiers ou des filiales et fournisseurs, des mesures de remédiation et un dispositif de suivi. Il n’est donc pas surprenant que les entreprises qui pilotent bien l’un pilotent souvent mieux l’autre — les deux exigent la même discipline de traçabilité et de mise à jour continue.

Les différences sont cependant significatives. Le devoir de vigilance (loi n° 2017-399) protège les droits humains, la santé-sécurité et l’environnement, avec un seuil d’application plus élevé (5 000 salariés en France ou 10 000 en France et à l’étranger) ; Sapin II couvre le risque de corruption et de trafic d’influence, avec un seuil plus bas (500 salariés, 100 millions d’euros de chiffre d’affaires). Le mode de mise en cause diverge aussi profondément : la loi de vigilance ouvre une action civile devant le tribunal judiciaire, à l’initiative d’associations, d’ONG ou de collectivités, après mise en demeure — un mécanisme purement contentieux entre parties privées. Sapin II relève, lui, d’un contrôle administratif : c’est l’AFA elle-même qui contrôle les entreprises assujetties et peut saisir sa Commission des sanctions, avec des amendes pouvant atteindre 1 million d’euros pour une personne morale.

Pour une direction Conformité qui gère les deux obligations, la tentation de construire deux dispositifs cloisonnés est réelle, mais coûteuse : la cartographie des risques, le recensement des tiers, le comité de décision et l’instance dirigeante peuvent, avec quelques adaptations, être largement mutualisés entre les deux référentiels. C’est cette approche combinée qui permet de transformer une obligation perçue comme la plus difficile du dispositif anticorruption en un programme réellement pilotable.