Loi Sapin 2 : entreprises concernées, obligations et sanctions

Catégorie : Droit pénal

Par Maître Shalabi — publié le 2026-10-13

Seuils, huit mesures, dirigeants responsables, sanctions de l'AFA et peine de programme de mise en conformité : ce que la loi Sapin 2 impose aux entreprises.

La loi Sapin 2 ne concerne pas toutes les entreprises, et c'est précisément pour cette raison que tant de dirigeants découvrent tardivement qu'elle les vise. L'article 17 de la loi n° 2016-1691 du 9 décembre 2016 impose aux dirigeants des grandes sociétés, et aux sociétés elles-mêmes, de prendre des mesures destinées à prévenir et à détecter la corruption et le trafic d'influence, en France comme à l'étranger. Le texte a été retouché le 13 juin 2025 ; il fixe des seuils, énumère huit mesures, désigne les personnes responsables et confie le contrôle à l'Agence française anticorruption. À côté de cette obligation préventive, la même loi a créé une peine, le programme de mise en conformité, que le juge pénal peut infliger à une personne morale condamnée, et dont l'inexécution est elle-même un délit.

Quelles entreprises sont concernées par la loi Sapin 2 ?

Sont concernées les sociétés qui emploient au moins cinq cents salariés, ou qui appartiennent à un groupe dont la société mère a son siège social en France et dont l'effectif atteint ce seuil, et dont le chiffre d'affaires, ou le chiffre d'affaires consolidé, est supérieur à 100 millions d'euros. Les deux conditions sont cumulatives : une société de six cents salariés dont le chiffre d'affaires reste sous ce montant n'est pas soumise à l'article 17, pas plus qu'une société très profitable de deux cents salariés qui n'appartient à aucun groupe atteignant le seuil d'effectif.

L'obligation s'étend, aux mêmes seuils, aux établissements publics à caractère industriel et commercial et aux groupes publics, aux membres du directoire des sociétés anonymes à directoire selon leurs attributions, et, dans la version du texte modifiée en dernier lieu par la loi n° 2025-532 du 13 juin 2025, aux dirigeants des personnes morales qui exploitent certaines installations portuaires mentionnées au code des transports.

Le cas des groupes et des filiales

Lorsque la société établit des comptes consolidés, ses obligations portent sur elle-même et sur l'ensemble de ses filiales et des sociétés qu'elle contrôle au sens du code de commerce. Une filiale qui dépasse elle-même les seuils est réputée satisfaire à ses obligations dès lors que la société qui la contrôle met en œuvre des mesures qui s'appliquent à l'ensemble du groupe ; à défaut, elle doit se doter de son propre dispositif.

Les huit mesures que la loi impose

Le II de l'article 17 de la loi Sapin 2 impose huit mesures, qui forment un ensemble et non une liste de documents indépendants :

• un code de conduite définissant et illustrant les comportements à proscrire, intégré au règlement intérieur après consultation des représentants du personnel ;
• un dispositif d'alerte interne permettant de recueillir les signalements des employés relatifs à des conduites contraires au code ;
• une cartographie des risques, régulièrement actualisée, qui identifie, analyse et hiérarchise l'exposition de la société aux sollicitations de corruption selon ses secteurs et ses zones géographiques ;
• des procédures d'évaluation des clients, des fournisseurs de premier rang et des intermédiaires au regard de cette cartographie ;
• des procédures de contrôle comptable, internes ou externes, destinées à s'assurer que les livres et les comptes ne masquent pas des faits de corruption ;
• un dispositif de formation des cadres et des personnels les plus exposés ;
• un régime disciplinaire sanctionnant la violation du code de conduite ;
• un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre.

La cartographie commande les autres mesures : un code de conduite dont les illustrations sont étrangères aux risques réels de l'entreprise, ou des contrôles comptables qui ne visent aucun risque identifié, sont précisément ce que l'Agence reproche lors de ses contrôles. Dans la décision n° 19-01 du 4 juillet 2019, la commission des sanctions a admis qu'une entreprise n'était pas tenue de suivre la méthode des recommandations de l'Agence, à condition de démontrer la pertinence, la qualité et l'effectivité de celle qu'elle avait retenue.

Qui est responsable : la société, ses dirigeants, ou les deux ?

Les deux. Le I de l'article 17 désigne comme débiteurs de l'obligation les présidents, directeurs généraux et gérants, et le II ajoute qu'« indépendamment de la responsabilité » de ces personnes, la société est également responsable en tant que personne morale en cas de manquement. La commission des sanctions en a tiré la conséquence dans sa décision n° 19-02 du 7 février 2020 : la notification des griefs n'avait pas à préciser, pour chacun, son imputabilité à la société ou à son dirigeant, puisque les obligations « pèsent, à la fois, sur les sociétés et leurs dirigeants ».

La responsabilité du dirigeant n'est pourtant pas automatique. Dans la même affaire, la démission du directeur général, intervenue après la notification des griefs, a privé d'objet toute injonction à son égard, et la commission n'a retenu contre lui ni sanction pécuniaire ni publication. En sens inverse, la commission a infligé le 9 juillet 2026 une sanction pécuniaire de 60 000 euros au président d'une société, dont elle a retenu la responsabilité personnelle (décision n° 25-01). La situation de chaque dirigeant s'apprécie donc séparément de celle de la société, ce que les règles générales de la responsabilité pénale des personnes morales enseignent déjà sur le terrain répressif.

Ce que risque l'entreprise qui ne se conforme pas

Le manquement aux obligations de la loi Sapin 2 n'est pas un délit ; il relève d'une procédure administrative de sanction conduite par l'Agence française anticorruption. Après un contrôle et une mise en demeure de présenter des observations, le directeur de l'Agence peut adresser un avertissement ou saisir la commission des sanctions, qui peut enjoindre à la société d'adapter ses procédures dans un délai de trois ans au plus, prononcer une sanction pécuniaire de 200 000 euros au plus pour une personne physique et d'un million d'euros au plus pour une personne morale, et ordonner la publication de sa décision. Ses premières sanctions pécuniaires ont été prononcées le 9 juillet 2026 : 350 000 euros contre une société et 60 000 euros contre son président. L'action se prescrit par trois années révolues à compter du jour où le manquement a été constaté, si aucun acte tendant à sa sanction n'est intervenu dans ce délai.

Le risque principal n'est pourtant pas là. L'Agence doit aviser le procureur de la République des faits susceptibles de constituer un délit dont elle a connaissance, et un dispositif lacunaire découvert à l'occasion d'un contrôle peut révéler des faits de corruption active ou passive. L'insuffisance de la conformité devient alors un élément du dossier pénal.

La peine de programme de mise en conformité

Distincte de l'obligation préventive, la peine de programme de mise en conformité est prévue par l'article 131-39-2 du code pénal : lorsque la loi le prévoit, une personne morale condamnée pour un délit peut être obligée de se soumettre, sous le contrôle de l'Agence française anticorruption et pour cinq ans au plus, à un programme reprenant sept des huit mesures de l'article 17. Elle est notamment encourue par les personnes morales déclarées responsables des délits des articles 433-1 et 433-2 du code pénal, selon l'article 433-26, plusieurs autres textes du même code y renvoyant pour d'autres atteintes à la probité. Les frais des experts auxquels l'Agence recourt sont supportés par la personne morale condamnée, dans la limite du montant de l'amende encourue pour le délit sanctionné.

L'exécution de la peine et son inexécution

La peine s'exécute sous le contrôle du procureur de la République, auquel l'Agence rend compte au moins une fois par an, en vertu de l'article 764-44 du code de procédure pénale ; lorsqu'elle a été exécutée pendant au moins un an et qu'aucun suivi ne paraît plus nécessaire, le procureur peut saisir le juge de l'application des peines de réquisitions tendant à y mettre fin de façon anticipée. Son inexécution est un délit : l'article 434-43-1 du code pénal punit de deux ans d'emprisonnement et de 50 000 euros d'amende les organes ou représentants de la personne morale qui s'abstiennent de prendre les mesures nécessaires ou font obstacle à la bonne exécution du programme.

Le programme imposé par une convention judiciaire d'intérêt public

Un programme de même nature peut être imposé, pour trois ans au plus, par une convention judiciaire d'intérêt public conclue en application de l'article 41-1-2 du code de procédure pénale, sans déclaration de culpabilité. Les articles 41-1-2 et 764-44 du code de procédure pénale sont abrogés à compter du 1er janvier 2029 par l'ordonnance n° 2025-1091 du 19 novembre 2025, qui refond ce code : leur régime reste celui qui s'applique aujourd'hui.

Se mettre en conformité avec l'aide d'un avocat

La mise en conformité à la loi Sapin 2 se juge sur sa qualité et non sur le volume de ses documents. L'avocat vérifie d'abord si l'entreprise franchit les seuils, au niveau de la société et du groupe ; il examine ensuite la cohérence des huit mesures avec une cartographie fondée sur les processus réels, et prépare la documentation qui permettra, le jour d'un contrôle, de démontrer la pertinence de la méthode retenue. Lorsque l'entreprise est déjà mise en cause, il articule la défense administrative devant l'Agence et la défense pénale devant le parquet, qui ne se conduisent pas l'une sans l'autre.

La page de l'avocat en compliance anticorruption présente cette défense dans son ensemble, et celle de l'avocat en droit pénal les autres matières que le cabinet plaide.

Questions fréquentes

Une PME est-elle concernée par la loi Sapin 2 ?

Non, en principe : l'article 17 ne s'applique qu'à partir de cinq cents salariés et de 100 millions d'euros de chiffre d'affaires, appréciés le cas échéant au niveau du groupe.

Le non-respect de la loi Sapin 2 est-il un délit ?

Le manquement à l'article 17 est sanctionné administrativement par la commission des sanctions de l'AFA ; en revanche, l'inexécution d'un programme de mise en conformité prononcé comme peine est un délit.

Le cabinet de Maître Ibrahim Shalabi, avocat au barreau de Paris, assiste les entreprises et leurs dirigeants dans leur mise en conformité anticorruption et dans les procédures qui la mettent en cause. On peut contacter le cabinet par écrit ou joindre le secrétariat au 01 85 61 17 00.