AFA : première sanction directe Sapin II, ce que ça change pour la conformité anticorruption

Ce qui vient de se passer

Le 9 juillet 2026, la commission des sanctions de l'Agence française anticorruption (AFA) a prononcé sa première sanction pécuniaire par la voie directe : 350 000 € à l'encontre d'une société et 60 000 € à titre personnel contre son président, pour manquement aux obligations de prévention et de détection de la corruption posées par l'article 17, II de la loi Sapin II du 9 décembre 2016.

Le point de bascule est autant procédural que financier. Les deux précédentes décisions de la commission des sanctions étaient passées par une phase préalable de mise en demeure de se conformer, laissant à l'entreprise contrôlée un délai pour corriger son dispositif avant toute sanction pécuniaire. Cette fois, la saisine directe par le directeur de l'AFA a permis de sanctionner sans cette étape intermédiaire — un choix qui, à lui seul, indique un durcissement de la doctrine répressive de l'agence.

Ce que le contrôle a mis au jour

Le contrôle mené par l'AFA, conduit de juin 2024 à juillet 2025, a identifié des manquements sur sept des huit obligations prévues à l'article 17, II de la loi Sapin II :

1. absence de cartographie des risques couvrant l'ensemble des filiales du groupe ;
2. absence de code de conduite ;
3. absence de procédures disciplinaires associées à ce code ;
4. absence de procédures d'évaluation des tiers (clients, fournisseurs de premier rang, intermédiaires) ;
5. contrôles comptables anticorruption insuffisants ou absents ;
6. absence de dispositif de formation des dirigeants et des personnels les plus exposés ;
7. absence de dispositif de contrôle et d'évaluation interne du programme anticorruption.

Seul le dispositif d'alerte interne échappait, selon les éléments disponibles, aux griefs retenus contre l'entreprise et son dirigeant.

Pourquoi cette décision change la donne

Deuxième rupture, tout aussi significative pour les directions générales : ce n'est pas seulement la société qui est sanctionnée, mais son dirigeant à titre personnel. Le dispositif anticorruption cesse d'être un sujet que l'on peut déléguer entièrement à une fonction conformité ; sa mise en œuvre effective engage désormais directement la responsabilité — y compris pécuniaire — de celui qui la porte au sommet de l'organisation.

Qui est concerné parmi les établissements financiers

L'article 17 de la loi Sapin II s'applique aux entreprises employant au moins 500 salariés et réalisant un chiffre d'affaires supérieur à 100 millions d'euros, seuils appréciés au niveau du groupe consolidé le cas échéant. Un établissement financier dépassant ces seuils — banque, société de gestion, établissement de paiement ou de monnaie électronique de taille significative — est directement concerné, qu'il soit ou non par ailleurs déjà soumis à des obligations distinctes de lutte contre le blanchiment et le financement du terrorisme.

Pour ces établissements, la proximité entre les huit obligations de l'article 17 et les dispositifs déjà exigés au titre de la LCB-FT (cartographie des risques, connaissance du tiers, formation, contrôle interne) peut créer une fausse impression de conformité automatique : un dispositif LCB-FT robuste ne couvre pas nécessairement, tel quel, les exigences propres à l'article 17 — notamment le code de conduite, les procédures disciplinaires associées et les contrôles comptables anticorruption, qui répondent à une logique et à un périmètre distincts.

Ce que ce précédent implique concrètement

Ce que cela ne dit pas (encore)

Il ne s'agit à ce stade que d'une décision unique de la commission des sanctions de l'AFA, non d'un changement de texte : l'article 17 de la loi Sapin II n'a pas été modifié, et les éléments disponibles ne permettent pas d'affirmer que le recours à la voie directe deviendra systématique pour tous les contrôles à venir. Un éventuel recours contre cette décision, s'il était exercé, pourrait par ailleurs en nuancer la portée juridique.

Les établissements financiers doivent lire ce précédent comme un indicateur de risque accru — la preuve qu'une sanction pécuniaire directe est désormais une issue possible dès le premier contrôle — et non comme une nouvelle obligation légale à proprement parler. La prudence recommande néanmoins d'anticiper : revoir l'effectivité réelle, et pas seulement documentaire, du dispositif au regard des sept manquements identifiés dans ce dossier est un exercice à mener sans attendre un contrôle.