L’Agence Française anticorruption vient de publier une mise à jour de ses recommandations¹ (« les Recommandations »).

Ces Recommandations, comme celles du 22 décembre 2017, adoptent une méthodologie unique (1.). Elles reposent sur trois piliers indissociables : l'engagement de l'instance dirigeante, la connaissance des risques au moyen de la cartographie des risques, et la gestion des risques au travers des mesures édictées par l'article 17 de la loi Sapin II².

Les principales modifications apportées concernent notamment :

• la valeur juridique de ces Recommandations (2.) ;
• le renforcement de l'implication des organes de direction (3.) ;
• les modalités d’évaluation de l’intégrité des tiers (4.) ;
• les nouvelles mesures à mettre en place en matière d’alertes (5.) ;
• les règles relatives à la conservation et à l’archivage du dispositif anticorruption (6.).

Les entreprises disposent d’un délai de six mois, soit jusqu’au 1^er juillet 2021, pour transposer ces nouvelles Recommandations et mettre à jour leur dispositif anticorruption.

1. L’AFA adopte une méthodologie unique qui n’est pas adaptée à la disparité des personnes assujetties

Contrairement au DOJ américain³, l’AFA laisse peu de latitude aux entreprises françaises en tentant de leur imposer une méthodologie unique pour mettre en place leur dispositif anticorruption, quelle que soit leur structure, leurs profils de risques et leur situation économique, en violation du principe de proportionnalité⁴.

De même, il est recommandé aux groupes de sociétés de s’assurer de l’homogénéité de leur méthodologie au sein de l’ensemble des sociétés du groupe⁵.

2. La valeur juridique contestable des Recommandations

Si l’AFA considère que ses Recommandations ne créent pas d'obligations juridiques et que les entreprises assujetties « sont libres d’adopter d’autres méthodes » (§8), elle estime pourtant qu’elles font partie du « référentiel français anticorruption » au même titre que la loi et ses décrets d'application qui, eux, ont un pouvoir normatif.

L'AFA édicte, en outre, une présomption de non-conformité en précisant que les entreprises qui n'auraient pas suivi ses Recommandations devront « démontrer que les choix qu’elle [ont] faits l[eur] permettent de satisfaire aux exigences posées par la loi » (§12) si l'AFA contestait la conformité de leur dispositif. Elle inverse ainsi la charge de la preuve sans respecter la présomption d'innocence.

3. Le renforcement de l'implication des organes de direction et du responsable de la conformité

Le premier critère évalué par l'AFA lors de ses contrôles est l'engagement de l'instance dirigeante⁶ - qui se matérialisait par l'obligation d'adopter une culture d'intégrité, d’approuver le dispositif mis en œuvre, d'allouer les moyens nécessaires à son fonctionnement et de communiquer sur le dispositif mis en place - est renforcé.

Les Recommandations préconisent que l'instance dirigeante soit personnellement responsable (i) de la définition et mise en œuvre de la stratégie de gestion des risques et (ii) de la conception, du déploiement et du contrôle du dispositif anticorruption. L’AFA souhaite que l’instance dirigeante participe à la mise en œuvre opérationnelle de certaines mesures du dispositif (§25).

L’AFA cherche également à impliquer les membres des organes de contrôle non exécutifs, à qui « le dispositif anticorruption et ses actualisations [doivent être] périodiquement présentés afin qu’ils disposent de toutes les informations nécessaires pour veiller à la conformité de l’entreprise à l’article 17 de la loi » (§95).

De telles préconisations paraissent difficilement conciliables avec des fonctions de direction, ce d'autant que  les entreprises devront prouver l’implication opérationnelle de leurs dirigeants.

Les Recommandations renforcent, en outre, les missions du responsable de la conformité, notamment en matière de contrôles (§103 ss. et §322).

Cette multiplication des contrôles internes, répartis en trois niveaux et dont le contenu est détaillé par l’AFA (§326 ss.), va nécessiter l’allocation de moyens financiers et humains supplémentaires que les entreprises ne seront pas toujours en mesure de mettre en œuvre.

4. L’évaluation de l’intégrité des tiers est davantage adaptée aux risques encourus

L’AFA préconise désormais que l’évaluation de l’intégrité des tiers soit réalisée en fonction des risques, et en les catégorisant en « groupes homogènes de tiers (…) présentant des profils de risques comparables tels que la cartographie des risques permet de les dresser » (§48).

Ainsi, les tiers « jugés pas ou peu risqués pourront ne pas faire l’objet d’une évaluation, ou faire l’objet d’une évaluation simplifiée tandis que les groupes les plus risqués nécessiteront une évaluation approfondie » (§207).

Les modalités d’évaluation des tiers ne sont, quant à elles, pas modifiées.

5. La création d’obligations contra legem en matière de traitement des alertes

Dans ses Recommandations, l’AFA prévoit des modalités de traitement des alertes qui ne sont pas prévues par la loi Sapin II⁷, en voulant imposer aux entreprises la création d'un comité dédié pour traiter les alertes (§280)⁸, la définition et la formalisation d’une procédure d’enquête interne (§270), et la nécessité de diligenter des enquêtes internes et d’établir des rapports d’enquête.

Les Recommandations mentionnent que les dirigeants doivent être informés des situations les plus sensibles, et se faire communiquer les rapports d'enquête pour prendre des sanctions disciplinaires lorsque les soupçons sont suffisamment étayés (§276).

Ce mécanisme est contra legem, et risque de défavoriser les entreprises françaises qui pourraient être amenées à communiquer ces rapports d’enquêtes, s’ils n’étaient pas protégés par le legal privilege, dans le cadre de procédures judiciaires étrangères.

6. La création d’obligations de conservation et d’archivage diverses et contraignantes

D'une part, l’AFA demande aux entreprises d'archiver, pour une durée indéterminée, les éléments permettant de contrôler la conduite des travaux de cartographie et sa mise en œuvre effective (§154).

D'autre part, l’archivage concerne les rapports d’enquête internes, qui doivent être conservés deux mois si l’instruction de l’alerte ne débouche sur aucune suite, et pendant six ans si c’est le cas (§282 et 283).

Enfin, l’AFA préconise que l’intégralité des dossiers d’évaluation des tiers soit conservée pendant 5 ans après la cessation de la relation d’affaire (§250).

Ces obligations de conservation sont très contraignantes et peuvent s'avérer très défavorables pour les entreprises.

On peut regretter que l'AFA n'ait pas tenu compte des difficultés rencontrées par les entreprises lors de la mise en œuvre du dispositif anticorruption prévu par le loi Sapin II et qu'elle renforce davantage leurs obligations.