Deuxième décision de la Commission des sanctions de l'AFA : des éléments utiles pour les entreprises soumises à l'article 17 de la loi Sapin 2

Que l’on soit d’accord ou non avec la Commission des sanctions de l’Agence française anticorruption d’avoir enjoint à la société X de reprendre la rédaction de son code de conduite et de poursuivre le déploiement de ses procédures comptables, cette deuxième décision nous permet de disposer d’éléments utiles, transposables, tant aux programmes de conformité anticorruption d’autres sociétés soumises à l’article 17 de la loi Sapin 2, qu’aux contrôles conduits par l’Agence anticorruption dans le cadre de l’application de cette même loi.

Cette seconde décision :

• clarifie le rôle de l’AFA ;
• revient sur la portée des recommandations de l’AFA ;
• donne des indications détaillées sur la façon selon laquelle 3 des 8 points du programme de conformité anticorruption doivent être mis en œuvre.

La Commission des sanctions rappelle, dans sa décision, que la saisine dont elle fait l’objet par le Directeur de l’AFA à l’issue d’un contrôle mené par l’AFA ne préjuge "ni des manquements susceptibles d’être sanctionnés, ni des sanctions susceptibles d’être prononcées". Dès lors, l’appréciation du Directeur de l’agence ne constitue qu’un avis.

La Commission des sanctions est investie des pouvoirs de sanction dès sa saisine et peut, à ce titre, en application de l’article 17, prononcer une injonction et une sanction, leur cumul n’ayant pas été interdits. En revanche, le Directeur de l’AFA ne pouvait proposer que la Commission prononce une sanction pour inexécution d’une injonction. Une telle peine n’est pas prévue par la loi et son prononcé contreviendrait à la légalité des délits et des peines. Cela n’entache toutefois pas la saisine de nullité. La Commission relève néanmoins que la méconnaissance dont a ainsi fait preuve le Directeur de l’agence est regrettable.

La société X reprochait également à l’AFA l’imprécision de sa notification de griefs qui aurait ainsi porté atteinte à l’exercice des droits de la défense.

La Commission des sanctions a, en l’espèce, considéré que les "griefs dont (elle) est saisie doivent être énoncés de façon suffisamment claire pour ne laisser aucun doute sur leur contenue et leur portée". Elle reconnait que la notification pouvait être imprécise, mais qu’il ressort de l’ensemble des pièces que la société X a toutefois pu correctement appréhender la portée des griefs et développer une défense efficace.

Les prochaines notifications de griefs reprendront certainement plus complètement les arguments en fait et en droit développés dans le rapport de l’AFA.

Cette deuxième décision confirme la portée des recommandations en introduction de la partie de la décision consacrée au fond.

La Commission rappelle ainsi que si la personne mise en cause a suivi la méthode préconisée par les recommandations pour établir son programme de conformité anticorruption, il appartient au Directeur de l’Agence de démontrer, si tel est le cas, que cette application est incorrecte ou incomplète.

En revanche, sur les recommandations de l’AFA n’ont pas été suivies par la personne mise en cause, il lui appartient  de "démontrer la pertinence, la qualité et l’effectivité de son dispositif de détection et de prévention de la corruption".

Dans les développements consacrés à la vérification de la validité de la cartographie, la Commission des sanctions va un pas plus loin. Ainsi, le Directeur de l’Agence ne peut surajouter aux recommandations et les recommandations elles-mêmes ne peuvent surajouter à la loi : le Directeur de l’Agence "ne peut … utilement s’appuyer ni sur la méconnaissance de prescriptions formelles ou méthodologiques, qui, faute d’être énoncées par cette recommandation, ne résulteraient que d’une doctrine de contrôle non publiée par l’Agence, ni sur la méconnaissance d’exigences ajoutées par cette recommandation à celles prévues par la loi".

La Commission des sanctions a considéré, qu’à la date de l’audience, la cartographie des risques de la société X était suffisamment aboutie.

Sur cette question, on s’intéressera surtout à l’application du principe dégagé par la Commission des sanctions sur la portée des recommandations lorsqu’elle examine la mise en œuvre des six étapes de la cartographie telles que préconisées par la recommandation de l’AFA. Lors de l’audience, le débat sur la cartographie des risques avait longuement porté sur ce qu’on appelle la "profondeur de la cartographie" ou encore "l’analyse fine".

La Commission des sanctions y revient d’ailleurs longuement. Lorsqu’elle revoit l’étape 2 de la cartographie, la Commission indique ainsi que :

• l’AFA ne peut opposer à la société contrôlée qu’elle n’a pas fait participer de manière suffisamment exhaustive l’ensemble des fonctions et des métiers à l’établissement de la cartographie. Elle considère en effet que la recommandation de l’Agence "n’impose pas aux organisations… à une représentation exhaustive de l’ensemble des fonctions et des métiers". La société contrôlée peut donc choisir les personnes qui lui paraissent représentatives de ses activités ;
• la société peut également prendre en compte certains processus en les intégrant dans des scenarios de risques plus larges ;
• la recommandation de l’AFA "n’impose aucun niveau de granularité prédéfini". L’entreprise doit ainsi justifier son choix de ne pas traiter de façon particulière un pays par "une analyse précise sur sa chaîne de valeurs et de ses activités propres".

Il ressort de cette analyse que la Commission des sanctions a ici cherché à prendre en compte les arguments de la société sur les spécificités de celle-ci et les adaptations qui ont été faites de ce fait pour la mise en œuvre de l’étape 2 de la cartographie.

Enfin, à l’étape 5 de la cartographie des risques telle que détaillée dans les recommandations de l’AFA, celle-ci préconise la mise en place d’un plan d’actions afin de corriger les lacunes du dispositif de prévention que la cartographie aura permis d’identifier.

La Commission des sanctions indique ici que "l’élaboration d’un plan d’action ne résulte d’aucune exigence légale, les dispositions (de l’article 17)… ne prévoyant qu’une obligation d’identification, d’analyse et de hiérarchisation des risques". La Commission ajoute : "s’il est loisible à l’Agence … de réunir … les bonnes pratiques à mettre en œuvre pour se conformer aux obligations (de la loi), elle n’est, en revanche, pas compétente pour ajouter à la loi".

De ce fait, l’absence ou l’insuffisance du plan d’actions ne peut être considérée comme un manquement à la loi.

De nouvelles perspectives s’ouvrent-elles ainsi ? Pas nécessairement, si l’on considère que le huitième pilier de la loi concerne la mise en place d’un dispositif de contrôle et d'évaluation interne, lequel suppose la mise en œuvre de mesures correctives sur la base des lacunes identifiées dans le dispositif de maitrise des risques. De même, les mesures de contrôle comptables (pilier 5 de la loi) résultent nécessairement de l’évaluation du dispositif de maitrise des risques de corruption en vigueur.

La Société X dispose d’un code éthique depuis de longues années regroupant des valeurs et engagements en matière de responsabilité sociale et environnementale (RSE), intégrant une rubrique relative à la lutte contre la corruption et d’un code de conduite anticorruption et a indiqué souhaiter disposer de différents supports pour une meilleure lisibilité.

La Commission des sanctions a considéré que le code éthique devait être modifié pour mentionner l’obligation faite par la loi Sapin 2 de disposer d’un code de conduite anticorruption structuré selon les prescriptions de la loi et fait injonction à la société de faire ces modifications au plus tard le 1er septembre 2020. Ce délai peut paraitre un peu court dès lors que les codes devraient être soumis à la procédure d’information et consultation des Comités sociaux et économiques (CSE) pour être annexés aux règlements intérieurs des sociétés françaises du groupe X.

A cet égard, il est intéressant de noter que la Commission des sanctions précise clairement que les dispositions (de la loi) "ne font pas obstacle à ce qu’une société dispose, à cette fin, de plusieurs documents, dès lors qu’ils constituent un ensemble cohérent, clairement articulé et dont la lisibilité par le personnel (est) assurée, que chacun des documents qui le compose soit rendu facilement accessible à l’ensemble des salariés, que ces documents mentionnent qu’ils constituent le « code de conduite » exigé par la loi… ".

Ce point est important car de nombreuses sociétés disposent en effet d’un code éthique et d’un code de conduite anticorruption. Il est en effet plus efficace pour communiquer sur l’ensemble du programme de conformité, en particulier dans le cas d’un grand groupe à l’international, que l’ensemble des principes et valeurs éthiques d’une entreprise soient réunis dans un même document.

Les développements sur les contrôles comptables montrent, comme les débats l’avaient laisser entendre, que la société X a engagé un long travail de centralisation de la fonction financière et comptable et de fait d’unification des outils de gestion comptable.

Parallèlement une "démarche de mise en conformité des contrôles comptables spécifiques à la prévention de la corruption" a été entreprise sous le contrôle des commissaires aux comptes de la société.

Ce travail de mise en conformité n’était pas achevé à la date de l’audience, la société X indiquant un calendrier de déploiement étalé jusqu’en avril 2021. La Commission des sanctions, constatant que le travail n’est pas achevé, impose de ce fait une injonction de finaliser la mise en place de ces contrôles comptables au plus tard  le 31 mars 2021. Toutefois, la décision ne décrit pas lesdits contrôles comptables, peut-être pour des raisons de confidentialité.

Cette deuxième décision apporte donc certaines clarifications et on imagine que l’argumentation de l’AFA sera plus détaillée à l’avenir lorsqu’elle estimera que le programme de conformité anticorruption d’une entreprise n’est pas conforme aux prescriptions de la loi.