Le formalisme du nouveau référentiel anticorruption pèse sur les entreprises

A l’issue d’une consultation, à laquelle ont répondu près de 40 acteurs de la Place, l’Agence française anticorruption (AFA) a publié mi-janvier ses nouvelles recommandations, remplaçant celles de décembre 2017. Elles s’appliqueront pour les contrôles ouverts à partir du 13 juillet prochain. Les organisations ont donc six mois pour les assimiler.

«En imposant unformalisme très fort, l’AFA souhaite un dispositif autant que possible auditable, qui facilitera les contrôles, a expliqué Charles-Henri Boeringer, associé Clifford Chance, lors d’un webinaire du cabinet d’avocats. Au lieu d’avoir une analyse fine sur l’effectivité des programmes de conformité, l’AFA risque de faire un ‘tick the box’ pour ses recommandations.»

Le texte énonce que ces recommandations définissent la mise en œuvre du dispositif anticorruption que peut appliquer, «de manière proportionnée et adaptée à leur profil de risques», toute personne morale de droit public ou de droit privé. L’AFA précise explicitement «ce principe cardinal de proportionnalité, qu’elle admettait déjà, précise Charles-Henri Boeringer. Toutefois, dans ses contrôles, l’AFA ne fait pas toujours une analyse fine du profil de risque pour juger du programme de conformité».

Le principe de proportionnalité est explicite

Les recommandations de l’AFA «ne créent pas d’obligation juridique», les organisations ayant le choix des méthodes pour se conformer à la loi Sapin 2. «Une liberté sous contrôle, en raison du système de présomption», tempère Charles-Henri Boeringer. Une entité qui indique avoir suivi les recommandations lors d’un contrôle bénéficie d’une présomption simple de conformité. La charge de la preuve d’une non-application incombe à l’AFA. «Cette règle s’inspire du comply or explain, mais est compliquée à mettre en œuvre», poursuit Charles-Henri Boeringer. En effet, si l’AFA conteste l’efficacité et l’effectivité du dispositif, «il appartiendra toujours aux entreprises de démontrer le bien-fondé de leur choix», prévient Clifford Chance.

Les nouvelles recommandations ne révolutionnent pas le système, mais apportent de très nombreuses précisions. Le référentiel anticorruption repose sur trois piliers indissociables.

D’une part, l’engagement de l’instance dirigeante. Cette recommandation «est extra legem, mais correspond à l’esprit de la loi Sapin 2», précise Charles-Henri Boeringer. Cette responsabilité n’est pas délégable. Le dirigeant doit être exemplaire, s’impliquer personnellement dans la communication et dans la mise en œuvre opérationnelle du dispositif anticorruption.

Parmi les nouveautés, le responsable de la conformité doit être consulté sur les projets stratégiques et sur les décisions structurantes, comme les opérations de haut de bilan, même si cela n’est pas dans la loi, commente Clifford Chance.

L’analyse «fine» des processus fait débat

D’autre part, la cartographie des risques. Au cœur du programme de conformité, cette cartographie «doit être complète (couvrir les risques de corruption et de trafic d’influence, l’intégralité des processus mis en œuvre dans le cadre des interactions avec des tiers, et pour tout le périmètre de l’entreprise), formalisée (et donc écrite, afin que l’AFA puisse l’auditée ; structurée par métier, processus, entité ou zone géographique) et évolutive (une réactualisation doit être appréciée chaque année)», précise Alice Dunoyer de Segonzac, avocat, Clifford Chance

Les six étapes méthodologiques ne changent pas : définition des rôles et des responsabilités, identification des risques inhérents, évaluation des risques bruts, évaluation des risques nets, hiérarchisation des risques et élaboration d’un plan d’actions, et formalisation et mise à jour.

Toutefois, l’AFA demande une «analyse fine» des processus de l’entreprise pour identifier les risques, sans plus de détails. «Cette ‘analyse fine’ risque de poser beaucoup de débats, poursuit Alice Dunoyer de Segonzac. Nous constatons lors des contrôles qu’elle n’est jamais satisfaite, mais nous ne connaissons pas son référentiel».

Par ailleurs, l’AFA ne formule aucune recommandation sur la manière de consolider la cartographie au niveau de la maison mère, regrette Clifford Chance.

L’évaluation des tiers reste complexe

Enfin, la gestion des risques. Ce troisième pilier répond à trois objectifs : prévention, détection et remédiation.

Au sein de la prévention, les entreprises doivent établir un code de conduite, former leurs collaborateurs et évaluer les tiers. Ce dernier point soulève toujours des questions. Le périmètre des tiers à évaluer «reste excessivement large, constate Karima Chaïb, Avocat, Clifford Chance. L’AFA ajoute même de nouvelles catégories de tiers (cibles d’acquisition, bénéficiaire d’actions de sponsoring ou de mécénat)». Néanmoins, les groupes de tiers jugés pas ou peu risqués «pourront ne pas faire l’objet d’une évaluation», précise l’AFA. «Nous attendons de voir concrètement comment l’AFA va contrôler l’application de cette recommandation», anticipe Karima Chaïb.

Dans le cadre de la détection des risques de corruption, l’AFA ajoute deux recommandations au-delà des obligations légales : le dispositif d’alerte doit préciser que la violation de l’obligation de confidentialité peut donner lieu à des sanctions disciplinaires ; et doit élaborer une procédure d’enquête interne, ajoute le cabinet d’avocats.

En outre l’AFA invite les entreprises à lui adresser des signalements. «Ce n’est pas son rôle, qui est celui de contrôler, souligne Alice Dunoyer de Segonzac. L’AFA continue à entretenir le flou sur son réel rôle».