ISO 37001 aide les organisations à renforcer leurs dispositifs anticorruption grâce à la gouvernance, l’évaluation des risques, la diligence raisonnable, la formation, le suivi et la responsabilité. Ce guide explique l’alignement avec Sapin II et la conformité anticorruption en France.
La prévention de la corruption en France impose aux organisations de maîtriser à la fois leurs obligations légales et leurs dispositifs opérationnels anticorruption. La norme ISO 37001 fournit un cadre reconnu à l’échelle internationale pour mettre en place et améliorer un système de management anticorruption, tandis que le dispositif français issu de la loi Sapin II, notamment son article 17, impose des mesures obligatoires aux organisations qui atteignent les seuils légaux applicables.
Les organisations qui envisagent de mettre en œuvre ISO 37001 en France doivent comprendre comment cette norme internationale s’articule avec la loi Sapin II, les recommandations de l’AFA et les dispositifs anticorruption déjà en place.
La distinction est essentielle : la certification ISO 37001 est volontaire, tandis que les obligations prévues par la loi Sapin II constituent des exigences légales pour les organisations entrant dans son champ d’application. ISO 37001 peut aider à structurer les politiques, l’évaluation des risques de corruption, les diligences à l’égard des tiers, les dispositifs de signalement, la formation, la surveillance et l’amélioration continue, mais la certification ne démontre pas automatiquement la conformité au droit français en matière de lutte contre la corruption.
Ce guide explique le fonctionnement d’ISO 37001, ses différences avec la loi Sapin II et la manière dont les organisations peuvent construire un programme anticorruption pratique, structuré et fondé sur des éléments probants.
La norme ISO 37001:2025 est la norme internationale consacrée aux systèmes de management anticorruption. Elle définit des exigences et fournit des lignes directrices pour établir, mettre en œuvre, maintenir, réexaminer et améliorer en continu les mesures organisationnelles destinées à prévenir, détecter et traiter les faits de corruption.
Cette norme peut être utilisée par les entreprises privées, les organismes du secteur public, les organisations à but non lucratif, les PME, les groupes multinationaux et les organisations présentes dans plusieurs juridictions.
Son principal intérêt réside dans son approche structurée en système de management. ISO 37001 ne constitue pas simplement un modèle de politique anticorruption. Elle réunit dans un cadre cohérent la gouvernance, les responsabilités, l’évaluation des risques, les diligences à l’égard des tiers, les contrôles financiers et non financiers, les dispositifs de signalement, la formation, la surveillance et les actions correctives.
Cette approche permet d’intégrer les exigences anticorruption dans les processus opérationnels quotidiens et de disposer d’éléments probants démontrant que les contrôles sont effectivement mis en œuvre, suivis et régulièrement réexaminés.
ISO 37001:2025 a remplacé l’édition de 2016 et constitue désormais la version en vigueur de la norme. La mise à jour de 2025 renforce et modernise plusieurs domaines, notamment la culture anticorruption de l’organisation, la gestion des conflits d’intérêts, le rôle de la fonction anticorruption et l’alignement sur les pratiques actuelles des systèmes de management ISO.
Les organisations qui utilisent encore une documentation fondée sur ISO 37001:2016 doivent donc revoir leurs politiques, leurs processus d’évaluation des risques et leurs contrôles de management au regard des exigences de l’édition 2025, plutôt que de continuer à considérer la version 2016 comme la référence actuelle.
La loi n° 2016-1691 du 9 décembre 2016, communément appelée loi Sapin II, a renforcé en France le cadre applicable à la transparence ainsi qu’à la prévention et à la détection de la corruption et du trafic d’influence.
L’une de ses dispositions centrales est l’article 17 de la loi Sapin II. Dans le cadre actuellement applicable, certains dirigeants d’entreprise doivent mettre en œuvre des mesures anticorruption lorsqu’une société emploie au moins 500 salariés, ou appartient à un groupe dont la société mère a son siège en France et qui emploie au moins 500 salariés, et réalise un chiffre d’affaires ou un chiffre d’affaires consolidé supérieur à 100 millions d’euros. La loi prévoit également des règles complémentaires de champ d’application pour certaines entités publiques, structures sociétaires et certains exploitants portuaires.
L’article 17 a été modifié par la loi n° 2025-532 du 13 juin 2025, la version actuelle étant entrée en vigueur le 15 juin 2025. Les organisations doivent donc se référer au texte juridique en vigueur plutôt qu’à d’anciens résumés de la loi Sapin II.
L’article 17 impose la mise en place d’un dispositif anticorruption intégré comprenant un code de conduite, un dispositif d’alerte interne, une cartographie des risques de corruption régulièrement mise à jour, des procédures d’évaluation des clients, des fournisseurs de premier rang et des intermédiaires, des contrôles comptables, des formations destinées aux cadres et salariés les plus exposés, un régime disciplinaire ainsi qu’un dispositif interne de contrôle et d’évaluation.
Ces obligations prévues par l’article 17 ne doivent pas être confondues avec l’interdiction plus générale de la corruption en droit français. Le fait de ne pas atteindre les seuils de l’article 17 ne supprime ni le risque de corruption ni les autres obligations pénales et juridiques susceptibles de s’appliquer à l’organisation ou aux personnes concernées.
ISO 37001 et la loi Sapin II présentent de nombreux points communs dans leur approche des risques de corruption, mais leur statut juridique, leur champ d’application et leur finalité sont différents.
ISO 37001:2025 est une norme internationale volontaire de système de management. L’article 17 de la loi Sapin II constitue une obligation légale française pour les organisations qui entrent dans son champ d’application.
|
Domaine |
ISO 37001:2025 |
Article 17 de la loi Sapin II |
|
Statut |
Norme internationale volontaire |
Obligation légale française pour les organisations concernées |
|
Objectif principal |
Système de management anticorruption |
Prévention et détection de la corruption et du trafic d’influence |
|
Applicabilité |
Organisations de toute taille et de tout secteur |
Organisations répondant aux critères légaux d’assujettissement |
|
Évaluation des risques |
Évaluation des risques de corruption |
Cartographie des risques de corruption |
|
Contrôles des tiers |
Diligences à l’égard des tiers fondées sur les risques |
Évaluation de certains clients, fournisseurs et intermédiaires |
|
Signalement |
Dispositifs d’alerte et de signalement |
Dispositif d’alerte interne |
|
Formation |
Formation anticorruption fondée sur les risques |
Formation des cadres et personnels les plus exposés aux risques de corruption |
|
Surveillance |
Surveillance, revue, audit et amélioration |
Contrôle interne et évaluation des mesures |
|
Certification |
Certification indépendante possible |
Pas de certification équivalente au titre de Sapin II |
|
Conformité juridique |
Peut soutenir la conformité |
Obligation légale directe lorsqu’elle est applicable |
Oui. Les deux cadres sont étroitement alignés sur plusieurs aspects, notamment l’évaluation des risques de corruption, l’engagement de la direction, les diligences à l’égard des tiers, les contrôles anticorruption, les dispositifs de signalement, la formation, les enquêtes et la surveillance continue.
Pour les organisations opérant en France, ISO 37001 peut fournir un cadre de management structuré pour organiser ces contrôles. Toutefois, les organisations soumises à la loi Sapin II doivent mettre en correspondance les exigences ISO avec l’article 17 et les recommandations pertinentes de l’AFA.
La certification ne doit pas être considérée comme une protection juridique automatique.
Non. La certification ISO 37001 démontre que le système de management anticorruption d’une organisation a été évalué au regard des exigences de la norme ISO. Elle ne prouve pas que l’ensemble des obligations prévues par le droit français de la lutte contre la corruption a été respecté.
L’AFA peut toujours examiner si l’organisation a effectivement mis en œuvre, dans la pratique, les mesures spécifiques prévues par l’article 17 et si elle est en mesure de produire des éléments probants appropriés démontrant l’efficacité de ces contrôles.
L’Agence française anticorruption (AFA) joue un rôle central dans le dispositif français de lutte contre la corruption à travers ses missions de prévention, d’accompagnement et de contrôle. Ses recommandations aident les organisations à traduire leurs obligations légales en mesures anticorruption concrètes et constituent une référence importante pour concevoir et évaluer les programmes de conformité.
Les recommandations officielles de l’AFA en matière de prévention de la corruption structurent un programme efficace autour de trois piliers fondamentaux : l’engagement de l’instance dirigeante, la connaissance des risques de corruption grâce à la cartographie des risques, et la maîtrise de ces risques au moyen de mesures de prévention, de détection et de remédiation.
Cette approche s’articule naturellement avec la logique de système de management d’ISO 37001. Les deux cadres mettent l’accent sur la gouvernance, les contrôles fondés sur les risques, la responsabilisation, la surveillance et l’amélioration continue.
Ils ne doivent toutefois pas être considérés comme interchangeables. Les recommandations de l’AFA ne constituent pas une norme ISO et ne se substituent pas aux exigences légales prévues par la loi Sapin II.
En France, les organisations doivent donc s’appuyer à la fois sur les recommandations de l’AFA et sur les textes juridiques applicables lorsqu’elles conçoivent, mettent en œuvre et réexaminent leur programme anticorruption.
Le principe de proportionnalité est également essentiel. Les contrôles doivent refléter l’exposition réelle de l’organisation aux risques de corruption, la nature de ses activités, son implantation géographique et ses relations avec les tiers. Une politique générique peut sembler complète sur le papier, mais un programme efficace doit démontrer que les ressources et les contrôles sont concentrés sur les risques les plus significatifs en pratique.
Un programme anticorruption efficace repose d’abord sur une responsabilité clairement assumée par la direction. Dans le cadre d’ISO 37001, les dirigeants doivent définir les objectifs anticorruption, allouer les ressources appropriées, attribuer les responsabilités et promouvoir une culture organisationnelle qui rejette la corruption.
Dans un programme de conformité en France, la direction doit pouvoir démontrer une implication active et ne pas se limiter à approuver une politique anticorruption. Cela implique notamment de soutenir formellement le programme, de définir les responsabilités, de veiller à ce que la fonction conformité dispose d’un niveau suffisant d’indépendance et de ressources, d’examiner les remontées relatives aux risques de corruption et de réagir de manière appropriée aux allégations graves.
Les décisions de la direction doivent également être documentées. Cela permet de disposer d’éléments probants montrant comment les risques identifiés, les enquêtes, les faiblesses des contrôles et les actions de remédiation ont été examinés et traités.
Une communication visible de la part des dirigeants est tout aussi importante, notamment lorsque les salariés ou les partenaires commerciaux peuvent être confrontés à des pressions commerciales contraires aux exigences anticorruption.
La fonction conformité doit disposer :
D’une autorité et d’une indépendance appropriées
D’un accès direct aux responsables de direction concernés
Son rôle doit être suffisamment clair pour lui permettre de remettre en question certaines décisions, de faire remonter les préoccupations importantes et de surveiller la mise en œuvre du dispositif sans ingérence injustifiée.
Les organisations de plus petite taille n’ont pas besoin de reproduire la structure d’un département de conformité multinational. La gouvernance peut être proportionnée à la taille et au niveau de risque, mais les responsabilités, les circuits de remontée des préoccupations et les rôles dans la prise de décision doivent rester clairement définis.
Une politique anticorruption efficace doit traduire les attentes de la direction, les obligations légales et les principes de gestion des risques en règles concrètes que les salariés et les partenaires commerciaux concernés peuvent comprendre et appliquer.
La politique doit couvrir les principaux risques de corruption auxquels l’organisation est exposée, notamment la corruption, le trafic d’influence, les paiements de facilitation, les cadeaux et invitations, les dons caritatifs, le mécénat et le sponsoring, les contributions politiques lorsqu’elles sont pertinentes, les conflits d’intérêts et le recours à des intermédiaires.
Le niveau de détail doit refléter l’exposition réelle de l’organisation plutôt que reposer sur des formulations génériques.
Des déclarations telles que « nous appliquons une tolérance zéro à l’égard de la corruption » ne suffisent pas à elles seules.
Les salariés doivent savoir qui doit approuver une transaction, quels seuils financiers ou de risque s’appliquent, quels comportements sont interdits, quels documents doivent être conservés et à qui demander conseil lorsqu’une situation n’est pas claire.
Des règles opérationnelles précises facilitent également la vérification de leur application effective dans la pratique.
Pour les organisations soumises à l’article 17 de la loi Sapin II, le code de conduite anticorruption joue un rôle juridique spécifique. Il doit définir et illustrer les comportements interdits susceptibles de constituer des faits de corruption ou de trafic d’influence et s’intégrer dans le dispositif global de conformité de l’organisation.
Une politique générique fondée sur ISO 37001 ne doit donc pas être considérée comme satisfaisant automatiquement à l’ensemble des exigences françaises.
Les organisations doivent mettre directement en correspondance leur politique et leur code de conduite avec les obligations applicables de la loi Sapin II et les recommandations de l’AFA.
ISO 37001 et le cadre français de lutte contre la corruption placent tous deux l’évaluation des risques au cœur d’un programme de conformité efficace.
Une évaluation pertinente des risques de corruption doit partir des activités, des transactions et des relations d’affaires réelles de l’organisation, plutôt que d’un catalogue générique de comportements potentiellement illicites.
L’évaluation doit prendre en compte l’exposition liée aux pays dans lesquels l’organisation exerce ses activités, aux secteurs concernés, aux interactions avec les autorités publiques, aux marchés publics, aux autorisations et licences, aux douanes, aux intermédiaires commerciaux, aux agents, aux distributeurs, aux acquisitions, aux cadeaux et invitations, aux activités caritatives et aux contrats de valeur importante.
L’objectif est d’identifier les situations dans lesquelles des faits de corruption pourraient réellement se produire, d’évaluer la gravité potentielle de leurs conséquences et de déterminer les contrôles nécessaires.
Pour les organisations soumises à l’article 17, la loi Sapin II impose une documentation régulièrement mise à jour permettant d’identifier, d’analyser et de hiérarchiser l’exposition aux sollicitations externes de corruption, en tenant notamment compte des secteurs d’activité et des zones géographiques.
L’AFA considère la cartographie des risques de corruption comme un élément central du programme anticorruption, car elle doit orienter la conception et la priorisation des autres contrôles.
Pour chaque scénario de corruption pertinent, évaluez :
Le risque inhérent avant contrôles
Les contrôles préventifs et détectifs existants
L’efficacité de ces contrôles
Le risque résiduel après contrôles
Les actions complémentaires nécessaires
Les résultats doivent orienter les diligences à l’égard des tiers, les procédures d’approbation, la formation, la surveillance, les contrôles comptables et la supervision exercée par la direction.
Une cartographie des risques ne doit pas devenir un simple document de conformité examiné une fois par an puis laissé de côté. Elle doit être mise à jour lorsque l’organisation entre sur de nouveaux marchés, modifie son modèle économique, acquiert de nouvelles sociétés, nomme de nouveaux intermédiaires ou identifie de nouveaux risques de corruption.
Les programmes les plus solides relient directement l’évaluation des risques aux décisions opérationnelles et aux actions de remédiation documentées.
Transformez la sensibilisation aux risques de corruption en actions concrètes
Renforcez votre compréhension des risques de corruption et de subornation, apprenez à identifier les principaux signaux d’alerte et à appliquer des mesures de prévention adaptées aux situations professionnelles. Soutenez des contrôles anticorruption plus solides et des décisions de conformité mieux informées.
Découvrir la formation →Les tiers constituent l’un des principaux points d’exposition au risque de corruption pour de nombreuses organisations. Le risque peut provenir des clients, agents, consultants, distributeurs, fournisseurs, partenaires de coentreprise, cibles d’acquisition et autres intermédiaires agissant pour le compte de l’organisation ou soutenant des activités essentielles.
Les diligences à l’égard des tiers doivent donc être proportionnées au niveau de risque présenté par chaque relation, plutôt que d’appliquer le même niveau de contrôle à tous les tiers.
Le niveau de profondeur des diligences doit tenir compte de facteurs tels que le risque pays, les interactions avec des agents publics, la structure de propriété, la réputation, les modalités de paiement, les commissions inhabituelles, le recours à des sous-traitants, l’absence de compétences pertinentes et les liens avec des décideurs.
Les relations présentant un risque plus élevé peuvent nécessiter des vérifications approfondies de la propriété, une recherche d’informations défavorables, une vérification des qualifications, une analyse des structures de rémunération ainsi que des contrôles contractuels ou d’approbation supplémentaires.
Des commissions inhabituellement élevées ou des demandes de paiement vers des comptes sans lien avec la relation
Une réticence à communiquer des informations sur la propriété, les qualifications ou les relations avec des agents publics
Un signal d’alerte ne signifie pas automatiquement qu’un acte de corruption a eu lieu. Il indique qu’un examen complémentaire, une documentation supplémentaire ou une approbation renforcée est nécessaire avant de poursuivre la relation.
Les diligences ne doivent pas s’arrêter à l’entrée en relation. Les tiers présentant un niveau de risque plus élevé doivent être réévalués lorsque des circonstances importantes évoluent, notamment la structure de propriété, la zone géographique, les services fournis, les modalités de paiement, les informations défavorables ou les incidents de conformité significatifs.
La surveillance doit également être reliée à l’évaluation globale des risques de corruption. Si le profil de risque d’un tiers augmente, l’organisation doit réexaminer les conditions d’approbation, les garanties contractuelles, la formation, la surveillance des transactions ou la poursuite de la relation.
Les pratiques commerciales courantes peuvent créer un risque de corruption même lorsqu’elles sont présentées comme de simples outils de gestion de la relation d’affaires.
Les cadeaux, repas, déplacements, divertissements, dons caritatifs, opérations de mécénat ou de sponsoring et autres avantages peuvent influencer, ou donner l’impression d’influencer, une décision professionnelle s’ils ne sont pas correctement encadrés.
Les organisations doivent donc établir des règles proportionnées couvrant les cadeaux et invitations, les contributions caritatives, le mécénat et le sponsoring, les activités politiques lorsqu’elles sont pertinentes, les conflits d’intérêts et les interactions avec des agents publics.
Les contrôles doivent être adaptés au niveau de risque plutôt que reposer sur une règle d’approbation unique pour toutes les situations.
Les décisions d’approbation doivent tenir compte de la valeur et de la fréquence de l’avantage, de son moment, de l’identité du bénéficiaire, de l’objectif professionnel légitime, du contexte local et de l’existence éventuelle d’un appel d’offres, d’une attribution de contrat, d’une autorisation ou d’une autre décision en cours.
Les situations présentant un risque plus élevé doivent faire l’objet d’un examen renforcé, d’une documentation supplémentaire ou d’un refus.
ISO 37001:2025 accorde une attention renforcée à l’identification et à la gestion des conflits d’intérêts.
Les salariés doivent comprendre dans quelles situations des relations personnelles, financières, familiales ou autres peuvent influencer, ou raisonnablement sembler influencer, leur jugement professionnel.
Les organisations doivent prévoir un processus clair de déclaration, définir les personnes chargées d’examiner les conflits et consigner la manière dont les conflits identifiés sont gérés.
Des contrôles efficaces permettent d’éviter que des intérêts personnels ne compromettent les décisions en matière d’achats, de recrutement, de contractualisation ou d’autres activités professionnelles.
La prévention de la corruption ne repose pas uniquement sur les politiques, la formation et la sensibilisation des salariés.
Les organisations doivent également mettre en place des contrôles opérationnels destinés à empêcher que des paiements indus, des approbations inappropriées ou des montages commerciaux suspects puissent suivre les processus habituels sans être détectés ou remis en question.
Les contrôles financiers pertinents peuvent notamment inclure la séparation des fonctions, les seuils d’approbation, la vérification des frais, le contrôle des factures, la validation des paiements, l’examen des transactions inhabituelles et les rapprochements comptables.
Ces contrôles doivent être conçus en fonction des risques de corruption identifiés. Par exemple, les paiements impliquant des intermédiaires à haut risque, des commissions inhabituelles, des factures à montants ronds ou des changements inattendus de coordonnées bancaires peuvent nécessiter un examen renforcé.
Pour les organisations soumises à l’article 17 de la loi Sapin II, les contrôles comptables doivent contribuer à garantir que les livres, registres et comptes ne sont pas utilisés pour dissimuler des faits de corruption ou de trafic d’influence.
Les contrôles doivent donc permettre de détecter les écritures inhabituelles, les dépenses non justifiées et les transactions dépourvues de finalité commerciale légitime.
Les contrôles non financiers sont tout aussi importants. Ils peuvent s’appliquer aux achats, aux contrats, au recrutement, aux partenaires commerciaux, aux appels d’offres, aux remises, au sponsoring et à d’autres processus d’approbation à haut risque.
Les contrôles les plus efficaces correspondent directement aux scénarios de corruption identifiés dans le cadre de l’évaluation des risques de l’organisation.
Si les marchés publics, le recours à des intermédiaires tiers ou les opérations de sponsoring présentent un niveau de risque élevé, les procédures d’approbation et de surveillance doivent être renforcées dans ces domaines.
Ce lien avec les risques identifiés permet de faire des contrôles anticorruption de véritables mesures de protection opérationnelles, plutôt que des procédures de conformité isolées.
Les organisations doivent mettre à disposition des salariés et des parties prenantes concernées des moyens sûrs et fiables pour signaler des soupçons de corruption, de trafic d’influence ou d’autres manquements.
Un dispositif de signalement crédible doit prévoir des canaux clairement identifiés, un accès contrôlé aux signalements, un niveau de confidentialité approprié, des procédures de traitement documentées et une protection contre les représailles.
Le dispositif doit également préciser la manière dont les signalements sont reçus, évalués, transmis aux personnes compétentes, investigués et clôturés.
Les salariés doivent savoir où signaler une préoccupation et ce qu’il advient après le dépôt d’un signalement. Des canaux mal conçus peuvent décourager les signalements ou créer des risques inutiles en matière de confidentialité et de procédure.
La protection des lanceurs d’alerte en France repose sur des exigences légales qui vont au-delà d’ISO 37001.
Les informations officielles de Service Public sur les lanceurs d’alerte en entreprise présentent notamment les garanties de confidentialité des identités et la protection contre les mesures de représailles. Elles précisent également les voies de signalement internes et externes, ainsi que les exigences spécifiques applicables aux procédures internes dans les organisations comptant au moins 50 salariés.
Le cadre français intègre également les protections établies au niveau européen par la directive (UE) 2019/1937, qui fixe des normes minimales pour la protection des personnes signalant certaines violations du droit de l’Union.
Les organisations doivent donc intégrer leurs canaux de signalement anticorruption aux procédures françaises applicables en matière de lanceurs d’alerte, plutôt que de créer des dispositifs concurrents assortis de règles différentes en matière de confidentialité, de traitement ou de protection.
L’objectif est de mettre en place un processus cohérent qui soutienne à la fois l’efficacité des contrôles anticorruption et le respect des protections applicables aux lanceurs d’alerte.
Lorsqu’une allégation crédible, un signalement de lanceur d’alerte ou un signal d’alerte lié à un risque de corruption est reçu, l’organisation doit réagir selon un processus d’enquête défini et documenté.
L’objectif d’une enquête interne est de déterminer si l’allégation repose sur des faits, d’évaluer la gravité d’un éventuel manquement et d’identifier les mesures correctives nécessaires.
Le processus doit commencer par une première analyse du signalement et la préservation des éléments probants pertinents. Les enquêteurs doivent disposer d’un niveau d’indépendance suffisant, d’un périmètre clairement défini et d’un accès approprié aux documents, systèmes et personnes concernés.
Selon la nature de l’allégation, l’enquête peut inclure des entretiens, l’examen de documents, l’analyse de transactions, la revue d’e-mails ou d’autres communications, ainsi que l’analyse des relations avec des tiers.
La confidentialité, la protection des données, les règles de droit du travail ainsi que, le cas échéant, la confidentialité attachée aux échanges avec les conseils juridiques doivent être prises en compte tout au long du processus.
Les conclusions doivent être étayées par des éléments probants documentés et, lorsque cela est nécessaire, être suivies de mesures de remédiation, de sanctions disciplinaires, d’améliorations des contrôles ou d’une transmission à un niveau de responsabilité approprié.
Les organisations doivent déterminer à l’avance qui peut autoriser une enquête, qui reçoit le rapport final, dans quelles situations le recours à un conseil externe ou à des enquêteurs spécialisés peut être nécessaire, et à quel moment une éventuelle notification aux autorités ou à d’autres parties prenantes doit être envisagée.
Une gouvernance claire réduit le risque de réponses incohérentes ou improvisées.
L’AFA et le Parquet national financier ont publié un guide officiel relatif aux enquêtes internes anticorruption.
Il fournit des orientations pratiques pour structurer les enquêtes, recueillir les informations, protéger la confidentialité et documenter les conclusions.
Les organisations doivent utiliser ce guide conjointement avec leurs obligations légales, leurs procédures internes et leur dispositif global de lutte contre la corruption.
La formation constitue l’un des principaux points de convergence entre ISO 37001 et la loi Sapin II.
Les deux cadres reconnaissent que les dispositifs anticorruption sont plus efficaces lorsque les salariés comprennent les risques auxquels ils peuvent être exposés et savent comment réagir.
Pour les organisations soumises à l’article 17, une formation doit être dispensée aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d’influence.
Le contenu doit donc être adapté aux fonctions, aux responsabilités et au niveau de risque, plutôt que d’être identique pour tous les salariés.
La formation de sensibilisation générale doit présenter les notions essentielles, notamment la corruption, les cadeaux et invitations, les conflits d’intérêts, les obligations de signalement, les comportements attendus et la politique anticorruption de l’organisation.
Les salariés les plus exposés peuvent nécessiter une formation plus approfondie, notamment dans les fonctions commerciales, les achats, les relations avec les autorités publiques, les marchés internationaux, les appels d’offres, la finance et la gestion des tiers.
Les mises en situation doivent refléter les risques opérationnels réels. Par exemple, un distributeur peut demander une commission de succès inexpliquée peu avant l’attribution d’un marché public, ou un fournisseur peut demander à un salarié de faire transiter un paiement par un intermédiaire situé dans un pays tiers.
Les organisations doivent conserver des éléments probants concernant la réalisation des formations, leur contenu, les dates de diffusion, les publics concernés et les résultats des évaluations.
La formation doit également être réexaminée lorsque les évaluations des risques, les politiques, les activités de l’organisation ou les exigences légales évoluent.
Cela permet de maintenir la formation alignée sur les risques de corruption actuels, plutôt que d’en faire un simple exercice annuel de routine.
ISO 37001 étant une norme de système de management, le réexamen continu constitue un élément fondamental d’un programme anticorruption efficace.
Les organisations doivent vérifier que les contrôles fonctionnent comme prévu, et pas seulement que des politiques et des procédures existent.
Les éléments probants utiles peuvent inclure la réalisation des diligences à l’égard des tiers, les dérogations aux procédures d’approbation, les signalements reçus, les conclusions d’enquêtes, les résultats d’audit, les défaillances des contrôles comptables, les données relatives à la réalisation des formations et les nouveaux risques de corruption.
Ces indicateurs permettent d’identifier les contrôles efficaces, les faiblesses persistantes et les domaines nécessitant des actions complémentaires.
L’audit interne doit tester l’efficacité réelle des contrôles anticorruption.
Les questions pertinentes peuvent notamment porter sur le fait de savoir si un agent à haut risque a fait l’objet d’une évaluation appropriée, si les cadeaux dépassant les seuils d’approbation ont été identifiés, si une enquête a respecté la procédure approuvée et si les actions de remédiation ont été menées à leur terme.
Les tests doivent porter sur des transactions, des décisions et des éléments probants réels, plutôt que sur la seule existence de documents.
La direction doit évaluer périodiquement si le système de management anticorruption reste adapté, suffisamment doté en ressources et efficace.
La revue de direction doit prendre en compte l’évolution des risques de corruption, les conclusions des audits, les enquêtes, les défaillances de contrôle, les résultats des formations et les actions correctives encore en cours.
Elle doit déboucher sur des décisions documentées, des contrôles mis à jour et des responsabilités clairement attribuées pour les actions d’amélioration.
Ce cycle d’amélioration continue aide les organisations à démontrer que leur programme anticorruption s’adapte à l’évolution des risques et fonctionne efficacement dans la pratique.
La certification ISO 37001 peut apporter une assurance indépendante qu’une organisation a mis en place un système de management anticorruption structuré.
Elle doit toutefois être comprise comme une évaluation de conformité aux exigences de la norme ISO, et non comme la preuve que l’ensemble des obligations françaises en matière de lutte contre la corruption ont été respectées.
Non. La certification ISO 37001 est volontaire.
La loi Sapin II n’impose pas aux organisations soumises à l’article 17 d’obtenir la certification ISO 37001. Les obligations légales françaises s’appliquent indépendamment du choix de l’organisation de s’engager ou non dans une démarche de certification.
Un organisme de certification indépendant évalue si le système de management anticorruption de l’organisation est conforme aux exigences d’ISO 37001.
Le processus comprend généralement une évaluation initiale du système de management, suivie d’une surveillance périodique puis d’une recertification conformément au cadre de certification applicable.
Les modalités précises peuvent varier selon l’organisme de certification, le périmètre de l’organisation et les dispositifs d’accréditation concernés.
Une organisation peut choisir d’obtenir la certification afin de démontrer à ses clients, partenaires commerciaux ou équipes achats qu’elle dispose d’un programme anticorruption structuré.
La certification peut également contribuer à renforcer la gouvernance, à répondre à certaines exigences liées aux activités internationales, à améliorer la responsabilisation interne et à instaurer une approche plus rigoureuse de la surveillance et de l’amélioration continue.
La certification ISO 37001 ne garantit pas qu’aucun acte de corruption ne se produira, qu’aucun salarié ne pourra commettre de manquement ou que toutes les obligations légales françaises ont été respectées.
Elle n’empêche pas non plus l’AFA ou une autre autorité compétente d’identifier des faiblesses dans les dispositifs anticorruption de l’organisation.
La certification doit donc être considérée comme une forme d’assurance au sein d’un cadre de conformité plus large, et non comme une protection juridique automatique.
De nombreuses PME et petites ETI en France n’atteignent pas les seuils d’effectif et de chiffre d’affaires qui déclenchent l’obligation de mettre en œuvre le programme anticorruption prévu par l’article 17.
Cela ne signifie pas pour autant que le risque de corruption soit négligeable.
Les organisations de plus petite taille peuvent rester exposées à travers leurs activités internationales, les marchés publics, le recours à des agents ou distributeurs, les interactions avec des agents publics et les chaînes d’approvisionnement complexes.
Les grands clients et partenaires commerciaux peuvent également attendre de leurs fournisseurs qu’ils démontrent l’existence de contrôles anticorruption crédibles dans le cadre des procédures d’achat ou des diligences à l’égard des tiers.
L’AFA a publié un guide pratique anticorruption dédié aux PME et aux petites ETI, reconnaissant l’intérêt de mesures anticorruption proportionnées même lorsque l’article 17 n’impose pas l’intégralité du dispositif obligatoire.
Pour une PME, l’objectif ne doit pas être de reproduire la structure de conformité d’un groupe multinational. La priorité consiste à identifier les risques réels de corruption et à mettre en place des contrôles adaptés à ces risques.
ISO 37001 peut fournir une structure utile pour cette démarche, notamment lorsque l’organisation souhaite renforcer sa gouvernance, clarifier les responsabilités, rendre les diligences à l’égard des tiers plus cohérentes ou apporter davantage d’assurance à ses clients et partenaires.
La mise en œuvre d’ISO 37001 en France est plus efficace lorsque les organisations la traitent comme un projet structuré de système de management, et non comme un simple exercice documentaire.
Définissez les entités, sites, activités et relations d’affaires qui entrent dans le périmètre du système de management anticorruption.
Attribuez une responsabilité au niveau de la direction et mettez en place une fonction conformité anticorruption clairement définie, disposant de l’autorité appropriée.
Cartographiez les processus métiers et identifiez des scénarios réalistes de corruption.
Concentrez l’analyse sur les marchés, transactions, interactions avec le secteur public, intermédiaires, fournisseurs et autres tiers présentant un niveau de risque plus élevé.
Examinez la politique anticorruption existante, le code de conduite, le dispositif de signalement, les procédures de diligences à l’égard des tiers, les contrôles comptables, la formation, les procédures d’enquête et les dispositifs de surveillance.
Pour les organisations soumises à l’article 17, cette revue doit également mettre directement en correspondance les contrôles existants avec les exigences de la loi Sapin II et les recommandations pertinentes de l’AFA.
Hiérarchisez les faiblesses en fonction du niveau de risque et de leur impact potentiel.
Évitez de mesurer les progrès au nombre de politiques créées. L’objectif est de renforcer les contrôles là où l’exposition réelle au risque de corruption est la plus élevée.
Intégrez les procédures aux achats, aux ventes, à la finance, aux ressources humaines, à la gestion des contrats et aux relations avec les tiers.
Les salariés doivent comprendre les validations requises, les documents à conserver et les modalités de remontée à appliquer dans les situations concrètes.
Utilisez la surveillance, l’audit interne, les enquêtes, les indicateurs de risque et la revue de direction pour déterminer si les contrôles fonctionnent efficacement.
Si la certification constitue un objectif pour l’organisation, réalisez une évaluation interne de préparation, traitez les écarts significatifs et vérifiez que le système de management fonctionne effectivement avant le début de l’évaluation externe.
Un programme anticorruption solide doit pouvoir être démontré au moyen de contrôles, de documents et de décisions à jour, et non uniquement à travers des politiques.
Les organisations qui envisagent de mettre en œuvre ISO 37001 en France doivent être en mesure de répondre clairement aux questions suivantes.
Gouvernance et risques : La direction assume-t-elle de manière visible la responsabilité de la conformité anticorruption ? La cartographie des risques de corruption est-elle à jour et fondée sur les activités réelles de l’organisation ? L’organisation identifie-t-elle les sites, transactions, fonctions et tiers qui présentent le niveau d’exposition le plus élevé ?
Contrôles et éléments probants : Les politiques anticorruption sont-elles traduites en procédures opérationnelles ? Les tiers présentant un niveau de risque plus élevé font-ils l’objet de diligences avant et pendant la relation ? Les contrôles comptables et les contrôles intégrés aux processus métiers sont-ils conçus pour détecter ou prévenir les paiements et approbations inappropriés ? Les salariés sont-ils formés en fonction de leur niveau d’exposition au risque de corruption ?
L’organisation doit également être en mesure de démontrer que les préoccupations peuvent être signalées en toute sécurité, que les allégations crédibles font l’objet d’enquêtes appropriées, que les processus disciplinaires et de remédiation sont définis et que les faiblesses identifiées sont suivies jusqu’à leur résolution.
La surveillance est aussi importante que la mise en œuvre. Les contrôles doivent être testés périodiquement au moyen de revues, d’audits, des conclusions d’enquêtes, du reporting à la direction et des actions correctives.
Pour les organisations soumises à l’article 17 de la loi Sapin II, une dernière question est essentielle :
Chacune des huit mesures légales peut-elle être démontrée au moyen d’éléments probants actuels et opérationnels, et non uniquement de politiques écrites ?
Si la réponse est non, la priorité doit être de combler les lacunes en matière de contrôles et d’éléments probants avant de considérer le programme comme mature.
La certification ISO 37001 ne démontre pas automatiquement la conformité à la loi Sapin II.
Meilleure approche : mettre séparément en correspondance les exigences d’ISO 37001 avec les obligations prévues par l’article 17 et les recommandations pertinentes de l’AFA.
Un modèle standard d’évaluation des risques peut ne pas refléter l’exposition réelle de l’organisation.
Meilleure approche : construire les scénarios de corruption à partir des activités réelles, des pays d’implantation, des transactions, des tiers et des interactions avec des agents publics.
Le risque lié aux tiers peut évoluer après leur entrée en relation.
Meilleure approche : réévaluer les tiers présentant un niveau de risque élevé lorsque leur structure de propriété, leur zone géographique, leurs services, leurs modalités de paiement ou les informations défavorables les concernant évoluent.
Une formation générique ne répond pas toujours aux risques propres à chaque fonction.
Meilleure approche : proposer aux personnels exposés des mises en situation pratiques directement liées à leurs responsabilités et à leur niveau de risque de corruption.
Une politique bien rédigée ne démontre pas que les procédures fonctionnent effectivement.
Meilleure approche : auditer des transactions, approbations, cadeaux, paiements et décisions relatives aux tiers afin de vérifier que les contrôles sont réellement appliqués.
Attendre qu’une allégation survienne peut entraîner des décisions incohérentes et une mauvaise gestion des éléments probants.
Meilleure approche : définir à l’avance les circuits de remontée, l’autorité compétente pour lancer une enquête, les procédures de préservation des éléments probants et les responsabilités en matière de signalement.
Une conformité anticorruption efficace repose sur la capacité des salariés à identifier les risques avant qu’un paiement douteux, un cadeau, une demande provenant d’un tiers ou un conflit d’intérêts ne devienne un problème de conformité majeur.
La formation Anti-Bribery and Corruption Training du French Compliance Institute aide les professionnels à comprendre les risques de corruption, à reconnaître les principaux signaux d’alerte et à appliquer des principes pratiques de prévention dans des situations professionnelles.
La formation peut soutenir un programme plus large fondé sur ISO 37001 ou la loi Sapin II en renforçant la sensibilisation des salariés, en consolidant les contrôles de l’organisation et en aidant les équipes à réagir de manière plus cohérente face aux signaux d’alerte potentiels.
Elle doit toutefois s’inscrire dans un cadre de conformité plus large et fondé sur les risques, plutôt que d’être considérée comme un substitut à la certification ISO 37001 ou à la mise en œuvre complète des obligations prévues par la loi Sapin II.
ISO 37001:2025 fournit un cadre international structuré pour prévenir, détecter et traiter les faits de corruption grâce à la gouvernance, à l’évaluation des risques, aux diligences à l’égard des tiers, aux contrôles, aux dispositifs de signalement, à la formation et à l’amélioration continue.
La loi Sapin II impose des obligations légales spécifiques en matière de lutte contre la corruption aux organisations qui entrent dans le champ d’application de son article 17.
Bien que les deux cadres présentent de nombreux points communs, ils ne sont pas interchangeables. Les organisations françaises doivent utiliser ISO 37001 comme cadre de management tout en mettant séparément en correspondance les exigences applicables de la loi Sapin II et les recommandations de l’AFA.
La certification ISO 37001 peut constituer un élément probant démontrant qu’une organisation a mis en place un système de management anticorruption structuré, mais elle ne garantit ni l’absence future de faits de corruption ni le respect de l’ensemble des obligations réglementaires françaises.
Les organisations qui relient l’évaluation des risques de corruption, les contrôles opérationnels, la formation des salariés et la surveillance continue seront mieux placées pour démontrer que leur programme anticorruption fonctionne efficacement dans la pratique.
Les transferts de données au titre du RGPD en France nécessitent un mécanisme juridique approprié, une évaluation des risques et des garanties adaptées. Découvrez comment...
Liste de contrôle de la sécurité alimentaire en restaurant destinée aux responsables en France, couvrant l'hygiène quotidienne, l'HACCP, le PMS, la tenue des registres, la...
Découvrez comment prévenir la fraude aux paiements en France grâce à la conformité LCB-FT, au KYC, à la surveillance des transactions, à TRACFIN, à l’ACPR...