Loi Sapin 2 et conformité anti-corruption pour PME 100-499 salariés en 2026 : pourquoi anticiper l'obligation

À jour au 2026-05-26.

L'article 17 de la loi n° 2016-1691 du 9 décembre 2016 (loi Sapin 2) impose un programme conformité anti-corruption aux entreprises de plus de 500 salariés et 100 millions d'euros de chiffre d'affaires. Les PME sous ces seuils ne sont pas légalement obligées, mais l'Agence Française Anticorruption (AFA) encourage vivement les ETI 100-499 salariés à adopter volontairement les bonnes pratiques — pour trois raisons convergentes : anticipation de croissance, demande contractuelle des clients grands groupes assujettis, et émergence d'attentes ESG sur la gouvernance.

Ce guide pratique 2026 expose les 8 mesures obligatoires du programme, les seuils précis, les sanctions de la commission des sanctions de l'AFA (jusqu'à 1 M€ pour l'entreprise + 200 000 € pour le dirigeant), et les arguments pour anticiper volontairement le dispositif côté PME — y compris l'articulation avec les nouveaux dispositifs réglementaires qui renforcent la pression sur l'ensemble de la chaîne de valeur.

En bref. La loi Sapin 2 s'impose légalement aux entreprises dépassant simultanément 500 salariés et 100 M€ de CA, siège en France. Elle exige un programme conformité en 8 mesures sous peine d'une amende pouvant atteindre 1 M€ pour l'entreprise et 200 000 € pour le dirigeant personnellement. Les PME sous-seuil ne sont pas exonérées de fait : la cascade contractuelle des grands groupes, les obligations CSRD et la future DDADUE les touchent indirectement dès aujourd'hui.

• Seuils légaux : > 500 salariés ET > 100 M€ CA, siège en France (cumulatifs).
• 8 mesures obligatoires : code de conduite, cartographie des risques, alerte interne, évaluation des tiers, contrôles comptables, régime disciplinaire, formation, évaluation.
• Sanctions : jusqu'à 1 M€ pour l'entreprise + 200 000 € pour le dirigeant + exclusion marchés publics jusqu'à 5 ans.
• PME sous-seuil : non obligées légalement mais soumises à pression contractuelle, bancaire et ESG croissante.
• Coût mise en place : 80-250 k€ année 1 pour un programme complet ; 30-60 k€ pour un dispositif allégé adapté aux PME sous-seuil.
• Articulation réglementaire : Sapin 2 se cumule avec CSRD, DDADUE 2027 et NIS 2 — une cartographie mutualisée réduit significativement le coût global.

Article 17 loi Sapin 2#

L'article 17 impose à l'instance dirigeante d'une entreprise assujettie de prendre les mesures destinées à prévenir et détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence. À défaut, sa responsabilité peut être engagée devant la commission des sanctions de l'AFA, indépendamment de la responsabilité pénale qui peut résulter d'une infraction caractérisée.

Seuils d'application#

Sont assujetties les entreprises réunissant simultanément :

Les seuils s'apprécient au niveau de la société individuelle OU du groupe si la société mère est tête de groupe assujettie. Une filiale française d'un groupe dépassant ces seuils peut être entraînée dans le périmètre même si elle est individuellement sous les seuils.

Hors champ légal direct#

• PME et ETI sous les seuils cumulatifs (mais encouragées par l'AFA à adopter volontairement les bonnes pratiques).
• Établissements publics industriels et commerciaux (régime spécifique).
• Filiales françaises de groupes étrangers dont la gouvernance n'est pas localisée en France (selon configuration).

Principe#

La cartographie des risques est la pierre angulaire du programme. Elle doit être :

• Spécifique à l'activité (services, industrie, distribution, BTP, etc.).
• Géographique (présence à l'étranger, pays à risque selon le CPI de Transparency International).
• Documentée (méthodologie, sources, fréquence de mise à jour).
• Mise à jour au minimum tous les 2 ans ou en cas d'événement majeur.

Méthodologie en 4 étapes#

1. Identification des processus métier exposés (achats, ventes export, marchés publics, lobbying).
2. Évaluation de la probabilité × impact pour chaque risque (matrice 5x5).
3. Priorisation des risques selon score (risques majeurs = traitement prioritaire).
4. Plan d'action documenté avec mesures de prévention et de détection, assignées à des responsables nommés.

Notre lecture#

Le piège classique : remplir une cartographie "générique" téléchargée d'un guide AFA sans la spécifier à l'activité réelle. L'AFA contrôle la cohérence entre la cartographie et la nature des risques effectifs. Une PME BTP avec activité en Afrique francophone qui présente une cartographie sans aucun risque géographique est immédiatement suspecte.

Sur nos dossiers PME industrielles exportatrices, nous constatons que la cartographie est souvent réalisée en quelques jours par un seul responsable sans consultation des équipes terrain. Le résultat est systématiquement contesté par l'AFA lors d'un contrôle : les risques opérationnels remontés par les commerciaux export ou les acheteurs ne figurent pas. Une cartographie robuste implique au minimum des entretiens avec les fonctions achats, commercial export, finance et direction — et se traduit par un livrable de 15 à 30 pages documentées, pas un tableau Excel de 10 lignes.

Cadre légal renforcé en 2022#

La loi n° 2022-401 du 21 mars 2022 (transposition de la directive UE 2019/1937) a renforcé la protection des lanceurs d'alerte avec :

• Protection juridique étendue contre les représailles (licenciement, sanction, déclassement).
• Confidentialité absolue de l'identité du lanceur et des personnes mises en cause.
• Conservation des données : 5 ans minimum, avec anonymisation possible.
• Information des personnes sur le traitement de leurs données (RGPD).

Mise en place technique#

Trois options :

1. Canal interne géré par l'entreprise (boîte mail dédiée, plateforme intranet).
2. Plateforme externe spécialisée (Whispli, WhistleB, Convercent).
3. Mandataire externe (avocat, expert-comptable indépendant).

Pour une PME 100-499 salariés, l'option 2 est généralement la plus équilibrée (3 000 à 10 000 €/an) et offre les meilleures garanties de confidentialité. Le dispositif doit être déclaré comme traitement RGPD, avec analyse d'impact (AIPD) recommandée et consultation du DPO si l'entreprise en dispose. Pour approfondir l'articulation RGPD, voir notre article sur le DPO : obligatoire ou pas ?.

Sanctions entreprise#

Sanctions individuelles (dirigeants)#

Profil : PME 120 salariés, 18 M€ CA dont 35 % à l'export Maghreb (Algérie, Maroc, Tunisie). Sous seuil Sapin 2 légalement mais : (1) demande systématique de code de conduite par les distributeurs locaux ; (2) appels d'offres ministériels nécessitant attestation de conformité ; (3) banque française renforçant les contrôles sur les flux internationaux.

Plan de mise en place 12 mois#

Pour 18 M€ de CA, le programme coûte 0,3 % du CA — ratio rentable au regard de l'accès aux marchés publics et de la confiance des partenaires bancaires.

Second cas terrain — PME 220 salariés, SaaS B2B, fournisseur CAC 40. Une PME éditrice de logiciels (220 salariés, 28 M€ de CA récurrent), sous-seuil Sapin 2, travaillait avec cinq grands groupes cotés représentant 60 % de son ARR. À l'occasion du renouvellement des contrats-cadres 2025, chacun des cinq donneurs d'ordre a exigé la production d'un code de conduite signé par le dirigeant et d'une attestation de formation annuelle des équipes commerciales. Sur nos dossiers dans ce profil, le coût d'un programme allégé adapté — code de conduite, cartographie simplifiée à deux niveaux de risque, plateforme d'alerte externe, formation annuelle — s'est établi autour de 35 000 € la première année, avec un récurrent de 12 000 €. Le dirigeant a valorisé l'investissement dans sa communication investisseurs comme un signal de maturité ESG — argument reçu favorablement lors d'une levée de série B.

Le piège fréquent : une PME sous-seuil considère qu'elle "n'a rien à faire". C'est inexact dans la grande majorité des cas. Les grands groupes assujettis répercutent contractuellement leurs obligations sur leurs fournisseurs critiques — codes de conduite obligatoires, audits éthiques annuels, clauses de résiliation en cas de violation. Une PME qui refuse de signer ces engagements perd progressivement ses contrats. À l'inverse, une PME 100-499 salariés disposant d'un dispositif allégé gagne en crédibilité et préempte le coût de mise en place lors du franchissement futur du seuil.

La multiplicité des cadres réglementaires est souvent vécue comme une contrainte impossible à absorber. En réalité, les dispositifs partagent une infrastructure documentaire commune — cartographie des risques, gouvernance, reporting, traçabilité — qu'il est possible de mutualiser pour diviser les coûts.

Tableau comparatif des dispositifs#

Ce que cela signifie en pratique pour une PME 100-499 salariés#

CSRD : depuis les exercices 2025 (pour les grandes entreprises de plus de 250 salariés entrant dans la première vague, à vérifier selon la taille exacte), les reporting ESG incluent des indicateurs anti-corruption obligatoires. Une PME fournisseur d'un groupe CSRD sera interrogée sur ses propres pratiques dans le cadre des diligences supply chain. La cartographie Sapin 2 fournit directement les données nécessaires au reporting CSRD de vos donneurs d'ordre — c'est un argument commercial fort pour la mettre en place.

DDADUE 2027 : la transposition française de la directive CSDDD (Corporate Sustainability Due Diligence Directive) étend le devoir de vigilance à des groupes plus petits que la loi Vigilance 2017-399 — seuils indicatifs autour de 1 000 salariés et 450 M€ de CA selon les projections. Les PME 100-499 salariés ne seront pas directement assujetties, mais leurs donneurs d'ordre le seront, et la cascade contractuelle s'intensifiera. Pour approfondir, voir notre article sur la DDADUE et le devoir de vigilance supply chain.

NIS 2 : la directive cybersécurité cible des entités "essentielles" ou "importantes" selon leur secteur et leur taille. Elle partage avec Sapin 2 une logique de gouvernance par les risques et d'audit interne régulier. Pour une PME gérant des données sensibles ou opérant dans un secteur critique (santé, énergie, transport, numérique), les deux dispositifs peuvent s'instruire d'une cartographie des risques partiellement mutualisée. Voir notre article NIS 2 et cybersécurité PME.

Notre lecture sur la mutualisation. Sur nos dossiers de PME accompagnées simultanément sur Sapin 2 et CSRD, nous constatons qu'une cartographie des risques bien construite couvre entre 40 et 60 % des besoins documentaires des deux dispositifs. L'investissement incrémental pour passer d'une cartographie Sapin 2 à une cartographie utilisable aussi pour le reporting CSRD est généralement inférieur à 20 % du coût initial. La bonne stratégie est de construire l'infrastructure une seule fois, puis de l'alimenter pour chaque obligation. Voir aussi notre guide sur la préparation CSRD pour dirigeants.

La cascade contractuelle : mécanisme et enjeux#

Lorsqu'un grand groupe est assujetti à Sapin 2, il doit évaluer ses tiers — clients, fournisseurs et intermédiaires — dans le cadre de la mesure 4 (évaluation des tiers). Cette évaluation se traduit concrètement par des questionnaires de due diligence éthique, des demandes de signature de codes de conduite fournisseurs, voire des audits sur site.

Sur nos dossiers PME industrielles et de services, nous constatons que la pression contractuelle s'est significativement intensifiée depuis 2023 : les clauses "compliance" dans les contrats-cadres sont devenues standard chez la plupart des grands groupes du CAC 40 et SBF 120. Un refus de signer ou une incapacité à produire les documents demandés entraîne dans la majorité des cas soit une déqualification fournisseur, soit une impossibilité de renouveler le contrat.

Procédure de mise en conformité en 10 étapes pour PME sous-seuil volontaire#

1. Diagnostiquer l'exposition contractuelle : recenser les clients grands groupes assujettis et les clauses compliance déjà signées.
2. Auditer les demandes reçues : collecter tous les questionnaires, codes de conduite et attestations déjà signés — identifier les lacunes.
3. Nommer un référent compliance interne : dirigeant, DAF ou responsable juridique, même à temps partiel.
4. Rédiger le code de conduite : document adapté à l'activité, approuvé par la direction, signé par les managers.
5. Construire une cartographie simplifiée : deux niveaux de risque (significatif / modéré) suffisent pour une PME sous-seuil.
6. Mettre en place le canal d'alerte : plateforme externe recommandée pour la confidentialité (3 000 à 10 000 €/an).
7. Former les fonctions exposées : achats, commercial, direction — minimum 2 heures/an documentées.
8. Déployer l'évaluation des tiers critiques : questionnaire simplifié pour les fournisseurs représentant > 10 % des achats.
9. Formaliser la procédure disciplinaire : une clause au règlement intérieur suffit pour les PME sous-seuil.
10. Documenter et archiver : conserver tous les livrables (cartographie, formations, alertes traitées) pendant au moins 5 ans.

Ce programme allégé répond aux demandes contractuelles des donneurs d'ordre dans la quasi-totalité des cas. Il constitue également la base sur laquelle construire un programme complet si l'entreprise franchit les seuils légaux. Pour un accompagnement structuré sur ce type de mise en conformité, notre service DAF externalisé intègre le suivi de ces obligations réglementaires.

• Diagnostic d'exposition : ai-je des clients grands groupes assujettis ? Activité export en pays à risque ?
• Niveau de dispositif : conformité complète (assujetti) ou dispositif allégé (PME sous-seuil) ?
• Calendrier : alignement avec un projet RH (recrutement vers 500 salariés) ou commercial (entrée appels d'offres) ?
• Budget : 80-250 k€ année 1 pour conformité complète, 30-60 k€ pour dispositif allégé.
• Référent compliance : externalisé (cabinet) ou internalisé (compliance officer) ?
• Articulation autres cadres : CSRD, DDADUE, NIS 2, loi 2017-399 — capitaliser sur la cartographie existante pour mutualiser les coûts.

• Évolution des seuils : pas annoncée pour 2026 mais discussion en cours sur abaissement à 250 salariés (recommandations OCDE, avis Conseil d'État).
• Audit AFA renforcé : la commission des sanctions a publiquement annoncé des contrôles ciblés sur les entreprises ayant un dispositif formel mais peu effectif ("paper compliance").
• Articulation CSRD : depuis 2025, les entreprises dans le périmètre CSRD doivent reporter sur leurs indicateurs anti-corruption — articulation directe avec les mesures Sapin 2.
• Marchés publics : nouvelle obligation depuis 2025 d'attestation de non-condamnation pour corruption à l'appel d'offres.
• Discussions Sapin 3 : des propositions parlementaires visent à élargir le champ et renforcer les sanctions — aucune promulgation attendue en 2026 mais la trajectoire réglementaire doit être anticipée.

À jour au 2026-05-26. Cet article présente les règles générales applicables à la date de publication. Les seuils, sanctions et obligations Sapin 2 peuvent évoluer. Il ne se substitue pas à une analyse de votre situation spécifique par un avocat spécialisé ou un expert-comptable en conformité. Sources : legifrance.gouv.fr ; agence-francaise-anticorruption.gouv.fr.