I. L’émergence d’un régime de sanction effectif en matière de compliance anticorruption

A. Les obligations de compliance issues de la loi Sapin II : un cadre normatif jusqu’alors dépourvu de portée coercitive effective

La loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite loi Sapin II, a institué à la charge des sociétés employant au moins cinq cents salariés et dont le chiffre d’affaires excède cent millions d’euros une obligation de mettre en place un dispositif interne de prévention et de détection des faits de corruption et de trafic d’influence. L’article 17 de cette loi impose aux entreprises assujetties de déployer un ensemble de mesures parmi lesquelles figurent l’élaboration d’un code de conduite définissant les comportements prohibés, la mise en place d’un dispositif d’alerte interne, la réalisation d’une cartographie des risques, l’instauration de procédures d’évaluation des tiers, la mise en œuvre de contrôles comptables anticorruption, la formation des personnels exposés et l’instauration d’un régime disciplinaire. Ce dispositif, inspiré des standards internationaux et du UK Bribery Act, constitue un mécanisme de compliance préventif dont l’efficacité reposait jusqu’alors sur la seule mission d’accompagnement et de contrôle confiée à l’Agence française anticorruption, créée par la même loi.

Or, et malgré la vigueur apparente de ces obligations, aucune sanction n’avait été prononcée par la Commission des sanctions de l’AFA depuis sa création, en dépit de deux décisions antérieures rendues en 2020 et 2021 qui, sans prononcer de sanction pécuniaire, avaient déjà esquissé les contours du contrôle. La décision n° 19-02 du 7 février 2020, dite Société I. et M. C.K., avait ainsi posé une présomption de validité de la cartographie des risques lorsque l’entreprise déclare avoir suivi la méthodologie décrite dans les recommandations de l’AFA, renversant la charge de la preuve de sa non-conformité sur la direction de l’agence. La décision n° 19-02 du 7 juillet 2021 avait quant à elle confirmé que l’appréciation des manquements s’effectue au jour du contrôle et non à la date à laquelle la Commission statue. Par ailleurs, la jurisprudence relative au devoir de vigilance des sociétés mères, fondée sur l’article L. 225-102-4 du code de commerce, a permis de préciser les exigences en matière de cartographie des risques, la cour d’appel de Paris ayant jugé le 18 juin 2024 que l’obligation de vigilance est « une obligation substantielle, générale et continue de comportement » qui ne saurait être satisfaite par un plan « réalisé à un très haut niveau de généralité ne permettant pas de déterminer si les facteurs de risque précis liés à l’activité engendraient une atteinte aux valeurs protégées » (CA Paris, 18 juin 2024, n° 21/22319). Ces décisions, pour importantes qu’elles fussent sur le plan herméneutique, demeuraient toutefois cantonnées à une fonction pédagogique, faute de prononcé de sanctions pécuniaires.

En conséquence, le régime issu de la loi Sapin II présentait le paradoxe d’un dispositif législatif complet, assorti d’un arsenal de contrôle, mais dont l’effectivité répressive restait à démontrer. Les entreprises assujetties pouvaient légitimement s’interroger sur la portée réelle des obligations pesant sur elles, tandis que les autorités de contrôle se trouvaient privées de la démonstration de leur capacité à sanctionner. Dès lors, la première décision de sanction prononcée par la Commission le 9 juillet 2026 constitue un point d’inflexion dont la portée dépasse le seul cas d’espèce. Elle s’inscrit dans un mouvement plus large de renforcement des mécanismes de compliance en droit des affaires, dont la cour d’appel de Paris a récemment rappelé la finalité dans une décision du 17 juin 2025 relative au plan de vigilance de La Poste, en soulignant qu’« une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation » est la condition préalable à toute politique de prévention efficace (CA Paris, 17 juin 2025, n° 24/05193).

B. La décision du 9 juillet 2026 : première application de la procédure de sanction par la Commission de l’AFA

Par sa décision n° 25-01 du 9 juillet 2026, la Commission des sanctions de l’AFA a prononcé, pour la première fois depuis l’entrée en vigueur de la loi Sapin II, une sanction pécuniaire à l’encontre d’une société holding et de son président, fondateur et principal actionnaire de la structure. La Commission a retenu sept manquements aux obligations de l’article 17, parmi lesquels le défaut de cartographie des risques, l’absence de procédures d’évaluation des tiers, l’absence de contrôles comptables anticorruption, l’absence de dispositif de formation adéquat des personnels et l’absence de dispositif de contrôle et d’évaluation internes. La sanction pécuniaire a été fixée à 350 000 euros à l’encontre de la personne morale, pour un plafond légal d’un million d’euros, et à 60 000 euros à l’encontre de la personne physique, pour un plafond légal de 200 000 euros. La Commission a également fait droit à la demande d’anonymisation de la décision présentée par la société, à laquelle la directrice de l’AFA ne s’opposait pas.

Par ailleurs, la Commission a expressément rappelé que la date à laquelle s’apprécient les manquements est celle du contrôle réalisé par les services de l’AFA, et non celle à laquelle elle statue. Cette précision, qui prolonge la solution déjà retenue dans la décision n° 19-02 du 7 juillet 2021, revêt une importance pratique considérable. Elle signifie que l’entreprise ne peut régulariser sa situation postérieurement au contrôle pour échapper à la sanction, et que le temps écoulé entre le contrôle et l’audience devant la Commission ne saurait constituer une circonstance exonératoire. La Commission a toutefois tenu compte des mesures de remédiation mises en œuvre par l’entreprise postérieurement au contrôle pour atténuer le quantum des sanctions prononcées, ce dont il résulte une approche équilibrée qui distingue l’imputabilité du manquement de sa persistance.

À cet égard, la décision du 9 juillet 2026 éclaire d’un jour nouveau l’articulation entre le droit de la compliance et le droit commun de la responsabilité des dirigeants. La motivation de la Commission, pour minimaliste qu’elle soit sur certains aspects, révèle que le grief central est le défaut de cartographie des risques, présenté comme « le pilier central d’une prévention efficace garantissant l’allotissement pertinent des moyens de l’entreprise ». Ce constat fait écho à la jurisprudence de la chambre commerciale qui, bien qu’étrangère au contentieux de l’AFA, retient une approche comparable en matière d’obligations de conformité pesant sur les dirigeants. Ainsi la cour d’appel de Montpellier a-t-elle rappelé, dans une décision du 20 mai 2025, que la responsabilité des dirigeants peut être engagée en cas de « fautes de gestion ayant contribué à l’insuffisance d’actif », incluant l’absence de tenue d’une comptabilité et l’absence de publication des comptes annuels (CA Montpellier, 20 mai 2025, n° 24/04830). Or, le défaut de cartographie des risques sanctionné par l’AFA participe d’une logique similaire : il s’agit d’un manquement à une obligation légale de prévention dont la carence expose la société et son dirigeant à des sanctions, qu’elles soient administratives ou judiciaires.

II. Les implications de cette décision pour la responsabilité des dirigeants de sociétés commerciales

A. L’articulation entre la sanction administrative de l’AFA et le régime de responsabilité civile des dirigeants

La décision du 9 juillet 2026 ne se limite pas à sanctionner la personne morale : elle atteint également la personne physique du dirigeant, en l’espèce le fondateur et président de la SAS, à raison du « rôle décisif » de ce dernier dans la conduite de la société. Cette double sanction, administrative et personnelle, interroge l’articulation entre le régime répressif de la loi Sapin II et le droit commun de la responsabilité des dirigeants sociaux. En effet, l’article L. 227-8 du code de commerce dispose que « les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée » (art. L. 227-8 C. com.). Par renvoi, l’article L. 225-251 du même code prévoit que les administrateurs et le directeur général « sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion » (art. L. 225-251 C. com.).

Or, la violation des obligations de l’article 17 de la loi Sapin II, constitutive d’une infraction aux dispositions législatives applicables aux sociétés commerciales, peut-elle fonder une action en responsabilité civile à l’encontre du dirigeant sur le fondement de ces textes ? La question est d’autant plus sensible que la jurisprudence distingue, en matière de responsabilité des dirigeants, la faute de gestion commise dans l’exercice des fonctions et la faute détachable des fonctions, seule cette dernière étant de nature à engager la responsabilité personnelle du dirigeant envers les tiers. La cour d’appel de Rennes a rappelé cette distinction dans une décision du 18 novembre 2025, en jugeant que « la société fonde expressément ses demandes sur les dispositions de l’article 1240 du code civil tout en faisant valoir que M. L. aurait commis une faute détachable de ses fonctions de dirigeant, notion qui correspond à une condition de mise en cause de la responsabilité d’un dirigeant sur le fondement des dispositions du code de commerce » (CA Rennes, 18 novembre 2025, n° 24/06824). Par ailleurs, la sanction administrative prononcée par l’AFA pourrait, en cas de carence persistante, constituer un indice de faute de gestion susceptible d’être invoqué dans le cadre d’une action en responsabilité pour insuffisance d’actif sur le fondement de l’article L. 651-2 du code de commerce.

À cet égard, la décision de la Commission des sanctions de l’AFA s’inscrit dans un écosystème répressif plus large, dont la convention judiciaire d’intérêt public constitue l’autre pilier. La cour d’appel de Paris a eu l’occasion de connaître, dans une affaire du 16 mai 2024, des conséquences d’une CJIP conclue entre le procureur de la République financier et deux filiales du groupe Bouygues pour des faits de corruption, en rappelant que la signature d’une telle convention n’emporte pas reconnaissance de culpabilité mais constitue une alternative aux poursuites pénales (CA Paris, 16 mai 2024, n° 23/17151). La coexistence de ces deux mécanismes – sanction administrative par l’AFA d’une part, CJIP d’autre part – dessine un dispositif répressif à plusieurs étages dont la complémentarité renforce l’effectivité de la politique française de lutte contre la corruption. La décision du 9 juillet 2026 en constitue le premier étage, celui de la sanction des manquements aux obligations préventives, indépendamment de la commission effective d’actes de corruption.

En conséquence, les dirigeants de sociétés commerciales doivent désormais intégrer que le défaut de mise en œuvre d’un dispositif de compliance anticorruption n’est plus seulement un manquement à une obligation légale théorique, mais une infraction sanctionnée pécuniairement, dont la commission peut en outre constituer un élément à charge dans le cadre d’actions en responsabilité civile ou d’une éventuelle action en responsabilité pour insuffisance d’actif. Le quantum des sanctions prononcées, bien que modéré au regard des plafonds légaux, fixe un premier référentiel qui ne manquera pas d’évoluer à la hausse au fur et à mesure du développement du contentieux. L’article 131-38 du code pénal, qui prévoit que « le taux maximum de l’amende applicable aux personnes morales est égal au quintuple de celui prévu pour les personnes physiques par la loi qui réprime l’infraction » (art. 131-38 C. pén.), rappelle l’échelle des sanctions pénales encourues en cas de poursuites distinctes de la procédure administrative.

B. La portée préventive et dissuasive : vers un renforcement de la compliance en droit des affaires

Au-delà de sa portée répressive immédiate, la décision du 9 juillet 2026 emporte des conséquences préventives considérables pour l’ensemble des entreprises assujetties à la loi Sapin II. D’abord, elle lève l’incertitude qui pesait sur l’effectivité du dispositif : les entreprises ne peuvent plus considérer que le défaut de mise en conformité restera sans conséquence financière. Ensuite, elle confirme que la cartographie des risques constitue l’obligation matricielle, celle dont le respect conditionne la validité de l’ensemble du dispositif de compliance. En effet, la Commission a retenu que l’absence de cartographie des risques finalisée au jour du contrôle rendait impossible le respect des autres obligations – évaluation des tiers, contrôles comptables, formation, contrôle interne – qui supposent toutes une identification préalable et hiérarchisée des risques. Cette approche est cohérente avec la logique préventive du texte, qui entend responsabiliser les entreprises en amont de la commission d’infractions, et non les sanctionner a posteriori pour des faits de corruption avérés.

Dès lors, les dirigeants doivent intégrer la compliance anticorruption dans leur stratégie de gouvernance, au même titre que la tenue d’une comptabilité régulière ou la publication des comptes annuels. Le défaut de cartographie des risques devient un marqueur de négligence susceptible d’être retenu contre le dirigeant dans le cadre de tout contentieux commercial ou pénal. La cour d’appel de Paris, dans la décision précitée du 17 juin 2025 relative au plan de vigilance de La Poste, a d’ailleurs souligné que l’analogie entre le devoir de vigilance et les obligations de la loi Sapin II n’était pas fortuite, les deux dispositifs partageant « une description générale des piliers composant le dispositif d’ensemble » (CA Paris, 17 juin 2025, n° 24/05193). Cette convergence des régimes de compliance – vigilance, anticorruption, protection des données personnelles – impose aux entreprises une approche intégrée de la conformité, dont la mise en œuvre requiert des moyens humains et financiers significatifs.

Par ailleurs, la décision du 9 juillet 2026 comporte un enseignement implicite mais déterminant concernant la question de l’anonymisation. En faisant droit à la demande d’anonymisation dans cette première décision de condamnation, la Commission a entendu préserver l’entreprise sanctionnée du risque réputationnel, qui constitue pourtant, selon la doctrine, le risque majeur pour les entreprises en matière de compliance. Il est toutefois probable que cette réserve tombe à mesure que le contentieux se développera, comme cela a été observé dans d’autres contentieux de la compliance, et que l’enjeu pour les entreprises se déplacera de la contestation de la sanction vers la démonstration du caractère disproportionné d’une publication nominative. Les dirigeants devront anticiper cette évolution en documentant avec précision les diligences accomplies pour se conformer à leurs obligations, de manière à pouvoir démontrer leur bonne foi et l’effectivité des mesures déployées.

Enfin, la décision s’inscrit dans un contexte de montée en puissance de l’AFA, dont les moyens de contrôle ont été renforcés par la loi de programmation de la justice 2023-2027, et qui a significativement accru le nombre de contrôles diligentés depuis 2024. Les dirigeants doivent donc s’attendre à une intensification des contrôles et, partant, à une multiplication des décisions de sanction, ce qui contribuera à préciser les standards attendus en matière de compliance anticorruption. La Commission des sanctions a d’ailleurs expressément réservé la question de la présomption de validité de la cartographie des risques posée dans la décision n° 19-02 du 7 février 2020, ce qui laisse augurer de développements jurisprudentiels futurs sur la charge de la preuve en matière de conformité du dispositif anticorruption. Les entreprises qui auront anticipé ces exigences en déployant un dispositif robuste et documenté seront en mesure de bénéficier de cette présomption de conformité, tandis que celles qui auront différé leur mise en conformité s’exposeront à des sanctions potentiellement plus lourdes.

Conclusion

La première sanction prononcée par la Commission des sanctions de l’Agence française anticorruption le 9 juillet 2026 constitue un tournant pour le droit de la compliance anticorruption en France. Elle met un terme à une décennie d’incertitude sur l’effectivité du dispositif répressif de la loi Sapin II et fixe un premier référentiel de sanctions dont la portée dissuasive ne saurait être sous-estimée. La double sanction de la personne morale et de la personne physique du dirigeant rappelle que les obligations de compliance ne sont pas seulement des obligations de moyens pesant sur la société, mais également des obligations personnelles dont la violation expose le dirigeant à des sanctions pécuniaires directes. L’articulation entre cette sanction administrative et le régime de la responsabilité civile des dirigeants, fondé sur les articles L. 225-251 et L. 227-8 du code de commerce, ouvre la voie à un contentieux de la compliance dont les contours restent à préciser. La cartographie des risques, érigée en obligation matricielle, devient le point de passage obligé de toute stratégie de conformité, et son défaut expose l’entreprise à une cascade de griefs dont la sanction pécuniaire n’est que la première manifestation. Les dirigeants avisés devront intégrer ces exigences dans leur gouvernance sans attendre la prochaine décision de la Commission, dont il est permis de penser qu’elle sera moins clémente quant au quantum des sanctions et à l’anonymisation de la décision.