Loi Sapin 2 : le guide complet de mise en conformité pour les donneurs d’ordres (2026)

Les donneurs d’ordres assujettis à la loi Sapin 2 doivent déployer les 8 mesures anticorruption de l’article 17 et évaluer l’intégrité de l’ensemble de leurs tiers (clients, fournisseurs, sous-traitants, prestataires et intermédiaires). La rédaction de Provigis fait le point sur le périmètre, les obligations, les sanctions et l’évaluation des tiers.

Qu’est-ce que la loi Sapin 2 ?

La loi n° 2016-1691 du 9 décembre 2016 (entrée en vigueur le 1er juin 2017) porte sur la transparence, la lutte contre la corruption et la modernisation économique. Elle tire son nom de Michel Sapin. Succédant à la loi de 1993, elle répond aux remarques de l’OCDE et aux affaires médiatisées (Cahuzac, Panama Papers, « Air Cocaïne »).

La loi impose 8 mesures (article 17) et a acté :

• La création de l’Agence Française Anticorruption (AFA)
• Un statut protecteur pour les lanceurs d’alerte
• La convention judiciaire d’intérêt public (CJIP) sans procès
• L’encadrement du lobbying via un registre à la HATVP.

💡 L’Agence Française Anticorruption (AFA)

L’AFA a remplacé le Service Central de Prévention de la Corruption (SCPC). Elle publie régulièrement des recommandations à destination des entreprises, contrôle la qualité de leurs dispositifs anticorruption et peut saisir la Commission des sanctions en cas de manquement.

Qui est concerné par la loi Sapin 2 ?

L’article 17 vise les sociétés et EPIC de plus de 500 salariés et 100 M€ de CA, mais s’étend aux filiales, administrations, dirigeants et sous-traitants.

1. Les entreprises et les filiales

Assujettissement selon deux critères cumulatifs :

• Au moins 500 salariés (ou effectif groupe) ;
• Plus de 100 M€ de chiffre d’affaires (ou CA consolidé).

Lorsque la société mère est en France et dépasse ces seuils, l’obligation anticorruption « ruisselle » vers toutes les filiales qu’elle contrôle, en France comme à l’étranger, quel que soit leur effectif ou leur chiffre d’affaires propre. En revanche, les filiales françaises d’un groupe étranger ne sont assujetties que si elles atteignent elles-mêmes les deux critères cumulatifs.

💡 Les EPIC et la loi Sapin 2

Les établissements publics à caractère industriel et commercial (EPIC), c’est-à-dire les entités publiques qui exercent une activité commerciale (SNCF, CEA, RATP, etc.), sont soumis à l’article 17 dans les mêmes conditions que les sociétés privées.

2. Les administrations et le secteur public

Soumises à l’article 3 sans condition de seuil. L’AFA peut contrôler et recommander, mais n’a pas de pouvoir de sanction. En 2024, l’AFA a mené 27 contrôles (dont 17 publics). Elle a publié un guide avec l’AMF et annoncé en février 2025 des contrôles dans les grands ports maritimes.

3. Les dirigeants et les personnes physiques

Les présidents, directeurs généraux et gérants sont personnellement responsables. Les salariés (protégés par le statut de lanceur d’alerte, renforcé par la loi Waserman de 2022) participent à la détection sans risquer de représailles.

4. Les TPE et PME

Non assujetties légalement, elles sont incitées à se conformer par leurs clients grands comptes via des clauses contractuelles. Elles doivent souvent :

• Appliquer un code de conduite signé par la direction ;
• Remplir un questionnaire Sapin 2 (bénéficiaires effectifs, pays à risque, etc.) ;
• Prouver la vérification de leurs propres sous-traitants.

Pour aller plus loin, consultez notre article « Loi Sapin 2 : qui est concerné ? »

💡 Le guide AFA pour les PME

Approche progressive recommandée (cartographie des risques et code de conduite d’abord).

Quelles sont les 8 mesures obligatoires de la loi Sapin 2 ?

Quelles sanctions en cas de manquement à la loi Sapin 2 ?

Trois mécanismes existent (avec risque de préjudice réputationnel) :

• Sanctions administratives (AFA) : pour manquement au dispositif (avertissement, injonction sous 3 ans, amende).
• Sanctions pénales : en cas d’infraction avérée.
• CJIP : transaction avec le parquet sans reconnaissance de culpabilité.

Type de sanction :

💡 Les CJIP en chiffres (2026)

27 CJIP ont été publiées sur le site de l’AFA entre 2017 et 2026. Par exemple, le groupe PAPREC a dû régler une amende dépassant 17 millions d’euros en 2025. La liste complète est consultable sur le site de l’AFA et du ministère de la Justice.

Comment évaluer la conformité de ses tiers ?

Selon l’AFA, 59 % des entreprises trouvent cette mesure complexe. Elle recommande de classer les tiers en Groupes de Tiers Homogènes (GTH) pour adapter la due diligence.

L’évaluation porte sur :

• L’identité et les bénéficiaires effectifs (Kbis) ;
• L’exposition aux risques (pays, secteur) ;
• Le screening (sanctions, PEP, presse négative) ;
• L’existence d’un code de conduite anticorruption chez le tiers et le questionnaire Sapin 2.

💡 La solution Provigis

Provigis automatise la collecte documentaire, les questionnaires Sapin 2 et le screening anticorruption (Altares InDueD, EQS Group, Creditsafe). Un score de risque par tiers définit les diligences à appliquer, et les preuves sont archivées avec valeur probante pour l’AFA.

FAQ : nos réponses à vos questions