La loi Sapin 2, loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, est le texte de référence de la lutte anticorruption en France. Elle a créé l'Agence française anticorruption (AFA), un statut général du lanceur d'alerte, la convention judiciaire d'intérêt public et, à son article 17, l'obligation pour les grandes entreprises de déployer un programme de prévention de la corruption. Cette page en donne la vue d'ensemble : ce que contient la loi, ses dates clés et ses grands mécanismes. Chaque obligation a ensuite son guide détaillé, signalé au fil des sections.
Qu'est-ce que la loi Sapin 2 ?
« Sapin 2 » est le nom d'usage de la loi n° 2016-1691 du 9 décembre 2016. Il vient de Michel Sapin, ministre de l'Économie et des Finances qui l'a portée, et la distingue de la première loi Sapin, la loi n° 93-122 du 29 janvier 1993 relative à la prévention de la corruption et à la transparence de la vie économique et des procédures publiques.
Le texte répond à un constat de l'OCDE : avant 2016, la France ne condamnait quasiment aucune entreprise pour corruption d'agent public étranger, et ses grands groupes étaient poursuivis par les autorités américaines ou britanniques. Sapin 2 a donc changé de logique : l'entreprise ne répond plus seulement des faits de corruption commis, elle doit aussi démontrer qu'elle a mis en place les moyens de les prévenir.
Les grands volets de la loi
- Agence française anticorruption (articles 1 à 5) : un service à compétence nationale, placé auprès du ministre de la Justice et du ministre chargé du Budget, qui succède au Service central de prévention de la corruption (SCPC).
- Lanceurs d'alerte (articles 6 à 16) : une définition générale du lanceur d'alerte, une procédure de signalement et une protection contre les représailles.
- Programme anticorruption des grandes entreprises (article 17) : huit mesures obligatoires, contrôlées par l'AFA.
- Convention judiciaire d'intérêt public (article 22, qui crée l'article 41-1-2 du Code de procédure pénale) : une transaction pénale qui permet à une personne morale d'éviter un procès contre une amende d'intérêt public et un programme de mise en conformité sous le contrôle de l'AFA.
- Représentants d'intérêts (article 25) : un répertoire public des lobbyistes, tenu par la Haute Autorité pour la transparence de la vie publique (HATVP).
Sapin 1 et Sapin 2 : ce qui a changé
La loi de 1993 visait surtout la transparence des marchés publics, de la publicité et du financement, et elle avait créé le SCPC, un service sans pouvoir de contrôle ni de sanction. La loi de 2016 change d'échelle : elle impose aux grandes entreprises un dispositif de prévention, confie son contrôle à une agence dotée d'une commission des sanctions, et protège ceux qui signalent les manquements.
Les dates clés de la loi Sapin 2
- 9 décembre 2016 : promulgation de la loi n° 2016-1691, publiée au Journal officiel du 10 décembre 2016.
- Mars 2017 : installation de l'AFA, qui remplace le SCPC.
- 1er juin 2017 : entrée en vigueur de l'article 17, et donc de l'obligation de programme anticorruption pour les entreprises assujetties.
- 1er juillet 2017 : ouverture du répertoire des représentants d'intérêts de la HATVP.
- 1er janvier 2018 : obligation pour les employeurs d'au moins 50 salariés de disposer d'une procédure de recueil des signalements (décret n° 2017-564 du 19 avril 2017).
- 12 janvier 2021 : publication au Journal officiel des recommandations de l'AFA, qui remplacent celles de décembre 2017 et restent le référentiel des contrôles.
- 21 mars 2022 : loi n° 2022-401, dite loi Waserman, qui réécrit le régime des lanceurs d'alerte (entrée en vigueur le 1er septembre 2022).
- Juillet 2026 : premières sanctions pécuniaires de la commission des sanctions de l'AFA pour manquement à l'article 17.
Qui est concerné par l'article 17 ?
L'obligation de programme anticorruption ne vise que les grandes entreprises. Les sociétés, et les sociétés mères de groupes dont le siège est en France, y sont soumises quand elles réunissent deux conditions cumulatives : au moins 500 salariés, et un chiffre d'affaires (ou chiffre d'affaires consolidé) supérieur à 100 millions d'euros. Les présidents, directeurs généraux et gérants en répondent personnellement.
Le calcul au niveau du groupe, le sort des filiales et des sociétés étrangères, et le cas des PME entraînées par les exigences de leurs clients sont traités dans notre guide sur les entreprises concernées par la loi Sapin 2 et leurs seuils.
L'article 17 et ses huit mesures
L'article 17 impose de « prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence ». Son paragraphe II en liste huit, dans cet ordre :
- Un code de conduite, intégré au règlement intérieur.
- Un dispositif d'alerte interne.
- Une cartographie des risques de corruption, régulièrement actualisée.
- Des procédures d'évaluation des clients, fournisseurs de premier rang et intermédiaires.
- Des procédures de contrôles comptables.
- Un dispositif de formation des cadres et des personnels les plus exposés, qui doivent recevoir une formation spécifique anticorruption.
- Un régime disciplinaire.
- Un dispositif de contrôle et d'évaluation interne des mesures.
Ce que dit le texte paragraphe par paragraphe est commenté dans notre guide sur l'article 17 de la loi Sapin 2. La mise en oeuvre concrète de chaque mesure, avec des exemples, est dans le guide des 8 piliers de la loi Sapin 2.
L'AFA : recommandations, contrôles et sanctions
L'AFA publie des recommandations qui décrivent ce qu'elle attend d'un programme anticorruption ; la version en vigueur est celle publiée au Journal officiel du 12 janvier 2021. Elle contrôle sur pièces et sur place, et juge l'effectivité des mesures plutôt que l'existence des documents. Son organisation, le déroulé d'un contrôle et la façon de s'y préparer sont détaillés dans notre guide sur l'Agence française anticorruption.
Un manquement constaté peut conduire devant la commission des sanctions de l'AFA. Elle peut enjoindre à l'entreprise d'adapter ses procédures et prononcer une amende dont le plafond est fixé par l'article 17 à 200 000 euros pour une personne physique et 1 million d'euros pour une personne morale. Sa décision n° 25-01 de juillet 2026, la première à prononcer des amendes, a sanctionné une société à hauteur de 350 000 euros et son président à hauteur de 60 000 euros. Ces sanctions administratives sont distinctes des peines pénales encourues pour des faits de corruption, détaillées avec la CJIP dans notre guide sur les sanctions de la loi Sapin 2.
Lanceurs d'alerte et représentants d'intérêts
Le statut du lanceur d'alerte créé par les articles 6 à 16 a été profondément remanié par la loi n° 2022-401 du 21 mars 2022, qui transpose la directive (UE) 2019/1937 : la condition de désintéressement a disparu, le signalement externe direct est ouvert, et la protection s'étend à l'entourage du lanceur d'alerte. Le dispositif d'alerte interne de l'article 17 et la procédure de signalement imposée aux employeurs d'au moins 50 salariés sont deux obligations distinctes, que beaucoup d'entreprises traitent avec un même canal.
Le volet représentants d'intérêts oblige toute personne qui cherche à influencer une décision publique à s'inscrire au répertoire de la HATVP et à déclarer chaque année ses activités et les moyens qu'elle y consacre.
Sapin 2, devoir de vigilance et RGPD
Le devoir de vigilance (loi n° 2017-399 du 27 mars 2017) vise les atteintes aux droits humains, à la santé et à l'environnement, pour des groupes d'au moins 5 000 salariés en France ou 10 000 dans le monde. Il partage avec Sapin 2 deux outils, la cartographie des risques et l'évaluation des tiers, mais ni son périmètre ni son contrôle : il relève du juge, pas de l'AFA.
Côté RGPD, le programme anticorruption traite des données personnelles à deux endroits sensibles : l'évaluation des tiers, qui peut toucher à des données d'infraction (article 10 du RGPD), et le dispositif d'alerte, encadré par le référentiel de la CNIL sur les dispositifs d'alertes professionnelles (délibération n° 2019-139 du 18 juillet 2019). Le DPO a donc sa place dans la conception de ces deux mesures.
Sur la mesure qui repose le plus sur les équipes, la formation, Leto propose un module de sensibilisation anticorruption en micro-learning, avec des parcours par profil et un suivi nominatif des résultats : voir l'offre de sensibilisation.
Questions fréquemment posées
Qu'est-ce que la loi Sapin 2 ?
La loi Sapin 2 est la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique. Elle crée l'Agence française anticorruption, un statut général du lanceur d'alerte, la convention judiciaire d'intérêt public, le répertoire des représentants d'intérêts, et impose aux grandes entreprises un programme de prévention de la corruption en huit mesures (article 17).
Quelle est la date de la loi Sapin 2 ?
La loi a été promulguée le 9 décembre 2016 et publiée au Journal officiel le 10 décembre 2016. Ses dispositions sont entrées en vigueur par étapes : l'article 17, qui impose le programme anticorruption, s'applique depuis le 1er juin 2017, et l'obligation de procédure de signalement pour les employeurs d'au moins 50 salariés depuis le 1er janvier 2018.
Quelle est la différence entre la loi Sapin 1 et la loi Sapin 2 ?
La loi Sapin 1 (loi n° 93-122 du 29 janvier 1993) portait sur la transparence des marchés publics, de la publicité et du financement, et avait créé le Service central de prévention de la corruption, sans pouvoir de sanction. La loi Sapin 2 remplace ce service par l'AFA, impose un programme anticorruption aux grandes entreprises, protège les lanceurs d'alerte et encadre la représentation d'intérêts.
La loi Sapin 2 a-t-elle été modifiée depuis 2016 ?
Oui, principalement sur les lanceurs d'alerte : la loi n° 2022-401 du 21 mars 2022, dite loi Waserman, a réécrit leur définition et leur protection pour transposer la directive (UE) 2019/1937. L'article 17 et ses huit mesures n'ont pas changé ; ce qui a évolué, ce sont les recommandations de l'AFA, dont la version de référence est publiée au Journal officiel du 12 janvier 2021.
Qu'est-ce qu'un lanceur d'alerte au sens de la loi Sapin 2 ?
C'est une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, ou une violation du droit. Elle est protégée contre les représailles et peut choisir entre un signalement interne et un signalement externe auprès d'une autorité.
Loi Sapin 2 et devoir de vigilance : quelle différence ?
La loi Sapin 2 vise la corruption et le trafic d'influence, à partir de 500 salariés et 100 millions d'euros de chiffre d'affaires, sous le contrôle de l'AFA. Le devoir de vigilance (loi n° 2017-399 du 27 mars 2017) vise les atteintes aux droits humains et à l'environnement, à partir de 5 000 salariés en France ou 10 000 dans le monde, sous le contrôle du juge. Les deux reposent sur une cartographie des risques et une évaluation des tiers.
Loi Sapin 2 et RGPD : quels liens ?
Deux mesures de l'article 17 traitent des données personnelles : le dispositif d'alerte interne, encadré par le référentiel de la CNIL sur les alertes professionnelles (délibération n° 2019-139 du 18 juillet 2019), et l'évaluation des tiers, qui peut porter sur des données d'infraction soumises à l'article 10 du RGPD. Ces traitements doivent figurer au registre et respecter les durées de conservation du référentiel.
