La loi Sapin II impose aux entreprises concernées de mettre en place une procédure d'évaluation de l'intégrité de leurs tiers — clients, fournisseurs, intermdiaires, partenaires. Ce n'est pas une formalité documentaire : c'est l'un des huit piliers du dispositif anticorruption contrôlé par l'Agence Française Anticorruption (AFA). Mal calibrée, l'évaluation des tiers expose l'entreprise à la fois au risque pénal (responsabilité du fait d'un intermédiaire corrupteur) et au risque de sanction administrative. Voici comment construire une démarche défendable, du cadre légal à la pratique opérationnelle, avec un focus sur le corridor France-Maroc.
Sapin II et l'évaluation des tiers : que dit la loi ?
La loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique — dite loi Sapin II — crée à son article 17 une obligation de prévention de la corruption. Elle s'applique aux sociétés (et groupes) employant au moins 500 salariés et réalisant un chiffre d'affaires supérieur à 100 millions d'euros, ainsi qu'aux dirigeants concernés.
L'article 17 détaille huit mesures obligatoires. Parmi elles figure expressément : « des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ». C'est le cœur de ce qu'on appelle l'évaluation des tiers (ou third-party due diligence).
Deux logiques se complètent :
- Une logique de conformité administrative — l'AFA peut contrôler le dispositif et la Commission des sanctions peut prononcer des injonctions et des sanctions pécuniaires.
- Une logique de risque pénal — une entreprise peut voir sa responsabilité engagée pour des faits de corruption commis par un intermédiaire agissant pour son compte. L'évaluation préalable est la première ligne de défense.
Même en dessous des seuils, de nombreuses PME et ETI adoptent une démarche équivalente : elles sont souvent tiers elles-mêmes d'un grand donneur d'ordre soumis à Sapin II, qui leur impose contractuellement une évaluation. La conformité anticorruption se diffuse ainsi « en cascade » dans la chaîne de valeur.
Qui sont les « tiers » à évaluer ?
Le terme « tiers » est volontairement large. Il désigne toute personne physique ou morale avec laquelle l'entreprise entre en relation d'affaires et qui pourrait l'exposer à un risque de corruption. En pratique, on distingue :
- Les clients, en particulier ceux du secteur public ou para-public, et ceux situés dans des juridictions à risque.
- Les fournisseurs de premier rang, dont la sélection peut être l'objet de pots-de-vin ou de surfacturation.
- Les intermédiaires commerciaux — agents, apporteurs d'affaires, consultants, lobbyistes — catégorie la plus sensible, car un paiement à un agent local peut masquer un versement corruptif.
- Les partenaires de co-entreprises (joint-ventures), distributeurs et sous-traitants.
- Les cibles d'acquisition dans une opération de croissance externe (voir notre guide due diligence M&A pour acquéreur).
Tous ces tiers n'appellent pas le même niveau d'effort. C'est tout l'enjeu d'une approche par les risques : concentrer la diligence là où l'exposition est réelle.
La cartographie des risques : socle de l'évaluation
L'évaluation des tiers ne se conçoit pas isolément : elle découle de la cartographie des risques de corruption, autre pilier de l'article 17. La cartographie identifie, hiérarchise et gère les scénarios de corruption auxquels l'entreprise est exposée, selon trois familles de critères :
- Le risque pays — apprécié via des référentiels publics reconnus (indice de perception de la corruption de Transparency International, listes du GAFI, etc.). Voir notre analyse GAFI liste grise et noire 2026.
- Le risque secteur — certains secteurs (extractif, BTP, santé, défense, énergie) sont structurellement plus exposés.
- Le risque transaction / relation — recours à un intermédiaire, marché public, montant inhabituel, modalités de paiement opaques, bénéficiaire effectif dissimulé.
De cette cartographie découle le niveau de diligence appliqué à chaque tiers. Une logique calque sur l'approche par les risques que l'on retrouve en LCB-FT (voir KYC fournisseur 2026) et qui partage l'essentiel de ses outils avec le screening de conformité.
Les trois niveaux de diligence recommandés
L'AFA recommande une approche graduée : l'intensité des vérifications doit être proportionnelle au risque identifié. On distingue classiquement trois niveaux.
| Niveau | Profil de tiers | Diligences typiques |
|---|---|---|
| Standard (allégé) | Tiers à faible risque : fournisseur national hors secteur sensible, faible montant, pas d'intermédiaire. | Vérification d'existence légale (immatriculation, représentant légal), screening sanctions/PEP de base, recherche presse négative rapide. |
| Renforcée | Tiers à risque modéré : secteur ou pays sensible, montant significatif, relation continue. | Identification du bénéficiaire effectif, contrôle actionnariat, antcédents judiciaires des dirigeants, analyse financière, questionnaire d'intégrité signé. |
| Approfondie | Tiers à haut risque : intermédiaire dans un pays à risque, lien avec le secteur public, signaux d'alerte détectés. | Investigation détaillée, vérification des sources de richesse, contrôle sur place ou via prestataire local, validation par le comité conformité. |
Le point clé : chaque décision doit être tracée et datée. En cas de contrôle AFA ou d'enquête, l'entreprise doit pouvoir démontrer pourquoi elle a classé un tiers dans tel niveau et quelles vérifications ont été effectivement menées. Un dispositif sans traçabilité est réputé inexistant.
Les contrôles concrets à mener sur un tiers
Quel que soit le niveau, l'évaluation s'appuie sur un socle de vérifications croisées :
- Existence et identité légale — immatriculation officielle, dirigeants, statuts. En France via le RNE/INPI, Pappers, BODACC ; au Maroc via le Registre du Commerce, l'OMPIC et l'identifiant ICE.
- Bénéficiaire effectif — remonter la chaîne de détention pour identifier les personnes physiques qui contrôlent réellement le tiers (voir identifier l'UBO en France & au Maroc).
- Screening sanctions et PEP — confrontation aux listes de sanctions et à la qualité de personne politiquement exposée. C'est ici qu'un dirigeant lié à un décideur public révèle un risque corruptif (voir screening PEP : obligations et pratique).
- Presse négative et réputation — recherche d'articles, condamnations, enquêtes, scandales.
- Santé financière — un tiers en difficulté est plus enclin à des pratiques douteuses (voir les 7 red flags financiers).
- Questionnaire d'intégrité — déclaration signée du tiers sur ses pratiques anticorruption, ses propres tiers et d'éventuels conflits d'intérêts.
Cas pays à risque et corridor France-Maroc
La dimension internationale démultiplie le risque. Une entreprise française opérant à l'étranger reste soumise au droit français (et parfois au UK Bribery Act ou au FCPA américain en cas de rattachement). Le recours à un intermédiaire local pour « faciliter » l'accès à un marché est le scénario corruptif le plus classique.
Le corridor France-Maroc concentre une activité considérable : de l'ordre de plusieurs milliards d'euros d'échanges annuels et un grand nombre de filiales françaises implantées au Maroc (ordres de grandeur, à vérifier auprès de sources officielles comme la Direction générale du Trésor). Cette intensité d'affaires impose une vigilance spécifique sur les tiers marocains :
- Vérifier l'identité légale côté marocain — RC, ICE, OMPIC, et registres complémentaires (voir les 4 registres marocains à connaître et notre méthode d'évaluation du risque fournisseur France & Maroc).
- Croiser les listes de sanctions — côté marocain, la source de référence pour les gels d'avoirs est la CNASNU (Commission Nationale chargée de l'application des Sanctions prévues par les résolutions du Conseil de Sécurité de l'ONU), qui relaie les listes onusiennes et publie une liste locale. C'est elle, et non l'ANRF, qui publie les désignations.
- Anticiper le contrôle côté conformité — un tiers marocain peut lui-même être soumis à la réglementation LCB-FT locale (voir conformité LCB-FT au Maroc et préparer un contrôle LCB-FT en 2026).
L'enjeu n'est pas de présumer le risque côté Maroc : c'est d'appliquer la même rigueur méthodologique qu'en France, en mobilisant les bons registres officiels. Une évaluation qui s'arrête aux frontières hexagonales est par construction incomplète.
Signaux d'alerte (red flags) à surveiller
L'AFA et la pratique internationale ont identifié des indices récurrents qui doivent déclencher une diligence renforcée :
- Demande de paiement vers un pays tiers ou un compte sans lien avec l'activité du tiers.
- Rémunération d'intermédiaire disproportionnée par rapport à la prestation réelle.
- Réticence du tiers à signer une clause anticorruption ou à documenter son bénéficiaire effectif.
- Structure de détention opaque, société écran ou domiciliation suspecte (voir détecter une société écran).
- Lien familial ou d'affaires entre le tiers et un agent public décisionnaire (PEP).
- Recommandation insistante d'un client public d'utiliser tel intermédiaire précis.
Un signal isolé ne condamne pas le tiers : il appelle un complément d'analyse et une décision motivée. C'est l'accumulation et le contexte qui font le risque.
FAQ : Sapin II et évaluation des tiers
Mon entreprise est en dessous des seuils Sapin II : suis-je concerné ?
L'obligation légale de l'article 17 vise les entreprises d'au moins 500 salariés et plus de 100 M€ de chiffre d'affaires. En dessous, il n'y a pas d'obligation directe ; mais si vous êtes fournisseur ou intermédiaire d'un grand groupe assujetti, celui-ci vous imposera contractuellement une évaluation. De plus, le délit de corruption, lui, s'applique à toutes les entreprises sans seuil : une démarche proportionnée reste recommandée.
Quelle différence entre évaluation des tiers Sapin II et KYC LCB-FT ?
Les deux démarches partagent l'essentiel de leurs outils (identification, bénéficiaire effectif, screening sanctions/PEP, approche par les risques), mais leur finalité diffère. Le KYC LCB-FT vise le blanchiment et le financement du terrorisme ; l'évaluation Sapin II vise la corruption et le trafic d'influence. En pratique, une entreprise mutualise souvent les deux dispositifs. Notre guide KYC fournisseur détaille le socle commun.
À quelle fréquence faut-il réévaluer un tiers ?
L'évaluation n'est pas un acte ponctuel. Il faut prévoir une réévaluation périodique selon le niveau de risque (par exemple annuelle pour les tiers à haut risque) et un déclenchement événementiel : changement de dirigeant, entrée sur une liste de sanctions, presse négative, évolution de la relation commerciale. Un suivi continu (monitoring) est la bonne pratique pour les relations durables.
Que risque l'entreprise si elle ne fait rien ?
Deux types de conséquences : des sanctions administratives prononcées par la Commission des sanctions de l'AFA (injonction de mise en conformité, sanction pécuniaire) et, surtout, l'engagement de sa responsabilité pénale si un intermédiaire commet un acte de corruption pour son compte. S'y ajoute un risque réputationnel majeur. L'évaluation préalable documenttée est la démonstration de bonne foi la plus solide.
Comment automatiser l'évaluation des tiers ?
Le screening manuel ne tient pas à l'échelle de centaines de tiers. Des outils de due diligence permettent d'industrialiser la vérification (existence légale, bénéficiaire effectif, sanctions, PEP, presse, finances) et de produire un rapport tracé. L'intégration via API dans un ERP/CRM permet de déclencher l'évaluation au moment du référencement d'un nouveau tiers (voir intégrer la due diligence dans son ERP/CRM).
Conclusion
L'évaluation des tiers au titre de Sapin II n'est pas une case à cocher : c'est une discipline continue, graduée selon le risque, tracée et régulièrement actualisée. Bien menée, elle protège l'entreprise sur les trois fronts — pénal, administratif et réputationnel — tout en sécurisant ses relations d'affaires, y compris dans des corridors stratégiques comme la France et le Maroc.
RiskSonnar aide les fonctions conformité à structurer cette démarche : vérification croisée d'un tiers en 60 secondes sur 25 sources (sanctions, PEP, presse, registres officiels FR et MA), identification du bénéficiaire effectif et rapport défendable. Notre couverture native du corridor France-Maroc en fait un allié concret de votre dispositif anticorruption. Découvrez notre méthodologie et nos sources, ou lancez une vérification de dirigeant dès maintenant. Nous formulons une recommandation documentée : la décision finale reste la vôtre.