Faut-il évaluer tous les tiers ? Oui pour les clients, les fournisseurs de premier rang et les intermédiaires visés par la loi Sapin II, mais pas avec la même intensité : la profondeur des vérifications suit le niveau de risque de chacun. La méthode tient en trois gestes, classer les tiers, adapter les vérifications, puis revoir l’évaluation dans le temps.
Évaluation des tiers : ce que la loi impose et à qui
L’article 17 de la loi Sapin II s’adresse aux sociétés qui emploient au moins 500 salariés, ou qui appartiennent à un groupe dont la société mère atteint ce seuil, et dont le chiffre d’affaires (consolidé pour un groupe) dépasse 100 millions d’euros. Les deux critères se cumulent.
Parmi les huit mesures du dispositif anticorruption, la quatrième demande des procédures d’évaluation des clients, des fournisseurs de premier rang et des intermédiaires au regard de la cartographie des risques. Les agents commerciaux, les apporteurs d’affaires et les commissionnaires entrent donc dans le champ au même titre qu’un fournisseur classique.
Une PME non assujettie n’a pas cette obligation légale. Elle y est pourtant confrontée dès qu’un grand donneur d’ordre lui demande un questionnaire ou des garanties sur son propre dispositif : s’en inspirer à l’avance évite de découvrir le sujet dans l’urgence d’un appel d’offres. Le devoir de vigilance des très grands groupes ajoute une exigence distincte, qui porte sur les droits humains et l’environnement.
Pourquoi un contrôle uniforme de tous les tiers est une erreur
L’Agence française anticorruption (AFA) recommande une approche par les risques, dans son avis publié au Journal officiel du 12 janvier 2021. Les tiers sont répartis en groupes aux profils de risque comparables, et la nature et la profondeur de l’évaluation varient selon le groupe. Les groupes jugés peu ou pas risqués peuvent ne pas faire l’objet d’une évaluation, alors que les plus risqués appellent une évaluation approfondie.
Appliquer le même questionnaire à des centaines de partenaires dilue l’effort : les équipes passent leur temps sur des dossiers sans enjeu, et les tiers sensibles reçoivent la même attention que les autres. Le point de départ reste la cartographie des risques, que le rôle de l’organisation interne rend exploitable : sans responsables identifiés, la grille de classement reste un document sans suite.
Classer ses tiers selon leur niveau de risque
Le classement repose sur quelques critères que l’avis de l’AFA évoque à propos des scénarios de risque : la nature du tiers, son secteur d’activité, les conditions de paiement et la présence de personnes politiquement exposées. L’entreprise y ajoute les siens selon son activité.
- Le pays d’implantation et les pays où le tiers intervient pour le compte de l’entreprise.
- La nature et le poids de la relation : un prestataire occasionnel de fournitures n’expose pas comme un intermédiaire chargé d’obtenir un marché.
- Les contacts avec des agents publics et le mode de rémunération, notamment les commissions liées à l’obtention d’un contrat.
Une grille à trois niveaux suffit pour démarrer : risque faible, moyen ou élevé. Chaque tiers reçoit un niveau au moment de l’entrée en relation, puis le conserve tant qu’aucun élément ne le remet en cause.
Adapter les vérifications à chaque niveau
Pour un tiers à risque faible, la vérification se limite à l’identité et à l’immatriculation de l’entreprise. L’avis de l’AFA décrit des évaluations qui vont d’une simple recherche en sources ouvertes à une enquête approfondie, avec la possibilité d’adresser un questionnaire au tiers.
Pour un tiers à risque élevé, les mesures de vigilance approfondies comprennent la recherche des bénéficiaires effectifs et des antécédents judiciaires, le questionnaire détaillé, un entretien et des clauses contractuelles dédiées. L’AFA cite aussi la surveillance des flux financiers.
L’évaluation débouche sur une décision : entrer en relation, la poursuivre avec des mesures adaptées, ou y mettre fin. Les attentes d’un client envers un fournisseur fiable, détaillées dans les clés pour devenir un bon fournisseur, montrent le type de garanties qu’un tiers doit être prêt à fournir.
Revoir l’évaluation dans le temps
Une évaluation n’est pas figée à la signature du contrat. Elle se renouvelle périodiquement selon la situation du tiers, et la fréquence est plus rapprochée pour un tiers à risque élevé que pour un tiers à risque faible.
Certains événements déclenchent une réévaluation immédiate : un changement d’actionnaire, une fusion-acquisition, une alerte sur le tiers, l’ouverture d’une activité dans un nouveau pays ou un refus de fournir des informations. La démarche rejoint celle décrite dans les étapes de l’amélioration continue : mesurer, corriger, recommencer.
Chaque décision doit rester traçable, car l’AFA contrôle l’existence et le fonctionnement du dispositif. En cas de manquement, la commission des sanctions peut prononcer une amende administrative pouvant atteindre 1 000 000 euros pour une personne physique et 5 000 000 euros pour une personne morale, plafonds relevés par la loi du 22 avril 2024.
Qui porte l’évaluation des tiers dans l’entreprise
La conformité pilote la méthode et tient la cartographie, mais elle ne peut pas évaluer seule. Les achats connaissent les fournisseurs, les équipes commerciales connaissent les clients et les intermédiaires, et la direction arbitre les cas à risque élevé.
La formation des collaborateurs qui nouent les relations compte autant que la grille : ce sont eux qui remarquent une commission inhabituelle ou une demande de paiement dans un pays tiers. Un responsable qualité habitué à documenter des processus apporte souvent la rigueur nécessaire pour tenir ce registre à jour.
Au bout du compte, un tiers évalué est un tiers dont on peut justifier le niveau de risque, les vérifications menées et la décision prise. Un dossier vide pour un partenaire à risque élevé reste le point faible le plus facile à relever lors d’un contrôle.
