Samir BenzakourTL;DR : La directive européenne anti-corruption 2026/1021, publiée au Journal officiel de l'UE en mars 2026, impose aux États membres une transposition avant le 31 décembre 2026. En France, cela signifie que les dirigeants de PME — y compris ceux de structures de moins de 250 salariés — devront mettre en place des dispositifs de prévention de la corruption avant le 1er janvier 2027. Contrairement à la loi Sapin II, qui ne s'appliquait qu'aux entreprises de plus de 500 salariés, la directive abaisse le seuil et étend les obligations à un spectre bien plus large de dirigeants. Agir maintenant, c'est éviter jusqu'à 5 % du chiffre d'affaires annuel en amendes.
Pourquoi la directive 2026/1021 marque un tournant pour les PME françaises
Pendant des années, la lutte anti-corruption en France a reposé sur un édifice solide mais étroit : la loi Sapin II du 9 décembre 2016. Efficace pour les grandes entreprises, ce texte exemptait de facto les PME de ses obligations les plus lourdes — cartographie des risques, procédures de due diligence, canal d'alerte interne. Résultat : environ 99 % du tissu économique français évoluait sans contrainte formelle en matière de prévention de la corruption.
La directive 2026/1021 du Parlement européen et du Conseil change la donne. Elle harmonise les standards anti-corruption au sein de l'Union européenne, impose des définitions communes des infractions (corruption active et passive, trafic d'influence, abus de pouvoir, détournement), et — point crucial — abaisse le seuil d'application aux entreprises de plus de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires.
Pour la France, ce seuil concerne environ 140 000 PME supplémentaires, selon les données de l'Institut national de la statistique et des études économiques (INSEE, 2025). Ce sont autant de dirigeants qui, jusqu'ici non concernés par Sapin II, doivent désormais s'organiser.
Le contexte européen n'est pas anodin. Plusieurs affaires récentes ont illustré l'exposition des PME à des risques de corruption souvent sous-estimés. L'affaire Bolloré, qui s'instruit actuellement devant les tribunaux français, a rappelé que la corruption d'agents publics étrangers pouvait impliquer des chaînes de sous-traitants de taille modeste. Les PME qui travaillent pour de grands groupes sont désormais dans le viseur.
Qui est concerné : dirigeants et entreprises visés par la directive
Quelles entreprises entrent dans le champ de la directive ?
La directive 2026/1021 définit son périmètre d'application à partir de deux critères alternatifs : l'entreprise emploie au moins 50 salariés ou réalise au moins 10 millions d'euros de chiffre d'affaires annuel. En France, ce double critère suit la définition européenne des PME établie par la recommandation 2003/361/CE de la Commission.
Sont concernées toutes les personnes morales de droit privé exerçant une activité économique, quel que soit leur statut juridique : sociétés à responsabilité limitée (SARL), sociétés par actions simplifiées (SAS), sociétés anonymes (SA), mais aussi les associations à vocation économique et certaines coopératives. Les professions libérales réglementées dont le cabinet dépasse ces seuils sont également incluses.
Qui est « dirigeant » au sens de la directive ?
La directive adopte une définition large du « dirigeant » (article 2, paragraphe 4). Sont visés :
- Les représentants légaux (gérants, présidents, directeurs généraux, directeurs généraux délégués)
- Les membres du conseil d'administration ou de surveillance qui exercent une influence déterminante sur la gestion
- Tout salarié disposant d'un pouvoir de délégation effective sur les décisions à risque de corruption (responsables achats, directeurs commerciaux, responsables des marchés publics)
La notion de délégation de pouvoirs prend ici une importance particulière. Un dirigeant qui délègue sans contrôler peut voir sa responsabilité personnelle engagée si le délégataire commet une infraction de corruption. La jurisprudence française (Cour de cassation, Chambre criminelle, arrêt du 11 mars 2014) confirme ce principe : la délégation n'exonère pas le dirigeant de son obligation de vigilance générale.
« La directive impose une responsabilité fonctionnelle, pas seulement statutaire. Un DG qui laisse son directeur commercial gérer des contrats sans supervision peut être personnellement mis en cause si des pots-de-vin sont versés à un client. »
— Maître Élise Fontaine, avocate au barreau de Lyon, spécialiste en droit pénal des affaires
Les cinq obligations clés à mettre en place avant le 1er janvier 2027
La directive 2026/1021 décompose les mesures de prévention en cinq piliers. Chacun s'applique de manière proportionnée à la taille de l'entreprise — une PME de 60 salariés n'est pas tenue aux mêmes formalités qu'une ETI de 4 000 personnes, mais doit néanmoins prouver qu'elle a mis en place un dispositif adapté.
1. Cartographie des risques de corruption
Le premier pilier exige une identification et une hiérarchisation des risques propres à l'activité. Pour une PME spécialisée dans les marchés publics de travaux, les risques se situent principalement dans les relations avec les acheteurs publics et les procédures d'appel d'offres. Pour un distributeur, ils portent sur les remises commerciales et les relations avec les fournisseurs. La cartographie doit être documentée, datée et révisée tous les deux ans.
2. Code de conduite anti-corruption
La directive impose l'adoption d'un code de conduite formalisé, décrivant les comportements attendus et interdits : politique de cadeaux et d'hospitalité (seuil maximal recommandé : 50 euros par occasion, selon les standards du Conseil de l'Europe), règles en matière de conflits d'intérêts, procédure de déclaration des cadeaux reçus.
3. Canal d'alerte interne sécurisé
Les PME de plus de 50 salariés doivent mettre en place un dispositif permettant aux salariés de signaler en toute confidentialité des actes présumés de corruption. La directive s'articule ici avec la directive européenne 2019/1937 sur la protection des lanceurs d'alerte (transposée en France par la loi du 21 mars 2022). Le canal peut être géré en interne ou externalisé auprès d'un prestataire spécialisé.
4. Due diligence tiers
Toute relation commerciale significative — fournisseur stratégique, intermédiaire commercial, agent à l'export — doit faire l'objet d'une vérification minimale d'intégrité. La directive ne prescrit pas de méthode unique, mais attend une démarche documentée : vérification des actionnaires réels (registre des bénéficiaires effectifs, article L. 561-2-2 du Code monétaire et financier), contrôle des listes de sanctions internationales, recherche d'antécédents judiciaires.
5. Formation et sensibilisation
L'ensemble du personnel exposé à des risques de corruption — et a minima l'ensemble des dirigeants — doit recevoir une formation spécifique. La directive prévoit une fréquence minimale de formation tous les deux ans pour les postes à risque élevé. En France, ces formations peuvent être financées via le Compte personnel de formation (CPF) ou le plan de développement des compétences, sous réserve que l'organisme de formation soit certifié Qualiopi.
À retenir : Ces cinq piliers forment un système interdépendant. Mettre en place un canal d'alerte sans cartographie préalable des risques revient à installer un détecteur de fumée dans une maison dont on n'a pas vérifié l'installation électrique. La conformité doit être systémique.
Articulation avec la loi Sapin II : ce qui change concrètement pour les PME françaises
La loi Sapin II (loi n° 2016-1691 du 9 décembre 2016) reste en vigueur. Elle ne sera pas abrogée par la directive, mais son périmètre d'application sera élargi lors de la transposition française. Voici les différences essentielles entre les deux textes :
| Critère | Loi Sapin II (actuelle) | Directive 2026/1021 (après transposition) |
|---|---|---|
| Seuil d'effectifs | 500 salariés | 50 salariés |
| Champ géographique | France | UE entière (harmonisation) |
| Autorité de contrôle | Agence française anticorruption (AFA) | AFA + coopération OLAF |
| Sanctions dirigeants | Jusqu'à 200 000 € personnellement | Jusqu'à 5 % du CA ou 10 M€ |
| Canal d'alerte | Obligatoire (500+) | Obligatoire (50+) |
| Due diligence tiers | Non obligatoire pour PME | Obligatoire (proportionnée) |
Pour les PME entre 50 et 499 salariés, la directive crée donc une obligation entièrement nouvelle, sans précédent dans le droit français. Pour les entreprises déjà soumises à Sapin II, la directive renforce principalement les exigences de due diligence et de sanctions.
L'Agence française anticorruption (AFA), qui était déjà l'autorité de contrôle pour Sapin II, sera l'interlocuteur naturel pour l'application de la directive transposée. Les PME disposent déjà de ressources gratuites sur le site de l'AFA : guides méthodologiques, modèles de cartographie des risques, templates de codes de conduite — des outils à exploiter prioritairement avant de recourir à un prestataire externe.
Par ailleurs, la réglementation européenne sur la conformité des entreprises s'accélère sur plusieurs fronts, dont la directive NIS2 sur la cybersécurité, qui touche elle aussi les PME critiques. Les dirigeants doivent anticiper une convergence de ces obligations.
Sanctions en cas de manquement : des risques financiers et pénaux réels
Le régime de sanctions prévu par la directive 2026/1021 (article 21) est sensiblement plus sévère que ce que connaissent actuellement les PME françaises. Il distingue deux niveaux.
Sanctions pour les personnes morales
La directive impose aux États membres de prévoir des sanctions financières atteignant au minimum 5 % du chiffre d'affaires annuel mondial de l'entreprise, ou 10 millions d'euros si ce montant est supérieur. Pour une PME réalisant 15 millions d'euros de CA, l'amende maximale théorique atteint 750 000 euros. À ces amendes peuvent s'ajouter des interdictions temporaires de soumissionner aux marchés publics, particulièrement dévastatrices pour les entreprises dont l'activité dépend des contrats publics.
Sanctions pour les dirigeants personnes physiques
Les dirigeants pris personnellement en faute (défaut manifeste de supervision, validation active de pratiques corruptives) s'exposent à :
- Des amendes pouvant atteindre 1 million d'euros à titre personnel
- Une interdiction d'exercer des fonctions de direction pour une durée de 1 à 5 ans
- Des sanctions pénales sous le droit national (en France : jusqu'à 10 ans d'emprisonnement pour corruption active d'agent public étranger, article 435-3 du Code pénal)
L'effet sur la réputation : souvent plus coûteux que l'amende
Au-delà des sanctions formelles, une condamnation anti-corruption entraîne systématiquement une couverture médiatique négative et une perte de confiance des partenaires commerciaux. Une enquête de l'École des hautes études commerciales de Paris (HEC, 2024) estime qu'une entreprise condamnée pour corruption perd en moyenne 23 % de ses clients B2B dans les 18 mois suivant la condamnation.
Les conséquences pratiques pour la conformité des entreprises françaises dans un contexte de répression américaine illustrent que l'exposition au risque ne s'arrête pas aux frontières de l'UE.
Plan d'action en quatre étapes pour se mettre en conformité avant 2027
La période restante — de mai 2026 à janvier 2027 — représente environ sept mois. Ce calendrier est serré mais tenable si l'entreprise adopte une approche méthodique.
Étape 1 : Diagnostic initial (mai – juin 2026)
Commencez par un état des lieux des pratiques existantes. Disposez-vous déjà d'un code de conduite, même informel ? Vos contrats commerciaux contiennent-ils des clauses anti-corruption ? Existe-t-il un dispositif de signalement ? Ce diagnostic peut être conduit en interne par le dirigeant ou le directeur juridique, en s'appuyant sur le questionnaire gratuit publié par l'AFA sur agence-francaise-anticorruption.gouv.fr.
Étape 2 : Cartographie des risques et rédaction du code de conduite (juillet – août 2026)
Sur la base du diagnostic, hiérarchisez les risques (faible / modéré / élevé) et rédigez un code de conduite adapté à votre secteur. Une PME du BTP aura des priorités différentes d'un cabinet de conseil en management. Durée estimée : 3 à 6 semaines avec l'aide d'un avocat ou consultant spécialisé. Budget moyen : entre 3 000 et 8 000 euros HT pour un accompagnement externe, selon la complexité du dispositif.
Étape 3 : Déploiement opérationnel (septembre – octobre 2026)
Mettez en place le canal d'alerte (solution SaaS dédiée ou adresse e-mail sécurisée pour les PME de 50 à 99 salariés), organisez les premières formations pour les postes à risque, et intégrez des clauses anti-corruption dans vos contrats fournisseurs types.
Étape 4 : Contrôle et documentation (novembre – décembre 2026)
Vérifiez que l'ensemble du dispositif est opérationnel, documenté et traçable. Conservez les preuves de formation (feuilles d'émargement, attestations), les versions datées du code de conduite et les résultats de la cartographie. En cas de contrôle de l'AFA, la charge de la preuve de la conformité repose sur l'entreprise.
Questions fréquentes sur la directive UE 2026/1021 et les PME françaises
La directive s'applique-t-elle aux PME sans activité internationale ?
Oui. La directive 2026/1021 s'applique à toutes les entreprises dépassant les seuils, qu'elles exercent ou non une activité transfrontalière. La corruption peut se produire dans des relations purement nationales — entre un fournisseur local et un acheteur privé français — et entre également dans le champ des infractions harmonisées par la directive.
Une micro-entreprise ou un auto-entrepreneur est-il concerné ?
Non. Les seuils de 50 salariés ou 10 millions d'euros de chiffre d'affaires excluent de facto les auto-entrepreneurs et la très grande majorité des micro-entreprises. Toutefois, si votre micro-entreprise travaille pour un sous-traitant lui-même soumis à la directive, vous pourrez être contractuellement tenu à des engagements anti-corruption via des clauses imposées dans les contrats.
Faut-il désigner un responsable de la conformité dédié ?
La directive ne l'impose pas expressément pour les PME. Elle exige en revanche que la personne chargée du dispositif anti-corruption soit clairement identifiée et dispose d'une autorité suffisante. Dans une PME de 50 à 100 salariés, cette fonction peut être exercée par le dirigeant lui-même ou par un directeur administratif et financier (DAF) avec délégation formalisée.
Quelles sont les ressources disponibles pour se conformer à moindre coût ?
L'AFA met à disposition des outils gratuits : guides sectoriels, modèles de cartographie et de code de conduite, FAQ juridique. La Fédération française du bâtiment (FFB), la Confédération des petites et moyennes entreprises (CPME) et plusieurs chambres de commerce et d'industrie (CCI) ont annoncé des programmes d'accompagnement collectif pour leurs adhérents, à des tarifs négociés. Renseignez-vous auprès de votre CCI régionale.
Que se passe-t-il si la France ne transpose pas la directive dans les délais ?
Si l'État français ne transpose pas la directive avant le 31 décembre 2026, la Commission européenne peut engager une procédure d'infraction. Cependant, les particuliers et entreprises ne peuvent pas invoquer directement une directive non transposée devant un tribunal national français — il faut attendre la loi de transposition. La date butoir de mise en conformité des entreprises sera donc fixée par la loi française de transposition, vraisemblablement publiée au premier semestre 2027.
Avertissement : Les informations présentes sur cette page sont fournies à titre informatif uniquement et ne constituent pas un conseil juridique. Les obligations précises résultant de la directive 2026/1021 dépendront de la loi française de transposition. Consultez un avocat spécialisé en droit de la conformité pour évaluer votre situation personnelle.
