Le manager risques et compliance d'une société spécialisée dans la cybersécurité constate, à l'occasion de ses revues de conformité, des paiements à des tiers destinés à faciliter l'obtention de commandes dans des pays d'Asie, pour un montant de plus de 3 millions d'euros. Il en fait part au comité des risques, auquel participent plusieurs membres du comité exécutif de la société. Un plan d'action est validé par le comité exécutif, qui comprend des mesures de prévention et de détection des risques identifiés, et notamment l'interdiction de contracter avec 47 tiers agents, dits « blacklistés ». Deux mois plus tard, le responsable de la compliance fait part au comité des risques de pratiques persistantes, tandis que la direction de l'entreprise valide des paiements à des tiers en exécution d'engagements antérieurs à l'interdiction de contracter. Le manager fait remarquer que les tiers blacklistés ont été remplacés par 20 nouveaux tiers. Après une dernière alerte lancée à sa hiérarchie, il démissionne de son poste et dénonce les faits au parquet national financier (PNF), documents à l'appui.
Le PNF ouvre une enquête préliminaire pour corruption d'agent privé et public étranger. Il entend l'ancien compliance officer, lanceur d'alerte, en qualité de témoin. Ce dernier lui remet des documents faisant état, notamment, de pressions de la part de clients pour recevoir des paiements de la société en référence à des commandes. Après la perquisition menée par le PNF dans les locaux de la société, la direction décide de mener une enquête interne et entame une coopération avec le parquet, aboutissant à la signature d'une convention judiciaire d'intérêt public (CJIP).
La CJIP prévoit le versement d'une amende de plus de 16 millions d'euros, le transfert à l'Etat des avoirs saisis durant la procédure et l'obligation de se soumettre à un programme de mise en conformité d'une durée de trois ans, sous le contrôle de l'Agence française anticorruption.
A noter :
1° Cette 25e CJIP signée par le PNF est une illustration intéressante des difficultés pratiques rencontrées par les responsables compliance dans certaines entreprises lorsqu'ils constatent des faits de corruption. Il peut en effet être tentant pour les directions de privilégier le maintien de relations commerciales anciennes plutôt que de mettre fin aux pratiques illégales qui les accompagnent, le risque d'affecter négativement les résultats de l'entreprise pesant plus lourdement dans la balance.
Cette convention souligne aussi l'importance pour les compliance officers d'obtenir un réel engagement de l'instance dirigeante, tel que prévu par l'article 17 de la loi Sapin 2, et non de simples déclarations d'intention non suivies d'effet. Elle montre la priorité qui doit être donnée au traitement des alertes en interne, dès que des soupçons de fraude émergent.
2° La signature d'une CJIP requiert une coopération de bonne foi de la personne morale, le parquet attendant de celle-ci qu'elle ait activement participé ou souhaite participer à la manifestation de la vérité au moyen d'une enquête interne sur les faits, sur les personnes impliquées et, le cas échéant, sur les dysfonctionnements du système de conformité qui ont favorisé la commission des faits (Lignes directrices du PNF sur la CJIP du 16-1-2023 n° 2.1.3).
On pouvait se demander si c'était bien le cas dans cette affaire, l'enquête interne n'ayant été menée qu'à l'issue de la perquisition dans les locaux de la société, alors que de nombreuses alertes avaient auparavant déjà été émises par le compliance officer démissionnaire mais non suivies d'effet. La CJIP retient toutefois, au titre des facteurs minorant l'amende d'intérêt public, la pertinence des investigations internes menées dans la société ainsi que sa coopération active au cours de l'enquête pénale. Il n'est donc jamais trop tard pour mettre fin à des pratiques illicites.
