Dix ans après son adoption, la loi Sapin 2 a profondément transformé la manière dont les entreprises gèrent les risques liés à leurs tiers. Désormais, l’enjeu n’est plus seulement d’évaluer un partenaire au début de la relation, mais de disposer d’une vision fiable et actualisée du risque tout au long de son cycle de vie.

En décembre 2026, la loi Sapin 2 fêtera ses dix ans. Une décennie au cours de laquelle la conformité s’est progressivement imposée comme une fonction stratégique, aux enjeux juridiques, financiers, d’achats et de gestion des risques.

Dans son livre blanc consacré aux 10 ans de la loi Sapin 2, notre partenaire Aprovall revient sur cette transformation et sur les nouveaux défis auxquels sont confrontées les entreprises.

De la conformité réglementaire à la maîtrise globale des risques

La loi Sapin 2 a instauré un cadre structuré en matière de prévention de la corruption : cartographie des risques, évaluation des tiers, dispositif d’alerte interne…

Dix ans plus tard, l’évaluation des tiers n’est plus une simple formalité administrative. Fournisseurs, clients, partenaires commerciaux, sous-traitants ou intermédiaires peuvent exposer l’entreprise à des risques multiples : corruption, fraude, sanctions internationales, atteinte à la réputation ou encore risques financiers.

Dans le même temps, les équipes Compliance doivent traiter des volumes d’informations toujours plus importants : questionnaires, documents réglementaires, listes de sanctions, Personnes Politiquement Exposées (PPE), bénéficiaires effectifs, presse négative, données financières ou critères ESG.

L’évaluation ponctuelle des tiers ne suffit plus

C’est probablement l’un des changements les plus importants de ces dix dernières années. Évaluer un tiers au moment de son onboarding ne suffit plus. Une entreprise peut voir sa situation financière se dégrader, faire l’objet d’une sanction, connaître un changement d’actionnariat ou être associée à une controverse.

La conformité évolue donc progressivement d’une logique de contrôle ponctuel vers une logique de surveillance continue avec des réévaluations régulières.

La donnée : socle de la Due Diligence

Une Due Diligence n’est pertinente que si les données sur lesquelles elle repose sont suffisamment fiables, actualisées et complètes. Évaluer un tiers peut nécessiter de croiser de multiples informations : identité de l’entreprise, dirigeants, actionnaires, bénéficiaires effectifs, structure capitalistique, sanctions internationales, Personnes Politiquement Exposées… C’est sur cet enjeu qu’intervient indueD, la solution de conformité d’Altares. Elle permet notamment de faciliter les processus de KYC (Know Your Customer) et de KYS (Know Your Supplier), d’effectuer des opérations de screening et de contribuer à l’identification et à la surveillance des bénéficiaires effectifs à l’échelle internationale.  Elle croise les informations relatives aux entreprises et dirigeants avec plus de 700 listes de sanctions et de vigilance, tout en s’appuyant sur les données Altares – Dun & Bradstreet pour restituer une vision structurée des organisations et de leurs liens capitalistiques.

L’IA permet de recentrer les équipes sur l’analyse du risque

Mais disposer de davantage de données ne suffit pas. Encore faut-il pouvoir les exploiter efficacement. Les équipes conformité sont notamment confrontées à la gestion des faux positifs générés par les opérations de screening. Leur analyse peut représenter une charge importante et détourner les experts de tâches à plus forte valeur ajoutée.

L’IA intégrée à indueD contribue à réduire le temps consacré au traitement de ces faux positifs. L’objectif : permettre aux analystes de consacrer davantage de temps à ce qui nécessite réellement leur expertise, l’analyse du risque et la prise de décision.

Aprovall et Altares : deux expertises complémentaires pour piloter le risque tiers

Aprovall orchestre les processus d’évaluation des tiers, la collecte documentaire et leur onboarding, tandis que les données Altares et les capacités de Due Diligence d’indueD viennent alimenter et sécuriser la prise de décision. Cette complémentarité se traduit déjà concrètement dans les organisations.

La Société des Grands Projets a notamment connecté Aprovall à indueD afin d’automatiser le scoring dans le cadre de son dispositif Sapin 2. L’organisation souligne notamment des gains en matière de centralisation, de traçabilité et de réactivité.

Autre exemple : Antin Résidences a intégré l’évaluation de probité via indueD à son processus de création et d’évaluation des tiers. Plus de 250 collaborateurs utilisent la solution au sein de cinq entités.

L’industrialisation de la conformité

Trois enjeux se dessinent : industrialiser les processus pour passer d’une gestion fragmentée à une gestion centralisée et auditable ; piloter les risques en continu pour détecter plus rapidement les signaux faibles ; et enfin créer de la valeur, en faisant de la conformité un véritable outil de gouvernance et d’aide à la décision.

La question n’est donc plus seulement : « Avons-nous évalué ce tiers ? » Elle devient : « Disposons-nous, aujourd’hui, des bonnes informations pour continuer à travailler avec lui en confiance ? »

Dix ans après Sapin 2, c’est sans doute là que se situe le prochain cap de la conformité : passer d’une obligation de contrôle à une véritable culture de la vigilance et de la confiance, fondée sur une donnée fiable, actualisée et exploitable.