Chapitre 2 -
Gouvernance et compliance

415. Point de départ : l’engagement de la direction. De l’ensemble des référentiels se dégage un même constat : aucun dispositif de prévention de la corruption ne peut être efficace sans un engagement réel, visible et constant de la direction de l’entreprise. Cet engagement se distingue nettement d’une simple prise de position formelle. Il se traduit, en premier lieu, par un affichage : la politique anticorruption de l’entreprise est utilement préfacée par l’instance dirigeante elle-même, qui y rappelle avec fermeté l’importance qu’elle attache à la lutte contre la corruption et son intolérance à l’égard de tout manquement. Mais cet affichage extérieur ne suffit pas : l’engagement doit être réellement vécu au quotidien, ce que la pratique anglo-saxonne résume par la formule du « tone from the top » – le ton donné par la direction se répercutant, ou non, dans le comportement de l’ensemble de l’organisation.

Cet engagement suppose ensuite que l’instance dirigeante consacre au dispositif anticorruption des moyens véritablement suffisants – humains, financiers, mais aussi du temps. Il ne suffit pas de doter la fonction conformité d’un budget : encore faut-il que les dirigeants prennent le temps d’analyser les alertes qui leur sont remontées, de s’intéresser personnellement au fonctionnement du dispositif et à sa mise à jour régulière, et de se rendre disponibles pour la personne en charge de la conformité anticorruption. Cette disponibilité implique, on y reviendra, que cette dernière dispose d’un accès direct à l’instance dirigeante, sans filtre ni intermédiaire susceptible d’en atténuer la portée.

Un dispositif de prévention ne peut fonctionner que si les collaborateurs qui formulent des critiques, posent des questions ou déclenchent une alerte ne craignent aucune forme de répression. L’instance dirigeante doit non seulement s’abstenir de toute sanction à l’égard des lanceurs d’alerte de bonne foi, mais aller plus loin en encourageant activement de telles démarches. Cet encouragement doit lui-même être vécu et non resté lettre morte : les incidents signalés doivent être effectivement investigués, et non balayés sous le tapis, l’entreprise démontrant ainsi, par ses actes, que la transparence qu’elle prône en interne n’est pas un vœu pieux. Le volet disciplinaire participe de la même logique : l’instance dirigeante affiche et applique une tolérance zéro à l’égard des atteintes à la probité, quel que soit le niveau hiérarchique de leur auteur.

Cette exigence de cohérence et d’exemplarité doit, à notre sens, se prolonger au-delà du strict cadre professionnel : un dirigeant qui tolère, dans sa vie privée, des pratiques de « donnant-donnant », des largesses intéressées ou un favoritisme affiché envers son entourage envoie un signal contradictoire qui fragilise inévitablement la crédibilité de son engagement professionnel.

Enfin, cet engagement de l’instance dirigeante n’a de sens que s’il se prolonge et se reproduit à chaque échelon de l’organisation. Le management intermédiaire, puis chaque niveau d’encadrement, doit relayer et incarner à son tour cette même exigence d’intégrité, sous peine de voir le discours de la direction générale s’éroder au fil de la ligne hiérarchique jusqu’à devenir inopérant sur le terrain. C’est à ce prix seulement que l’engagement affiché au sommet se transforme en une véritable culture de conformité, effectivement vécue à tous les niveaux de l’entreprise.

416. Cartographie des risques. On ne saurait développer une politique de prévention efficace, ni allouer intelligemment des ressources à la gestion d’un risque, sans d’abord connaître et évaluer ce risque. Cette évidence méthodologique, n’est pas propre à la lutte contre la corruption ; elle structure la gestion des risques dans de nombreux autres domaines. En matière de sécurité et de santé au travail, par exemple, l’obligation pour l’employeur d’évaluer les risques professionnels auxquels sont exposés ses travailleurs est expressément inscrite dans les textes européens et nationaux¹, et fait l’objet d’une surveillance étroite par l’inspection du travail et de mines, qui met à disposition des employeurs des outils méthodologiques dédiés à cet exercice. Des approches similaires se retrouvent en matière de lutte contre le blanchiment de capitaux.

Au-delà de la seule connaissance des risques, cet exercice permet une allocation optimale des ressources de l’entreprise, selon une approche fondée sur les risques (risk based approach). Plutôt que de traiter tous les risques de manière uniforme, au prix d’un gaspillage de moyens sur des situations peu préoccupantes et d’une négligence de situations réellement à risque, la cartographie permet de concentrer l’effort de conformité là où il produit le plus de valeur.

En matière de lutte anticorruption, à la différence d’autres domaines évoqués ci-dessus, aucune méthodologie spécifique n’est imposée par un texte contraignant, singulièrement au Luxembourg où, on l’a rappelé, aucune obligation légale ou réglementaire ne pèse sur les entreprises du secteur privé en la matière. Il existe cependant des usages et recommandations largement répandus, au premier rang desquels ceux développés par l’AFA, qui offrent une méthode éprouvée et documentée, transposable à toute entreprise indépendamment de son assise géographique.

Cette méthode se déploie classiquement en plusieurs étapes successives. Elle suppose d’abord d’identifier les rôles et responsabilités des différentes parties prenantes à l’exercice – direction, responsable de la conformité, responsables opérationnels, personnels de terrain. Elle implique ensuite un recensement des processus de l’entreprise et l’identification, au moyen d’ateliers, d’entretiens ou de questionnaires menés avec des collaborateurs de tous niveaux, des scénarios de risques concrets auxquels l’entreprise est exposée dans le cadre de ses activités. Chaque scénario ainsi identifié fait l’objet d’une évaluation du risque « brut », c’est-à-dire du niveau de vulnérabilité de l’entreprise avant prise en compte des mesures de maîtrise existantes, généralement mesuré au moyen de deux indicateurs combinés : l’impact potentiel (réputationnel, financier, juridique) et la probabilité de survenance, éventuellement pondérés par des facteurs aggravants tels que l’implantation géographique. Ce risque brut est ensuite réévalué à l’aune des mesures de maîtrise déjà en place, pour aboutir à un risque « net » ou « résiduel », qui permet de hiérarchiser les priorités et de bâtir un plan d’actions ciblé. L’exercice se conclut par la formalisation, l’archivage et la validation de la cartographie par l’instance dirigeante.

Au-delà de cette méthode, dont l’application peut se faire au moyen d’un simple tableur, plusieurs prestataires ont développé des solutions dédiées à la cartographie des risques en général, et de corruption en particulier. Certains éditeurs proposent des logiciels spécialisés permettant de recenser les scénarios de risque par processus métier (achats, commercial, ressources humaines, finance, fusions-acquisitions, sponsoring et mécénat, relations avec les agents publics), de coter automatiquement les risques bruts et nets selon une matrice de criticité croisant probabilité et impact, de générer un tableau de bord consolidé et de suivre les plans de remédiation associés. Des modèles simplifiés, sous forme de classeurs préconfigurés avec des scénarios types et une matrice de criticité prête à l’emploi, existent également et peuvent servir de point de départ aux entreprises de taille plus modeste. Sur la place luxembourgeoise, plusieurs cabinets de conseil en conformité proposent également un accompagnement méthodologique sur ce terrain, ainsi que des outils de gestion des risques de conformité plus larges, permettant d’insérer la dimension anticorruption dans une cartographie couvrant également d’autres domaines (blanchiment, fraude, conflits d’intérêts).

Mais il va de soi qu’une cartographie des risques de corruption, pour être utile, est nécessairement très différente d’une entreprise à l’autre : elle reflète le secteur d’activité, les implantations géographiques, la nature de la clientèle et des partenaires commerciaux, le degré de recours à des intermédiaires, ainsi que l’historique propre des incidents rencontrés. Une cartographie établie par une entreprise ne saurait donc être reprise telle quelle par une autre, fût-elle du même secteur, sans un travail d’adaptation substantiel.

Enfin, la cartographie des risques n’est jamais un exercice figé. Elle doit faire l’objet d’un suivi et d’une révision réguliers, tant à des intervalles prédéfinis – généralement fixés à l’occasion de la validation initiale de la cartographie – qu’à la suite de chaque incident significatif, qu’il ait été détecté par le dispositif d’alerte interne, révélé par un audit, ou porté à la connaissance de l’entreprise par tout autre moyen. Chaque nouvel élément d’information doit ainsi être capitalisé pour affiner la connaissance que l’entreprise a de ses propres risques, dans une logique d’amélioration continue.

417. Les 3 étapes de la gestion des risques. Après ces propos introductifs concernant la gouvernance, nous allons analyser de plus près la fonction de conformité (section 1), la fonction d’audit (section 2), et la remédiation (section 3). Ces différentes étapes ne doivent pas être appréhendées isolément : elles s’articulent de manière logique et progressive, chaque phase alimentant la suivante et permettant d’affiner en continu la maîtrise du risque de corruption. Ensemble, elles s’inscrivent dans la démarche classique de gestion des risques, fondée sur l’identification des risques, leur évaluation puis la définition et la mise en œuvre de mesures de prévention et de contrôle adaptées.

Section 1 -
Fonction de conformité

418. Introduction. Contrairement à d’autres matières où la désignation d’un responsable dédié est expressément imposée par les textes – par exemple la fonction de responsable de la conformité en matière de lutte contre le blanchiment, au travailleur désigné en matière de sécurité et de santé au travail, ou encore, dans une certaine mesure, aux exigences émergentes en matière d’intelligence artificielle² –, rien n’impose, à ce stade, la mise en place d’une fonction de conformité anticorruption au sein de l’entreprise. Il s’agit néanmoins d’une bonne pratique largement répandue et recommandée par l’ensemble des référentiels existant en la matière.

Dans les entreprises de taille importante, cette fonction peut être exercée de manière autonome, au sein d’une équipe dédiée à la conformité anticorruption, voire à la conformité au sens large. Dans des structures plus modestes, elle peut être utilement intégrée à un autre département existant, qu’il s’agisse du département juridique ou de la fonction conformité déjà en place au sein de l’entreprise – cette dernière étant souvent associée, à tort, et surtout au Luxembourg, exclusivement à la lutte contre le blanchiment de capitaux et le financement du terrorisme, alors qu’elle a naturellement vocation à couvrir un périmètre plus large.

419. Le responsable conformité (compliance officer). La notion de « responsable conformité » renvoie plus à une fonction qu’à un statut. L’entreprise est donc en principe libre de déterminer la manière dont elle organise sa fonction de conformité anticorruption. Mais le responsable conformité n’est pas nécessairement lié à l’organisation par un contrat de travail.

Dans certains cas, il peut exercer ses fonctions en qualité de simple mandataire social, par exemple en tant qu’administrateur, gérant ou dirigeant. Cette situation se rencontre plus particulièrement dans les structures de taille modeste, qui ne disposent pas des ressources nécessaires pour créer une fonction de conformité anticorruption autonome ou recruter un spécialiste dédié.

La fonction peut également être exercée à titre bénévole. Si cette situation demeure moins fréquente, elle peut notamment se rencontrer dans le secteur associatif et non lucratif, par exemple lorsqu’un administrateur d’association accepte d’endosser la responsabilité du dispositif anticorruption de la structure. Il faut rappeler qu’au Luxembourg, de nombreuses institutions caritatives gèrent d’importants fonds publics et assument des missions de service public qui leur sont déléguées – la lutte anti-corruption y est donc essentielle.

En principe, rien n’impose que la fonction de responsable conformité anticorruption soit exercée exclusivement en interne. Selon la taille de l’organisation, son activité ou ses besoins spécifiques, certaines missions de conformité peuvent être externalisées, en tout ou en partie, auprès de prestataires spécialisés, notamment lorsque l’entité ne dispose pas en interne des ressources ou de l’expertise nécessaires, ou lorsque certaines tâches (audits d’intégrité, due diligence tiers, formations anticorruption) requièrent des compétences techniques spécifiques.

La fonction peut donc être exercée sous des statuts juridiques variés : salarié, mandataire social, prestataire externe indépendant ou, plus exceptionnellement, bénévole. Le statut juridique de la personne chargée de la conformité anticorruption ne se confond ainsi pas avec la fonction qu’elle exerce. Pour certains aspects de la responsabilité, notamment en matière civile, le statut retenu peut influencer le régime juridique applicable. En matière pénale, en revanche, ce statut est indifférent, ou du moins d’une importance secondaire.

De toute manière, l’absence d’une fonction formalisée ne fait pas disparaître les responsabilités qui lui sont inhérentes : l’entreprise reste tenue de se conformer à la législation applicable. À défaut de toute désignation, la responsabilité demeure entièrement à la charge des organes dirigeants.

Et si l’argument juridique ne convainc pas, l’argument économique peut l’emporter. Sans entrer dans le détail des diverses études menées sur le sujet, il suffit de retenir que la réponse de l’analyse économique semble quasiment unanime : les dépenses investies dans la conformité (notamment, mais pas exclusivement anticorruption) sont « rentables », en ce qu’elles permettent d’éviter des coûts bien plus élevés (amendes, sanctions pénales, frais de procédure, réputation, exclusion des marchés publics, interruptions d’activité). Mais, hélas, on ne perçoit pas toujours les risques qui ont été évités.

Ce sont d’ailleurs les grandes entreprises qui ont, les premières, intégré cette logique (comparable à celle de l’assurance) en développant des programmes anticorruption structurés bien avant que le législateur ne s’en empare. La conformité ne doit cependant pas devenir une fin en soi : elle doit demeurer proportionnée, efficace et rationnelle, sous peine de verser dans l’excès de formalisme et le « check-the-box », ni prendre le dessus sur l’opérationnel.

420. Indépendance du responsable conformité. La fonction de responsable conformité est, par nature, une fonction de contrôle. Elle consiste à identifier et à gérer certains risques - dont le risque de corruption - ce qui implique parfois de s’opposer à des décisions internes ou, à tout le moins, de ralentir certains projets, de soulever des doutes, de poser des questions, voire de remettre en question la probité de certains collaborateurs et dirigeants. Ce que le responsable conformité accomplit pour prévenir un risque de blanchiment ou de corruption peut être vécu par d’autres - notamment les fonctions opérationnelles ou commerciales - comme un frein aux opportunités : le client prometteur que l’on doit refuser parce qu’il a des antécédents pénaux, l’intermédiaire commercial dont on ne peut valider l’intégrité, le cadeau ou l’invitation que l’on doit décliner pour éviter toute suspicion de corruption, la « commission » réclamée par un agent public que l’on doit refuser malgré le risque de perdre le marché.

Pour d’autres, la fonction peut être perçue comme un facteur d’inefficacité et de coût : les due diligences préalables à l’engagement d’un tiers (→ 442), les validations requises avant tout cadeau ou toute invitation, ou, de manière plus générale, le temps consacré à remplir des formulaires, à suivre des procédures et à attendre des validations.

Les entreprises ont des degrés très divers de culture compliance, c’est-à-dire de sensibilité et d’acceptation de l’utilité de cette fonction en matière de prévention de la corruption. En fonction de cela, le responsable conformité peut se heurter à des résistances internes pouvant aller du simple manque de ressources ou de l’ignorance de ses recommandations jusqu’à des actes de représailles.

Pour cela, l’indépendance du responsable conformité est au cœur même de la fonction. Sans elle, la fonction de conformité anticorruption ne peut être exercée utilement, voire n’existe pas. Elle recouvre deux dimensions. D’une part, l’indépendance personnelle : le responsable conformité ne doit pas être en situation de conflit avec lui-même. Cela implique en particulier qu’il ne soit pas investi de pouvoirs de décision majeurs sur les matières qu’il est chargé de contrôler - notamment sur les décisions commerciales, l’engagement de tiers ou l’octroi de cadeaux et invitations - car on ne peut être à la fois celui qui décide et celui qui contrôle. D’autre part, l’indépendance externe, qui doit mettre le responsable conformité à l’abri du risque de représailles. Il doit pouvoir identifier et signaler des risques de corruption, s’opposer ou remonter certains actes, voire effectuer des déclarations aux autorités, sans craindre à chaque pas pour son poste ou son statut.

Or, quel que soit le statut juridique du responsable conformité, il n’est jamais totalement à l’abri de ce risque. Un prestataire externe peut se voir résilier son contrat au profit d’un concurrent moins regardant. Un responsable conformité salarié reste exposé au pouvoir disciplinaire de sa hiérarchie.

Un premier moyen d’assurer cette indépendance est de placer le responsable conformité à un niveau élevé au sein de la hiérarchie, et de lui garantir un accès direct aux organes dirigeants. En l’absence d’un tel accès, ses interventions risquent d’être court-circuitées par des instances intermédiaires, réduisant l’effectivité de l’escalade - un enjeu particulièrement sensible lorsque le risque de corruption implique des dirigeants ou des cadres influents.

Un autre moyen est de mettre le responsable conformité à l’abri des représailles. Certes, tout salarié bénéficie à la base d’une protection contre les représailles : personne ne peut être sanctionné ou licencié pour avoir bien fait son travail, et le Code du travail interdit toute forme de traitement défavorable au motif que le salarié a exercé ses droits. Mais cette protection est souvent théorique et mérite d’être renforcée.

Dans certains cas, cette indépendance est légalement consacrée pour d’autres fonctions de conformité (voir encadré)

En matière de prévention de la corruption, une telle garantie légale d’indépendance fonctionnelle fait, à ce jour, généralement défaut. Mais l’entreprise qui prend la conformité anticorruption au sérieux peut aussi s’auto-astreindre à assurer cette indépendance. Elle peut le faire notamment en recourant à des prestataires externes, ou en inscrivant des garanties d’indépendance dans les procédures internes, le contrat de travail ou le descriptif de fonctions du responsable conformité. Une telle clause pourrait ainsi prévoir l’absence de lien hiérarchique entre le responsable conformité et les fonctions opérationnelles ou commerciales qu’il surveille, l’interdiction de lui confier des tâches décisionnelles incompatibles avec sa mission de contrôle, la garantie d’un accès direct aux organes dirigeants, l’impossibilité de le sanctionner ou de le révoquer en raison de l’exercice de sa fonction, des procédures spéciales pour toute mesure de sanction ou de licenciement, etc.

Au-delà de telles formules contractuelles ou procédurales, c’est en définitive la culture de conformité de l’entreprise qui est déterminant. Lorsque les organes dirigeants incarnent eux-mêmes les valeurs d’intégrité et soutiennent activement la fonction compliance, celle-ci dispose d’une légitimité et d’une autorité que nul texte juridique ne peut pleinement remplacer.

Section 2 -
Audit et contrôle interne

421. Le contrôle interne à trois niveaux, et l’audit comme troisième niveau. Au-delà du contrôle financier, la détection des atteintes à la probité repose sur un dispositif de contrôle et d’audit interne, structuré, dans sa forme la plus aboutie, en trois niveaux distincts et complémentaires.

(1) Le premier niveau, opéré par les équipes opérationnelles ou par la hiérarchie elle-même, vise à s’assurer, au moyen de contrôles préventifs réalisés avant la mise en œuvre d’une décision ou d’une opération, que les tâches ont été accomplies conformément aux procédures édictées par l’entreprise.

(2) Le deuxième niveau, réalisé selon une fréquence prédéfinie ou de façon aléatoire par des personnes distinctes de celles ayant réalisé le contrôle de premier niveau vise à s’assurer, au moyen de contrôles détectifs, de la bonne exécution des contrôles de premier niveau et, plus largement, du bon fonctionnement du dispositif anticorruption dans son ensemble.

(3) L’audit interne représente précisément ce troisième niveau de contrôle. Réalisé par des personnes indépendantes, missionnées directement par l’instance dirigeante à laquelle elles rendent compte, il consiste en des audits périodiques destinés à vérifier que le dispositif de contrôle est conforme aux exigences de l’entreprise, efficacement mis en œuvre et tenu à jour. L’audit interne s’assure notamment que les situations de risque identifiées par la cartographie des risques sont effectivement couvertes par des mesures de prévention adéquates, ce qui suppose une bonne connaissance, par les auditeurs, de la cartographie elle-même.

422. Approche pratique. En pratique, l’exercice de l’audit interne gagne à s’appuyer sur un programme d’audit formalisé à l’avance, précisant le périmètre des contrôles envisagés, les modalités d’échantillonnage retenues, ainsi que le calendrier de leur réalisation. L’indépendance des auditeurs à l’égard des personnes ou des services contrôlés doit être rigoureusement respectée, pour éviter tout risque d’autocontrôle : ainsi, le service qui a lui-même contribué à l’élaboration de la cartographie des risques ne saurait valablement en auditer la pertinence. Il est également recommandé de documenter systématiquement les échantillons contrôlés, les constats opérés et leur cheminement, de façon à pouvoir justifier, a posteriori, de la méthode suivie. Une planification pluriannuelle des audits, couvrant progressivement l’ensemble des composantes du dispositif de conformité (cartographie, code de conduite, formation, évaluation des tiers, alerte interne, contrôles comptables, régime disciplinaire), permet enfin d’assurer une couverture exhaustive sans mobiliser des ressources disproportionnées sur une seule période.

Rien n’impose que l’audit du dispositif anticorruption fasse l’objet d’une fonction dédiée et distincte : il peut, au contraire, utilement s’intégrer au sein d’une fonction d’audit interne plus large, chargée d’auditer l’ensemble des risques auxquels l’entreprise est exposée – risques opérationnels, financiers, informatiques ou encore ceux liés à la lutte contre le blanchiment de capitaux. Cette mutualisation permet de tirer parti des synergies déjà évoquées entre les différents domaines de conformité de l’entreprise, sous réserve que le volet anticorruption reste identifiable en tant que tel au sein du programme d’audit global.

423. Les suites de l’audit. Chaque audit se conclut par la rédaction d’un rapport circonstancié et documenté, détaillant les constats opérés, les mesures correctives préconisées et les éventuelles recommandations formulées. Ce rapport est communiqué à l’instance dirigeante et, selon l’organisation de l’entreprise, au responsable de la conformité, qui en tire les conséquences utiles, notamment en matière de mise à jour de la cartographie des risques ou de révision du plan d’action déjà engagé, voire à une remédiation (voir ci-après).

Au contrôle interne ainsi décrit s’ajoute, pour les entreprises qui y sont tenues, le contrôle exercé par le réviseur d’entreprises agréé dans le cadre de sa mission de certification des comptes, dont le rôle et les obligations spécifiques en matière de détection et de signalement des faits de corruption ont été traités dans les développements qui précèdent (→ 553).

Section 3 -
Remédiation

424. Traitement actif des incidents – Never waste a good crisis. La gestion des insuffisances constatées, ou remédiation, constitue le troisième temps de la gestion des risques, après la prévention et la détection. Elle suppose que l’entreprise traite activement tout incident, quelle qu’en soit l’origine : une alerte lancée par un collaborateur, un rapport d’enquête interne confirmant des soupçons, un audit interne révélant des déficiences dans l’application des procédures, des poursuites judiciaires engagées à l’encontre de l’entreprise ou de l’un de ses collaborateurs, voire la plainte d’un concurrent évincé d’un marché dans des conditions suspectes. Il peut s’agir d’un incident concret et avéré – un fait de corruption caractérisé – ou de simples insuffisances et défaillances dans l’application du dispositif : une procédure non suivie, une alerte non traitée dans les délais, des cadeaux reçus mais non déclarés. Le traitement doit également s’étendre aux « quasi-incidents », c’est-à-dire aux situations qui, sans s’être concrétisées, documentent un risque réel auquel l’entreprise a été exposée et qui aurait pu se matérialiser dans des circonstances légèrement différentes – et donc qui n’a pu être évité que de justesse ou par hasard.

425. Analyse des causes profondes. Face à un incident ou une insuffisance ainsi identifiés, l’entreprise procède à leur analyse afin d’en déterminer l’origine (root cause analysis). Cette démarche vise à traiter le problème à sa source plutôt que de se limiter à en corriger les symptômes apparents : un contrôle défaillant peut ainsi révéler, une formation insuffisante, une procédure mal conçue, une charge de travail excessive du personnel en charge du contrôle, ou encore un manque de moyens alloués à la fonction conformité.

426. Plan de remédiation documenté et suivi. Sur la base de cette analyse, l’entreprise détermine les adaptations nécessaires pour éviter la réitération de l’incident. Ces mesures peuvent prendre des formes variées : renforcement des effectifs ou des contrôles existants, modification des procédures internes jugées inadaptées ou insuffisamment claires, formation ciblée du personnel concerné, renforcement des moyens de l’audit interne. Sur le plan individuel, l’incident peut également donner lieu à des conséquences disciplinaires à l’égard des personnes impliquées (→ 650). Cette remédiation individuelle ne dispense cependant pas l’entreprise d’une réflexion plus large sur le caractère systémique de la défaillance constatée : au-delà du cas d’espèce, l’incident doit nourrir la mise à jour de la cartographie des risques et, le cas échéant, une révision plus profonde du dispositif de conformité dans son ensemble.

427. Un plan de remédiation documenté et suivi dans le temps. L’ensemble de ces mesures correctives est formalisé au sein d’un plan de remédiation, qui rappelle les insuffisances constatées, détaille les actions à mener, désigne nommément les personnes responsables de leur mise en œuvre et fixe les délais dans lesquels elles doivent y procéder. L’état d’avancement de ce plan fait l’objet d’un suivi régulier, dont les résultats sont communiqués à l’instance dirigeante. Cette documentation, loin d’être une simple formalité administrative, doit permettre à l’entreprise de retracer, à tout moment, l’ensemble des démarches entreprises et leur état d’avancement.

Dans le respect de la confidentialité due aux personnes concernées et des règles applicables en matière de protection des données personnelles, l’entreprise peut utilement communiquer en interne, sous une forme anonymisée, sur les incidents traités et les sanctions prononcées. Une telle communication rappelle concrètement la politique de tolérance zéro affichée par l’instance dirigeante (→ 415) et démontre, par les faits, que les incidents signalés font l’objet d’un traitement réel et non d’un classement sans suite.

Ce travail de remédiation peut en effet s’avérer précieux pour l’entreprise appelée à se justifier, que ce soit à l’occasion de cet incident même ou d’un incident ultérieur survenu dans des circonstances comparables. Sur le plan de la responsabilité civile, il constitue un argument de poids pour rappeler que la vigilance en matière de lutte contre la corruption demeure une obligation de moyens et non de résultat : même le dispositif le plus abouti ne saurait empêcher la survenance de tout incident, un aléa résiduel demeurant inhérent à toute activité humaine. Il constitue également un argument utile face à un régulateur ou une autorité déontologique appelés à apprécier le sérieux du dispositif de conformité de l’entreprise. Enfin, et ainsi qu’on l’a vu précédemment, il constitue en matière pénale un argument central, susceptible, selon les circonstances, de permettre à l’entreprise d’échapper à une condamnation (→ 274) ou, à tout le moins, de faire valoir une circonstance atténuante (→ 300).

428 à 439. Réservés.

440. Le risque qui ne vient pas nécessairement de l’intérieur. On aurait tort de limiter la prévention de la corruption aux seuls comportements internes à l’entreprise. Le risque de corruption peut prendre racine dans les interactions avec les tiers avec lesquels l’entreprise est en relation d’affaires. La connaissance de ces tiers – fournisseurs, clients, intermédiaires, prestataires – constitue à ce titre un volet essentiel du dispositif de prévention.

Cette vigilance répond à une double préoccupation. Il s’agit, d’une part, d’éviter que des tiers ne corrompent les salariés de l’entreprise, par exemple à l’occasion de l’attribution d’un marché ou de la négociation d’un prix. Il s’agit, d’autre part, d’éviter que l’entreprise elle-même ne se trouve entraînée, par les agissements de ses fournisseurs, partenaires ou clients, dans une affaire de corruption à laquelle elle serait restée totalement étrangère. Même en l’absence de toute responsabilité civile ou pénale propre de l’entreprise dans une telle hypothèse, le risque réputationnel demeure réel, ne serait-ce que du simple fait d’être associée, dans l’esprit du public ou de ses partenaires, à une affaire de corruption qui ne la concerne pourtant qu’indirectement. Le risque pénal, du reste, n’est pas toujours nul non plus : à travers les infractions de conséquence (recel, blanchiment), l’entreprise elle-même peut se trouver exposée. La question se pose alors très concrètement de savoir si elle peut continuer à utiliser les services ou les produits d’un fournisseur dont elle apprendrait qu’ils sont, en tout ou partie, le fruit d’une opération entachée de corruption.

441. Tiers concernés. Les tiers dont l’intégrité doit être évaluée recouvrent une réalité large : clients, fournisseurs de premier rang, intermédiaires, sous-traitants, titulaires de marchés publics, concessionnaires, délégataires, bénéficiaires de subventions ou de mécénat, cibles d’acquisition, partenaires en coentreprise – en somme, toute personne physique ou morale avec laquelle l’entreprise est en relation et qui peut l’exposer à un risque d’atteinte à la probité ; nous traitons à part les salariés et collaborateurs (→ 445). Comme pour la cartographie des risques (→ 416), cette évaluation obéit à une approche fondée sur les risques : tous les tiers ne présentent pas le même niveau de risque, et il serait à la fois disproportionné et contre-productif de leur appliquer un même niveau de vigilance uniforme.

Plusieurs facteurs viennent typiquement moduler ce niveau de risque : le pays d’implantation du tiers ou celui dans lequel la prestation est réalisée, certains pays étant structurellement plus exposés au risque de corruption que d’autres ; le secteur d’activité du tiers, certains secteurs – extraction de ressources naturelles, grands travaux d’infrastructure, marchés publics – étant statistiquement plus sensibles ; l’enjeu économique de la transaction envisagée, une relation financière durable ou portant sur des montants importants appelant une vigilance renforcée ; ou encore la nature de la mission confiée au tiers, le recours à un intermédiaire chargé de faciliter l’obtention d’un contrat appelant, par exemple, une attention particulière.

442. Screening des tiers. L’évaluation de l’intégrité des tiers ne se limite pas au seul risque de corruption. Elle s’inscrit plus largement dans la prévention d’autres risques juridiques et réputationnels : risque de fraude, non-respect des normes environnementales, traite des êtres humains et travail forcé, conditions de travail indignes, non-respect des sanctions économiques internationales, blanchiment de capitaux, ou encore atteintes aux droits humains plus généralement. La probité et le risque de corruption ne doivent cependant pas être sous-estimés au sein de cet ensemble : la probité d’un partenaire contractuel en constitue, à notre sens, une caractéristique essentielle, au même titre que sa solvabilité ou sa capacité technique à exécuter ses engagements. A la suite d’un tel screening, il peut être décidé par exemple d’approuver la relation, de ne pas l’approuver, de mettre un terme à une relation existante.

Cette démarche de connaissance des tiers n’est pas sans rappeler le processus de connaissance de la clientèle (« KYC », know your customer) mis en œuvre en matière de lutte contre le blanchiment. Ces deux démarches poursuivent cependant des objectifs distincts – la vigilance anti-blanchiment vise avant tout à détecter l’origine ou la destination illicite de fonds, tandis que l’évaluation de l’intégrité des tiers en matière de corruption vise à apprécier le risque que le tiers verse ou reçoive, directement ou indirectement, un avantage indu. Certains efforts et certaines données peuvent néanmoins être mutualisés entre les deux démarches, sous réserve que le dispositif retenu permette de faire ressortir distinctement le risque spécifique de corruption.

L’évaluation de l’intégrité d’un tiers est la plus utile lorsqu’elle intervient avant l’entrée en relation, à un moment où l’entreprise conserve toute liberté de ne pas s’engager. Elle doit cependant, le cas échéant, être renouvelée à intervalles réguliers pendant toute la durée de la relation, ainsi que chaque fois qu’un incident survient ou qu’une information inquiétante est portée à la connaissance de l’entreprise concernant ce tiers.

443. M&A - Un enjeu renforcé en matière de fusions-acquisitions. L’importance de ce screening est accrue dans le contexte d’une opération de fusion-acquisition. Le lien noué avec la cible n’est plus, en effet, un lien contractuel résiliable et temporaire comme celui noué avec un simple fournisseur : l’entreprise absorbe une autre entité, avec l’ensemble de son passif, de sa culture et de ses pratiques.

Se pose alors, comme on l’a vu au chapitre consacré à la responsabilité des personnes morales (→ 272), une question non encore clairement tranchée en droit luxembourgeois : celle de savoir si, pour des faits de corruption déjà commis avant l’opération, l’entreprise qui reprend l’entité concernée devra en assumer la responsabilité pénale. Cette question dépend essentiellement du mécanisme juridique retenu pour l’opération – rachat de titres (share deal), cession d’actifs (asset deal), ou l’une ou l’autre forme de fusion.

Au-delà de ce risque déjà matérialisé (l’infraction est commise mais pas encore découverte, voire une enquête est ouverture mais la société l’ignore), il arrive également que le risque ne soit encore que latent au moment de l’opération et ne se concrétise qu’après celle-ci – hypothèse dans laquelle aucun doute ne subsiste quant à la responsabilité de l’entreprise qui a repris l’entité. Ce risque latent peut notamment tenir à une culture d’entreprise et à des pratiques à risque déjà ancrées au sein de la cible – par exemple le versement, assumé et poursuivi après l’acquisition par d’anciens collaborateurs de la cible restés en poste, de pots-de-vin à des intermédiaires ou à des agents publics, selon des pratiques que l’entreprise acquéreuse n’aurait pas identifiées ni corrigées à temps.

Certes, il peut exister des clauses de garantie de passif (reps & warranties), destinées à protéger l’acquéreur contre la révélation, postérieurement à l’opération, de faits antérieurs à celle-ci. Il ne s’agit cependant que d’une solution ex post, de nature seulement indemnitaire, et dont la mise en œuvre s’avère loin d’être toujours aisée en pratique. Mieux vaut, en conséquence, prévenir la difficulté en amont.

La réalisation d’un audit d’acquisition (due diligence) préalable à l’opération s’impose donc, et porte logiquement sur de nombreux aspects (financier, comptable, fiscal, juridique, social, environnemental, technique, etc.). L’aspect pénal, et en particulier le risque de corruption, ne doit pas être absent de cet exercice – que celui-ci soit réalisé par des équipes humaines ou, de façon croissante, à l’aide d’outils d’intelligence artificielle.

L’évaluation de l’intégrité d’un tiers, aussi rigoureuse soit-elle, ne produit cependant tout son effet que si ses conclusions sont consolidées par des engagements contractuels adaptés au niveau de risque identifié.

444. Clauses anticorruption dans les contrats. Les clauses anticorruption peuvent utilement compléter les contrats commerciaux ou des conditions générales de l’entreprise, particulièrement lorsqu’il s’agit de contrats importants ou identifiés comme à risque à l’occasion de la cartographie (→ 416). Selon la position de l’entreprise dans la relation contractuelle, elle se verra imposer de telles clauses par son cocontractant, ou sera au contraire en mesure de les imposer elle-même : tout dépend, en pratique, du rapport de force résultant de la négociation. Dans certains secteurs particulièrement exposés – infrastructures, énergie, industries extractives, marchés publics –, ces clauses sont devenues une pratique commerciale standard, admise et attendue par l’ensemble des acteurs du marché.

Le contenu exact d’une clause anticorruption dépend nécessairement de la situation individuelle de chaque relation contractuelle, notamment de la nature de l’activité concernée, du profil de risque du cocontractant et de l’enjeu économique du contrat. Une attention particulière doit également être portée au droit applicable au contrat, ainsi qu’aux pays dans lesquels celui-ci pourrait venir à exécution et, le cas échéant, donner lieu à une exécution forcée. La clause doit enfin être réaliste, à notre avis : une clause trop ambitieuse ou disproportionnée par rapport aux moyens réels des parties risque de rester lettre morte, ou pire, de fragiliser la position de celui qui s’en prévaudrait sans jamais l’avoir réellement mise en œuvre.

Sous ces réserves, nous ne proposons pas ici de modèle de clause type, tant les modèles disponibles sont nombreux et déjà bien documentés (voir encadré). Nous préférons énumérer les principaux sujets qu’une clause anticorruption bien conçue devrait aborder, à charge pour chaque entreprise de les combiner et de les pondérer selon sa situation propre :

• Déclaration d’intégrité de principe. Chaque partie déclare, pour elle-même ainsi que pour ses dirigeants et collaborateurs, n’avoir ni offert, ni promis, ni octroyé, ni sollicité, ni accepté d’avantage indu en lien avec le contrat, et s’engage à ne pas le faire pendant toute la durée de la relation contractuelle.

• Sous-traitance et répercussion aux tiers. La partie qui recourt à des sous-traitants, agents ou intermédiaires s’engage à leur imposer des obligations anticorruption substantiellement équivalentes et à s’assurer, dans une mesure raisonnable, de leur respect effectif tout au long de la chaîne contractuelle.

• Droit de résiliation. En cas de manquement grave ou répété aux engagements anticorruption, l’autre partie dispose du droit de résilier le contrat, éventuellement après une phase de mise en demeure permettant à la partie défaillante de remédier à la situation.

• Droit d’audit. La clause peut conférer à une partie le droit de mener des vérifications sur les registres comptables et documents de l’autre partie en lien avec le contrat, incluant le cas échéant le droit de mener des investigations plus poussées, d’entendre les dirigeants et salariés concernés, d’obtenir leur coopération, voire un droit d’accès aux locaux ou aux systèmes d’information pertinents.

• Reporting régulier. La clause peut imposer à l’une des parties, ou aux deux, la production périodique d’un rapport ou d’une attestation relative au respect de ses engagements et au bon fonctionnement de son dispositif de conformité.

• Droits de recours et clause de garantie « quitte et indemne ». La clause peut organiser un mécanisme d’indemnisation de la partie lésée par le manquement de l’autre, notamment à travers une clause de garantie dite « quitte et indemne » (hold harmless), par laquelle une partie s’engage à indemniser l’autre de tout préjudice, y compris les frais de défense, résultant d’un manquement qui lui serait imputable.

• Clauses pénales. Une clause pénale peut prévoir le versement d’une somme forfaitaire en cas de manquement avéré aux engagements anticorruption, indépendamment du préjudice réellement subi, sous réserve de sa validité et de sa proportionnalité au regard du droit applicable.

• Contrôle de la communication. Il peut être utile d’encadrer contractuellement la communication relative à un incident avéré ou suspecté, qu’il s’agisse des échanges avec les autorités compétentes ou de toute communication publique ou médiatique, afin d’éviter qu’une partie ne prenne des positions préjudiciables à l’autre avant que les faits ne soient établis.

• Droit applicable et juridiction compétente. La clause doit enfin préciser le droit applicable au contrat ainsi que la juridiction ou l’instance compétente pour trancher tout litige relatif à son application, en envisageant, le cas échéant, le recours à l’arbitrage plutôt qu’aux juridictions étatiques.

445. Plan. Dans le cadre des relations avec le personnel, nous nous intéresserons au rôle que doivent jouer le contenu du contrat de travail (section 1), et surtout les chartes et politiques internes (section 2) avant de nous pencher sur les mesures de formation (section 3).

Section 1 -
Contrat de travail

446. Vérifications à l’embauche. Le salarié constitue une partie envers laquelle l’entreprise s’engage sur le long terme, ce qui justifie qu’un minimum de vérifications soit opéré avant son recrutement, dans une logique proche de celle développée à propos de l’évaluation de l’intégrité des tiers. Les règles applicables sont cependant sensiblement plus strictes dans le cadre d’une relation de travail que dans celui d’une relation commerciale : à l’égard du salarié, le respect de sa vie privée vient limiter les possibilités d’action de l’employeur, bien au-delà de ce qui prévaut à l’égard d’un simple cocontractant commercial. On ne peut pas procéder à un véritable « screening » du candidat.

À notre sens, rien n’interdit par principe à l’employeur de procéder à une recherche en sources ouvertes sur Internet afin de se faire une idée générale du profil d’un candidat. Une telle recherche doit cependant rester proportionnée et en lien avec le poste à pourvoir : plus le poste est sensible ou exposé aux risques de probité, plus une telle vérification se justifie ; à l’inverse, elle perd toute légitimité pour un poste sans lien avec ces enjeux. Les informations ainsi recueillies, si elles sont utilisées dans le processus de décision, doivent en outre respecter les principes de pertinence et de minimisation posés par le règlement général sur la protection des données.

La signature de déclarations sur l’honneur, par exemple relatives à l’absence de condamnations pénales ou de conflits d’intérêts, ne constitue pas une pratique courante en matière de recrutement, et l’on peut légitimement s’interroger sur la validité qu’un tribunal lui accorderait en cas de contestation, dans la mesure où le candidat, placé en position de dépendance vis-à-vis de l’employeur potentiel, peut difficilement s’y opposer librement. Une demande de déclarer le patrimoine, telle qu’elle peut exister pour les élus, paraît excessive. Au niveau du casier judiciaire, la loi se montre également restrictive.

Nous relevons que dans la fonction publique (communale), aucun contrôle d’intégrité n’est fait lors du recrutement d’agents publics ; seul un extrait du casier doit être présenté¹³.

447. Les questions posées lors de l’entretien d’embauche. Les questions posées lors de l’entretien d’embauche ne doivent, en principe, pas porter sur la vie privée du candidat. Nous avons cependant vu, au titre du régime disciplinaire, que pour des postes à responsabilités élevées ou à caractère représentatif, la probité du salarié, y compris dans sa vie privée, peut avoir une incidence sur des décisions professionnelles ultérieures (→ 654). Cette même logique invite à ne pas exclure trop rapidement, pour ce type de postes précisément, toute question touchant à la probité générale du candidat, pour autant qu’elle demeure strictement en lien avec les exigences du poste.

448. Clauses d’exclusivité. La clause d’exclusivité, qu’elle porte sur l’activité du salarié ou sur celle d’un intermédiaire commercial, entretient un rapport ambivalent avec la prévention des conflits d’intérêts. D’un côté, elle peut contribuer à les prévenir : en empêchant un collaborateur ou un agent de travailler simultanément pour un concurrent, un fournisseur ou un client de l’entreprise, elle réduit le risque que ses décisions soient influencées par des intérêts extérieurs concurrents. De l’autre, mal calibrée, elle peut au contraire favoriser l’apparition de tels conflits, en resserrant à l’excès les liens économiques entre l’entreprise et un intermédiaire unique devenu totalement dépendant d’elle, ou en dissimulant, sous couvert d’exclusivité contractuelle, une situation de dépendance économique propice à des arrangements informels échappant à tout contrôle.

Il convient cependant de rappeler que les clauses d’exclusivité sont, s’agissant des salariés, restreintes par la loi, laquelle exige qu’elles reposent sur des intérêts légitimes de l’entreprise, objectivement vérifiables, et qu’elles demeurent proportionnées au but recherché (encadré). En outre, une telle clause ne peut, par définition, porter que sur des activités professionnelles parallèles. Il n’est en principe pas possible d’interdire, ni même de soumettre à autorisation préalable, l’exercice d’activités accessoires de nature politique, bénévole ou associative¹⁷, bien que des conflits d’intérêts puissent également naître de ce type d’engagements. Il reste cependant possible, à notre avis, d’imposer au salarié une simple obligation d’information de l’entreprise sur l’exercice de telles activités, sans pour autant conditionner leur exercice à une autorisation préalable.

449. Clauses dans le contrat. Le contrat de travail peut naturellement comporter une clause rappelant l’interdiction de la corruption et les sanctions disciplinaires qui y sont attachées. À notre sens, il est cependant préférable, de manière générale, de renvoyer dans le contrat de travail aux règlements internes et chartes de l’entreprise plutôt que d’y insérer directement le contenu normatif détaillé : ces documents ont en effet vocation à évoluer et à se compléter dans le temps, ce qu’une clause contractuelle figée ne permet pas aisément. Le contrat peut ainsi se limiter à un renvoi général et évolutif vers la charte anticorruption, le code de conduite ou le règlement intérieur applicable, en précisant que le salarié s’engage à respecter ces documents tels qu’en vigueur à tout moment, y compris leurs versions ultérieures.

Il est recommandé, en pratique, que le salarié accuse réception de la charte anticorruption (ou indique le lieu où elle est mise à sa disposition, par exemple l’intranet ou un espace documentaire RH), déclare en avoir pris connaissance - ou s’engage à le faire dans un délai déterminé - et s’engage à la respecter. Cet accusé de réception peut figurer directement dans le contrat de travail ou dans un document séparé signé au moment de l’embauche, voire renouvelé à chaque mise à jour substantielle de la charte.

450. Obligations de déclaration ? Nous verrons que le principe de bonne foi inhérent au contrat de travail peut fonder, dès le stade précontractuel, une obligation pour le candidat de révéler spontanément certains faits, même relatifs à sa vie privée, dès lors qu’ils ont une incidence sur son activité professionnelle. Une question distincte se pose pour la suite de la relation de travail : le salarié est-il tenu, tout au long de l’exécution du contrat, de révéler spontanément à son employeur les conflits d’intérêts qui viendraient à le concerner personnellement, ou encore les cas ou soupçons de corruption dont il viendrait à avoir connaissance, fussent-ils le fait de tiers ou de collègues ?

À notre connaissance, il n’existe cependant pas, à ce jour, de décision de la jurisprudence luxembourgeoise consacrant explicitement une obligation positive, à la charge du salarié, de révéler spontanément à son employeur des conflits d’intérêts le concernant personnellement en cours de contrat (par exemple une nouvelle relation d’affaires ou personnelle avec un client, un fournisseur ou un concurrent, survenue après l’embauche), ni, a fortiori, une obligation de dénoncer des soupçons de corruption ou d’autres irrégularités dont il aurait connaissance à raison de faits ou d’agissements de tiers.

Il nous paraît possible d’insérer, dans le contrat de travail ou dans la charte à laquelle il renvoie, une clause imposant au salarié une telle obligation de déclaration continue. Une telle clause nous semble a priori valable, dans la mesure où elle prolonge et rend explicite l’obligation de bonne foi et de loyauté déjà reconnue par la jurisprudence.

Concernant les agissements de collègues et de tiers, il pourrait être plus efficace de ne pas ériger la dénonciation en obligation contractuelle strictement contraignante, mais plutôt de l’encourager par une politique dédiée d’incitation aux alertes internes, au moyen d’un dispositif de signalement interne efficace.

451. Politique de rémunération. La politique de rémunération constitue également un levier de prévention souvent sous-estimé, alors qu’elle agit directement sur les motivations et les comportements des salariés²⁴.

En premier lieu, à l’instar de ce qui est parfois avancé pour justifier le niveau de rémunération de la fonction publique, une rémunération adéquate et perçue comme équitable réduit le risque que des salariés soient tentés de compléter leurs revenus en acceptant des cadeaux, avantages ou pots-de-vin de la part de tiers. Une rémunération insuffisante au regard du marché, des responsabilités exercées ou de l’exposition du poste aux tiers (achats, ventes, relations avec des autorités publiques) peut ainsi constituer, en tant que tel, un facteur de risque à intégrer dans la cartographie des risques.

En second lieu, et c’est sans doute l’aspect le plus significatif, il convient d’éviter une politique de rémunération qui incite à la prise de risque. Une rémunération variable exclusivement liée au chiffre d’affaires ou à des objectifs commerciaux, des attentes excessives ou des objectifs irréalistes fixés aux équipes commerciales, achats ou opérationnelles, créent une pression qui peut se traduire par des comportements dangereux et variés : recours à des substances pour tenir la pression, falsification de résultats ou de reportings pour simuler l’atteinte des objectifs, mauvais conseils voire tromperies du client, jusqu’au recours à la corruption comme moyen de décrocher des marchés ou de sécuriser des contrats. À notre avis, la fonction conformité doit à ce titre être associée, en amont, à la conception des systèmes de rémunération variable et d’objectifs commerciaux, afin d’identifier les structures d’incitation susceptibles de générer un risque de corruption et d’en tempérer les effets, par exemple en pondérant les critères quantitatifs par des critères qualitatifs et de conformité. Pour certains postes, une phase de rémunération différée assortie d’un mécanisme de malus ou de , permet de réduire ou de restituer la part variable versée en cas de découverte ultérieure d’un manquement à la conformité ayant contribué aux résultats récompensés.

Un troisième volet concerne l’intégration de la lutte contre la corruption - ou plus largement de considérations de probité ou de critères ESG - dans l’évaluation de la performance et dans le package de rémunération des dirigeants, et, par extension, des directeurs et autres supérieurs hiérarchiques exposés. Cette pratique – qui s’observe dans les grands groupes - consiste à conditionner une partie de la rémunération variable ou des bonus à l’atteinte d’objectifs non financiers liés à la conformité (absence d’incident significatif, taux de complétion des formations anticorruption au sein de l’équipe dirigée, mise en œuvre effective du plan de remédiation, qualité du tone from the top). Une telle intégration présente un double avantage : elle envoie un signal fort en interne sur l’importance accordée à la conformité au plus haut niveau, et elle contribue à rééquilibrer des systèmes de rémunération qui, sans cela, resteraient focalisés sur la seule performance financière, avec les risques que nous venons d’évoquer.

Dans le même esprit, la rémunération des fonctions de contrôle elles-mêmes - conformité, audit interne, risk management - mérite une attention particulière : leur package de rémunération ne devrait pas dépendre, directement ou indirectement, des résultats commerciaux des activités qu’elles ont pour mission de contrôler, sous peine de compromettre leur indépendance de jugement, un principe déjà bien établi dans la réglementation du secteur financier et transposable par analogie aux autres secteurs.

Une certaine publicité devrait, et à l’avenir devra (directive transparence des salaires²⁵) être faite afin que le personnel ou le dirigeant sache que la probité a une influence sur sa rémunération.

Section 2 -
Chartes et codes de conduite

452. Une pratique non obligatoire, mais recommandée. L’adoption d’une charte, d’un code de conduite ou d’un règlement anticorruption n’est, pour l’instant, pas une obligation en tant que telle au Luxembourg. Elle demeure cependant, comme on l’a vu précédemment, un élément important si l’entreprise entend développer une politique de prévention et de lutte contre la corruption cohérente. Un tel document peut prendre des formes et des intitulés très divers : charte d’intégrité, règlement anticorruption, « business conduct rules », code de conduite, politique de lutte contre la corruption et le blanchiment d’argent, ou encore simple politique interne. Selon l’approche retenue, les questions de probité peuvent également être réparties entre plusieurs documents distincts, chacun consacré à un aspect particulier (cadeaux et invitations, conflits d’intérêts, tiers). Le plus important est de s’assurer que tous les sujets pertinents soient couverts et que l’ensemble des chartes et règlements forme un tout cohérent, accessible, lisible et à jour, intégré les uns aux autres, en particulier par des renvois, avec les autres documents et politiques qui leur sont liés ou associés, comme la procédure disciplinaire, le règlement intérieur, ou la procédure de lanceur d’alerte.

De nombreuses entreprises ont adopté de tels documents. Certaines choisissent de les publier, ce qui n’est nullement obligatoire mais peut traduire une volonté de transparence, dans une optique ESG autant que d’image vers l’extérieur. La publication a également un effet « auto-engageant » sur le plan moral pour l’entreprise : si elle venait à être épinglée pour un fait de corruption, elle s’exposerait d’autant plus à la critique qu’elle avait publiquement communiqué sur le sujet. La publication peut enfin constituer un message dissuasif à l’attention des tiers avec lesquels l’entreprise interagit, tels que ses fournisseurs et partenaires commerciaux.

Nous n’analyserons pas ici les chartes, pourtant réputées, de grands groupes étrangers, notamment français (TotalEnergies, Airbus, ENGIE, …) ou allemands (Siemens, BASF, …). Quelques entreprises luxembourgeoises ont en revanche choisi de publier leurs propres chartes (voir encadré).

453. Le contenu envisageable. Sans prétendre à l’exhaustivité totale, une charte ou un ensemble de chartes anticorruption peut aborder les sujets suivants²⁶ :

• Déclaration de principe et tolérance zéro : positionnement clair de l’instance dirigeante contre toute forme de corruption, active ou passive, publique ou privée.

• Engagement de la direction : l’engagement explicite de la direction, par exemple dans une préface.

• Risques: rappel synthétique des risques encourus par l’entreprise et par les personnes physiques impliquées (pénal, civil, réputationnel).

• Champ d’application : personnes visées (salariés, dirigeants, administrateurs) et, le cas échéant, extension aux tiers agissant pour le compte de l’entreprise (consultants, agents, sous-traitants).

• Définitions et exemples de corruption : distinction entre corruption, pots-de-vin, trafic d’influence, extorsion, commissions occultes, avec des cas concrets pour faciliter la compréhension.

• Paiements de facilitation : interdiction de principe, assortie le cas échéant d’une exception étroite en cas de menace pour la sécurité personnelle du collaborateur.

• Cadeaux et invitations : conditions d’offre et d’acceptation, seuils de valeur, modalités d’approbation et de déclaration, attention particulière portée aux agents publics (voir ci-après).

• Dons, mécénat et parrainage : critères de légitimité, interdiction d’utiliser ces vecteurs pour dissimuler un avantage indu, vigilance à l’égard des bénéficiaires liés à des agents publics.

• Conflits d’intérêts : identification des situations à risque, obligation de déclaration, mécanisme de traitement et de suivi.

• Engagement et évaluation des tiers : principes de connaissance des tiers, catégories de tiers à risque accru (intermédiaires, agents, personnes politiquement exposées), signaux d’alerte à surveiller.

• Contributions politiques et syndicales : interdiction ou encadrement strict des contributions, directes ou indirectes, à des partis politiques (les partis politiques ne peuvent accepter de dons de personnes morales (→ 392), responsables politiques ou syndicaux.

• Relations avec les agents publics : vigilance renforcée, voire interdiction de principe, s’agissant des cadeaux, invitations ou contributions à leur égard.

• Blanchiment de capitaux et financement du terrorisme : rappel des synergies avec le dispositif anticorruption, notamment sur le plan de la connaissance des tiers.

• Voyages et notes de frais : encadrement des dépenses professionnelles, contrôle et documentation des justificatifs.

• Identification claire des interlocuteurs internes (responsable de la conformité, service juridique, hiérarchie) et des canaux de signalement, avec une garantie de protection contre les représailles.

• Régime disciplinaire : conséquences internes en cas de manquement, renvoi vers la procédure disciplinaire applicable.

• Dispositif d’alerte interne : rappel du canal de signalement, garantie de confidentialité et de protection contre les représailles, renvoi vers la charte afférente.

• Gouvernance et rôles : répartition des responsabilités entre l’instance dirigeante, le responsable de la conformité et les managers.

• Formation et sensibilisation : engagement de l’entreprise à former son personnel, en particulier les collaborateurs les plus exposés.

• Modalités de mise à jour : engagement à réviser la charte à intervalles réguliers ou à la suite d’un incident.

Avec l’adoption de la charte, le travail de l’entreprise n’est pas achevé, il ne fait que commencer. Le personnel doit être informé de son existence et de son contenu, et le cas échéant sensibilisé à intervalles réguliers ; des contrôles doivent être mis en place ; le respect de la charte doit être surveillé et, en cas de manquement, sanctionné. En somme, la charte doit être vécue, et non reléguée au rang de document purement formel.

La charte doit également être révisée à intervalles réguliers, ou à la suite d’incidents survenus (→ 424), afin d’intégrer les évolutions législatives et les meilleures pratiques observées, tant au sein de l’entreprise que dans son secteur d’activité.

Il convient enfin de s’assurer que la politique adoptée soit opposable aux salariés, ce qui suppose notamment qu’elle soit portée à leur connaissance, ou à tout le moins rendue aisément accessible, et que les compétences de la délégation du personnel, lorsqu’elles trouvent à s’appliquer, aient été dûment respectées lors de son adoption.

454. Politique de cadeaux et avantages. Parmi les règles destinées à lutter contre la corruption figure la politique d’acceptation de cadeaux ou de gratuités, catégorie qui dépasse le simple objet matériel pour englober également les voyages, billets de spectacle ou de concert, ou toute autre forme d’invitation. Il est particulièrement utile de prévoir ce volet au sein de la charte anticorruption, tant le cadeau constitue, en pratique, l’une des situations les plus fréquemment rencontrées par les collaborateurs dans leurs relations d’affaires.

L’entreprise peut utilement s’inspirer, pour construire sa propre politique, des règles applicables aux acteurs publics (membres du Gouvernement (→ 341), fonctionnaires (→ 381), hauts fonctionnaires (→ 384), Députés (→ 333), membres du Conseil d’État (→ 361). On y trouve généralement une exception pour les cadeaux d’usage ou de courtoisie, sous réserve qu’ils ne dépassent pas un seuil de valeur approximative de 150 euros. Ce seuil peut utilement servir de référence à l’entreprise, à charge pour elle de l’adapter à son secteur d’activité et à ses usages professionnels.

L’entreprise peut cependant, à notre sens, aller plus loin et interdire purement et simplement toute réception de cadeaux, quelle qu’en soit la valeur, même si une telle interdiction peut s’avérer contre-productive au regard des usages de certaines professions ou de certains secteurs où l’échange de cadeaux modestes reste une pratique commerciale courante et attendue. Une voie intermédiaire, largement répandue, consiste à imposer une obligation de déclaration systématique, quelle que soit la valeur du cadeau, ou à partir d’un certain seuil.

Se pose enfin la question de savoir si l’entreprise peut obliger ses salariés à lui remettre les cadeaux reçus, ou à les partager avec leur équipe. La question est délicate, dans la mesure où elle porte sur un bien remis au salarié à titre personnel, dont il devient en principe propriétaire. À notre sens, une telle obligation demeure cependant possible, dès lors que la remise du cadeau est intervenue dans un contexte professionnel et en raison des fonctions exercées par le salarié au sein de l’entreprise : le cadeau, quoique matériellement reçu par une personne physique, trouve alors sa cause exclusive dans la relation d’affaires nouée par l’entreprise elle-même.

La politique relative aux cadeaux et avantages ne doit cependant pas seulement encadrer leur réception. Elle doit également régler la situation inverse, en définissant les conditions dans lesquelles l’entreprise, ses dirigeants ou ses salariés peuvent offrir des cadeaux, invitations, avantages ou promesses à des tiers. Certaines catégories de personnes, en particulier les agents publics, doivent faire l’objet de restrictions renforcées, voire d’interdictions de principe, en raison des risques particuliers de corruption, de trafic d’influence ou d’atteinte à l’impartialité.

D’autres formes de gratuité indirecte méritent également d’être clarifiées par la politique de l’entreprise, à l’instar des programmes de fidélisation de type « Miles & More » ou équivalents, par lesquels un salarié accumule, à titre personnel, des points ou des miles à l’occasion de déplacements professionnels payés par l’entreprise. La politique devrait préciser si de tels avantages peuvent être conservés par le salarié à titre personnel, ou s’ils doivent au contraire être utilisés exclusivement dans l’intérêt de l’entreprise.

Il convient enfin de rappeler que tout avantage reçu dans un contexte professionnel, y compris par un tiers proche du salarié, peut être qualifié d’avantage en nature et donner lieu, à ce titre, à des retenues sociales et fiscales, indépendamment même de toute qualification de corruption.

455. Le règlement intérieur – régime juridique. Il n’est pas obligatoire pour une entreprise de disposer d’un règlement intérieur. Cet instrument est mentionné à divers endroits du Code, sans pour autant être défini. La dénomination exacte importe d’ailleurs à notre avis peu : code de bonne conduite, charte professionnelle, guideline, etc. sont autant d’expressions du pouvoir réglementaire unilatéral de l’emploi. Le règlement intérieur est avant tout un ordre écrit et collectif de l’employeur, puisque l’employeur y exprime – sauf cas de codécision – unilatéralement son pouvoir de direction. La jurisprudence reconnaît en principe la validité d’un règlement intérieur. Le Code du travail reconnaît également implicitement une force juridique au règlement intérieur, puisqu’il déclare nulles les clauses de règlements qui contreviendraient à une convention collective (L. 162-12 (7)) et qui seraient discriminatoires (L. 225-4, L. 241-9, L. 253-3).

Le règlement intérieur constitue un document interne par lequel l’employeur fixe un certain nombre de règles générales applicables dans l’entreprise, notamment en matière d’organisation du travail, de sécurité, de discipline, ou encore d’usage des outils professionnels. La jurisprudence le définit de manière très large : il sert à « déterminer le comportement des partenaires sociaux dans l’exécution de leurs obligations respectives, découlant du contrat d’emploi »³². « La qualification de règlement intérieur présuppose la mise en place d’obligations positives à charge des partenaires sociaux dans l’exécution de leurs obligations découlant du contrat d’emploi »³³.

Il s’agit d’un instrument de cadrage essentiel, qui permet de formaliser les attentes de l’entreprise, de prévenir les dérives et d’assurer une application cohérente de certaines politiques internes. Une politique anti-corruption, quel que soit son nom exact, tombe sous ce concept.

456. Implication de la délégation du personnel. La délégation du personnel est à impliquer pour tout ce qui concerne le « règlement intérieur ». La portée de cette compétence dépend de la taille de l’entreprise. Dans les petites entreprises (15-149 salariés), la délégation du personnel est appelée à rendre son avis sur l’élaboration ou la modification du règlement intérieur de l’entreprise (art. L. 414-3(1) pt. 2). La délégation du personnel a également le droit de proposer des modifications au règlement intérieur (art. L. 414-3(1) pt. 2). Une décision sur cette proposition doit être prise endéans les deux mois, décision qui doit immédiatement être communiquée à la délégation. A partir de 150 salariés, ce régime consultatif cède la place³⁴ à un régime de la codécision s’applique et tant l’établissement que la modification du règlement intérieur, nécessitent un accord entre employeur et délégation (art. L. 414-9 pt. 6). A notre avis, en matière de co-décision, l’absence d’accord de la délégation du personnel rend le règlement interne ou la charte inopposable aux salariés. Ils ne peuvent notamment pas être sanctionnés pour ne pas l’avoir respecté – sauf si la faute aurait aussi pu être sanctionné en l’absence de règlement. Ainsi, à l’évidence, un salarié qui tente de corrompre un prestataire pourra être sanctionné même en l’absence de charte (opposable) ; par contre s’il accepte un cadeau de 60 euros et que la charte posant une limite à 50 euros n’a pas eu l’aval de la délégation, la situation est moins évidente.

457. Autres rôles de la délégation en matière de règlements internes. La délégation du personnel a aussi une mission de « surveiller strictement l’exécution » du règlement intérieur (art. L. 414-3 (1) pt. 2). Ainsi, si elle est associée à son élaboration, elle assume aussi une responsabilité quant à son application. Cela n’implique à notre sens pas qu’elle dénonce immédiatement chaque salarié qui commet un faux-pas. Néanmoins, elle est censée soutenir activement le respect du règlement, par exemple en le rappelant aux salariés ou en adressant à l’employeur une information générale sur le non-respect ou les difficultés d’application de ce règlement. En outre, le Code du travail précise que dans l’exercice de leur mandat, les délégués du personnel doivent continuer à respecter le règlement intérieur (art. L. 415-1).

Section 3 -
Formation et sensibilisation

458. Importance de la formation et de la sensibilisation. Les recommandations de l’AFA distinguent deux niveaux : une sensibilisation de nature générale, destinée à l’ensemble du personnel de l’organisation, et une formation obligatoire, plus approfondie, réservée aux cadres et aux collaborateurs les plus exposés, adaptée à leur métier et aux risques auxquels ils sont susceptibles d’être confrontés dans l’exercice de leurs fonctions (risk-based training). L’identification des bénéficiaires de cette formation ciblée, tout comme son contenu, doivent s’appuyer directement sur la cartographie des risques de l’entreprise : ce sont les fonctions identifiées comme les plus exposées (achats, commercial, relations avec les agents publics, développement international) qui justifient un effort de formation renforcé.

Quelle que soit la modalité retenue, la formation doit permettre à son bénéficiaire, à son issue, de comprendre l’architecture générale du dispositif anticorruption de l’entreprise, d’identifier les risques auxquels il est spécifiquement exposé dans l’exercice de ses missions, et de connaître les mesures et procédures applicables face à de telles situations. Une formation qui se limiterait à rappeler l’existence de la loi ou de la charte, sans permettre au collaborateur de se projeter dans des situations concrètes qu’il pourrait rencontrer, manque cet objectif.

Des indicateurs de suivi et des tests de connaissance devraient par ailleurs être mis en place pour permettre le pilotage de ces formations dans la durée, et pour objectiver leur efficacité réelle au-delà du seul taux de participation.

459. Conseils pratiques. Quelques recommandations pratiques peuvent être formulées :

• Un socle commun pour tous. Une formation générale, souvent dispensée en ligne (e-learning), rappelant les notions essentielles (définition de la corruption, tolérance zéro, canal d’alerte) devrait être suivie par l’ensemble des collaborateurs, y compris les nouveaux entrants dès leur intégration.

• Un approfondissement pour les fonctions exposées. Les collaborateurs occupant des postes identifiés comme à risque par la cartographie (achats, commercial, relations avec les agents publics, direction financière, fusions-acquisitions) devraient bénéficier d’une formation plus approfondie, idéalement en présentiel ou en petit groupe, construite autour de cas pratiques directement inspirés de situations rencontrées par l’entreprise ou son secteur.

• Une formation spécifique pour les supérieurs hiérarchiques. Les managers méritent une formation dédiée, non seulement sur le contenu du dispositif, mais sur leur rôle propre dans sa mise en œuvre : donner l’exemple, encourager la remontée d’alertes, réagir de façon appropriée lorsqu’un collaborateur leur fait part d’une situation à risque.

• Une actualisation régulière du contenu. Le contenu de la formation devrait être révisé à intervalles réguliers pour tenir compte des évolutions réglementaires, des enseignements tirés d’incidents survenus au sein de l’entreprise (→ 424), et des nouvelles typologies de risques identifiées lors des mises à jour de la cartographie.

• Des formats variés et adaptés. Modules en ligne pour le socle commun, ateliers en présentiel ou en visioconférence pour les fonctions à risque, capsules courtes de rappel ponctuel, mises en situation ou jeux de rôle pour ancrer les réflexes en situation réelle.

• La mesure de l’efficacité. Taux de participation, résultats aux tests de connaissance, mais aussi, dans la mesure du possible, des indicateurs plus qualitatifs tels que le nombre de questions posées à la fonction conformité à la suite d’une session de formation, signe d’une bonne appropriation du sujet par les collaborateurs.

La mise en place de formations et d’actions de sensibilisation ne représente pas nécessairement un coût intégralement supporté par l’entreprise. Au Luxembourg, les dépenses engagées dans le cadre de la formation professionnelle continue peuvent, sous certaines conditions, bénéficier d’un cofinancement public. Une formation relative à l’éthique des affaires, à la prévention de la corruption, à la gestion des conflits d’intérêts ou à la conformité peut donc, en principe, être intégrée dans le plan de formation de l’entreprise et ouvrir droit à l’aide financière prévue par la loi³⁵, sous réserve du respect des conditions légales applicables.

La formation anti-corruption est aussi un des sujets à aborder lors du reporting non-financier (→ 404).

460. Implication de la délégation du personnel. Pour les formations relevant de la formation professionnelle continue classique, les plans de formation doivent être soumis pour avis à la délégation du personnel avant leur mise en œuvre³⁶; cette règle vaut pour tous les plans de formation, qu’ils soient cofinancés ou non par l’Etat³⁷. En cas de demande de cofinancement, l’avis de la délégation est à joindre aux demandes de co-financement³⁸. Depuis la Réforme de 2015, et contre l’avis du patronat³⁹, le domaine de la co-décision a été étendu à « l’établissement et la mise en œuvre de tout programme ou action collective de formation professionnelle continue ». La raison en est que ce domaine concerne au premier chef les salariés et leurs compétences, et qu’en règle générale, l’employeur bénéficie de subventions publiques pour ces formations⁴⁰. Contrairement à la plupart des autres domaines soumis à la codécision, la compétence de la délégation du personnel en matière de formation professionnelle continue ne se limite pas à l’établissement du plan de formation, mais s’étend également à sa mise en œuvre. En pratique, il peut toutefois être difficile de soumettre chaque décision opérationnelle à la procédure formelle de codécision, en raison de sa lourdeur. Devraient par exemple relever de la mise en œuvre : la demande de cofinancement, la sélection des salariés, la planification concrètes des formations, le choix du prestataire, etc.

461 à 479. Réservés.