AFA, Cour des comptes : pour le gestionnaire public, l'heure de la conformité démontrable

Le 9 juillet 2026, l'Agence française anticorruption a prononcé sa première sanction pécuniaire directe au titre de l'article 17 de la loi Sapin II. Cette décision vise une entreprise, mais elle envoie un message que les acteurs publics ont tout intérêt à entendre, d'autant que leur propre responsabilité financière est désormais engagée devant la Cour des comptes.

Le 9 juillet 2026, l'AFA est passée à la sanction

Près de dix ans après la loi Sapin II, la commission des sanctions de l'AFA a rendu sa décision n° 25-01. Pour la première fois, elle a infligé des sanctions pécuniaires : 350 000 euros à une société (anonymisée sous le nom de « société V. ») et 60 000 euros à titre personnel à son président.

Deux éléments rendent cette décision particulièrement marquante.

D'abord, la sanction est directe. Jusqu'ici, les rares saisines de la commission des sanctions passaient par une phase d'injonction de mise en conformité. Cette fois, la commission a validé la possibilité d'être saisie directement aux fins de sanction, les manquements étant appréciés à la date du rapport de contrôle définitif. Autrement dit, se mettre en conformité une fois le contrôle terminé ne suffit plus.

Ensuite, ce qui est sanctionné n'est pas un fait de corruption. C'est l'absence ou l'insuffisance du dispositif de prévention. La commission a retenu sept manquements, parmi lesquels l'absence de cartographie des risques, un code de conduite incomplet, l'absence de régime disciplinaire adapté, l'absence de procédure d'évaluation des tiers, l'absence de formation des personnels les plus exposés et l'insuffisance des dispositifs de contrôle et d'évaluation interne.

Le message est limpide : un dispositif qui existe sur le papier mais que l'on ne peut pas démontrer ne protège pas.

Et le secteur public dans tout ça ?

Soyons précis, car le sujet l'exige. Cette sanction a été prononcée au titre de l'article 17 de la loi Sapin II, qui concerne les grandes entreprises. Les administrations de l'État, les collectivités territoriales et leurs établissements publics relèvent de l'article 3. Pour eux, l'AFA contrôle la qualité et l'efficacité des procédures de prévention de la corruption et formule des recommandations, mais la loi ne lui donne pas de pouvoir de sanction à leur égard.

Faut-il en conclure que les acteurs publics peuvent regarder cette décision de loin ? Ce serait une erreur, pour deux raisons.

La première : l'AFA contrôle bien les acteurs publics, sur la base d'un référentiel largement aligné sur celui des entreprises. Ses constats successifs ont régulièrement souligné une faible maturité des entités publiques dans la maîtrise des risques d'atteinte à la probité. Un rapport de contrôle défavorable, même sans amende, reste un risque réputationnel et peut conduire à un signalement au procureur si des faits le justifient.

La seconde, et la plus importante : pour les agents publics, la sanction personnelle existe déjà. Elle ne vient pas de l'AFA, mais de la Cour des comptes.

Depuis 2023, le gestionnaire public répond personnellement de sa gestion

L'ordonnance du 23 mars 2022, entrée en vigueur le 1er janvier 2023, a unifié le régime de responsabilité financière des gestionnaires publics. Elle a remplacé l'ancienne Cour de discipline budgétaire et financière et la responsabilité personnelle et pécuniaire des comptables par un régime unique, jugé par la chambre du contentieux de la Cour des comptes, avec appel devant la Cour d'appel financière.

Ce régime concerne un spectre très large : ordonnateurs, comptables, directeurs, responsables de service, agents, fonctionnaires comme contractuels, dans les trois versants de la fonction publique.

Au cœur du dispositif, l'infraction de faute grave ayant causé un préjudice financier significatif, commise en violation des règles d'exécution des recettes et des dépenses ou de gestion des biens publics. À côté, d'autres infractions visent notamment l'engagement de dépenses sans en avoir le pouvoir, le défaut de production des comptes ou la gestion de fait.

Les sanctions sont des amendes plafonnées à six mois de rémunération annuelle, ou à un mois pour les infractions formelles, fixées en fonction de la gravité des faits, de leur éventuelle réitération et de l'importance du préjudice.

Ce régime n'est pas théorique. Selon un bilan publié fin 2025 par le cabinet CMS, huit des dix infractions prévues avaient déjà donné lieu à des condamnations. Et elles ne concernent pas que les grandes structures. Par une décision du 7 octobre 2024, la Cour des comptes a condamné à 1 000 euros d'amende la responsable des services de Sainte-Eulalie-en-Born, commune landaise de 1 200 habitants, qui n'avait pas transmis dans les délais plusieurs déclarations d'arrêts de travail à l'assureur de la commune. Le préjudice, plus de 44 000 euros non pris en charge, a été jugé significatif au regard du budget communal. La Cour a tenu compte de la charge de travail importante de l'agent pour modérer l'amende, mais elle l'a condamnée.

La question qui change tout : pouvez-vous le prouver ?

Qu'il s'agisse d'un contrôle de l'AFA ou d'une procédure devant le juge financier, la même question finit toujours par se poser : qu'avez-vous mis en place, et pouvez-vous le démontrer ?

Le régime de responsabilité des gestionnaires publics contient d'ailleurs une disposition qui illustre parfaitement cet enjeu. L'article L. 131-5 du code des juridictions financières prévoit que le justiciable qui agit conformément aux instructions préalables de son supérieur hiérarchique et d'une personne habilitée n'est passible d'aucune sanction. La responsabilité se reporte alors sur celui qui a donné l'instruction. Seule exception : l'instruction manifestement illégale et de nature à compromettre gravement un intérêt public.

Cette protection est précieuse. Mais elle suppose de pouvoir établir qui a décidé quoi, quand, et sur quelle base. Sans trace, pas de preuve. Sans preuve, pas de protection.

Ce que regardent réellement le contrôleur et le juge

Les décisions récentes permettent d'identifier trois questions très concrètes, qui reviennent quelle que soit l'autorité.

Qui était responsable ? Dans l'affaire de Sainte-Eulalie-en-Born, la Cour des comptes a d'abord vérifié que la transmission des arrêts de travail incombait bien à la responsable des services, ce que l'intéressée a confirmé. Avant de parler de faute, le juge établit la répartition des rôles. Une organisation où les tâches sensibles ne sont attribuées à personne de manière claire expose tout le monde : ceux qui auraient dû agir, comme ceux qui pensaient que quelqu'un d'autre s'en chargeait.

Le dispositif fonctionnait-il au moment du contrôle ? La commission des sanctions de l'AFA a apprécié les manquements à la date du rapport de contrôle définitif, et l'un des griefs retenus portait précisément sur l'absence de contrôle et d'évaluation interne du dispositif lui-même. Ce qui compte n'est pas d'avoir produit une cartographie ou une procédure un jour, mais de pouvoir montrer qu'elles sont appliquées, suivies et actualisées.

Comment le gestionnaire s'est-il comporté ? Pour fixer l'amende, le juge financier prend en compte des circonstances aggravantes ou atténuantes : la bonne ou mauvaise foi, la répétition des irrégularités, la persistance malgré des avertissements, le montant du préjudice et les moyens dont disposait le gestionnaire. Autrement dit, un agent qui peut montrer qu'il a identifié un risque, alerté, demandé des moyens ou mis en place un contrôle ne se présente pas devant le juge dans la même position que celui qui ne peut rien produire.

De la conformité déclarée à la conformité démontrée

Ces trois questions dessinent ce qu'est, aujourd'hui, un dispositif protecteur. Il ne se résume pas à des documents : c'est une organisation capable de rendre compte d'elle-même, avec :

• des risques identifiés, évalués et reliés aux contrôles qui les couvrent ;

• des contrôles planifiés, réalisés et documentés ;

• des décisions, des instructions et des validations tracées, avec leur auteur et leur date ;

• des responsabilités clairement attribuées ;

• des alertes et des plans d'action suivis jusqu'à leur clôture ;

• un historique conservé et opposable, qui ne disparaît pas quand un agent change de poste.

C'est cette capacité à démontrer, et non la seule existence d'un document, qui protège aujourd'hui l'organisation comme les femmes et les hommes qui la font fonctionner.

En résumé

La décision de l'AFA du 9 juillet 2026 marque la fin d'une conformité déclarative dans le secteur privé. Le secteur public n'est pas soumis aux mêmes sanctions de l'AFA, mais ses gestionnaires sont, depuis 2023, personnellement responsables devant la Cour des comptes. Dans les deux cas, la protection repose sur la même chose : un dispositif réel, vivant et traçable.

La responsabilité du gestionnaire public est désormais personnelle. Sa protection doit être organisée.

ISODIT est une plateforme GRC souveraine conçue nativement pour le secteur public français. Elle accompagne les acteurs publics dans la structuration de leur dispositif de maîtrise des risques et de contrôle interne. Pour échanger sur votre situation, contactez-nous.

Sources

• Commission des sanctions de l'AFA, décision n° 25-01 du 9 juillet 2026 (publiée sous forme anonymisée)

• Loi n° 2016-1691 du 9 décembre 2016 dite « Sapin II », articles 3 et 17

• Ordonnance n° 2022-408 du 23 mars 2022 relative au régime de responsabilité financière des gestionnaires publics

• Code des juridictions financières, articles L. 131-5 et L. 131-9 et suivants

• Cour des comptes, décision du 7 octobre 2024, Commune de Sainte-Eulalie-en-Born (Landes)

• Réponse du ministère de l'Action et des Comptes publics à la question écrite n° 04927 de M. Mathieu Darnaud, JO Sénat du 27 novembre 2025

• Direction des affaires juridiques des ministères économiques et financiers, Lettre de la DAJ du 23 octobre 2024 (economie.gouv.fr)