Audit sanctions en entreprise — la checklist complète d'auto-contrôle avant inspection

État du droit au : 2026-05-26.

Si vous savez déjà que votre entreprise doit réaliser un sanction screening — il est temps de vérifier que vous le faites réellement d’une manière qui résisterait à un contrôle de la Douane (DGDDI), de Tracfin ou d’un inspecteur en matière de sanctions. L’audit sanctions n’est pas un processus complexe nécessitant des auditeurs externes. C’est une auto-évaluation interne, réalisable en une après-midi — à condition de disposer d’une checklist.

Dans cet article, vous trouverez 10 domaines à parcourir l’un après l’autre, avec des questions de contrôle concrètes, la base juridique et une indication de ce qui révèle un manque de préparation.

TL;DR

• L’audit sanctions prend 90 à 180 minutes pour une PME type (10 à 250 personnes). Il ne nécessite pas d’auditeur externe.
• Vous vérifiez 10 domaines — de la désignation d’un responsable conformité jusqu’à la documentation des décisions.
• 3 domaines critiques (BLOCK) : absence de responsable conformité, absence de procédure de vérification du client, absence de liste de sanctions effectivement utilisée — ce sont des manquements que le contrôleur repérera dans les premières minutes.
• Priorité corrective : BLOCK → 7 jours, correctif majeur → 30 jours, correctif mineur → 90 jours.
• L’audit doit être répété une fois tous les 12 mois ou après un changement important (nouveau secteur, nouveau marché, nouvelle liste de sanctions).

Qu’est-ce qu’un audit sanctions et en quoi diffère-t-il d’un audit LCB-FT

L’audit sanctions est une évaluation interne visant à déterminer si l’entreprise respecte les obligations issues :

• des règlements de l’UE 269/2014 (gel des avoirs des personnes)¹ et 833/2014 (sanctions sectorielles contre la Russie)²,
• du règlement 765/2006 (Biélorussie)³,
• du Code monétaire et financier (art. L574-3) et du Code pénal, qui fournissent le cadre national d’exécution et de répression de ces règlements⁴,
• du registre national des gels d’avoirs tenu par la DG Trésor⁵.

L’audit LCB-FT, en revanche, couvre l’ensemble des obligations issues du dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme (Code monétaire et financier, Livre V, titre VI)⁶ — notamment le KYC (« connaissance du client »), l’évaluation du risque client, la déclaration de soupçon à Tracfin et l’identification du bénéficiaire effectif.

La différence essentielle : l’audit sanctions couvre un périmètre plus large de destinataires. Le régime des sanctions s’applique directement (règlements de l’UE) à toutes les entreprises de l’UE — pas seulement aux entités dites assujetties. Autrement dit : même si votre entreprise n’est pas une entité assujettie au sens de la LCB-FT, elle doit respecter les sanctions de l’UE.

Les différences entre LCB-FT et sanctions sont détaillées dans l’article LCB-FT vs sanctions — les différences.

Qui doit réaliser l’audit

L’audit doit être réalisé par toute entreprise remplissant au moins l’une des conditions suivantes :

1. Elle est une entité assujettie au sens des articles L561-2 et suivants du Code monétaire et financier⁶ — experts-comptables, conseils fiscaux, agents immobiliers, bureaux de change, courtiers en assurance, prestataires de services sur actifs numériques, négociants en biens de luxe au-dessus de 10 000 EUR, etc.
2. Elle réalise des opérations internationales — exportation, importation, services à des clients étrangers, affacturage export, crédit-bail transfrontalier.
3. Elle fournit des services financiers à titre non bancaire — crédit-bail opérationnel, affacturage, vente à tempérament, prêts à la consommation en dessous des seuils LCB-FT.
4. Elle répond à des marchés publics — art. L2141-1 et suivants du Code de la commande publique + art. 5k du règl. 833/2014 (en savoir plus dans notre article sanctions et marchés publics).
5. Elle traite avec des clients de pays à risque — Russie, Biélorussie, Iran, Corée du Nord, pays visés par certaines sanctions sectorielles.

En pratique — dans nos secteurs prioritaires — l’audit devrait être réalisé par toutes les entreprises du tourisme, de l’assurance, de l’immobilier, du crédit-bail et de l’e-commerce. De même que les cabinets comptables et les cabinets d’avocats — en tant qu’entités assujetties.

La checklist proprement dite — 10 domaines à vérifier

Procédez dans l’ordre. Chaque domaine = une question principale + 2 à 3 questions de contrôle. La réponse est OUI / NON / PARTIELLEMENT. Ne consultez pas les priorités à l’avance — constatez vous-même l’ampleur des lacunes dans l’entreprise.

1. Responsable conformité — désigné et connu ?

Question principale : Votre entreprise a-t-elle désigné une personne chargée du sanction screening et de la conformité ? (Ce peut être la même personne que celle chargée de la LCB-FT, ou une personne distincte.)

Questions de contrôle :

• La décision de désignation est-elle écrite (décision du dirigeant ou de l’organe de direction, attestation du salarié) ?
• Cette personne a-t-elle accès aux listes de sanctions et aux outils de vérification ?
• Sait-on dans l’entreprise à qui signaler une correspondance suspecte ?

Base juridique : art. L561-32 du Code monétaire et financier⁶ (pour les entités assujetties) — obligation de désigner un membre de la direction responsable de la mise en œuvre des obligations LCB-FT. Pour les entreprises non assujetties — exigence de bonne gestion des risques ; en cas de contrôle des sanctions, l’absence de personne désignée = grief de carence.

Ce qui révèle un manque : « personne en particulier ne s’en occupe », « la direction supervise de manière générale », l’absence de personne identifiée dans la réponse.

Conseil : dans une PME de 10 à 50 personnes, il s’agit généralement du directeur administratif et financier, du responsable comptable ou d’un mandataire. Dans les entreprises plus grandes — une fonction Compliance / Compliance Officer dédiée. Une approche pratique de cette fonction est décrite dans l’article Compliance Officer dans une PME.

2. Procédure interne de sanction screening — rédigée ?

Question principale : Disposez-vous d’un document écrit décrivant quand et comment vous vérifiez une contrepartie face aux listes de sanctions ?

Questions de contrôle :

• Le document précise-t-il le moment de la vérification (avant la conclusion du contrat, avant le premier paiement, périodiquement) ?
• Précise-t-il quelles listes sont consultées (UE, DG Trésor, OFAC, ONU, UK OFSI) ?
• Précise-t-il qui prend la décision en cas de MATCH / POSSIBLE ?

Base juridique : art. L561-32 du Code monétaire et financier⁶ (procédures internes des entités assujetties). Pour les autres entreprises — élément du devoir de diligence raisonnable découlant de l’applicabilité directe des règlements de l’UE.

Ce qui révèle un manque : « chaque salarié le fait à sa façon », « on vérifie à l’intuition », « c’est quelque part dans un e-mail de l’avocat ».

Conseil : la procédure doit être opérationnelle — décrite en 2 à 4 pages dans un langage que le commercial comprendra. Pas un document de 30 pages rédigé par un juriste. La structure type d’une telle procédure relève d’une politique de sanctions formalisée.

3. Registre des correspondances — tenu et à jour ?

Question principale : Tenez-vous un registre des cas où le système de vérification a renvoyé un MATCH ou un POSSIBLE — avec la décision et sa motivation ?

Questions de contrôle :

• Chaque entrée comporte-t-elle une date, un identifiant client, la liste source, le type de résultat ?
• Chaque décision (poursuite / refus / déclaration à Tracfin) est-elle motivée ?
• Le registre est-il inaltérable (append-only) — impossible à « corriger » a posteriori ?

Base juridique : art. L561-12 du Code monétaire et financier⁶ (conservation des documents relatifs aux relations d’affaires pendant 5 ans). Pour le gel des avoirs — art. L562-1 et suivants du Code monétaire et financier⁴ (obligation de documentation).

Ce qui révèle un manque : absence de registre, notes ad hoc dans un tableur sans versionnement, « c’est dans le CRM mais personne n’y a jamais regardé ».

Conseil : un registre des correspondances avec champs obligatoires et modèle de décision relève de la documentation interne d’auto-contrôle.

4. Politique de sanctions — existe-t-elle et est-elle signée ?

Question principale : L’entreprise dispose-t-elle d’un document écrit de politique de sanctions, approuvé par l’organe de direction ou le dirigeant ?

Questions de contrôle :

• Précise-t-il qui, quand et par quels moyens nous vérifions ?
• Comporte-t-il des références à des actes juridiques précis (règl. 269/2014, 833/2014, Code monétaire et financier art. L574-3, Code pénal art. 131-38) ?
• Précise-t-il que faire en cas de MATCH (procédure d’escalade) ?
• Est-il à jour (revue au moins une fois par an) ?

Base juridique : art. L561-32 du Code monétaire et financier⁶ — procédure interne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, dont les obligations en matière de sanctions font partie ; art. L562-1 et suivants du Code monétaire et financier⁴ — obligations de documentation en matière de gel des avoirs.

Ce qui révèle un manque : « on n’a pas de politique, mais on a une procédure », « le document dort dans un tiroir chez l’avocat », « personne ne l’a jamais lu ».

5. Clause de sanctions dans les contrats commerciaux — ajoutée ?

Question principale : Les contrats conclus avec les contreparties comportent-ils une clause de sanctions ?

Questions de contrôle :

• La clause comporte-t-elle une déclaration de la contrepartie attestant qu’elle n’est pas visée par des sanctions ?
• Vous donne-t-elle un droit de résiliation en cas d’inscription de la contrepartie sur une liste ?
• Couvre-t-elle l’obligation d’information en cas de changement de structure de propriété ?

Base juridique : principe de la liberté contractuelle (art. 1102 du Code civil) — la clause n’est pas exigée par la loi, mais son absence signifie qu’en cas d’inscription de la contrepartie sur une liste, vous ne disposez pas d’instruments permettant de rompre le contrat en sécurité. Pratique de marché également recommandée dans le contexte des marchés publics⁷.

Ce qui révèle un manque : « on a de vieux modèles de contrats, d’avant 2022 », « les contrats se signent sans clause, parce que personne ne les lit ».

Conseil : la clause de sanctions dans les contrats commerciaux doit aussi couvrir la question des marchés publics, si l’entreprise y répond.

6. Formation des salariés — réalisée et documentée ?

Question principale : Les salariés en contact avec la clientèle (vente, accueil, comptabilité, juridique) ont-ils été formés aux règles de vérification en matière de sanctions ?

Questions de contrôle :

• Les formations sont-elles périodiques (recommandé : au moins une fois tous les 12 mois) ?
• Existe-t-il une feuille de présence / une attestation de participation ?
• Les supports de formation comportent-ils des cas concrets propres à votre secteur ?
• Le salarié sait-il reconnaître les signaux d’une opération suspecte (red flags) ?

Base juridique : art. L561-33 du Code monétaire et financier⁶ — formation des salariés des entités assujetties ; obligation à caractère récurrent.

Ce qui révèle un manque : « on les forme au fil de l’eau », « chacun sait ce qu’il a à faire », l’absence de document attestant la formation.

Conseil : un plan-cadre de formation et une checklist des thèmes à aborder relèvent du programme interne de sensibilisation aux sanctions de l’UE.

7. Mise à jour des listes de sanctions — processus et fréquence

Question principale : À quelle fréquence vérifiez-vous les mises à jour des listes de sanctions (annexe I de l’UE, liste SDN de l’OFAC, UN Consolidated List) ?

Questions de contrôle :

• Avez-vous défini les sources des listes (URL, formats) ?
• Le processus de mise à jour est-il quotidien ou ad hoc ?
• En cas d’élargissement d’une liste (nouveau paquet de sanctions de l’UE), vérifiez-vous à nouveau les clients actifs ?
• Avez-vous des alertes / un abonnement aux extensions de listes ?

Base juridique : règlements de l’UE 269/2014 et 833/2014¹² — les mesures s’appliquent dès leur entrée en vigueur. L’entrée en vigueur d’un paquet de sanctions intervient souvent le jour suivant sa publication au Journal officiel de l’UE — l’absence de mise à jour quotidienne = risque de réaliser une opération avec une entité nouvellement inscrite avant votre réaction.

Ce qui révèle un manque : « on a vérifié à la conclusion du contrat », « quelqu’un y jette un œil une fois par trimestre », « on a un outil payant, mais personne ne sait s’il se met à jour ».

Conseil : les sources les plus critiques : la liste consolidée de l’UE, la liste de l’ONU, la liste OFAC.

8. Procédure de traitement en cas de MATCH / POSSIBLE — décrite ?

Question principale : Disposez-vous d’étapes écrites de traitement en cas de correspondance (MATCH ou POSSIBLE) ?

Questions de contrôle :

• Qui reçoit la notification ?
• Quelles étapes engage-t-il (escalade vers la conformité, suspension de l’opération, vérification d’une deuxième source) ?
• Dans quel délai la décision finale est-elle prise ?
• Existe-t-il une procédure de déclaration à Tracfin (formulaire, délai, personne responsable) ?

Base juridique : art. L561-15 du Code monétaire et financier⁶ — obligation de déclaration de soupçon à Tracfin ; art. L562-1 et suivants du Code monétaire et financier⁴ — obligations en cas de constat d’un gel d’avoirs.

Ce qui révèle un manque : « on n’a pas encore eu ce cas de figure », « on appellera sans doute l’avocat », « les faux positifs, on les ignore parce que de toute façon personne ne vérifiera ».

Conseil : le traitement correct des résultats relève de la gestion des faux positifs en sanction screening.

9. Évaluation du risque client — réalisée avant la conclusion du contrat ?

Question principale : Avant de conclure un contrat avec une nouvelle contrepartie, évaluez-vous le niveau de risque en matière de sanctions (pays, secteur, structure de propriété, contexte de l’opération) ?

Questions de contrôle :

• Existe-t-il un formulaire d’évaluation du risque (KYC allégé) ou une notation ?
• Traitez-vous différemment les clients à haut risque (pays visés par des sanctions sectorielles, structures offshore, absence de transparence sur le bénéficiaire effectif) ?
• Documentez-vous la décision de conclure le contrat malgré un risque identifié ?

Base juridique : art. L561-4-1 et art. L561-9 du Code monétaire et financier⁶ — mesures de vigilance proportionnées au risque que présente le client ; approche par les risques.

Ce qui révèle un manque : « on se fie au bon sens », « on n’a pas d’évaluation du risque, soit le client est là, soit il n’y est pas », l’absence de distinction entre un client français et un client chypriote.

Conseil : le processus détaillé — vérification de la contrepartie au regard des sanctions.

10. Documentation des décisions — 5 ans, inaltérable, accessible ?

Question principale : Toutes les décisions en matière de sanctions (vérification, MATCH, escalade, déclaration à Tracfin, décision de la direction) sont-elles documentées et conservées pendant 5 ans à compter de la fin de la relation d’affaires ?

Questions de contrôle :

• Les documents sont-ils conservés de manière protégée contre toute modification (système avec journal d’audit, sauvegardes) ?
• En cas de contrôle, savez-vous où se trouvent les documents de 2022 (4 ans en arrière) ?
• Les décisions sont-elles signées (électroniquement ou manuscritement) par le responsable conformité ou une personne habilitée ?

Base juridique : art. L561-12 du Code monétaire et financier⁶ — les entités assujetties conservent les documents pendant une durée de 5 ans à compter de la fin de la relation d’affaires. Un délai identique s’applique à la documentation en matière de sanctions (art. L561-12 du Code monétaire et financier ; art. L562-1 et suivants pour le gel des avoirs⁴).

Ce qui révèle un manque : « les documents sont quelque part dans un e-mail », « la comptabilité a archivé ça, mais on ne sait pas où », l’impossibilité d’accéder en 30 minutes à des documents datant de 2 ans.

Que faire des lacunes — priorités correctives

Après avoir parcouru les 10 domaines, vous avez un résultat. Place maintenant aux priorités :

BLOCK — à corriger sous 7 jours

Si, dans les domaines #1, #2, #3, vous avez répondu NON — c’est un BLOCK. Le contrôleur repérera ces lacunes dans les premières minutes de l’inspection.

Conséquence d’une carence : sanctions pénales prévues par l’art. L574-3 du Code monétaire et financier — 5 ans d’emprisonnement et 750 000 € d’amende, montant porté à 3 750 000 € pour les personnes morales (art. 131-38 du Code pénal)⁸. Présentation détaillée des sanctions — sanctions pénales en cas de violation des sanctions.

Correctif majeur — à corriger sous 30 jours

Les domaines #4, #5, #6, #7 — une lacune = correctif majeur. Le contrôleur le repérera lors de la deuxième étape de l’inspection (après examen des documents).

Correctif mineur — à corriger sous 90 jours

Les domaines #8, #9, #10 — une lacune = correctif mineur. Le contrôleur le repérera lors de la troisième étape (examen de cas concrets).

Comment se préparer à un contrôle de la Douane / de Tracfin

Le contrôle de la conformité interne en matière de sanctions peut être mené par plusieurs autorités :

• Tracfin — la cellule de renseignement financier (rattachée au ministère de l’Économie et des Finances) reçoit les déclarations de soupçon et contrôle l’exécution des obligations LCB-FT, sanctions comprises, par les entités assujetties⁹.
• La Douane (DGDDI) — contrôle les obligations des entreprises en matière de sanctions dans les échanges avec l’étranger (exportation, importation, embargos commerciaux)¹⁰.
• La DG Trésor (Direction générale du Trésor) — supervise le gel des avoirs et tient le registre national des personnes et entités faisant l’objet d’une mesure de gel⁵.
• Code de la commande publique — l’exclusion des opérateurs sanctionnés des procédures de marchés publics relève des art. L2141-1 et suivants⁷.

Ce que le contrôleur exige généralement :

1. La politique de sanctions (#4)
2. La procédure interne de screening (#2)
3. Le registre des correspondances (#3)
4. Les documents de désignation du responsable conformité (#1)
5. Les supports et feuilles de présence des formations (#6)
6. Les journaux du système de screening — preuve de la vérification de clients précis (#3, #10)
7. La procédure en cas de MATCH + des exemples d’application (#8)
8. Les clauses de sanctions dans des contrats sélectionnés (#5)

Si vous êtes en mesure de remettre ces éléments au contrôleur en 60 minutes — vous êtes prêt. Si vous devez d’abord les rassembler — vous avez des lacunes dans les domaines #1 à #10.

Comment Sanqto vous aide

Sanqto est un logiciel de sanction screening installé on-premise — les données de vos clients ne quittent pas votre infrastructure. Dans le cadre de l’audit sanctions, nous couvrons directement plusieurs domaines de la checklist :

• Domaine #2 (procédure) : procédure de vérification intégrée + journal d’audit de chaque décision.
• Domaine #3 (registre des correspondances) : registre automatique avec champs obligatoires et durée de conservation de 5 ans.
• Domaine #7 (mise à jour des listes) : synchronisation quotidienne des listes UE, DG Trésor, OFAC, ONU.
• Domaine #10 (documentation) : enregistrement inaltérable des décisions, avec journal d’audit et sauvegardes.

Vous recevez en outre un pack de mise en œuvre : politique de sanctions, instruction de poste, modèle de clause de sanctions, formulaire d’évaluation du risque. Cela couvre les domaines #1, #4, #5, #9.

Demandez une démo ou découvrez le produit Sanqto.

Base juridique

• Code monétaire et financier, Livre V, titre VI (LCB-FT), art. L561-2 et suivants (catalogue des assujettis), L561-12 (conservation 5 ans), L561-15 (déclaration de soupçon à Tracfin), L561-32 (procédures internes et responsable de la mise en œuvre), L561-33 (formation), L562-1 et suivants (gel des avoirs), L574-3 (sanctions pénales)⁶.
• Projet de loi n° 2544 (déposé le 3 mars 2026) — transposition en cours de la directive (UE) 2024/1226 ; les règlements de l’UE 269/2014, 833/2014 et 765/2006 sont directement applicables et n’ont pas besoin d’être transposés⁴.
• Règlement (UE) 269/2014 (gel des avoirs des personnes et entités) — annexe I¹.
• Règlement (UE) 833/2014 (sanctions sectorielles contre la Russie) — annexes IV à XXVI².
• Règlement (CE) 765/2006 (Biélorussie)³.
• Registre national des gels d’avoirs — DG Trésor⁵.
• Code pénal, art. 131-38 (multiplication par cinq de l’amende pour les personnes morales)⁸.

Information, pas de conseil juridique. Cet article est fourni uniquement à titre informatif et ne constitue pas un conseil juridique. L’analyse juridique d’une situation individuelle doit être effectuée avec un avocat compétent en droit des sanctions internationales et en droit du commerce extérieur. État du droit : 26 mai 2026.