Le risque pénal en entreprise : savoir le gérer juridiquement

Réponse directe. Le risque pénal en entreprise ne se gère pas uniquement lorsque la police, l’inspection du travail, l’administration fiscale ou le parquet intervient. Il doit être traité en amont par une cartographie des infractions possibles, une répartition effective des responsabilités, des délégations de pouvoirs valables, des procédures de contrôle et une conservation organisée des preuves. Lorsqu’une alerte ou un incident survient, l’entreprise doit immédiatement protéger les personnes, préserver les données, qualifier les faits, organiser une enquête interne juridiquement sécurisée et préparer sa défense sans faire obstacle aux investigations.

La responsabilité de la personne morale n’efface pas celle du dirigeant ou des salariés. Une même situation peut donc exposer simultanément la société, son représentant légal, un délégataire et l’auteur matériel des faits. La bonne stratégie consiste à éviter les automatismes : il faut identifier l’infraction précise, son élément matériel, son élément intentionnel ou non intentionnel, la personne ayant disposé du pouvoir de décision et les diligences réellement accomplies.

Pourquoi le risque pénal concerne-t-il toutes les entreprises ?

Le risque pénal ne se limite ni à la corruption ni aux grandes sociétés. Une PME peut être poursuivie à la suite d’un accident du travail, d’un recours à un sous-traitant irrégulier, d’une atteinte aux données personnelles, d’une pollution, d’une pratique commerciale trompeuse, d’un abus de biens sociaux, d’une fraude fiscale, d’un faux document, d’un détournement de clientèle ou d’une violation du secret des affaires.

Trois caractéristiques rendent ce risque particulièrement sensible : la procédure peut commencer brutalement, les preuves numériques sont fragiles et la réputation de l’entreprise peut être affectée avant tout jugement. La prévention doit donc associer direction, ressources humaines, finance, informatique, achats, responsables opérationnels et conseil juridique.

La société peut-elle être pénalement responsable ?

L’article 121-2 du Code pénal prévoit que les personnes morales, à l’exclusion de l’État, sont pénalement responsables des infractions commises pour leur compte par leurs organes ou représentants. Il faut ainsi établir une infraction, l’intervention d’un organe ou d’un représentant et un acte accompli pour le compte de la société.

La qualité de représentant ne se réduit pas nécessairement au seul dirigeant statutaire. Selon l’organisation de l’entreprise, un délégataire de pouvoirs disposant de la compétence, de l’autorité et des moyens nécessaires peut engager la personne morale. La défense doit donc reconstituer la chaîne de décision et non se contenter de l’organigramme officiel.

La responsabilité pénale de la société n’exclut pas celle des personnes physiques auteurs ou complices des mêmes faits. L’entreprise et son dirigeant peuvent être poursuivis ensemble, mais leur défense ne doit pas être artificiellement confondue lorsque leurs intérêts divergent.

Dans quels cas le dirigeant est-il personnellement exposé ?

Le dirigeant peut être poursuivi comme auteur, coauteur ou complice. Pour une infraction intentionnelle, l’accusation doit établir la volonté exigée par le texte. Pour certaines infractions non intentionnelles, l’article 121-3 du Code pénal impose d’examiner les diligences normales au regard des missions, des fonctions, des compétences, du pouvoir et des moyens de la personne poursuivie.

Lorsqu’une personne physique n’a pas causé directement le dommage mais a créé ou contribué à créer la situation ayant permis sa réalisation, ou n’a pas pris les mesures permettant de l’éviter, sa responsabilité suppose les conditions renforcées prévues par l’article 121-3 du Code pénal. Le dossier doit alors distinguer faute simple, violation manifestement délibérée d’une obligation particulière de prudence ou de sécurité et faute caractérisée exposant autrui à un risque d’une particulière gravité.

La fonction de dirigeant ne suffit pas, à elle seule, à démontrer tous les éléments de chaque délit. Toutefois, l’absence de contrôle, la répétition d’alertes ignorées ou l’insuffisance manifeste des moyens alloués peuvent devenir des éléments à charge.

La délégation de pouvoirs protège-t-elle le dirigeant ?

La Chambre criminelle de la Cour de cassation admet que le chef d’entreprise puisse s’exonérer de sa responsabilité dans les domaines où la loi ne l’interdit pas en établissant une délégation confiée à une personne pourvue de la compétence, de l’autorité et des moyens nécessaires. Cette règle a notamment été affirmée par la Chambre criminelle de la Cour de cassation le 11 mars 1993, pourvoi n° 91-80.598.

La délégation n’est pas une formule insérée dans un contrat de travail. Elle doit correspondre à la réalité :

un périmètre précis et cohérent avec l’organisation ;
un délégataire techniquement compétent ;
une autorité permettant de donner des instructions et de sanctionner ;
des moyens humains, matériels et financiers suffisants ;
une acceptation et une mise en œuvre démontrables ;
l’absence d’ingérence permanente du dirigeant dans le domaine délégué.

La preuve d’une délégation n’est soumise à aucune forme particulière, mais elle incombe à celui qui l’invoque. Un écrit daté, actualisé et accompagné des budgets, fiches de poste, formations et décisions réellement prises reste donc indispensable. Une délégation de façade peut aggraver la perception du dossier.

Quels risques faut-il cartographier en priorité ?

Santé et sécurité au travail

L’article L. 4121-1 du Code du travail impose à l’employeur de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. Accidents, équipements non conformes, défaut de formation, risques psychosociaux et sous-traitance doivent faire l’objet d’une évaluation documentée et de mesures effectives.

Travail illégal et sous-traitance

Le risque vise notamment le travail dissimulé, l’emploi d’étrangers sans autorisation, le marchandage et le prêt illicite de main-d’œuvre. Les attestations de vigilance ne remplacent pas l’analyse des conditions réelles d’intervention lorsque des indices d’irrégularité existent.

Probité et conflits d’intérêts

Cadeaux, invitations, commissions, intermédiaires, sponsoring et relations avec des agents publics nécessitent des procédures proportionnées. Pour les entreprises assujetties, l’article 17 de la loi n° 2016-1691 du 9 décembre 2016 impose un dispositif de prévention et de détection de la corruption structuré autour de mesures précisément définies.

Droit des affaires et patrimoine social

Les opérations avec les sociétés liées, la rémunération des dirigeants, les dépenses personnelles, les comptes courants, les conventions, la facturation et l’information financière doivent être traçables. L’approbation comptable ne neutralise pas une infraction pénale.

Données, systèmes d’information et secrets

Accès non autorisés, extraction de fichiers, surveillance des salariés, conservation excessive de données et cyberattaque peuvent engager plusieurs régimes. Les habilitations, journaux de connexion, sauvegardes et procédures de réponse doivent être préparés avant l’incident.

Environnement, consommation et concurrence

Déchets, rejets, sécurité des produits, affichages, pratiques commerciales, ententes et relations avec les consommateurs créent des risques pénaux sectoriels. La cartographie doit donc être adaptée à l’activité réelle de l’entreprise.

Comment construire un dispositif de prévention juridiquement utile ?

Recenser les textes applicables. Identifier les infractions par activité, établissement, fonction et flux financier.
Évaluer le risque concret. Croiser probabilité, gravité, personnes exposées, contrôles existants et incidents passés.
Désigner les responsables. Formaliser fonctions, délégations, reportings et mécanismes d’escalade.
Écrire des procédures utilisables. Une règle trop générale ou inconnue des équipes n’établit aucune diligence réelle.
Former et tester. Conserver la preuve des formations, exercices, contrôles et mesures correctrices.
Contrôler les tiers. Adapter la vigilance au risque présenté par fournisseurs, apporteurs, agents et sous-traitants.
Organiser l’alerte interne. Garantir confidentialité, traçabilité, absence de représailles et traitement impartial.
Actualiser. Réviser le dispositif après chaque incident, changement d’activité, acquisition ou réforme.

Que faire lorsqu’une alerte interne est reçue ?

L’entreprise doit d’abord apprécier l’urgence : risque pour les personnes, poursuite d’une infraction, disparition de preuves, conflit d’intérêts ou obligation de signalement. Les mesures conservatoires doivent rester proportionnées et ne pas préjuger de la culpabilité.

Une enquête interne doit être encadrée par une lettre de mission, un périmètre, une équipe indépendante, des règles d’accès aux données et une méthode d’audition. Le guide conjoint de l’Agence française anticorruption et du Parquet national financier du 14 mars 2023 rappelle l’importance de concilier efficacité des investigations, loyauté et respect des droits et libertés.

Les entretiens doivent être préparés, retracés fidèlement et conduits sans pression. L’accès aux courriels professionnels doit respecter les règles relatives aux données personnelles et aux correspondances identifiées comme personnelles. Les conclusions doivent distinguer faits établis, indices, contradictions et points non vérifiés.

Comment préserver les preuves sans créer un risque supplémentaire ?

Dès l’incident, une instruction de conservation doit suspendre les destructions automatiques pertinentes. Les originaux, métadonnées, journaux, sauvegardes, contrats et messages doivent être conservés de manière intègre et traçable. Il ne faut ni modifier un document, ni reconstruire artificiellement une chronologie, ni demander à un salarié d’effacer un échange.

L’entreprise doit limiter la collecte aux données nécessaires et documenter qui a accédé à quoi. Lorsque la preuve risque de disparaître, l’intervention d’un commissaire de justice ou d’un expert informatique peut sécuriser les constatations. Le secret professionnel de l’avocat doit être organisé dès le début, sans croire qu’une simple copie adressée à l’avocat rendrait automatiquement tout document confidentiel.

Comment réagir à une perquisition ou à une saisie ?

L’accueil doit connaître une procédure simple : vérifier l’identité et le fondement de l’intervention, prévenir immédiatement la direction et l’avocat, désigner un interlocuteur, accompagner les enquêteurs sans obstruction et consigner les opérations. Les équipes ne doivent ni improviser des explications, ni supprimer des données, ni organiser une concertation des témoignages.

Il faut identifier les documents couverts par le secret professionnel, formuler les observations nécessaires et conserver l’inventaire des pièces saisies. Après l’opération, l’entreprise doit établir une chronologie précise, sécuriser la continuité d’activité et anticiper les auditions.

Quels sont les droits du dirigeant entendu ?

Le régime varie selon qu’il s’agit d’une audition libre, d’une garde à vue, d’une audition comme témoin ou d’une mise en examen. La convocation et la qualification procédurale doivent être vérifiées avant toute déclaration. Une préparation avec l’avocat permet de maîtriser les faits, les documents et les risques de contradiction.

Le droit de se taire ne doit pas être confondu avec une stratégie d’obstruction. Il peut être exercé de manière ciblée lorsque les conditions de l’audition ou l’accès au dossier ne permettent pas une réponse sécurisée.

Quelles sanctions la société encourt-elle ?

L’article 131-38 du Code pénal prévoit que le maximum de l’amende applicable à une personne morale est, en principe, égal au quintuple de celui prévu pour une personne physique. Pour les infractions ne prévoyant pas d’amende contre les personnes physiques, le texte fixe un régime spécifique.

Lorsque le texte d’incrimination le permet, l’article 131-39 du Code pénal prévoit notamment la dissolution, l’interdiction d’exercer certaines activités, le placement sous surveillance judiciaire, la fermeture d’établissements, l’exclusion des marchés publics, la confiscation ou l’affichage de la décision. Les conséquences indirectes peuvent être encore plus lourdes : perte d’agrément, résiliation bancaire, exclusion d’appels d’offres, action civile des victimes et atteinte à la réputation.

Peut-on éviter un procès par une convention judiciaire d’intérêt public ?

Dans les matières limitativement prévues, l’article 41-1-2 du Code de procédure pénale permet au procureur de proposer à une personne morale une convention judiciaire d’intérêt public avant la mise en mouvement de l’action publique. Elle peut notamment comporter une amende d’intérêt public, un programme de conformité et la réparation du préjudice de la victime.

La convention doit être validée par le président du tribunal judiciaire. L’exécution des obligations éteint l’action publique à l’égard de la personne morale, sans supprimer les droits de la victime. Ce mécanisme ne constitue ni un droit pour l’entreprise ni une solution universelle ; son opportunité dépend de la qualification, de la qualité de la coopération, de la preuve et des conséquences d’une publication.

Quelle stratégie adopter dès l’apparition du risque ?

protéger immédiatement les personnes et interrompre le comportement dangereux ;
préserver les preuves et suspendre les suppressions automatiques ;
identifier le cadre procédural et les délais ;
constituer une cellule restreinte sans multiplier les échanges sensibles ;
évaluer séparément l’exposition de la société, du dirigeant et des salariés ;
décider si une enquête interne est nécessaire et en fixer les garanties ;
corriger les pratiques sans altérer les preuves du passé ;
préparer une stratégie pénale, sociale, civile et de communication cohérente.

Les erreurs à éviter

croire que la responsabilité de la société protège automatiquement le dirigeant ;
signer une délégation de pouvoirs après l’incident ;
conserver des procédures théoriques jamais appliquées ;
mener une enquête interne sans indépendance ni cadre écrit ;
supprimer ou modifier des courriels et fichiers ;
laisser les salariés répondre seuls lors d’une opération d’enquête ;
diffuser une version des faits avant leur vérification ;
utiliser le même avocat lorsque les intérêts de la société et du dirigeant sont incompatibles ;
négliger les conséquences sociales, civiles, réglementaires et réputationnelles.

FAQ

Une PME peut-elle être condamnée pénalement ?

Oui. L’article 121-2 du Code pénal s’applique indépendamment de la taille de l’entreprise lorsque les conditions de responsabilité de la personne morale sont réunies.

Le dirigeant est-il responsable de toute infraction commise par un salarié ?

Non. Il faut caractériser les éléments de l’infraction et son implication juridique. Cependant, ses obligations, son pouvoir, les alertes reçues et les moyens de prévention seront examinés.

Une délégation non écrite est-elle valable ?

La jurisprudence n’impose pas nécessairement un écrit, mais celui qui invoque la délégation doit la prouver. En pratique, une délégation écrite et mise en œuvre est beaucoup plus sûre.

Faut-il signaler spontanément les faits au parquet ?

La réponse dépend de l’infraction, des obligations légales applicables, du risque en cours et de la stratégie de défense. Une décision de signalement ne doit être prise qu’après une analyse juridique documentée.

L’enquête interne est-elle confidentielle ?

Pas automatiquement. Sa confidentialité dépend de son organisation, de la qualité des intervenants et des règles applicables. L’intervention de l’avocat doit être structurée dès l’origine.

Anticiper et défendre le risque pénal de l’entreprise

Benlaw Avocats accompagne les entreprises et leurs dirigeants dans la cartographie des risques, la rédaction des délégations de pouvoirs, la gestion des alertes, les enquêtes internes, les perquisitions, auditions et procédures devant les juridictions pénales. L’intervention vise à préserver les preuves, les droits de la défense et la continuité de l’activité.

Sources officielles

Article d’information générale vérifié le 14 septembre 2026. Il ne remplace pas l’analyse des faits, de l’infraction et de la procédure propres à chaque entreprise.