🚧La clause d’audit, carrousel de la contractualisation de la Compliance

1. Clause d’audit : la clause de Compliance la plus citée, la plus courante : l’externalisation de techniques de contrôle interne sur un tiers. Dans ce silence qui pour l’instant entoure encore la pratique contractuelle active de la Compliance, pratique masquée par l’obsession du corpus réglementaire, la clause qui a pour objet de prévoir un audit organisé par l’un des contractants dans l’entreprise de l’autre contractant est celle qui est sans doute la plus citée par les auteurs¹La « clause d’audit » est d’une façon générale relativement peu décrite et commentée. V. cependant les intéressantes études d’Arnaud Lecourt, « La clause d’audit », AJ Contrats d’affaires – Concurrence – Distribution (AJCA), 2014, pp. 271-272, ou de F.-L. Simon, « Les mystères de la clause d’audit : les écueils à éviter », La Lettre des réseaux, 28 mars 2022. Sur la mention d’une technique d’audit au sein d’une clause plus globale de conformité ou de Compliance, voir dans la doctrine française : 🕴️M.-A. Frison-Roche, 📝« Contrat de Compliance, clauses de Compliance », D. 2022, chron., pp. 2115-2117 ; J.-Ch. Roda, « La clause de compliance », in F. Buy, J. Heinich, M. Lamoureux, J. Mestre et J.-Ch. Roda (dir.), Les principales clauses des contrats d’affaires, 3e éd., Lextenso - LGDJ, 2025, pp. … ; L. Tenreira, « La rédaction des clauses d’application du devoir de vigilance par les Global Lawyers : l’exemple des clauses de flow-down », Revue de droit des affaires internationales, n° 5, 2022, pp. 453-466 ; N. Ida, « Contrat et devoir de vigilance des sociétés », JCP E, juillet 2023, pp. 17-26 ; Y. Queinnec, « La clause RSE, levier incontournable de vigilance », Revue Lamy droit des affaires, juillet 2018, n° 139 ; Dans la doctrine anglophone : D. V. Snyder, S. Maslow et S. Dadush, « Balancing Buyer and Supplier Responsibilities: Model Contract Clauses to Protect Workers in International Supply Chains, Version 2.0 », The Business Lawyer, vol. 77, n° 1, 2021-2022, pp. 115-182 ; K. Parella, « Contractual Stakeholderism », Boston University Law Review, vol. 102, 2022, pp. 865 s. ; Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain », Boston College Law Review, vol. 63, 2022, pp. 2539 s. ; S. Dadush, « Prosocial Contracts: Making Relational Contracts More Relational », Law and Contemporary Problems, vol. 85, n° 2, 2022, pp. 153-175. J. L. Short, M. W. Toffel et A. R. Hugill, « Monitoring Global Supply Chains », Strategic Management Journal, vol. 37, n° 9, 2016, pp. 1878-1897.. Il s’agit le plus souvent pour l’un des contractants de s’assurer que son cocontractant « se conforme » à des réglementations de Compliance au regard desquelles il doit lui-même rendre des comptes. On en verra les modalités, mais c’est bien actuellement l’essentiel : c’est parce que les diverses réglementations de Compliance exigent de leurs assujettis des contrôles et des évaluations sur les tiers, dont les manquements peuvent engager la responsabilité du premier contractant, entreprise puissante légalement assujettie, que ces stipulations apparaissent pour mettre en place la technique de l’audit²Règlement (UE) 2016/679 du 27 avril 2016, art. 28, § 3, h) ; règlement (UE) 2022/2554 du 14 décembre 2022, art. 30, § 3, e) ; arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et de gel des avoirs, art. 10, 8° et 10° ; règlement général de l’AMF, art. 318-61 et 321-96, II ; Lieferkettensorgfaltspflichtengesetz du 16 juillet 2021, § 6 Abs. 4 Nr. 4..

Or, autant un audit est aisément mené dans une structure dont on a la maîtrise, acte de gestion qui ne requiert pas de formalisme juridique, l’« audit interne »³Audit interne qui peut d’ailleurs être un « audit de Compliance ». V. A. Gutierrez-Crespin, « L’audit du dispositif de compliance : un outil clé pour en vérifier la robustesse », in 🕴️M.-A. Frison-Roche (dir.), 📕Les outils de la Compliance, JoRC et Dalloz, coll. « Régulations & Compliance », 2021, pp. 133-140. étant un élément naturel du « contrôle interne »⁴Recommandations de l’Agence française anticorruption, avis publié au JORF n° 10 du 12 janvier 2021, texte n° 61, §§ 61 à 68 et §§ 69 à 74., voire de l’« enquête interne », autant il faudra prendre la voie contractuelle pour que l’audit se déroule chez un tiers. Il est tout de même remarquable que dans la pratique, le qualificatif d’« interne » est souvent conservé pour ces audits, ces contrôles, ces enquêtes⁵Sur les techniques de l’enquête interne et leur déploiement dans les groupes internationaux, O. Catherine, « La spécificité des enquêtes internes pratiquées par les groupes internationaux », in 🕴️M.-A. Frison-Roche et 🕴️M. Boissavy (dir.), 📕Compliance et droits de la défense. Enquête interne – CJIP – CRPC, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2024, pp. 141-155. Sur les risques et les limites de la clause d’audit, V. infra §§ 26 à 36, que l’on continue donc de qualifier d’internes, alors qu’ils sont précisément menés sur des tiers. Ainsi, grâce au contrat, l’audit pourra être mené sur un tiers, comme s’il n’en était pas un, permettant en quelque sorte à celui qui bénéficie de l’audit d’agir comme s’il était chez lui. Nous verrons les limites d’une telle disparition par la puissance du contrat entre l’interne et l’externe⁶Sur les risques et les limites de la clause d’audit, V. infra §§ 26 à 36.

PRÉALABLE : CLAUSE D’AUDIT DE SÉCURISATION, CLAUSE D’AUDIT DE CONFORMITÉ, CLAUSE D’AUDIT DE COMPLIANCE

2. Grâce à la « clause d’audit de conformité », l’assujetti se met lui-même en mesure d’obéir à la Loi. On trouve souvent des clauses d’audit sur des tiers, notamment dans les rapports de distribution. Mais la clause d’audit diffère ici dans sa finalité, donc dans son objet. En effet, l’objet de la clause d’audit sur l’entreprise du cocontractant que l’on trouve dans les rapports de distribution y figure pour protéger les intérêts de la « tête de réseau »⁷Cela est décrit et assumé comme tel. V. F.-L. Simon, « Les mystères de la clause d’audit : les écueils à éviter », La Lettre des réseaux, 17 décembre 2021, mis à jour le 28 mars 2022.. Lorsqu’il s’agit de Compliance, la voie contractuelle qui est requise et utilisée par une entreprise puissante pour contrôler l’autre, mais c’est pour obéir à sa propre obligation réglementaire de conformité⁸Car elle répondra des manquements réglementaires commis par ses partenaires. et de Compliance⁹Car elle peut ainsi s’assurer qu’elle a les appuis nécessaires apportés par ses partenaires pour contribuer à la préservation et à la durabilité des systèmes. V. A. Oumedjkane, « Le devoir de vigilance est-il soluble dans le droit des contrats publics ? », in 🕴️M.-A. Frison-Roche (dir.), 📕Compliance et contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027.. La puissance contractuelle n’est donc exercée que pour se soumettre à la Loi et être en mesure de soi-même rendre des comptes¹⁰Loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, art. 17, II, 4° et 8° ; directive (UE) 2024/1760 du 13 juin 2024, art. 10, § 2, b) et § 5.. Par la clause d’audit, le cocontractant puissant attrait l’autre dans l’espace de sa propre obligation légale.

3. Clause d’audit de sécurisation de ses intérêts / clause d’audit d’assurance de sa propre conformité / clause d’audit de réalisation d’un projet de Compliance. C’est pourquoi on la retrouve exprimée par les « entreprises donneuses d’ordre »¹¹Directive (UE) 2024/1760 du 13 juin 2024, art. 10, § 2, b), et § 4 ; Lieferkettensorgfaltspflichtengesetz du 16 juillet 2021, § 9 Abs. 3 ; Transparency International, Global Anti-Bribery Guidance, § 13.3.5. car, comme le posa le Conseil constitutionnel, c’est toujours bien une responsabilité personnelle qu’endure l’entreprise qui contrôle la chaîne de valeur¹²Cons. const., 23 mars 2017, n° 2017-750 DC, Loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre. La décision pose dans son § 27 : « Les dispositions contestées n’instaurent donc pas un régime de responsabilité du fait d’autrui, ainsi que cela ressort, au demeurant, des travaux parlementaires. Par suite, et en tout état de cause, ces dispositions ne méconnaissent pas le principe de responsabilité ». Sur cette question de la responsabilité personnelle et de la responsabilité pour autrui, v. A. Danis-Fatôme et G. Viney, « La responsabilité civile dans la loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre », D. 2017, n° 28, pp. 1610-1618 ; T. Sachs et J. Tricot, « La loi sur le devoir de vigilance : un modèle pour (re)penser la responsabilité des entreprises », Droit & Société 2020, n° 106, pp. 683-698 ; M. Mekki, « Peut-on repenser la responsabilité à l’aune du devoir de Vigilance, pointe avancée de la Compliance ? », in 🕴️M.-A. Frison-Roche (dir.), 📕L’obligation de compliance, JoRC et Dalloz, coll. « Régulations & Compliance », 2025, pp. 599-615. V. égal. M. Fabre-Magnan, « Critique de la convergence des responsabilités contractuelle et délictuelle. L’exemple du devoir de vigilance », in Mélanges en l’honneur du Professeur Loïc Cadiet, LexisNexis, 2023, pp. 547-561., mais c’est bien la détection de ce qui se passe, ou peut se passer, tout au long de celle-ci au sein d’autres entreprises, qui lui est demandée. Cette consolidation par la clause d’audit de la chaîne de valeur est essentielle. ¹³Sur l’intégration verticale ainsi produite par des « contrats de régulation » exigés non seulement par des choix de gestion mais encore par des impératifs de compliance,

La situation juridique est donc différente de ce que l’on pourrait appeler une clause d’audit de « sécurisation de ses intérêts » (comme on la trouve dans les contrats de distribution), puisqu’il s’agira pour celui qui pourra mener des audits de se mettre lui-même en position d’être « conforme » à la réglementation par rapport à laquelle il doit montrer son obéissance¹⁴En cela, la clause d’audit est associée à la « conformité », et non pas à l’obligation de Compliance.. Plus éloignée encore, et le régime en variera, la clause d’audit sur l’entreprise du cocontractant pourra avoir pour but de mieux l’associer à la préservation des systèmes et à la protection des êtres humains qui y sont impliqués, ce qui mérite alors pleinement d’être qualifiée non plus seulement une « clause d’audit de conformité » mais une « clause d’audit de Compliance ».

Cette différence de finalité n’est pas seulement de degré : elle change le signe de la stipulation. La clause d’audit de conformité porte la marque de la soumission — l’un vérifie que l’autre obéit, et l’audit est la forme sévère de cette vérification. La clause d’audit de Compliance, parce qu’elle sert un but qui excède les deux contractants, peut porter la marque inverse, celle de la collaboration : ce que l’un va chercher chez l’autre n’est plus le gage de son obéissance, mais la part que celui-ci prend à la préservation du système et à la protection des êtres humains qui y sont impliqués. Le même instrument technique reçoit ainsi deux sens opposés, et c’est celui qui rédige la clause qui choisit lequel.

4. La clause d’audit, « accessoire nécessaire » de la clause de conformité et de Compliance. Dans la perspective de la « conformité », la clause d’audit apparaît comme un accessoire nécessaire¹⁵Sur la théorie de l’accessoire appliquée aux stipulations contractuelles, v. J.-B. Seube, L’indivisibilité et les actes juridiques, préf. M. Cabrillac, Litec, coll. « Bibliothèque de droit de l’entreprise », t. 40, 1999 ; M. Cottet, Essai critique sur la théorie de l’accessoire en droit privé, thèse, Paris-Sud, dir. J. Rochfeld, 2011, l’auteure montrant que la théorie repose sur la notion de fonction, entendue comme la contribution à l’accomplissement d’une finalité, y compris s’agissant d’une clause contractuelle.. Une clause d’audit, ou un pouvoir d’audit sur le tiers inséré au sein d’une clause globale de conformité, joue au bénéfice de celui qui a l’obligation légale, voire contractuelle, d’être conforme, ce qui produira des clauses d’audit en cascade. Ainsi conçue, elle ne peut prendre que la forme sévère du contrôle. En effet, la clause d’audit apparaît alors comme un « accessoire nécessaire » de la « clause de conformité » puisque l’entreprise assujettie doit mesurer, et le plus tôt possible, ce qui se passe, puisque son obligation de Compliance consiste à « détecter » les manquements (conformité) et les risques systémiques (Compliance) présents chez son partenaire. La clause d’audit par nature a une dimension probatoire, puisqu’elle permettra à l’entreprise légalement assujettie de montrer ultérieurement les diligences qu’elle aura faites¹⁶Sur la dimension probatoire de la clause d’audit, V. infra § 32. Parce qu’elle oblige un tiers, au bénéfice d’une entreprise légalement obligée, il ne faut pourtant pas qu’elle transfère de ce fait l’obligation légale de l’un sur l’autre¹⁷Sur les limites de la clause d’audit, V. infra §§ 27 à 32.

Encore la formule d’« accessoire nécessaire » ne décrit-elle qu’une fonction, et non un régime. Le Droit commun des contrats ne connaît pas de catégorie nommée « clause accessoire » : la théorie de l’accessoire joue entre biens, entre créances, entre contrats, non entre stipulations d’un même acte. Ce qu’il saisit n’est donc pas la hiérarchie des clauses mais leur divisibilité, et la question n’est pas de savoir laquelle des deux commande l’autre, mais si l’une peut survivre sans l’autre. La distinction n’est pas seulement de vocabulaire : elle commande le sort de la clause d’audit lorsque la stipulation qu’elle sert vient à tomber, et inversement le sort de l’obligation de conformité lorsque l’audit est privé d’effet. On y reviendra, car c’est de ce déplacement que dépend l’articulation de la clause d’audit avec les autres stipulations de Compliance (v. infra § 38).

Cette consubstantialité entre clause de Compliance et clause d’audit explique qu’en pratique il est assez fréquent qu’il y ait tout d’abord une plantureuse « clause de conformité », clause générique exigeant du cocontractant qu’il respecte telle et telle réglementation, le RGPD, Sapin 2, etc., voire si le rédacteur puissant a la plume contractuelle aussi lourde que celle du réglementateur, toutes les réglementations applicables¹⁸J.-Ch. Roda, « Utilité comparée des clauses de conformité et des clauses de Compliance », in 🕴️M.-A. Frison-Roche (dir.), 📕Compliance et Contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027. V. infra §§ 40 à 42, puis pour s’assurer de cela, une stipulation qui, en accessoire nécessaire, soit dans le même paragraphe, soit dans le paragraphe qui suit, pose que le contractant qui a exigé ce tour de force de l’autre, précise qu’il pourra faire des audits.

5. La clause d’audit, une clause violente, non pas tant en soi mais par son présupposé et les conséquences tirées par d’autres clauses du contrat. Ainsi informé par l’audit, celui qui détient le pouvoir contractuel¹⁹Le fait qu’il s’agisse d’un audit contractuel n’écarte pas forcément une qualification juridique ou un régime impliquant des droits de la défense. S’il doit en être un, autant organiser ce régime également contractuellement. Sur ce point, V. infra §§ 33 à 35 de le mener pourra en tirer toutes les conséquences. Là encore, cela est stipulé, soit dans la même clause globale dite « de conformité »²⁰La clause d’audit change si elle vient en appui d’une « clause de conformité » ou d’une véritable « clause de Compliance ». Sur l’adossement de la clause d’audit aux autres stipulations, V. infra §§ 37 à 50, soit dans la clause d’audit, soit dans la clause de sanction²¹L. Sautonie-Laguionie, « Les clauses de Compliance relatives aux sanctions », in 🕴️M.-A. Frison-Roche (dir.), Compliance et Contrat, préc. ou de remédiation²²M. Tirel, « Les clauses de Compliance relatives à la remédiation », in 🕴️M.-A. Frison-Roche (dir.), Compliance et Contrat, préc. qui, visant l’hypothèse de non-conformité du contractant, fait un détour en visant la clause d’audit puisque c’est à l’occasion de la mise en œuvre de celle-ci que la non-conformité qu’il s’agit de sanctionner ou de réparer a été établie.

6. Mieux comprendre la clause d’audit parce qu’elle est le « reflet objectif » de l’Obligation légale de Compliance : « détecter » pour agir. Mais il est plus aisé de comprendre la clause d’audit de Compliance en partant de l’Obligation légale de Compliance : elle oblige les assujettis, principalement les grandes entreprises, à contribuer à préserver les systèmes pour en assurer la durabilité et protéger les êtres humains qui y sont impliqués.²³🕴️M.-A. Frison-Roche, 📝« Concevoir l’Obligation de Compliance : faire usage de sa position pour participer à la réalisation des Buts Monumentaux de la Compliance », in 🕴️M.-A. Frison-Roche (dir.), 📕L’obligation de compliance, préc., pp. 3-44. Adde, du même auteur, 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026. Cela implique pour les assujettis, qui sont le plus souvent les grandes entreprises, l’obligation de « détecter » les risques systémiques, afin de remédier à des conséquences néfastes qui se sont déjà réalisées ou, et surtout, à prévenir leur concrétisation. La première exigence, même si elle ne se traduit pas forcément par une obligation juridique identifiée, est donc d’être informé.

7. Pour agir, être informé y compris sur le lointain : l’audit, technique adéquate et l’obligation d’être puissant. L’audit devient alors la technique qui s’impose afin de satisfaire les réglementations qui requièrent expressément de savoir. L’on retrouve donc la technique, somme toute classique, du contrôle interne et de l’audit. L’on pourrait même soutenir que ces instruments ordinaires de gestion, aujourd’hui étendus à l’État²⁴Ces techniques ont gagné l’État lui-même : le décret n° 2022-634 du 22 avril 2022 relatif au contrôle et à l’audit internes de l’État, qui a abrogé le décret n° 2011-775 du 28 juin 2011 relatif à l’audit interne dans l’administration, impose à chaque ministre un système de contrôle interne fondé sur une analyse des risques, et confie à une mission ministérielle d’audit interne, rapportant au ministre, le soin de vérifier la qualité et l’efficacité de ce système. L’harmonisation des méthodes et des pratiques revient au comité interministériel du contrôle et de l’audit internes (CICAI), qui a succédé au comité d’harmonisation de l’audit interne de l’État (CHAIE)., n’ont rien de révolutionnaire. Ce n’est pas vrai. Car précisément, ce n’est en rien l’interne qui est concerné. Par exemple, l’article 17, II, 4°, de la loi dite « Sapin 2 » en ce qu’il exige de l’entreprise assujettie « des procédures d’évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques »²⁵Sur les procédures d’évaluation, outil majeur du Droit de la Compliance, N. Guillaume, « Cartographie des risques de compliance. Premiers aperçus des enjeux, des limites et des bonnes pratiques », in 🕴️M.-A. Frison-Roche (dir.), 📕Les outils de la Compliance, JoRC et Dalloz, coll. « Régulations & Compliance », 2021, pp. 63-70. Adde, sur la mise en œuvre de cette mesure, les travaux de l’Agence française anticorruption (AFA) : L’évaluation des tiers en question : résultats de notre dernière enquête auprès des entreprises, mai 2024, d’où il ressort que 59 % des entreprises tiennent l’évaluation des tiers pour la mesure anticorruption la plus difficile à déployer, notamment en raison de la « difficulté liée à l’accès et l’intégration des données ». Une clause d’audit de Compliance peut venir en appui. V. aussi, sur les stipulations qui organisent cette évaluation dans la chaîne de valeur, G. J. Martin, « Clauses et contrats, modalités de l’obligation de vigilance », in 🕴️M.-A. Frison-Roche (dir.), 📕L’obligation de compliance, préc., pp. 663-678. est révolutionnaire car il impose d’aller mesurer les risques non plus seulement chez soi, mais chez les autres.

En cela, la clause d’audit de Compliance valide l’obligation légale d’être puissant, puisque l’assujetti, en ce qu’il a l’obligation d’être informé, a transitivement l’obligation d’obtenir, notamment par le contrat, la puissance légitime d’obtenir l’information. La clause d’audit illustre ainsi l’obligation légale d’être puissant qu’implique le Droit de la Compliance. Si les cocontractants sont d’égale puissance, et s’ils sont dans la même position, il est possible que le pouvoir d’audit soit réciproque.

8. L’obligation légale de Compliance de contrôler les partenaires implique une information quérable, à défaut d’être aisément portable, ce que concrétise la clause d’audit. Dans cette collecte d’informations, le contractant peut demander que celle-ci lui soit apportée. Mais même si une clause d’audit fait peser le poids de la collecte de l’information sur l’entreprise qui en a besoin, la maîtrise²⁶Coût qui peut d’ailleurs contractuellement se répartir, voire se transférer tant que cela n’est pas abusif. de l’information produite par la technique de l’audit le justifie. L’usage de la clause d’audit dans l’évaluation des tiers le montre. Ainsi, dans l’enquête menée par l’Agence française anticorruption (AFA) auprès des entreprises assujetties à l’évaluation des tiers, la clause d’audit figure parmi les mesures de vigilance les plus fréquemment stipulées, immédiatement après la clause anticorruption et la clause de conformité, et devant la clause de sous-traitance et la clause d’externalisation²⁷Agence française anticorruption, Résultats de l’enquête « évaluation des tiers au regard du risque de corruption » menée par l’Agence française anticorruption auprès des entreprises, avril 2024, 72 p., Q22, p. 57. Questionnaire anonyme de 28 questions, diffusé par les fédérations professionnelles du 10 octobre au 10 décembre 2023 ; réponses déclaratives ; 72 répondants à cette question. L’AFA précise que les pratiques ainsi partagées n’ont fait, au stade de cette publication, l’objet d’aucune approbation de sa part.. Cette clause est d’autant plus requise que la même enquête souligne à plusieurs reprises parmi les difficultés rencontrées pour exécuter l’obligation légale d’évaluation des tiers le manque de coopération de ceux-ci. La vertu du contrat est alors de ramener de la force obligatoire²⁸Sur la force obligatoire, v. d’une façon plus générale 🕴️M.-A. Frison-Roche, « Autonomie de la volonté et compliance », in 🕴️M.-A. Frison-Roche (dir.), 📕Compliance et Contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027..

Les engagements contractuels parmi les mesures de vigilance mises en œuvre
Extrait de la question n° 22 : les seules mesures qualifiées d’« engagement contractuel ». AFA, enquête préc. ; 72 répondants. Les autres mesures relevées relèvent du contrôle interne (contrôles comptables, 72,2 % ; notes de frais, 70,8 % ; conflits d’intérêts, 61,1 %), de la communication ou de la formation ; les missions ponctuelles d’audit y figurent pour 65,3 %. L’astérisque signale la seule ligne soulignée par moi, celle de la clause d’audit.

Clause anticorruption 100,0 %
Clause de sous-traitance 56,9 %
Clause de conformité 80,6 %
Encadrement des cadeaux et invitations 47,2 %
Clause d’audit^* 69,4 %
Clause d’externalisation 25,0 %
Encadrement des conflits d’intérêts 65,3 %

9. Insérer une clause d’audit parce qu’elle est le « reflet subjectif » de l’Obligation légale de Compliance : être en charge de ceux qui, notamment dans les chaînes de valeur, sont des « tiers concernés ». La clause d’audit permet ainsi de traiter techniquement comme des parties des entités ou personnes qui sont économiquement des tiers²⁹Dans l’enquête précitée de l’AFA, il est mentionné que l’une des « difficultés » rencontrées pour l’évaluation tient à « l’autonomie des filiales ». Il est certain qu’une entité juridiquement autonome est moins ouverte… Sur l’effet économique d’intégration que produisent les clauses de Compliance, notamment dans une chaîne de valeur, v. 🕴️M.-A. Frison-Roche et E. Maclouf, « Les stratégies d’entreprises dans l’organisation contractuelle des chaînes de valeur », in 🕴️M.-A. Frison-Roche (dir.), Compliance et Contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027.. Par une sorte d’effet d’onde, dans la mesure où l’audit amène des informations sur des personnes liées au contractant, ce sont par cercles concentriques un ensemble de « tiers concernés » qui sont touchés par la clause première d’audit. Il peut s’agir des « tiers concernés » par la charge de conformité et de Compliance, notamment par l’information de leurs diligences ou de l’absence de celles-ci. Il peut s’agir aussi des « tiers concernés » qui, parce qu’ils bénéficient des comportements favorisés par l’obligation de Compliance, peuvent être amenés à produire des informations utiles pour l’audit.³⁰Sur ces tiers bénéficiaires, V. infra § 42.

10. La clause d’audit de Compliance : Vue de l’intérieur et vue de l’extérieur. Annonce de plan. La clause d’audit est un instrument de l’Obligation de Compliance qu’il faut déployer pour en regarder les différents éléments qui la constituent, la voyant ainsi « de l’intérieur ». Mais elle est aussi un instrument qui ne joue jamais seul : elle prend son intérêt dans son articulation avec les autres dispositifs contractuels de Compliance. Il faut donc aussi l’examiner « de l’extérieur ». L’on mesure ainsi comment la clause doit s’élaborer : il faut y stipuler ce qui permet d’obtenir l’information pertinente de ceux qui la détiennent – champ matériel et temporel de l’audit, choix de celui qui le mènera – et compter avec ce que le Droit commun oppose à cette élaboration, l’ombre toujours là du déséquilibre significatif et l’obligation tacite de faire l’audit que la stipulation engendre contre celui même qui l’a exigée (I). Examinant du dehors, la clause s’adosse : parce qu’elle a besoin d’autres clauses pour bien fonctionner et qu’elle existe pour faire bien fonctionner d’autres clauses, elle ne se comprend que dans son articulation avec les autres stipulations de Compliance, qu’elle appuie et dont elle reçoit appui (II).

I. À L’INTÉRIEUR D’UNE CLAUSE D’AUDIT INSÉRÉE POUR L’ACCOMPLISSEMENT DE L’OBLIGATION DE COMPLIANCE D’UN DES CONTRACTANTS

11. Organiser contractuellement la recherche d’information, en intégrant par avance les limites à poser à une telle ingérence. Annonce de plan. Deux perspectives, qui sont celles de celui qui manie l’art contractuel de la Compliance, doivent être adoptées et articulées. Il faut d’abord construire la stipulation pour qu’elle produise l’information utile : en fixer le champ matériel et temporel, et d’abord l’élément déclencheur – audits périodiques, ou audits provoqués par un évènement ou une autre information que celle que l’audit fera apparaître, notamment le red flag –, désigner celui qui mènera l’audit, l’auditeur de l’assujetti ou un tiers choisi par les deux contractants, ce qui rapproche alors la clause d’une procédure de discovery, et arrêter enfin les modalités de son déroulement (A). Il faut ensuite, dans cette élaboration même, intégrer par avance les risques et les limites d’un audit contractuellement imposé à autrui pour satisfaire son obligation de Compliance : l’ombre toujours là du déséquilibre significatif, l’obligation tacite de faire l’audit que la clause engendre contre celui qui l’a stipulée, et le fait que l’audit demeure une mesure d’instruction comme une autre, à laquelle s’opposent la liberté du cocontractant et viennent s’implanter les droits de la défense (B).

A. ÉLABORER LA CLAUSE D’AUDIT POUR OBTENIR L’INFORMATION PERTINENTE DES PERSONNES QUI LA DÉTIENNENT ET LÀ OÙ ELLE SE SITUE

12. Le cœur de la clause : l’information que l’audit apportera pour la satisfaction de l’obligation de Compliance. Annonce de plan. Quatre questions se posent au rédacteur, et elles se posent dans cet ordre, parce que chacune commande la suivante. Quelle information l’audit doit-il rapporter, et donc auprès de qui, sur quels documents et en quels lieux ira-t-on la chercher (1) ? À quel moment, et sur la survenance de quel fait, l’audit se déclenche-t-il (2) ? Qui le mènera (3) ? Et selon quelles modalités se déroulera-t-il (4) ? L’ordre n’est pas indifférent : une clause qui désigne un auditeur avant d’avoir dit ce qu’il doit chercher confie un pouvoir sans objet, et une clause qui règle les modalités sans avoir fixé le déclencheur organise une procédure qui ne se met jamais en marche.

1. Par la clause d’audit, fixer contractuellement l’information qui va être cherchée par l’audit de Compliance mené chez le cocontractant

13. L’information que l’audit contractuel de Compliance doit permettre d’atteindre : celle qui permet à l’assujetti de détecter et de prévenir le manquement et le risque systémique. Lien entre l’obligation légale et la stipulation. L’audit ne va pas chercher toute l’information disponible chez le cocontractant, mais celle dont le bénéficiaire de la clause a besoin pour tenir son Obligation légale de Compliance³¹L’Obligation de Compliance s’entend ici de l’obligation faite aux opérateurs cruciaux de contribuer à la préservation des systèmes et à la protection des êtres humains qui y sont impliqués ; v. supra § 6.. C’est l’obligation légale qui dessine, par ricochet, l’objet de la stipulation, et non l’intérêt qu’a l’entreprise puissante à en savoir le plus possible sur son partenaire. La clause bien rédigée part de là : elle vise la réglementation au titre de laquelle son bénéficiaire doit rendre des comptes, elle en déduit ce qui doit être détecté, et elle n’admet dans le champ de l’audit que l’information qui sert cette détection. Deux strates s’y superposent, qui ne se confondent pas. La première est celle de la conformité : il s’agit d’établir si le cocontractant obéit ou n’obéit pas aux prescriptions qui lui sont applicables ou qui lui ont été contractuellement transférées, l’information recherchée étant alors le manquement, constaté ou probable, c’est-à-dire le risque de non-conformité. La seconde est celle de la Compliance : il s’agit de mesurer ce qui, dans l’organisation du partenaire, fait courir un risque au système lui-même, et l’information recherchée n’est plus un manquement mais une vulnérabilité, qui n’est pas nécessairement une faute. La distinction est pratique autant que théorique, car la première se prouve quand la seconde s’apprécie : une clause qui ne demanderait que la première laisserait son bénéficiaire démuni pour la part proprement systémique de son obligation. Il en résulte un critère de rédaction, qui est aussi un critère de mesure : est pertinente l’information sans laquelle l’assujetti ne peut ni détecter ni prévenir, la stipulation devant demeurer proportionnée aux risques que la cartographie a identifiés³²Le critère de proportionnalité à la cartographie des risques est celui que retient l’Agence française anticorruption (AFA) pour l’évaluation des tiers : Avis relatif aux recommandations de l’Agence française anticorruption destinées à aider les personnes morales de droit public et de droit privé à prévenir et à détecter les faits de corruption, de trafic d’influence, de concussion, de prise illégale d’intérêts, de détournement de fonds publics et de favoritisme, JORF n° 0010 du 12 janvier 2021, texte n° 61, section « Évaluation de l’intégrité des tiers », §§ 201 à 245, spéc. § 207 : « La nature et la profondeur des évaluations à réaliser et des informations à recueillir sont déterminées en fonction des différents groupes homogènes de tiers présentant des profils de risques comparables, tels que la cartographie des risques permet de les dresser ». V. supra § 17.. Ce qui excède ce périmètre n’est plus de la Compliance : c’est de la captation d’information sur un partenaire, à quoi le Droit commun oppose ses propres instruments.

14. Désigner par avance les personnes susceptibles de donner cette information. L’information n’est pas dans les murs : elle est chez des personnes. La clause qui se borne à ouvrir un « droit d’audit » sans dire qui pourra être vu ne donne à son bénéficiaire qu’un pouvoir théorique, auquel le cocontractant satisfera en lui présentant l’interlocuteur le moins informé de son entreprise. Trois techniques de désignation se rencontrent, qui se combinent. La désignation par catégorie fonctionnelle vise les personnes par la place qu’elles occupent dans l’organisation – responsable de la conformité, directeur des achats, responsable de site, référent alerte –, et présente l’avantage de survivre aux mouvements de personnel. La désignation par lieu vise celles qui se trouvent là où le risque se loge : l’établissement, l’usine, la filiale, le fournisseur de rang inférieur. La désignation nominative, enfin, n’a de sens que pour les fonctions dont l’identité est stable et connue au jour du contrat ; elle est la plus fragile et appelle une stipulation d’actualisation. Le choix entre elles ne relève pas de la commodité : il se fait au regard de ce que l’audit doit produire, donc au regard des objectifs poursuivis et des réglementations de Compliance concernées, qui ne désignent pas les mêmes détenteurs d’information³³L’évaluation des tiers au titre de l’article 17 de la loi dite « Sapin 2 », préc., conduit aux fonctions achats et commerciales ; le devoir de vigilance, aux fonctions industrielles et sociales ; la protection des données, au responsable de traitement et au délégué à la protection des données.. De là vient la tentation, à laquelle il faut résister, d’écrire que l’audit pourra entendre « toutes personnes ». La formule paraît tout donner et ne donne rien de sûr : outre qu’elle expose la stipulation au grief de déséquilibre significatif, elle prive le bénéficiaire du seul argument qui emporte l’exécution, celui de la nécessité, et elle laisse au cocontractant le choix de la personne qu’il présentera. La liste des personnes n’est donc pas une annexe technique de la clause : elle en est une pièce, et elle doit être révisable, car la cartographie des risques dont elle procède l’est elle-même.

15. Désigner par avance les documents par lesquels l’information est atteignable. Duplication d’un audit interne. Le plus naturel est de viser les documents que le cocontractant établit déjà pour lui-même : les rapports de son contrôle interne et de son audit interne, ses documents comptables et financiers, sa cartographie des risques, ses procédures d’évaluation des tiers. La clause d’audit de Compliance opère alors moins une investigation nouvelle qu’une duplication : elle fait passer d’une entreprise à l’autre le produit d’un contrôle déjà organisé, ce qui explique sa fréquence et son faible coût. Encore faut-il que la stipulation le dise, car le rapport d’audit interne n’est pas de soi communicable : il a été établi pour l’organe de direction du cocontractant, et non pour son partenaire³⁴C’est le premier effet de la clause : elle rend contractuellement quérable un document qui, par sa destination, ne l’était pas. La stipulation gagne donc à viser les rapports par leur objet et leur période, et non par leur seul intitulé, que le cocontractant maîtrise.. Mais le document n’est qu’un point de départ. Il dit ce qui a été regardé par celui qui se regardait lui-même ; il ne dit ni ce qui ne l’a pas été, ni ce que l’on a préféré ne pas écrire. C’est pourquoi la clause doit répondre à la question que le document fait naître : faut-il aller plus loin, et selon quelle méthode ? Trois degrés se succèdent, qui ne sont pas de même nature. La communication de pièces laisse le cocontractant maître de ce qu’il remet. Le déplacement sur les lieux fait entrer l’auditeur dans l’entreprise et lui donne accès à ce qui n’a pas été trié pour lui. L’entretien, enfin, ne porte plus sur des documents mais sur des personnes, et c’est là que l’audit change de nature : il devient une enquête³⁵Le droit souple confirme cet enchaînement, mais du seul côté de l’entreprise qui s’examine elle-même : le guide pratique de l’Agence française anticorruption (AFA) et du Parquet national financier (PNF) retient que les rapports de contrôle interne ou d’audit interne, lorsqu’ils révèlent des faits s’apparentant à de la corruption ou des manquements aux procédures de prévention et de détection, peuvent servir de fondement à l’ouverture d’une enquête interne. AFA et PNF, Les enquêtes internes anticorruption. Guide pratique, mars 2023. Aucun texte, aucune ligne directrice ne saisit en revanche le même enchaînement lorsque l’audit se déroule chez un tiers : c’est la lacune que la clause doit combler.. Le mot n’est pas excessif, car les pouvoirs mis en œuvre sont ceux de l’enquête interne – recueil de déclarations, confrontation des versions, accès aux messageries et aux traces – exercés cette fois hors de toute subordination, sur les salariés d’autrui, et au bénéfice d’une entreprise qui n’est pas leur employeur. La clause doit donc prévoir cette transformation, et la prévoir comme telle : non par une formule d’extension (« et plus généralement tous actes nécessaires »), mais en nommant les actes, en désignant qui les accomplira, en fixant ce que la personne entendue sait avant de l’être et ce qu’elle peut opposer³⁶Les limites viennent alors du Droit commun, et non du contrat : le secret des affaires (art. L. 151-1 s. du Code de commerce) ; la protection des données des personnes entendues, qui ne sont pas les salariés du bénéficiaire (RGPD, art. 14 ; référentiel CNIL du 18 juillet 2019 relatif aux alertes professionnelles) ; le secret professionnel de l’avocat lorsque l’auditeur en est un, que le Barreau de Paris a rappelé en réponse au guide précité ; et, en aval, les articles 434-4 et 434-15 du Code pénal, que le guide vise lui-même.. Si cela n’est pas prévu, le bénéficiaire se trouve devant l’alternative la moins bonne : ou bien il s’arrête aux documents et son obligation de détection demeure inaccomplie, ou bien il passe outre, et les actes qu’il accomplit alors sont sans titre – le contrat ne les couvre pas, aucun texte ne les autorise, et ce qu’il aura recueilli risque de ne rien valoir le jour où il faudra s’en servir. La même raison condamne la tentation d’écrire que l’audit portera sur « tous documents » : la formule paraît tout donner, mais elle déplace la stipulation du terrain de la nécessité vers celui de la puissance, où le Droit commun l’attend³⁷v. infra § 24, sur l’ombre du déséquilibre significatif (art. 1171 du Code civil ; art. L. 442-1, I, 2°, du Code de commerce)..

16. Désigner par avance les lieux dans lesquels l’information est atteignable. Le lieu n’est pas un détail d’exécution : il commande ce que l’audit peut atteindre. Trois séries de lieux doivent être nommées. Les lieux physiques d’abord – siège, établissements, sites de production, entrepôts –, étant observé que la clause qui vise le seul siège social laisse hors du champ ce qui, précisément, y est le plus rarement : le risque se loge dans les usines et chez les fournisseurs, non dans les bureaux de la direction. Les lieux immatériels ensuite, qui sont aujourd’hui les premiers : systèmes d’information, messageries professionnelles, espaces d’hébergement, y compris lorsqu’ils sont confiés à un prestataire, de sorte que la clause doit prévoir l’hypothèse où l’information se trouve chez un tiers au contrat. Les lieux d’autrui enfin, ceux des fournisseurs de rang inférieur, que le bénéficiaire ne peut atteindre qu’en exigeant de son cocontractant qu’il obtienne lui-même la stipulation correspondante : c’est l’effet de cascade, par lequel la clause d’audit se propage le long de la chaîne de valeur sans que son bénéficiaire initial ait jamais de lien contractuel avec ceux qu’elle finit par atteindre³⁸C’est l’un des points où la clause d’audit fait le plus visiblement de tiers des quasi-parties : le fournisseur de rang inférieur subit un audit dont le bénéficiaire lui est contractuellement étranger. V. supra § 9, sur les « tiers concernés ».. À cela s’ajoute la dimension géographique, qui n’est pas seulement une question de distance : un audit qui se déplace hors de France, ou qui fait sortir de l’Union européenne les informations recueillies, rencontre des règles qui ne sont pas celles du contrat, et que le contrat ne peut pas écarter³⁹Notamment les règles de transfert hors de l’Union européenne (RGPD, chap. V) et, en sens inverse, la loi n° 68-678 du 26 juillet 1968 relative à la communication de documents et renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères, dite loi de blocage.. La clause doit donc désigner les lieux comme elle désigne les personnes : par catégorie plutôt que par adresse, au regard du risque à détecter, et avec la faculté de révision que suppose une cartographie qui se déplace.

17. Le critère de rédaction : la proportionnalité entre l’ampleur de l’information recherchée et l’objectif légal ou propre à l’entreprise. Les trois désignations qui précèdent – personnes, documents, lieux – ne valent pas par elles-mêmes. Elles ne sont ni des maxima ni des minima, et rien n’impose a priori telle étendue plutôt que telle autre : les rédactions varient, et doivent varier. Ce qui les tient est un raisonnement téléologique, qui rapporte l’ampleur de l’information captée à la finalité au nom de laquelle elle l’est. Or ces finalités ne sont pas de même force. Celle des réglementations est la plus solide, parce que le cocontractant est réputé l’admettre : nul ne conteste qu’une entreprise assujettie doive évaluer ses partenaires⁴⁰C’est le mouvement que décrit Antoine Oumedjkane : les textes n’attribuent plus tant aux entreprises des pouvoirs de contrôle qu’ils ne les obligent à en faire usage, l’évaluation des tiers de l’article 17 de la loi dite « Sapin 2 », préc., en étant l’exemple. La finalité réglementaire n’a donc pas à être négociée : elle est déjà dans la Loi (« Puissance publique et pouvoir de contrôle des entreprises », D.2025, pp. 1636-1642).. Celle du Droit de la Compliance, que la réglementation met en œuvre, se tient derrière la première et lui donne son sens. Celle de l’entreprise elle-même est d’une autre nature : lorsque l’audit sert la raison d’être du bénéficiaire plutôt qu’un texte, il ne se justifie plus par la Loi mais par l’accord, et il doit donc être expressément accepté. La conséquence pratique est simple : plus l’information recherchée est propre au bénéficiaire, et plus la méthode employée pour l’atteindre est invasive, plus la stipulation doit être écrite, motivée et acceptée⁴¹C’est aussi ce qui met la stipulation à l’abri du déséquilibre significatif : ce qui est censuré est la dimension discrétionnaire et peu lisible du pouvoir réservé, non son unilatéralité, de sorte que la clause qui reprend un texte clair y échappe, quand la clause type, indifférente aux ressources de l’audité et à sa position dans la chaîne, y est exposée. V. M. D’Angelo Petrucci, « Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires », Revue internationale de la compliance et de l’éthique des affaires, n° 1, 10 février 2025, étude 18..

18. Un conseil de rédaction : plus la captation de l’information par l’audit de Compliance est éloignée de la normalité juridique, et plus elle doit être d’une part justifiée et d’autre part acceptée par l’autre. La règle peut se formuler comme une échelle. Ce qui est dans la normalité juridique – demander les documents qu’une entreprise établit déjà pour elle-même, vérifier une déclaration chiffrée, contrôler une fois l’an l’exécution d’une obligation précise – se stipule brièvement et s’exécute sans discussion. Ce qui s’en éloigne – entrer dans les locaux, accéder aux systèmes d’information, entendre des personnes, atteindre des entités qui ne sont pas parties au contrat, faire survivre l’audit à la fin de la relation – ne s’obtient qu’au prix d’une stipulation expresse, motivée par le risque qu’elle sert à détecter, et acceptée comme telle. Le rédacteur qui l’oublie croit gagner du temps en écrivant large ; il obtient l’inverse, car c’est l’imprécision, et non l’étendue, que le Droit commun sanctionne⁴²L’observation est faite de longue date à propos de l’audit de licence, dont l’efficacité dépend entièrement de la clarté préalable du référentiel : faute de précision, la clause se transforme en instrument de pression et constitue en fait « un pouvoir de police exorbitant ». V. Mathieu Martin, « Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence », Communication Commerce électronique, n° 3, mars 2015, pratique 4..

2. Par la clause d’audit, fixer contractuellement l’élément déclencheur de l’audit de conformité ou de Compliance

19. Fixer une temporalité périodique, c’est permettre d’alimenter les documents par lesquels l’entreprise rend des comptes. La périodicité a l’air d’une modalité d’exécution ; elle est une décision de fond. Une fois par an, parfois à date fixe : le rythme n’est pas choisi au hasard, il est calé sur celui auquel le bénéficiaire doit lui-même rendre des comptes. L’audit doit avoir rendu son résultat avant que ne soient arrêtés le rapport de durabilité, le plan de vigilance et le rapport de gestion, faute de quoi l’information arrive après le document qu’elle devait nourrir. La clause d’audit se règle ainsi sur le calendrier de la reddition de comptes, et non sur celui de la prestation⁴³La périodicité annuelle expresse se rencontre dans les clauses les mieux faites : l’article 13.4 du contrat de services en cause dans CA Paris, pôle 1, ch. 3, 5 mars 2024, Coopérative U Enseigne c/ Carrefour France et Carrefour World Trade, RG n° 23/06899, ouvre le droit de faire contrôler « une fois par an » la bonne application du contrat. Arnaud Lecourt, « La clause d’audit », AJ Contrats d’affaires – Concurrence – Distribution, 2014, pp. 271-272, recommande la même limite de fréquence, l’audit étant coûteux et perturbant, mais déconseille la date fixe..

20. Fixer une temporalité périodique, c’est aussi procéder à une intégration du partenaire dans son obligation de Compliance. Ce que la périodicité produit, au-delà de l’information qu’elle rapporte, c’est une habitude. L’audit cesse d’être un événement pour devenir une échéance ; le cocontractant l’inscrit à son calendrier, y affecte des ressources, désigne ses interlocuteurs, prépare ses pièces. Le tiers est alors traité comme un service interne du bénéficiaire, et c’est précisément l’effet recherché par l’Obligation de Compliance, qui demande à l’entreprise assujettie de tenir la chaîne de valeur comme elle tient sa propre organisation. L’avantage est réel : la coopération remplace la contrainte, le coût se prévoit, le refus devient plus difficile à justifier. Le prix l’est aussi, et il est double : une échéance connue s’anticipe, et un audit que l’on attend ne montre que ce que l’on a préparé pour lui⁴⁴C’est l’objection formulée par Arnaud Lecourt, « La clause d’audit » (préc.), contre l’audit à date fixe et contre le préavis, qui ruinent l’effet de surprise et peuvent réduire l’audit à une mise en scène. Ce risque a été rapproché de celui qui existe dans le contrôle exercé par les entreprises pour le compte de la puissance publique, par Antoine Oumedjkane (« Puissance publique et pouvoir de contrôle des entreprises », préc.) : un contrôle qui se fonde sur les documents produits devient excessivement formel et porte alors sur la méthodologie plutôt que sur l’efficacité réelle..

21. L’autre déclencheur : l’évènement, tranquille ou déjà source d’inquiétude (red flag). À côté de l’audit périodique, la clause doit prévoir l’audit provoqué, celui que déclenche non le calendrier mais un fait. Ce fait peut venir de l’extérieur – un signalement, une enquête ouverte chez le partenaire, une information de presse, une alerte d’une organisation non gouvernementale – ou de l’intérieur du dispositif lui-même : une anomalie relevée par l’évaluation des tiers, un indicateur qui décroche, ce que la pratique nomme le red flag. Le rédacteur de la clause d’audit de Compliance a ici un choix à faire. Ou bien il énumère les faits déclencheurs, et il gagne en sécurité ce qu’il perd en souplesse, car ce qui n’est pas dans la liste ne déclenche rien. Ou bien il retient une formule ouverte – tout fait de nature à faire soupçonner un manquement ou un risque –, et il gagne en couverture ce qu’il perd en opposabilité, le cocontractant étant fondé à discuter la réalité du soupçon. La solution praticable tient dans la combinaison des deux : une liste de faits qui déclenchent de plein droit, et une clause balai qui exige alors du bénéficiaire qu’il motive par écrit sa demande. L’audit se situe en effet à l’endroit exact où le soupçon n’est pas encore un manquement : il est ce qui s’intercale entre l’un et l’autre, et c’est pourquoi il ne peut être subordonné ni à la preuve de ce qu’il a pour objet d’établir, ni à la seule affirmation de celui qui le demande⁴⁵La question de savoir si de simples soupçons suffisent, ou s’il faut attendre la violation caractérisée, est par exemple laissée ouverte par Antoine Oumedjkane, « Puissance publique et pouvoir de contrôle des entreprises » (préc.), à propos du moment de la rupture. Elle se résout mieux si l’on voit que l’audit est précisément l’étape qui s’intercale entre le soupçon et la sanction : il n’est pas la sanction, il est ce qui permet de savoir s’il y a lieu de sanctionner..

3. Par la clause d’audit, désigner contractuellement celui qui fera l’audit de conformité ou de Compliance

22. Faire endosser au bénéficiaire de l’audit de Compliance la charge de l’organiser ou/et transférer tout ou partie de cette charge sur le cocontractant dans l’entreprise duquel l’audit sera mené : les cercles concentriques de la charge de l’audit contractuel de Compliance. Avant de dire qui mènera l’audit, la clause doit dire qui le portera : qui l’organise, qui l’exécute matériellement, qui en supporte le coût. La réponse n’est pas unique, et les configurations se disposent en cercles, dont le centre est l’entreprise légalement assujettie. Au centre, le bénéficiaire assume tout : il déclenche, il organise, il envoie ses équipes ou mandate son auditeur, il paie. C’est la configuration la plus coûteuse et la plus fidèle, car l’obligation légale est la sienne et rien n’en est délégué. Dans le premier cercle, la charge est transférée en tout ou partie sur le cocontractant dans l’entreprise duquel l’audit se déroule : questionnaires à remplir, auto-évaluation, audit déclaratif conduit sous sa propre responsabilité, certifications à produire, frais mis à sa charge. Le bénéficiaire ne fait plus l’audit, il le reçoit. Le gain est évident, le risque l’est tout autant : l’information est alors produite par celui-là même qu’il s’agit de contrôler, et elle ne vaut que ce que vaut sa sincérité⁴⁶M. Martin distingue utilement l’audit déclaratif, fait sous la responsabilité de l’audité et en principe opposable au créancier sauf mauvaise foi, et l’audit mené par le créancier, qui ne peut plus en contester ensuite le périmètre. Le choix de la charge commande donc la valeur probatoire du résultat (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence  », préc.).. Dans le deuxième cercle, la charge ne s’arrête pas au cocontractant : il la répercute à son tour sur ses propres fournisseurs, qui la répercutent encore, de sorte qu’elle se propage le long de la chaîne de valeur en se démultipliant. Le fournisseur de dernier rang subit alors des audits en nombre, aux référentiels contradictoires, sans avoir les moyens d’y répondre : la charge s’est déplacée vers celui qui est le moins capable de la porter, tandis que le risque systémique, lui, est resté où il était⁴⁷Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), relève que certains fournisseurs subissent plus de cinquante audits par an, aux référentiels contradictoires, sans que cette accumulation améliore en rien la détection. Sabrina Dupouy en tire la conséquence juridique : le transfert de la vigilance en cascade vers un sous-contractant démuni n’exonère pas le donneur d’ordre (« Le tiers face à la contractualisation de la compliance », préc.).. Trois exigences de rédaction en découlent. Dire qui organise, et non le laisser entendre. Dire qui paie, et selon quelle règle le coût se redistribue si l’audit révèle un manquement⁴⁸Sur les trois modèles de charge des frais, v. infra note n° 55. La pratique américaine met, elle, l’intégralité des frais à la charge de l’audité, sans condition : J.-Ch. Roda, « Clause de compliance » (préc.). Dire enfin ce que vaut ce que l’audité produit lui-même, faute de quoi le bénéficiaire découvrira, au moment d’en faire état, qu’il ne détient qu’une déclaration. Et une limite domine ces trois exigences : transférer la charge n’est pas transférer l’obligation. L’entreprise assujettie demeure tenue de détecter, et le fait d’avoir mis l’audit à la charge d’autrui ne la dispense ni de le vérifier, ni d’en répondre.

23. Le choix de l’expert technique par celui qui bénéficie de l’audit. Il peut arriver que ce soit les services internes du contractant bénéficiaire de la clause qui y procèdent, notamment si l’entreprise contractante dispose d’un important service de contrôle interne, qui pourrait appliquer en externe ses compétences techniques⁴⁹Sur l’analogie entre le contrôle interne et l’audit, V. supra § 1. Le plus souvent, c’est l’auditeur de l’assujetti qui procèdera à l’audit. Dans un tel cas, soit il peut être désigné par avance dans la clause, soit le contractant qui a le pouvoir contractuel de faire procéder à l’audit de Compliance se réserve le pouvoir de désigner cet expert technique au moment où il actionne la clause et informe son cocontractant qu’il veut faire procéder à un audit de Compliance⁵⁰C’est la pratique la plus fréquente, et Arnaud Lecourt, « La clause d’audit » (préc.), la déconseille pour cette raison même, recommandant de confier la mission par priorité à une profession réglementée dotée d’une déontologie, dont le nom et la qualité figurent dans la clause..

24. Le risque de conflit d’intérêts et la possibilité d’un expert technique extérieur au bénéficiaire de l’audit pour procéder à l’audit. Le choix le plus fréquent – les services du bénéficiaire lui-même – est aussi le plus contestable, et trois objections d’inégale force lui sont opposées. La première tient au conflit d’intérêts : celui qui mène l’audit est le préposé de celui qui en tirera les conséquences, de sorte qu’il est à la fois juge et partie. La deuxième tient au déséquilibre significatif : sous couvert de Compliance, l’entreprise bénéficiaire exercerait un pouvoir dont elle fixerait seule le déclenchement, l’objet et le résultat. La troisième, plus radicale, est celle de la potestativité : l’obligation d’un contractant dépendrait alors de la seule volonté de l’autre. La parade est connue, et elle tient en deux éléments : l’objectivité du référentiel au regard duquel l’audit est conduit, et la qualité de celui qui le conduit. Dès lors que le résultat de l’audit ne dépend pas de la volonté du bénéficiaire mais de règles définies à l’avance, appliquées par une personne dont la déontologie répond de l’indépendance, le grief tombe⁵¹C’est le critère retenu par CA Paris, 25e ch. B, 28 juin 2002, Fernandez c/ Sté Puissance 5, inédit, dont Jacques Mestre et Bertrand Fages rendent compte : la stipulation ne s’analyse pas en une condition potestative dès lors que le prix résulte d’un audit du commissaire aux comptes soumis à des règles comptables strictement définies, et non de la seule décision du bénéficiaire (RTD civ. 2002, pp. 804-805). L’exigence rejoint celle d’indépendance fonctionnelle de celui qui contrôle – autorité suffisante, absence d’instruction, non-participation aux activités opérationnelles – exigence relevée par Antoine Oumedjkane, « Puissance publique et pouvoir de contrôle des entreprises » (préc.). L’arrêt commenté est inédit et n’a pu être retrouvé.. De là les trois techniques que la pratique a dégagées : confier la mission à une profession réglementée ; enfermer le choix dans une liste fermée de cabinets arrêtée au contrat ; ou s’en remettre à un tiers désigné d’un commun accord – auquel cas la clause doit impérativement prévoir son propre mécanisme de désignation de secours, faute de quoi le désaccord suffit à la paralyser⁵²L’article 7 du contrat en cause dans l’affaire Coopérative U, préc., enferme le choix dans une liste fermée – PwC, Deloitte, EY, KPMG, par leur bureau parisien – puis, à défaut d’accord dans les cinq jours ouvrés, permet à la plus diligente des parties de faire désigner un tiers par le président du tribunal de commerce de Paris. C’est le meilleur modèle du dossier, et il a pourtant échoué : la procédure visée – le président statuant en la forme des référés – avait été abrogée par l’ordonnance du 17 juillet 2019, de sorte que le juge s’est déclaré sans pouvoir. Le renvoi procédural d’une clause d’audit doit donc être daté, et vérifié à chaque renouvellement.. Cette dernière voie rapproche la clause d’une procédure de discovery : les deux contractants s’accordent sur celui qui ira chercher l’information, et acceptent par avance ce qu’il trouvera.

4. Par la clause d’audit, fixer les modalités de l’audit de Compliance

25. Fixer les modalités de l’audit. Les modalités passent pour de l’intendance ; elles décident en réalité de tout. C’est là que se règle l’équilibre entre ce que l’audit doit produire et l’ingérence qu’il représente, et c’est là que se joue la valeur de ce qu’il rapportera : un audit dont le déroulement n’a pas été réglé donne une information dont le cocontractant pourra toujours contester les conditions d’obtention. Sept points doivent être arrêtés, dont aucun ne va de soi.

Le préavis d’abord, qui est le point le plus discuté : l’annonce préalable permet à l’audité de mobiliser ses ressources, mais elle lui laisse aussi le temps de préparer ce qu’il montrera⁵³Les auteurs se divisent. Arnaud Lecourt déconseille formellement toute stipulation de préavis, qui ruinerait l’effet de surprise (« La clause d’audit », préc.). A l’inverse, Mathieu Martin le juge nécessaire, l’audit mobilisant des ressources considérables chez l’audité (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence », préc.). Le désaccord tient en réalité à l’objet de l’audit : la surprise est utile pour vérifier des déclarations chiffrées, la coopération est indispensable pour reconstituer un dispositif que seul l’audité connaît. La clause de Compliance, qui poursuit les deux, gagne à distinguer selon le déclencheur : préavis pour l’audit périodique, absence de préavis pour l’audit provoqué par un red flag.. La durée et les horaires ensuite, qui évitent que l’audit ne devienne, par sa seule longueur, une perturbation de l’activité. La coopération de l’audité, qui doit être stipulée comme une obligation de faire et non supposée : mise à disposition des interlocuteurs, accès aux locaux et aux systèmes, remise des pièces dans un délai. Les frais, dont la charge admet plusieurs formules, et qui gagnent à être supportés par le bénéficiaire sauf si l’audit révèle un manquement⁵⁴Trois modèles se rencontrent : les frais à la charge du créancier, reportés sur l’audité si l’audit révèle un manquement, éventuellement au-delà d’un seuil chiffré (A. Lecourt, « La clause d’audit » (préc.)) ; les frais à la charge de l’audité sans condition, formule de la pratique américaine ; les frais avancés puis remboursés, le remboursement trouvant sa cause dans la faculté réservée à l’autre partie (J. Mestre et B. Fages, « La clause d’audit est-elle potestative ? » (préc.)).. La confidentialité, qui est le point où la clause protège l’audité : cloisonnement des informations commercialement sensibles, sort des copies prises, sanction de la divulgation. Les entraves enfin – audit saboté, informations succinctes, dissimulation – dont la sanction doit être écrite, sauf à laisser le bénéficiaire sans autre ressource que le juge. Et le rapport, qui clôt l’opération : remis aux deux parties, discuté contradictoirement, ses conclusions énoncées sans réserve⁵⁵M. Martin exige la transparence des conclusions et proscrit les conclusions « sous réserve de… », qui laissent l’audité sous une menace indéfinie. Il distingue utilement l’audit déclaratif, fait sous la responsabilité de l’audité et en principe opposable au créancier sauf mauvaise foi, de l’audit mené par le créancier, qui ne peut plus en contester ensuite le périmètre (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence  », préc.). Sur les suites – assiette de la régularisation, frais associés, délais, appel en garantie – la clause gagne à être aussi précise que sur le déroulement., avec le sort qui sera fait à ce qu’il aura établi.

B. INTÉGRER DANS L’ÉLABORATION DE LA CLAUSE LES RISQUES ET LES LIMITES DE CET AUDIT CONTRACTUELLEMENT IMPOSÉ À AUTRUI POUR SATISFAIRE LA COMPLIANCE

26. La sagesse d’intégrer dès la rédaction de la clause d’audit de Compliance ses limites et ses risques. Annonce de plan. Une clause d’audit bien faite ne se borne pas à organiser le pouvoir qu’elle confère : elle intègre, dès sa rédaction, ce qui lui résistera. Deux ordres de considérations s’y présentent, qu’il ne faut pas confondre. Les limites d’abord, c’est-à-dire ce que l’audit ne pourra pas atteindre, et que le rédacteur a tout intérêt à nommer plutôt qu’à ignorer, parce qu’une limite écrite devient une justification le jour où le résultat de l’audit est discuté (1). Les risques ensuite, c’est-à-dire ce que l’audit fait courir à celui-là même qui l’a stipulé : la charge tacite de l’exécuter, le reproche pris des droits de la défense, et l’usage que d’autres feront de son rapport (2).

1. Intégrer dans la clause d’audit de Compliance les limites mêmes de celui-ci

27. Se donner le pouvoir contractuel de mener un audit de Compliance, c’est aussi se charger d’une obligation tacite de le mener. Le pouvoir se retourne en charge. Celui qui a exigé la clause a par là même déclaré que l’audit était nécessaire à l’exécution de son obligation légale ; il ne peut plus soutenir ensuite qu’il pouvait s’en dispenser. L’inexécution de la clause d’audit n’est donc pas une simple abstention : elle est un manquement, et ce manquement est opposable non seulement par le cocontractant, mais par ceux qui ont souffert du risque que l’audit aurait dû détecter. Le rédacteur qui mesure cela en tire deux conséquences pratiques. La première est qu’il ne faut pas stipuler une clause d’audit que l’on n’a ni l’intention ni les moyens de mettre en œuvre : mieux vaut une clause étroite et exécutée qu’une clause large et dormante⁵⁶Le mécanisme est formulé par Maxime D’Angelo Petrucci, qui recommande de ne pas stipuler la clause si le créancier n’a ni l’intention ni les ressources de la mettre en œuvre, le défaut de mise en œuvre pouvant être perçu comme une négligence fautive (« Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires », préc.). Sabrina Dupouy présente plus sévèrement la situation de l’entreprise « bénéficiaire » de la clause d’audit : le tiers victime peut invoquer comme faute délictuelle le seul manquement contractuel, sans autre preuve, ce qui vaut pour l’inexécution d’une clause d’audit (« Le tiers face à la contractualisation de la compliance », Droit des sociétés, n° 4, avril 2024, étude 5). Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain », Boston College Law Review, vol. 63, n° 8, 2022, pp. 2539-2620, le documente en relevant que les têtes de chaîne poursuivent rarement les manquements constatés, ce qui ruine l’effet dissuasif de l’audit.. La seconde est qu’il faut stipuler que le non-exercice du droit d’audit à une échéance donnée ne vaut pas renonciation à l’exercer ensuite⁵⁷C’est la parade contractuelle des Model Contract Clauses : D. V. Snyder, S. A. Maslow et S. Dadush (Working Group to Draft Model Contract Clauses, ABA Business Law Section), « Balancing Buyer and Supplier Responsibilities: Model Contract Clauses to Protect Workers in International Supply Chains, Version 2.0 », The Business Lawyer, vol. 77, n° 1, 2021-2022, pp. 115-182, dont la section 5.1 stipule que le comportement des parties, y compris le défaut de l’acheteur d’exercer effectivement ses droits d’audit, ne vaut ni renonciation ni élément d’appréciation de ses remèdes. Les MCC 2.0 ne comportent au demeurant pas de clause d’audit autonome : ils présupposent des droits d’audit stipulés ailleurs et en règlent les effets..

28. Limiter le bénéfice de l’audit contractuel de Compliance au contractant en charge de l’obligation de Compliance pour que son cocontractant ne s’en prévale pas, voire les tiers concernés, extérieurs au contrat. La clause est stipulée dans l’intérêt de celui qui porte l’obligation légale, et il faut l’écrire, car deux détournements la guettent. Le premier vient du cocontractant lui-même, qui serait tenté de se prévaloir de l’audit subi comme d’un quitus : audité sans réserve, il se dirait conforme, et retournerait contre le bénéficiaire le silence de son propre rapport. Le second vient des tiers concernés, qui pourraient voir dans la clause une stipulation faite à leur profit et en réclamer l’exécution. Il faut donc écrire que le rapport d’audit ne vaut ni approbation, ni décharge, ni reconnaissance de conformité, qu’il n’épuise pas les autres voies de contrôle, et que la clause ne crée aucun droit au profit d’un tiers. La précision n’est pas de style : elle évite que l’instrument de la détection ne devienne l’instrument de l’exonération⁵⁸Sabrina Dupouy relève dans le même sens que la communication d’une entreprise sur ses mécanismes contractuels, clauses d’audit comprises, est un signal envoyé au marché qui n’est parfois que du greenwashing, et que le transfert de la vigilance en cascade vers un sous-contractant démuni n’exonère pas le donneur d’ordre (« Le tiers face à la contractualisation de la compliance », préc.)..

29. Transformer les limites liées à l’autonomie juridique des personnes, à la confidentialité des informations, à l’inaccessibilité des lieux, en autant de justifications au regard du résultat de l’audit contractuel de Compliance. Trois limites sont irréductibles, et il est vain de rédiger comme si elles n’existaient pas. L’autonomie juridique des personnes d’abord : le cocontractant n’est maître ni de ses propres partenaires, ni de ses salariés, dont il ne peut ni livrer le consentement ni garantir la parole. La confidentialité ensuite, qui n’est pas un prétexte mais un droit : secret des affaires, données à caractère personnel, secret professionnel de ceux qui conseillent l’audité. L’inaccessibilité des lieux enfin, qu’elle tienne à la loi étrangère, à la localisation des données ou au fait que l’information se trouve chez un tiers au contrat. Le retournement que le rédacteur doit opérer est le suivant : ces limites, nommées dans la clause, cessent d’être des échecs imputables à l’audité pour devenir les justifications du résultat obtenu. L’audit qui n’a pas tout vu, mais qui dit pourquoi et dans quelles bornes, établit la diligence de celui qui l’a mené ; l’audit muet sur ses propres limites ne prouve rien⁵⁹Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), recense les techniques d’évitement que rencontre l’audit social : corruption de l’auditeur local, sélection et préparation des salariés interrogés, remise en état des issues de secours et éviction des enfants avant une inspection annoncée, sous-traitants non déclarés, usine vitrine, double comptabilité. Il en tire quatre exigences de rédaction : rendre le contrôle visible et ses suites connues, définir concrètement l’objet du contrôle, assurer la légitimité perçue du référentiel, limiter la complexité des standards. Faute de quoi l’audit dégénère en public relations vehicles, les auditeurs ayant intérêt à rassurer pour conserver leur mandat..

30. Toujours rédiger la description des limites au regard des finalités précitées de la clause d’audit de Compliance. La description des limites obéit au même critère que la description du champ : la finalité. Une limite n’est opposable que si elle se comprend au regard de ce que l’audit doit établir. Écrire que le cocontractant peut refuser l’accès à « toute information sensible » ne protège personne, car la formule est aussi large que celle qui, en sens inverse, ouvrirait l’audit à « tous documents ». Écrire en revanche que l’auditeur n’accède pas aux données de tarification des autres clients, dès lors que la détection du risque de corruption n’en dépend pas, énonce une limite qui tient, parce qu’elle se mesure à la finalité⁶⁰V. supra § 17, sur le critère de proportionnalité et le raisonnement téléologique, dont la description des limites n’est que l’application inverse.. La symétrie est ici la règle : ce qui vaut pour délimiter le pouvoir vaut pour délimiter ce qui lui échappe.

31. Organiser contractuellement les charges de preuve au regard des limites, posées comme des exceptions au principe d’accessibilité. Restent les charges de preuve, que la clause doit répartir avant que le litige ne les fige. La technique est celle du principe et de l’exception : le principe est l’accessibilité de l’information entrant dans le champ défini, les limites en sont les exceptions, et il revient à celui qui les invoque de les établir. Le cocontractant qui oppose le secret des affaires, l’impossibilité matérielle ou le refus d’un tiers doit donc le démontrer, et non se borner à l’alléguer. À défaut de cette répartition, la charge se retourne : c’est le bénéficiaire qui devra prouver que l’information lui était due, au moment même où il ne dispose pas de ce qui lui permettrait de le prouver, puisque c’est précisément ce qu’on lui refuse⁶¹D’où l’intérêt de stipuler aussi la sanction de l’entrave – audit saboté, informations succinctes, dissimulation – le plus souvent la résiliation et des dommages-intérêts, assortis de la remise des pièces sous astreinte : A. Lecourt, « La clause d’audit » (préc.).

32. Toujours conserver trace, du temps de la rédaction au temps de l’exécution de la clause d’audit. La clause d’audit a une dimension probatoire qui ne joue que si la trace a été gardée. Du temps de la rédaction : ce que les parties ont voulu couvrir, la cartographie des risques à laquelle le champ renvoyait, les versions successives de la stipulation. Du temps de l’exécution : la demande d’audit et sa motivation, la date à laquelle l’auditeur a été désigné, la période sur laquelle il a travaillé, les pièces remises et celles qui ont été refusées, les personnes entendues, les limites rencontrées. Ce n’est pas de l’archivage : c’est la matière même de la démonstration que l’entreprise assujettie devra faire, non pas au cocontractant, mais à l’autorité ou au juge devant lesquels elle rendra compte de ses diligences⁶²Le rapport de l’Audit Responses Committee, ABA Business Law Section, « Report on Audit Response Timing Issues », The Business Lawyer, vol. 77, n° 1, 2021-2022, pp. 183-190, quoique consacré aux lettres adressées aux commissaires aux comptes, offre une grammaire temporelle transposable : le périmètre est fixé par l’identification des entités et de l’exercice, la date d’effet de la réponse se distingue de sa date d’émission, l’obligation d’actualisation postérieure peut être licitement exclue, et la méthode de délimitation de la période – Entire Period Approach ou Snapshot Approach – doit être énoncée..

2. Intégrer dans la clause d’audit de Compliance les risques de celui-ci

33. Intégrer que l’audit peut être qualifié de mesure d’instruction comme une autre lorsqu’il s’agit de repérer un manquement : le risque de reproche au regard des droits de la défense. Tant que l’audit vérifie des déclarations et rapproche des chiffres, il demeure un contrôle. Dès qu’il se donne pour objet de repérer un manquement et d’en identifier l’auteur, il devient, par son objet sinon par son nom, une mesure d’instruction : on recherche des preuves, on entend des personnes, on impute. Le reproche est alors prévisible, et il ne vient pas du droit des contrats : celui qui est mis en cause par un audit mené chez son employeur, au bénéfice d’une entreprise qui ne l’emploie pas, soutiendra qu’il n’a pas su de quoi on le soupçonnait, qu’il n’a pas été entendu utilement, qu’il n’a pu faire valoir sa version. Le risque n’est pas seulement moral : il atteint le résultat, car la preuve recueillie dans ces conditions peut ne rien valoir devant le juge qui aura, un jour, à en connaître⁶³V. supra § 15, sur le point où l’audit change de nature en passant du document à la personne. Le vocabulaire de l’intrusion se rencontre dans la bouche même des audités : dans CA Paris, pôle 5, ch. 4, 14 janvier 2026, Centre Vidéo Distribution c/ RDM Video, RG n° 24/04702, le distributeur auquel était imposée, sur simple demande écrite, la remise de ses bilans détaillés des trois derniers exercices, parle d’« inquisition » ; la cour relève que l’accès à l’intégralité des documents comptables sans justification est reçu comme une immixtion dans la gestion..

34. Organiser par avance le respect minimal des droits de la défense si les circonstances les appellent. Il n’y a pas de procès, donc pas de droits de la défense au sens procédural ; il y a pourtant un minimum à organiser, et la clause est le seul lieu où il puisse l’être. Ce minimum tient en peu de choses : la personne entendue sait pourquoi elle l’est et à quel titre, elle n’est pas tenue de s’auto-incriminer, ses déclarations sont consignées et relues, elle peut être assistée, ce qu’elle dit ne sort pas de l’objet pour lequel l’audit a été déclenché. Rien de tout cela ne ralentit l’audit ; tout cela conditionne la valeur de ce qu’il rapporte. Et ce qui est écrit dans la clause vaut mieux que ce qui sera improvisé sur place, car l’auditeur qui applique une procédure convenue à l’avance n’a pas à justifier la sienne⁶⁴Le guide pratique AFA-PNF, préc., quoiqu’il raisonne sur l’enquête menée par une entreprise sur ses propres salariés, fournit la matière de ces stipulations : information des personnes visées, conduite des entretiens, archivage et conservation des éléments recueillis, stricte confidentialité. Il n’existe à ce jour aucun texte ni aucune ligne directrice qui règle la même question lorsque l’enquête se déroule chez le cocontractant, sur les salariés d’autrui : la clause y supplée seule..

35. Organiser contractuellement la charge de preuve sur le déclenchement de droits processuels dans la menée d’une démarche avant tout comptable et financière. Encore faut-il savoir quand ce régime s’applique, car la démarche est avant tout comptable et financière et n’a pas vocation à s’alourdir de garanties procédurales à chacun de ses pas. Le seuil doit donc être stipulé, et la charge de le prouver répartie. Le plus simple est de faire du basculement une question d’objet plutôt que d’intensité : tant que l’audit porte sur des documents et des procédures, il suit le régime ordinaire ; dès qu’il porte sur le comportement d’une personne identifiée, il suit le régime renforcé. Celui qui soutient que le seuil a été franchi – la personne entendue, le plus souvent – doit l’établir ; mais celui qui mène l’audit doit avoir conservé de quoi démontrer l’inverse, ce qui ramène à la trace.

36. Intégrer le risque d’usage du rapport d’audit contractuel de Compliance comme arme stratégique latérale ou ultérieure : le limiter par la confidentialité et/ou l’intégrer dans la menée et les rédactions. Le rapport, une fois établi, vit sa propre vie, et c’est le dernier risque, le moins anticipé. Latéralement, il peut servir dans un tout autre rapport que celui pour lequel il a été fait : renégociation du prix, litige commercial, communication vers le marché, remise à une autorité. Ultérieurement, il peut être produit dans une instance où celui qui l’a commandé n’est pas partie, ou opposé à lui-même le jour où il faudra expliquer ce qu’il savait et n’a pas empêché. Deux techniques répondent à ce risque, et elles se cumulent plus qu’elles ne s’excluent. La première est la confidentialité : destinataires limitativement énumérés, interdiction de communication hors les cas prévus par la loi, sort des copies, durée. La seconde, plus exigeante, consiste à intégrer le risque dans la conduite même de l’audit et dans la rédaction du rapport : distinguer le constat de l’imputation, ne pas qualifier juridiquement ce qui n’est qu’une anomalie, écrire en sachant que le document sera lu par d’autres que son destinataire. Un rapport d’audit est une pièce ; il faut l’écrire comme telle⁶⁵L’affaire Coopérative U, préc., en donne l’illustration inverse : la demande d’audit formée après la rupture du partenariat a été analysée comme une mesure purement probatoire destinée à préparer un litige plutôt qu’à conserver une preuve, et l’article 145 du Code de procédure civile a été écarté. Le contrat prévoyait d’ailleurs que l’audit s’exécute « dans des conditions excluant toute communication d’informations commerciales sensibles » : le cloisonnement est la première des techniques. Sur l’usage ultérieur, CA Paris, pôle 5, ch. 4, 16 juin 2021, SPI International c/ EuropaCorp, RG n° 17/05010, donne la chaîne complète – l’audit établit le manquement, le manquement nourrit la mise en demeure, la mise en demeure déclenche la clause résolutoire – et le régime probatoire : le rapport fait foi tant que l’audité ne produit rien..

II. À L’EXTÉRIEUR D’UNE CLAUSE D’AUDIT INSÉRÉE POUR REMPLIR SON OBLIGATION DE COMPLIANCE : SON ADOSSEMENT AUX AUTRES STIPULATIONS

37. A besoin d’autres clauses pour bien fonctionner ; existe pour faire bien fonctionner d’autres clauses. Annonce de plan. Une clause d’audit isolée ne produit rien. Elle donne à savoir, et le savoir n’est pas une fin : il n’a de valeur que par ce qu’il permet d’exiger, de refuser, de corriger ou de rompre. C’est pourquoi l’examen du dedans, auquel on vient de procéder, ne suffit pas : il faut regarder la clause du dehors, dans le jeu des stipulations qui l’entourent. Ce jeu a deux sens. Dans le premier, la clause d’audit est portée : elle s’adosse à ce qui la précède, la stipulation qu’elle sert et la structure dans laquelle les parties sont déjà prises, et c’est de cet appui qu’elle tient sa mesure (A). Dans le second, elle porte : d’autres clauses s’adossent à elle, qui ne peuvent jouer que sur le fait qu’elle aura établi, et c’est alors elle qui donne aux autres leur point d’application (B). Reçue et donnée, elle est le point de passage de l’information dans le contrat de Compliance.

38. Adossement plutôt qu’accessoire : ce que le Droit commun oppose au vocabulaire de la hiérarchie entre clauses. On l’a dit : la formule d’« accessoire nécessaire » décrit une fonction, non un régime, et ce que le Droit commun saisit n’est pas la hiérarchie des clauses mais leur divisibilité. La question se résout par la fonction que chacune remplit dans l’économie voulue, non par la place qu’elle occupe dans l’acte. Le déplacement de vocabulaire n’est pas cosmétique : il commande la réponse aux deux situations que la pratique rencontrera, celle de la clause de conformité annulée alors que l’audit est déjà organisé, et celle de la clause d’audit privée d’effet alors que l’obligation de conformité demeure.⁶⁶Le Droit commun ne connaît pas de catégorie nommée « clause accessoire » : la théorie de l’accessoire joue entre biens, créances et contrats, non entre stipulations d’un même acte. C’est l’article 1184 du Code civil qui règle la divisibilité, et la doctrine consolidée retient une dualité hiérarchisée de critères, téléologique d’abord, subjectif ensuite : T. Genicon, « Conséquences de la nullité d’une clause sur le sort du contrat », et, du même auteur, « De la nullité partielle à la clause réputée “partiellement” non écrite » ; A. D’Adda, « Nullité partielle, clause réputée non écrite et intégration corrective du contrat », qui donne la lecture moderne du critère : non plus la recherche d’une volonté hypothétique, mais l’appréciation objective du poids de la stipulation dans l’économie de l’acte. Comparer, pour l’interdépendance des contrats d’une même opération, Cass. ch. mixte, 17 mai 2013, n° 11-22.768 et n° 11-22.927. Aucune décision ne statue à ce jour sur le sort d’une clause d’audit après la chute de la clause qu’elle sert : le rapprochement est une construction, et il est assumé comme tel.

A. LA CLAUSE DE COMPLIANCE RELATIVE À L’AUDIT ADOSSÉE À D’AUTRES CLAUSES DE COMPLIANCE

39. Ce sur quoi la clause d’audit s’adosse : la stipulation qu’elle sert, et la structure dans laquelle elle s’inscrit. Annonce de plan. La clause d’audit ne se comprend jamais seule, et son premier appui est en amont d’elle-même. Il est double. Elle s’adosse d’abord à la stipulation qu’elle a pour office de rendre effective, et son régime en dépend : accessoire d’une clause de conformité, elle n’est qu’un instrument de vérification, dont la mesure est l’obéissance du cocontractant à un texte ; accessoire d’une clause de Compliance, elle devient tout autre chose, puisqu’il ne s’agit plus de constater une obéissance mais de préserver un système, ce qui l’ouvre à des tiers avec lesquels l’entreprise n’a pas de lien contractuel (1). Elle s’adosse ensuite, et cette fois hors du contrat qui la porte, à la structure dans laquelle les parties se trouvent déjà prises : lorsque cette structure est intégrée par la Loi ou par le marché, l’audit n’a pas à créer la sujétion qui le rend possible, il la trouve, et sa justification s’en trouve allégée d’autant (2).

1. La clause d’audit, suivant qu’elle s’adosse à une clause de conformité ou à une clause de Compliance

40. La clause d’audit, simple outil d’effectivité pour une conformité accrue. Adossée à une clause de conformité, la clause d’audit n’est qu’un instrument de vérification, et tout son régime s’en déduit. Ce qu’elle cherche est binaire : le cocontractant a fait, ou n’a pas fait, ce qu’un texte ou une stipulation lui commandait. Le référentiel est donné d’avance, extérieur aux parties, et l’audit n’a qu’à le confronter aux faits. De là trois traits. Le champ est étroit, parce qu’il se borne à ce que la clause servie exige. La preuve est simple, parce qu’un manquement se constate. Et le grief de déséquilibre s’éteint presque de lui-même, parce qu’une stipulation qui ne fait que vérifier l’obéissance à un texte clair ne confère aucun pouvoir discrétionnaire. C’est la configuration la plus ancienne, celle des réseaux de distribution et des licences, où l’audit vérifie des déclarations chiffrées. Elle donne à la clause son efficacité maximale et son ambition minimale : elle accroît la conformité, elle ne fait rien d’autre⁶⁷C’est la configuration décrite par Arnaud Lecourt à propos des réseaux de distribution (« La clause d’audit », préc.), ainsi que par M. Martin à propos des licences de logiciel, qui qualifie expressément cet audit d’audit de conformité de l’usage des licences (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence », préc.). Sur l’immunité au regard de l’article L. 442-1, I, 2°, du Code de commerce, la clause qui se borne à reprendre un texte clair et précis y échappe, ce qui est censuré étant « la dimension discrétionnaire et peu lisible » de la mesure et non son unilatéralité (Cass. com., 28 février 2024 et Cass. com., 4 septembre 2024, rapportés par Jean-Christophe Roda, « Clause de compliance », in F. Buy, J. Heinich, M. Lamoureux, J. Mestre et J.-Ch. Roda, Les principales clauses des contrats d’affaires, Lextenso - LGDJ, coll. « Droit et pratique professionnelle », 3e éd., 2025, chapitre 17)..

41. La clause d’audit, adossée à une stratégie de Compliance : un nouveau développement de l’audit contractuel. Adossée à une clause de Compliance, la même technique change de nature. Le référentiel n’est plus un texte à confronter mais un but à servir, et l’audit ne cherche plus seulement un manquement : il cherche une vulnérabilité, dans une organisation dont le bénéficiaire n’a pas la maîtrise. Le champ s’élargit, la durée s’allonge, les moyens s’alourdissent, et la stipulation quitte le registre de la vérification pour celui de la stratégie. La pratique américaine des monitoring clauses en donne la forme extrême, qui n’est plus une clause d’audit mais un régime de surveillance, et l’on y mesure en même temps la puissance de l’instrument et le point où il bascule. C’est ici que se joue le développement nouveau de l’audit contractuel : non plus vérifier ce qui est dû, mais organiser une connaissance continue de l’autre, au nom d’un but qui dépasse le contrat⁶⁸Sur les monitoring clauses américaines, qui vont bien au-delà de la clause d’audit classique – volume considérable d’informations, transmission d’informations confidentielles ensuite retransmises aux autorités fédérales avec perte des privileges, obligation de tenir livres et comptes ouverts plusieurs années après l’exécution, les clauses types audit right de Halliburton retenant quatre ans, vérification par le créancier dans les locaux du débiteur ou par un monitor, frais intégralement à la charge de l’audité, rupture en cas de refus d’inspections périodiques – v. J.-Ch. Roda, « Clause de compliance » (préc.). Sur les clauses types que la directive dite CS3D confie à la Commission, v. M. D’Angelo Petrucci, « Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires » (préc.).

42. La clause d’audit dans la perspective du Droit de la Compliance : une voie contractuelle pour nouer des alliances avec des tiers à l’entreprise pour contribuer ensemble à une ambition collective. Il reste un troisième état, qui est le plus intéressant et le plus appelé à être développé en pratique. Si l’Obligation de Compliance a pour objet de préserver les systèmes et de protéger les êtres humains qui y sont impliqués, alors l’audit ne peut demeurer indéfiniment ce qu’il est dans les deux premiers états : le contrôle de l’un sur l’autre. Il devient une voie par laquelle l’entreprise assujettie noue, avec ceux qui ne sont pas parties au contrat, quelque chose qui ressemble à une alliance. Les « tiers concernés » cessent alors d’être seulement les objets de l’audit pour en devenir des sources, et parfois des bénéficiaires : leurs conditions de travail, leur sécurité, la réalité de ce qu’ils vivent entrent dans le champ parce que c’est précisément ce que l’audit doit détecter. Les clauses types les plus avancées l’ont compris, qui font peser des obligations sur l’acheteur lui-même et abandonnent l’unilatéralité du contrôle au profit d’une responsabilité partagée. L’audit devient alors moins une arme qu’un lien, et c’est, à long terme, la seule façon de le rendre efficace : un contrôle subi produit de la dissimulation, un contrôle partagé produit de l’information. Or, en matière de compliance, la dissimulation s’assimile rapidement à un manquement.⁶⁹C’est le déplacement qu’opèrent les MCC 2.0, préc., qui imposent des obligations à l’acheteur lui-même et abandonnent le modèle du contrôle unilatéral, et que théorise Kishanthi Parella, « Contractual Stakeholderism », Boston University Law Review. Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), en fournit la démonstration a contrario : l’audit subi engendre les techniques d’évitement, et les auditeurs ayant intérêt à rassurer pour conserver leur mandat, le contrôle dégénère lorsqu’il n’est pas perçu comme légitime.

Il faut mesurer ce que ce déplacement engage. Dans la conformité, l’audit est un signe de soumission : celui qui l’exige montre à l’autorité qu’il tient ses partenaires, celui qui le subit montre qu’il obéit, et l’instrument ne circule que de haut en bas, ne produisant au mieux que de la docilité. Dans la Compliance, l’audit peut devenir le signe d’une collaboration : ce que les deux contractants organisent ensemble n’est plus la preuve de l’obéissance de l’un, mais leur contribution commune à une ambition qui les dépasse tous deux, la durabilité du système auquel ils appartiennent et le sort des êtres humains que ce système emporte. La stipulation cesse alors d’être l’instrument par lequel une entreprise puissante traite l’entreprise d’autrui comme si elle était la sienne, pour devenir celui par lequel deux entreprises se reconnaissent une charge commune. C’est le même humanisme qui est au principe de l’Obligation de Compliance et au principe de cette lecture de la clause : le partenaire n’y est plus un risque à mesurer, il y devient un allié à équiper.

Ce troisième état n’est pas une variante parmi d’autres : il est l’expression proprement européenne du Droit de la Compliance, et c’est par lui que celui-ci se sépare des deux autres grandes constructions. Le Droit américain de la Compliance, dont les monitoring clauses donnent la forme contractuelle la plus achevée, tient l’entreprise pour un relais d’exécution : l’audit y est l’instrument par lequel l’autorité, à travers l’entreprise, atteint les partenaires de celle-ci, et la sanction en demeure l’horizon. Le Droit chinois de la Compliance pousse plus loin encore dans le même sens, l’entreprise y étant un instrument de contrôle au service de la puissance politique et l’information recueillie chez le partenaire remontant vers un centre qui n’est pas celui du contrat. Dans l’un et l’autre cas, la clause d’audit demeure un mécanisme de soumission, et seule change l’identité de celui à qui l’on se soumet. Le Droit européen de la Compliance repose sur une tout autre idée : les Buts Monumentaux ne sont pas les objectifs d’une autorité que l’entreprise servirait, ils sont une ambition systémique qu’elle partage, parce que les êtres humains qu’il s’agit de protéger sont aussi les siens. C’est pourquoi la clause d’audit peut y prendre la forme de l’alliance, quand elle ne le peut pas ailleurs : elle n’est pas le bras d’un pouvoir, elle est le lien par lequel deux entreprises tiennent ensemble une charge qu’aucune ne porterait seule⁷⁰Sur la conception européenne qui est ici défendue, v. 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026. Sur la conception américaine, telle que la traduisent les stipulations contractuelles, v. J.-Ch. Roda, « Clause de compliance », préc., sur les monitoring clauses ; J. L. Short, M. W. Toffel et A. R. Hugill, « Monitoring Global Supply Chains », Strategic Management Journal, vol. 37, n° 9, 2016, pp. 1878-1897 ; R. C. Bird, « Contractual Deterrence and the Ethical Supply Chain », préc. Les Model Contract Clauses 2.0 (D. V. Snyder, S. Maslow et S. Dadush, préc.) et K. Parella, « Contractual Stakeholderism », préc., marquent au sein même de la doctrine américaine le déplacement vers la responsabilité partagée. Sur la conception chinoise, qui emploie les mêmes techniques à des fins inverses, v. 🕴️M.-A. Frison-Roche, entretien avec O. Dufour, 💬« La nouvelle loi de protection des données en Chine est un “anti-RGPD” », Actu-Juridique, 2 septembre 2021 : les mécanismes de Compliance y servent à obtenir l’obéissance, l’État étant soustrait aux contraintes qu’il impose aux entreprises, quand le Droit européen fait de la protection de la personne le but même du dispositif..

43. La finalité poursuivie par les contractants : en application de la Loi, mais aussi en autonomie de celle-ci. Il faut en tirer une conséquence que la pratique n’a pas encore mesurée. Si la clause d’audit tire sa mesure de la finalité qu’elle sert, cette finalité n’est pas toujours donnée par la Loi. Elle l’est lorsque la stipulation vient exécuter une obligation légale d’évaluation ou de vigilance, et le cocontractant ne peut guère alors la discuter, puisqu’elle ne fait que porter dans le contrat ce que le texte impose. Mais elle peut aussi être posée par les contractants eux-mêmes, en autonomie de la Loi : deux entreprises peuvent convenir d’un audit que nul texte n’exige, parce qu’elles estiment l’une et l’autre devoir répondre de la durabilité d’un système auquel elles participent, ou du sort des êtres humains que leur chaîne de valeur emporte. La stipulation n’est plus alors la retombée contractuelle d’une contrainte publique : elle est un engagement propre, et c’est le contrat lui-même qui devient la source du But Monumental que l’audit sert. Le régime s’en trouve déplacé sur deux points. La justification d’abord : ce qui était admis parce que la Loi le commandait doit ici être expressément voulu et accepté, faute de quoi l’audit volontaire s’expose au grief qu’aucune obligation légale ne vient plus couvrir. La portée ensuite : ce que les contractants ont voulu en autonomie, ils l’ont voulu pour de bon, et l’on voit mal comment celui qui a stipulé un tel audit pourrait soutenir ensuite qu’il n’y était pas tenu. L’autonomie ne rend donc pas la clause plus faible : elle la rend plus exigeante.

2. La clause d’audit, adossée à une structure déjà juridiquement intégrée

44. La clause d’audit adossée à des rapports de conformité et/ou de Compliance dans des rapports sociétaires. Le premier cas d’adossement à une structure est celui où l’intégration est capitalistique. Entre société mère et filiales, l’information circule déjà : consolidation des comptes, contrôle interne du groupe, remontée des risques, rapport de gestion et rapport de durabilité. La clause d’audit y est presque superflue, puisque le pouvoir existe sans elle. Son utilité apparaît aux marges du périmètre : la filiale minoritaire, la coentreprise, la participation sans contrôle, où le pouvoir sociétaire s’arrête et où le contrat doit prendre le relais. Le rédacteur gagne alors à calquer la clause sur ce que le droit des sociétés organise déjà, plutôt qu’à inventer un régime parallèle : mêmes périodicités, mêmes destinataires, même vocabulaire. Il gagne surtout à se souvenir que l’audit contractuel ne transporte pas avec lui les prérogatives du pouvoir sociétaire : il n’en est que le substitut, et un substitut plus fragile⁷¹La figure de l’organisme tiers indépendant de la société à mission (articles L. 210-10 et L. 210-11 du Code de commerce) fournit un point de comparaison utile pour le choix de l’auditeur : v. S. Dupouy, « Le tiers face à la contractualisation de la compliance » (préc.).

45. La clause d’audit adossée à des techniques juridiques de gouvernance. Le second cas est plus riche, parce que l’intégration n’y doit rien au capital. Elle vient tantôt de la Loi, tantôt du marché. De la Loi, lorsque la réglementation impose elle-même à l’entreprise assujettie de se ménager par contrat l’accès et le contrôle sur celui à qui elle confie une part de son activité : l’externalisation bancaire et financière en est l’exemple achevé, où la clause d’audit n’est plus une liberté contractuelle mais la condition du respect de ses propres obligations prudentielles. Du marché, lorsque les parties appartiennent déjà à un ensemble organisé qui fait circuler l’information et normalise les pratiques : réseau de distribution, centrale de référencement, groupement, schéma de certification, accès à une infrastructure ou à un système de place, financement conditionné à des critères de durabilité. Dans tous ces cas, l’audit ne crée pas la sujétion, il la trouve, et trois conséquences en découlent : la justification de la clause est allégée, puisque l’appartenance la porte ; le grief d’immixtion dans la gestion perd de sa force, puisque le contrôle est dans la nature du lien ; et le référentiel est extérieur aux parties, ce qui écarte du même coup la potestativité⁷²L’exemple achevé est celui de l’externalisation bancaire : sur le fondement des articles 238 et 239 de l’arrêté du 3 novembre 2014, la Commission des sanctions de l’ACPR a sanctionné l’établissement qui n’avait évalué le risque né de l’externalisation pour aucune de ses prestations essentielles externalisées, écartant l’argument tiré de ce que les contrats n’en prévoyaient pas : ACPR, Commission des sanctions, décision n° 2023-02 du 9 octobre 2024, Tunisian Foreign Bank. La clause d’audit y est la condition du respect des obligations prudentielles, non l’expression d’une liberté contractuelle. V. égal. supra § 24 sur la potestativité..

B. LA CLAUSE D’AUDIT, SUR LAQUELLE D’AUTRES CLAUSES DE COMPLIANCE S’ADOSSENT

46. Ce que la clause d’audit rend contractuellement possible : frapper, ou rapprocher. L’adossement joue aussi en sens inverse : d’autres stipulations de Compliance prennent appui sur la clause d’audit, parce qu’elles ne peuvent produire effet que sur ce que l’exécution de la clause d’audit aura permis d’établir. Toutes supposent en effet un fait connu, et c’est l’audit qui le fournit. Mais elles se partagent selon ce qu’elles font de ce fait, et le partage n’est pas de degré : il est de sens. Les unes arment celui qui sait grâce à l’audit contractuel de Compliance, à travers la clause d’anticipation des différends et de leur règlement, la clause de sanction, la clause résolutoire, qui transforment le constat en grief, le grief en mise en demeure, la mise en demeure en rupture. La clause d’audit est alors ce qui donne les moyens de frapper (1). Les autres clauses qui s’adossent à la clause d’audit font l’inverse : la clause de remédiation, le plan de mesures correctives, l’accompagnement du partenaire défaillant puisent dans l’audit contractuellement exécuté non pas le constat du manquement mais le fait d’une vulnérabilité, voire d’un besoin, et en tirent une obligation de faire ensemble ce qui n’a pas été fait. L’exécution de la clause d’audit donne alors les moyens de rapprocher (2).

La même information, le même rapport, renvoie donc à deux économies contractuelles opposées : c’est dire que la clause d’audit ne prend son sens que de celles qui la suivent, et que le rédacteur choisit, en les stipulant, pouvant intégrer dans la clause d’audit à quoi les résultats de l’audit ont vocation à servir. Les unes et les autres viendront enfin devant le juge, qui aura à interpréter la clause d’audit au regard des offices qu’elle remplit, et c’est ce dont il faudra tenir compte dès la rédaction (3).

1. La clause d’audit pour avoir les moyens de frapper ensuite

47. La clause d’audit, sur laquelle s’adossent les clauses d’anticipation des disputes et de leur règlement. La première famille est celle des clauses qui organisent le différend avant qu’il ne naisse : clause d’escalade, expertise, médiation préalable, attribution de compétence. Elles n’ont d’objet que s’il y a quelque chose à discuter, et ce quelque chose, c’est l’audit qui le produit. D’où deux exigences d’articulation, que la pratique néglige. La première est que le rapport d’audit soit qualifié dans le contrat : vaut-il constat opposable, simple avis, commencement de preuve ? Faute de le dire, les parties se disputeront d’abord sur la valeur du document avant de se disputer sur ce qu’il établit. La seconde est que la procédure stipulée soit praticable : la clause qui renvoie à un juge, à une désignation ou à une voie procédurale doit être datée et vérifiée, car une procédure abrogée entre la signature et la mise en œuvre suffit à priver la clause de tout effet, et la partie la plus diligente se trouve alors sans juge⁷³C’est exactement ce qui s’est produit dans l’affaire Coopérative U, préc. : la clause renvoyait au président du tribunal de commerce statuant en la forme des référés, procédure abrogée par l’ordonnance du 17 juillet 2019 ; le juge s’est déclaré sans pouvoir et la demande a été jugée irrecevable, l’article 145 du Code de procédure civile étant au surplus écarté faute de nature conservatoire de la mesure au sens de l’article 31 de la convention de Lugano. V. supra § 24..

48. La clause d’audit, sur laquelle s’adossent la clause de sanction et/ou de rupture. La deuxième famille frappe. L’enchaînement est connu et il est mécanique : l’audit établit le manquement, le manquement nourrit la mise en demeure, la mise en demeure déclenche la clause résolutoire, laquelle peut s’étendre à l’ensemble des contrats liant les parties. Trois précautions s’imposent au rédacteur. D’abord, le régime probatoire : le rapport fait foi tant que l’audité ne produit rien, ce qui est considérable et doit être assumé comme tel. Ensuite, la gradation : passer directement du constat à la rupture est rarement praticable, et les auteurs comme les textes récents recommandent une échelle – remédiation, avertissement, perte du statut de partenaire préféré, publicité, résiliation en dernier rang. Enfin, la mesure : une clause qui arme le contrôle sans ménager de sortie autre que la rupture n’est pas seulement dure, elle est inefficace, car celui qui sait que tout constat le condamne n’a plus d’intérêt à laisser voir quoi que ce soit⁷⁴La chaîne complète est donnée par CA Paris, pôle 5, ch. 4, 16 juin 2021, SPI International c/ EuropaCorp, RG n° 17/05010, préc., qui retient aussi que le rapport fait foi tant que l’audité ne produit rien. Sur la gradation, Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), plaide pour une échelle – formation et remédiation, avertissement formel, perte du statut de fournisseur préféré, dénonciation publique, résiliation en dernier rang – et ajoute le pouvoir de récompense ; Maxime D’Angelo Petrucci raisonne de même en termes de riposte graduée, la directive dite CS3D imposant au demeurant la rupture lorsque le plan de mesures correctives ne peut raisonnablement aboutir (« Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires », préc.). Sur la rupture, v. égal. Cass. com., 20 novembre 2019, Biomet, et CA Paris, 4 décembre 2024, Carrefour, rapportés par Jean-Christophe Roda, « Clause de compliance » (préc.). Enfin, l’insertion unilatérale d’une clause d’audit sévère peut coûter la relation sans être pour autant fautive : CA Paris, pôle 5, ch. 4, 14 janvier 2026, Centre Vidéo Distribution c/ RDM Video, RG n° 24/04702, préc..

49. Quand la sanction est au bout de l’audit, le préavis change de nature : de l’effet de surprise aux droits de la défense. Il faut alors revenir sur une question qui paraissait de pure intendance : le préavis. Les auteurs se divisent, les uns le proscrivant parce qu’il ruine l’effet de surprise, les autres le jugeant nécessaire parce que l’audit mobilise chez l’audité des ressources considérables (v. infra note n° 53). Le désaccord se dénoue lorsque l’on regarde non plus l’audit en lui-même, mais la clause à laquelle il s’adosse. Adossé à une simple vérification, l’audit peut se passer d’annonce : la surprise est ce qui permet de constater l’état réel des choses, et rien de plus ne se joue. Adossé à une clause de sanction, il change de nature, car ce qu’il établira servira à frapper : celui qui sera sanctionné doit alors avoir été mis en mesure de s’expliquer, et le préavis cesse d’être une commodité offerte à l’audité pour devenir la première des garanties. On mesure ici ce que l’Obligation de Compliance fait aux droits de la défense : parce que la sanction est anticipée dès le stade du contrôle, ces droits remontent dans le temps et viennent se loger dans la stipulation elle-même, bien avant tout procès⁷⁵Sur cette remontée des droits de la défense dans le temps, qu’opère l’anticipation de la sanction, et sur ce qu’elle exige des dispositifs de Compliance, v. 🕴️M.-A. Frison-Roche, 📝« Circuler dans le temps pour mettre en phase Compliance et droits de la défense », in 🕴️M.-A. Frison-Roche et 🕴️M. Boissavy (dir.), 📕Compliance et droits de la défense. Enquête interne – CJIP – CRPC, JoRC et Dalloz, coll. « Régulations & Compliance », 2024, pp. 33-58.. La clause bien faite distingue donc selon ce à quoi l’audit conduit : pas de préavis pour l’audit provoqué par un red flag qui ne porte que sur des documents ; préavis, et information de la personne visée, dès que l’audit porte sur le comportement d’une personne identifiée dont une sanction peut sortir. C’est le même critère que celui qui commande le basculement de régime : non l’intensité de l’audit, mais son objet.

2. Une clause d’audit pour avoir les moyens de rapprocher ensuite

50. La clause d’audit sur laquelle s’adosse la clause de remédiation. La troisième famille rapproche, et c’est celle que l’Obligation de Compliance appelle. Du même constat, la clause de remédiation tire non un grief mais un programme : plan de mesures correctives, calendrier, indicateurs, nouvel audit de vérification, parfois partage du coût. L’économie en est inverse de la précédente, et la différence n’est pas seulement morale : elle est de rendement. Le partenaire qui sait que l’audit ouvrira sur une remédiation a intérêt à montrer ce qui ne va pas ; celui qui sait qu’il ouvrira sur une sanction a intérêt à le cacher, et il en a les moyens. La rupture demeure au bout de la chaîne, et elle s’impose parfois : mais elle ne doit venir qu’après, faute de quoi l’entreprise assujettie se prive de l’information dont son obligation légale dépend, et déplace le risque systémique au lieu de le traiter⁷⁶Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), relève que les têtes de chaîne poursuivent rarement les manquements qu’elles constatent, ce qui ruine l’effet dissuasif de l’audit ; l’observation vaut a fortiori pour la remédiation, qui suppose un engagement dans la durée. Rompre avec le fournisseur défaillant peut soulager l’entreprise assujettie de son risque juridique sans rien changer à la situation des personnes que l’Obligation de Compliance a pour objet de protéger.. C’est ici que la clause d’audit cesse d’être un instrument de puissance pour devenir un instrument de Compliance.

On retrouve ici, au dernier terme, ce qui séparait dès l’origine la clause d’audit de conformité de la clause d’audit de Compliance. La première demande un signe de soumission et se satisfait de l’obtenir ; la seconde demande un signe de collaboration, et ne vaut qu’autant qu’elle l’obtient. La remédiation n’est donc ni une atténuation de la sanction ni une faveur consentie au partenaire défaillant : elle est la forme que prend l’alliance lorsque l’audit a montré qu’elle était nécessaire.

3. L’interprétation par le juge de la clause d’audit de Compliance en ce qu’elle est un « accessoire nécessaire »

51. Ce dont le juge devra tenir compte : une clause qui ne sert pas seulement ceux qui l’ont stipulée. Tout ce qui précède a un destinataire que le rédacteur ne doit jamais perdre de vue : le juge. Car la clause d’audit viendra devant lui, et elle y viendra de trois façons. L’audité contestera la mise en œuvre de l’audit qu’il subit, son ampleur, ses conditions, l’usage fait de ce qu’il a livré. Le bénéficiaire demandera que la clause soit exécutée, ou que son inexécution soit sanctionnée. Le tiers concerné, enfin, reprochera à l’entreprise assujettie de n’avoir pas fait l’audit qu’elle s’était donné le pouvoir de faire, et c’est de loin l’hypothèse la plus neuve. Les décisions déjà rendues montrent que le juge saisit la clause d’audit, mais par le seul Droit commun : il y voit un pouvoir consenti par un contractant à l’autre, et il en mesure l’étendue avec les instruments qui servent à contenir les pouvoirs — le déséquilibre significatif, la potestativité, l’immixtion dans la gestion, le caractère conservatoire ou purement probatoire de la mesure. Cette lecture n’est pas fausse ; elle est incomplète, car elle traite comme un avantage stipulé ce qui est aussi, et parfois d’abord, l’exécution d’une obligation.

52. L’interprétation par la finalité : ce que le juge doit rechercher dans une clause d’audit de Compliance. Le contrat s’interprète d’après la commune intention des parties plutôt que d’après le sens littéral (article 1188 du Code civil), et chaque clause s’interprète au regard de l’acte tout entier (article 1189 du Code civil). Appliqués à la clause d’audit de Compliance, ces principes conduisent plus loin qu’il n’y paraît. La commune intention ne s’y épuise pas dans l’échange des avantages, puisque les contractants ont voulu, au-delà d’eux-mêmes, servir un but dont ni l’un ni l’autre n’a la disposition ; et l’acte tout entier auquel la clause renvoie n’est pas seulement le contrat qui la porte, mais le dispositif de Compliance dans lequel ce contrat s’insère. Le juge devra donc rechercher ce que l’audit devait détecter, et mesurer la stipulation à cette finalité : une clause large mais motivée par le risque qu’elle sert n’est pas le pouvoir discrétionnaire que l’on censure, quand une clause étroite mais dormante n’est pas la retenue que l’on approuve. Il devra tenir compte aussi de ce que ce qui se joue dans cette stipulation ne concerne pas les seuls signataires : derrière l’audit, il y a les différents systèmes que l’Obligation de Compliance a pour office de préserver et les êtres humains qui y sont impliqués. C’est à cette condition que le juge ne fera de la clause d’audit ni une arme de plus dans la main du plus fort, ni une formalité que l’on écarte, mais ce qu’elle doit être : l’instrument par lequel le contrat rend possible ce que la Loi seule ne peut atteindre.

53. L’interprétation attendue lorsque la clause d’audit est l’accessoire de l’application efficace des corpus réglementaires. Le premier office de la clause d’audit est de rendre effective l’obéissance à des textes. Le référentiel est alors extérieur aux parties, et le juge n’a pas à rechercher entre elles un équilibre que la stipulation n’avait pas pour objet d’établir : il a à vérifier que la clause permet à l’assujetti de faire ce que le corpus réglementaire lui commande. Trois conséquences en découlent. La clause qui ne fait que porter dans le contrat une exigence légale claire échappe au grief du déséquilibre significatif, ce qui est déjà jugé, puisque ce qui est censuré est la dimension discrétionnaire du pouvoir réservé et non son unilatéralité. L’étendue de l’audit se mesure ensuite au périmètre de l’obligation réglementaire : ce qui l’excède n’a plus de titre et redevient de la captation d’information sur un partenaire, que le Droit commun saisit. L’inexécution, enfin, ne s’apprécie pas entre les seules parties, puisque l’assujetti devra rendre compte de ses diligences devant l’autorité de contrôle : le juge du contrat n’est pas le seul à lire la clause, et il doit le savoir. Le critère est ici celui de l’efficacité : la clause vaut ce qu’elle permet d’obtenir pour l’exécution du texte.

54. L’interprétation attendue lorsque la clause d’audit est l’accessoire de l’application efficiente du Droit de la Compliance. Le deuxième office est d’un autre ordre, et il appelle un autre critère. Le référentiel n’est plus un texte à confronter mais un but à servir, de sorte que l’efficacité ne suffit plus : c’est l’efficience qui est en cause, c’est-à-dire le rapport entre ce que l’audit coûte — à celui qui le subit, à la relation, à la chaîne tout entière — et ce qu’il apporte réellement à la préservation du système et à la protection des personnes qui y sont impliquées. Le juge aura donc à se demander non seulement si l’audit pouvait être fait, mais s’il était le moyen adéquat : si l’information ne pouvait pas être obtenue autrement, si l’ampleur de la captation était proportionnée au risque cartographié, si la charge répercutée le long de la chaîne n’a pas abouti à faire peser l’audit sur celui qui était le moins capable de le porter, cependant que le risque systémique restait où il était. Un audit qui accable un fournisseur démuni sans rien améliorer n’est pas efficient, et le juge peut le dire ; inversement, l’audit qui a détecté et permis de remédier mérite d’être protégé, fût-il intrusif, car c’est à cela qu’il servait.

55. L’interprétation attendue lorsque la clause d’audit est l’accessoire de l’application coordonnée des autres clauses de Compliance. Le troisième office est celui qui a occupé cette seconde partie : la clause d’audit ne vaut que par les stipulations qu’elle sert et par celles qui s’adossent à elle. Le juge devra donc l’interpréter avec elles, comme l’y invite l’interprétation de chaque clause au regard de l’acte tout entier. Quatre directions s’en déduisent. La valeur probatoire du rapport d’audit se règle d’abord par ce que les parties en ont dit, et à défaut par ce que la fonction de la clause commande, non par la seule force du document. Le choix entre frapper et rapprocher, ensuite, n’appartient pas au juge : il appartient à l’économie que les contractants ont dessinée en stipulant une clause de sanction ou une clause de remédiation, et le juge la respecte. La chute de la clause servie, en outre, ne se résout pas par la hiérarchie entre stipulations, que le Droit commun ignore, mais par la divisibilité, c’est-à-dire par la fonction que chacune remplit dans l’économie voulue. Le juge veillera enfin à la cohérence de celui qui invoque la clause : celui qui a stipulé l’audit pour remédier ne peut s’en servir pour rompre sans avoir suivi la gradation qu’il s’était lui-même donnée, et celui qui ne l’a jamais mis en œuvre ne peut reprocher à l’autre ce qu’il n’a pas voulu voir.⁷⁷L’article 1189 du Code civil pose que « toutes les clauses d’un contrat s’interprètent les unes par rapport aux autres, en donnant à chacune le sens qui respecte la cohérence de l’acte tout entier », son alinéa 2 étendant la règle aux stipulations de plusieurs contrats concourant à une même opération ; l’article 1191 y ajoute l’effet utile. Sur la cohérence prise comme principe directeur de la lecture du contrat, v. D. Houtcieff, Le principe de cohérence en matière contractuelle, préf. H. Muir Watt, Presses universitaires d’Aix-Marseille, coll. « Institut de droit des affaires », 2001, 2 t. Sur l’articulation des stipulations et des actes entre eux, v. égal. J.-B. Seube, L’indivisibilité et les actes juridiques, préc., et M. Cottet, Essai critique sur la théorie de l’accessoire en droit privé, préc., l’une et l’autre rapportant l’articulation à la fonction que chaque élément remplit dans l’opération voulue, ce qui est exactement ce que la clause d’audit de Compliance appelle.

CONCLUSION : LA CLAUSE D’AUDIT DE COMPLIANCE, CARROUSEL DE LA CONTRACTUALISATION DE LA COMPLIANCE

56. La clause d’audit, là où la contractualisation de la Compliance se noue. La clause d’audit apparaît comme le point où tout se noue. Elle reçoit d’en amont : de l’obligation légale, qui lui donne son objet ; de la clause qu’elle sert, qui lui donne sa mesure ; de la structure où les parties se trouvent prises, qui lui donne sa légitimité. Elle donne en aval : à la clause de sanction, à la clause résolutoire, à la clause de remédiation, qui n’ont d’application que sur ce qu’elle a établi. Et le mouvement recommence, car ce que l’audit fait apparaître alimente la cartographie des risques, qui redéfinit le champ du prochain audit. C’est en cela qu’elle est le carrousel de la contractualisation de la Compliance : non pas une pièce parmi d’autres, mais celle par laquelle l’information entre dans le contrat et par laquelle le contrat agit sur le monde. Reste que l’instrument est ambivalent, et que l’article aura tenté de le montrer : le même pouvoir de savoir peut servir à frapper un partenaire ou à le redresser, à protéger un système ou à capter de l’information sur un concurrent. Ce qui décide n’est pas la technique, qui est neutre, mais la finalité pour laquelle on la stipule – et c’est pourquoi, d’un bout à l’autre, le critère est demeuré le même : l’audit ne vaut que par le But Monumental qu’il sert.

57. La clause d’audit, là où la conformité et la Compliance se distinguent. Reste ce vers quoi la clause d’audit peut tendre lorsqu’elle est pensée depuis le Droit de la Compliance et non depuis la seule conformité. Stipuler un audit, ce n’est pas nécessairement exiger d’un partenaire le signe de sa soumission ; ce peut être lui donner, par le contrat, les moyens d’une collaboration. L’information qui remonte n’est alors plus le gage d’une obéissance, elle est la matière d’une action commune, et les « tiers concernés » cessent d’être les objets du contrôle pour en devenir les bénéficiaires. C’est là que la clause d’audit rejoint ce qui fait l’unité du Droit de la Compliance : la préservation des systèmes n’a de sens que par les êtres humains qui y sont impliqués, et un contrat qui organise le savoir de l’un sur l’autre ne sert cette ambition que s’il fait des deux contractants les alliés d’un même humanisme.⁷⁸Le rapport remis au garde des Sceaux développe cette conception : 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026, not. sur la distinction entre la conformité, qui appelle l’obéissance, et la Compliance, qui appelle la participation des opérateurs cruciaux à la préservation des systèmes et à la protection des êtres humains qui y sont impliqués.

58. La clause d’audit, là où le juge contribue au déploiement du Droit de la Compliance. Et c’est au juge qu’il reviendra d’en décider, puisque c’est devant lui que la clause d’audit sera discutée. De tout cela — de la finalité qu’elle sert, qu’elle tienne à la Loi ou à l’autonomie des contractants, comme des différents systèmes qu’elle contribue à préserver et des personnes qui y sont impliquées —, il devra tenir compte dans l’interprétation de cette clause essentielle.⁷⁹Sur cette conception d’ensemble, v. 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026, préc.

____

🌐suivre Marie-Anne Frison-Roche sur LinkedIn

🌐suivre Marie-Anne Frison-Roche sur Instagram

🌐s'abonner à la Newsletter MAFR Regulation, Compliance, Law

🌐s'abonner à la Newsletter en vidéo MAFR Surplomb

🌐s'abonner à la Newsletter MaFR Droit & Art

1. La « clause d’audit » est d’une façon générale relativement peu décrite et commentée. V. cependant les intéressantes études d’Arnaud Lecourt, « La clause d’audit », AJ Contrats d’affaires – Concurrence – Distribution (AJCA), 2014, pp. 271-272, ou de F.-L. Simon, « Les mystères de la clause d’audit : les écueils à éviter », La Lettre des réseaux, 28 mars 2022. Sur la mention d’une technique d’audit au sein d’une clause plus globale de conformité ou de Compliance, voir dans la doctrine française : 🕴️M.-A. Frison-Roche, 📝« Contrat de Compliance, clauses de Compliance », D. 2022, chron., pp. 2115-2117 ; J.-Ch. Roda, « La clause de compliance », in F. Buy, J. Heinich, M. Lamoureux, J. Mestre et J.-Ch. Roda (dir.), Les principales clauses des contrats d’affaires, 3e éd., Lextenso - LGDJ, 2025, pp. … ; L. Tenreira, « La rédaction des clauses d’application du devoir de vigilance par les Global Lawyers : l’exemple des clauses de flow-down », Revue de droit des affaires internationales, n° 5, 2022, pp. 453-466 ; N. Ida, « Contrat et devoir de vigilance des sociétés », JCP E, juillet 2023, pp. 17-26 ; Y. Queinnec, « La clause RSE, levier incontournable de vigilance », Revue Lamy droit des affaires, juillet 2018, n° 139 ; Dans la doctrine anglophone : D. V. Snyder, S. Maslow et S. Dadush, « Balancing Buyer and Supplier Responsibilities: Model Contract Clauses to Protect Workers in International Supply Chains, Version 2.0 », The Business Lawyer, vol. 77, n° 1, 2021-2022, pp. 115-182 ; K. Parella, « Contractual Stakeholderism », Boston University Law Review, vol. 102, 2022, pp. 865 s. ; Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain », Boston College Law Review, vol. 63, 2022, pp. 2539 s. ; S. Dadush, « Prosocial Contracts: Making Relational Contracts More Relational », Law and Contemporary Problems, vol. 85, n° 2, 2022, pp. 153-175. J. L. Short, M. W. Toffel et A. R. Hugill, « Monitoring Global Supply Chains », Strategic Management Journal, vol. 37, n° 9, 2016, pp. 1878-1897.
2. Règlement (UE) 2016/679 du 27 avril 2016, art. 28, § 3, h) ; règlement (UE) 2022/2554 du 14 décembre 2022, art. 30, § 3, e) ; arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et de gel des avoirs, art. 10, 8° et 10° ; règlement général de l’AMF, art. 318-61 et 321-96, II ; Lieferkettensorgfaltspflichtengesetz du 16 juillet 2021, § 6 Abs. 4 Nr. 4.
3. Audit interne qui peut d’ailleurs être un « audit de Compliance ». V. A. Gutierrez-Crespin, « L’audit du dispositif de compliance : un outil clé pour en vérifier la robustesse », in 🕴️M.-A. Frison-Roche (dir.), 📕Les outils de la Compliance, JoRC et Dalloz, coll. « Régulations & Compliance », 2021, pp. 133-140.
4. Recommandations de l’Agence française anticorruption, avis publié au JORF n° 10 du 12 janvier 2021, texte n° 61, §§ 61 à 68 et §§ 69 à 74.
5. Sur les techniques de l’enquête interne et leur déploiement dans les groupes internationaux, O. Catherine, « La spécificité des enquêtes internes pratiquées par les groupes internationaux », in 🕴️M.-A. Frison-Roche et 🕴️M. Boissavy (dir.), 📕Compliance et droits de la défense. Enquête interne – CJIP – CRPC, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2024, pp. 141-155. Sur les risques et les limites de la clause d’audit, V. infra §§ 26 à 36
6. Sur les risques et les limites de la clause d’audit, V. infra §§ 26 à 36
7. Cela est décrit et assumé comme tel. V. F.-L. Simon, « Les mystères de la clause d’audit : les écueils à éviter », La Lettre des réseaux, 17 décembre 2021, mis à jour le 28 mars 2022.
8. Car elle répondra des manquements réglementaires commis par ses partenaires.
9. Car elle peut ainsi s’assurer qu’elle a les appuis nécessaires apportés par ses partenaires pour contribuer à la préservation et à la durabilité des systèmes. V. A. Oumedjkane, « Le devoir de vigilance est-il soluble dans le droit des contrats publics ? », in 🕴️M.-A. Frison-Roche (dir.), 📕Compliance et contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027.
10. Loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, art. 17, II, 4° et 8° ; directive (UE) 2024/1760 du 13 juin 2024, art. 10, § 2, b) et § 5.
11. Directive (UE) 2024/1760 du 13 juin 2024, art. 10, § 2, b), et § 4 ; Lieferkettensorgfaltspflichtengesetz du 16 juillet 2021, § 9 Abs. 3 ; Transparency International, Global Anti-Bribery Guidance, § 13.3.5.
12. Cons. const., 23 mars 2017, n° 2017-750 DC, Loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre. La décision pose dans son § 27 : « Les dispositions contestées n’instaurent donc pas un régime de responsabilité du fait d’autrui, ainsi que cela ressort, au demeurant, des travaux parlementaires. Par suite, et en tout état de cause, ces dispositions ne méconnaissent pas le principe de responsabilité ». Sur cette question de la responsabilité personnelle et de la responsabilité pour autrui, v. A. Danis-Fatôme et G. Viney, « La responsabilité civile dans la loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre », D. 2017, n° 28, pp. 1610-1618 ; T. Sachs et J. Tricot, « La loi sur le devoir de vigilance : un modèle pour (re)penser la responsabilité des entreprises », Droit & Société 2020, n° 106, pp. 683-698 ; M. Mekki, « Peut-on repenser la responsabilité à l’aune du devoir de Vigilance, pointe avancée de la Compliance ? », in 🕴️M.-A. Frison-Roche (dir.), 📕L’obligation de compliance, JoRC et Dalloz, coll. « Régulations & Compliance », 2025, pp. 599-615. V. égal. M. Fabre-Magnan, « Critique de la convergence des responsabilités contractuelle et délictuelle. L’exemple du devoir de vigilance », in Mélanges en l’honneur du Professeur Loïc Cadiet, LexisNexis, 2023, pp. 547-561.
13. Sur l’intégration verticale ainsi produite par des « contrats de régulation » exigés non seulement par des choix de gestion mais encore par des impératifs de compliance,
14. En cela, la clause d’audit est associée à la « conformité », et non pas à l’obligation de Compliance.
15. Sur la théorie de l’accessoire appliquée aux stipulations contractuelles, v. J.-B. Seube, L’indivisibilité et les actes juridiques, préf. M. Cabrillac, Litec, coll. « Bibliothèque de droit de l’entreprise », t. 40, 1999 ; M. Cottet, Essai critique sur la théorie de l’accessoire en droit privé, thèse, Paris-Sud, dir. J. Rochfeld, 2011, l’auteure montrant que la théorie repose sur la notion de fonction, entendue comme la contribution à l’accomplissement d’une finalité, y compris s’agissant d’une clause contractuelle.
16. Sur la dimension probatoire de la clause d’audit, V. infra § 32
17. Sur les limites de la clause d’audit, V. infra §§ 27 à 32
18. J.-Ch. Roda, « Utilité comparée des clauses de conformité et des clauses de Compliance », in 🕴️M.-A. Frison-Roche (dir.), 📕Compliance et Contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027. V. infra §§ 40 à 42
19. Le fait qu’il s’agisse d’un audit contractuel n’écarte pas forcément une qualification juridique ou un régime impliquant des droits de la défense. S’il doit en être un, autant organiser ce régime également contractuellement. Sur ce point, V. infra §§ 33 à 35
20. La clause d’audit change si elle vient en appui d’une « clause de conformité » ou d’une véritable « clause de Compliance ». Sur l’adossement de la clause d’audit aux autres stipulations, V. infra §§ 37 à 50
21. L. Sautonie-Laguionie, « Les clauses de Compliance relatives aux sanctions », in 🕴️M.-A. Frison-Roche (dir.), Compliance et Contrat, préc.
22. M. Tirel, « Les clauses de Compliance relatives à la remédiation », in 🕴️M.-A. Frison-Roche (dir.), Compliance et Contrat, préc.
23. 🕴️M.-A. Frison-Roche, 📝« Concevoir l’Obligation de Compliance : faire usage de sa position pour participer à la réalisation des Buts Monumentaux de la Compliance », in 🕴️M.-A. Frison-Roche (dir.), 📕L’obligation de compliance, préc., pp. 3-44. Adde, du même auteur, 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026.
24. Ces techniques ont gagné l’État lui-même : le décret n° 2022-634 du 22 avril 2022 relatif au contrôle et à l’audit internes de l’État, qui a abrogé le décret n° 2011-775 du 28 juin 2011 relatif à l’audit interne dans l’administration, impose à chaque ministre un système de contrôle interne fondé sur une analyse des risques, et confie à une mission ministérielle d’audit interne, rapportant au ministre, le soin de vérifier la qualité et l’efficacité de ce système. L’harmonisation des méthodes et des pratiques revient au comité interministériel du contrôle et de l’audit internes (CICAI), qui a succédé au comité d’harmonisation de l’audit interne de l’État (CHAIE).
25. Sur les procédures d’évaluation, outil majeur du Droit de la Compliance, N. Guillaume, « Cartographie des risques de compliance. Premiers aperçus des enjeux, des limites et des bonnes pratiques », in 🕴️M.-A. Frison-Roche (dir.), 📕Les outils de la Compliance, JoRC et Dalloz, coll. « Régulations & Compliance », 2021, pp. 63-70. Adde, sur la mise en œuvre de cette mesure, les travaux de l’Agence française anticorruption (AFA) : L’évaluation des tiers en question : résultats de notre dernière enquête auprès des entreprises, mai 2024, d’où il ressort que 59 % des entreprises tiennent l’évaluation des tiers pour la mesure anticorruption la plus difficile à déployer, notamment en raison de la « difficulté liée à l’accès et l’intégration des données ». Une clause d’audit de Compliance peut venir en appui. V. aussi, sur les stipulations qui organisent cette évaluation dans la chaîne de valeur, G. J. Martin, « Clauses et contrats, modalités de l’obligation de vigilance », in 🕴️M.-A. Frison-Roche (dir.), 📕L’obligation de compliance, préc., pp. 663-678.
26. Coût qui peut d’ailleurs contractuellement se répartir, voire se transférer tant que cela n’est pas abusif.
27. Agence française anticorruption, Résultats de l’enquête « évaluation des tiers au regard du risque de corruption » menée par l’Agence française anticorruption auprès des entreprises, avril 2024, 72 p., Q22, p. 57. Questionnaire anonyme de 28 questions, diffusé par les fédérations professionnelles du 10 octobre au 10 décembre 2023 ; réponses déclaratives ; 72 répondants à cette question. L’AFA précise que les pratiques ainsi partagées n’ont fait, au stade de cette publication, l’objet d’aucune approbation de sa part.
28. Sur la force obligatoire, v. d’une façon plus générale 🕴️M.-A. Frison-Roche, « Autonomie de la volonté et compliance », in 🕴️M.-A. Frison-Roche (dir.), 📕Compliance et Contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027.
29. Dans l’enquête précitée de l’AFA, il est mentionné que l’une des « difficultés » rencontrées pour l’évaluation tient à « l’autonomie des filiales ». Il est certain qu’une entité juridiquement autonome est moins ouverte… Sur l’effet économique d’intégration que produisent les clauses de Compliance, notamment dans une chaîne de valeur, v. 🕴️M.-A. Frison-Roche et E. Maclouf, « Les stratégies d’entreprises dans l’organisation contractuelle des chaînes de valeur », in 🕴️M.-A. Frison-Roche (dir.), Compliance et Contrat, JoRC et Lefebvre-Dalloz, coll. « Régulations & Compliance », 2027.
30. Sur ces tiers bénéficiaires, V. infra § 42.
31. L’Obligation de Compliance s’entend ici de l’obligation faite aux opérateurs cruciaux de contribuer à la préservation des systèmes et à la protection des êtres humains qui y sont impliqués ; v. supra § 6.
32. Le critère de proportionnalité à la cartographie des risques est celui que retient l’Agence française anticorruption (AFA) pour l’évaluation des tiers : Avis relatif aux recommandations de l’Agence française anticorruption destinées à aider les personnes morales de droit public et de droit privé à prévenir et à détecter les faits de corruption, de trafic d’influence, de concussion, de prise illégale d’intérêts, de détournement de fonds publics et de favoritisme, JORF n° 0010 du 12 janvier 2021, texte n° 61, section « Évaluation de l’intégrité des tiers », §§ 201 à 245, spéc. § 207 : « La nature et la profondeur des évaluations à réaliser et des informations à recueillir sont déterminées en fonction des différents groupes homogènes de tiers présentant des profils de risques comparables, tels que la cartographie des risques permet de les dresser ». V. supra § 17.
33. L’évaluation des tiers au titre de l’article 17 de la loi dite « Sapin 2 », préc., conduit aux fonctions achats et commerciales ; le devoir de vigilance, aux fonctions industrielles et sociales ; la protection des données, au responsable de traitement et au délégué à la protection des données.
34. C’est le premier effet de la clause : elle rend contractuellement quérable un document qui, par sa destination, ne l’était pas. La stipulation gagne donc à viser les rapports par leur objet et leur période, et non par leur seul intitulé, que le cocontractant maîtrise.
35. Le droit souple confirme cet enchaînement, mais du seul côté de l’entreprise qui s’examine elle-même : le guide pratique de l’Agence française anticorruption (AFA) et du Parquet national financier (PNF) retient que les rapports de contrôle interne ou d’audit interne, lorsqu’ils révèlent des faits s’apparentant à de la corruption ou des manquements aux procédures de prévention et de détection, peuvent servir de fondement à l’ouverture d’une enquête interne. AFA et PNF, Les enquêtes internes anticorruption. Guide pratique, mars 2023. Aucun texte, aucune ligne directrice ne saisit en revanche le même enchaînement lorsque l’audit se déroule chez un tiers : c’est la lacune que la clause doit combler.
36. Les limites viennent alors du Droit commun, et non du contrat : le secret des affaires (art. L. 151-1 s. du Code de commerce) ; la protection des données des personnes entendues, qui ne sont pas les salariés du bénéficiaire (RGPD, art. 14 ; référentiel CNIL du 18 juillet 2019 relatif aux alertes professionnelles) ; le secret professionnel de l’avocat lorsque l’auditeur en est un, que le Barreau de Paris a rappelé en réponse au guide précité ; et, en aval, les articles 434-4 et 434-15 du Code pénal, que le guide vise lui-même.
37. v. infra § 24, sur l’ombre du déséquilibre significatif (art. 1171 du Code civil ; art. L. 442-1, I, 2°, du Code de commerce).
38. C’est l’un des points où la clause d’audit fait le plus visiblement de tiers des quasi-parties : le fournisseur de rang inférieur subit un audit dont le bénéficiaire lui est contractuellement étranger. V. supra § 9, sur les « tiers concernés ».
39. Notamment les règles de transfert hors de l’Union européenne (RGPD, chap. V) et, en sens inverse, la loi n° 68-678 du 26 juillet 1968 relative à la communication de documents et renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères, dite loi de blocage.
40. C’est le mouvement que décrit Antoine Oumedjkane : les textes n’attribuent plus tant aux entreprises des pouvoirs de contrôle qu’ils ne les obligent à en faire usage, l’évaluation des tiers de l’article 17 de la loi dite « Sapin 2 », préc., en étant l’exemple. La finalité réglementaire n’a donc pas à être négociée : elle est déjà dans la Loi (« Puissance publique et pouvoir de contrôle des entreprises », D.2025, pp. 1636-1642).
41. C’est aussi ce qui met la stipulation à l’abri du déséquilibre significatif : ce qui est censuré est la dimension discrétionnaire et peu lisible du pouvoir réservé, non son unilatéralité, de sorte que la clause qui reprend un texte clair y échappe, quand la clause type, indifférente aux ressources de l’audité et à sa position dans la chaîne, y est exposée. V. M. D’Angelo Petrucci, « Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires », Revue internationale de la compliance et de l’éthique des affaires, n° 1, 10 février 2025, étude 18.
42. L’observation est faite de longue date à propos de l’audit de licence, dont l’efficacité dépend entièrement de la clarté préalable du référentiel : faute de précision, la clause se transforme en instrument de pression et constitue en fait « un pouvoir de police exorbitant ». V. Mathieu Martin, « Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence », Communication Commerce électronique, n° 3, mars 2015, pratique 4.
43. La périodicité annuelle expresse se rencontre dans les clauses les mieux faites : l’article 13.4 du contrat de services en cause dans CA Paris, pôle 1, ch. 3, 5 mars 2024, Coopérative U Enseigne c/ Carrefour France et Carrefour World Trade, RG n° 23/06899, ouvre le droit de faire contrôler « une fois par an » la bonne application du contrat. Arnaud Lecourt, « La clause d’audit », AJ Contrats d’affaires – Concurrence – Distribution, 2014, pp. 271-272, recommande la même limite de fréquence, l’audit étant coûteux et perturbant, mais déconseille la date fixe.
44. C’est l’objection formulée par Arnaud Lecourt, « La clause d’audit » (préc.), contre l’audit à date fixe et contre le préavis, qui ruinent l’effet de surprise et peuvent réduire l’audit à une mise en scène. Ce risque a été rapproché de celui qui existe dans le contrôle exercé par les entreprises pour le compte de la puissance publique, par Antoine Oumedjkane (« Puissance publique et pouvoir de contrôle des entreprises », préc.) : un contrôle qui se fonde sur les documents produits devient excessivement formel et porte alors sur la méthodologie plutôt que sur l’efficacité réelle.
45. La question de savoir si de simples soupçons suffisent, ou s’il faut attendre la violation caractérisée, est par exemple laissée ouverte par Antoine Oumedjkane, « Puissance publique et pouvoir de contrôle des entreprises » (préc.), à propos du moment de la rupture. Elle se résout mieux si l’on voit que l’audit est précisément l’étape qui s’intercale entre le soupçon et la sanction : il n’est pas la sanction, il est ce qui permet de savoir s’il y a lieu de sanctionner.
46. M. Martin distingue utilement l’audit déclaratif, fait sous la responsabilité de l’audité et en principe opposable au créancier sauf mauvaise foi, et l’audit mené par le créancier, qui ne peut plus en contester ensuite le périmètre. Le choix de la charge commande donc la valeur probatoire du résultat (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence  », préc.).
47. Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), relève que certains fournisseurs subissent plus de cinquante audits par an, aux référentiels contradictoires, sans que cette accumulation améliore en rien la détection. Sabrina Dupouy en tire la conséquence juridique : le transfert de la vigilance en cascade vers un sous-contractant démuni n’exonère pas le donneur d’ordre (« Le tiers face à la contractualisation de la compliance », préc.).
48. Sur les trois modèles de charge des frais, v. infra note n° 55. La pratique américaine met, elle, l’intégralité des frais à la charge de l’audité, sans condition : J.-Ch. Roda, « Clause de compliance » (préc.)
49. Sur l’analogie entre le contrôle interne et l’audit, V. supra § 1
50. C’est la pratique la plus fréquente, et Arnaud Lecourt, « La clause d’audit » (préc.), la déconseille pour cette raison même, recommandant de confier la mission par priorité à une profession réglementée dotée d’une déontologie, dont le nom et la qualité figurent dans la clause.
51. C’est le critère retenu par CA Paris, 25e ch. B, 28 juin 2002, Fernandez c/ Sté Puissance 5, inédit, dont Jacques Mestre et Bertrand Fages rendent compte : la stipulation ne s’analyse pas en une condition potestative dès lors que le prix résulte d’un audit du commissaire aux comptes soumis à des règles comptables strictement définies, et non de la seule décision du bénéficiaire (RTD civ. 2002, pp. 804-805). L’exigence rejoint celle d’indépendance fonctionnelle de celui qui contrôle – autorité suffisante, absence d’instruction, non-participation aux activités opérationnelles – exigence relevée par Antoine Oumedjkane, « Puissance publique et pouvoir de contrôle des entreprises » (préc.). L’arrêt commenté est inédit et n’a pu être retrouvé.
52. L’article 7 du contrat en cause dans l’affaire Coopérative U, préc., enferme le choix dans une liste fermée – PwC, Deloitte, EY, KPMG, par leur bureau parisien – puis, à défaut d’accord dans les cinq jours ouvrés, permet à la plus diligente des parties de faire désigner un tiers par le président du tribunal de commerce de Paris. C’est le meilleur modèle du dossier, et il a pourtant échoué : la procédure visée – le président statuant en la forme des référés – avait été abrogée par l’ordonnance du 17 juillet 2019, de sorte que le juge s’est déclaré sans pouvoir. Le renvoi procédural d’une clause d’audit doit donc être daté, et vérifié à chaque renouvellement.
53. Les auteurs se divisent. Arnaud Lecourt déconseille formellement toute stipulation de préavis, qui ruinerait l’effet de surprise (« La clause d’audit », préc.). A l’inverse, Mathieu Martin le juge nécessaire, l’audit mobilisant des ressources considérables chez l’audité (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence », préc.). Le désaccord tient en réalité à l’objet de l’audit : la surprise est utile pour vérifier des déclarations chiffrées, la coopération est indispensable pour reconstituer un dispositif que seul l’audité connaît. La clause de Compliance, qui poursuit les deux, gagne à distinguer selon le déclencheur : préavis pour l’audit périodique, absence de préavis pour l’audit provoqué par un red flag.
54. Trois modèles se rencontrent : les frais à la charge du créancier, reportés sur l’audité si l’audit révèle un manquement, éventuellement au-delà d’un seuil chiffré (A. Lecourt, « La clause d’audit » (préc.)) ; les frais à la charge de l’audité sans condition, formule de la pratique américaine ; les frais avancés puis remboursés, le remboursement trouvant sa cause dans la faculté réservée à l’autre partie (J. Mestre et B. Fages, « La clause d’audit est-elle potestative ? » (préc.)).
55. M. Martin exige la transparence des conclusions et proscrit les conclusions « sous réserve de… », qui laissent l’audité sous une menace indéfinie. Il distingue utilement l’audit déclaratif, fait sous la responsabilité de l’audité et en principe opposable au créancier sauf mauvaise foi, de l’audit mené par le créancier, qui ne peut plus en contester ensuite le périmètre (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence  », préc.). Sur les suites – assiette de la régularisation, frais associés, délais, appel en garantie – la clause gagne à être aussi précise que sur le déroulement.
56. Le mécanisme est formulé par Maxime D’Angelo Petrucci, qui recommande de ne pas stipuler la clause si le créancier n’a ni l’intention ni les ressources de la mettre en œuvre, le défaut de mise en œuvre pouvant être perçu comme une négligence fautive (« Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires », préc.). Sabrina Dupouy présente plus sévèrement la situation de l’entreprise « bénéficiaire » de la clause d’audit : le tiers victime peut invoquer comme faute délictuelle le seul manquement contractuel, sans autre preuve, ce qui vaut pour l’inexécution d’une clause d’audit (« Le tiers face à la contractualisation de la compliance », Droit des sociétés, n° 4, avril 2024, étude 5). Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain », Boston College Law Review, vol. 63, n° 8, 2022, pp. 2539-2620, le documente en relevant que les têtes de chaîne poursuivent rarement les manquements constatés, ce qui ruine l’effet dissuasif de l’audit.
57. C’est la parade contractuelle des Model Contract Clauses : D. V. Snyder, S. A. Maslow et S. Dadush (Working Group to Draft Model Contract Clauses, ABA Business Law Section), « Balancing Buyer and Supplier Responsibilities: Model Contract Clauses to Protect Workers in International Supply Chains, Version 2.0 », The Business Lawyer, vol. 77, n° 1, 2021-2022, pp. 115-182, dont la section 5.1 stipule que le comportement des parties, y compris le défaut de l’acheteur d’exercer effectivement ses droits d’audit, ne vaut ni renonciation ni élément d’appréciation de ses remèdes. Les MCC 2.0 ne comportent au demeurant pas de clause d’audit autonome : ils présupposent des droits d’audit stipulés ailleurs et en règlent les effets.
58. Sabrina Dupouy relève dans le même sens que la communication d’une entreprise sur ses mécanismes contractuels, clauses d’audit comprises, est un signal envoyé au marché qui n’est parfois que du greenwashing, et que le transfert de la vigilance en cascade vers un sous-contractant démuni n’exonère pas le donneur d’ordre (« Le tiers face à la contractualisation de la compliance », préc.).
59. Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), recense les techniques d’évitement que rencontre l’audit social : corruption de l’auditeur local, sélection et préparation des salariés interrogés, remise en état des issues de secours et éviction des enfants avant une inspection annoncée, sous-traitants non déclarés, usine vitrine, double comptabilité. Il en tire quatre exigences de rédaction : rendre le contrôle visible et ses suites connues, définir concrètement l’objet du contrôle, assurer la légitimité perçue du référentiel, limiter la complexité des standards. Faute de quoi l’audit dégénère en public relations vehicles, les auditeurs ayant intérêt à rassurer pour conserver leur mandat.
60. V. supra § 17, sur le critère de proportionnalité et le raisonnement téléologique, dont la description des limites n’est que l’application inverse.
61. D’où l’intérêt de stipuler aussi la sanction de l’entrave – audit saboté, informations succinctes, dissimulation – le plus souvent la résiliation et des dommages-intérêts, assortis de la remise des pièces sous astreinte : A. Lecourt, « La clause d’audit » (préc.)
62. Le rapport de l’Audit Responses Committee, ABA Business Law Section, « Report on Audit Response Timing Issues », The Business Lawyer, vol. 77, n° 1, 2021-2022, pp. 183-190, quoique consacré aux lettres adressées aux commissaires aux comptes, offre une grammaire temporelle transposable : le périmètre est fixé par l’identification des entités et de l’exercice, la date d’effet de la réponse se distingue de sa date d’émission, l’obligation d’actualisation postérieure peut être licitement exclue, et la méthode de délimitation de la période – Entire Period Approach ou Snapshot Approach – doit être énoncée.
63. V. supra § 15, sur le point où l’audit change de nature en passant du document à la personne. Le vocabulaire de l’intrusion se rencontre dans la bouche même des audités : dans CA Paris, pôle 5, ch. 4, 14 janvier 2026, Centre Vidéo Distribution c/ RDM Video, RG n° 24/04702, le distributeur auquel était imposée, sur simple demande écrite, la remise de ses bilans détaillés des trois derniers exercices, parle d’« inquisition » ; la cour relève que l’accès à l’intégralité des documents comptables sans justification est reçu comme une immixtion dans la gestion.
64. Le guide pratique AFA-PNF, préc., quoiqu’il raisonne sur l’enquête menée par une entreprise sur ses propres salariés, fournit la matière de ces stipulations : information des personnes visées, conduite des entretiens, archivage et conservation des éléments recueillis, stricte confidentialité. Il n’existe à ce jour aucun texte ni aucune ligne directrice qui règle la même question lorsque l’enquête se déroule chez le cocontractant, sur les salariés d’autrui : la clause y supplée seule.
65. L’affaire Coopérative U, préc., en donne l’illustration inverse : la demande d’audit formée après la rupture du partenariat a été analysée comme une mesure purement probatoire destinée à préparer un litige plutôt qu’à conserver une preuve, et l’article 145 du Code de procédure civile a été écarté. Le contrat prévoyait d’ailleurs que l’audit s’exécute « dans des conditions excluant toute communication d’informations commerciales sensibles » : le cloisonnement est la première des techniques. Sur l’usage ultérieur, CA Paris, pôle 5, ch. 4, 16 juin 2021, SPI International c/ EuropaCorp, RG n° 17/05010, donne la chaîne complète – l’audit établit le manquement, le manquement nourrit la mise en demeure, la mise en demeure déclenche la clause résolutoire – et le régime probatoire : le rapport fait foi tant que l’audité ne produit rien.
66. Le Droit commun ne connaît pas de catégorie nommée « clause accessoire » : la théorie de l’accessoire joue entre biens, créances et contrats, non entre stipulations d’un même acte. C’est l’article 1184 du Code civil qui règle la divisibilité, et la doctrine consolidée retient une dualité hiérarchisée de critères, téléologique d’abord, subjectif ensuite : T. Genicon, « Conséquences de la nullité d’une clause sur le sort du contrat », et, du même auteur, « De la nullité partielle à la clause réputée “partiellement” non écrite » ; A. D’Adda, « Nullité partielle, clause réputée non écrite et intégration corrective du contrat », qui donne la lecture moderne du critère : non plus la recherche d’une volonté hypothétique, mais l’appréciation objective du poids de la stipulation dans l’économie de l’acte. Comparer, pour l’interdépendance des contrats d’une même opération, Cass. ch. mixte, 17 mai 2013, n° 11-22.768 et n° 11-22.927. Aucune décision ne statue à ce jour sur le sort d’une clause d’audit après la chute de la clause qu’elle sert : le rapprochement est une construction, et il est assumé comme tel.
67. C’est la configuration décrite par Arnaud Lecourt à propos des réseaux de distribution (« La clause d’audit », préc.), ainsi que par M. Martin à propos des licences de logiciel, qui qualifie expressément cet audit d’audit de conformité de l’usage des licences (« Pratique contractuelle. Contrats de l’informatique. La clause d’audit de licence », préc.). Sur l’immunité au regard de l’article L. 442-1, I, 2°, du Code de commerce, la clause qui se borne à reprendre un texte clair et précis y échappe, ce qui est censuré étant « la dimension discrétionnaire et peu lisible » de la mesure et non son unilatéralité (Cass. com., 28 février 2024 et Cass. com., 4 septembre 2024, rapportés par Jean-Christophe Roda, « Clause de compliance », in F. Buy, J. Heinich, M. Lamoureux, J. Mestre et J.-Ch. Roda, Les principales clauses des contrats d’affaires, Lextenso - LGDJ, coll. « Droit et pratique professionnelle », 3e éd., 2025, chapitre 17).
68. Sur les monitoring clauses américaines, qui vont bien au-delà de la clause d’audit classique – volume considérable d’informations, transmission d’informations confidentielles ensuite retransmises aux autorités fédérales avec perte des privileges, obligation de tenir livres et comptes ouverts plusieurs années après l’exécution, les clauses types audit right de Halliburton retenant quatre ans, vérification par le créancier dans les locaux du débiteur ou par un monitor, frais intégralement à la charge de l’audité, rupture en cas de refus d’inspections périodiques – v. J.-Ch. Roda, « Clause de compliance » (préc.). Sur les clauses types que la directive dite CS3D confie à la Commission, v. M. D’Angelo Petrucci, « Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires » (préc.)
69. C’est le déplacement qu’opèrent les MCC 2.0, préc., qui imposent des obligations à l’acheteur lui-même et abandonnent le modèle du contrôle unilatéral, et que théorise Kishanthi Parella, « Contractual Stakeholderism », Boston University Law Review. Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), en fournit la démonstration a contrario : l’audit subi engendre les techniques d’évitement, et les auditeurs ayant intérêt à rassurer pour conserver leur mandat, le contrôle dégénère lorsqu’il n’est pas perçu comme légitime.
70. Sur la conception européenne qui est ici défendue, v. 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026. Sur la conception américaine, telle que la traduisent les stipulations contractuelles, v. J.-Ch. Roda, « Clause de compliance », préc., sur les monitoring clauses ; J. L. Short, M. W. Toffel et A. R. Hugill, « Monitoring Global Supply Chains », Strategic Management Journal, vol. 37, n° 9, 2016, pp. 1878-1897 ; R. C. Bird, « Contractual Deterrence and the Ethical Supply Chain », préc. Les Model Contract Clauses 2.0 (D. V. Snyder, S. Maslow et S. Dadush, préc.) et K. Parella, « Contractual Stakeholderism », préc., marquent au sein même de la doctrine américaine le déplacement vers la responsabilité partagée. Sur la conception chinoise, qui emploie les mêmes techniques à des fins inverses, v. 🕴️M.-A. Frison-Roche, entretien avec O. Dufour, 💬« La nouvelle loi de protection des données en Chine est un “anti-RGPD” », Actu-Juridique, 2 septembre 2021 : les mécanismes de Compliance y servent à obtenir l’obéissance, l’État étant soustrait aux contraintes qu’il impose aux entreprises, quand le Droit européen fait de la protection de la personne le but même du dispositif.
71. La figure de l’organisme tiers indépendant de la société à mission (articles L. 210-10 et L. 210-11 du Code de commerce) fournit un point de comparaison utile pour le choix de l’auditeur : v. S. Dupouy, « Le tiers face à la contractualisation de la compliance » (préc.)
72. L’exemple achevé est celui de l’externalisation bancaire : sur le fondement des articles 238 et 239 de l’arrêté du 3 novembre 2014, la Commission des sanctions de l’ACPR a sanctionné l’établissement qui n’avait évalué le risque né de l’externalisation pour aucune de ses prestations essentielles externalisées, écartant l’argument tiré de ce que les contrats n’en prévoyaient pas : ACPR, Commission des sanctions, décision n° 2023-02 du 9 octobre 2024, Tunisian Foreign Bank. La clause d’audit y est la condition du respect des obligations prudentielles, non l’expression d’une liberté contractuelle. V. égal. supra § 24 sur la potestativité.
73. C’est exactement ce qui s’est produit dans l’affaire Coopérative U, préc. : la clause renvoyait au président du tribunal de commerce statuant en la forme des référés, procédure abrogée par l’ordonnance du 17 juillet 2019 ; le juge s’est déclaré sans pouvoir et la demande a été jugée irrecevable, l’article 145 du Code de procédure civile étant au surplus écarté faute de nature conservatoire de la mesure au sens de l’article 31 de la convention de Lugano. V. supra § 24.
74. La chaîne complète est donnée par CA Paris, pôle 5, ch. 4, 16 juin 2021, SPI International c/ EuropaCorp, RG n° 17/05010, préc., qui retient aussi que le rapport fait foi tant que l’audité ne produit rien. Sur la gradation, Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), plaide pour une échelle – formation et remédiation, avertissement formel, perte du statut de fournisseur préféré, dénonciation publique, résiliation en dernier rang – et ajoute le pouvoir de récompense ; Maxime D’Angelo Petrucci raisonne de même en termes de riposte graduée, la directive dite CS3D imposant au demeurant la rupture lorsque le plan de mesures correctives ne peut raisonnablement aboutir (« Réflexions sur l’essor des clauses de compliance dans les contrats d’affaires », préc.). Sur la rupture, v. égal. Cass. com., 20 novembre 2019, Biomet, et CA Paris, 4 décembre 2024, Carrefour, rapportés par Jean-Christophe Roda, « Clause de compliance » (préc.). Enfin, l’insertion unilatérale d’une clause d’audit sévère peut coûter la relation sans être pour autant fautive : CA Paris, pôle 5, ch. 4, 14 janvier 2026, Centre Vidéo Distribution c/ RDM Video, RG n° 24/04702, préc.
75. Sur cette remontée des droits de la défense dans le temps, qu’opère l’anticipation de la sanction, et sur ce qu’elle exige des dispositifs de Compliance, v. 🕴️M.-A. Frison-Roche, 📝« Circuler dans le temps pour mettre en phase Compliance et droits de la défense », in 🕴️M.-A. Frison-Roche et 🕴️M. Boissavy (dir.), 📕Compliance et droits de la défense. Enquête interne – CJIP – CRPC, JoRC et Dalloz, coll. « Régulations & Compliance », 2024, pp. 33-58.
76. Robert C. Bird, « Contractual Deterrence and the Ethical Supply Chain » (préc.), relève que les têtes de chaîne poursuivent rarement les manquements qu’elles constatent, ce qui ruine l’effet dissuasif de l’audit ; l’observation vaut a fortiori pour la remédiation, qui suppose un engagement dans la durée. Rompre avec le fournisseur défaillant peut soulager l’entreprise assujettie de son risque juridique sans rien changer à la situation des personnes que l’Obligation de Compliance a pour objet de protéger.
77. L’article 1189 du Code civil pose que « toutes les clauses d’un contrat s’interprètent les unes par rapport aux autres, en donnant à chacune le sens qui respecte la cohérence de l’acte tout entier », son alinéa 2 étendant la règle aux stipulations de plusieurs contrats concourant à une même opération ; l’article 1191 y ajoute l’effet utile. Sur la cohérence prise comme principe directeur de la lecture du contrat, v. D. Houtcieff, Le principe de cohérence en matière contractuelle, préf. H. Muir Watt, Presses universitaires d’Aix-Marseille, coll. « Institut de droit des affaires », 2001, 2 t. Sur l’articulation des stipulations et des actes entre eux, v. égal. J.-B. Seube, L’indivisibilité et les actes juridiques, préc., et M. Cottet, Essai critique sur la théorie de l’accessoire en droit privé, préc., l’une et l’autre rapportant l’articulation à la fonction que chaque élément remplit dans l’opération voulue, ce qui est exactement ce que la clause d’audit de Compliance appelle.
78. Le rapport remis au garde des Sceaux développe cette conception : 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026, not. sur la distinction entre la conformité, qui appelle l’obéissance, et la Compliance, qui appelle la participation des opérateurs cruciaux à la préservation des systèmes et à la protection des êtres humains qui y sont impliqués.
79. Sur cette conception d’ensemble, v. 🕴️M.-A. Frison-Roche, 🏛️Déployer le Droit de la Compliance pour renforcer la souveraineté et accroître l’attractivité de la France avec l’Europe, Rapport au garde des Sceaux, ministre de la Justice, septembre 2026, préc.