Un fabricant français de composants électroniques livre depuis trois ans un client thaïlandais. Commandes régulières, paiements ponctuels, aucun signal d’alerte. Jusqu’au jour où un audit interne révèle que ce client est une filiale d’une entité figurant sur la liste des entités du Bureau of Industry and Security (BIS) américain. Résultat : plusieurs commandes en cours à bloquer, un signalement auprès des autorités compétentes, des pénalités contractuelles, et un risque d’amende aux États-Unis pour violation des Export Administration Regulations — même pour une entreprise 100 % française, si ses produits contiennent des composants américains dépassant certains seuils.
Ce scénario n’est pas exceptionnel. Il est même devenu courant depuis 2022 avec l’empilement des sanctions contre la Russie, la Biélorussie et certaines entités chinoises. La question n’est plus de savoir si le contrôle des exportations concerne votre entreprise, mais de savoir si votre ERP est configuré pour l’automatiser — avant que l’audit ou, pire, une alerte douanière, ne vous l’impose.
L’essentiel en 30 secondes
- Toute entreprise UE qui exporte des biens listés à l’annexe I du règlement UE 2021/821 est soumise au contrôle des biens à double usage, quel que soit son secteur.
- La liste SDN de l’OFAC et la liste des entités UE sont des listes d’entités précises (pas de pays entiers) — l’ERP doit screener chaque tiers, pas bloquer un pays en bloc.
- Les filiales européennes de groupes américains sont soumises aux réglementations OFAC et EAR, même sans clients américains — extraterritorialité réelle.
- SAP GTS est le standard pour les grandes organisations ; pour les ETI, des solutions SaaS comme Descartes Denied Party Screening s’intègrent via API à tout ERP.
- Plus de 99 % des alertes de screening sont des faux positifs : un workflow de validation humaine est indispensable.
1. Pourquoi le contrôle des exportations devient un sujet ERP
L’explosion des listes de sanctions depuis 2022
Avant l’invasion de l’Ukraine en février 2022, les listes de sanctions internationales concernaient principalement quelques pays emblargés (Iran, Corée du Nord, Cuba) et des entités terroristes. Depuis, le paysage a radicalement changé. L’Union européenne a adopté une série de paquets de sanctions contre la Russie et la Biélorussie, ajoutant des milliers d’entités, de personnes physiques et de produits restreints. Le Département du Trésor américain (OFAC) et le Bureau of Industry and Security (BIS) ont parallèlement élargi leurs listes de manière significative.
Pour une ETI industrielle qui exporte, cela signifie que le périmètre des tiers à screener a considérablement augmenté. Un contrôle qui pouvait se faire manuellement sur quelques dizaines de commandes par mois devient impossible à assurer de façon fiable sans automatisation dans l’ERP.
Du contrôle manuel à l’automatisation : une nécessité opérationnelle
Le contrôle manuel repose sur des processus fragiles : une liste Excel tenue à jour par le responsable export, une vérification effectuée sur les grandes commandes mais oubliée sur les petites, un employé en congé qui n’a pas de remplaçant formé. En cas de contrôle douanier ou d’audit, l’entreprise doit démontrer qu’elle dispose d’un programme de conformité export formalisé et systématique — pas d’une procédure ad hoc.
L’ERP est l’endroit naturel où automatiser ces contrôles, car c’est là que se créent les commandes, les expéditions et les factures. Un blocage déclenché dans l’ERP au moment de la commande est infiniment moins coûteux qu’un blocage à la douane ou une enquête ouverte a posteriori.
2. Le cadre réglementaire en 3 niveaux
Niveau 1 — Biens à double usage : le règlement UE 2021/821
Le règlement UE 2021/821 du 20 mai 2021, publié au Journal officiel de l’UE le 11 juin 2021, constitue le cadre de référence pour les biens à double usage en Europe. Il établit un régime commun pour le contrôle des exportations, du courtage, de l’assistance technique, du transit et du transfert de biens susceptibles d’avoir un usage civil et militaire.
L’annexe I du règlement contient la liste de contrôle commune : matériaux, composants électroniques, télécommunications, lasers, capteurs, certains logiciels, technologies de navigation. Si un produit que vous fabriquez ou commercialisez figure dans cette liste, vous avez des obligations de licence ou de notification selon la destination.
Chaque bien à double usage est classifié par un numéro ECN (Export Control Number) européen, aligné sur les classifications internationales (Wassenaar, NSG, MTCR). Dans votre ERP, cela se traduit par un champ à enrichir dans la fiche article.
Niveau 2 — Sanctions économiques : OFAC, BIS et listes UE
Les sanctions économiques fonctionnent différemment des contrôles de biens à double usage. Elles ne visent pas des produits, mais des entités précises — personnes physiques, entreprises, gouvernements — dans une liste.
La liste SDN (Specially Designated Nationals and Blocked Persons) de l’OFAC américain, disponible publiquement sur ofac.treasury.gov, contient des entités dont les avoirs sont gelés et avec lesquelles tout ressortissant américain ou entité soumise à la juridiction américaine est interdit de transiger. L’OFAC met à jour sa liste de façon irrégulière, parfois quotidiennement en période de crise géopolitique. Une base de données de screening doit donc être synchronisée en quasi-temps réel.
La BIS Entity List, gérée par le Bureau of Industry and Security du Département du Commerce américain et consultable sur bis.gov, liste des organisations et personnes soumises à des restrictions spécifiques à l’exportation pour des motifs de sécurité nationale ou de politique étrangère. Contrairement à la SDN qui implique un blocage total, la BIS Entity List impose généralement une obligation de licence pour exporter vers les entités listées.
Du côté européen, le Conseil de l’UE maintient ses propres listes de sanctions restrictives, accessibles via le registre des mesures restrictives de l’UE. Leur format et leur fréquence de mise à jour diffèrent de ceux des listes américaines.
Point critique sur l’extraterritorialité. Une filiale française d’un groupe américain est soumise aux listes OFAC et à l’EAR (Export Administration Regulations) même si elle n’exporte vers aucun pays américain. De même, tout produit dont plus de 25 % de la valeur est d’origine américaine (règle dite “de minimis” de l’EAR) peut être soumis aux contrôles américains même s’il est fabriqué hors des États-Unis. Ces règles d’extraterritorialité sont réelles et sanctionnées.
Niveau 3 — Contrôles nationaux : SBDU en France, BAFA en Allemagne, ECO au Royaume-Uni
Au niveau national, chaque État membre UE (et le Royaume-Uni depuis le Brexit) maintient ses propres organes de contrôle et, dans certains cas, des listes complémentaires.
En France, le Service des Biens à Double Usage (SBDU) est la direction compétente au sein de la Direction Générale des Entreprises. Il instruit les demandes de licences d’exportation pour les biens contrôlés. La DGA (Direction Générale de l’Armement) intervient pour les matériels de guerre au sens strict.
En Allemagne, le Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) remplit une fonction similaire, avec une jurisprudence d’application parfois plus stricte que la moyenne européenne sur certaines catégories de biens.
Au Royaume-Uni, l’Export Control Organisation (ECO) gère le régime post-Brexit, qui reste largement aligné sur les listes internationales mais qui a introduit ses propres spécificités depuis 2021.
3. Configurer l’ERP pour le contrôle export
Enrichir la fiche article : ECN, ECCN, TARIC et indicateur double usage
La première étape de configuration est l’enrichissement du référentiel produit. Chaque article vendu ou expédié doit porter, dans l’ERP, les attributs de contrôle export pertinents :
- Code ECN (Export Control Number, nomenclature UE) : indique si le bien est contrôlé selon l’annexe I du règlement 2021/821.
- Code ECCN (Export Control Classification Number, nomenclature américaine) : utile si l’entreprise a des clients américains ou est soumise à l’EAR.
- Position douanière TARIC : pour la classification douanière et l’identification des positions à double usage.
- Indicateur double usage : champ booléen ou liste de valeurs permettant de déclencher les workflows de contrôle.
Ce travail de classification est souvent sous-estimé. Il nécessite une expertise combinant connaissance du portefeuille produit et lecture des listes de contrôle. Pour les entreprises qui n’ont pas de juriste export interne, des cabinets spécialisés proposent des prestations de classification initiale.
Enrichir les fiches tiers : pays à risque et statut de screening
Côté tiers (clients, fournisseurs, agents, partenaires), l’ERP doit porter les attributs suivants :
- Pays de destination finale : distinct du pays du client direct (un client néerlandais peut commander pour une livraison en Iran).
- Statut de screening : date du dernier contrôle et résultat (clair, alerte résolue, bloqué).
- Indicateur de pays sous embargo ou sous régime de sanctions renforcé.
- Indicateur d’entité à risque renforcé : utilisateur final militaire potentiel, entité dans un secteur sensible.
La destination finale est souvent le point le plus difficile à capturer dans l’ERP. Les opérations commerciales se focalisent sur l’adresse de livraison contractuelle, pas sur l’usage final. Pourtant, c’est l’usage et la destination finale qui déterminent l’obligation de licence.
Paramétrage des règles de blocage automatique
Une fois les référentiels enrichis, l’ERP peut être configuré pour bloquer automatiquement une commande ou une expédition lorsque la combinaison produit-destination-client déclenche une alerte.
Les règles typiques à configurer :
- Blocage si le code ECN est non nul ET que le pays de destination figure dans une liste de pays à licence obligatoire.
- Blocage si le tiers figure dans une liste de sanctions (connexion à la base de données de screening en temps réel).
- Blocage si la destination finale déclarée diffère du pays du client et que cette destination est sous embargo.
- Alerte (sans blocage automatique) pour les pays à risque renforcé nécessitant une validation manuelle.
La granularité des règles dépend de la sophistication de l’ERP. SAP S/4HANA avec GTS offre un moteur de règles très flexible. Les ERP PME (Sage, Odoo, Dynamics 365 BC) nécessitent souvent des développements spécifiques ou une intégration avec un outil dédié.
Workflow d’escalade et traçabilité des décisions
Le blocage automatique n’est que la première étape. Lorsqu’une commande est bloquée, un workflow doit s’enclencher :
- Notification au responsable export avec les détails de l’alerte.
- Instruction de la demande : vérification manuelle du tiers, consultation de la liste de contrôle, évaluation de l’usage final déclaré.
- Décision documentée : validation avec justification ou maintien du blocage.
- Si validation : enregistrement dans l’ERP avec le nom du valideur, la date, la justification et, le cas échéant, la référence de la licence.
- Si blocage maintenu : refus de commande avec traçabilité complète.
Cette piste d’audit est essentielle. En cas de contrôle douanier ou d’enquête, l’entreprise doit pouvoir démontrer que chaque commande sensible a fait l’objet d’un examen documenté.
4. Les solutions du marché
SAP Global Trade Services (GTS) : le standard pour les grands groupes
SAP GTS est le module dédié de SAP pour la gestion du commerce international et du contrôle export. Il s’intègre nativement à SAP S/4HANA et à SAP ECC. Ses fonctionnalités couvrent le screening des tiers en temps réel sur les listes OFAC SDN, UE, ONU et nationales, la gestion des licences d’exportation, le suivi des contingents et l’automatisation des blocages.
SAP GTS est pertinent pour les groupes dont le volume de transactions internationales justifie l’investissement — typiquement des ETI de plus de 500 salariés avec une activité export significative ou des groupes internationaux avec des filiales dans plusieurs pays.
Oracle Global Trade Management (GTM) : l’alternative pour les environnements Oracle
Oracle GTM couvre des fonctionnalités similaires à SAP GTS pour les clients de l’écosystème Oracle : Oracle Cloud ERP (Fusion), JD Edwards et Oracle E-Business Suite. La solution inclut le denied party screening, la classification des produits selon les nomenclatures internationales, et la gestion des licences.
Descartes Denied Party Screening : l’approche SaaS API-first
Descartes Systems Group propose une solution SaaS de screening des parties restreintes qui se distingue par son approche API-first. La solution se connecte à tout ERP via API et confronte chaque tiers aux principales listes mondiales (OFAC SDN, BIS Entity List, listes UE, ONU, et plusieurs dizaines de listes nationales) en quasi-temps réel.
L’avantage pour les ETI est la flexibilité : pas besoin d’un module ERP dédié, l’intégration se fait au niveau de la couche d’échange de données. La fréquence de mise à jour des listes est critique — Descartes publie des mises à jour dès qu’une liste officielle est modifiée.
LSEG World-Check : la base de données de référence pour le KYC tiers
World-Check (anciennement Thomson Reuters World-Check, désormais sous LSEG) est une base de données de profils à risque couvrant les personnes politiquement exposées (PPE), les entités sous sanctions, les personnes liées au crime organisé et au terrorisme. Elle s’intègre via API dans les ERP ou les outils KYC/CRM pour enrichir automatiquement les fiches tiers.
World-Check est particulièrement utilisé dans les processus d’onboarding client et de vérification des tiers dans des secteurs réglementés (banque, assurance, industrie de défense civile).
Odoo et les ERP PME : les limites actuelles
Odoo, Sage 50/100, EBP et les ERP PME du marché ne disposent pas de module natif de contrôle export avec screening en temps réel sur les listes de sanctions. Pour ces environnements, deux approches existent :
- Intégration via API externe : connecter un service de screening SaaS (Descartes, Compliance-One) à l’ERP pour screener les tiers lors de la création de fiche ou à la saisie de commande.
- Script de vérification périodique : exporter régulièrement (hebdomadaire ou mensuel) la liste des tiers actifs et les confronter aux listes de sanctions par traitement batch. Moins robuste en temps réel, mais applicable aux entreprises à faible volume d’export.
Pour les PME avec peu de transactions internationales, une procédure manuelle documentée reste acceptable à condition d’être systématique et traçable. Au-delà d’une centaine de commandes internationales par mois, l’automatisation devient indispensable.
5. La mise en place en 4 étapes
Étape 1 — Cartographier les risques
Avant toute configuration ERP, répondez à ces questions : Quels produits de votre catalogue sont susceptibles d’être à double usage (électronique, optique, chimie, logiciels, machines-outils) ? Vers quels pays exportez-vous directement ou indirectement ? Avez-vous des clients dans des pays tiers dont la destination finale est incertaine ?
Cette cartographie détermine l’ampleur du projet. Une entreprise qui exporte uniquement en Union européenne des biens de grande consommation a peu de risques. Une ETI qui vend des composants électroniques à des clients en Asie du Sud-Est ou au Moyen-Orient doit prendre le sujet très au sérieux.
Étape 2 — Enrichir les référentiels ERP
C’est le travail le plus long et le plus technique. Il implique de classifier chaque référence produit selon les nomenclatures ECN/ECCN, d’enrichir les fiches client et fournisseur avec les attributs de contrôle, et de documenter la méthode de classification pour les audits futurs.
Un point souvent négligé : les sous-traitants et les intermédiaires. Dans les chaînes de distribution complexes, un agent ou un distributeur peut revendre vos produits à une entité listée sans que vous en soyez directement informé. Les contrats avec les distributeurs doivent inclure une clause de conformité export et une obligation de due diligence de leur côté.
Étape 3 — Choisir et intégrer la base de données de screening
Les critères de sélection d’une base de données de screening sont :
- Couverture des listes : au minimum OFAC SDN, BIS Entity List, listes UE et ONU. Les listes nationales (BAFA, SBDU, HM Treasury UK) sont un plus selon vos marchés.
- Fréquence de mise à jour : idéalement en temps réel ou au maximum quotidienne.
- Gestion des faux positifs : la qualité de l’algorithme de matching (gestion des translittérations arabes, cyrilliques, des variantes orthographiques) détermine le volume d’alertes à traiter manuellement.
- SLA et disponibilité de l’API : un service de screening indisponible au moment d’une commande urgente crée un problème opérationnel.
Étape 4 — Former les équipes ADV et export
La technologie ne suffit pas. Les équipes administration des ventes doivent comprendre pourquoi une commande est bloquée, comment instruire une alerte, et quelle est la procédure d’escalade. La formation doit couvrir trois points critiques : comment interpréter un résultat de screening, comment gérer les faux positifs (qui représentent la quasi-totalité des alertes), et comment documenter une décision de déblocage pour la piste d’audit.
6. Ce que l’ERP ne peut pas faire
Le jugement humain sur les “near matches”
Les algorithmes de screening génèrent des alertes lorsqu’un nom de tiers ressemble à un nom figurant sur une liste. Un “Mohamed Al-Rashid” légitime peut déclencher une alerte parce qu’un autre “Mohamed Al-Rashid” est listé. La décision de débloquer ou maintenir le blocage nécessite une analyse humaine qui ne peut pas être entièrement automatisée.
Le risque inverse — les faux négatifs — est lui aussi réel : une entité listée sous une translittération ou un alias non répertorié dans la base de données peut passer sans alerte. L’ERP réduit le risque, il ne l’élimine pas.
Les transactions financières : un périmètre distinct
Le contrôle export dans l’ERP couvre les flux de biens et services. Les transactions financières relèvent d’un autre périmètre : les banques ont leur propre obligation de screening via SWIFT et leurs systèmes anti-blanchiment. L’ERP commercial et le système bancaire ne communiquent pas automatiquement sur ce point.
Une commande débloquée par l’ERP peut ensuite être bloquée par la banque si le virement est émis vers une entité sous sanctions financières. Ces deux couches de contrôle sont complémentaires et distinctes.
La clause “catch-all” : le risque des produits non listés
Le règlement UE 2021/821 prévoit une clause de prudence dite “catch-all” : même si un produit ne figure pas dans l’annexe I des biens à double usage contrôlés, l’exportateur est tenu de refuser ou de soumettre à licence l’exportation s’il sait ou a des raisons de croire que le bien sera utilisé à des fins militaires dans un pays sous embargo ou à des fins de développement d’armes de destruction massive.
Cette clause repose sur le jugement de l’exportateur. L’ERP ne peut pas détecter automatiquement un usage final suspect sur un produit non classifié. Elle implique une formation des équipes commerciales à reconnaître les signaux d’alerte : commandes inhabituelleS pour un profil client, questions sur les spécifications techniques militaires, prix anormalement acceptés sans négociation.
Conclusion : la conformité export comme avantage compétitif
Le contrôle export est longtemps resté un sujet réservé aux grandes entreprises avec des départements juridiques étoffés. L’empilement des sanctions depuis 2022 et l’élargissement de la portée extraterritoriale des réglementations américaines ont changé la donne pour les ETI exportatrices, y compris celles qui n’ont aucun lien direct avec les États-Unis.
Une ETI dotée d’un programme de conformité export formalisé — fiches articles classifiées, screening automatisé des tiers, workflow de validation documenté — obtient un avantage concret sur trois points : elle réduit le risque d’amende et de suspension de ses licences d’exportation, elle renforce la confiance de ses clients grands comptes qui font eux-mêmes l’objet d’audits de conformité chez leurs fournisseurs, et elle accélère ses processus d’onboarding client à l’international car les contrôles sont systématiques et documentés.
La mise en place prend du temps — de 3 à 12 mois selon la taille du catalogue et la complexité des marchés cibles. Mais elle se construit sur des fondations durables : les référentiels ERP enrichis et les workflows de validation restent valables quelle que soit l’évolution des listes de sanctions.
Pour approfondir ce sujet, consultez notre guide ERP et commerce international — douane, TVA et conformité multi-pays et notre article sur l’ERP et la GRC — gouvernance, risques et conformité. Si votre enjeu est plus largement la conformité réglementaire de votre SI, notre guide sur la directive NIS2 et l’ERP couvre les obligations de cybersécurité avec lesquelles le contrôle export s’articule.
