Cartographie des risques : la méthodologie étape par étape

Une cartographie des risques de corruption se construit en six étapes : répartir les rôles, identifier les scénarios de risque processus par processus, coter les risques bruts, coter les risques nets après prise en compte des contrôles existants, hiérarchiser avec un plan d’actions, puis formaliser et tenir le document à jour. L’article 17 de la loi Sapin 2 en fait le troisième volet du programme de conformité des grandes entreprises, et les recommandations de l’Agence française anticorruption (AFA) en détaillent la méthode. Cet article déroule cette méthode de façon opérationnelle.

À retenir
– La cartographie est une « documentation régulièrement actualisée » destinée à identifier, analyser et hiérarchiser les risques d’exposition à la corruption, selon l’article 17 de la loi.
– L’obligation vise les sociétés d’au moins 500 salariés et de plus de 100 millions d’euros de chiffre d’affaires (ou appartenant à un groupe dépassant ces seuils).
– La méthode de l’AFA raisonne par processus, distingue risque brut et risque net et débouche sur un plan d’actions.
– Une cartographie qui ne sert pas de base aux autres mesures (formation, évaluation des tiers, contrôles) reste un exercice théorique.

Ce que la loi exige exactement

Le texte de référence est l’article 17 de la loi du 9 décembre 2016. Il impose aux présidents, directeurs généraux et gérants de sociétés employant au moins 500 salariés, et dont le chiffre d’affaires dépasse 100 millions d’euros, de mettre en œuvre des mesures de prévention et de détection de la corruption. La cartographie des risques figure parmi ces mesures. Le texte la décrit comme une documentation régulièrement actualisée, destinée à identifier, analyser et hiérarchiser les risques d’exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d’activités et des zones géographiques dans lesquels elle exerce.

Un document figé à la date de mise en conformité ne suffit donc pas, et la démarche doit être écrite et traçable. La loi ne fixe ni format ni échelle de cotation : c’est le rôle des recommandations de l’AFA, publiées au Journal officiel en janvier 2021 et consultables sur Légifrance, de proposer une méthode, que l’entreprise adapte à sa taille et à ses activités.

Étape 1 : fixer les rôles et les responsabilités

Les recommandations de l’AFA placent la première étape sur l’attribution des missions entre l’instance dirigeante, le responsable de la conformité et les équipes opérationnelles.

En pratique, on retient une répartition simple :

• L’instance dirigeante valide la méthode, arbitre les priorités et s’assure que les moyens sont alloués.
• Le responsable conformité anime la démarche, garantit la cohérence de la méthode entre entités et conserve la documentation.
• Les responsables de processus (achats, ventes, finance, ressources humaines, logistique) connaissent la réalité des flux et des relations avec les tiers : ce sont eux qui décrivent les situations à risque.

Une cartographie rédigée par le seul service juridique passe souvent à côté des pratiques réelles : choix des intermédiaires, négociation des remises, traitement des demandes de paiements de facilitation. Impliquer les métiers dès le départ améliore l’analyse et l’appropriation des mesures.

Étape 2 : identifier les risques par processus

L’approche recommandée est celle des processus. Il ne s’agit pas de recopier une liste générique de risques de corruption, mais d’analyser les activités de l’organisation (managériales, opérationnelles et support) pour repérer, dans chacune, les situations où un acte de corruption ou de trafic d’influence pourrait survenir.

La démarche se déroule en trois temps :

1. Découper l’activité en processus : achats, vente à l’export, recours à des agents commerciaux, obtention de licences et d’autorisations, mécénat et sponsoring, recrutement, notes de frais, fusions-acquisitions.
2. Identifier les interactions avec des tiers dans chaque processus : clients, fournisseurs, intermédiaires, partenaires de coentreprise, autorités publiques.
3. Décrire des scénarios concrets : par exemple, « un agent commercial reverse une partie de sa commission à un décideur d’un donneur d’ordre public pour obtenir un marché » ou « un salarié offre des invitations à un acheteur public dans une période d’appel d’offres ».

La loi cite deux critères d’exposition à intégrer d’emblée : le secteur d’activité et la zone géographique. Une entreprise qui traite avec des administrations ou dépend d’intermédiaires est plus exposée qu’une entreprise dont les clients sont des particuliers.

Chaque scénario doit être rattaché à un processus et à un poste ou une fonction, ce qui prépare l’étape du plan d’actions : on ne corrige que ce que l’on sait situer. la cartographie des risques de corruption adaptée à votre secteur

Étapes 3 et 4 : coter le risque brut puis le risque net

Évaluer les risques bruts

Le risque brut, ou risque inhérent, est le niveau de risque tel qu’il existerait en l’absence de toute mesure de maîtrise. La cotation repose classiquement sur deux dimensions, la probabilité (ou fréquence) de survenance et la gravité de l’impact. Les recommandations de l’AFA invitent à y ajouter les facteurs aggravants, c’est-à-dire les éléments propres à l’entreprise ou à l’environnement qui augmentent l’exposition : pays à forte perception de corruption, recours massif à des intermédiaires, rôle de décideurs publics, opérations sans concurrence.

Quelques règles pratiques :

• Documenter l’échelle : une échelle à quatre niveaux (faible, modéré, fort, majeur) permet de mieux distinguer les risques qu’une échelle à trois niveaux, mais le plus important est que chaque niveau soit défini par écrit.
• Coter avec les opérationnels et non seulement en réunion de comité : les écarts entre la perception du siège et celle du terrain sont souvent instructifs.

La cotation brute doit être faite avant de regarder les contrôles existants. Sinon, on masque les zones où la protection ne repose que sur une seule mesure.

Évaluer les risques nets

Le risque net, ou résiduel, est la réévaluation du risque brut en tenant compte de la qualité des dispositifs existants : code de conduite, politique cadeaux et invitations, évaluation des tiers, contrôles comptables, formation, procédure d’alerte, sanctions disciplinaires. L’AFA attend une appréciation de l’efficacité, pas seulement de l’existence des mesures : un contrôle sur le papier que personne n’applique ne réduit pas le risque.

Pour chaque scénario, trois questions objectivent l’analyse :

• La mesure est-elle adaptée au scénario (une formation générique ne prévient pas un risque précis lié aux agents commerciaux) ?
• La mesure est-elle appliquée (preuves de mise en œuvre, taux de participation, échantillons de contrôle) ?
• La mesure est-elle contrôlée (contrôle de premier niveau par les équipes, contrôle de second niveau par la conformité, audit) ?

L’écart entre risque brut et risque net mesure l’utilité du dispositif. Les scénarios dont le risque net reste élevé appellent des mesures complémentaires. évaluer les tiers pour réduire le risque résiduel

Étapes 5 et 6 : plan d’actions et documentation

Hiérarchiser et bâtir un plan d’actions

La hiérarchisation classe les risques nets du plus élevé au plus faible et sert à fixer des priorités. Elle débouche sur un plan d’actions qui répond à quatre questions : quelle mesure, portée par qui, pour quelle échéance, avec quel indicateur de suivi. La loi parle d’ailleurs de hiérarchiser : une cartographie qui met tous les risques au même niveau ne remplit pas son rôle.

Le plan d’actions peut prévoir l’adaptation d’une procédure (par exemple des seuils de validation pour les commissions versées à des intermédiaires), un renforcement des contrôles comptables, une formation ciblée, des diligences complémentaires sur une catégorie de tiers ou une double validation.

La proportionnalité s’applique : la loi vise des entreprises de tailles très différentes, et les moyens engagés doivent correspondre aux risques réellement identifiés. Une entité qui n’exerce qu’en France, sans intermédiaire, n’aura pas le même plan qu’un groupe présent dans plusieurs dizaines de pays. Le point de vigilance est de ne pas se contenter d’actions vagues : « sensibiliser » ne constitue pas une action évaluable, alors que « former d’ici le deuxième trimestre les 40 acheteurs exposés » l’est. contrôles comptables associés au plan d’actions

Formaliser, archiver et mettre à jour

La dernière étape consiste à produire un document complet et traçable. Selon les recommandations de l’AFA, la cartographie contient notamment la méthodologie retenue, les échelles de cotation, la liste des facteurs aggravants, la présentation des risques bruts et nets, et une fiche pour chaque processus analysé. L’historique des versions, les comptes rendus des entretiens et les décisions de validation par l’instance dirigeante doivent être conservés.

La mise à jour est obligatoire, la loi employant l’expression « régulièrement actualisée ». Elle intervient au minimum lors de chaque évolution notable : acquisition d’une filiale, ouverture d’un marché dans un pays exposé, nouveau canal de distribution, réorganisation, incident révélé par une alerte ou un audit. La périodicité précise n’est pas fixée par la loi elle-même ; l’entreprise la définit dans sa méthode et doit pouvoir la justifier. signaux montrant qu’une cartographie est dépassée

Les erreurs les plus fréquentes et ce que contrôle l’AFA

La cartographie est l’un des éléments centraux d’un contrôle d’une société soumise à l’article 17. On s’attend à ce qu’elle est fondée sur une méthode, si elle couvre l’ensemble du périmètre, y compris les filiales, et si elle a vraiment guidé le reste du programme. Les manquements à l’article 17 peuvent être portés devant la commission des sanctions de l’AFA, qui peut prononcer des injonctions d’adapter les procédures et des sanctions pécuniaires dont les plafonds indiqués par l’agence sont de 200 000 euros pour une personne physique et d’un million d’euros pour une personne morale. Une première sanction pécuniaire a été rendue publique en juillet 2026 ; elle est commentée sur Village de la Justice.

Selon l’aperçu des missions de l’AFA publié par un éditeur juridique, l’agence contrôle les sociétés relevant de l’article 17 et les personnes morales de droit public. Les erreurs récurrentes tiennent en cinq points :

1. Une cartographie « copiée-collée » d’un modèle, sans lien avec les processus réels de l’entreprise.
2. Une couverture partielle : seules les activités à l’export sont analysées, alors que les achats et les ressources humaines sont concernés.
3. Une cotation non documentée : les niveaux sont attribués sans échelle ni justification.
4. L’absence de risque net : le dispositif existant n’est pas évalué, si bien que le plan d’actions n’a pas de fondement.
5. Un document non actualisé : des acquisitions ou des changements d’organisation n’y figurent pas.

L’usage d’outils numériques facilite le suivi, mais ne remplace ni la méthode ni le travail avec les métiers. outils d’automatisation et limites de l’IA

Pour approfondir, voir aussi l’évaluation des tiers, la cartographie par secteur et le dispositif de contrôle interne.

FAQ

Quelles entreprises doivent établir une cartographie des risques de corruption ?

Les sociétés d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros, ainsi que les sociétés d’un groupe dont la société mère a son siège en France et dépasse ces seuils en consolidé, selon l’article 17 de la loi. D’autres entités, notamment publiques, sont invitées à s’inspirer des recommandations de l’AFA, sans que la même obligation ne pèse sur elles.

Quelle différence entre risque brut et risque net ?

Le risque brut évalue le risque sans tenir compte des mesures de maîtrise ; le risque net le réévalue après prise en compte de l’efficacité des mesures en place. L’écart entre les deux montre l’apport du dispositif.

À quelle fréquence faut-il mettre à jour la cartographie ?

La loi impose une documentation « régulièrement actualisée » sans fixer de durée. L’entreprise précise la périodicité dans sa méthode et procède à des mises à jour anticipées à chaque évolution significative de son activité ou de son environnement.

Peut-on sous-traiter la cartographie à un cabinet ?

Un prestataire peut appuyer la démarche, mais la responsabilité du dispositif reste celle de l’instance dirigeante. La cartographie doit refléter les processus réels de l’entreprise, ce qui suppose l’implication des équipes internes.

Conclusion

Une cartographie des risques de corruption réussie repose moins sur un outil que sur une méthode disciplinée : des rôles clairs, une analyse par processus, une cotation brute puis nette expliquée, un plan d’actions hiérarchisé et une documentation tenue à jour. Bien construite, elle devient le socle des autres mesures de l’article 17 : elle oriente les formations, la sélection des tiers à évaluer et les contrôles comptables. L’entreprise gagne ainsi en lisibilité face à un contrôle de l’AFA, et surtout une vision concrète de l’endroit où la corruption pourrait réellement se produire. Le premier pas consiste à réunir, autour du responsable conformité, les responsables de processus et à écrire la méthode avant de coter le moindre risque.