Cartographie des risques de corruption : méthode et exigences Sapin 2

La cartographie des risques de corruption est la deuxième mesure listée par l'article 17 de la loi Sapin 2 et le premier livrable que l'Agence française anticorruption examine lors d'un contrôle. [lu : loi Sapin 2, article 17 ; recommandations de l'AFA] Elle ne se résume pas à une liste de risques : elle doit identifier les scénarios de corruption propres à chaque processus et chaque zone géographique de l'organisation, coter leur probabilité et leur impact, et démontrer que chaque risque identifié est couvert par une mesure préventive adaptée. L'AFA relève régulièrement deux types de manquements dans les cartographies qu'elle examine : une méthode non documentée, qui empêche de vérifier la cohérence des cotations, et un lien inexistant entre les risques cartographiés et les mesures effectives du programme. Une cartographie qui ne sert qu'à remplir une case du programme n'est pas défendable face à un contrôleur. Ce guide explique les exigences méthodologiques de l'AFA et la façon dont un outil structuré les soutient.

Qu'est-ce que la cartographie des risques de corruption au sens de Sapin 2 ?

La cartographie des risques de corruption identifie, pour chaque processus et chaque partie prenante significative de l'organisation, les scénarios dans lesquels un acte de corruption pourrait survenir. [lu : loi Sapin 2, article 17 ; cartographie-des-risques-sapin-2.com, index.md] Elle se distingue d'une simple liste de risques par plusieurs caractéristiques : une méthode documentée et reproductible, des cotations traçables avec leur justification, et un lien démontré entre chaque risque et les mesures de prévention correspondantes. L'AFA distingue nettement une cartographie conforme de celle qui ne l'est pas sur ce dernier critère : si les mesures du programme ne découlent pas visiblement de la cartographie, la cartographie n'est pas considérée comme effective.

Quels manquements l'AFA relève-t-elle le plus souvent dans les cartographies ?

Les recommandations de l'AFA identifient plusieurs manquements récurrents dans les cartographies examinées lors de contrôles : absence de documentation de la méthodologie, cotations sans justification traçable, périmètre trop restreint (filiales ou processus exclus sans motivation), et absence de lien entre les risques identifiés et les mesures préventives. [lu : cartographie-des-risques-sapin-2.com, index.md ; recommandations de l'AFA] Un autre manquement fréquent est l'absence de mise à jour après une réorganisation ou une évolution du périmètre d'activité, ce qui rend la cartographie obsolète par rapport à la réalité opérationnelle de l'organisation.

Pour le programme anticorruption dans son ensemble, voir l'article Sapin 2 : anticorruption et programme de conformité.

Comment construire une cartographie des risques de corruption conforme aux attentes de l'AFA ?

La construction d'une cartographie conforme suit un cycle en cinq étapes : identification des processus exposés, identification des scénarios de corruption par entretien avec les responsables opérationnels, cotation de chaque scénario en probabilité et impact, identification des mesures préventives existantes, et calcul du risque résiduel. [lu : cartographie-des-risques-sapin-2.com, index.md] Chaque étape doit laisser une trace documentaire. La documentation de la méthodologie est ce qui permet à l'auditeur de vérifier la cohérence des cotations d'une révision à l'autre et d'un périmètre à l'autre dans un groupe.

Pour la méthode de cartographie des risques dans un cadre plus large, voir l'article Cartographie des risques : méthode et outils pour ETI.

Comment relier la cartographie aux mesures préventives du programme ?

Le lien entre la cartographie et les mesures est l'exigence la plus souvent absente dans les cartographies examinées par l'AFA. [lu : cartographie-des-risques-sapin-2.com, index.md] Pour chaque risque identifié, la cartographie doit indiquer quelle mesure du programme le couvre : procédure de diligence sur les tiers, clause anticorruption contractuelle, formation dédiée, contrôle interne spécifique. Un logiciel permet de matérialiser ce lien en reliant chaque risque aux mesures associées et en signalant les risques sans couverture identifiée.

Pour le cadre GRC qui englobe ce dispositif, voir l'article Logiciel GRC : conformité, méthode et critères.

À quelle fréquence la cartographie doit-elle être mise à jour ?

La loi Sapin 2 ne fixe pas de fréquence de révision, mais l'AFA attend une mise à jour régulière et après tout événement susceptible de modifier l'exposition de l'organisation. [lu : recommandations de l'AFA ; cartographie-des-risques-sapin-2.com, index.md] Les événements déclencheurs les plus courants sont une acquisition ou cession d'activité, une réorganisation interne, l'entrée sur un nouveau marché ou dans une nouvelle zone géographique, et les résultats d'un audit interne anticorruption. La trace de chaque révision, avec sa date et sa justification, est ce que l'auditeur demande pour vérifier que la cartographie est vivante.

Questions fréquentes

Qui doit signer la cartographie des risques de corruption ? Les recommandations de l'AFA indiquent que la cartographie doit être approuvée par la direction générale ou le conseil d'administration, pas seulement validée par la fonction conformité. Cette approbation au plus haut niveau est la preuve de l'engagement de la direction exigé par la norme.

La cartographie Sapin 2 d'un groupe doit-elle couvrir toutes les filiales ? L'article 17 de la loi Sapin 2 s'applique aux organisations qui atteignent les seuils légaux sur une base consolidée. La cartographie doit donc couvrir l'ensemble du périmètre consolidé, y compris les filiales à l'étranger, avec une adaptation aux risques propres à chaque entité ou zone géographique.

Peut-on réaliser la cartographie en interne ou faut-il un prestataire ? Les deux sont acceptables pour l'AFA. L'essentiel est que la méthode soit documentée, les cotations traçables et le résultat défendable. Un prestataire peut apporter une expertise méthodologique et un regard externe, mais ne peut pas se substituer à la connaissance interne des processus.

Optivalue.ai guide-t-il dans la construction de la cartographie des risques de corruption ? Optivalue.ai guide les équipes conformité à travers la méthode et la documentation. Pour en savoir plus : demander une démonstration.

---

Haut de page