Cartographie des risques : méthode et outils pour une ETI
Ce qu'une cartographie des risques produit et pourquoi elle est exigée par plusieurs référentiels
Une cartographie des risques est un document structuré qui recense les menaces auxquelles une organisation est exposée, les évalue selon leur vraisemblance et leur impact potentiel, et les hiérarchise pour orienter les décisions de traitement. Plusieurs référentiels imposent cette démarche à des titres différents. La loi n° 2016-1691 du 9 décembre 2016 dite Sapin 2 l'impose comme troisième mesure obligatoire de son programme anticorruption (article 17). La norme ISO 31000:2018 relative au management du risque en fait le pivot de tout dispositif de gestion. La norme ISO 27001 l'exige pour le management de la sécurité de l'information. La norme ISO 22301 l'intègre dans l'analyse d'impact sur l'activité. Optivalue.ai guide les ETI dans la réalisation de leur cartographie, en structurant les données selon les exigences de chaque référentiel concerné, et en produisant le dossier de preuve associé.
Identifier et recenser les risques : sources et méthode
L'identification des risques est la première étape d'une cartographie. Elle consiste à recenser tous les événements susceptibles d'affecter les objectifs de l'organisation, qu'ils soient internes ou externes à celle-ci. Les sources d'identification incluent : les entretiens avec les responsables opérationnels, l'analyse des incidents passés, la revue des processus critiques, les évolutions réglementaires et l'observation de l'environnement concurrentiel et sectoriel. Pour une cartographie des risques de corruption au sens de Sapin 2, les sources spécifiques sont les expositions géographiques, les types de tiers (clients, fournisseurs, intermédiaires) et les fonctions à risque. La complétude du recensement conditionne la valeur de la cartographie : un risque non identifié est un risque non traité.
Évaluer les risques : vraisemblance, impact, criticité
Chaque risque identifié est évalué selon deux axes. Le premier axe est la vraisemblance : quelle est la probabilité que l'événement se produise, compte tenu des mesures de contrôle existantes ? Le second axe est l'impact : quelles seraient les conséquences pour l'organisation si l'événement se produisait, en termes financiers, réputationnels, opérationnels et réglementaires ? La combinaison des deux axes produit un niveau de criticité. L'organisation positionne chaque risque sur une matrice croisant ces deux dimensions, ce qui permet de visualiser et de classer les risques selon leur priorité de traitement. Cette évaluation doit être formalisée, datée et validée par une instance responsable.
Hiérarchiser et prioriser les traitements
La hiérarchisation des risques permet de concentrer les ressources disponibles sur les risques les plus critiques. Un risque dont la criticité est élevée appelle un plan de traitement prioritaire ; un risque dont la criticité est faible peut être accepté ou surveillé. Les traitements possibles sont au nombre de quatre : réduire le risque (mesures de contrôle renforcées), transférer le risque (assurance ou contrat), éviter le risque (abandon de l'activité concernée), accepter le risque (décision documentée). Chaque décision de traitement doit être documentée, associée à un responsable nommé et à une date de révision. Sans cette traçabilité, la cartographie reste une photographie sans valeur probatoire. La cartographie des risques liés aux systèmes d'IA s'intègre dans ce dispositif général pour les organisations soumises au règlement (UE) 2024/1689.
Maintenir la cartographie à jour : fréquence et déclencheurs
Une cartographie des risques statique perd rapidement sa valeur. L'Agence française anticorruption recommande une révision au moins annuelle pour la cartographie des risques de corruption, et à chaque modification substantielle de l'organisation. Les déclencheurs d'une révision intermédiaire incluent : acquisition ou cession d'une filiale, entrée dans un nouveau marché géographique, changement de direction, incident avéré, modification réglementaire. Optivalue.ai fournit un logiciel GRC qui héberge et actualise la cartographie en conservant l'historique des versions et en traçant les modifications apportées à chaque révision. Cette traçabilité est indispensable pour démontrer l'effectivité du processus lors d'un contrôle.
FAQ
Quelle est la différence entre une cartographie des risques et un registre des risques ?
La cartographie des risques est une représentation visuelle et structurée des risques positionnés selon leur vraisemblance et leur impact. Le registre des risques est le document sous-jacent qui recense chaque risque avec ses attributs : description, évaluation, mesures de contrôle, responsable, statut du traitement. En pratique, la cartographie est souvent la vue graphique du registre. Les deux documents sont complémentaires et constituent ensemble le référentiel de gestion des risques de l'organisation.
La cartographie des risques Sapin 2 couvre-t-elle tous les types de risques ?
Non. La cartographie imposée par l'article 17 de la loi n° 2016-1691 du 9 décembre 2016 est spécifiquement centrée sur les risques de corruption et de trafic d'influence. Elle identifie les situations dans lesquelles un acteur pourrait offrir ou recevoir un avantage indu. Une organisation peut décider de réaliser une cartographie plus large couvrant d'autres catégories de risques (opérationnels, réglementaires, cyber, financiers), mais la mesure Sapin 2 porte uniquement sur la corruption.
Qui doit valider la cartographie des risques ?
La cartographie des risques de corruption au titre de la loi Sapin 2 doit être validée par l'instance dirigeante de l'entreprise : président, directeur général ou gérant. C'est une condition d'effectivité appréciée par l'Agence française anticorruption lors de ses contrôles. Pour les cartographies relevant d'autres référentiels (ISO 31000, ISO 27001), la validation incombe au responsable de la fonction concernée, selon les règles de gouvernance définies par chaque organisation.
Comment impliquer les opérationnels dans la cartographie des risques ?
L'identification des risques nécessite une contribution des responsables opérationnels, qui connaissent les expositions concrètes de leurs processus. Les méthodes incluent les entretiens structurés, les ateliers de travail collectifs et les questionnaires d'auto-évaluation. Le rôle du responsable conformité est de consolider les contributions, d'harmoniser les évaluations et de s'assurer que l'ensemble des fonctions exposées ont été couvertes. La participation des opérationnels améliore également l'appropriation des mesures de traitement définies.
Une ETI peut-elle réaliser sa cartographie des risques sans consultant externe ?
Oui, à condition de disposer d'une méthodologie structurée, d'un outil de gestion documentaire adapté et d'une personne responsable de la démarche en interne. Un outil de cartographie des risques fournit la structure, les gabarits d'évaluation et la traçabilité nécessaire. Le recours à un conseil externe reste utile pour valider la méthodologie ou pour conduire les premiers entretiens d'identification, mais n'est pas une condition de validité de la cartographie.
Découvrez comment Optivalue.ai structure et maintient votre cartographie des risques
Haut de page
Sur le même sujet