Cartographie des risques de corruption
Un compliance officer qui découvre, au lendemain d'une alerte interne, que la cartographie des risques de corruption de son groupe n'a pas été mise à jour depuis plusieurs exercices mesure immédiatement l'exposition réelle de l'entreprise. L'absence de cartographie formalisée, ou une cartographie insuffisamment documentée, constitue un manquement direct aux exigences posées par le dispositif anticorruption issu de la loi Sapin II et peut déclencher une mise en demeure de l'Agence française anticorruption.
La cartographie des risques de corruption désigne l'inventaire structuré et hiérarchisé des situations dans lesquelles une organisation est susceptible d'être exposée à des actes de corruption, de trafic d'influence ou d'autres atteintes à la probité, tel que l'exige le dispositif anticorruption prévu par le Code pénal et la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique. Elle constitue le socle du programme de conformité anticorruption et conditionne la validité de l'ensemble des mesures qui s'y greffent. Confier cet exercice à un avocat permet d'intégrer d'emblée la dimension juridique – qualification des expositions, analyse des tiers, lecture des exigences réglementaires – que la seule approche interne ne peut garantir.
Cette page présente le périmètre exact de la prestation, les étapes de l'accompagnement, les livrables attendus, les points de vigilance et l'articulation avec les autres pratiques du cabinet.
Qu'est-ce que la cartographie des risques de corruption et pourquoi est-elle obligatoire ?
La cartographie des risques de corruption correspond à un pilier central du programme de conformité anticorruption imposé aux entités dépassant certains seuils définis par les textes applicables en France. Elle est exigée par le dispositif issu de la loi Sapin II, dont les dispositions sont codifiées dans le Code pénal et dans la loi spéciale relative à la transparence et à la lutte contre la corruption. L'Agence française anticorruption – l'AFA – vérifie lors de ses contrôles que cette cartographie est formalisée, documentée, actualisée et effectivement intégrée dans les procédures opérationnelles de l'entité.
La notion d'atteinte à la probité recouvre, dans la pratique du cabinet, un champ plus large que la seule corruption active ou passive. Le trafic d'influence, la concussion, le favoritisme et la prise illégale d'intérêts peuvent, selon la structure et les activités de l'entité, figurer dans le périmètre de la cartographie. Délimiter ce périmètre avec précision est la première décision à caractère juridique de l'exercice.
Nous observons régulièrement que les entreprises qui abordent la cartographie comme un exercice purement documentaire sous-estiment la portée des lacunes identifiées par l'AFA lors de ses contrôles. Une cartographie incomplète ou non mise à jour peut aboutir à une injonction de l'Agence, assortie d'un nouveau calendrier de mise en conformité, et exposer les dirigeants à une responsabilité personnelle.
Quelles sont les étapes concrètes d'un accompagnement en cartographie des risques ?
L'accompagnement du cabinet en matière de cartographie des risques de corruption s'organise en quatre phases distinctes, chacune produisant un livrable identifiable et validé contradictoirement avec les équipes internes.
Phase 1 – Cadrage et collecte. La première étape consiste à délimiter le périmètre géographique, sectoriel et fonctionnel de la cartographie. Nous procédons à l'analyse des contrats structurants, des flux financiers avec des tiers, des zones géographiques d'activité et des fonctions exposées. Cette phase mobilise les directions juridique, financière et opérationnelle. Le livrable est un document de cadrage validé, qui servira de référence pour toute la suite de l'exercice.
Phase 2 – Identification et qualification des risques bruts. Nous recensons les scénarios d'exposition à la corruption au regard des activités de l'entité. Chaque scénario est qualifié juridiquement – corruption publique ou privée, trafic d'influence, favoritisme – et évalué selon deux axes : la probabilité d'occurrence et la gravité des conséquences. Cette double cotation, qui suit les recommandations de l'AFA, permet d'établir la carte des risques bruts.
Phase 3 – Évaluation des dispositifs de maîtrise existants et des risques résiduels. À chaque risque brut identifié, nous confrontons les procédures et contrôles internes déjà en place. Le résultat est le risque résiduel : le niveau d'exposition effectif après prise en compte des mesures existantes. C'est ce niveau résiduel qui détermine les priorités du plan d'action.
Phase 4 – Rédaction du livrable final et recommandations. La cartographie est formalisée dans un document structuré, accompagné d'un plan d'action hiérarchisé. Le plan d'action identifie les mesures à mettre en œuvre par ordre de priorité, les responsables désignés et les délais de réalisation. Ce document est conçu pour être présenté à la gouvernance et pour servir de référence lors d'un contrôle de l'AFA.
Un premier regard sur votre situation
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen de vos activités, de vos tiers et de la pratique de l'AFA. Pour une analyse de votre situation au regard de la cartographie des risques de corruption, écrivez-nous à contact@vernaylestang.com.
Quel cadre juridique s'applique à la cartographie des risques de corruption en France ?
Le cadre juridique applicable découle principalement du dispositif anticorruption introduit par la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – dite loi Sapin II – dont les dispositions pénales sont intégrées au Code pénal et dont les obligations de conformité structurent la pratique de l'AFA. Ce dispositif s'articule avec les conventions internationales auxquelles la France est partie, notamment la convention de l'OCDE sur la lutte contre la corruption d'agents publics étrangers.
Les entités soumises à l'obligation de mettre en place un programme de conformité anticorruption comprenant une cartographie formelle sont définies par les seuils légaux – en termes d'effectifs et de chiffre d'affaires – fixés par les textes. Pour les groupes internationaux présents en France, l'articulation avec les législations étrangères applicables – britannique, américaine ou autre – impose de vérifier la compatibilité des approches et d'éviter toute lacune de couverture.
Les infractions d'atteinte à la probité relevant du Code pénal – corruption active et passive d'agents publics nationaux et étrangers, de personnes exerçant une fonction privée, trafic d'influence, favoritisme – constituent le référentiel normatif de la cartographie. La jurisprudence constante de la Cour de cassation en matière de complicité et de responsabilité pénale des personnes morales renforce l'intérêt d'une cartographie exhaustive et régulièrement mise à jour.
Dans notre pratique des programmes de conformité, nous veillons à ce que la cartographie couvre également les risques liés aux agents, intermédiaires et partenaires commerciaux, que l'AFA identifie systématiquement comme des vecteurs d'exposition prioritaires dans ses recommandations.
Quels sont les points de vigilance en l'absence d'accompagnement juridique ?
Une cartographie des risques de corruption conduite sans accompagnement juridique présente des lacunes récurrentes que nous observons à l'occasion de revues de programmes de conformité existants.
Le premier écueil est la sous-qualification des scénarios de risque. Une approche purement opérationnelle identifie les risques en termes de processus sans les rattacher aux qualifications pénales applicables. La distinction entre corruption d'un agent public national, corruption d'un agent public étranger et corruption d'une personne exerçant une fonction privée n'est pas neutre : les régimes de sanction, les exigences probatoires et les obligations déclaratives diffèrent.
Le deuxième écueil est l'absence de prise en compte des tiers. La cartographie doit couvrir non seulement les relations directes de l'entité mais aussi celles de ses filiales, agents, distributeurs et intermédiaires. Une cartographie limitée au périmètre direct de l'entité sera considérée comme incomplète par l'AFA.
Le troisième écueil est le défaut d'actualisation. Une cartographie qui n'est pas révisée lors de changements significatifs – acquisition, entrée sur un nouveau marché, évolution de l'activité – perd sa valeur réglementaire. L'AFA peut considérer qu'une cartographie obsolète équivaut à une cartographie inexistante.
Illustration – ETI de services, région Grand Est, printemps 2025
Nous avons accompagné une ETI de services présente dans plusieurs pays d'Afrique francophone dans la révision complète de sa cartographie des risques de corruption. La cartographie initiale, réalisée en interne, ne couvrait pas les intermédiaires commerciaux locaux ni les procédures d'obtention de licences d'exploitation. À l'issue de la révision, l'entité a disposé d'un document structuré répondant aux attentes de l'AFA et d'un plan d'action hiérarchisé, permettant une présentation confiante à son conseil de surveillance.
Comment s'articule la cartographie avec le programme de conformité anticorruption complet ?
La cartographie des risques de corruption n'est pas un document autonome : elle est le fondement sur lequel repose l'ensemble du programme de conformité anticorruption. Sans cartographie, aucun des autres piliers du programme – code de conduite, procédures de diligence raisonnable des tiers, dispositif d'alerte, formation, contrôles comptables – ne peut être correctement calibré.
Dans notre accompagnement, nous veillons à ce que les recommandations issues de la cartographie soient directement traduites en révisions des procédures opérationnelles et en modules de formation ciblés. Le code de conduite doit refléter les scénarios de risque identifiés. Les procédures de diligence raisonnable (en anglais : due diligence) des tiers doivent être pondérées selon le niveau de risque de chaque catégorie de partenaires.
L'articulation avec le dispositif d'alerte interne – prévu par les dispositions du Code du travail et de la loi sur la protection des lanceurs d'alerte – doit également être vérifiée : les canaux de remontée d'information doivent être connus des collaborateurs exposés aux risques identifiés dans la cartographie.
Une démarche antérieure incomplète ?
Si une première version de la cartographie a produit un résultat insuffisant au regard des exigences de l'AFA, un second regard permet d'identifier les lacunes et de prioriser les corrections. Pour examiner l'application des exigences du programme de conformité à votre dossier, contactez-nous à contact@vernaylestang.com.
Quels sont les livrables et la méthode de Vernay & Lestang ?
La prestation du cabinet produit des livrables précis, conçus pour être opérationnels et présentables à la fois en interne – comité exécutif, conseil d'administration – et en externe, notamment devant l'AFA en cas de contrôle.
Le premier livrable est le document de cadrage, qui fixe le périmètre, la méthodologie et le calendrier de l'exercice. Le deuxième livrable est la carte des risques bruts et résiduels, présentée sous forme de matrice cotée selon les axes probabilité et gravité. Le troisième livrable est le plan d'action hiérarchisé, qui recense les mesures correctives, leurs responsables et leurs délais. Le quatrième livrable est une note de synthèse destinée à la gouvernance, rédigée dans un registre accessible et directement utilisable en présentation de conseil.
Notre méthode associe systématiquement une lecture juridique – qualification pénale des expositions, analyse des textes applicables – et une lecture opérationnelle – processus, flux financiers, relations avec les tiers. Cette double entrée garantit une cartographie qui ne soit pas seulement conforme sur le papier mais réellement utile pour piloter le risque.
Illustration – Groupe industriel, région Auvergne-Rhône-Alpes, automne 2024
Nous avons structuré la cartographie des risques de corruption d'un groupe industriel en croissance externe, à l'occasion de l'intégration d'une entité acquise dont le programme de conformité était embryonnaire. La cartographie a été conduite en parallèle de la révision des procédures d'achat et de la mise à jour du code de conduite. Le groupe a pu présenter un programme consolidé à ses actionnaires institutionnels dans le délai requis après la réalisation de l'acquisition.
Matrice de décision : quel niveau d'accompagnement pour votre organisation ?
Le niveau d'accompagnement adapté dépend de la situation de départ et de l'exposition de l'entité.
Situation A – Cartographie inexistante ou jamais formalisée. L'entité entre dans le périmètre légal mais n'a pas encore conduit l'exercice. Instrument recommandé : accompagnement complet, des quatre phases, avec production de l'ensemble des livrables. Délai indicatif : plusieurs semaines selon la complexité du périmètre. Niveau de risque en l'absence d'action : élevé (exposition directe à un contrôle AFA et à une injonction).
Situation B – Cartographie existante mais obsolète ou incomplète. L'entité dispose d'un document mais celui-ci n'a pas été mis à jour depuis un changement significatif (acquisition, nouveau marché, évolution réglementaire). Instrument recommandé : revue critique et mise à jour ciblée, avec production d'une note de gaps et d'un plan d'action. Délai indicatif : plus court, selon l'étendue des lacunes identifiées. Niveau de risque : modéré à élevé selon l'ancienneté du document.
Situation C – Cartographie à jour, contrôle AFA imminent. L'entité a été notifiée d'un contrôle et souhaite s'assurer de la robustesse du document existant. Instrument recommandé : audit de conformité de la cartographie au regard du référentiel de l'AFA, préparation des responsables aux entretiens. Délai indicatif : rapide. Niveau de risque résiduel : faible si les lacunes sont identifiées et documentées avant le contrôle.
- Rassembler la dernière version formalisée de la cartographie et ses annexes.
- Identifier les changements significatifs intervenus depuis la dernière mise à jour (acquisitions, nouvelles zones géographiques, nouveaux partenaires).
- Lister les procédures internes de diligence raisonnable des tiers et les contrôles comptables existants.
- Recenser les incidents ou alertes internes liés à des risques d'atteinte à la probité.
- Préparer un accès aux données contractuelles et financières pertinentes pour les équipes du cabinet.
Domaines liés
- Contrôle des concentrations et notification – conseil sur les seuils, dépôt du dossier et suivi de l'instruction devant l'Autorité de la concurrence
- Mandat ad hoc et conciliation : comment choisir ? – comparatif des procédures amiables pour anticiper les difficultés financières
FAQ – Cartographie des risques de corruption : cinq questions pratiques
1. Pourquoi confier la cartographie des risques de corruption à un avocat ?
Confier la cartographie des risques de corruption à un avocat permet d'intégrer dès la phase d'identification la qualification juridique des expositions – corruption publique ou privée, trafic d'influence, favoritisme – et de produire un document opposable à l'AFA, articulé avec les dispositions du Code pénal et les recommandations de l'Agence. Un accompagnement purement interne ou par un consultant non juriste ne garantit ni la correcte qualification des scénarios ni la robustesse du document en cas de contrôle.
2. Cartographie des risques de corruption : quels documents préparer ?
Pour conduire une cartographie des risques de corruption, les documents à préparer comprennent la dernière version du programme de conformité existant, les contrats avec les intermédiaires et agents commerciaux, les procédures d'achat et de gestion des tiers, les organigrammes des entités couvertes, les données relatives aux zones géographiques d'activité et tout rapport d'audit interne ou externe portant sur la conformité anticorruption. Ces éléments permettent d'identifier les processus exposés et de qualifier correctement chaque scénario de risque.
3. Cartographie des risques de corruption : combien de temps prévoir ?
La durée d'une cartographie des risques de corruption varie selon la complexité du périmètre – nombre d'entités, zones géographiques, catégories de tiers – et la maturité du programme de conformité existant. Un exercice complet, de la phase de cadrage à la remise du plan d'action, s'étend généralement sur plusieurs semaines. Une mise à jour ciblée d'une cartographie existante peut être conduite dans un délai plus court. Le cabinet précise le calendrier prévisionnel dès l'analyse initiale du dossier.
4. La cartographie des risques de corruption s'applique-t-elle aux filiales étrangères d'un groupe français ?
La cartographie des risques de corruption doit couvrir l'ensemble des entités entrant dans le périmètre légal, y compris les filiales étrangères, lorsque les obligations résultent d'un programme de groupe. L'AFA vérifie que le programme est effectivement déployé au niveau des filiales et que les risques propres à chaque juridiction locale sont pris en compte. Pour les groupes présents dans des zones géographiques à risque élevé, la cartographie doit intégrer les spécificités locales, en coordination avec des conseils locaux dans la juridiction concernée.
5. Que risque une entreprise dont la cartographie des risques est insuffisante ?
Une entreprise dont la cartographie des risques de corruption est insuffisante ou absente peut faire l'objet d'une injonction de mise en conformité délivrée par l'AFA, assortie d'un calendrier contraignant. En cas de manquement persistant, les dirigeants peuvent engager leur responsabilité personnelle. En présence d'une infraction d'atteinte à la probité, l'absence de programme de conformité effectif peut constituer une circonstance aggravante dans l'appréciation de la responsabilité pénale de la personne morale par les juridictions compétentes.
Vernay & Lestang – Avocats d'affaires à Paris
Vernay & Lestang conseille les entreprises et les investisseurs sur les questions de conformité anticorruption, de droit de la concurrence et de structuration des programmes de conformité. Notre équipe accompagne les directions juridiques et les compliance officers dans la construction, la révision et la défense de leurs programmes anticorruption, du cadrage initial jusqu'à la préparation aux contrôles de l'AFA. L'approche est juridique d'abord : chaque livrable est conçu pour résister à un examen réglementaire.
Pour un premier avis sur votre cartographie des risques ou votre programme de conformité anticorruption, adressez-nous un message à contact@vernaylestang.com. Les honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, données et conformité.
Voir le profil · Publié le 6 janvier 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.