Cartographie des risques et dispositif de conformité : analyse juridique et portée pratique
La cartographie des risques et le dispositif de conformité désignent, au sens des dispositions du Code de commerce issues de la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (dite loi Sapin II), l'ensemble structuré des mesures qu'une entreprise déploie pour identifier, hiérarchiser et traiter ses expositions en matière de corruption, de trafic d'influence et, plus largement, de manquements au droit de la concurrence. Pour un responsable conformité, négliger cet édifice expose la société à des sanctions administratives et pénales, mais aussi à une mise en cause personnelle du dirigeant devant les juridictions compétentes.
Au printemps 2026, les autorités de contrôle françaises – au premier rang desquelles l'Agence française anticorruption (AFA) et l'Autorité de la concurrence – intensifient leurs inspections. La question n'est plus de savoir si un programme de conformité doit exister, mais de vérifier qu'il est opérationnel, proportionné et régulièrement mis à jour. Ce dossier analyse le cadre juridique applicable, les risques réels pour l'entreprise et les leviers pratiques à la disposition du compliance officer.
Ce dossier est organisé en huit parties : cadre normatif, périmètre des entreprises concernées, contenu obligatoire du dispositif, articulation avec le droit de la concurrence, points de vigilance opérationnels, méthode du cabinet, matrice de décision et perspectives.
Quel est le cadre juridique applicable à la cartographie des risques en France ?
Le cadre juridique de la cartographie des risques et du dispositif de conformité repose principalement sur les dispositions du Code de commerce issues de la loi Sapin II, complétées par les recommandations de l'AFA et, pour la dimension concurrentielle, par les règles du droit de la concurrence consacrées dans le Code de commerce et le droit de l'Union européenne.
La loi Sapin II a instauré une obligation de mise en place d'un programme anticorruption comprenant huit piliers : code de conduite, dispositif d'alerte interne, cartographie des risques, procédures d'évaluation des tiers, contrôles comptables, formation des personnels, régime disciplinaire et dispositif de contrôle et d'évaluation interne. La cartographie des risques occupe une place centrale : elle conditionne la cohérence de l'ensemble du dispositif, car les autres piliers doivent être calibrés sur ses conclusions.
L'AFA exerce un pouvoir de contrôle sur la mise en œuvre de ces obligations. Elle peut adresser des recommandations, mais aussi saisir la Commission des sanctions de l'AFA, laquelle peut infliger des sanctions à la société et à son dirigeant. L'autorité de contrôle dispose d'un référentiel actualisé qui précise les attentes en matière de méthodologie, de gouvernance et de documentation de la cartographie.
Sur le plan concurrentiel, le Code de commerce et le droit de l'Union européenne imposent aux entreprises de ne pas participer à des pratiques anticoncurrentielles. La jurisprudence constante des juridictions françaises et de la Cour de justice de l'Union européenne établit que l'existence d'un programme de conformité ne constitue pas, en soi, un fait justificatif, mais peut être prise en compte dans l'appréciation des circonstances atténuantes par l'Autorité de la concurrence.
Quelles entreprises sont concernées par l'obligation de conformité anticorruption ?
Les obligations les plus exigeantes de la loi Sapin II s'appliquent aux sociétés employant au moins cinq cents salariés et dont le chiffre d'affaires consolidé ou le chiffre d'affaires de la société qui les contrôle dépasse un seuil fixé par les textes, ainsi qu'aux présidents, directeurs généraux et gérants de ces sociétés à titre personnel. Au-delà de ce périmètre légal strict, la cartographie des risques et le dispositif de conformité constituent une bonne pratique de gouvernance pour toute entreprise exposée à des risques de corruption ou d'atteinte aux règles de la concurrence, quelle que soit sa taille.
Dans notre pratique, nous observons que des PME et des ETI non assujetties aux obligations formelles de la loi Sapin II mettent néanmoins en place un dispositif de conformité sous l'impulsion de leurs donneurs d'ordre, de leurs investisseurs ou de leurs partenaires bancaires. La cartographie des risques devient alors un outil de gouvernance valorisé lors des opérations de cession ou d'entrée au capital, dans la mesure où elle témoigne d'une maîtrise des risques juridiques et réputationnels.
Les filiales françaises de groupes étrangers sont soumises au droit français dès lors qu'elles exercent tout ou partie de leur activité sur le territoire national. Elles doivent articuler les exigences de la loi Sapin II avec celles de leur programme groupe, notamment lorsque ce dernier est calé sur le Foreign Corrupt Practices Act américain ou le UK Bribery Act britannique. Cette articulation suppose une analyse préalable des points de convergence et des points de divergence entre les référentiels.
Vous avez reçu une demande d'information de l'AFA ou de l'Autorité de la concurrence sur votre dispositif de conformité ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des juridictions compétentes. Pour une analyse de votre situation au regard de la cartographie des risques et du dispositif de conformité, écrivez-nous à contact@vernaylestang.com.
Quel contenu une cartographie des risques doit-elle couvrir pour être conforme ?
Une cartographie des risques conforme aux recommandations de l'AFA doit identifier les activités, les zones géographiques, les catégories de tiers et les processus internes qui exposent l'entreprise à des risques de corruption ou de trafic d'influence, puis hiérarchiser ces risques selon leur probabilité de survenance et leur impact potentiel, avant de définir les mesures de traitement proportionnées.
La démarche se structure en plusieurs phases. La phase d'identification recense l'ensemble des scénarios de risque propres à l'entreprise : actes d'achat, processus commerciaux, relations avec des agents et des intermédiaires, opérations dans des pays à risque, interactions avec des agents publics. Cette phase exige une collecte d'informations auprès des directions métiers, souvent conduite sous forme d'entretiens structurés et d'ateliers de travail.
La phase de cotation attribue à chaque scénario une note de probabilité et une note d'impact. L'AFA recommande une approche brute (avant mesures de contrôle) puis résiduelle (après mesures de contrôle), afin de mesurer l'efficacité des dispositifs existants. Cette double cotation est un point d'attention fréquemment relevé lors des contrôles.
La phase de traitement débouche sur un plan d'action documenté : adaptation des procédures d'évaluation des tiers, renforcement des contrôles comptables, formation ciblée des équipes exposées. Le plan d'action doit être suivi, ses indicateurs de réalisation mesurés et ses résultats reportés à la direction générale et, le cas échéant, au comité d'audit.
Nous accompagnons régulièrement des entreprises dans la mise à jour de leur cartographie à l'occasion d'une acquisition, d'une entrée sur un nouveau marché ou d'un changement de périmètre opérationnel. Ces événements constituent autant de déclencheurs d'une révision, car ils modifient substantiellement le profil de risque de l'organisation.
Illustration de pratique – Lyon, automne 2025
Nous avons accompagné une ETI industrielle de la région Auvergne-Rhône-Alpes dans la refonte complète de sa cartographie des risques à la suite d'une acquisition transfrontalière. L'opération avait introduit dans le périmètre groupe des entités situées dans des zones géographiques à risque élevé. Nous avons structuré la phase d'identification, animé les ateliers métiers et rédigé le plan d'action soumis au comité d'audit, permettant à la société de présenter un dispositif actualisé lors de la revue semestrielle de l'AFA.
Comment la cartographie des risques s'articule-t-elle avec le droit de la concurrence ?
La cartographie des risques anticorruption et le programme de conformité au droit de la concurrence sont deux dispositifs distincts, mais leur articulation est indispensable pour toute entreprise qui opère sur des marchés concurrentiels ou qui entretient des relations commerciales structurées avec ses fournisseurs, ses distributeurs ou ses clients.
Le droit de la concurrence, tel qu'il est consacré par le Code de commerce et le droit de l'Union européenne, prohibe les ententes anticoncurrentielles et l'abus de position dominante. Pour les entreprises dont la part de marché ou la position sectorielle les expose à ces risques, un programme de conformité concurrence complète utilement la cartographie anticorruption. Ce programme couvre l'identification des comportements à risque, la formation des équipes commerciales et des directions d'achat, et la mise en place de procédures d'escalade en cas d'incident.
L'Autorité de la concurrence a précisé, dans ses lignes directrices, que l'existence d'un programme de conformité effectif peut être prise en compte lors de la détermination de la sanction, sans toutefois en atténuer le principe. Cette nuance est importante : un programme de conformité ne protège pas l'entreprise si la pratique anticoncurrentielle est avérée, mais il témoigne d'une culture de la conformité qui peut influencer l'appréciation des circonstances.
Pour approfondir la dimension concurrentielle de ce sujet, vous pouvez consulter notre analyse sur la conformité en matière d'abus de position dominante, qui détaille les conditions d'application et les enjeux procéduraux devant l'Autorité de la concurrence.
Quels sont les principaux risques et erreurs à éviter dans la mise en œuvre du dispositif ?
Les insuffisances les plus fréquemment relevées lors des contrôles de l'AFA portent sur cinq points : une cartographie trop générique déconnectée des métiers réels de l'entreprise, une absence de mise à jour lors d'événements significatifs, un plan d'action non suivi, un dispositif de formation insuffisant pour les populations exposées, et une gouvernance défaillante – absence de reporting à la direction ou au comité d'audit.
La cartographie générique constitue le premier écueil. Un document qui liste des risques théoriques sans les ancrer dans les activités, les géographies et les tiers réels de l'entreprise ne satisfait pas aux attentes de l'AFA. La valeur probante d'une cartographie tient précisément à sa spécificité : elle doit refléter le modèle d'affaires, les circuits d'approvisionnement et les pratiques commerciales de la société.
L'absence de mise à jour est le second point de vigilance majeur. Une cartographie élaborée lors du déploiement initial du programme perd rapidement sa pertinence si elle n'est pas révisée à l'occasion d'acquisitions, de nouvelles implantations, de changements de périmètre d'activité ou d'évolutions réglementaires. Dans notre pratique du conseil en conformité, nous recommandons une revue formelle au moins une fois par exercice et une mise à jour systématique lors de tout événement structurant.
La gouvernance du dispositif est un point souvent sous-estimé. Le responsable de la conformité ne peut être seul porteur du programme : la direction générale doit s'en emparer, le comité d'audit doit en être régulièrement informé et les directions métiers doivent être impliquées dans la mise en œuvre. L'AFA vérifie systématiquement la traçabilité de ce reporting lors de ses contrôles.
Votre dispositif a fait l'objet d'un contrôle ou d'une recommandation de l'AFA ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner l'application du cadre Sapin II à votre programme de conformité, contactez-nous à contact@vernaylestang.com.
Illustration de pratique – Île-de-France, printemps 2024
Nous avons assisté une société de services numériques basée en région parisienne dont le programme de conformité avait reçu des observations de l'AFA à l'issue d'un contrôle. Les lacunes portaient sur l'absence de double cotation brute/résiduelle et sur un plan d'action sans indicateurs mesurables. Nous avons restructuré la cartographie, formalisé les indicateurs de suivi et préparé la réponse aux observations, permettant à la direction de présenter un dossier renforcé lors de la phase contradictoire.
Quelles sont les tendances récentes et les points d'attention pour la direction ?
Au printemps 2026, plusieurs tendances de fond affectent la pratique de la cartographie des risques et du dispositif de conformité, et méritent l'attention des directions générales et des responsables conformité.
La première tendance est l'élargissement du périmètre des risques couverts. L'AFA a progressivement enrichi son référentiel pour intégrer des risques adjacents à la corruption stricto sensu : conflits d'intérêts, cadeaux et invitations, mécénat et sponsoring, lobbying. Cette extension du champ d'analyse implique une révision du périmètre de la cartographie pour les entreprises dont le programme avait été construit sur une interprétation restrictive des obligations.
La deuxième tendance concerne la chaîne de valeur. Les attentes en matière d'évaluation des tiers se sont significativement renforcées. Il ne suffit plus de recueillir des questionnaires d'intégrité : les entreprises doivent démontrer qu'elles analysent les réponses, qu'elles prennent des mesures de remédiation en cas d'alerte et qu'elles documentent leurs décisions. Cette évolution a des implications directes sur les ressources allouées au processus de diligence raisonnable (« due diligence ») des tiers.
La troisième tendance est la convergence avec le devoir de vigilance. La loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre impose à certaines grandes entreprises d'établir un plan de vigilance couvrant notamment les risques d'atteintes aux droits humains et à l'environnement. Ce plan s'appuie sur une cartographie des risques dont la méthodologie présente des points communs avec celle du programme anticorruption. Les entreprises concernées ont intérêt à harmoniser leurs approches pour éviter les redondances et les incohérences.
Pour une analyse complémentaire des risques et des leviers, nous vous invitons à consulter notre dossier sur la cartographie des risques et les leviers pour l'entreprise, qui développe les aspects opérationnels de la mise en œuvre.
Méthode du cabinet : comment Vernay & Lestang aborde-t-il l'analyse juridique du dispositif de conformité ?
Notre approche repose sur une analyse juridique préalable du cadre applicable à la situation de l'entreprise, suivie d'un diagnostic du dispositif existant et d'un accompagnement dans la mise en conformité ou le renforcement du programme.
La phase d'analyse juridique vise à qualifier précisément les obligations de l'entreprise au regard de la loi Sapin II et, le cas échéant, du devoir de vigilance et du droit de la concurrence. Cette qualification est déterminante : elle conditionne le périmètre du programme et le niveau d'exigence applicable. Pour des groupes transfrontaliers, elle suppose une coordination avec des conseils locaux dans les juridictions concernées.
Le diagnostic du dispositif existant est conduit au regard du référentiel de l'AFA. Il identifie les écarts entre l'état actuel du programme et les attentes de l'autorité de contrôle, en distinguant les lacunes formelles – absence de documentation – des lacunes substantielles – insuffisance du contenu ou de la mise en œuvre. Ce diagnostic débouche sur un rapport écrit remis à la direction générale et au responsable conformité.
L'accompagnement dans la mise en conformité couvre la structuration ou la refonte de la cartographie des risques, la rédaction ou la mise à jour du code de conduite et des procédures associées, la préparation des supports de formation et, lorsque la situation l'exige, la représentation de l'entreprise dans le cadre des procédures devant l'AFA ou la Commission des sanctions.
Nous abordons systématiquement la dimension concurrentielle du dispositif, en particulier pour les entreprises qui opèrent dans des secteurs concentrés ou qui entretiennent des réseaux de distribution structurés. Cette double lecture – anticorruption et concurrence – est, dans notre expérience, indispensable pour couvrir l'ensemble des expositions juridiques de l'entreprise.
Matrice de décision et check-list : préparer son dispositif de conformité
La mise en place ou le renforcement d'un dispositif de conformité suppose de choisir une approche adaptée à la situation de l'entreprise. La matrice suivante présente les principales configurations rencontrées dans la pratique.
Situation A – Entreprise assujettie à la loi Sapin II, programme inexistant ou non documenté : priorité à la mise en place du dispositif complet en huit piliers, avec la cartographie des risques comme point de départ. Délai de déploiement : plusieurs mois selon la complexité. Niveau de risque : élevé en l'absence de programme, sanction possible devant la Commission des sanctions de l'AFA.
Situation B – Entreprise assujettie, programme existant mais non mis à jour depuis un événement significatif (acquisition, nouvelle implantation, changement de modèle d'affaires) : priorité à la révision de la cartographie et à la mise à jour du plan d'action. Délai : quelques semaines à quelques mois. Niveau de risque : modéré à élevé selon l'ancienneté des lacunes.
Situation C – ETI ou PME non assujettie, demande d'un donneur d'ordre ou d'un investisseur : déploiement d'un programme proportionné, centré sur la cartographie des risques et les procédures d'évaluation des tiers. Délai : plusieurs semaines. Niveau de risque : juridique limité, risque commercial et réputationnel en cas de refus.
Situation D – Entreprise faisant l'objet d'un contrôle de l'AFA ou ayant reçu des observations : procédure de réponse structurée, analyse des écarts, préparation de la phase contradictoire. Délai : contraint par le calendrier de la procédure. Niveau de risque : direct, nécessite une intervention rapide.
Check-list – Ce qu'il faut préparer avant de lancer ou de mettre à jour sa cartographie des risques :
- Disposer d'un inventaire complet des activités, zones géographiques, catégories de tiers et processus exposés aux risques de corruption ou d'atteinte à la concurrence.
- Identifier les personnes-ressources dans chaque direction métier susceptible d'être concernée (achat, commerce, finance, ressources humaines, direction générale).
- Rassembler la documentation du programme existant : cartographie précédente, plan d'action, relevés de formation, rapports de contrôle interne.
- Vérifier que la gouvernance du programme est formalisée : désignation du responsable conformité, reporting à la direction générale et au comité d'audit.
- Anticiper les événements structurants à venir susceptibles de modifier le profil de risque : acquisition, entrée sur un nouveau marché, changement de périmètre d'activité.
Pour toute question relative à la restructuration ou au financement du dispositif, notre guide sur la restructuration de la dette d'entreprise peut également éclairer la dimension financière d'un programme de mise en conformité ambitieux.
Domaines liés
- Abus de position dominante – Analyse juridique et procédurale devant l'Autorité de la concurrence
- Cartographie des risques – risques et leviers pour l'entreprise – Mise en œuvre opérationnelle et indicateurs de suivi
FAQ – Cartographie des risques et dispositif de conformité
1. Cartographie des risques et dispositif de conformité : quelles évolutions récentes connaître ?
Au printemps 2026, les principales évolutions concernent l'élargissement du périmètre couvert par le référentiel de l'AFA, le renforcement des attentes en matière d'évaluation des tiers et la convergence croissante entre le programme anticorruption issu de la loi Sapin II et le plan de vigilance prévu par la loi sur le devoir de vigilance. Les entreprises concernées doivent réviser leur cartographie pour intégrer ces nouvelles dimensions, en particulier les risques liés aux conflits d'intérêts, au sponsoring et à la chaîne d'approvisionnement.
2. Quelles entreprises sont concernées par les obligations de la loi Sapin II ?
Les obligations formelles de la loi Sapin II s'appliquent aux sociétés dépassant les seuils d'effectif et de chiffre d'affaires fixés par les textes du Code de commerce, ainsi qu'à leurs présidents, directeurs généraux et gérants à titre personnel. Au-delà de ce périmètre légal, la mise en place d'un dispositif de conformité est fortement recommandée pour toute entreprise exposée à des risques de corruption, d'entente ou d'abus de position dominante, notamment sous l'impulsion de leurs donneurs d'ordre ou de leurs investisseurs.
3. Comment anticiper les enjeux de conformité en pratique ?
Anticiper les enjeux de conformité suppose d'agir sur plusieurs leviers : conduire une cartographie des risques spécifique aux activités de l'entreprise, désigner un responsable conformité disposant d'une autorité et de ressources adaptées, former régulièrement les personnels exposés, et instaurer un reporting formalisé à la direction générale et au comité d'audit. Une mise à jour de la cartographie à chaque événement structurant – acquisition, nouveau marché, changement réglementaire – est la pratique que nous recommandons systématiquement.
4. La cartographie des risques protège-t-elle l'entreprise en cas de contrôle ?
Une cartographie des risques bien documentée et régulièrement mise à jour constitue un élément de preuve de la démarche de l'entreprise lors d'un contrôle de l'AFA ou d'une enquête de l'Autorité de la concurrence. Elle ne constitue pas un fait justificatif au sens strict, mais témoigne d'une culture de la conformité qui peut être prise en compte dans l'appréciation des circonstances par l'autorité compétente. La qualité du dispositif – spécificité, mise à jour, gouvernance – est déterminante pour sa valeur probante.
5. Quelle est la différence entre l'analyse juridique de conformité et un audit interne ?
L'analyse juridique de conformité conduite par un avocat porte sur la qualification des obligations légales de l'entreprise, l'identification des écarts avec le cadre normatif applicable – loi Sapin II, Code de commerce, droit de la concurrence – et la recommandation de mesures de remédiation. Elle est couverte par le secret professionnel de l'avocat. L'audit interne est une fonction de gouvernance de l'entreprise qui évalue l'efficacité des processus et des contrôles internes, sans bénéficier de la même protection. Les deux démarches sont complémentaires et peuvent être conduites de manière coordonnée.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les entreprises, les dirigeants et les investisseurs dans la mise en place et le renforcement de leurs programmes de conformité, la conduite des diligences et la représentation dans les procédures devant l'AFA et l'Autorité de la concurrence. Notre intervention couvre l'analyse juridique du cadre applicable, le diagnostic du dispositif existant et l'accompagnement dans la mise en conformité, depuis la cartographie des risques jusqu'au plan d'action et au reporting de gouvernance.
Pour un premier avis sur votre dispositif de conformité, adressez-nous un message à contact@vernaylestang.com. Les honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron
Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social et de restructurations sociales, et contribue aux analyses de conformité dans les dimensions RH et gouvernance. Voir le profil
Publié le 20 avril 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.