Cartographie des risques et dispositif de conformité : ce que les dirigeants doivent savoir
Un programme de conformité qui ne repose pas sur une cartographie des risques rigoureuse n'est pas un programme de conformité : c'est un catalogue de procédures sans ancrage dans les vulnérabilités réelles de l'entreprise. La distinction est juridique autant que stratégique.
La cartographie des risques et le dispositif de conformité désignent, au sens du droit français, l'ensemble des outils d'identification, d'évaluation et de traitement des risques de manquement aux obligations légales qui pèsent sur l'entreprise – au premier rang desquels les risques de corruption, de trafic d'influence et d'atteintes à la concurrence, tels qu'encadrés notamment par les dispositions relatives au dispositif anticorruption de la loi dite Sapin II et par les textes du Code de commerce relatifs aux pratiques anticoncurrentielles. Pour les dirigeants et les responsables conformité (compliance officers), l'enjeu n'est pas seulement réglementaire : une cartographie insuffisante constitue un signal d'alerte pour les autorités de contrôle et une brèche dans la défense personnelle du dirigeant en cas de mise en cause.
Ce dossier examine le cadre juridique applicable, les méthodologies d'élaboration, les erreurs fréquentes et les tendances qui redessinent les contours de la conformité en France en 2026. Il s'adresse aux compliance officers, aux directions juridiques et aux dirigeants qui souhaitent comprendre où se situent les risques réels et comment les traiter avec rigueur.
Pourquoi la cartographie des risques est au cœur du dispositif anticorruption français
La cartographie des risques constitue le socle du programme de conformité tel qu'il est exigé par les dispositions du Code pénal et de la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – communément appelée loi Sapin II. Elle précède et conditionne tous les autres piliers : sans identification préalable des risques propres à l'activité, aux zones géographiques et aux partenaires commerciaux de l'entreprise, les politiques internes, les procédures de contrôle et les actions de formation restent déconnectées des vulnérabilités réelles.
Le cadre normatif distingue deux obligations distinctes. D'une part, les entités assujetties – sociétés et établissements publics dépassant certains seuils de chiffre d'affaires et d'effectifs – doivent mettre en place un programme de conformité comportant, en tête de liste, une cartographie des risques documentée. D'autre part, l'Agence française anticorruption (AFA) exerce un contrôle de la qualité de cette cartographie : elle vérifie que la méthodologie est adaptée à la taille et au secteur de l'entreprise, que les risques identifiés sont cotés selon leur probabilité et leur impact, et que la cartographie est révisée à intervalles réguliers.
Dans notre pratique des programmes de conformité, nous observons que la confusion entre « avoir une cartographie » et « avoir une cartographie opérationnelle » est l'erreur la plus fréquente. Un document daté de plusieurs années, non actualisé après une acquisition ou une entrée dans un nouveau marché, ne satisfait pas aux attentes de l'AFA. La jurisprudence des recommandations de l'Agence est claire sur ce point : la cartographie doit être vivante, c'est-à-dire mise à jour à chaque événement significatif affectant le profil de risque de l'entreprise.
L'enjeu dépasse la seule conformité anticorruption. Les dispositions du Code de commerce relatives aux pratiques anticoncurrentielles, et celles transposant la directive européenne sur la protection des lanceurs d'alerte, imposent des obligations convergentes : identifier les zones de risque, établir des canaux de signalement et démontrer l'effectivité des contrôles. La cartographie des risques est donc le document fédérateur à partir duquel l'ensemble du dispositif prend corps.
Quelles entreprises sont soumises à l'obligation de cartographie des risques ?
L'obligation légale de cartographie des risques dans le cadre du programme de conformité anticorruption s'applique aux sociétés et groupes dépassant les seuils fixés par les dispositions de la loi Sapin II – seuils portant sur le chiffre d'affaires et l'effectif – ainsi qu'aux établissements publics à caractère industriel et commercial de taille comparable. La filiale française d'un groupe étranger peut être directement concernée dès lors qu'elle atteint ces seuils à son propre niveau ou que sa société mère est elle-même assujettie.
Au-delà du périmètre légal strict, la cartographie des risques s'impose en pratique à un cercle beaucoup plus large d'entreprises. Plusieurs mécanismes étendent son champ :
- Les donneurs d'ordres assujettis exigent désormais systématiquement, dans leurs chartes fournisseurs et contrats-cadres, que leurs partenaires commerciaux significatifs démontrent l'existence d'une cartographie des risques et d'un programme de conformité. L'absence de ces documents expose le fournisseur à une rupture ou à une renégociation défavorable.
- Les investisseurs en capital – fonds et actionnaires institutionnels – inscrivent la maturité du dispositif de conformité parmi les critères d'évaluation lors des opérations de diligence raisonnable (due diligence). Une cartographie incomplète ou obsolète pèse sur la valorisation ou conditionne l'entrée au capital.
- Les entreprises exposées à des procédures de marchés publics ou à des partenariats avec des entités publiques sont soumises à des obligations équivalentes, que celles-ci soient formulées dans le cahier des charges ou résultent de la politique de déontologie de l'acheteur public.
- Les directions générales soucieuses de leur responsabilité personnelle ont, indépendamment de toute obligation légale formelle, un intérêt direct à documenter le dispositif de contrôle existant : c'est l'un des éléments qui permettent d'établir que le dirigeant a exercé la surveillance requise.
En définitive, la question n'est plus « mon entreprise est-elle obligée ? » mais « mon entreprise est-elle exposée ? ». La réponse est presque toujours affirmative dès lors que l'activité implique des relations commerciales diversifiées, des tiers intermédiaires ou une dimension internationale.
Vous évaluez le périmètre d'assujettissement de votre entreprise ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen de la structure de groupe, des flux intragroupes et du droit applicable à chaque entité. Pour un premier cadrage, écrivez-nous à contact@vernaylestang.com.
Comment élaborer une cartographie des risques juridiquement robuste ?
Une cartographie des risques juridiquement robuste est un document méthodique, traçable et actualisable, qui identifie les scénarios de manquement les plus probables et les plus graves compte tenu de l'activité concrète de l'entreprise. Elle ne se confond pas avec un registre de risques générique ni avec un simple audit interne ponctuel.
La méthodologie s'articule autour de quatre étapes distinctes.
Première étape : la délimitation du périmètre. Il s'agit d'identifier les secteurs d'activité, les zones géographiques, les catégories de tiers (agents commerciaux, distributeurs, sous-traitants, consultants) et les processus internes (achats, ventes, appels d'offres, autorisations administratives) qui génèrent une exposition. Cette délimitation est documentée et validée par la direction générale ou le conseil d'administration, selon la gouvernance de l'entreprise.
Deuxième étape : la collecte d'information et les entretiens. Les équipes opérationnelles sont les mieux placées pour décrire les pratiques réelles : les pressions commerciales, les usages locaux, les zones de discrétion dans les décisions. Les entretiens structurés avec les responsables de fonctions exposées – commercial, achats, finances, ressources humaines – produisent une image plus fidèle que les seuls documents de procédure.
Troisième étape : la cotation et la hiérarchisation. Chaque scénario de risque est coté selon deux axes : la probabilité d'occurrence et la gravité potentielle (impact financier, impact réputationnel, exposition pénale du dirigeant). La matrice résultante permet de concentrer les ressources de contrôle sur les risques bruts les plus élevés, avant prise en compte des mesures d'atténuation existantes.
Quatrième étape : le plan d'actions. La cartographie débouche sur un plan d'actions correctif ou préventif : renforcement d'une procédure de contrôle, déploiement d'une formation ciblée, révision d'une clause contractuelle type, audit d'un tiers intermédiaire. Ce plan est daté, attribué et suivi.
Nous accompagnons régulièrement des directions juridiques et des compliance officers dans la conduite de ce processus, en apportant le regard du conseil externe sur les scénarios de risque que les équipes internes tendent à sous-pondérer – notamment les risques liés aux pratiques anticoncurrentielles dans les appels d'offres ou aux conflits d'intérêts dans les décisions d'approvisionnement.
Pratique du cabinet – illustration
Lors d'une mission conduite à Lyon au printemps 2025, nous avons accompagné une ETI du secteur des services aux entreprises dans la refonte complète de sa cartographie des risques, à la suite d'une croissance externe ayant doublé son périmètre géographique. L'exercice a permis d'identifier plusieurs scénarios de risque non couverts par le programme existant – notamment dans les pratiques tarifaires vis-à-vis des distributeurs – et d'aligner le plan d'actions sur les priorités de la direction générale avant l'ouverture d'un nouveau marché.
Quels sont les risques juridiques et les sanctions en l'absence de dispositif de conformité ?
L'absence ou l'insuffisance du dispositif de conformité expose l'entreprise et ses dirigeants à des risques d'ordres différents, dont la conjonction peut être déterminante dans la gestion d'une crise. Ces risques ne se limitent pas à la sanction directe de l'AFA : ils se déploient sur plusieurs fronts simultanément.
Sur le plan du contrôle administratif, l'AFA peut diligenter une mission de contrôle et, à son issue, formuler des injonctions contraignantes assorties d'un délai de mise en conformité. En cas de manquement persistant, elle saisit la Commission des sanctions, dont les décisions sont publiques et créent un risque réputationnel significatif pour la société et ses dirigeants.
Sur le plan pénal, les dispositions du Code pénal relatives à la corruption active et passive, au trafic d'influence et à la prise illégale d'intérêts n'exigent pas de démontrer l'existence d'un programme défaillant pour engager la responsabilité du dirigeant. Mais l'absence de programme de conformité documenté prive ce dernier d'un élément de défense essentiel : la preuve qu'il avait mis en place des contrôles raisonnables pour prévenir les manquements. La jurisprudence des juridictions pénales et la pratique des parquets nationaux financiers témoignent d'une attention croissante à la qualité du dispositif interne lors de l'appréciation des responsabilités.
Sur le plan concurrentiel, les dispositions du Code de commerce relatives aux pratiques anticoncurrentielles peuvent également être concernées lorsque la cartographie des risques n'intègre pas les risques d'ententes, de prix imposés ou de pratiques abusives. L'Autorité de la concurrence prend en compte l'existence et la qualité du programme de conformité dans l'appréciation des circonstances atténuantes lors de la fixation des sanctions.
Enfin, sur le plan contractuel et financier, les cocontractants significatifs, les établissements bancaires et les investisseurs institutionnels se réservent de plus en plus le droit de résilier ou de suspendre leurs relations en cas de défaillance avérée du dispositif de conformité. Cette clause de résiliation pour défaut de conformité (compliance termination clause) est devenue un standard dans les contrats de distribution internationale et les conventions d'investissement.
Votre dispositif a déjà fait l'objet d'un contrôle ou d'une remise en cause ?
Si une démarche antérieure a produit un résultat défavorable – injonction de l'AFA, audit investisseur insatisfaisant, signalement interne non traité – un second regard permet d'identifier les leviers restants et de prioriser les actions correctrices. Pour examiner l'application du dispositif anticorruption à votre situation, contactez-nous à contact@vernaylestang.com.
Quelles erreurs fréquentes fragilisent les programmes de conformité en pratique ?
Les programmes de conformité les plus exposés aux critiques – lors d'un contrôle AFA, d'une due diligence ou d'une procédure judiciaire – partagent des fragilités récurrentes que notre pratique permet d'identifier avec précision.
La première fragilité est la déconnexion entre la cartographie et les opérations réelles. Le document cartographie des risques est élaboré une fois, validé par la direction, puis rangé. Il ne reflète plus le profil de risque réel de l'entreprise deux ou trois ans plus tard, surtout si celle-ci a réalisé des acquisitions, pénétré de nouveaux marchés ou modifié ses canaux de distribution. L'AFA sanctionne précisément cette obsolescence.
La deuxième fragilité est la sous-identification des tiers intermédiaires. Les agents commerciaux, les consultants de marché, les facilitateurs locaux à l'international représentent souvent le risque le plus élevé de corruption. Or de nombreuses cartographies traitent ces acteurs de façon générique, sans analyse individuelle du profil de risque, sans procédure de diligence raisonnable documentée et sans clause contractuelle de conformité. Cette lacune est systématiquement relevée lors des contrôles.
La troisième fragilité est l'absence de traçabilité des décisions de contrôle. Il ne suffit pas d'avoir des procédures : il faut démontrer qu'elles ont été appliquées, que les contrôles ont été réalisés et que les anomalies détectées ont donné lieu à des mesures. Un programme sans traçabilité est un programme sans preuve d'effectivité.
La quatrième fragilité est la formation insuffisante ou mal ciblée. La formation aux enjeux de la conformité doit être différenciée selon les fonctions exposées. Une formation générale dispensée à l'ensemble des salariés ne remplace pas une formation spécifique aux commerciaux opérant dans des zones à risque ou aux acheteurs traitant avec des intermédiaires sensibles. L'AFA distingue les deux dans ses recommandations.
Enfin, une erreur moins visible mais tout aussi préjudiciable est la gouvernance mal définie de la fonction conformité. Lorsque le responsable conformité ne dispose pas d'un accès direct au comité de direction ou au conseil d'administration, lorsque ses alertes sont filtrées par des lignes hiérarchiques opérationnelles, le dispositif perd son indépendance fonctionnelle. Cette configuration est un signal d'alerte fort pour toute autorité de contrôle.
Cartographie des risques et dimension transfrontalière : quels points d'attention ?
La dimension internationale amplifie structurellement les risques de conformité et impose des exigences méthodologiques spécifiques dans l'élaboration de la cartographie. Une entreprise française opérant dans plusieurs juridictions doit articuler les exigences du droit français avec celles des droits locaux, qui peuvent être plus ou moins contraignants.
Sur le volet anticorruption, la loi Sapin II s'applique aux sociétés françaises et à leurs filiales, quelle que soit la localisation des faits. Les dispositions extraterritoriales de cette loi, parallèles à celles du Foreign Corrupt Practices Act américain ou du Bribery Act britannique, signifient qu'un acte commis à l'étranger par un salarié ou un intermédiaire de la société française peut engager la responsabilité de l'entité française. La cartographie doit donc couvrir les risques pays par pays, en s'appuyant sur des indicateurs de corruption officiels et actualisés.
Sur le volet concurrentiel, les pratiques anticoncurrentielles à dimension transfrontalière relèvent simultanément du droit de la concurrence de l'Union européenne – mis en œuvre par la Commission européenne et les autorités nationales – et des droits nationaux des États concernés. Une entente sur les prix ou un échange d'informations sensibles dans le cadre d'un réseau de distribution international peut exposer la société et ses dirigeants à des sanctions dans plusieurs juridictions.
Dans notre pratique des opérations transfrontalières, nous intervenons en coordination avec des conseils locaux dans la juridiction concernée pour assurer la cohérence du programme de conformité avec les exigences de chaque droit applicable. La cartographie des risques produite dans ce contexte doit être comprise comme un document-cadre que chaque entité locale décline selon son exposition propre.
Pratique du cabinet – illustration
À l'été 2025, nous avons accompagné une PME francilienne exportatrice, opérant via des agents commerciaux dans plusieurs pays d'Afrique subsaharienne, dans l'identification et le traitement des risques liés à ses intermédiaires. L'exercice de cartographie a permis de révéler l'absence de tout dispositif de diligence raisonnable sur les tiers et de construire une procédure de référencement documentée, préalablement à la renégociation des mandats d'agent.
Tendances 2026 : ce qui redessine les contours de la conformité pour les dirigeants
Plusieurs évolutions convergentes redessinent en 2026 les attentes des autorités, des investisseurs et des cocontractants en matière de cartographie des risques et de dispositif de conformité.
La première tendance est l'intégration des risques extra-financiers dans la cartographie. Les dispositions transposant la directive européenne sur le devoir de vigilance des entreprises (directive CSRD et textes associés) imposent aux entreprises concernées d'identifier et de traiter non seulement les risques de corruption et de pratiques anticoncurrentielles, mais aussi les risques environnementaux et sociaux liés à leur chaîne de valeur. La cartographie des risques tend ainsi à devenir un outil transversal, qui dépasse le seul périmètre du programme anticorruption.
La deuxième tendance est la montée en puissance du contrôle des tiers. L'AFA, dans ses recommandations les plus récentes, insiste sur la nécessité d'une procédure structurée d'évaluation des tiers, allant au-delà du simple questionnaire d'entrée en relation. La notation du risque tiers, la surveillance continue et la mise à jour périodique de l'évaluation sont désormais des attentes explicites.
La troisième tendance est la numérisation des dispositifs de conformité. Les outils de gestion des risques et de pilotage des programmes de conformité se sont multipliés. Leur adoption modifie la façon dont la cartographie est documentée, actualisée et auditée. Mais la numérisation ne se substitue pas à la rigueur méthodologique : un outil mal paramétré reproduit les lacunes d'un processus manuel déficient.
Enfin, la quatrième tendance est l'évolution de la doctrine de l'AFA, qui tend à renforcer ses exigences quant à la démonstration de l'effectivité du dispositif. Il ne suffit plus de produire un document : il faut prouver que le programme est mis en œuvre, que les formations sont dispensées, que les contrôles sont réalisés et que les incidents sont traités. Cette exigence d'effectivité rapproche le contrôle AFA d'une logique d'audit opérationnel.
Matrice de décision et check-list pour les dirigeants
Face aux différentes configurations rencontrées en pratique, la démarche à adopter varie selon le profil de l'entreprise et le stade de maturité de son programme de conformité.
Situation A – Entreprise assujettie, programme existant mais cartographie ancienne ou partielle : révision prioritaire de la cartographie, actualisation des scénarios de risque, mise à jour du plan d'actions. Délai de mise en conformité à piloter en fonction du calendrier de contrôle AFA et des échéances contractuelles avec les donneurs d'ordres.
Situation B – Entreprise non assujettie légalement mais exposée via ses partenaires ou investisseurs : mise en place d'un programme proportionné, articulé autour d'une cartographie des risques simplifiée et d'une procédure de diligence raisonnable sur les tiers. Niveau de risque contractuel élevé en l'absence de dispositif documenté.
Situation C – Groupe international avec entités multiples : cartographie-cadre élaborée au niveau du groupe, déclinée par entité selon le profil de risque local. Coordination avec les conseils locaux dans chaque juridiction concernée. Niveau de complexité élevé, délai de déploiement à planifier sur plusieurs mois.
Ce qu'il faut préparer – check-list
- Inventaire des activités, zones géographiques et catégories de tiers générant une exposition significative.
- Documentation des entretiens réalisés avec les fonctions opérationnelles exposées et des scénarios de risque identifiés.
- Matrice de cotation des risques bruts (probabilité × impact) et identification des risques résiduels après prise en compte des contrôles existants.
- Plan d'actions daté, attribué à des responsables nommés et assorti d'indicateurs de suivi.
- Procédure documentée de révision périodique de la cartographie, avec critères de déclenchement d'une mise à jour anticipée.
Domaines liés
- Enquête interne et investigation – conduite d'investigations internes en cas de signalement ou de soupçon avéré
- Cartographie des risques – analyse juridique et portée – analyse approfondie du cadre normatif et de la portée des obligations
FAQ – Cartographie des risques et dispositif de conformité
1. Cartographie des risques et dispositif de conformité : quelles évolutions récentes connaître ?
La cartographie des risques et le dispositif de conformité connaissent en 2026 plusieurs évolutions majeures : l'AFA renforce ses exigences en matière d'effectivité et de traçabilité du programme, les textes transposant la directive européenne sur le devoir de vigilance intègrent des risques extra-financiers dans le périmètre de la cartographie, et les donneurs d'ordres comme les investisseurs institutionnels exigent désormais un niveau de maturité documentée qui dépasse les seules obligations légales formelles. Pour les dirigeants, l'évolution la plus significative est le passage d'une logique de « conformité formelle » – avoir un document – à une logique de « conformité opérationnelle » – démontrer que le dispositif est appliqué et produit ses effets.
2. Quelles entreprises sont concernées par l'obligation de cartographie des risques ?
Les entreprises directement assujetties à l'obligation légale de cartographie des risques dans le cadre du programme anticorruption sont les sociétés dépassant les seuils de chiffre d'affaires et d'effectifs fixés par les dispositions de la loi Sapin II, ainsi que leurs filiales. Au-delà de ce périmètre légal strict, toute entreprise exposée à des donneurs d'ordres assujettis, à des investisseurs institutionnels ou à des partenaires internationaux est en pratique contrainte de disposer d'un programme documenté, sous peine de rupture contractuelle ou d'exclusion des appels d'offres.
3. Comment anticiper ces enjeux de conformité en pratique ?
Anticiper les enjeux de cartographie des risques et de dispositif de conformité suppose trois démarches conjointes : identifier le périmètre réel d'exposition de l'entreprise (activités, tiers, géographies), construire une méthodologie de cartographie adaptée à la taille et à la complexité du groupe, et s'assurer que le programme est effectivement mis en œuvre et traçable. Un guide pratique sur la protection du dirigeant face au risque de responsabilité peut utilement compléter cette démarche en identifiant les leviers de défense personnelle disponibles.
4. Quel est le rôle du conseil juridique externe dans l'élaboration d'un dispositif de conformité ?
Le conseil juridique externe apporte une analyse de risque indépendante, un regard sur les scénarios sous-estimés par les équipes internes et une connaissance de la pratique des autorités de contrôle. Il intervient dans la conception méthodologique de la cartographie, la rédaction des politiques et procédures internes, la conduite des enquêtes internes en cas de signalement, et la préparation aux contrôles de l'AFA ou aux vérifications des donneurs d'ordres. Son intervention est particulièrement utile lors des moments de rupture : croissance externe, entrée dans un nouveau marché, changement de gouvernance.
5. Comment la cartographie des risques s'articule-t-elle avec le droit de la concurrence ?
La cartographie des risques et le dispositif de conformité au sens anticorruption s'articulent avec le programme de conformité en droit de la concurrence, qui vise à prévenir les ententes, les échanges d'informations sensibles et les abus de position dominante. L'Autorité de la concurrence prend en compte l'existence et la qualité du programme de conformité lors de l'appréciation des sanctions. Une analyse juridique approfondie de la portée de ces obligations permet d'aligner les deux programmes et d'éviter les zones de recouvrement ou de lacune entre eux.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les dirigeants, les compliance officers et les directions juridiques dans la construction et la mise à jour de leurs programmes de conformité : cartographie des risques, politiques internes, diligence raisonnable sur les tiers, préparation aux contrôles de l'AFA et articulation avec le droit de la concurrence. Notre approche repose sur une analyse juridique rigoureuse et une connaissance opérationnelle des attentes des autorités et des investisseurs. Nos honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dispositif de conformité, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron
Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social et de restructurations sociales. Elle intervient également sur les programmes de conformité sociale et les dispositifs de prévention des risques dans les organisations. Voir le profil.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.