Cartographie des risques et dispositif de conformité : enjeux et stratégies

La cartographie des risques et le dispositif de conformité désignent, en droit français, l'ensemble des outils méthodologiques et organisationnels qu'une entreprise met en place pour identifier, hiérarchiser et maîtriser les expositions juridiques, réglementaires et éthiques pesant sur son activité. Ancrés dans le dispositif anticorruption issu de la loi dite Sapin II – et plus largement dans les branches du Code de commerce, du Code pénal et du droit de la concurrence – ces instruments conditionnent aujourd'hui la position d'une société face à l'Agence française anticorruption (AFA), à l'Autorité de la concurrence et, en cas de mise en cause, aux juridictions pénales et commerciales. Au printemps 2026, leur maîtrise distingue les entreprises qui subissent les contrôles de celles qui les anticipent.

Ce dossier examine les enjeux juridiques et économiques de la cartographie des risques, le cadre normatif applicable, les leviers d'une architecture de conformité robuste et les points de vigilance que tout responsable conformité – ou compliance officer – doit intégrer dans sa feuille de route. Il aborde également les tendances de fond qui redessinent les attentes des autorités de contrôle françaises et européennes à l'égard des programmes d'entreprise.

Pourquoi la cartographie des risques est-elle devenue un impératif stratégique ?

La cartographie des risques n'est pas un exercice purement documentaire : c'est l'acte fondateur d'un programme de conformité crédible, et son absence ou son insuffisance constitue le premier facteur aggravant retenu par l'AFA lors de ses contrôles. Un dispositif inexistant ou désuet expose l'entreprise à des mesures d'injonction, à une mise sur liste de surveillance et, en cas d'infraction avérée, à une sanction pécuniaire dont le montant est fixé par la Commission des sanctions de l'AFA.

L'enjeu dépasse le seul risque de sanction directe. Dans notre pratique des programmes de conformité, nous observons que les entreprises dépourvues d'une cartographie structurée peinent à défendre leur bonne foi devant le parquet national financier lorsqu'elles sont mises en cause pour des faits de corruption ou de trafic d'influence. La démonstration d'un programme sérieux – documenté, mis à jour et effectivement déployé – joue un rôle substantiel dans l'appréciation de la responsabilité pénale des personnes morales telle qu'elle est organisée par le Code pénal.

Sur le plan économique, une cartographie lacunaire fragilise les opérations de fusion-acquisition. Les acheteurs et leurs conseils intègrent désormais systématiquement l'examen du programme de conformité dans leurs diligences raisonnables (due diligence) avant toute acquisition. Une cible dont le dispositif est embryonnaire voit sa valorisation ajustée à la baisse ou s'expose à des clauses de garantie spécifiques. À l'inverse, un programme documenté et auditable constitue un actif transactionnel réel.

Enfin, l'extension progressive des obligations de vigilance – portée par la loi relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre – rapproche la cartographie des risques de conformité de celle des risques en matière de droits humains et d'environnement. Pour les entreprises concernées par les deux dispositifs, une approche intégrée des cartographies permet d'éviter la duplication des efforts et les contradictions documentaires.

Quel est le cadre juridique applicable à la cartographie des risques et au dispositif de conformité ?

Le cadre juridique de référence en France est structuré autour de la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – la loi Sapin II – qui impose aux entreprises dépassant les seuils qu'elle fixe de mettre en œuvre un programme anticorruption comportant, comme première composante obligatoire, une cartographie des risques d'exposition à la corruption et au trafic d'influence. Ce programme doit être régulièrement actualisé et intégrer l'ensemble des filiales et des partenaires commerciaux exposés.

Les dispositions du Code de commerce relatives aux procédures collectives et au gouvernement d'entreprise complètent ce socle, notamment à travers les obligations de transparence imposées aux organes de direction des sociétés cotées et des grandes entreprises. Le Code pénal, pour sa part, fixe le régime de la responsabilité des personnes morales pour les infractions de corruption, d'abus de biens sociaux et d'atteinte à la probité, dont la prévention est précisément l'objet de la cartographie des risques.

En droit de la concurrence, les dispositions du Livre IV du Code de commerce et le droit de l'Union européenne – notamment le règlement relatif à la mise en œuvre des règles de concurrence applicables aux entreprises – organisent la prohibition des ententes anticoncurrentielles et des abus de position dominante. L'Autorité de la concurrence attend des entreprises significatives qu'elles disposent d'un programme de conformité concurrence documenté, dont la cartographie des risques spécifiques au secteur constitue la clé de voûte.

Le référentiel de l'AFA, mis à jour de manière périodique, précise les attendus méthodologiques : identification des activités exposées, cotation des risques bruts et nets, formalisation de scénarios de risque et définition de mesures d'atténuation. Sans être normatif au sens strict, ce référentiel est appliqué comme un standard opposable lors des contrôles. La jurisprudence constante de la Commission des sanctions de l'AFA confirme qu'un écart significatif entre les exigences du référentiel et la pratique de l'entreprise peut conduire à une recommandation publique ou à une sanction.

Pour les entreprises dont l'activité est transfrontalière, le dispositif s'articule avec les exigences d'autres ordres juridiques : le UK Bribery Act, le Foreign Corrupt Practices Act américain ou les directives sectorielles européennes en matière de marchés financiers. Nous accompagnons régulièrement des groupes français dans la coordination de leurs cartographies domestiques et extraterritoriales, en veillant à l'absence de contradictions documentaires susceptibles d'être exploitées lors d'une procédure parallèle.

Comment structurer une cartographie des risques efficace ?

Une cartographie des risques efficace repose sur une méthodologie en quatre temps, dont chaque étape doit être traçable et datée pour résister à l'examen des autorités de contrôle. La phase d'identification recense l'ensemble des activités, des zones géographiques, des catégories d'interlocuteurs et des flux financiers présentant une exposition potentielle à la corruption, aux pratiques anticoncurrentielles ou à d'autres risques de conformité définis par l'entreprise.

La phase de cotation attribue à chaque risque identifié une valeur de probabilité et un niveau d'impact, en distinguant le risque brut – avant l'application des contrôles existants – du risque net résiduel. Cette distinction est fondamentale : l'AFA vérifie que l'entreprise ne se contente pas d'inventorier ses contrôles pour minorer artificiellement son exposition, mais qu'elle évalue d'abord l'exposition inhérente à ses activités.

La phase de priorisation ordonne les risques selon leur criticité, en concentrant les ressources de conformité sur les expositions les plus significatives. Elle doit déboucher sur une cartographie lisible par les organes de direction, pas seulement par l'équipe conformité. Un dirigeant doit être en mesure d'expliquer les trois ou quatre risques les plus élevés de son entreprise sans recourir à un document de référence.

La phase de mise à jour, enfin, est aussi importante que les trois premières. Une cartographie figée devient rapidement obsolète : changement de périmètre, nouvelle zone géographique, acquisition, évolution réglementaire. Dans notre pratique, nous observons que la majorité des lacunes relevées lors des contrôles de l'AFA ne tient pas à l'absence initiale de cartographie, mais à l'absence d'un processus formalisé de révision périodique.

Quels sont les composants indispensables d'un dispositif de conformité robuste ?

Un dispositif de conformité robuste ne se réduit pas à la cartographie des risques. Il en constitue le socle, mais le programme doit nécessairement intégrer plusieurs composantes complémentaires pour être regardé comme effectif par l'AFA et les juridictions pénales.

Le code de conduite formalise les comportements attendus et prohibés, notamment en matière de remises commerciales, de cadeaux et d'hospitalités, de conflits d'intérêts et de recours aux intermédiaires. Il doit être diffusé, traduit dans les langues de travail des filiales concernées et signé ou acquitté par l'ensemble des collaborateurs exposés.

Le dispositif d'alerte interne – ou mécanisme de signalement – permet aux collaborateurs et aux tiers de signaler, de manière confidentielle, les comportements contraires au code de conduite ou à la loi. Les dispositions du Code du travail et la loi relative à la protection des lanceurs d'alerte organisent les garanties dues aux auteurs de signalement et encadrent les modalités du dispositif. L'entreprise doit veiller à la compatibilité de son dispositif avec le cadre résultant de la directive européenne sur la protection des lanceurs d'alerte, transposée en droit français.

La formation des personnels exposés constitue une troisième composante à ne pas négliger. L'AFA vérifie que les formations sont délivrées à une fréquence adaptée, qu'elles couvrent les risques effectivement identifiés dans la cartographie et qu'elles font l'objet d'une traçabilité. Un module de formation générique, dispensé en une seule occurrence lors de l'intégration, est insuffisant.

Les procédures de contrôle comptable constituent une composante spécifique : les dispositions applicables aux procédures d'engagement et de validation des dépenses sensibles doivent être alignées sur les risques de la cartographie. Des procédures d'évaluation des tiers – partenaires commerciaux, agents, distributeurs, fournisseurs stratégiques – complètent ce périmètre et sont particulièrement scrutées lorsque l'entreprise opère dans des zones géographiques à risque élevé.

Quels risques concrets pèsent sur le dirigeant en l'absence de dispositif ?

L'absence ou l'insuffisance d'un dispositif de conformité expose le dirigeant à plusieurs niveaux de risque, distincts dans leur nature mais cumulables dans leurs effets. Le premier est le risque pénal personnel : le Code pénal organise la responsabilité des personnes physiques pour les infractions de corruption active et passive, de trafic d'influence et de favoritisme, sans que la délégation de pouvoirs à un responsable conformité efface nécessairement la responsabilité du dirigeant si ce dernier ne peut démontrer qu'il a pris les mesures raisonnables de prévention.

Le deuxième est le risque de convention judiciaire d'intérêt public (CJIP). Introduit par la loi Sapin II dans le Code de procédure pénale, cet instrument permet au parquet national financier de conclure avec la personne morale une convention imposant le paiement d'une amende d'intérêt public et la mise en œuvre d'un programme de conformité sous le contrôle de l'AFA pour une durée déterminée par les textes. Bien que la CJIP évite le procès pénal de la personne morale, elle emporte une publicité préjudiciable et mobilise des ressources opérationnelles et financières significatives.

Le troisième risque est le risque commercial et réputationnel. Une mise en cause publique – qu'il s'agisse d'un contrôle de l'AFA, d'une procédure de l'Autorité de la concurrence ou d'une enquête pénale – affecte la relation avec les clients institutionnels, les partenaires bancaires et les actionnaires. Pour les entreprises souhaitant accéder à des marchés publics, la condamnation pour corruption entraîne des exclusions automatiques prévues par les dispositions du Code de la commande publique.

Nous accompagnons régulièrement des dirigeants qui découvrent, à l'occasion d'une crise ou d'une procédure, que leur entreprise ne dispose pas d'un programme documenté et qu'ils ne peuvent pas démontrer avoir exercé leur devoir de vigilance en la matière. La constitution ex post d'un dossier de conformité est toujours moins efficace – et moins crédible – que la mise en place anticipée d'un dispositif structuré.

Conformité et droit de la concurrence : une articulation nécessaire

La conformité anticorruption et la conformité concurrence constituent deux volets distincts mais complémentaires d'une politique globale de gestion des risques juridiques. Les pratiques anticoncurrentielles – ententes sur les prix, échanges d'informations sensibles, abus de position dominante – sont sanctionnées par l'Autorité de la concurrence sur le fondement des dispositions du Livre IV du Code de commerce et peuvent donner lieu à des amendes dont le montant est plafonné à une fraction du chiffre d'affaires mondial consolidé de l'entreprise ou du groupe concerné.

Un programme de conformité concurrence efficace repose, là encore, sur une cartographie préalable des risques propres au secteur et aux pratiques de l'entreprise : présence sur des marchés concentrés, participation à des associations professionnelles, relations avec des distributeurs ou des franchisés, pratiques tarifaires. La pratique du conseil en droit de la concurrence de Vernay & Lestang intègre systématiquement cette dimension préventive, en amont des relations commerciales sensibles.

L'articulation entre les deux dispositifs soulève des questions pratiques. Un même fait – par exemple un accord avec un intermédiaire commercial dans un pays tiers – peut simultanément constituer un risque de corruption et un risque de restriction de concurrence. La cartographie doit être conçue de manière à identifier ces situations de chevauchement et à définir des protocoles de traitement unifiés, évitant que les équipes juridiques et conformité n'adoptent des postures contradictoires.

L'Autorité de la concurrence tient compte, lors de l'instruction des procédures et de la fixation des sanctions, de l'existence d'un programme de conformité sérieux et effectif. Cette circonstance peut jouer en faveur de l'entreprise dans l'appréciation de sa bonne foi, sans constituer pour autant une cause d'exonération. La analyse approfondie à destination des dirigeants publiée sur notre site développe ce point.

Quelles sont les tendances et les points d'attention pour la direction ?

Plusieurs évolutions de fond redessinent les attentes des autorités et l'exposition des entreprises en matière de conformité. La première tient à l'intensification des contrôles de l'AFA : depuis sa création, l'Agence a progressivement monté en puissance, élargissant le périmètre de ses missions et affinant son référentiel. Les recommandations publiées par la Commission des sanctions traduisent une exigence croissante sur la qualité méthodologique des cartographies, notamment quant à la granularité des scénarios de risque et à la traçabilité du processus de cotation.

La deuxième évolution concerne l'extension du champ d'application des obligations de conformité par voie réglementaire européenne. Le règlement relatif à la durabilité des entreprises et la directive correspondante, en cours de transposition, introduisent des obligations de diligence raisonnable qui s'adossent à des cartographies de risques portant sur les chaînes de valeur. Pour les entreprises déjà soumises à Sapin II et au devoir de vigilance, l'articulation de ces trois couches normatives représente un enjeu de gouvernance majeur.

Le recours à des outils numériques pour la gestion des cartographies soulève, par ailleurs, des enjeux propres. L'utilisation d'outils d'intelligence artificielle pour l'identification et la cotation des risques ne dispense pas l'entreprise d'une validation humaine et documentée de chaque scénario retenu. L'AFA et les juridictions pénales apprécient la qualité du jugement exercé par les responsables de la conformité, pas seulement la sophistication des outils déployés.

Enfin, la tendance à la responsabilisation personnelle des directeurs conformité mérite d'être soulignée. Si la personne morale reste le principal sujet de l'obligation de conformité, les parquets nationaux et européens – ainsi que les autorités de contrôle sectorielles – s'intéressent de plus en plus à la capacité des responsables conformité à démontrer qu'ils ont exercé leur rôle avec les moyens, les accès et l'indépendance nécessaires. La question des ressources allouées au programme de conformité et de la place du responsable dans la hiérarchie décisionnelle est devenue un élément d'appréciation à part entière.

Matrice de décision : quel dispositif selon la situation de l'entreprise ?

La configuration d'un programme de conformité varie selon la taille, le secteur et l'exposition internationale de l'entreprise. La matrice suivante fournit un cadre d'orientation qualitatif :

Situation A – ETI soumise à Sapin II, activités domestiques : programme structuré autour des huit composantes du référentiel AFA, cartographie annuelle révisable, code de conduite et dispositif d'alerte opérationnels, formation biannuelle des personnels exposés. Niveau de risque résiduel : modéré si le programme est documenté et tenu à jour.

Situation B – Groupe avec filiales dans des pays à risque élevé : programme déployé au niveau de la tête de groupe et décliné dans chaque filiale, cartographie consolidée avec des scénarios de risque pays, procédures renforcées d'évaluation des tiers et des agents locaux, audit interne annuel. Risque résiduel : significatif en l'absence d'audit tiers indépendant et de formation en langue locale.

Situation C – PME non assujettie à Sapin II, mais exposée à des marchés publics : programme volontaire simplifié, cartographie des expositions sectorielles, code de conduite et procédure d'alerte basiques. Risque résiduel : faible pour les infractions relevant de Sapin II ; risque d'exclusion des marchés publics en cas de mise en cause pénale non anticipée.

Situation D – Entreprise cible dans le cadre d'une acquisition : audit de conformité approfondi avant ou pendant les diligences raisonnables, cartographie des risques hérités, identification des passifs de conformité, négociation de garanties spécifiques dans les actes de cession. Niveau de risque transactionnel : élevé si la cartographie est absente ou non actualisée.

Ce qu'il faut préparer avant un contrôle ou une acquisition

• La cartographie des risques datée, avec traçabilité du processus de cotation et mention des parties prenantes consultées.
• La liste des mesures d'atténuation associées à chaque risque identifié, avec un responsable désigné et un calendrier de mise en œuvre.
• Les attestations ou justificatifs de formation des personnels exposés pour les deux dernières années.
• Les procédures d'évaluation des tiers, accompagnées d'exemples de dossiers traités (anonymisés).
• Les comptes rendus du comité de conformité ou des réunions de revue du programme, attestant de l'implication des organes de direction.

Domaines liés

• Conseil en droit de la concurrence – prévention des pratiques anticoncurrentielles et accompagnement lors des procédures devant l'Autorité de la concurrence
• Ce que les dirigeants doivent savoir sur la cartographie des risques – analyse approfondie à destination des dirigeants et des comités exécutifs
• Préparer la cession d'une entreprise : erreurs à éviter et bonnes pratiques – articulation entre conformité et diligences raisonnables en contexte transactionnel