Comment réaliser une cartographie des risques de corruption : guide pratique
Cartographier les risques de corruption est une obligation légale pour les entités soumises à la loi Sapin II – et un exercice que de nombreux responsables conformité abordent sans méthode structurée, au risque de produire un document inutilisable en cas de contrôle. Au premier trimestre 2026, l'Agence française anticorruption intensifie ses vérifications auprès des organisations assujetties : le moment est venu de s'assurer que la cartographie en place répond aux exigences définies par les recommandations de l'AFA.
Réaliser une cartographie des risques de corruption désigne le processus par lequel une organisation identifie, hiérarchise et documente les scénarios de corruption susceptibles d'affecter ses activités, conformément aux dispositions du Code pénal et du dispositif anticorruption issu de la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – dite loi Sapin II. Cette démarche constitue le deuxième pilier obligatoire du programme de conformité anticorruption et conditionne la validité de l'ensemble des mesures qui s'y rattachent.
Ce guide présente, étape par étape, la méthode à suivre pour concevoir une cartographie robuste : de la définition du périmètre à la mise à jour périodique, en passant par la collecte de données, la notation des risques et la rédaction du document de synthèse. Chaque étape s'appuie sur les attendus des autorités compétentes et sur notre pratique des programmes de conformité au sein d'entreprises françaises et de groupes internationaux implantés en France.
Quelles entreprises sont tenues de cartographier leurs risques de corruption ?
L'obligation de cartographie s'impose aux sociétés et aux dirigeants entrant dans le champ d'application du dispositif anticorruption issu de la loi Sapin II, tel que précisé par les dispositions du Code pénal et du Code de commerce applicables aux programmes de conformité. Sont principalement visées les sociétés dont les effectifs et le chiffre d'affaires dépassent les seuils fixés par les textes, ainsi que les entités qui leur sont liées au sein d'un même groupe. Les établissements publics à caractère industriel et commercial entrant dans ces seuils sont également concernés.
Au-delà de l'obligation stricte, la cartographie présente un intérêt pour tout acteur exposé à des tiers commerciaux – clients, fournisseurs, intermédiaires, agents – opérant dans des secteurs ou des géographies réputés à risque. Dans notre pratique, nous observons que des PME non assujetties choisissent de l'adopter volontairement pour sécuriser leurs relations contractuelles avec des donneurs d'ordre soumis à l'obligation, qui exigent de leurs partenaires une conformité équivalente.
Il appartient en premier lieu au dirigeant – et non au seul responsable conformité – d'initier la démarche. L'AFA rappelle que la cartographie doit être validée au niveau de la direction générale. Cette dimension de gouvernance est souvent négligée : elle conditionne pourtant l'opposabilité du document en cas de mise en cause.
Vous souhaitez vérifier si votre organisation entre dans le périmètre de l'obligation ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes constitutifs, des effectifs consolidés et de la structure de groupe. Pour une analyse de votre situation au regard du dispositif anticorruption, écrivez-nous à contact@vernaylestang.com.
Étape 1 – Définir le périmètre et constituer l'équipe projet
La première étape consiste à délimiter précisément le périmètre de la cartographie – filiales, activités, zones géographiques, canaux de distribution – et à constituer l'équipe chargée de la conduire. Cette décision structurante détermine la profondeur de l'analyse et la crédibilité du document final.
Le périmètre doit couvrir l'ensemble des entités contrôlées au sens du Code de commerce, mais aussi les flux transactionnels qui présentent une exposition significative : achats, ventes à des tiers, partenariats d'affaires, opérations dans des pays à risque élevé. Une cartographie limitée au seul siège social, sans inclure les filiales opérationnelles, sera considérée comme insuffisante par l'AFA.
L'équipe projet réunit au minimum : le responsable conformité (pilote), la direction générale (mandant), les directions opérationnelles les plus exposées (ventes, achats, finance, ressources humaines), et – selon la taille de l'organisation – un conseil extérieur. Nous accompagnons régulièrement des groupes dans la structuration de ce comité de pilotage, qui est souvent le premier point de friction : les opérationnels perçoivent l'exercice comme une charge supplémentaire plutôt que comme un outil de gestion.
À ce stade, fixez un calendrier de projet réaliste. Une cartographie menée dans la précipitation produit des résultats superficiels. Prévoyez des temps d'entretien suffisants avec les métiers, une phase de validation et une fenêtre de mise en forme documentaire.
Étape 2 – Recenser les scénarios de risque par famille
L'identification des risques consiste à lister, pour chaque segment d'activité et chaque relation avec des tiers, les scénarios dans lesquels un acte de corruption – active ou passive – pourrait survenir. Les recommandations de l'AFA distinguent plusieurs familles de risque : corruption dans les relations commerciales, corruption impliquant des agents publics, trafic d'influence, concussion et prise illégale d'intérêts.
La méthode recommandée repose sur des entretiens semi-directifs menés avec les responsables de chaque activité exposée. Ces entretiens doivent être conduits par une personne indépendante de la ligne opérationnelle concernée – idéalement le responsable conformité ou son conseil – pour garantir la liberté de parole. Complétez les entretiens par une analyse documentaire : contrats avec les intermédiaires, politiques de cadeaux et d'hospitalité, procédures d'achat, rapports d'audit interne.
Pour chaque scénario identifié, documentez : la nature de l'acte potentiel, l'activité ou le processus concerné, les tiers impliqués (catégorie, zone géographique), et les facteurs aggravants ou atténuants déjà en place. Cette granularité est ce que les équipes de l'AFA examinent en priorité lors d'un contrôle.
Dans notre pratique du conseil en conformité, nous observons que les organisations sous-estiment systématiquement les risques liés aux intermédiaires commerciaux – agents, courtiers, distributeurs – opérant pour leur compte dans des marchés étrangers. Ce point aveugle est l'une des causes les plus fréquentes d'insuffisance relevée lors des évaluations de l'AFA.
Illustration – Secteur industriel, Région Grand Est, printemps 2025
Nous avons accompagné un groupe industriel dans la refonte de sa cartographie après un contrôle AFA ayant relevé l'absence de couverture des risques liés à ses agents commerciaux en Afrique du Nord. La démarche a permis d'identifier une vingtaine de scénarios non documentés, d'actualiser les due diligences contractuelles et de renforcer le code de conduite applicable aux tiers.
Étape 3 – Coter et hiérarchiser les risques bruts et résiduels
La hiérarchisation des risques s'effectue en deux temps : évaluation du risque brut (avant application des mesures de contrôle existantes), puis évaluation du risque résiduel (après prise en compte des dispositifs de maîtrise en place). Cette distinction est au cœur de la valeur analytique de la cartographie.
Chaque risque est coté selon deux axes. Le premier est la probabilité d'occurrence – appréciation de la vraisemblance que le scénario se réalise compte tenu du contexte sectoriel, géographique et organisationnel. Le second est la gravité de l'impact – évaluation des conséquences potentielles pour l'organisation : sanction pénale, amende administrative, atteinte à la réputation, rupture contractuelle.
La cotation peut reposer sur une échelle qualitative à quatre niveaux (faible, modéré, élevé, critique) ou sur une matrice numérique plus élaborée. L'important n'est pas le raffinement de l'outil, mais la cohérence de son application et la traçabilité des jugements portés. Les évaluateurs de l'AFA vérifient que la notation est justifiée et reproductible, pas seulement qu'elle existe.
L'écart entre le risque brut et le risque résiduel révèle l'efficacité réelle des contrôles en place. Un risque résiduel élevé sur un scénario de probabilité forte appelle une mesure de remédiation prioritaire. C'est ce différentiel qui pilote le plan d'action.
Comment traiter les risques résiduels et construire un plan d'action ?
Le traitement des risques résiduels consiste à définir, pour chaque scénario dont le niveau résiduel dépasse le seuil d'acceptation fixé par la direction, une mesure de remédiation assortie d'un responsable, d'un délai et d'un indicateur de suivi. Ce plan d'action est indissociable de la cartographie : sans lui, le document reste purement descriptif.
Les mesures de remédiation disponibles sont nombreuses : renforcement des procédures de diligence sur les tiers, révision des clauses contractuelles anticorruption, formation ciblée des équipes exposées, mise en place ou actualisation du dispositif d'alerte interne, audit des processus à risque. Chaque mesure doit être proportionnée au niveau de risque résiduel identifié.
Pour les opérations impliquant des contreparties étrangères ou des agents opérant hors du territoire national, le plan d'action peut nécessiter une coordination avec des conseils locaux dans la juridiction concernée, afin de tenir compte des spécificités réglementaires locales – notamment lorsque la loi étrangère applicable impose ses propres obligations de conformité.
Consultez également notre guide complémentaire sur les étapes, conditions et délais de la cartographie des risques de corruption pour approfondir la séquence procédurale et les exigences documentaires associées.
Une démarche antérieure a produit une cartographie jugée insuffisante lors d'un contrôle ?
Un second regard permet d'identifier les lacunes résiduelles et de prioriser les actions correctives avant une nouvelle vérification. Pour examiner l'application du dispositif anticorruption à votre organisation, contactez-nous à contact@vernaylestang.com.
Étape 4 – Rédiger et valider le document de cartographie
La cartographie des risques de corruption est un document formel qui doit être rédigé, daté, signé au niveau de la direction générale et conservé de manière à pouvoir être produit en cas de contrôle. Sa forme importe autant que son contenu : un tableur non formalisé, sans validation hiérarchique, ne constitue pas une cartographie au sens des exigences de l'AFA.
Le document de synthèse comprend au minimum : une présentation du périmètre de la cartographie, la méthodologie retenue pour l'identification et la cotation des risques, le registre des scénarios avec leur notation brute et résiduelle, le plan d'action associé, et les modalités prévues de mise à jour. Chaque section doit permettre à un lecteur extérieur – l'évaluateur de l'AFA – de comprendre le raisonnement suivi sans avoir à interroger les équipes.
La validation par la direction générale est une étape non négociable. Elle engage la responsabilité personnelle du dirigeant dans le dispositif anticorruption et confère au document son autorité interne. Dans notre pratique, nous recommandons de faire précéder cette validation d'une présentation formelle en comité exécutif, dont le compte rendu sera conservé comme pièce justificative.
Illustration – Groupe de services, Île-de-France, automne 2024
Nous avons assisté un groupe de services dans la finalisation et la validation formelle de sa cartographie, préalablement à la soumission d'un dossier d'appel d'offres exigeant une attestation de conformité. La structuration documentaire du dossier a permis à l'organisation de démontrer l'effectivité de son programme lors de la vérification précontractuelle conduite par l'acheteur public.
Quelles sont les erreurs fréquentes à éviter lors de la cartographie ?
Les insuffisances les plus courantes dans les cartographies examinées par l'AFA sont documentées dans les rapports d'évaluation publics de l'autorité. Elles permettent d'identifier les écueils à éviter dès la conception de la démarche, et non en phase corrective.
Périmètre trop étroit. Limiter la cartographie aux seules activités du siège ou aux seuls agents publics français est la première source d'insuffisance. Les risques liés aux tiers commerciaux, aux filiales étrangères et aux intermédiaires doivent être couverts.
Cotation non documentée. Attribuer une note sans justifier le jugement rendu la rend inopposable. Chaque évaluation doit être étayée par des éléments factuels : données sectorielles, résultats d'entretiens, analyses documentaires.
Absence de distinction entre risque brut et risque résiduel. Une cartographie qui ne distingue pas ces deux niveaux ne permet pas d'apprécier l'efficacité des contrôles en place. C'est une lacune méthodologique rédhibitoire.
Cartographie statique. Produire un document et ne jamais le mettre à jour revient à ne pas en avoir. La cartographie doit être révisée périodiquement et à chaque évolution significative des activités, des structures ou de l'environnement réglementaire.
Validation insuffisante. Un document approuvé par le seul responsable conformité, sans engagement de la direction générale, ne satisfait pas aux exigences de gouvernance du dispositif anticorruption.
Pour les enjeux de droit de la concurrence qui peuvent se croiser avec les risques de conformité dans certains secteurs, notre équipe intervient également dans le cadre du conseil en droit de la concurrence.
Matrice de décision et check-list opérationnelle
La cartographie n'est pas un exercice uniforme. Sa portée, sa profondeur et les mesures correctives associées varient selon le profil de risque de l'organisation. La grille ci-dessous aide à calibrer l'effort en fonction de la situation.
Situation A – Organisation mono-site, activité domestique, tiers peu nombreux : cartographie simplifiée couvrant les principales catégories de risque, cotation qualitative à quatre niveaux, plan d'action de remédiation limité, révision annuelle. Niveau de risque résiduel attendu : modéré à faible après mise en place des contrôles de base.
Situation B – Groupe multisites, opérations internationales, réseau d'intermédiaires : cartographie étendue à toutes les entités contrôlées, entretiens systématiques par zone géographique et par activité, cotation numérique documentée, plan d'action priorisé avec responsables nommés et indicateurs de suivi. Révision à chaque mouvement de périmètre significatif. Niveau de risque résiduel : variable selon les pays et les canaux de distribution.
Situation C – Organisation sous contrôle AFA ou ayant fait l'objet d'une mise en demeure : cartographie renforcée, audit de conformité préalable, mise à jour accélérée, pilotage étroit par la direction générale avec reporting au conseil d'administration. Accompagnement juridique externe recommandé dès la phase de conception.
Check-list – Ce qu'il faut préparer avant de lancer la cartographie :
- Organigramme juridique complet du groupe, incluant les filiales et les participations significatives, daté et validé par la direction juridique.
- Liste des tiers commerciaux significatifs : fournisseurs stratégiques, agents, distributeurs, partenaires d'affaires, avec indication de leur pays d'implantation.
- Cartographie des processus à risque : procédures d'achat, de vente, de gestion des cadeaux et invitations, de versement à des tiers.
- Inventaire des dispositifs de contrôle existants : code de conduite, procédures de diligence sur les tiers, dispositif d'alerte, formations déployées.
- Relevé des incidents et signalements antérieurs : alertes reçues, résultats d'audits internes, observations de l'AFA lors d'un éventuel contrôle précédent.
Pour les questions de restructurations ou de procédures collectives susceptibles d'affecter les engagements de conformité d'une entité, voyez également notre dossier sur le cadre juridique du redressement judiciaire et du plan de continuation.
Domaines liés
- Conseil en droit de la concurrence – analyse des pratiques commerciales et défense devant les autorités de concurrence
- Guide – Réaliser une cartographie des risques : étapes, conditions et délais – séquencement procédural et exigences documentaires détaillées
Questions fréquentes sur la cartographie des risques de corruption
1. Quelles sont les erreurs fréquentes à éviter ?
Les erreurs les plus fréquentes sont un périmètre de cartographie trop étroit – omettant les filiales étrangères et les intermédiaires commerciaux –, une cotation des risques non documentée, l'absence de distinction entre risque brut et risque résiduel, une cartographie statique non mise à jour, et une validation limitée au responsable conformité sans engagement de la direction générale. Chacune de ces lacunes est susceptible d'être relevée lors d'un contrôle de l'AFA et peut conduire à une mise en demeure.
2. Quels documents sont nécessaires pour réaliser une cartographie des risques de corruption ?
Les documents nécessaires comprennent l'organigramme juridique complet du groupe, la liste des tiers commerciaux significatifs avec leur pays d'implantation, la cartographie des processus à risque (achats, ventes, cadeaux, versements à des tiers), l'inventaire des dispositifs de contrôle existants (code de conduite, procédures de diligence, dispositif d'alerte), et le relevé des incidents et signalements antérieurs. Ces éléments constituent le socle documentaire permettant d'étayer chaque notation de risque.
3. Quand se faire accompagner par un avocat pour réaliser une cartographie des risques de corruption ?
Le recours à un avocat spécialisé en conformité est recommandé dans plusieurs situations : lors de la conception initiale du programme pour sécuriser la méthodologie et la documentation, en amont d'un contrôle de l'AFA pour évaluer la robustesse du dispositif existant, après une mise en demeure ou une recommandation de l'autorité pour structurer la réponse corrective, et lors d'opérations de croissance externe ou d'implantation à l'étranger qui étendent le périmètre de risque. Dans notre pratique, l'intervention d'un conseil externe est particulièrement utile pour garantir l'indépendance de l'évaluation vis-à-vis des lignes opérationnelles.
4. La cartographie des risques de corruption doit-elle être mise à jour régulièrement ?
La cartographie des risques de corruption doit être révisée périodiquement – au minimum une fois par an selon les recommandations de l'AFA – et à chaque évolution significative affectant l'organisation : acquisition, cession, entrée sur un nouveau marché, changement de modèle commercial, modification du réseau de distribution, ou survenance d'un incident ou d'une alerte interne. Une cartographie non actualisée est considérée comme insuffisante au regard des obligations du dispositif anticorruption issu de la loi Sapin II.
5. Quelle est la procédure et les étapes clés pour réaliser une cartographie des risques de corruption conforme aux attentes de l'AFA ?
La procédure comporte cinq étapes structurantes : (1) définir le périmètre et constituer l'équipe projet avec validation de la direction générale ; (2) recenser les scénarios de risque par famille – corruption commerciale, corruption impliquant des agents publics, trafic d'influence – à l'aide d'entretiens et d'analyses documentaires ; (3) coter les risques bruts et résiduels selon une méthode documentée et cohérente ; (4) construire un plan d'action de remédiation assorti de responsables, de délais et d'indicateurs de suivi ; (5) rédiger, valider formellement et conserver le document de cartographie. La mise à jour périodique constitue une sixième étape continue, indissociable du cycle de vie du document.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les dirigeants, les directions juridiques et les responsables conformité dans la conception, la mise en œuvre et la révision de leurs programmes anticorruption. Notre équipe intervient pour qualifier les obligations applicables, structurer la méthodologie de cartographie et préparer les dossiers soumis au contrôle de l'AFA. Nous intervenons également dans le cadre des procédures devant les autorités de concurrence, en coordination avec des conseils locaux dans les juridictions étrangères concernées le cas échéant.
Pour un premier avis sur votre programme de conformité ou votre cartographie des risques, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de protection des données et de conformité. Voir son profil
Publié le 16 février 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.