Réaliser une cartographie des risques de corruption : check-list pour les entreprises
Réaliser une cartographie des risques de corruption désigne, au sens du dispositif anticorruption issu de la loi Sapin II, la démarche structurée par laquelle une entreprise identifie, hiérarchise et documente l'ensemble des scénarios d'exposition à la corruption active ou passive dans ses activités. Cette démarche constitue une obligation légale pour les entreprises dépassant les seuils fixés par le Code de commerce dans ses dispositions relatives à la prévention de la corruption, et conditionne la recevabilité du programme de conformité lors d'un contrôle de l'Agence française anticorruption (AFA). En février 2026, les recommandations de l'AFA précisent les attentes méthodologiques applicables à cet exercice.
Ce guide présente une méthode pas-à-pas – prérequis, séquencement, check-list opérationnelle et erreurs fréquentes – pour permettre à un responsable conformité de conduire ou de superviser cet exercice dans des conditions satisfaisantes.
Pourquoi la cartographie des risques de corruption est-elle la pierre angulaire du programme Sapin II ?
La cartographie des risques de corruption est le document fondateur de tout programme de conformité anticorruption : sans elle, les autres mesures du dispositif – code de conduite, procédures de diligence raisonnable sur les tiers, formation, contrôles internes – demeurent dépourvues de fondement factuel et d'orientation. Le Code de commerce, dans ses dispositions relatives à la prévention de la corruption, impose aux entreprises concernées de disposer d'une cartographie « régulièrement actualisée ». L'AFA vérifie en priorité ce document lors de ses contrôles, avant d'examiner le reste du dispositif.
Dans notre pratique des programmes de conformité, nous observons que les entreprises qui sous-dimensionnent cet exercice – en le réduisant à un tableau de risques génériques – s'exposent à deux types de conséquences. D'une part, un avis de non-conformité de l'AFA, susceptible d'être rendu public. D'autre part, et surtout, une absence d'ancrage opérationnel qui prive les équipes terrain des repères dont elles ont besoin pour détecter les situations à risque.
La cartographie remplit trois fonctions concrètes. Elle documente le périmètre de risque réel de l'entreprise. Elle fournit la base de hiérarchisation nécessaire à l'allocation des ressources de conformité. Elle constitue une pièce maîtresse en cas de contentieux ou de procédure engagée par l'AFA ou par le ministère public.
Pour une analyse de votre situation au regard de la loi Sapin II
La structure de votre cartographie et le périmètre retenu méritent d'être validés avant le déclenchement du contrôle AFA. Pour examiner l'application de ce dispositif à votre organisation, écrivez-nous à contact@vernaylestang.com.
Quels sont les prérequis avant d'engager une cartographie des risques de corruption ?
L'engagement d'une cartographie suppose d'abord de vérifier que l'entreprise entre bien dans le champ d'application du dispositif anticorruption, puis de réunir les conditions internes qui permettront de conduire l'exercice dans des délais raisonnables.
Vérification du champ d'application. Le dispositif issu de la loi Sapin II vise les sociétés et leurs filiales dépassant les seuils de salariés et de chiffre d'affaires ou de total de bilan fixés par le Code de commerce, ainsi que les présidents, directeurs généraux et gérants de ces entités. Les entreprises en deçà de ces seuils ne sont pas soumises à l'obligation, mais peuvent décider de se doter volontairement d'une cartographie – démarche que nous accompagnons régulièrement pour des groupes en croissance qui anticipent leur passage de seuil.
Gouvernance et mandat interne. Avant toute collecte de données, l'entreprise doit désigner un pilote de la cartographie – généralement le responsable conformité ou l'équipe juridique – et obtenir un mandat explicite de la direction générale. Ce mandat doit être formalisé : il donne au pilote l'autorité d'interroger toutes les directions, d'accéder aux données contractuelles et financières pertinentes, et de solliciter les équipes terrain. Sans ce mandat, la collecte sera incomplète et la cartographie perdra en crédibilité.
Disponibilité des données sources. La cartographie repose sur un corpus documentaire : organigramme fonctionnel et juridique, liste des tiers significatifs (fournisseurs, agents commerciaux, distributeurs, partenaires institutionnels), nature et géographie des marchés, procédures d'achat et de vente, structures de rémunération variable. Réunir ces données en amont conditionne directement la qualité du travail d'identification.
Calendrier réaliste. Un premier exercice pour une ETI de taille significative requiert plusieurs semaines de travail, auxquelles s'ajoutent les cycles de validation interne. Les entreprises déjà dotées d'une cartographie à actualiser bénéficient d'un cycle plus court, à condition que la documentation précédente soit structurée et accessible.
Étape par étape : comment réaliser une cartographie des risques de corruption ?
La cartographie des risques de corruption se conduit en six étapes séquentielles, chacune produisant un livrable intermédiaire qui alimente l'étape suivante.
Étape 1 – Définir le périmètre. Le périmètre doit couvrir l'ensemble des entités juridiques du groupe soumises au dispositif, ainsi que les filiales étrangères dont l'entreprise détient le contrôle. Il inclut toutes les fonctions exposées : achats, ventes, relations institutionnelles, affaires réglementaires, relations avec les agents et intermédiaires. Toute exclusion doit être documentée et justifiée.
Étape 2 – Identifier les scénarios de risque. Pour chaque activité et chaque fonction, le pilote recense les scénarios dans lesquels un acte de corruption active ou passive est susceptible d'intervenir. Cette identification s'appuie sur des entretiens avec les directions opérationnelles, sur l'analyse des processus clés (commande, facturation, appel d'offres, délivrance d'autorisation, douane) et sur l'examen des éventuels incidents passés. Les scénarios génériques (« risque de corruption dans les achats ») sont insuffisants : chaque scénario doit être ancré dans la réalité des processus de l'entreprise.
Étape 3 – Coter les risques bruts. Chaque scénario est évalué selon deux axes : la probabilité d'occurrence et l'impact potentiel. La cotation brute s'effectue avant prise en compte des mesures de maîtrise existantes. Elle permet d'établir une première cartographie de chaleur (heat map) et d'identifier les scénarios les plus critiques.
Étape 4 – Évaluer les mesures de contrôle existantes. Pour chaque scénario, le pilote recense les dispositifs de maîtrise en place : procédures d'approbation, contrôles automatisés, politiques de cadeaux et invitations, processus de diligence raisonnable sur les tiers. La qualité de chaque dispositif est évaluée (existence formelle, application effective, traçabilité). Cette étape produit la cotation des risques nets, c'est-à-dire après déduction de l'effet des contrôles.
Étape 5 – Hiérarchiser et prioriser. La combinaison des risques bruts et de l'évaluation des contrôles permet de classer les scénarios par niveau de risque résiduel. Les scénarios à risque résiduel élevé appellent un plan d'action prioritaire. La hiérarchisation doit être explicite et traçable : l'AFA vérifie que la priorité accordée aux mesures de traitement est cohérente avec le niveau de risque identifié.
Étape 6 – Documenter et valider. La cartographie finalisée est présentée à la direction générale et, selon la gouvernance de l'entreprise, au comité d'audit ou au conseil de surveillance. Elle est formellement approuvée et datée. Le document de synthèse inclut la méthodologie retenue, le périmètre couvert, les scénarios retenus avec leur cotation, les mesures de contrôle évaluées et le plan de traitement des risques résiduels.
Expérience de cabinet – Île-de-France, printemps 2025
Nous avons accompagné un groupe industriel de taille intermédiaire, dont l'activité impliquait des agents commerciaux dans plusieurs pays, dans la refonte complète de sa cartographie des risques. L'identification des scénarios, conduite lors d'entretiens structurés avec les directions régionales, a mis en évidence plusieurs angles morts non traités par l'ancienne version – notamment dans les processus d'homologation réglementaire à l'étranger. Le document révisé a permis de prioriser un plan d'action ciblé, validé par le comité d'audit avant le contrôle AFA annoncé.
Vous avez déjà engagé une démarche de cartographie ?
Si une démarche antérieure a produit un résultat insuffisant au regard des attentes de l'AFA, un second regard permet d'identifier les leviers restants et de renforcer le dispositif avant tout contrôle. Pour examiner votre cartographie existante, écrivez-nous à contact@vernaylestang.com.
Check-list opérationnelle : que faut-il préparer avant, pendant et après la cartographie ?
Une cartographie bien conduite suppose la disponibilité de documents précis et la mobilisation de parties prenantes internes à des moments définis. Voici les éléments à réunir.
Avant le lancement :
- Mandat écrit de la direction générale désignant le pilote et fixant le périmètre.
- Organigramme juridique du groupe (entités, participations, implantations géographiques).
- Liste des tiers significatifs : agents, intermédiaires, sous-traitants stratégiques, partenaires institutionnels.
- Cartographie des processus clés exposés (achats, ventes, affaires réglementaires, douane).
- Inventaire des procédures de conformité existantes (code de conduite, politique cadeaux, procédures d'approbation).
- Historique des incidents internes et des alertes reçues via le dispositif de signalement.
Pendant l'exercice :
- Guide d'entretien standardisé pour les directions opérationnelles interrogées.
- Matrice de cotation des risques (axes probabilité et impact, grille de notation commune).
- Fiche de recensement des mesures de contrôle par processus, avec appréciation de l'effectivité.
- Journal de bord de la démarche (participants, dates, décisions prises).
À l'issue de l'exercice :
- Document de cartographie formalisé, daté et approuvé.
- Plan d'action traitant les risques résiduels prioritaires, avec responsable et échéance.
- Procédure d'actualisation (fréquence, déclencheurs, responsable de la mise à jour).
Quelles erreurs fréquentes compromettent la qualité d'une cartographie des risques de corruption ?
Dans notre pratique, les cartographies défaillantes présentent des lacunes récurrentes qui, lors d'un contrôle de l'AFA, conduisent à des observations formelles ou à des injonctions de mise en conformité.
Un périmètre trop restreint. La première erreur consiste à exclure les filiales étrangères, les agents commerciaux ou les partenaires en coentreprise au motif qu'ils disposent de leur propre conformité. Les dispositions applicables visent l'ensemble du périmètre de contrôle de l'entreprise assujettie, quelle que soit la localisation des entités concernées.
Des scénarios génériques. Une cartographie qui liste « risque corruption achats », « risque corruption ventes » sans décrire les processus, les acteurs impliqués et les modalités concrètes de corruption ne satisfait pas aux attentes de l'AFA. Chaque scénario doit être ancré dans la réalité de l'entreprise et traçable jusqu'à un processus identifié.
L'absence d'évaluation des contrôles existants. Coter les risques bruts sans évaluer l'effectivité des mesures de maîtrise conduit à une cartographie déconnectée du niveau de risque réel. Un contrôle qui existe sur le papier mais n'est pas appliqué n'atténue pas le risque net.
Une validation insuffisante par la direction. La cartographie doit être présentée, discutée et approuvée par la direction générale. Une simple transmission par voie électronique sans délibération documentée affaiblit la gouvernance du dispositif et peut être relevée lors d'un contrôle.
L'absence d'actualisation. La cartographie est un document vivant. Une version figée depuis plusieurs années, non mise à jour après une acquisition, un changement de marché ou un incident interne, perd sa valeur probante et opérationnelle.
Expérience de cabinet – Auvergne-Rhône-Alpes, automne 2025
Nous avons examiné, pour une société de distribution spécialisée en croissance externe, une cartographie réalisée deux ans auparavant sans prise en compte des nouvelles entités acquises. L'exercice de mise à jour a révélé des scénarios de risque liés à des pratiques d'agents locaux dans des marchés nouvellement intégrés. La cartographie révisée a servi de base à une refonte ciblée des procédures de diligence raisonnable sur les tiers concernés.
Comment la cartographie des risques de corruption s'articule-t-elle avec les autres mesures du programme Sapin II ?
La cartographie n'est pas un exercice isolé : elle alimente directement chacun des autres piliers du programme de conformité.
Le code de conduite, pour être pertinent, doit couvrir les comportements correspondant aux scénarios de risque identifiés. Un code générique non ajusté à la cartographie manque de crédibilité opérationnelle.
Les procédures de diligence raisonnable sur les tiers – évaluation, notation, renouvellement – doivent être calibrées selon le niveau de risque associé à chaque catégorie de tiers identifiée dans la cartographie. Un intermédiaire actif dans un marché classé à risque élevé appelle des diligences renforcées par rapport à un fournisseur de services banals.
Le plan de formation doit cibler en priorité les fonctions et les géographies apparaissant comme les plus exposées selon la hiérarchisation issue de la cartographie. Nous accompagnons régulièrement des entreprises dans la définition de ces priorités de formation à partir des résultats de la cartographie.
Enfin, la cartographie constitue le référentiel de risque à partir duquel les contrôles comptables internes sont calibrés et les alertes du dispositif de signalement sont interprétées. Une alerte relative à une situation non identifiée dans la cartographie est, en elle-même, un signal d'actualisation nécessaire.
Pour les entreprises dont l'activité comprend une dimension de droit de la concurrence significative, la cartographie peut également intégrer des scénarios touchant aux pratiques anticoncurrentielles – un périmètre qui rejoint, sans s'y confondre, celui du programme de conformité concurrence. Nous renvoyons sur ce point à notre analyse de la défense devant l'Autorité de la concurrence, qui traite des procédures et de la préparation des entreprises.
Comment actualiser la cartographie et à quelle fréquence ?
Une cartographie des risques de corruption doit être actualisée régulièrement, selon un calendrier défini et en réponse à des événements déclencheurs identifiés au préalable.
Fréquence minimale. Les recommandations de l'AFA fixent une périodicité d'actualisation que l'entreprise doit respecter et documenter. En pratique, un cycle annuel est la norme pour les entreprises dont l'activité est dynamique ; un cycle moins fréquent peut être retenu pour des structures stables, sous réserve de justification documentée.
Déclencheurs d'actualisation immédiate. Certains événements imposent une révision sans attendre l'échéance périodique :
- Acquisition ou prise de participation dans une nouvelle entité.
- Entrée sur un nouveau marché géographique ou sectoriel.
- Changement de direction générale ou de responsable conformité.
- Incident ou alerte interne faisant apparaître un scénario non couvert.
- Évolution significative des recommandations de l'AFA ou du cadre législatif applicable.
Traçabilité de l'actualisation. Chaque version de la cartographie doit être datée, versionnée et conservée. Le comparatif entre versions successives doit être documenté pour démontrer la réactivité du dispositif. Cette traçabilité est examinée par l'AFA lors des contrôles de suivi.
Pour les entreprises impliquées dans des opérations de croissance externe, la question de l'intégration de la cible dans le périmètre de la cartographie se pose dès la phase de diligences préalables. Nous renvoyons sur ce point à notre guide sur la notification de concentration, qui aborde la dimension conformité des opérations de fusion-acquisition.
Matrice de décision : quelle approche selon la situation de l'entreprise ?
La méthode à retenir pour réaliser ou actualiser une cartographie des risques de corruption dépend de la situation de départ de l'entreprise.
Situation A – Entreprise nouvellement assujettie (premier exercice) : cartographie ex nihilo → mobiliser un pilote dédié avec mandat de direction → conduire des entretiens exhaustifs avec toutes les directions → prévoir un calendrier de plusieurs semaines → faire valider le document par la direction générale avant toute communication externe → niveau de vigilance élevé.
Situation B – Entreprise disposant d'une cartographie datée (plus d'un an ou sans mise à jour post-acquisition) : mise à jour ciblée → identifier les scénarios non couverts par comparaison avec l'activité actuelle → recotez les scénarios dont le contexte a évolué → documenter les raisons de chaque révision → niveau de vigilance modéré mais délai court.
Situation C – Entreprise ayant reçu des observations de l'AFA sur sa cartographie : refonte guidée par les observations → analyser chaque observation formellement → reconstituer la méthodologie en réponse → produire un document révisé répondant point par point aux exigences relevées → coordination étroite entre le responsable conformité et le conseil juridique → niveau de vigilance très élevé.
Dans les situations B et C, l'analyse des données issues d'une reprise d'entreprise peut également introduire des complexités spécifiques, notamment lorsque la cible avait des pratiques commerciales dans des zones à risque. Nous renvoyons sur ce point à notre dossier sur la reprise d'entreprise en difficulté, qui traite des enjeux de transmission et de responsabilité du repreneur.
Domaines liés
- Défense devant l'Autorité de la concurrence – procédures, stratégie et préparation des entreprises face aux enquêtes
- Préparer une notification de concentration – guide pratique des étapes et documents requis pour notifier une opération
Questions fréquentes sur la cartographie des risques de corruption
1. Quels sont les prérequis avant de réaliser une cartographie des risques de corruption ?
Avant d'engager une cartographie des risques de corruption au sens de la loi Sapin II, l'entreprise doit vérifier qu'elle entre dans le champ d'application du dispositif prévu par le Code de commerce, désigner un pilote doté d'un mandat formel de la direction générale, et réunir les données sources indispensables : organigramme du groupe, liste des tiers significatifs, cartographie des processus exposés et inventaire des procédures de conformité existantes. Sans ce socle documentaire, l'exercice d'identification des scénarios sera incomplet et la cartographie insuffisante au regard des attentes de l'AFA.
2. Quels délais et conditions respecter pour réaliser une cartographie conforme aux attentes de l'AFA ?
La durée d'un premier exercice de cartographie dépend de la taille et de la complexité de l'entreprise ; pour une ETI, plusieurs semaines de travail sont généralement nécessaires, auxquelles s'ajoutent les cycles de validation interne. La cartographie doit être approuvée par la direction générale, datée, versionnée et conservée. Une actualisation périodique est requise par les recommandations de l'AFA, ainsi qu'une révision immédiate en cas de changement significatif de périmètre ou d'incident interne.
3. Quelles sont les erreurs fréquentes à éviter lors de la réalisation d'une cartographie des risques de corruption ?
Les erreurs les plus courantes sont : un périmètre trop restreint excluant les filiales étrangères ou les agents commerciaux, des scénarios génériques non ancrés dans les processus réels de l'entreprise, une absence d'évaluation de l'effectivité des contrôles existants, une validation insuffisante par la direction générale, et l'absence d'actualisation après un changement de périmètre ou un incident interne. Ces lacunes sont systématiquement relevées lors des contrôles de l'AFA et peuvent donner lieu à des injonctions de mise en conformité.
4. La cartographie des risques de corruption doit-elle couvrir les filiales étrangères ?
La cartographie des risques de corruption doit couvrir l'ensemble des entités sur lesquelles l'entreprise assujettie exerce un contrôle au sens du Code de commerce, quelle que soit leur localisation géographique. Exclure les filiales étrangères ou les agents actifs hors de France au motif de leur autonomie juridique constitue une erreur fréquemment relevée par l'AFA. Les scénarios liés aux marchés étrangers – notamment dans les zones considérées comme exposées – doivent être traités avec une attention particulière dans la méthodologie de cotation.
5. Comment la cartographie s'articule-t-elle avec la procédure et les étapes du programme de conformité Sapin II ?
La cartographie des risques de corruption est le document fondateur du programme de conformité Sapin II : elle détermine le contenu du code de conduite, calibre les procédures de diligence raisonnable sur les tiers, oriente le plan de formation et constitue le référentiel des contrôles comptables internes. Chaque pilier du programme doit être cohérent avec la hiérarchisation des risques issue de la cartographie. Une incohérence entre la cartographie et les autres mesures du programme affaiblit l'ensemble du dispositif lors d'un contrôle de l'AFA ou d'une procédure judiciaire.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang accompagne les responsables conformité, les directions juridiques et les dirigeants d'entreprises dans la conception, la révision et la défense de leurs programmes anticorruption. Le cabinet intervient sur l'ensemble du cycle : de la structuration de la cartographie jusqu'à la représentation lors des contrôles de l'AFA ou des procédures pénales. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre programme de conformité, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, données et conformité.
Voir le profil · Publié le 19 février 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.