Réaliser une cartographie des risques de corruption : la méthode et les points de vigilance
Réaliser une cartographie des risques de corruption désigne le processus structuré par lequel une entreprise identifie, hiérarchise et documente l'ensemble des scénarios d'exposition à la corruption active ou passive, conformément aux dispositions de la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – communément appelée loi Sapin II. Depuis l'entrée en vigueur de ce dispositif, cette cartographie constitue le socle obligatoire de tout programme de conformité robuste. Son absence ou son insuffisance expose l'entité concernée à des injonctions et à des sanctions de l'Autorité française anticorruption.
Ce guide présente la méthode pas-à-pas pour conduire cet exercice : les prérequis, le séquencement des travaux, les documents à réunir, les erreurs à éviter et les points de vigilance spécifiques aux structures opérant à l'international. Il s'adresse aux responsables de la conformité, aux directeurs juridiques et à tout dirigeant qui engage ou révise un programme de conformité.
Qui doit réaliser une cartographie des risques de corruption et dans quelles conditions ?
La cartographie des risques de corruption s'impose à toute entreprise entrant dans le champ d'application personnel du dispositif anticorruption français. Les dispositions du Code pénal et de la loi Sapin II distinguent deux seuils cumulatifs : un seuil d'effectif et un seuil de chiffre d'affaires, tous deux fixés par décret. Au-delà de ces seuils, l'obligation est inconditionnelle : elle ne dépend ni du secteur d'activité, ni de la nationalité des actionnaires, ni du fait que l'entité ait ou non connu des cas avérés de corruption.
Dans notre pratique des programmes de conformité, nous observons que de nombreuses filiales françaises de groupes étrangers ignorent leur propre assujettissement. Le critère déterminant est l'effectif employé en France, apprécié au niveau de la société et, dans certains cas, du groupe lorsque la société mère est elle-même assujettie. Un holding de tête basé à Paris peut être soumis à l'obligation alors que ses filiales opérationnelles ne le sont pas isolément – ce qui exige une cartographie consolidée au niveau du groupe.
Même les entités situées en dessous des seuils légaux ont intérêt à conduire un exercice similaire : la jurisprudence constante des juridictions commerciales et les recommandations de l'Autorité française anticorruption posent des attentes croissantes en matière de diligence raisonnable (due diligence) vis-à-vis des tiers. Un cocontractant soumis à l'obligation peut vous imposer des représentations sur vos propres pratiques.
Un premier regard sur votre périmètre d'assujettissement
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen de votre structure juridique, de vos effectifs consolidés et de la pratique de l'Autorité française anticorruption. Pour une analyse de votre situation au regard du programme de conformité, écrivez-nous à contact@vernaylestang.com.
Comment préparer la cartographie : les prérequis organisationnels
Avant d'engager les travaux de cartographie, trois conditions organisationnelles doivent être réunies : la désignation d'un pilote interne disposant d'une autorité suffisante, la constitution d'un groupe de travail pluridisciplinaire et la validation formelle de la démarche par l'organe dirigeant. Ces prérequis ne sont pas de pure forme – l'Autorité française anticorruption les vérifie lors de ses contrôles et sanctionne les cartographies conduites sans implication réelle de la direction générale.
Le pilote peut être le directeur juridique, le responsable de la conformité ou un membre du comité exécutif. Ce qui importe, c'est son accès direct aux données opérationnelles et sa capacité à interroger les directions métier sans biais hiérarchique. Nous accompagnons régulièrement des entreprises qui constatent, en cours de mission, que le pilote initialement nommé n'a pas d'accès aux contrats commerciaux ni aux flux financiers : la cartographie produite dans ces conditions reste superficielle.
Le groupe de travail pluridisciplinaire associe au minimum : la direction commerciale, les achats, la finance, les ressources humaines et les équipes implantées dans les zones géographiques à risque. Chaque représentant apporte une connaissance opérationnelle que le service juridique seul ne peut pas reconstituer. L'objectif est d'éviter une cartographie « de bureau » fondée uniquement sur l'organigramme et les procédures formelles.
Quelles étapes suivre pour conduire la cartographie pas-à-pas ?
La cartographie des risques de corruption se conduit en six étapes séquentielles, chacune produisant un livrable documenté qui alimentera le rapport final soumis à l'organe délibérant.
Étape 1 – Délimitation du périmètre. Identifiez les entités juridiques, les activités, les zones géographiques et les catégories de tiers (agents commerciaux, distributeurs, fournisseurs stratégiques, partenaires publics) inclus dans le périmètre. Un périmètre trop restreint est le premier défaut relevé lors des contrôles de l'Autorité française anticorruption.
Étape 2 – Recensement des scénarios de risque. Pour chaque combinaison « activité × tiers × zone géographique », dressez la liste des scénarios dans lesquels une pratique corruptive pourrait s'insérer. Les catégories classiques incluent : les commissions versées à des intermédiaires, les cadeaux et invitations, les contrats de conseil à des fins détournées, le financement de partis politiques, la corruption dans les marchés publics. Intégrez les risques de corruption passive – ceux où votre entreprise est sollicitée, et pas seulement ceux où elle sollicite.
Étape 3 – Cotation des risques bruts. Attribuez à chaque scénario une note de probabilité d'occurrence et une note d'impact potentiel (atteinte à la réputation, sanctions pénales, pertes financières, rupture de contrats). Cette cotation est réalisée avant prise en compte des mesures de contrôle existantes – c'est le risque « brut » ou « inhérent ».
Étape 4 – Évaluation des mesures de contrôle. Recensez les procédures internes, les dispositifs de surveillance et les formations déjà en place. Évaluez leur efficacité réelle, pas leur existence formelle. Un processus d'approbation des cadeaux qui n'est jamais appliqué n'atténue pas le risque.
Étape 5 – Cotation des risques résiduels. Croisez les risques bruts et l'efficacité des contrôles pour obtenir le risque résiduel. Ce niveau de risque résiduel oriente les priorités du plan d'action : les scénarios à risque résiduel élevé exigent des mesures renforcées à court terme.
Étape 6 – Formalisation, validation et mise à jour. Rédigez le rapport de cartographie, soumettez-le à l'organe délibérant, consignez la validation et planifiez les révisions périodiques. La cartographie n'est pas un document statique : elle doit être actualisée lors de toute évolution significative (nouvelle activité, acquisition, entrée dans un nouveau marché géographique).
Quels documents réunir avant et pendant la cartographie ?
La constitution du dossier documentaire est une étape souvent sous-estimée. Sans données fiables, la cotation des risques repose sur des perceptions subjectives qui ne résistent pas à un contrôle externe.
- Organigramme juridique et fonctionnel actualisé, précisant les entités consolidées et les filiales minoritaires.
- Liste exhaustive des tiers significatifs : agents, distributeurs, consultants, fournisseurs exposés à des décideurs publics.
- Contrats-types et contrats existants avec les catégories de tiers à risque, notamment les mandats d'agent commercial et les contrats de conseil.
- Politique cadeaux et invitations, code de conduite, procédures de validation des paiements exceptionnels.
- Rapports d'audit interne et résultats des évaluations de tiers (questionnaires de diligence raisonnable complétés).
- Registre des conflits d'intérêts déclarés et des alertes reçues via le dispositif de signalement interne.
- Cartographie géographique des activités, assortie d'indices de perception de la corruption pour les marchés concernés.
Dans notre pratique, la collecte de ces documents révèle fréquemment des lacunes importantes : contrats d'agent signés sans clause anticorruption, absence de registre des cadeaux, ou politique de conformité jamais distribuée aux équipes commerciales terrain.
Vous avez engagé une démarche mais les lacunes documentaires freinent la cartographie ?
Si une démarche antérieure a produit un résultat défavorable ou incomplet, un second regard permet d'identifier les leviers restants et de prioriser les actions correctrices. Pour examiner l'application du programme de conformité à votre opération, contactez-nous à contact@vernaylestang.com.
Erreurs fréquentes dans la réalisation de la cartographie et comment les éviter
Les cartographies déficientes présentent des schémas récurrents que les contrôles de l'Autorité française anticorruption mettent régulièrement en évidence. Connaître ces erreurs permet de les anticiper dès la conception de la démarche.
Erreur 1 – Périmètre trop étroit. La cartographie porte uniquement sur les activités du siège et écarte les filiales, les agents ou les zones géographiques sensibles au motif qu'elles sont « gérées localement ». Cette approche ne résiste pas à un contrôle : l'obligation porte sur le groupe dans son ensemble lorsque la société tête de groupe est assujettie.
Erreur 2 – Confondre risque brut et risque résiduel. Nombre d'entreprises produisent une cartographie qui recense les risques sans les distinguer selon que les contrôles existants les atténuent ou non. Le résultat est une liste de risques indifférenciés qui ne permet pas de prioriser l'action.
Erreur 3 – Cartographie statique. Conduite une seule fois au moment de la mise en conformité initiale, la cartographie n'est plus actualisée. Or, l'Autorité française anticorruption attend une révision périodique et, surtout, une mise à jour systématique après toute acquisition, réorientation stratégique ou entrée dans un nouveau marché.
Erreur 4 – Absence d'implication opérationnelle. La cartographie est réalisée par le service juridique sans consultation des équipes commerciales, financières et terrain. Les scénarios identifiés reflètent alors les risques « théoriques » du secteur et non les expositions réelles de l'entreprise.
Erreur 5 – Documentation insuffisante de la méthode. Même une cartographie bien conduite peut être invalidée si la méthode n'est pas documentée : qui a été consulté, sur quelle base les scores ont été attribués, comment les décisions de priorisation ont été arrêtées. L'Autorité française anticorruption contrôle la traçabilité du processus, pas seulement le résultat.
Illustration pratique – Bordeaux, printemps 2025
Nous avons accompagné une entreprise de services aux collectivités territoriales dans la révision de sa cartographie des risques de corruption. L'audit préalable a révélé que les agents commerciaux opérant dans trois régions n'avaient jamais été inclus dans le périmètre d'évaluation des tiers. Nous avons restructuré le périmètre, conduit des entretiens avec les responsables régionaux et intégré les scénarios de corruption dans les marchés publics locaux. La cartographie révisée a été validée par le conseil d'administration en séance plénière.
Points de vigilance spécifiques pour les entreprises à dimension internationale
Lorsque l'entreprise opère hors de France, la cartographie des risques de corruption doit intégrer une couche d'analyse supplémentaire : les expositions extraterritoriales, notamment celles découlant du droit étranger applicable à titre concurrent.
Les entreprises françaises dont les titres sont cotés sur un marché américain, ou dont les transactions transitent par des banques correspondantes américaines, peuvent relever simultanément des exigences du Foreign Corrupt Practices Act. Les groupes ayant des activités au Royaume-Uni sont dans une situation analogue au regard du Bribery Act. Ces textes étrangers ne se substituent pas à la loi Sapin II : ils s'y ajoutent, parfois avec des exigences plus strictes en matière d'identification des tiers publics étrangers.
La cartographie doit donc : distinguer les risques relevant du droit français de ceux relevant des droits étrangers applicables, prévoir des procédures d'escalade différenciées selon la juridiction, et s'assurer que les évaluations de tiers intègrent les exigences propres à chaque régime. En coordination avec des conseils locaux dans les juridictions concernées, nous intégrons systématiquement cette dimension dans les cartographies que nous aidons à construire.
Un point de vigilance particulier concerne les agents commerciaux opérant dans des marchés où la distinction entre décideurs publics et acteurs privés est poreuse. Dans ces configurations, la classification des tiers doit être révisée, et la procédure d'autorisation des paiements doit prévoir une validation renforcée pour toute commission versée à un intermédiaire.
Pour approfondir la gestion des risques liés à la position sur le marché et aux pratiques commerciales, vous pouvez consulter notre analyse sur l'abus de position dominante et la conformité concurrence, qui traite des risques connexes en droit de la concurrence.
La matrice de décision : adapter la méthode à la taille et à la maturité de l'entreprise
La méthode de cartographie n'est pas uniforme. Son calibrage dépend de la taille de l'entité, de la maturité de son programme de conformité et de la nature de ses expositions. Voici une matrice de décision indicative :
Situation A – ETI française, premier exercice de cartographie, expositions limitées à la France : méthode simplifiée en quatre étapes (périmètre → recensement → cotation → plan d'action) ; durée qualitative de plusieurs semaines ; niveau de risque résiduel attendu modéré si les procédures internes de base sont en place ; outil : tableur structuré avec notation qualitative.
Situation B – Groupe multinational, cartographie existante à réviser, exposition à plusieurs juridictions : méthode complète en six étapes avec analyse extraterritoriale ; durée qualitative de plusieurs mois selon la complexité du périmètre ; niveau de risque résiduel élevé dans les zones géographiques sensibles avant renforcement des contrôles ; outil : plateforme de gestion des risques avec flux de validation documenté.
Situation C – Filiale d'un groupe étranger soumis au droit étranger et à la loi Sapin II : cartographie coordonnée avec le programme groupe, avec un volet spécifique droit français ; articulation des exigences des deux régimes ; validation par l'organe délibérant local et reporting au groupe.
Check-list : ce qu'il faut préparer avant de lancer la cartographie
Avant d'engager les travaux, vérifiez que les éléments suivants sont disponibles ou en cours de constitution :
- Décision formelle de l'organe dirigeant mandatant la démarche et nommant le pilote.
- Liste à jour des entités juridiques du périmètre consolidé et des tiers significatifs par catégorie.
- Accès aux contrats d'agent, de conseil et de distribution en vigueur, ainsi qu'aux procédures internes de validation des paiements.
- Données sur les incidents passés : alertes internes, signalements reçus, résultats d'audits antérieurs.
- Calendrier de travail validé avec les directions métier, incluant les créneaux d'entretiens opérationnels.
Illustration pratique – Région lyonnaise, automne 2024
Lors d'une mission pour une société industrielle sous-traitante de groupes du CAC 40, nous avons constaté que la liste des tiers disponible en interne ne recensait que les fournisseurs, à l'exclusion des agents commerciaux actifs dans trois pays d'Afrique du Nord. Nous avons coordonné la reconstruction de cette liste avec les équipes achats et export, puis conduit les entretiens d'évaluation des risques sur site. La cartographie finalisée a permis de révéler deux scénarios à risque résiduel élevé nécessitant une révision immédiate des clauses contractuelles.
Pour aller plus loin sur les erreurs fréquentes et les bonnes pratiques lors de la réalisation d'une cartographie, consultez notre guide complémentaire : Cartographie des risques de corruption : erreurs à éviter et bonnes pratiques.
La question du sort des contrats en cours lorsqu'une procédure est engagée est traitée dans notre dossier dédié : Sort des contrats en cours de procédure – risques et leviers pour l'entreprise.
Domaines liés
- Abus de position dominante et conformité concurrence – Identification et gestion des risques concurrentiels pour les entreprises en position dominante
- Cartographie des risques de corruption : erreurs à éviter – Guide pratique des écueils et des meilleures pratiques à adopter
Questions fréquentes sur la cartographie des risques de corruption
1. Quels délais et conditions respecter pour réaliser une cartographie des risques de corruption ?
La cartographie des risques de corruption doit être finalisée et soumise à l'organe délibérant dans un délai raisonnable après la date à laquelle l'entreprise entre dans le champ d'application des dispositions de la loi relative à la lutte contre la corruption. Aucun délai chiffré universel n'est fixé par le texte, mais l'Autorité française anticorruption apprécie la diligence de l'entité dès son premier contrôle. La condition principale est la désignation préalable d'un responsable de la démarche disposant d'une autorité effective sur les directions métier concernées. La cartographie doit ensuite être actualisée régulièrement et après toute évolution significative du périmètre ou des activités.
2. Quelles sont les erreurs fréquentes à éviter lors de la réalisation d'une cartographie ?
Les erreurs les plus fréquentes dans la réalisation d'une cartographie des risques de corruption sont : un périmètre trop étroit excluant les filiales ou les agents commerciaux, la confusion entre risque brut et risque résiduel, l'absence de consultation des équipes opérationnelles, une cartographie non actualisée après une acquisition ou une entrée sur un nouveau marché, et l'insuffisance de documentation de la méthode utilisée. Chacune de ces erreurs est susceptible d'être relevée lors d'un contrôle de l'Autorité française anticorruption et d'entraîner une injonction de mise en conformité.
3. Quels documents sont nécessaires pour conduire une cartographie des risques de corruption ?
Les documents nécessaires à une cartographie robuste comprennent : l'organigramme juridique et fonctionnel actualisé, la liste exhaustive des tiers significatifs, les contrats d'agent et de conseil en vigueur, la politique cadeaux et invitations, les procédures de validation des paiements exceptionnels, les rapports d'audit interne, le registre des conflits d'intérêts et des alertes internes, ainsi que les données géographiques sur les marchés concernés. L'absence de tout ou partie de ces documents est l'un des premiers indicateurs de vulnérabilité relevés lors des contrôles.
4. La cartographie des risques de corruption est-elle obligatoire pour toutes les entreprises ?
La cartographie des risques de corruption n'est pas obligatoire pour toutes les entreprises : elle s'impose aux sociétés et groupes atteignant simultanément les seuils d'effectif et de chiffre d'affaires fixés par les dispositions de la loi Sapin II et de ses textes d'application. En dessous de ces seuils, l'exercice reste fortement recommandé dans le cadre d'une diligence raisonnable vis-à-vis des tiers et pour répondre aux exigences des clients ou partenaires soumis eux-mêmes à l'obligation.
5. Comment intégrer les exigences d'un programme de conformité international dans la cartographie ?
L'intégration des exigences d'un programme de conformité international dans la cartographie des risques de corruption suppose d'identifier les régimes étrangers applicables à titre concurrent – notamment ceux de juridictions dont les textes anticorruption ont une portée extraterritoriale – puis de cartographier les scénarios de risque propres à chaque régime. La méthode consiste à distinguer les risques relevant du droit français de ceux relevant des droits étrangers, à articuler les procédures d'escalade et de validation en conséquence, et à coordonner les travaux avec des conseils locaux dans les juridictions concernées pour garantir la cohérence des évaluations.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les dirigeants, les directions juridiques et les compliance officers dans la conception, la révision et le renforcement de leurs programmes de conformité. Notre intervention couvre la structuration des cartographies des risques de corruption, l'évaluation des tiers, la mise en conformité des procédures internes et le conseil lors des contrôles de l'Autorité française anticorruption. Notre approche est fondée sur une connaissance opérationnelle des dossiers de conformité et sur la rigueur du raisonnement juridique, sans promesse d'issue ni garantie de résultat. Les honoraires sont définis après analyse du dossier.
Pour une analyse de votre programme de conformité au regard du dispositif anticorruption, écrivez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit numérique, de protection des données et de conformité. Elle intervient notamment dans la conception et la révision de programmes de conformité anticorruption. Voir son profil.
Publié le 17 février 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.