La cartographie des risques de corruption est une composante centrale du dispositif anticorruption prévu par la loi Sapin 2. Pour les entreprises assujetties à son article 17, elle doit prendre la forme d’une documentation régulièrement actualisée permettant d’identifier, d’analyser et de hiérarchiser les risques d’exposition à la corruption et au trafic d’influence auxquels l’organisation est réellement confrontée.
Construire une cartographie pertinente ne consiste donc pas à dresser une liste générique de risques. La démarche doit partir des activités, processus, zones géographiques et interactions avec les tiers propres à l’entreprise, puis évaluer les risques identifiés, les dispositifs de maîtrise existants et les éventuelles mesures correctrices à déployer. L’Agence Française Anticorruption (AFA) recommande pour cela une méthodologie structurée en six étapes, allant de la définition des rôles et responsabilités à la formalisation et à l’actualisation de la cartographie.
Alors, comment réaliser une cartographie des risques de corruption conforme aux attentes de l’AFA ? Quels critères intégrer, comment évaluer les risques bruts et résiduels, et à quoi peut ressembler concrètement une cartographie ? Voici la méthode à suivre accompagnée d’un exemple.
Avant d’aborder sa construction, il convient de préciser le rôle exact de la cartographie dans le dispositif anticorruption et ce qu’en attend le cadre réglementaire français.
La cartographie des risques de corruption est un outil d’identification, d’évaluation et de hiérarchisation des risques auxquels une organisation est exposée dans le cadre de ses activités.
Contrairement à une cartographie générale des risques, elle cible spécifiquement les situations susceptibles de conduire à des faits de corruption ou de trafic d’influence.
Elle repose sur plusieurs éléments :
La cartographie des risques Sapin 2 doit refléter les particularités de l’entreprise, être formalisée, documentée et régulièrement actualisée. Un modèle générique ne saurait donc suffire à démontrer la pertinence de l’analyse.
Pour aller plus loin 💡
Retrouvez les points essentiels pour construire et documenter votre cartographie des risques : téléchargez notre checklist en 8 points pour mettre en œuvre votre cartographie des risques de corruption.
La cartographie constitue le socle de l’approche par les risques. Elle permet de dimensionner les mesures de prévention et de détection prévues à l’article 17 de la loi Sapin 2 :
Ces mesures doivent fonctionner de manière cohérente. Les risques identifiés orientent les contrôles, les procédures de due diligence et les actions de remédiation.
| À Retenir 🧠 La cartographie n’est pas une obligation documentaire isolée : elle doit guider l’ensemble du programme anticorruption selon le niveau d’exposition réel de l’entreprise. |
L’article 17 de la loi Sapin 2 concerne notamment les sociétés remplissant les conditions suivantes :
Le texte prévoit également des dispositions concernant certains établissements publics à caractère industriel et commercial (EPIC) et les sociétés appartenant à des groupes entrant dans son champ d’application.
Depuis le 15 juin 2025, son périmètre inclut également certains exploitants d’installations portuaires, indépendamment des seuils classiques, selon les conditions fixées par la loi.
Fiabilisez l’évaluation de vos tiers dans le cadre de Sapin 2
Découvrez comment la solution Sapin 2 – KYC Infolegale centralise les données nécessaires à vos due diligence et adapte vos procédures à votre politique de risques.
La qualité d’une cartographie dépend du travail préalable consacré à la gouvernance, au périmètre d’analyse et à l’identification des processus opérationnels.
Une cartographie efficace nécessite une implication transversale. La direction conformité pilote la démarche, mais ne peut identifier seule l’ensemble des situations d’exposition.
Les responsabilités doivent être réparties entre :
La méthodologie, les circuits de validation et la gouvernance des actualisations doivent également être définis dès le départ.
Le périmètre doit couvrir les activités et structures susceptibles d’exposer l’entreprise à des risques de corruption.
L’analyse porte notamment sur :
L’enjeu est de croiser ces dimensions. Une cartographie construite uniquement par pays ou par catégorie de partenaires risquerait de négliger certains scénarios propres aux activités de l’organisation.
L’identification des risques passe par l’analyse des processus concrets : achats, ventes, appels d’offres, cadeaux et invitations, sponsoring, recrutements, acquisitions, relations avec les agents publics, recours à des consultants ou encore opérations comptables.
Pour collecter les informations pertinentes, plusieurs méthodes peuvent être combinées :
| À savoir 💡 La cartographie doit refléter les pratiques effectives, et non uniquement les procédures écrites. Les retours des collaborateurs opérationnels sont indispensables pour identifier les scénarios d’exposition. |
L’AFA recommande une démarche en six étapes permettant de passer progressivement de la connaissance des activités à la hiérarchisation des risques et au plan d’actions associé.
La première étape consiste à structurer le pilotage du projet et à déterminer les contributions attendues.
L’entreprise désigne :
Elle fixe également les modalités de revue et les responsabilités associées aux futures actualisations.
Pour garantir la traçabilité de la démarche, il est recommandé de conserver la méthodologie retenue, la liste des personnes interrogées et les principaux arbitrages effectués.
L’objectif est de transformer les situations identifiées en scénarios de corruption précis.
Par exemple, lors d’un appel d’offres, un collaborateur pourrait accepter un avantage indu pour favoriser un fournisseur. Autre situation : un intermédiaire commercial pourrait rémunérer illicitement un décideur public pour obtenir un contrat.
Chaque scénario doit être analysé à travers ses facteurs d’exposition :
Le risque brut correspond au niveau d’exposition à un scénario avant prise en compte des mesures de prévention de de contrôle existantes.
Son évaluation peut notamment reposer sur :
La cotation doit être cohérente et justifiable. L’AFA ne prescrit pas de grille chiffrée universelle : chaque entreprise doit construire une méthode adaptée à ses spécificités.
L’entreprise examine ensuite l’efficacité des mesures destinées à limiter chaque scénario.
Cette analyse peut porter sur :
C'est cette analyse de l'efficacité des dispositifs existants qui permet de déterminer le risque résiduel, c'est-à-dire le niveau de risque auquel l'entreprise reste exposée après prise en compte des mesures de maîtrise.
La réévaluation permet d’obtenir le risque résiduel, en tenant compte non seulement de l’existence des contrôles, mais aussi de leur efficacité réelle.
| À retenir 🧠 Risque brut : exposition avant mesures de maîtrise Risque résiduel : exposition subsistante après prise en compte de l’efficacité des mesures existantes. |
Les risques résiduels sont classés selon leur criticité afin de déterminer les priorités de traitement.
Le plan d’actions doit préciser :
Les actions peuvent consister à renforcer une procédure, approfondir une due diligence, ajouter une validation, revoir les contrôles comptables ou sensibiliser les collaborateurs exposés.
Certains tiers pourront également faire l’objet d’une surveillance renforcée.
La cartographie doit être suffisamment structurée pour faciliter son utilisation opérationnelle et sa présentation à l’instance dirigeante.
La documentation comprend notamment :
Une actualisation doit notamment être envisagée en cas d’acquisition, de nouvelle implantation, d’évolution du modèle commercial, de recours à de nouveaux intermédiaires ou d’incident significatif.
|
Pour résumer 📋 |
Il n’existe pas de modèle universel de cartographie : chaque entreprise doit adapter ses critères et ses scénarios à ses activités. En revanche, plusieurs catégories d’informations permettent de structurer un support clair et exploitable.
Pour réaliser une évaluation des risques de corruption complète, le support doit permettre de caractériser chaque scénario, sa criticité et les mesures de prévention associées.
Les informations peuvent être regroupées en quatre catégories :
Ces informations facilitent aussi bien les arbitrages que le suivi des mesures correctrices.
Prenons le cas fictif d’une entreprise qui recourt à un intermédiaire pour développer son activité commerciale sur un marché international.
|
Champ |
Exemple fictif |
|
Processus |
Développement commercial |
|
Situation à risque |
Recours à un intermédiaire |
|
Scénario |
Versement d’un avantage indu à un décideur pour obtenir un contrat |
|
Facteurs de risque |
Marché sensible, rémunération au succès, agent public |
|
Risque brut |
Élevé |
|
Mesures existantes |
Due diligence, surveillance des tiers, validation compliance, clauses anticorruption, contrôle des commissions |
|
Risque résiduel |
Modéré |
|
Actions complémentaires |
Surveillance continue, formation, contrôles renforcés |
|
Responsable |
Compliance / Direction commerciale |
|
Revue |
Annuelle ou événement significatif |
Cet exemple de cartographie des risques est volontairement simplifié. Les niveaux retenus sont illustratifs et supposent que les mesures de maîtrise sont effectivement appliquées et jugées efficaces.
Une fois les scénarios évalués, l’entreprise peut établir une échelle de criticité pour prioriser ses actions.
Voici un exemple de classification :
Cette classification constitue un exemple d’organisation interne et non une échelle imposée par l’AFA.
| À retenir 🧠 Une cartographie doit répondre à quatre questions : quel scénario de corruption peut survenir, pourquoi, avec quel niveau de risque et comment l’entreprise le maîtrise-t-elle ? |
La cartographie identifie les situations dans lesquelles l'entreprise est exposée aux risques de corruption ; l'évaluation des tiers permet ensuite d'appliquer un niveau de vigilance proportionné aux relations d'affaires concernées.
Elle constitue ainsi le point de départ des procédures de due diligence, en définissant les critères de risque à prendre en compte et l'intensité des vérifications à réaliser.
Tous les tiers ne présentent pas le même niveau de risque. Les procédures d’évaluation doivent donc être proportionnées aux facteurs d’exposition identifiés dans la cartographie.
Cela implique notamment de :
Par exemple, une entreprise peut identifier dans sa cartographie un risque de corruption élevé lié au recours à des intermédiaires commerciaux dans certaines zones géographiques.
Ce scénario peut conduire à prévoir des vérifications approfondies pour les intermédiaires concernés : identification des bénéficiaires effectifs, analyse des liens avec des personnes politiquement exposées (PPE), recherche d'informations réputationnelles pertinentes ou validation complémentaire par les équipes Compliance.
À l'inverse, les tiers présentant une exposition plus faible peuvent faire l'objet de contrôles moins approfondis, dans le respect des obligations applicables.
Dans son guide publié en septembre 2026, l’AFA apporte justement des précisions opérationnelles sur le recensement des tiers, leur catégorisation, leur évaluation et le suivi du dispositif.
L'évaluation des tiers doit s'appuyer sur des informations fiables, actualisées et adaptées aux risques identifiés dans la cartographie de l'entreprise.
Selon la nature de la relation d'affaires et le niveau de vigilance requis, les vérifications peuvent notamment concerner :
Avec la solution Sapin 2 – KYC Infolegale, les équipes Compliance peuvent centraliser les informations nécessaires à leurs due diligence et s'appuyer sur des scores de conformité personnalisables selon les critères définis dans leur cartographie des risques.
Cette approche permet d'harmoniser les évaluations, de prioriser les situations nécessitant une vigilance particulière et de faciliter la prise de décision.
Une évaluation ponctuelle ne suffit pas toujours à maîtriser un risque qui évolue dans le temps. L’entreprise doit pouvoir justifier de décisions prises et adapter sa vigilance lorsque de nouvelles informations apparaissent.
Cela suppose :
Il convient toutefois de distinguer l'actualisation de la cartographie des risques de corruption de la réévaluation d'un tiers.
Par exemple, l'apparition d'une information réputationnelle défavorable concernant un fournisseur peut nécessiter une nouvelle analyse de ce tiers et une adaptation du niveau de vigilance, sans entraîner systématiquement une révision de l'ensemble de la cartographie.
En revanche, la multiplication d'incidents similaires ou l'apparition de nouveaux facteurs d'exposition peut justifier une réévaluation des scénarios de risques identifiés dans la cartographie.
Cette documentation permet de démontrer l’effectivité du dispositif. L’AFA apprécie en effet non seulement l’existence des mesures anticorruption, mais également leur pertinence et leur efficacité.
Transformez votre cartographie des risques en procédures opérationnelles
Avec la solution Sapin 2 – KYC Infolegale, centralisez vos due diligence, personnalisez vos scores compliance et assurez la traçabilité de vos évaluations
La valeur d’une cartographie tient autant à sa construction initiale qu’à sa capacité à évoluer avec l’activité, l’environnement réglementaire et les résultats des contrôles internes.
La Loi Sapin 2 exige une documentation régulièrement actualisée, sans imposer une fréquence annuelle uniforme.
Deux approches doivent être combinées : une revue périodique programmée et une mise à jour lorsqu’un événement modifie significativement l’exposition aux risques.
Les principaux déclencheurs sont :
Des indicateurs de pilotage permettent de mesurer l’avancement du dispositif et d’identifier les situations nécessitant une intervention.
Parmi les plus pertinents :
Ils facilitent le reporting auprès de la direction et la priorisation des ressources lorsque cela s’avère nécessaire.
En cas de contrôle de l’AFA, l’entreprise doit pouvoir présenter une démarche structurée et justifier les décisions prises.
Les éléments à conserver comprennent : méthodologie et critères de cotation, comptes rendus d’ateliers et les personnes consultées, sources utilisées, différentes versions de la cartographie, arbitrages et validations de la direction ou encore les plans d’actions et leurs justificatifs de suivi.
| Pour résumer 📋 Une cartographie robuste doit être spécifique, documentée, justifiable, évolutive et reliée aux mesures concrètes du programme anticorruption. |
Approfondissez votre démarche anticorruption
Retrouvez les bonnes pratiques pour structurer votre méthodologie et sécuriser l’évaluation de vos risques
Téléchargez le guide pratique Infolegale de la cartographie des risques de corruption.
Certaines pratiques affaiblissent considérablement la valeur opérationnelle d’une cartographie des risques et peuvent révéler un décalage entre le document et les risques réellement supportés par l’entreprise.
Reproduire un modèle standard sans adaptation constitue une limite importante.
Les erreurs les plus fréquentes consistent à :
Une cartographie des risques pertinente doit reposer sur une analyse circonstanciée des activités et des situations d’exposition.
La cartographie perd son utilité lorsqu’elle ne débouche sur aucune mesure concrète.
Plusieurs incohérences peuvent être révélatrices :
Chaque niveau de risque doit pouvoir être rapproché des mesures destinées à le maitriser.
Une cartographie figée devient progressivement déconnectée de la réalité opérationnelle.
Les conséquences sont alors multiples :
Dans ses enseignements sur les contrôles anticorruption, l’AFA a notamment identifié l’absence de cartographie, le manque d’implication de la direction et l’inadaptation de certains dispositifs aux spécificités des entreprises.
Sécurisez durablement vos évaluations des tiers avec Infolegale
Grâce à la surveillance quotidienne des évolutions juridiques et réputationnelles, aux données documentées et historicisées et à l’agent IA Fred., Infolegale vous aide à détecter les nouveaux signaux de risque et à simplifier vos due diligence. Une approche pour fiabiliser vos évaluations et faciliter l’actualisation de votre dispositif anticorruption
Oui, pour les entreprises et organismes entrant dans le champ de l'article 17 de la loi Sapin 2. Elle constitue l'une des huit mesures obligatoires de prévention et de détection de la corruption.
La réglementation impose une actualisation régulière, sans fréquence annuelle systématiquement obligatoire. Une revue périodique doit être complétée lors des changements significatifs affectant le profil de risque.
Le risque brut représente l'exposition avant prise en compte des mesures de maîtrise. Le risque résiduel correspond à l'exposition subsistant après évaluation de leur efficacité.
Les principaux critères sont les processus, scénarios de corruption, facteurs d'exposition, zones géographiques, tiers concernés, probabilité, impact, dispositifs de maîtrise, cotation résiduelle et actions correctrices.
La cartographie analyse les scénarios de corruption auxquels l'entreprise est exposée. L'évaluation des tiers apprécie les risques liés à une relation d'affaires spécifique, selon les critères et niveaux de vigilance définis par cette cartographie.