Que dit la loi Sapin II sur la cartographie des risques ?
Mis à jour le
La loi Sapin II du 9 décembre 2016 impose, à son article 17, un dispositif de prévention de la corruption comprenant huit mesures, dont une cartographie des risques d'exposition à la corruption. Cette cartographie doit être régulièrement actualisée et prendre la forme d'une documentation permettant d'identifier, d'évaluer et de hiérarchiser les risques selon les secteurs d'activité et les zones géographiques. L'obligation vise les sociétés et les établissements publics à caractère industriel et commercial employant au moins 500 salariés et réalisant plus de 100 millions d'euros de chiffre d'affaires. Les administrations de l'État, les collectivités territoriales, leurs établissements publics et leurs sociétés d'économie mixte ne sont pas visés par cette obligation, mais l'Agence française anticorruption contrôle leur dispositif de prévention au titre de l'article 3 de la même loi, sans condition de taille.
Les huit mesures de l’article 17
La cartographie ne se suffit pas à elle-même : elle est l'une des huit composantes du dispositif énuméré au II de l'article 17.
- Un code de conduite
- Un dispositif d'alerte interne
- Une cartographie des risques
- Des procédures d'évaluation des tiers
- Des procédures de contrôles comptables
- Un dispositif de formation
- Un régime disciplinaire
- Un dispositif de contrôle et d'évaluation interne des mesures
Ce qui est attendu de la cartographie
L'Agence française anticorruption examine la méthode autant que le résultat : la façon dont les processus ont été découpés, la manière dont les risques ont été cotés, et l'implication des métiers dans cette cotation.
Une cartographie établie par la seule direction de la conformité, sans confrontation aux opérationnels, est régulièrement relevée comme insuffisante, elle décrit alors les risques théoriques plutôt que les risques réels.
Source : Agence française anticorruption : recommandations du 12 janvier 2021
Le point le plus souvent négligé
L'actualisation. Une cartographie est un état à une date ; sans reprise périodique et sans traçabilité des versions successives, il devient impossible de démontrer que le dispositif a suivi l'évolution de l'activité.