Introduction

Champ d'application

Programme de conformité

Protection des lanceurs d'alerte 

Contrôle et sanctions

Règles issues de la loi Sapin II

Droit européen 

Droit français

Règles issues du droit de la concurrence

Sapin II/Concurrence

Champ d’application ratione personae

Champ d’application ratione materiae

Portée du plan

Elaboration du plan

Mesures comprises dans le plan

Inclusion dans le rapport de gestion

Plan de vigilance

Injonction

Responsabilité civile

Sanctions

Devoir de vigilance

Programme RSE

Reporting

Communication

Reporting et communication

Sanctions judiciaires

Risque de réputation, stratégique et de déstabilisation

Code Middlenext 

Corpus IFA

Code AFEP - MEDEF 

Typologie 

Principes de gouvernance

Principes intégrant les valeurs RSE

Principes

Appliquer ou expliquer

Force obligatoire

Codes de bonne conduite privés

Lutte contre la corruption, Devoir de vigilance, RSE, toutes les nouvelles obligations des entreprises en la matière

Droit de la compliance

Disposer d’une connaissance précise de l’entreprise, de ses activités et des processus dont celles-ci requièrent la mise en oeuvre, ainsi que des rôles et responsabilités des acteurs concernés de l’entreprise, quel que soit leur niveau, constitue la condition préalable à l’élaboration de la cartographie des risques. Cette connaissance permet de garantir que la cartographie reflètera fidèlement les …

Etapes de l'élaboration de la cartographie des risques

Disposer d’une connaissance précise de l’entreprise, de ses activités et des processus dont celles-ci requièrent la mise en oeuvre, ainsi que des rôles et responsabilités des acteurs concernés de l’entreprise, quel que soit leur niveau, constitue la condition préalable à l’élaboration de la cartographie des risques. Cette connaissance permet de garantir que la cartographie reflètera fidèlement les risques auxquels l’entreprise est réellement exposée lorsqu’elle interagit avec des tiers. Une fois que cette condition est remplie, l'Agence française anticorruption (AFA) préconise qu'une méthodologie d’identification des risques soit mise en place, permettant d’assurer que la société soit en mesure de réaliser une analyse fine des vulnérabilités existantes sur la totalité de ses processus en France, comme dans les autres pays où elle est implantée. L'AFA recommande, pour l'élaboration de la cartographie, de suivre un processus en six étapes . 

La première étape a pour objet d'organiser et répartir les rôles et responsabilités des parties prenantes à la cartographie des risques. A l’instance dirigeante, reviendra la charge de promouvoir l’exercice de cartographie des risques et de donner les moyens de sa mise en œuvre au responsable de la conformité, de valider la stratégie de gestion des risques mise en œuvre sur son fondement et de s’assurer de la mise en œuvre du plan d’actions retenu. Au responsable de la conformité, il incombera de coordonner l’élaboration de la cartographie des risques, en accompagnant l’entreprise dans le recensement des processus, dans l’identification des risques de corruption, dans l’évaluation et la hiérarchisation de ces risques et dans la définition et la mise en œuvre de mesures concourant à leur maîtrise, de communiquer la cartographie élaborée à l’instance dirigeante à chacune de ses mises à jour et de l'informer du suivi du plan d’actions. Aux responsables des processus décisionnels, opérationnels, comptables et autres activités support, il revient de contribuer, tous et chacun à leur place, à l’élaboration et à la mise à jour de la cartographie des risques, en identifiant les risques spécifiques à leurs activités conformément aux procédures anticorruption en vigueur dans l’entreprise. Au responsable en charge de la maîtrise des risques, si l’entreprise en a désigné un, il appartient de contribuer également à la définition de la méthodologie utilisée pour identifier, analyser, hiérarchiser et gérer les risques de corruption, en étroite collaboration avec le responsable de la conformité. Enfin, les personnels de l'entreprise, forts de leur expérience pratique des processus de l’entreprise, doivent apporter leur contribution à l’exercice de cartographie en rendant compte des facteurs spécifiques aux fonctions qu'ils exercent et aux risques qu'ils encourent afin qu’en soient tirées les conséquences sur l’identification, l’évaluation et la hiérarchisation des risques.

La deuxième étape consiste à recenser les processus et scénarios de risques. L’identification des risques de l’entreprise doit s’appuyer sur une analyse fine de ses processus. L’entreprise doit d'abord recenser ces processus sur le fondement des activités qu’elle exerce, sans préjuger des résultats de la cartographie des risques, en dressant a priori une liste de ceux qu'elle juge les plus représentatifs ou les plus exposés aux risques. Ensuite, elle doit organiser des échanges, notamment au moyen d’ateliers, d’entretiens, ou de l’envoi de questionnaires, avec des personnels de tous niveaux hiérarchiques et issus de l’ensemble de l’entreprise, sélectionnés pour leur maîtrise opérationnelle de ces processus. Il s'agit d'identifier les scénarios de risques auxquels l’entreprise est exposée dans le cadre de ses activités, le cas échéant attachés à certains métiers, filiales ou zones géographiques notamment. Selon la commission des sanctions, la recommandation de l'AFA n'impose pas pour autant aux entreprises de justifier d'une représentation exhaustive de l'ensemble des fonctions et des métiers, ni de tous les sites où elles exercent leurs activités. Elles doivent en effet demeurer libres de retenir les fonctions, les métiers ou les sites qui leur paraissent représentatifs de leurs activités, ou encore, les responsables qui leur paraissent aptes à exprimer des avis utiles sur les scénarios de risques, pour autant qu'il en résulte une identification pertinente des risques propres à la société . De même, la recommandation de l'AFA n’impose aucun niveau de granularité prédéfini : l'entreprise peut décider de ne pas traiter de façon particulière un pays ou un niveau inférieur au pays, comme un site, si elle démontre que cette situation résulte d’un choix fondé sur une analyse précise de sa chaîne de valeur et de ses activités propres . Les scénarios de risques sont identifiés en tenant compte de l’environnement dans lequel s’inscrit l’entreprise, qui peut notamment être affecté par : les pays dans lesquels l’entreprise déploie ses activités ; les secteurs d’activité ; la nature des opérations  ; la nature du tiers, son secteur d’activité, la nature des relations (directe ou indirecte), la présence de personnes politiquement exposées, le degré de dépendance économique ; la durée du cycle de vente et la pression concurrentielle, les modalités de rémunération des commerciaux ; les conditions et les moyens de paiement ; l’historique des incidents constatés au sein de l’entreprise  ou les faits ayant donné lieu à des décisions juridictionnelles concernant des entreprises aux risques comparables.


La troisième étape vise à évaluer les risques “bruts” auxquels l’entreprise est exposée, c’est-à-dire les risques considérés en amont des moyens de maîtrise mis en œuvre. Il s'agit d'évaluer le niveau de vulnérabilité de l’entreprise pour chaque scénario de risque identifié au cours de la deuxième étape, au moyen de trois indicateurs : l’impact , la fréquence  et les facteurs aggravants . L’évaluation des risques bruts doit être conduite sur le fondement d’une méthodologie homogène : l’entreprise doit veiller à ce que les évaluations des risques bruts émanant des différents métiers, filiales ou zones géographiques puissent être agrégées de manière cohérente. En outre, la commission des sanctions indique que constituerait une erreur méthodologique, le fait d'appliquer les facteurs aggravants de pondération du risque, tenant au chiffre d'affaires réalisé et à la  sensibilité géographique, au niveau du groupe alors que la phase d'évaluation a porté sur des zones  géographiques déterminées .

La quatrième étape consiste à évaluer les risques “nets” ou “résiduels”, c'est-à-dire ceux qui subsistent après la mise en oeuvre de mesures visant à les contenir. Le recensement des moyens de maîtrise des risques déjà existants et mis en œuvre est réalisé à l’occasion des échanges avec le personnel, conduits dans le cadre de l’identification des risques inhérents aux activités de l’entreprise. L'évaluation de leur efficacité, qui peut s’appuyer sur les audits réalisés, est réalisée par le responsable de la conformité, en lien si nécessaire avec les responsables des fonctions de l’entreprise concernées et avec l’appui éventuel de l’audit interne et du responsable de la maîtrise des risques, quand l’entreprise possède une telle fonction.

La cinquième étape est celle au cours de laquelle les risques nets ou résiduels sont hiérarchisés et un plan d’actions est élaboré. En effet, une fois les risques “nets” ou “résiduels” évalués, un classement par niveau des scénarios de risques apparaît. Lorsque les scénarios de risques définis présentent une évaluation nette de même niveau et si l’entreprise juge utile de les départager pour prioriser les actions à mettre en œuvre, elle peut les hiérarchiser au moyen d’une méthode objective adaptée à ses activités spécifiques, reposant sur la combinaison de plusieurs critères comme le risque-pays, le chiffre d’affaires, la nature et le type de relations avec les tiers. Cette hiérarchisation des risques permet de distinguer les risques pour lesquels le niveau de maîtrise est considéré comme suffisant de ceux pour lesquels l’instance dirigeante souhaite améliorer la maîtrise, au moyen notamment d’un renforcement du contrôle interne. L'entreprise est libre du choix de la méthode de hiérarchisation des risques : elle peut les classer en fonction de seuils d'admissibilité ou par ordre de priorité . Après que la limite d’acceptabilité du risque ait été fixée et documentée, l'AFA recommande aux entreprises de déterminer, dans le cadre de la stratégie de gestion des risques, les mesures à mettre en œuvre afin de les maîtriser. A cet égard, elle préconise l'élaboration d'un plan d’actions sur le fondement de ces éléments, dont le calendrier, les modalités de mise en œuvre, le suivi et les modalités de compte rendu, sont confiés à la responsabilité d’acteurs précisément désignés. Dans sa deuxième décision de sanction, la commission des sanctions de l'AFA a cependant estimé que cette dernière exigence ajoutait à la loi. Aucune critique tirée de l'absence ou de l'insuffisance du plan d'action prévu par la recommandation ne peut dès lors être retenue contre une entreprise pour caractériser un manquement à la loi Sapin II de nature à fonder l'application d'une sanction .

La sixième étape consiste dans la formalisation, la mise à jour et l'archivage de la cartographie des risques. La présentation de la cartographie des risques participe de son appropriation comme outil de pilotage des risques de corruption. L'AFA recommande que la nécessité éventuelle d’actualiser la cartographie soit appréciée chaque année . Une telle mise à jour permet, le cas échéant, à l’entreprise d’adapter sa méthodologie ou d’adopter une nouvelle méthodologie pour que la cartographie qui en sera issue offre l’assurance raisonnable que les risques identifiés reflètent fidèlement les risques auxquels elle est réellement exposée, soient évalués à leur juste niveau et correctement hiérarchisés. La modification de la méthodologie entre la date du contrôle et celle de la décision de la commission des sanctions de l'AFA permet d'ailleurs à l'entreprise d'échapper à toute sanction, si elle établit que les changements apportés à une cartographie initialement jugée trop générique ont renforcé la pertinence de la méthodologie d’identification des risques employée, et amélioré sa qualité et son effectivité au niveau du groupe . Enfin, l'AFA recommande la conservation de certains éléments, qui permettront d’apprécier la mise en œuvre effective de la cartographie. Il s'agit : des échanges avec les personnels concernés (calendriers, notes, synthèses écrites) ; de la méthode de calcul des risques “ bruts ”, ainsi que des définitions retenues ; de la méthode de calcul des risques “ nets ” ou “ résiduels ”, ainsi que des définitions retenues ; des procédures d’identification et de classification des risques ; des différentes versions des cartographies présentées aux instances dirigeantes, de leur validation et des plans d’actions validés y afférents ; des comptes rendus des différents comités dédiés. Les différentes versions des cartographies, ainsi que leur piste d’audit, doivent être datées, référencées et archivées.

Recommandations de l'AFA destinées à aider les personnes morales de droit public et de droit privé à prévenir et à détecter les faits de corruption, de trafic d’influence, de concussion, de prise illégale d’intérêts, de détournement de fonds publics et de favoritisme du 4 décembre 2020, JORF du 12 janvier 2021, pts 128 s.

AFA, 7 février 2020, LawLex202200001353JBJ.

V. cep. AFA, 7 février 2020, LawLex202200001353JBJ, qui estime que l'AFA est incompétente pour imposer une obligation de mise à jour annuelle de la cartographie des risques.

AFA, 4 juillet 2019, LawLex202200001320JBJ. - V. égal. AFA, 7 février 2020, LawLex202200001353JBJ, admettant les évolutions méthodologiques en cours d'élaboration de la cartographie, pour autant qu'elles soient justifiées.

Notamment les opérations stratégiques comme les fusions-acquisitions, les cessions d'actifs, l'association avec un nouveau partenaire stratégique, etc.

Notamment ceux que les audits internes ou le dispositif d’alerte interne ont permis de révéler, qui ont, le cas échéant, donné lieu à l’application du régime disciplinaire.

L'impact d'un scénario de risque peut être réputationnel, financier, économique ou juridique. Un même scénario de risque peut cumuler plusieurs types d’impacts.

Une probabilité d’occurrence est déterminée à l’aide des informations les plus complètes et les plus adaptées à la spécificité du risque identifié, tirées notamment de l'historique des incidents.

L’appréciation des facteurs aggravants est réalisée par application de coefficients de gravité. Pour les entreprises développant leurs activités à l’international, ce coefficient permet notamment de prendre en considération, au stade de l’évaluation des risques bruts, l’incidence de l’implantation géographique.

Droit de la compliance

33. Etapes de l'élaboration de la cartographie des risques

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

33. Etapes de l'élaboration de la cartographie des risques

Demandez un accès gratuit au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise