JOURNAL
La cartographie des risques de corruption est une obligation légale posée par le 3° du II de l'article 17 de la loi n° 2016-1691 du 9 décembre 2016, dite loi Sapin II. Elle s'impose aux sociétés employant au moins 500 salariés et réalisant plus de 100 millions d'euros de chiffre d'affaires, ainsi qu'aux établissements publics à caractère industriel et commercial (EPIC) remplissant les mêmes seuils. Au-delà de ce seuil chiffré, l'Agence française anticorruption (AFA) considère, dans le cadre de sa mission générale de contrôle des personnes publiques, que cette exigence s'étend en réalité à l'ensemble des personnes publiques — administrations de l'État, collectivités territoriales, leurs établissements publics, sociétés d'économie mixte — quel que soit leur effectif. Les décisions rendues par la commission des sanctions de l'AFA montrent par ailleurs que les manquements les plus fréquemment relevés en contrôle portent moins sur l'existence de la cartographie que sur la qualité de sa méthodologie : scénarios trop génériques, couverture géographique incomplète, hiérarchisation insuffisamment documentée.
L'article 17 de la loi Sapin II vise en premier lieu les sociétés employant au moins 500 salariés — ou appartenant à un groupe dont la société mère a son siège en France et dont l'effectif atteint ce seuil — et dont le chiffre d'affaires, ou le chiffre d'affaires consolidé, dépasse 100 millions d'euros. Ce sont les présidents, directeurs généraux et gérants de ces sociétés que la loi charge de mettre en œuvre les mesures prévues au II de l'article 17, mais l'obligation demeure celle de la société elle-même : en cas de manquement, celle-ci est responsable en tant que personne morale, indépendamment de la responsabilité de ses dirigeants.
Cette obligation ne s'arrête pas au secteur privé. La loi l'étend explicitement aux établissements publics à caractère industriel et commercial (EPIC) employant au moins 500 salariés, ou appartenant à un groupe public de même ampleur, et dépassant le même seuil de chiffre d'affaires. Un EPIC de taille suffisante est donc soumis exactement aux mêmes exigences de cartographie qu'une société privée comparable — un point que la pratique tend à sous-estimer.
Au-delà de ce seuil chiffré, l'AFA va plus loin. Dans le cadre de sa mission générale de contrôle de la qualité et de l'efficacité des procédures de prévention de la corruption au sein des administrations de l'État, des collectivités territoriales, de leurs établissements publics et des sociétés d'économie mixte (article 3, 3° de la loi), l'Agence considère que l'exigence de cartographie des risques s'applique à l'ensemble des personnes publiques, quel que soit leur effectif. Une commune, un établissement public administratif ou une société d'économie mixte de petite taille entrent donc, eux aussi, dans le champ d'attention de l'AFA, alors même qu'ils ne remplissent pas les seuils chiffrés de l'article 17.
Lorsque la société établit des comptes consolidés, l'obligation porte sur l'ensemble du groupe : les filiales et sociétés contrôlées sont réputées satisfaire à leurs propres obligations dès lors que la société mère met en œuvre une cartographie qui leur est étendue.
Le 3° du II de l'article 17 impose la mise en place d'une « cartographie des risques prenant la forme d'une documentation régulièrement actualisée » destinée à « identifier, analyser et hiérarchiser les risques d'exposition » de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d'activité et des zones géographiques dans lesquels elle exerce. Il ne s'agit donc pas d'un document figé remis une fois pour toutes, mais d'un exercice vivant, appelé à évoluer avec l'activité de l'entité.
L'Agence française anticorruption, instituée par l'article 1er de la même loi, contrôle le respect de cette obligation en application de l'article 3, 3°. En cas de manquement constaté, le directeur de l'Agence peut adresser un avertissement ou saisir la commission des sanctions, qui peut enjoindre à la société d'adapter ses procédures ou prononcer une sanction pécuniaire, dans les limites rappelées ci-dessus.
La démarche se déroule en plusieurs temps, dont l'enchaînement conditionne la solidité de l'ensemble :
Les décisions de la commission des sanctions de l'AFA dessinent une ligne assez constante sur les insuffisances méthodologiques qui caractérisent un manquement au 3° du II de l'article 17.
La première erreur récurrente tient au recours à des scénarios trop génériques, qui ne permettent pas une analyse fine des processus propres à l'entité contrôlée. Dans une décision du 4 juillet 2019, la commission a ainsi retenu qu'une méthodologie reposant sur des scénarios génériques, laissés à la charge des filiales étrangères pour l'identification de leur propre exposition, ne garantissait pas une analyse suffisamment fine des vulnérabilités de la société sur l'ensemble de ses processus (Agence française anticorruption, commission des sanctions, décision n° 19-01 du 4 juillet 2019).
La deuxième erreur porte sur la couverture géographique. Une décision du 7 février 2020 a relevé l'absence d'analyse documentée pour plusieurs zones d'implantation de la société contrôlée, faute d'éléments permettant de démontrer qu'un exercice d'identification des risques y avait bien été mené (Agence française anticorruption, commission des sanctions, décision n° 19-02 du 7 février 2020).
La troisième erreur concerne la pondération et la hiérarchisation des risques : la même décision a retenu une incohérence méthodologique, les facteurs de pondération ayant été appliqués à un niveau agrégé qui effaçait la granularité obtenue lors de la phase d'identification (Agence française anticorruption, commission des sanctions, décision n° 19-02 du 7 février 2020).
Il convient toutefois de noter que la commission des sanctions distingue nettement les exigences légales des simples recommandations de l'AFA. Elle a ainsi jugé que l'absence ou l'insuffisance d'un plan d'action ne pouvait, à elle seule, caractériser un manquement à la loi, l'élaboration d'un tel plan ne résultant d'aucune exigence légale autonome (Agence française anticorruption, commission des sanctions, décision n° 19-02 du 7 février 2020). Une décision du 30 novembre 2021 est par ailleurs venue préciser les exigences attendues sur l'articulation entre cartographie et contrôles comptables anticorruption, ces derniers devant être conçus au regard des risques effectivement cartographiés (Agence française anticorruption, commission des sanctions, décision du 30 novembre 2021, n° 19-2).
Il en résulte que la conformité au 3° du II de l'article 17 se joue moins sur la forme de la cartographie que sur la démonstration d'une méthodologie documentée, cohérente et réellement adaptée à l'activité de l'entité.
La conformité au 3° du II de l'article 17 ne s'arrête pas à la rédaction d'un document : elle suppose une méthodologie documentée et défendable en cas de contrôle. Fleurus Avocats accompagne sociétés et établissements publics dans la construction ou la mise à jour de leur cartographie des risques anticorruption. Un modèle de registre des risques est également disponible sur demande — voir notre second article de cette série.
