JOURNAL
Une cartographie des risques de corruption n'est jamais figée : le 3° du II de l'article 17 de la loi Sapin II (loi n° 2016-1691 du 9 décembre 2016) exige une « documentation régulièrement actualisée ». La loi ne fixe pas de périodicité chiffrée. Notre méthodologie chez Fleurus Avocats distingue deux niveaux : une actualisation complète, dont la périodicité est décidée par l'entité (de l'ordre de 5 ans en pratique), mais aussi déclenchée par un incident (alerte interne, médias, condamnation), les résultats d'un audit, ou l'évolution des activités de l'entité ; et une revue annuelle de la pertinence de la cartographie, indépendante de ces facteurs, qui tient compte de l'évolution de l'environnement interne comme des évolutions légales ou réglementaires. Entre deux actualisations complètes, une mise à jour allégée par questionnaire peut suffire. Reste, dans tous les cas, à transformer cette actualisation en un plan d'actions concret — même si l'AFA ne peut, à elle seule, sanctionner son absence en tant que telle.
Une cartographie construite à un instant donné devient rapidement datée : nouvelle implantation géographique, nouvelle activité, croissance externe, changement de partenaires commerciaux, ou tout simplement retour d'expérience issu de la mise en œuvre du plan d'actions précédent. L'AFA rappelle que la cartographie doit être « évolutive eu égard à la nécessité de réévaluer les risques de manière périodique, en particulier chaque fois qu'une évolution notable se produit dans l'entreprise ». À la faveur de cette actualisation, la cartographie s'inscrit dans une démarche d'amélioration continue plutôt que dans un exercice ponctuel de mise en conformité.
Le texte de l'article 17 impose une documentation « régulièrement actualisée », sans fixer de périodicité chiffrée. L'AFA elle-même rappelle que la cartographie doit être « évolutive eu égard à la nécessité de réévaluer les risques de manière périodique, en particulier chaque fois qu'une évolution notable se produit dans l'entreprise ». Le texte légal laisse donc une marge d'appréciation aux entités assujetties, à charge pour elles de documenter leur propre méthode.
Face à cette marge d'appréciation, notre méthodologie chez Fleurus Avocats structure la mise à jour autour de deux niveaux, distincts mais complémentaires.
Une actualisation complète, dont la périodicité est décidée par l'entité elle-même — en pratique, nous recommandons un rythme de l'ordre de 5 ans — mais qui peut aussi être déclenchée indépendamment de ce calendrier par :
Cette actualisation complète reprend l'intégralité de la procédure décrite dans notre premier article de cette série, avec les entretiens auprès des fonctions concernées. C'est aussi l'occasion de vérifier si les dispositifs de maîtrise mis en place ont effectivement été déployés, et s'ils ont réellement fait baisser le risque net par rapport à l'évaluation initiale.
Une revue annuelle de la pertinence de la cartographie, indépendamment de ces facteurs déclencheurs : chaque année, un examen permet de déterminer si une mise à jour est nécessaire au regard de l'évolution de l'environnement interne de l'entité ou des évolutions légales ou réglementaires. Cette revue doit être documentée, y compris lorsque sa conclusion est qu'aucune mise à jour n'est requise.
Oui, si la cartographie paraît toujours pertinente à l'issue de la revue annuelle. Plutôt que de reconduire des entretiens complets, une mise à jour allégée peut prendre la forme de questionnaires adressés aux fonctions déjà associées à la cartographie initiale, permettant de vérifier que les scénarios de risque identifiés restent d'actualité et que leur cotation (probabilité, impact) n'a pas à être révisée. Cette version allégée n'a de sens que si aucun des facteurs déclencheurs mentionnés ci-dessus (incident, audit, nouvelle activité) n'est survenu entretemps — dans ce cas, une actualisation complète s'impose sans attendre l'échéance décidée par l'entité.
Le plan d'actions traduit la hiérarchisation des risques en mesures concrètes : pour chaque risque jugé critique ou élevé, une action corrective identifiée, un responsable désigné, un calendrier de mise en œuvre et, idéalement, un indicateur permettant de vérifier que l'action a effectivement réduit le risque net. La commission des sanctions de l'AFA a précisé qu'un plan d'actions absent ou insuffisant ne peut, à lui seul, caractériser un manquement à la loi, l'élaboration d'un tel plan ne résultant d'aucune exigence légale autonome au sens du 3° du II de l'article 17 (décision déjà citée dans notre premier article). Cela n'enlève rien à son utilité opérationnelle : sans plan d'actions documenté, la cartographie reste un diagnostic sans suite, ce qui affaiblit la démonstration d'une démarche de prévention réelle en cas de contrôle.
Une cartographie qui n'est jamais mise à jour perd rapidement sa valeur probante en cas de contrôle. Fleurus Avocats accompagne sociétés, établissements publics et collectivités territoriales dans l'actualisation périodique de leur cartographie des risques et dans la construction d'un plan d'actions réellement suivi — y compris sa présentation en legal design pour vos instances de gouvernance. Ces sujets sont également approfondis dans nos formations Fleurus Formations, notamment Réaliser une cartographie des risques.
