Levier indispensable à la lutte contre la corruption, la cartographie des risques constitue le socle de base de l’identification des risques pour une entreprise. Elle permet d’identifier et hiérarchiser les risques, pour mieux les gérer par la suite. L’Agence Française Anticorruption définit la cartographie des risques comme une « démarche d’identification, d’évaluation, de hiérarchisation et de gestion des risques inhérents aux activités de l’organisation. » Elle permettrait ainsi de mieux déterminer la stratégie de l’entreprise concernant la lutte contre la corruption et de l’adapter au besoin. La cartographie des risques va de pair avec l’évaluation de l’intégrité des tiers. Ces deux processus permettent de mettre en place la stratégie de défense la plus efficace possible contre les malversations financières.
Afin d’obtenir une cartographie efficace et complète, l’AFA a partagé 6 étapes que peuvent suivre les entreprises lors de la mise en place de leur stratégie de lutte contre la corruption, en plus des recommandations sur les contrôles comptables du pilier 3 de la loi Sapin 2.
1. Clarifier les rôles et les responsabilités dans l’élaboration, la mise en œuvre et la mise à jour de la cartographie des risques.
Cette première étape consiste à définir les rôles de chaque membre de l’entreprise, et d’en incomber des responsabilités. Qu’il s’agisse de l’instance dirigeante, du responsable conformité, des responsables processus ou des membres du personnel, chacun dispose d’obligations en fonction du poste, dont ils doivent être conscients.
La première étape va donc permettre de définir et répartir les tâches à chaque membre de l’organisation.
2. Identifier les risques inhérents aux activités des organisations concernées.
Une fois les rôles et responsabilités définis, il est nécessaire d’identifier les potentiels risques auxquels l’organisation peut faire face. Pour ce faire, l’entreprise peut avoir recours à 3 types de recensement :
- Recensement des risques connus
- Recensement par les processus
- Recensement par les zones géographiques
Ces trois recensements comprennent des situations à risque qui vont être mis en exergue à travers cette étape, notamment par le biais d’inventaires et d’indicateurs externes à l’entreprise.
3. Evaluer l’exposition aux risques de corruption.
Une fois les risques identifiés, l’entreprise va pouvoir effectuer un travail de détection des possibilités de corruption ainsi que son exposition et son niveau de vulnérabilité face à ces menaces. Pour cela, plusieurs éléments entrent en compte, notamment la probabilité de l’occurrence du risque, ainsi que les facteurs aggravants impactant son niveau d’exposition. Enfin, il s’agit de déterminer dans quelle mesure ce risque peut affecter l’organisation. Il peut s’agir d’un impact pénal, financier, réputationnel ou encore opérationnel.
Pour mieux l’évaluer, et s’y préparer, l’entreprise doit d’abord définir son risque et sa propre exposition.
4. Evaluer l’adéquation et l’efficacité des moyens visant à maîtriser ces risques.
Suite à l’évaluation de son exposition, l’organisation va procéder à une réévaluation des risques (brut), cette fois-ci en prenant en considération les moyens de prévention mis en œuvre. Le résultat sera le risque net que l’entreprise pourra prendre en compte afin de mettre en place sa stratégie.
5. Hiérarchiser et traiter les risques « nets » ou « résiduels ».
L’avant-dernière étape consiste à hiérarchiser et classer les risques. Il faut donc distinguer ceux pour lesquels la stratégie de contrôle interne est suffisante, et ceux qui nécessitent une meilleure maitrise.
Ensuite, il s’agira de déterminer la marche à suivre en fonction de chaque risque, à savoir les actions à mettre en place, ainsi que leurs responsables, et le calendrier de mise en place de ces actions.
6. Formaliser la cartographie et la tenir à jour
Pour terminer le processus, il est nécessaire de rédiger la cartographie et de la structurer au mieux. Pour ce faire, l’AFA conseille d’inclure les éléments suivants dans la rédaction de la cartographie :
- Méthodologie
- Échelles d’évaluation des risques
- Énumération des facteurs aggravants
- Présentation synthétique des risques bruts et nets
- Fiche de risques pour chaque processus
Ainsi, la cartographie des risques permet aux entreprises d’établir une stratégie adaptée à leurs besoins et surtout aux risques qu’ils sont susceptibles de rencontrer. Elle confère aux responsables conformité la visibilité nécessaire pour la prise de décisions. La cartographie se doit d’être évolutive, formalisée, et prend en compte les spécificités et besoins de chaque organisation.
Pour obtenir davantage d’informations sur la mise en place de la cartographie des risques, l’AFA a partagé un document sur ces 6 étapes en détail afin de mieux guider les entreprises.