1 AMRAE : réponse à consultation AFA – NOVEMBRE 2017 LA CARTOGRAPHIE DU RISQUE DE CORRUPTION Indispensable levier de pilotage des risques, la cartographie globale des risques constitue une étape clé du dispositif de gestion des risques d’une organisation. Elle est mise en œuvre afin d’appréhender les risques majeurs susceptibles d’affecter leurs activités et leur performance, dans l’objectif de se prémunir contre les conséquences juridiques, humaines, économiques, d’image et financières que pourrait générer une vigilance insuffisante. En cartographiant leurs risques majeurs, les organisations créent les conditions d’une plus grande connaissance et donc d’une meilleure maîtrise de ces risques. Par ailleurs, la cartographie globale des risques contribue à la sécurisation des écosystèmes et des modèles économiques dans la mesure où elle implique de disposer aussi d’une connaissance de l’ensemble des processus essentiels de l’organisation. La cartographie globale des risques est un outil d’identification, d’évaluation, de hiérarchisation et de gestion des risques inhérents aux activités de l’organisation. La cartographie des risques de corruption est une dérivation de cette cartographie globale des risques. 1. Définition et objectifs de la cartographie du risque de corruption La cartographie des risques de corruption vise deux séries d’objectifs croisés : - D’une part, identifier, évaluer, hiérarchiser les risques de corruption pour garantir un programme de conformité anticorruption efficace et adapté au modèle économique des organisations concernées ; - D’autre part, informer l’instance dirigeante et donner aux personnes en charge de la conformité, la visibilité nécessaire pour la mise en œuvre de mesures de prévention et de détection proportionnées aux enjeux identifiés par la cartographie. 2. Caractéristiques de la cartographie du risque de corruption La cartographie du risque de corruption présente trois caractéristiques : - Elle doit être précise et couvrir les processus managériaux, opérationnels et supports mis en œuvre par les organisations dans le cadre de leurs activités, et susceptibles 2 AMRAE : réponse à consultation AFA – NOVEMBRE 2017 d’être exposés au risque de corruption. Pour cette raison, la démarche de cartographie nécessite de faire participer les acteurs maîtrisant ces processus ; - Elle doit être formalisée, c’est-à-dire qu’elle prend la forme d'une documentation écrite, structurée et synthétique, établie sur la base d’indications quantifiées, le cas échéant. Elle est confidentielle (enjeux business, protection des données personnelles..) et ne peut être partagée que par les personnes autorisées ; - Elle peut, par exemple, être organisée par métier et par processus ou bien encore par entité ou zone géographique. Elle doit être disponible et pouvoir être présentée sans délai ; - Elle est évolutive eu égard à la nécessité de réévaluer les risques de manière périodique, en particulier chaque fois qu’évolue un élément majeur de l’organisation ou un processus exposé au risque. 3. Une méthodologie en plusieurs étapes La cartographie du risque de corruption procède d’une description objective, structurée et documentée des risques existants. Pour les entreprises dans lesquelles une démarche globale de cartographie des risques existe déjà, la cartographie des risques de corruption suit la méthodologie de cette démarche. Dans tous les cas, la description fait ressortir l’existence des risques et leurs sources, le cas échéant les éléments susceptibles de les accroître (facteurs aggravants), et les réponses apportées ou à apporter, dans le cadre d’un plan d’actions. Dans ce contexte, l’élaboration d’une cartographie du risque de corruption efficace nécessite de respecter plusieurs étapes. Les méthodologies peuvent varier d’une organisation à l’autre, l’important étant d’aboutir à un résultat de nature à apporter un niveau satisfaisant et objectif d’identification et d’évaluation du risque de corruption au sein de l’organisation considérée. Un exemple de méthodologie est proposé ci-après o 1ère étape : clarifier les rôles et les responsabilités dans l’élaboration, la mise en œuvre et la mise à jour de la cartographie des risques. Au sein des organisations, les rôles et responsabilités sont répartis comme suit : - L’instance dirigeante prend la décision et endosse la responsabilité, au nom de l’organisation, d’engager une démarche de lutte contre le risque de corruption. A ce titre, elle désigne un responsable de la conformité. Par son engagement clair, sans réserve et sans équivoque, l’instance dirigeante promeut une culture de la transparence indispensable à l’évaluation des risques. La cartographie du risque de corruption lui est communiquée régulièrement, dans le cadre de la présentation de la cartographie globale ou à l’occasion d’un comité dédié. Elle valide formellement la stratégie de gestion des risques mise en 3 AMRAE : réponse à consultation AFA – NOVEMBRE 2017 oeuvre sur son fondement. L’instance dirigeante veille à ce que les ressources allouées à la lutte contre le risque de corruption soient proportionnées aux enjeux. Elle garantit que les acteurs de la conformité anticorruption disposent des moyens humains et financiers suffisants pour exercer leurs responsabilités. - Le responsable de la conformité est désigné par l’instance dirigeante. Il n’est pas nécessaire que cette fonction soit confiée à une entité exclusivement dédiée à cette responsabilité pourvu que la personne désignée dispose, à l’égard des services, d’une indépendance fonctionnelle réelle. Le responsable de la conformité ainsi désigné pilote le déploiement, la mise en œuvre, l’évaluation et l’actualisation du programme de conformité anticorruption, en étroite coopération avec les parties prenantes de l’organisation. Le responsable de la conformité (ou le Risk manager, quand la fonction existe), pilote l’élaboration de la cartographie des risques de corruption, en accompagnant chaque service dans l’analyse des risques propres à ses fonctions, et processus, et tenant compte des mesures préventives en place. A l’issue de son élaboration, le responsable de la conformité (ou le Risk manager) communique la cartographie des risques à l’instance dirigeante de l’entité ou de l’organisation concernée. Celle-ci peut valider formellement la stratégie de gestion des risques mise en œuvre sur son fondement. Enfin, l’instance dirigeante s’assure que la mise en œuvre du plan d’actions retenu fait l’objet d’un contrôle régulier. - Les responsables des processus managériaux, opérationnels et supports contribuent à l’exercice de cartographie des risques et sont responsables de la couverture des risques spécifiques au périmètre relevant de leur responsabilité. - Le Risk manager, lorsque cette fonction existe, est responsable de la méthodologie utilisée pour identifier et analyser les risques de corruption. Il est appelé à en rendre compte à l’instance dirigeante dans le cadre des présentations régulières qu’il fait sur l’ensemble des risques majeurs de l’organisation. o 2ème étape : identifier les risques inhérents aux activités des organisations concernées, tenant compte de leur exposition Cette étape vise à dresser la typologie des risques à laquelle les organisations sont exposées dans le cadre de leurs activités, en fonction de leur niveau de vulnérabilité. Il ne s’agit pas de décliner la typologie théorique des risques auxquelles ces organisations sont exposées mais de procéder à un état des lieux précis permettant d’identifier, de manière circonstanciée et documentée, les risques qui leur sont propres. Dans ce cadre, la cartographie du risque de corruption doit veiller à prendre en considération l’intervention des tiers à l’organisation concernée, dans la mesure où cette intervention peut occasionner une exposition à une sollicitation aux fins de corruption 4 AMRAE : réponse à consultation AFA – NOVEMBRE 2017 (facteur de risque). Cette vérification implique la mise en œuvre de procédures d’évaluation des tiers (« due diligences »). Ce niveau de vulnérabilité est évalué au moyen de : - facteurs de risque ou sources de risque (exemples : pays ou secteur d’activité sensible, nature des opérations, nouveau produit, contrat à haute valeur commerciale et/ou particulièrement complexe, nombre élevé d’interactions avec les tiers, pression excessive sur les ventes, faiblesse constatée du contrôle interne, environnement fortement compétitif…). o 3ème étape : évaluer le niveau de maitrise de ces risques Cette étape vise à évaluer le niveau de maîtrise par l’organisation des risques de corruption. Il convient dès lors, à ce stade d’élaboration de la cartographie, d’évaluer l’efficacité des mesures de prévention existantes afin de maîtriser les risques. Cette évaluation sera fonction de la structuration des dispositifs en place et du bilan tiré de leur mise en œuvre. Exemple : tableau d’aide à l’évaluation d’un dispositif de prévention o 4ème étape : hiérarchiser les risques Une fois les risques de corruption déterminés, il convient de les hiérarchiser en identifiant les risques qu’il s’agit de traiter en priorité. Une fois ces priorités fixées, il s’agit de déterminer, dans le cadre de la stratégie de gestion des risques, les mesures à mettre en 5 AMRAE : réponse à consultation AFA – NOVEMBRE 2017 œuvre afin de corriger les lacunes du dispositif de prévention et ainsi d’augmenter le niveau de maîtrise de l’organisation. Sur la base de ces éléments, un plan d’actions sera élaboré. Le calendrier et les modalités de mise en oeuvre de ce plan d’action, ainsi que son suivi et les modalités de compte-rendu associés, sont confiés à la responsabilité d’acteur(s) précisément désigné(s). o 5ème étape : formaliser la cartographie et la tenir à jour. La cartographie des risques est écrite et structurée. Son résultat est présenté de manière synthétique. A cet égard, il est rappelé que la forme de la cartographie des risques facilite son appropriation comme outil de pilotage des risques de corruption. La documentation peut être organisée par métier et par processus, ou par entité ou région. Elle est accompagnée d’une annexe décrivant les modalités d’élaboration de la cartographie des risques et la méthodologie de classification des risques de corruption. Enfin, la nécessité d’actualiser la cartographie est évaluée chaque année. En tout état de cause, la cartographie des risques de corruption doit être mise à jour en fonction de l’évolution de l’activité. Parmi les évènements nécessitant de réévaluer la cartographie : l’évolution du modèle économique, de nouveaux processus ou leur transformation, un changement significatif affectant l’organisation (exemples : mise en œuvre d’un nouvel organigramme, fusion-acquisition …), une évolution significative du contexte réglementaire ou économique.