Cartographie des risques
L'outil qui identifie, évalue et hiérarchise les risques auxquels une organisation est exposée, pour décider où concentrer les contrôles.
Définition
La cartographie des risques est une démarche structurée qui recense les risques d'une organisation (corruption, blanchiment, cyber, opérationnels, juridiques, climatiques…), les évalue selon leur probabilité et leur impact, en déduit un niveau de risque brut, puis un risque net après prise en compte des contrôles existants, et débouche sur un plan d'action.
Elle est le socle de l'approche par les risques exigée par la LCB-FT, la loi Sapin 2, le RGPD ou DORA : c'est elle qui justifie que l'on renforce la vigilance sur certains clients, processus ou pays et qu'on l'allège ailleurs.
Pourquoi c'est important
Une cartographie absente, générique ou non actualisée est le premier grief relevé par l'AFA et l'ACPR lors de leurs contrôles : sans elle, l'entreprise ne peut pas démontrer que ses contrôles sont proportionnés. C'est aussi un outil de pilotage pour la direction, qui permet d'allouer les moyens là où le risque est réel.
En pratique
- Découper l'activité en processus et en scénarios de risque concrets
- Interroger les opérationnels : ateliers, entretiens, retours d'incidents
- Coter chaque scénario (probabilité × impact) avec une échelle documentée
- Recenser les contrôles existants et évaluer leur efficacité
- Prioriser les plans d'action et nommer un responsable par action
- Actualiser la cartographie chaque année et à chaque changement significatif
Textes de référence
- Loi Sapin 2, article 17, II, 3°
- Code monétaire et financier, article L. 561-4-1 (classification des risques LCB-FT)
- Norme ISO 31000 (management du risque)
- Recommandations AFA et lignes directrices ACPR
