Dans le cadre des obligations de conformité LCB-FT des entreprises, la cartographie des risques est l’un des deux documents fondateurs du dispositif avec la procédure interne.
Pourtant, c’est souvent le plus mal compris dans sa finalité réelle. Beaucoup d’organisations produisent un document formel et rédigé pour satisfaire l’obligation sur lequel on ne revient plus ensuite. C’est précisément l’erreur à éviter.
En effet, une cartographie des risques LCB-FT efficace n’est pas un état des lieux figé, c’est un outil de pilotage qui permet de concentrer les efforts de vigilance là où le risque est réel et de les alléger là où il est faible.
On vous explique comment la construire concrètement, étape par étape, avec les repères pratiques qui manquent souvent dans les guides disponibles. C’est parti !
La cartographie des risques LCB-FT : cadre légal et utilité réelle
Avant de se lancer dans la construction du document, il est utile de comprendre ce que la réglementation attend et ce qu’une bonne cartographie apporte vraiment à l’entreprise.
Une obligation réglementaire aux contours précis
L’article L. 561-4-1 du Code monétaire et financier impose à toutes les entités assujetties d’identifier, d’évaluer et de gérer les risques de blanchiment de capitaux et de financement du terrorisme auxquels elles sont exposées en tenant compte de leur taille, de la nature de leur activité et de leurs clients. La cartographie des risques est le document qui formalise cette évaluation.
Elle forme un binôme indissociable avec la procédure interne LCB-FT : la cartographie analyse les risques, la procédure définit comment y répondre. Ces deux documents doivent être cohérents entre eux.
Nous tenons à préciser un point important, celui de la proportionnalité. Ainsi, la réglementation ne demande pas à une TPE de produire un document aussi élaboré que celui d’un établissement bancaire. Comme nous le précisions, la cartographie doit être adaptée à la réalité de l’activité. Une petite structure peut disposer d’un document de quelques pages clair et bien argumenté, ce qui est bien plus pertinent qu’un document de 40 pages copié sur un modèle générique qui ne reflète pas l’activité réelle.
L’utilité de la cartographie des risques LCB-FT
Formaliser une cartographie des risques LCB-FT ne doit pas être vu comme une simple obligation légale, c’est aussi un moyen de protection pour les entreprises. Une cartographie bien construite sert à deux choses concrètes pour les entreprises.
D’abord, elle permet de calibrer les ressources. En identifiant les zones de risque élevé, l’entreprise sait où concentrer ses efforts de vigilance et peut justifier d’alléger les processus là où le risque est faible. C’est ce qui permet d’éviter à la fois la sur-vigilance (qui alourdit l’expérience client et mobilise des ressources inutilement) et la sous-vigilance (qui expose aux sanctions).
Ensuite, elle sert à documenter le raisonnement. En cas de contrôle, les autorités de supervision ne vérifient pas seulement l’existence d’une cartographie, elles examinent aussi la cohérence entre les risques identifiés, les mesures mises en place et leur application réelle. Une cartographie qui ne correspond pas aux pratiques terrain peut entraîner des sanctions de la part des autorités de contrôle.
Comment construire sa cartographie LCB-FT : méthode pas-à-pas
Sur le papier, les entreprises comprennent ce qu’est une cartographie des risques LCB-FT. En revanche, les complications arrivent dès lors qu’il est question de la réaliser.
La démarche de cartographie suit une logique en quatre étapes applicables, quelle que soit la taille de l’organisation, afin de produire un document qui reflète fidèlement la réalité de l’activité et pas seulement un document idéal déconnecté du terrain. On vous explique !
Étape 1 : Identifier les facteurs de risque propres à son activité
Si vous avez bien suivi, vous savez à présent qu’il n’est pas question de dresser une liste abstraite de risques. Vous devez réaliser un inventaire de la réalité de votre activité.
La réglementation européenne et les lignes directrices des autorités de contrôle (ACPR ou encore celles de l’Autorité bancaire européenne (ABE)) distinguent quatre grandes familles de facteurs de risque.
- Les clients : qui sont-ils réellement ?
Particuliers ou professionnels, personnes morales simples ou structures complexes (holdings, trusts, sociétés étrangères), personnes politiquement exposées (PPE) ou non-résidents.
Exemple de classification des risques client
- Les produits et services proposés : certains sont intrinsèquement plus exposés au risque de blanchiment, comme :
- la gestion de fonds pour le compte de tiers ;
- les transactions en espèces ;
- les montages juridiques complexes ;
- la création de sociétés ;
- les actifs numériques ;
- le degré d’anonymat offert par le produit ;
- la complexité du produit ou du mécanisme ;
- les volumes ou montants usuels des opérations ;
- l’exposition internationale.
Exemple de classification des risques liés à la nature des produits ou services
- Les zones géographiques : pays d’origine ou de résidence des clients, pays des contreparties et juridictions sous surveillance renforcée selon les listes du GAFI ou de l’UE.
Exemple de classification des risques liés aux facteurs géographiques
- Les canaux de distribution : la relation en face à face est généralement considérée comme moins risquée que la relation à distance ou via des intermédiaires, cette dernière limitant les possibilités de vérification directe.
Exemple de classification des risques liés aux canaux de distribution
Conseil pratique : ne partez pas de risques théoriques, mais de la liste réelle des clients actifs et des missions ou prestations effectivement réalisées au cours des 12 derniers mois. C’est cette base concrète qui rend la cartographie crédible et utile.
Étape 2 : Évaluer et hiérarchiser les risques
Comme vous l’avez sûrement remarqué dans les extraits de la classification des risques de la DNRED, il faut ensuite attribuer un niveau de risque pour chaque facteur identifié. Pour cela, la méthode la plus simple et la plus facilement justifiable repose sur deux dimensions combinées :
- la probabilité qu’une situation de blanchiment ou de financement du terrorisme se produise via ce facteur compte tenu de la nature de l’activité ;
- l’impact potentiel si cette situation se réalisait (volume financier en jeu, complexité de détection, conséquences réputationnelles et juridiques).
Le croisement des deux dimensions donne un niveau de risque résiduel exprimé selon une graduation simple : faible/moyen/élevé. Pas besoin de sophistication excessive, la lisibilité et la cohérence du raisonnement priment sur la précision mathématique.
| Impact faible | Impact moyen | Impact élevé | |
|---|---|---|---|
| Probabilité faible | Risque faible | Risque faible | Risque moyen |
| Probabilité moyenne | Risque faible | Risque moyen | Risque élevé |
| Probabilité élevée | Risque moyen | Risque élevé | Risque élevé |
Voici un exemple concret pour vous aider à y voir plus clair :
Un cabinet d’expertise comptable qui réalise principalement des missions de tenue de comptabilité pour des PME françaises dans des secteurs classiques présente un risque faible sur le critère « zones géographiques » et moyen sur le critère « produits/services » si une partie de son activité inclut la création de sociétés.
En revanche, si le même cabinet intervient pour des clients étrangers avec des structures de détention complexes, le niveau de risque monte significativement sur plusieurs critères cumulés.
Étape 3 : Associer des mesures d’atténuation à chaque niveau de risque
Une cartographie sans mesures de réponse n’est qu’un constat. Or, sa valeur opérationnelle réside dans le lien direct entre le risque identifié et les dispositions prises pour le maîtriser.
Pour chaque niveau de risque, la cartographie doit indiquer :
- le niveau de vigilance applicable : standard, renforcée ou simplifiée ;
- la fréquence de mise à jour des dossiers clients concernés ;
- les seuils de déclenchement d’un examen renforcé ou d’une déclaration de soupçon à Tracfin ;
- les contrôles internes spécifiques mis en place pour surveiller ce type de risque.
Cette correspondance risque/mesure est le cœur opérationnel de la cartographie. C’est elle qui permet de démontrer, en cas de contrôle, que le dispositif est formalisé et réellement appliqué.
Les mesures de vigilance
Étape 4 : Formaliser, valider et maintenir à jour la cartographie
La cartographie des risques LCB-FT doit être formalisée par écrit dans un document daté et signé par le responsable LCB-FT et, idéalement, par la direction générale afin de marquer l’engagement au plus haut niveau.
Elle n’a pas de format imposé, l’essentiel étant qu’elle soit lisible, cohérente et adaptée à la réalité de l’organisation.
La cartographie des risques LCB-FT doit être mise à jour au minimum une fois par an ainsi qu’à chaque évolution significative, par exemple :
- nouveau type de client ou de prestation ;
- nouveau marché géographique ;
- évolution de la réglementation (nouvelle directive européenne, modification des listes GAFI, etc.) ;
- incident de conformité interne.
La date de dernière révision doit figurer explicitement dans le document, c’est l’un des premiers éléments vérifiés lors d’un contrôle de conformité, quel que soit le secteur.
Adapter la cartographie des risques LCB-FT : les spécificités métier
Au risque de nous répéter (mais c’est important), la cartographie n’est pas un document générique. Ses facteurs de risque dominants varient selon le secteur d’activité et une cartographie efficace doit refléter ces spécificités. Voici quelques points d’attention par métier.
La gestion des risques LCB-FT des experts-comptables et commissaires aux comptes
Les risques dominants pour ces professions concernent principalement les missions qui impliquent un contact direct avec les flux financiers des clients : missions de gestion de fonds pour le compte de tiers, création ou gestion de sociétés, assistance aux opérations de restructuration ou de transmission d’entreprise.
La cartographie doit clairement délimiter quelles missions entrent dans le périmètre LCB-FT et lesquelles n’y sont pas soumises. La tenue de comptabilité pure ou l’établissement des comptes annuels sont généralement hors champ contrairement à la création d’une société pour le compte d’un client ou la gestion de fonds en fiducie. Cette frontière doit être explicitée dans la cartographie, c’est une source fréquente d’erreur.
Les lignes directrices publiées par le Conseil supérieur de l’ordre des experts-comptables (CSOEC) constituent la référence sectorielle à intégrer dans la démarche.
La gestion des risques LCB-FT des avocats et professions juridiques
Les avocats sont assujettis à la LCB-FT uniquement pour les activités listées par la réglementation : transactions immobilières, gestion ou ouverture de comptes bancaires, création et gestion de sociétés ou de structures fiduciaires et certaines opérations de fusion-acquisition.
Les activités purement judiciaires (représentation en justice, consultation juridique non liée à ces activités) sont hors champ.
La cartographie d’un cabinet d’avocats doit donc commencer par identifier précisément quels types de dossiers entrent dans le périmètre, puis évaluer les risques par type de mission. Un cabinet spécialisé en droit des affaires avec une activité de M&A internationale aura une cartographie très différente d’un cabinet de droit de la famille.
Les lignes directrices du Conseil national des barreaux (CNB) fournissent le cadre sectoriel adapté.
La gestion des risques LCB-FT des notaires
Les risques dominants pour les notaires se concentrent sur les transactions immobilières, en particulier celles impliquant des sociétés civiles immobilières (SCI), des acquéreurs étrangers ou des montages avec démembrement de propriété ainsi que sur les successions internationales et la création de sociétés.
Les paiements en espèces font l’objet d’une attention particulière dans ce secteur. Aussi, tout règlement en espèces au-delà des seuils légaux doit être signalé et documenté.
La cartographie doit identifier les types d’actes les plus exposés et les critères de déclenchement d’une vigilance renforcée (nationalité de l’acquéreur, mode de financement, structure de l’acheteur).
Tracfin met en ligne un document pédagogique à destination des notaires.
La gestion des risques LCB-FT des secteurs bancaire, financier et immobilier
Pour les établissements de crédit et les sociétés de gestion, les risques dominants concernent les virements internationaux, les comptes de correspondance avec des banques étrangères, les clients PPE et les produits complexes (gestion d’actifs, assurance-vie en unités de compte).
Ces acteurs disposent de lignes directrices sectorielles détaillées publiées par l’ACPR et l’AMF, qui encadrent précisément la construction de la cartographie.
Pour les professionnels de l’immobilier, les risques prioritaires sont les transactions en espèces, les acquéreurs via des sociétés-écrans ou des montages opaques, et les biens de luxe. La cartographie doit ici distinguer les risques liés au type de bien (résidentiel standard vs bien de prestige), au profil de l’acquéreur et au mode de financement.
Une cartographie des risques LCB-FT n’a de valeur que si elle reflète fidèlement la réalité de l’activité et si elle est effectivement utilisée pour calibrer les mesures de vigilance. Dans un environnement réglementaire qui évolue rapidement, avec notamment les textes du paquet européen AML/AMLA en cours de déploiement, sa mise à jour régulière n’est pas qu’une formalité, mais la condition sine qua non pour qu’elle reste un outil pertinent et utile à la fois pour l’entreprise et vis-à-vis des autorités de supervision.
