Cartographie des risques réglementaires CGP : le guide complet 2026

La cartographie des risques réglementaires est le document racine de la conformité d'un cabinet de conseil en gestion de patrimoine. C'est aussi la première pièce que réclament l'AMF ou l'ACPR lors d'un contrôle sur place. Concrètement, une cartographie des risques CGP recense, évalue et classe l'ensemble des risques de blanchiment et de financement du terrorisme (LCB-FT) auxquels votre cabinet est exposé — client par client, produit par produit. Bien construite, elle légitime et structure toutes vos procédures de vigilance. Absente ou bâclée, elle constitue le premier motif de sanction relevé par les régulateurs. Ce guide vous explique, pas à pas, comment la construire, la coter et la maintenir en 2026. Pour replacer cet outil dans l'ensemble de vos devoirs, consultez notre guide des obligations réglementaires du CGP.

Qu'est-ce que la cartographie des risques d'un cabinet CGP ?

La cartographie des risques LCB-FT est un document écrit, formalisé et actualisé qui identifie les risques de blanchiment de capitaux et de financement du terrorisme propres à votre activité, puis les évalue selon une échelle de criticité. Elle ne se confond pas avec le recueil des pièces KYC d'un client : le KYC documente un dossier, la cartographie analyse l'ensemble de votre exposition et calibre l'intensité des mesures de vigilance à appliquer.

Elle constitue le fondement de l'approche par les risques (ABR) : plutôt que de traiter tous vos clients de manière identique, vous graduez vos contrôles (vigilance simplifiée, standard ou renforcée) en fonction du niveau de risque identifié. Un client cadre résident en France ne mobilise pas les mêmes diligences qu'un dirigeant détenant des structures dans une juridiction non coopérative.

• Un document vivant : il est daté, signé, versionné et archivé, jamais figé au fond d'un tiroir.
• Un référentiel opérationnel : chaque procédure de vigilance doit pouvoir être rattachée à un risque identifié dans la cartographie.
• Une preuve de conformité : il matérialise que vous avez pensé, tracé et calibré votre dispositif LCB-FT.

Cadre réglementaire : pourquoi la cartographie est obligatoire

La cartographie des risques n'est pas une bonne pratique facultative : c'est une obligation légale. Elle découle de la transposition en droit français des directives anti-blanchiment européennes.

• Ordonnance n°2016-1635 du 1er décembre 2016 transposant la 4e directive anti-blanchiment (AMLD4), qui impose la formalisation d'une cartographie.
• Article L.561-4-1 du Code monétaire et financier : obligation, pour les personnes assujetties, d'élaborer une classification des risques présentés par leur activité.
• 5e directive (AMLD5), transposée en 2020 : renforcement des exigences de traçabilité et de documentation.
• Lignes directrices conjointes AMF-ACPR : cadre méthodologique de référence prescrivant l'analyse selon plusieurs axes.

Sont concernés les CGP assujettis à la LCB-FT au titre de leurs statuts : CIF, courtiers en assurance (IAS), intermédiaires en opérations de banque (IOBSP), agents immobiliers. La règle vaut aussi pour un cabinet à faible volume : la taille du cabinet ne dispense jamais de la cartographie, elle en ajuste seulement la granularité. Pour cadrer l'ensemble de vos devoirs vis-à-vis des régulateurs, appuyez-vous sur notre page conformité AMF & ACPR et sur le portail officiel de l'Autorité des marchés financiers.

L'enjeu est loin d'être théorique. L'absence ou l'insuffisance de cartographie figure parmi les premiers motifs relevés lors des contrôles sur place. Les sanctions pécuniaires peuvent atteindre 5 millions d'euros pour une personne morale au titre des manquements LCB-FT, assorties d'une possible interdiction d'exercer pour les personnes physiques.

Les 4 axes d'analyse obligatoires

Les lignes directrices AMF-ACPR imposent d'analyser le risque selon quatre axes minimum. Chacun est un angle d'attaque : c'est le croisement des quatre qui produit le profil de risque global d'un client.

Point de vigilance 2026 : même si votre cabinet n'accompagne pas de crypto-actifs, la dimension PSAN/MiCA doit être explicitement traitée — ne serait-ce que pour documenter son exclusion. Les actifs numériques sont classés comme intrinsèquement à haut risque par le GAFI. De même, les montages complexes fréquents chez le CGP (SCI, holding, démembrement, assurance-vie luxembourgeoise) et la transmission intergénérationnelle méritent une attention spécifique sur l'axe produits.

Coter les risques : la matrice fréquence × gravité

Identifier les risques ne suffit pas : il faut les coter pour hiérarchiser vos contrôles. La méthode de référence est la matrice probabilité × impact (ou fréquence × gravité). Pour chaque risque, vous évaluez deux dimensions sur une échelle simple, puis vous en déduisez un niveau de criticité.

1. La probabilité d'occurrence : faible (1), modérée (2) ou élevée (3). À quelle fréquence ce risque peut-il se matérialiser au regard de votre clientèle ?
2. L'impact potentiel : faible (1), modéré (2) ou élevé (3). Quelles conséquences (réglementaires, financières, réputationnelles) en cas de survenance ?
3. Le risque brut : le produit des deux notes, avant mesures de contrôle.
4. Les mesures de maîtrise : vigilance renforcée, contrôle des flux, formation, seconde validation.
5. Le risque résiduel : le niveau qui subsiste une fois les mesures appliquées. C'est lui qui pilote l'intensité de vigilance.

L'atout d'une cotation documentée est double : elle rend vos décisions défendables face au régulateur (un refus d'entrée en relation devient une application de politique, non une décision arbitraire) et elle vous fait gagner du temps en évitant d'appliquer une vigilance renforcée là où elle n'est pas nécessaire. Une plateforme comme la notation de conformité de la Suite Majors® automatise ce scoring à partir des données KYC déjà saisies.

Construire sa cartographie : modèle en 5 étapes

Voici une trame opérationnelle pour bâtir votre cartographie des risques CGP de A à Z, réutilisable année après année :

1. Recenser vos statuts et votre périmètre : listez vos immatriculations (CIF, IAS, IOBSP, agent immobilier) et confirmez votre assujettissement LCB-FT. Vérifiez la cohérence avec votre enregistrement ORIAS.
2. Inventorier les risques par axe : parcourez systématiquement les 4 axes (clientèle, produits, canaux, géographie) et notez chaque risque identifié.
3. Coter chaque risque : appliquez la matrice fréquence × gravité, calculez le risque brut puis le risque résiduel après mesures de maîtrise.
4. Rattacher les procédures : pour chaque niveau de risque, précisez la mesure de vigilance et la procédure opérationnelle associée (entrée en relation, actualisation KYC, déclaration Tracfin le cas échéant).
5. Dater, signer, archiver : validez formellement le document, horodatez-le et conservez chaque version. L'historique des révisions peut être exigé lors d'un contrôle.

Cette démarche s'articule naturellement avec vos autres chantiers de conformité : le plan de contrôle interne, les procédures LAB-FT et l'audit de conformité annuel. La cartographie en est le socle : elle donne du sens et de la cohérence à l'ensemble.

Fréquence de révision et archivage

Une cartographie n'a de valeur que si elle est tenue à jour. Deux types de déclencheurs imposent une révision.

• Déclencheur calendaire : une révision formelle au minimum annuelle, à date fixe, vérifiant chaque axe et mettant à jour les listes de pays à risque GAFI et Commission européenne.
• Déclencheurs événementiels (mise à jour immédiate) : ajout d'un produit ou service, nouvelle clientèle cible (non-résidents, dirigeants, institutionnels), évolution du canal de distribution (digitalisation), changement de prestataire clé, ou modification réglementaire majeure.

Chaque version doit être datée, signée et archivée. Le régulateur peut réclamer l'historique complet des révisions pour vérifier que le dispositif a bien évolué avec votre activité. Un archivage réglementaire rigoureux et un coffre-fort numérique horodaté sont donc indispensables pour prouver la traçabilité des versions successives.

Les erreurs les plus sanctionnées restent toujours les mêmes : cartographie trop sommaire, absence de révision, défaut de traçabilité entre l'analyse et les décisions opérationnelles, ou omission de la dimension crypto-actifs. Une conformité automatisée réduit drastiquement ces angles morts en rendant chaque mise à jour systématique et datée.

Digitaliser sa cartographie avec la Suite Majors®

Construire une cartographie sur un tableur reste possible, mais présente trois faiblesses : les données ne sont pas synchronisées avec vos dossiers clients, les révisions sont manuelles et l'historique des versions est fragile. La digitalisation résout ces trois points.

La Suite Majors® alimente votre démarche de bout en bout : le KYC automatisé structure les données clientèle (axe 1), la fiche produit et le suivi de portefeuille documentent les produits détenus (axe 2), le parcours de conformité trace le canal d'entrée en relation (axe 3) et le profil de risque calcule automatiquement un niveau de vigilance. L'assistant réglementaire IA vous aide à identifier les zones de risque et à préparer un éventuel contrôle AMF.

Résultat : la matière première de votre cartographie est déjà collectée, à jour et exploitable. Vous passez d'un document statique et vite obsolète à un dispositif vivant, aligné en permanence avec la réalité de votre portefeuille.

Tester la Suite Majors® Consulter le support