Risques de conformité: Analyse anticorruption efficace
Dr. Katharina Hastenrath
Dr. Katharina Hastenrath est responsable du programme Master of Advanced Studies (MAS) en compliance et enseigne cette discipline à la ZHAW. Elle a précédemment exercé les fonctions de (Chief) Compliance Officer dans plusieurs entrepriHastenrathses internationales, notamment dans des secteurs fortement régulés.
A. Situation de départ
L’analyse des risques de conformité est l’un des éléments les plus importants d’un système de management de la compliance (SGC). Elle comporte cependant plusieurs défis, qui seront abordés dans ce qui suit.
B. Analyse des risques de conformité : de quoi s’agit-il ?
Une définition appropriée est donnée par Wieland :
« L’analyse des risques de compliance est l’identification, l’évaluation, la documentation et le reporting systématiques des situations susceptibles de compromettre l’objectif de conformité de l’entreprise aux obligations légales, internes et volontaires pertinentes. Elle constitue la base d’allocation des ressources de l’entreprise, dans le but de garantir une compliance efficace et efficiente dans le contexte entrepreneurial. »
Il s’agit donc d’une analyse systématique, traçable et rigoureusement documentée des risques juridiques et de réputation. À quoi cela ressemble-t-il concrètement ? Voyons cela au point C.
C. Exigences selon la loi et la littérature
I. Exigences légales
À l’échelle internationale, différentes lois et normes imposent la réalisation d’une analyse des risques de conformité, comme par exemple:
- les US Federal Sentencing Guidelines,
- le Resource Guide to the US Foreign Corrupt Practices Act (FCPA),
- le Clean Company Act brésilien,
- les UKBA Guidelines (Royaume-Uni),
- le Code pénal espagnol,
- les 13 bonnes pratiques sur les contrôles internes, l’éthique et la compliance (OCDE),
- les Neuf principes d’entreprise pour lutter contre la corruption (Transparency International),
- la norme ISO 37301.
Lorsqu’aucune obligation explicite n’existe, le devoir de mettre en place un SGC est néanmoins unanimement déduit, en Suisse, de l’obligation générale de légalité et du devoir de contrôle légal incombant aux organes dirigeants d’une entreprise. Une analyse des risques de compliance en fait impérativement partie.
II. Exigences doctrinales
1. Principes d’une analyse des risques
La littérature exige une analyse approfondie de la situation de risque propre à l’entreprise, pour obtenir un aperçu des risques de compliance significatifs, orienter l’organisation de la compliance en conséquence, définir des mesures appropriées et les mettre en œuvre de manière priorisée selon un plan d’action.
La manière dont cette analyse doit être structurée relève essentiellement de l’appréciation de l’entreprise. Sont envisageables : une auto-évaluation via questionnaires, des analyses quantitatives et qualitatives (par exemple à travers des entretiens), l’évaluation de données d’entreprise, une approche descendante (top-down) et ascendante (bottom-up), ou encore l’implication d’experts internes issus d’unités à orientation risque (juridique, gestion des risques, secrétariat général, etc.).
2. Modalités de mise en œuvre
a) Approche brut/net
Bien que l’analyse des risques de conformité soit presque unanimement considérée comme la base d’un SGC, il existe peu de consensus sur la forme précise à lui donner. L’approche brut/net est l’une des options, mais elle est contestée, car elle ne se prête qu’aux risques de compliance pouvant être définis de manière concrète et attribués à une cause précise.
Otremba le résume très bien:
«Pour l’exposition générale et abstraite aux risques d’un secteur d’activité, qui résulte de nombreux indicateurs de risque internes et externes, la tentative de déterminer précisément les deux facteurs (brut et net) conduit souvent à des pseudo-précisions, dont l’utilité est largement inférieure à l’effort nécessaire. De plus, les services spécialisés comme les responsables compliance sont souvent dépassés lorsqu’il s’agit de fournir des estimations fiables de ces deux facteurs, faute de repères concrets. Pour piloter la compliance sur la base de profils de risque abstraits (mais suffisamment fondés), il suffit d’identifier les indicateurs de risque pertinents pour le modèle d’affaires, et de les regrouper dans des profils de risque, par exemple en utilisant un système de feux tricolores ou une catégorisation en trois niveaux : élevé – moyen – faible. Sur cette base, la mise en œuvre ciblée et adaptée des mesures de compliance peut alors avoir lieu.»
Lire la suite avec 
- Accès illimité à plus de 500 aides de travail
- Tous les articles payants en accès illimité sur weka.ch
- Actualisation quotidienne
- Nouveaux articles et aides de travail hebdomadaires
- Offres spéciales exclusives
- Bons séminaires
- Invitations aux webinaires en direct
