Conformité · Intégrité · Culture
Conformité : agir avec intégrité
La conformité est souvent ramenée au respect des textes applicables. C'est nécessaire, mais partiel. La troisième dimension du GRC recouvre plus largement le fait d'agir avec intégrité : respecter les obligations légales et réglementaires, et se conformer aux valeurs que l'organisation s'est elle-même données.
Le premier registre est celui des obligations applicables : lois, règlements, circulaires, normes sectorielles. Il est objectivable — on peut en dresser l'inventaire, en suivre les évolutions et démontrer le respect. C'est le terrain habituel de la fonction conformité.
Deux registres
Les obligations applicables et les engagements propres
La culture
Ce qui se passe quand personne ne regarde
En amont
Intégrée aux processus plutôt qu'ajoutée après coup
Deux registres, pas un seul
Le second est celui des engagements propres : valeurs, code de conduite, politiques internes, promesses faites aux clients. Rien n'y oblige juridiquement l'organisation, sinon elle-même. Ce registre est pourtant décisif : c'est lui qui détermine le comportement dans les zones que les textes ne couvrent pas — et ces zones sont vastes.
Au-delà de la conformité formelle
Un dispositif de conformité peut être complet sur le papier et inopérant en pratique. Les signes sont reconnaissables : des politiques exhaustives que personne ne consulte, des formations suivies pour l'attestation qu'elles délivrent, des contrôles exécutés sans que leurs constats ne modifient quoi que ce soit.
Ce dispositif produit de la preuve documentaire — et une assurance trompeuse. Il coûte, il occupe, et il ne protège pas. Le passage à un dispositif effectif suppose de vérifier non pas que les procédures existent, mais qu'elles produisent les comportements attendus.
La culture : le facteur déterminant
La culture de conformité désigne ce qui se passe lorsque aucun contrôle n'est en place. Elle se mesure moins par des déclarations que par des signaux observables :
- Les collaborateurs signalent-ils les difficultés, ou apprennent-ils qu'il vaut mieux se taire ?
- Un manquement est-il traité de la même façon quel que soit le niveau hiérarchique concerné ?
- La conformité est-elle consultée en amont des projets, ou après coup pour validation ?
- Les objectifs commerciaux et les exigences de conformité entrent-ils en conflit sans arbitrage explicite ?
Le comportement de la direction pèse davantage que tout dispositif documentaire. Une exception accordée à un dirigeant annule, en pratique, l'effet de plusieurs sessions de formation.
L'articulation avec les risques
Conformité et gestion des risques traitent des sujets voisins avec des logiques distinctes — d'où des frictions fréquentes. La conformité raisonne en obligations : elles s'appliquent ou non. La gestion des risques raisonne en probabilité et en impact : elle hiérarchise.
Les deux approches se concilient. Le respect d'une obligation n'est pas négociable ; en revanche, l'intensité des contrôles déployés pour s'en assurer relève d'une appréciation par les risques. Un manquement aux conséquences majeures justifie un dispositif renforcé ; une obligation à faible enjeu ne mérite pas le même effort. Expliciter cette articulation évite deux dérives symétriques : le contrôle uniforme, coûteux et démobilisateur, et l'impasse sur des obligations jugées mineures.
Le contexte luxembourgeois
Pour les entités régulées de la Place, la fonction conformité — souvent portée par un responsable du contrôle de la conformité (RC) et, le cas échéant, un responsable au niveau de la direction — répond à des exigences précises : indépendance, accès direct à la direction et au conseil, moyens proportionnés, reporting régulier.
Deux domaines concentrent l'attention du superviseur : la lutte contre le blanchiment et le financement du terrorisme (LBC/FT), avec ses obligations de connaissance du client, de surveillance et de déclaration ; et la protection des données personnelles. Dans les deux cas, la démonstration attendue ne porte pas seulement sur l'existence de procédures, mais sur leur application effective et traçable — sujet du prochain article.
Cette exigence d'effectivité suppose aussi de pouvoir relier ce qui a été prévu à ce qui a réellement été exécuté. Centraliser les plans de contrôle, les travaux réalisés, les constats, les recommandations et leur suivi permet de conserver une vision plus claire du dispositif — et surtout d'en démontrer le fonctionnement dans le temps.
Écueils fréquents
- Réduire la conformité au respect formel des textes, en négligeant les engagements propres.
- Accumuler des politiques sans en assurer la diffusion, la compréhension ni l'actualisation.
- Positionner la conformité en fin de processus, comme instance de validation.
- Appliquer une intensité de contrôle uniforme, sans hiérarchisation par les enjeux.
- Tolérer des exceptions au sommet, qui ruinent la crédibilité de l'ensemble.
L'approche ARCAD
ARCAD examine les dispositifs de conformité sous l'angle de leur effectivité : les obligations sont-elles identifiées et suivies, les contrôles calibrés sur les enjeux réels, les constats suivis d'effets, et la fonction sollicitée en amont des décisions ? Le cabinet intervient également en mandats RC et en formations, notamment sur la LBC/FT.
Évaluer l'effectivité de votre dispositif de conformité.
ARCAD réalise audits de conformité, mandats RC et formations, y compris en matière de LBC/FT.