Après cette lecture, vous saurez mettre en place un cycle simple qui relie chaque obligation à un responsable, une mesure et sa preuve.
Définition
Une obligation est tout ce que l'entreprise doit suivre ou a choisi de suivre : une loi, une clause de contrat, une norme, un engagement interne. L'ISO 37301 fixe les exigences d'un système de management de la conformité construit autour d'elles.
Comme les textes évoluent et que l'activité évolue avec eux, le travail n'atteint jamais de ligne d'arrivée. Il fonctionne en cycle.
Pourquoi c'est important
Quand une entreprise manque une obligation, la cause est rarement un refus de s'y conformer. Le plus souvent, personne ne savait qu'elle lui revenait. Le prix peut être une amende, un contrat perdu ou une vente bloquée.
Il y a aussi un gain pratique. Une seule revue des accès peut répondre à six textes différents, et seule une vue commune des obligations le révèle.
Comment ça fonctionne
Listez ce qui s'applique et dites pourquoi, avec le texte, l'article et l'activité concernée. Donnez ensuite un responsable à chaque obligation.
Reliez chacune aux mesures, politiques et enregistrements qui la satisfont. Les écarts deviennent alors visibles et vous pouvez planifier leur correction, en commençant par ceux qui pourraient bloquer une vente ou entraîner une sanction.
Enfin, fixez un rythme : surveiller, rendre compte à la direction, et confier à quelqu'un la veille sur les nouveaux textes et les changements de l'activité.
Un cas concret
Un éditeur de logiciels de paiement de 80 salariés recense 46 obligations : le RGPD, des exigences de DORA que lui répercutent ses clients bancaires, et des clauses de contrat. Sa revue trimestrielle des accès répond à six d'entre elles : elle devient une seule mesure, avec un seul responsable et un seul enregistrement.
La première analyse d'écarts en relève neuf. Les deux liés à un contrat client sont corrigés en premier.
Bonnes pratiques
- Tenez un registre unique des obligations, indiquant la source et le responsable de chacune.
- Classez les preuves au fur et à mesure qu'elles sont produites. Les reconstituer le mois précédant un audit coûte bien plus cher.
- Donnez à la direction une vue courte et régulière des écarts ouverts et des actions en retard.
- Confiez à une personne le suivi de l'évolution des textes, pour que la tâche ait un titulaire.
Erreurs fréquentes
- Se préparer uniquement pour l'audit annuel, ce qui laisse onze mois de dérive.
- Confier toute la conformité à une personne qui ne pilote aucun processus. Elle finit par courir après les autres sans aucun pouvoir de décision.
- Compter une politique comme une preuve. Un document signé montre une intention, et un auditeur demandera à voir la pratique.
- Négliger les contrats. Les clauses clients vont souvent plus loin que la loi, et l'équipe commerciale est parfois la seule à les avoir lues.
Questions
- Quelle différence entre conformité et gouvernance ?
- La gouvernance est la manière dont une entreprise se dirige et prend ses décisions. La conformité est la partie qui garantit qu'elle respecte ses obligations.
- Gérer la conformité, est-ce la même chose qu'être certifié ?
- Non. Un certificat couvre une norme et un périmètre. La gestion de la conformité couvre toutes les obligations, et beaucoup d'entre elles n'ont aucun certificat.
- Qui est responsable de la conformité dans une entreprise ?
- La direction reste responsable. Un responsable conformité coordonne, et chaque propriétaire de processus respecte les obligations de son domaine.
- L'ISO 37301 est-elle certifiable ?
- Oui. Elle contient des exigences, et des organismes de certification auditent sur cette base.
- Par où une petite entreprise doit-elle commencer ?
- Par la liste de ses obligations et de leurs responsables, en partant de ce qui peut bloquer une vente ou entraîner une sanction.