Compliance et éthique des affaires : les leviers d'une nouvelle gouvernance d'entreprise (1/2)

Il y a dix ans en 2008, le monde entrait dans ce qu’il était convenu d’appeler la crise bancaire et financière. Cette crise mondiale a conduit plusieurs établissements financiers américains à être placés en liquidation de paiement, comme le plus célèbre d’entre eux, Lehman Brothers.

Ce triste anniversaire a permis toutefois de faire émerger deux dynamiques, celle de la gouvernance et celle de la compliance, dans le secteur financier et bancaire [1] . Les deux démarches se sont développées il y a dix ans, en parallèle, et aujourd’hui, au moment de souffler les bougies, il apparaît nécessaire de prendre conscience qu’en réalité elles sont toutes les deux étroitement liées. Ce mariage est encore renforcé par la prise de conscience de la nécessité de mettre en œuvre de bonnes pratiques d’éthique des affaires, au regard des nouvelles attentes de la société civile et des parties prenantes.

En parallèle, d’autres entreprises, quel que soit leur secteur d’activité, sont confrontées dès leur création, à l’obligation de résoudre des problèmes de compliance dans le cadre de leur activité en France ou à l’international. Il s’agira par exemple du respect des embargos ou dans le domaine de l’éthique des affaires du contrôle de la chaîne de sous-traitance pour éviter par exemple le travail forcé ou celui des enfants. Cela pourra encore prendre la forme d’une prise en compte de l’impact de l’activité de l’entreprise sur l’environnement.

I. La compliance : une valeur ajoutée pour l’entreprise

La compliance, concept anglo-saxon, est très souvent traduite en France par le terme de « conformité ». La terminologie anglaise recouvre en réalité une dynamique que sa traduction française n’exprime pas. La compliance n’est pas réglementairement définie en tant que telle ; elle est souvent appréhendée à travers les finalités qu’elle poursuit.

Cette approche de la compliance se traduit dans les textes réglementaires par des typologies d’exigence très différentes, d’une part la définition du risque de non-conformité, d’autre part par l’injonction de maîtriser ces risques pour l’entreprise par des dispositifs de contrôle, enfin par les missions qu’il convient de confier au directeur de la conformité. Mais à aucun moment le législateur ne prend le risque de dire ce que l’entreprise doit entendre et comprendre par compliance ou conformité, il faut en revanche juste qu’elle le soit.

L'approche réglementaire de la conformité

À titre d’exemple, dans le secteur de la banque et des services d’investissement, c’est l’arrêté du 3 novembre 2014 [2] qui encadre le contrôle interne des entreprises qui définit le risque de non-conformité (article 10 (p)), puis fixe l’obligation de vérifier la conformité des activités à travers un dispositif de contrôle interne (article 11), enfin confie au responsable du contrôle de la conformité le soin de veiller au caractère adapté des dispositifs et procédures (article 72).

En assurance, c’est le décret 2015/513 du 7 mai 2015 [3] qui définit la fonction de vérification de la conformité par son objet qui est de « conseiller le directeur général ou le directoire ainsi que le conseil d'administration ou le conseil de surveillance, sur toutes les questions relatives au respect des dispositions législatives, réglementaires et administratives afférentes à l'accès aux activités de l'assurance et de la réassurance et à leur exercice. Cette fonction vise également à évaluer l'impact possible de tout changement de l'environnement juridique sur les opérations de l'entreprise concernée, ainsi qu'à identifier et évaluer le risque de conformité » (article R. 354-4-1 du Code des assurances et R. 356-48-1 du Code de la mutualité).

La loi Sapin 2 sur la corruption [4] prolonge l’extension de la démarche de compliance dans l’entreprise dans la mesure où cette nouvelle réglementation rappelle très clairement dans son article 17 que l’obligation de respecter la réglementation et donc d’être conforme repose sur les dirigeants de l’entreprise, lesquels « sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence ».

Sont ainsi listés un certain nombre de mesures, telles que mettre en place : un code de conduite ; un dispositif d'alerte (whistleblowing) ; une cartographie des risques ; des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires ; des procédures de contrôles comptables, internes ou externes ; un dispositif de formation ; un régime disciplinaire ; enfin, un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre.

Un périmètre d'intervention toujours plus vaste

Il appartient donc aux entreprises de se doter d’une direction conformité pour faire face à ces nouveaux enjeux. L’utilité est quasi identique que les entreprises soient soumises à une obligation de créer la fonction comme dans le domaine financier de la banque et de l’assurance ou qu’elles décident par elle-même de la créer afin de contribuer à une meilleure maîtrise de ces risques au regard de son activité notamment à l’international.

Comme Patrick Thourot [5] le soulignait dans le cadre d’un entretien accordé en novembre 2018, « la régulation s'immisce dans toutes les composantes de la chaîne de valeur, et par conséquent, implique le contrôle de la compliance dans un nombre croissant de domaines : le consumérisme et la DDA, la protection des données personnelles, viennent compléter et renforcer les sujets plus traditionnels de LCB/FT et de la loi Eckert. C'est le territoire nouveau de la fonction. Mais ce n'est pas tout : la gouvernance et la gestion des Conseils, demain, le respect de règles d'investissements EGS (environnement, gouvernance, society), voire les règles en matière de ressources humaines (non-discrimination, harcèlement, égalité hommes/femmes, mixité et diversité), et enfin, les règles fiscales, avec une logique complexe de gestion du risque et de compliance (faut-il avoir une attitude de non-risque ou une démarche d'optimisation ?). Cela permet de relier la conformité aux questions éthiques. »

Définir la compliance

La définition de la compliance que je propose pourrait donc être la suivante : c’est une culture qui consiste à intégrer dans le processus de gouvernance d’une entreprise une connaissance adaptée des risques de non-conformité afin de prévenir la survenance d’un risque de réputation ou de sanctions, induisant des pertes significatives pour l’entreprise. À cette fin, la direction générale confie à une direction de la conformité la mission de la conseiller quant aux mesures à prendre pour adapter l’entreprise aux évolutions réglementaires ou remédier aux non-conformités avérées. Le directeur conformité doit disposer de moyens suffisants, de l’autorité, de la compétence, de l’indépendance et de l’honorabilité pour la conduite de sa mission. Il propose, une ou plusieurs fois par an, un programme de conformité qui intègre également les sujets prospectifs à traiter. Il est l’interlocuteur privilégié des autorités de contrôle, des opérationnels et de la direction générale pour toutes mesures relevant d’un risque de non-conformité à des dispositions législatives, réglementaires, de normes professionnelles comme déontologiques ou de normes internes obligatoires. Il peut déléguer dans l’entreprise une partie de ses missions à condition d’en conserver le contrôle.

Cette définition est issue du croisement d’une pratique professionnelle, d’une activité d’enseignement de la compliance et de la confrontation d’idées au sein d’associations professionnelles. Elle permet de comprendre que la compliance, contrairement à ce que pourrait laisser entendre le mot de conformité, n’est pas réductible à une technique ou une nouvelle matière juridique que serait un droit de la compliance. En effet, la compliance dans l’entreprise n’a strictement aucun rapport avec la mise en œuvre d’un « droit de la compliance » que propose Marie-Anne Frison Roche [6] . Nous sommes très loin de la simple exécution de process qui transformeraient les collaborateurs de l’entreprise en machines.

Un mode de prévention du risque de non-conformité

Ensuite, sans nier que la conformité comme objet de recherches peut être considérée comme « une technique de gestion (au double sens de façon de traiter un problème et de mode d’organisation d’une entreprise) » comme le souligne Hugues Bouthinon-Dumas [7] , mais elle est aussi et surtout un mode de prévention du risque de non-conformité intimement associé aux décisions à prendre et donc à la gouvernance de l’entreprise.

Ainsi, comme le souligne Patricia Foucaud [8] pour l’entreprise Biogen : « Au-delà de son acception juridique de conformité aux exigences voulues par les lois, les règlements, les codes, et les directives, la compliance ambitionne de protéger l’entreprise contre tout non-respect des normes internes et externes et de ses valeurs. Elle a pour objectif d’éviter les conséquences défavorables pour l’entreprise et ses dirigeants, tant financières que de responsabilité civile ou pénale, ou encore d’atteinte à l’image et à la réputation… La compliance est un état d’esprit qui promeut le sens de la responsabilité individuelle et collective au sein des entreprises et des organisations. C’est une culture du respect des règles pour assurer une performance plus solide et pérenne. »

II. L’éthique des affaires est intimement liée à la compliance

Le Cercle d’éthique des affaires, dans son « Manifeste pour une éthique des affaires [9] », propose la définition suivante de l’éthique des affaires : « L’éthique des affaires est contingente et subjective. Elle définit “ici et maintenant” le comportement qu’adopte ensemble un groupe d’individus dans un temps et un espace donnés. Elle porte sur les arbitrages faits par les acteurs économiques pour choisir ce qui est bon ou mauvais au développement durable de l'entreprise, prenant en considération les demandes de l'ensemble des parties prenantes de l'entreprise (actionnaires, clients, salariés, fournisseurs, société civile, etc.). En effet, aujourd’hui chaque décision prise derrière les portes closes des Conseil d’Administration est inévitablement soumise aux regards et aux commentaires des parties prenantes. L’éthique dit ce qui est bon ou mauvais pour une organisation, mais n’a pas vocation à définir le Bien et le Mal. » Cette définition montre que la manière d’appréhender l’éthique des affaires peut varier d’une entreprise à l’autre.

L’éthique des affaires est le partenaire indispensable à la mise en œuvre d’une gouvernance efficace dans l’entreprise. En effet l’éthique des affaires d’une entreprise repose d’abord sur les dirigeants et les valeurs de l’entreprise qu’ils incarnent. À ce titre, ils doivent décider des pratiques qu’ils souhaitent voir mises en œuvre et du niveau d’exigence éthique attendue dans le cadre de la réalisation des activités de l’entreprise. C’est en effet le dirigeant qui d’une part à travers l’exemplarité de son comportement, d’autre part des choix politiques qui seront pris vis-à-vis de ces deux enjeux que sont la compliance et l’éthique des affaires, ainsi que du choix du rattachement de la direction conformité et éthique des affaires dans l’organigramme. Enfin plus concrètement ce sera les choix d’affectation de budgets ou pas sur des projets réglementaires et sur la taille de l’équipe en charge de la conformité et l’éthique des affaires, qui crédibilisera ou pas la compliance dans son entreprise.

Une entreprise sans politique d’éthique des affaires sera peu encline à favoriser la mise en œuvre d’une fonction compliance efficace dans son entreprise. En revanche, une équipe dirigeante tournée vers le respect de règles éthiques fortes afin de favoriser un développement durable de l’entreprise pour ses collaborateurs, ses clients ou ses parties prenantes, verra un intérêt évident à disposer d’une direction compliance forte pour la conseiller sur le niveau de risque de conformité possible de telle ou telle décision et l’impact envisageable en termes de réputation.

Le couple compliance et éthique des affaires ne doit donc pas être réduit à un corpus de règles à mettre en œuvre, qui serait le meilleur moyen de faire de ces deux leviers un outil pour générer des contraintes réglementaires supplémentaires dans l’entreprise.

III. Gouvernance, compliance et éthique des affaires la nouvelle alchimie

La notion de gouvernance, comme celle de compliance sont des concepts anglo-saxons qui renvoient aux conditions d’une bonne organisation et de bonnes pratiques des instances dirigeantes de l’entreprise. La gouvernance permet de réfléchir aux différences de forme que peuvent prendre les organes de direction de l'entreprise quant à la répartition des pouvoirs par exemple entre le président de Conseil d'administration et le directeur général ou quant au choix de la nature des organes de contrôle de la société (Conseil d'administration vs Conseil de surveillance).

Dans le domaine de l’assurance [10] , c’est la réglementation avec la directive européenne Solvabilité 2 [11] qui fixe le cadre de la gouvernance d’entreprise. Et l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) précise notamment les contours des relations entre la fonction conformité et la gouvernance d’entreprise dans une notice du 2 novembre 2016 [12] .

Comme le souligne Daniel Tricot [13] : « L'émergence de la notion de gouvernance est allée de pair avec la recherche de bonnes pratiques d'entreprise, essentielles pour accroître l'efficacité de celle-ci. Il s'agit alors de rechercher la création de valeur pour les parties prenantes de l'entreprise via le développement d'un capital financier, mais aussi humain. »

À titre d’exemple, cela conduit désormais les directions des entreprises à s’interroger sur les bonnes pratiques à mettre en œuvre dans le cadre de la transparence de la rémunération des dirigeants, ou encore à mettre en œuvre des règles pour éviter la survenance des conflits d’intérêts et des bonnes pratiques à adopter pour les gérer ou encore des principes d’intégrité auxquels l’entreprise est attachée qui pourront être affichés dans un code d’éthique des affaires.

La gouvernance face au risque de réputation

Cela implique donc une nécessaire prise de conscience de la gouvernance qu’une décision ne peut plus reposer sur le seul arbitrage de la rentabilité et de la recherche d’un équilibre entre satisfaction du client et maîtrise des risques financiers pour l’entreprise. Il convient désormais d’ajouter une autre dimension, avec le même poids que les deux premières, celle du risque de non-conformité et son corollaire immédiat le risque de réputation. Cette prise en compte du couple compliance-éthique des affaires apparaît nécessaire :

• d’une part, parce que les clients et la société civile attendent de leurs entreprises qu’elles soient éthiques ce qui implique au minimum de respecter la réglementation ;
• d’autre part, parce que le risque de réputation est extrêmement sensible pour une entreprise avec la mondialisation et l’échange d’informations en temps réel avec les nouvelles technologies et les réseaux sociaux ;
• enfin, parce que les sanctions financières prononcées par les autorités de contrôle sont de plus en plus lourdes pour les entreprises ;
• et que la responsabilité personnelle des dirigeants sera dans les années à venir très certainement recherchée de plus en plus facilement.

Des sanctions de plus en plus lourdes

Ainsi, l’Autorité de contrôle et de résolution (ACPR) a prononcé en 2018, 10 décisions de sanctions dont 9 portent sur la défaillance des dispositifs de lutte contre le blanchiment de capitaux d’assureurs avec des sanctions prononcées jusqu’à 50 millions d’euros [14] . Et dès qu’une entreprise effectue des transactions en dollars, elle s’expose aux foudres de l’administration américaine, par exemple en cas de non-respect des embargos. L’administration américaine s’appuie en effet sur le principe d’extraterritorialité des lois américaines qui lui permet de sanctionner des entreprises étrangères commerçant avec des pays sous embargo, dès lors qu’elles échangent également avec les États-Unis ou utilisent le dollar dans leurs transactions. C’est au nom de ce principe que la banque française BNP-Paribas s’est vu infliger une amende de 8,9 milliards de dollars [15] .

Quant à la responsabilité personnelle des dirigeants, elle est parfois expressément prévue comme dans le cadre de la loi Sapin 2 sur la corruption déjà citée, où le dirigeant doit sous peine de sanctions administratives et pénales, prendre des mesures destinées à prévenir et à détecter les faits de corruption ou de trafic d'influence. La loi Sapin 2 vise les dirigeants suivants : les présidents, directeurs généraux et gérants (art. 17, I-al. 1) ; selon les attributions qu'ils exercent, les membres du directoire des sociétés anonymes (SA) (art. 17, I-2°) [16] .

À titre d’exemple, Vincent Bolloré a été placé en garde à vue pour « corruption d'agents publics étrangers » le 24 avril 2018. Il a été convoqué pour des soupçons de corruption pesant sur les conditions d'obtention de concessions portuaires au Togo et en Guinée. Plus récemment, c’est Carlos Ghosn, président de Nissan, qui est soupçonné par la justice japonaise d'avoir minoré ses revenus sur 5 ans dans des documents remis aux autorités boursières japonaises, et d'abus de confiance.

La garantie d’une bonne gouvernance de l’entreprise passe donc par une politique de maîtrise et de gestion des risques de non-conformité. Ce sont à la fois des enjeux organisationnels, financiers et politiques.

IV. La culture de la compliance et de l’éthique des affaires, leviers de la gouvernance

La compliance et l’éthique des affaires sont des démarches vivantes qui façonnent la culture de l’entreprise et reposent sur ses valeurs. Les collaborateurs, quel que soit leur domaine d’activité, doivent être imprégnés dans une culture de la conformité. Cela signifie concrètement qu’ils ont pour devoir d’adopter une attitude proactive dans le cadre de l’exercice de leur activité et d’intégrer cette culture dans leur quotidien, afin de s’interroger sur la conformité de leur dispositif et l’éthique de leurs pratiques. La conformité doit être un élément de la création de la chaîne de valeur de l’entreprise. Elle doit être pensée le plus en amont possible, afin d’être intégrée de la manière la plus cohérente et optimale pour l’entreprise, le client et les parties prenantes. La compliance et les équipes qui la représentent ont alors pour mission d’accompagner ces directions opérationnelles afin de les aider à prendre les mesures adaptées en les sécurisant.

La notion d’adaptation possible des procédures présente dans l’arrêté du 3 novembre 2014 déjà cité permet des possibilités de modulation des règles à mettre en œuvre en fonction des spécificités de chaque situation. C’est l’intelligence collective des parties prenantes en collaboration avec la compliance qui fait émerger les solutions les plus optimisées et efficientes pour l’entreprise. Par exemple, le Privacy by Design est l’une des notions au cœur du RGPD, le nouveau règlement encadrant la protection des données. Sommairement, c’est un concept qui impose aux entreprises d’intégrer les principes du RGPD [17] dès la conception d’un projet, d’un service ou de tout autre outil lié à la manipulation de données personnelles.

Faire évoluer les comportements

La culture de la compliance et de l’éthique des affaires est donc un moyen efficace de faire évoluer les comportements et les perceptions dans l’entreprise. Cela passe par une implication de la direction générale, des dispositifs de formation et d’information efficaces qui redonnent du sens aux réglementations, enfin et surtout au quotidien un accompagnement et une pédagogie des équipes compliance de tous les instants dans le cadre des contacts avec les directions opérationnelles, les instances dirigeantes et les administrateurs de l’entreprise.

La culture de la compliance, pour être efficiente doit s’appuyer sur une coopération transversale, une intelligence collective et le partage efficace de l’information dans l’entreprise (intranet, communication régulière, films d’animations pédagogiques, interventions en réunion, affichages dans l’entreprise, magasine ou lettre interne d’entreprise, e-learning…). Elle implique de coordonner, d’animer toutes les forces en présence, quel que soit leur niveau hiérarchique dans l’entreprise (direction générale, administrateurs, management, collaborateurs, prestataires de services, parties prenantes…).

Une attention particulière devra être apportée au management qui est le relais le plus efficace de la stratégie de l’entreprise et fait respecter au quotidien les procédures et les règles d’éthique et de conformité de l’entreprise. Mais le management ne « jouera réellement le jeu » que s’il a la conviction que la direction générale est totalement partie prenante sur les évolutions demandées et attendues. C’est l’exemplarité de la gouvernance qui emportera la cohésion et la cohérence des comportements de l’ensemble des collaborateurs de l’entreprise.

La culture de la conformité et de l’éthique des affaires est donc une authentique culture d’intégrité établie sur la base de règles claires prônées par la direction générale, relayées par le management, et déployées sous la direction et la coordination du directeur conformité et éthique des affaires.