Le fait que les entreprises doivent disposer d'un système de gestion de la conformité est aujourd'hui largement admis. Dans ce contexte, la question de la nature et de l'étendue de la fonction de conformité revêt une importance cruciale.
En principe, les objectifs d'une fonction de conformité au sein d'une entreprise sont clairement définis : d'une part, il s'agit de prévenir les manquements à la conformité (émanant de l'entreprise) afin d'éviter tout préjudice (matériel ou en termes de réputation) à l'entreprise. D'autre part, la fonction de conformité vise également à minimiser, voire à éviter, la responsabilité personnelle – pénale et civile – des dirigeants.
Depuis que le thème de la conformité fait l'objet d'une grande attention médiatique et que de nombreux scandales d'entreprise ont davantage sensibilisé un public de plus en plus critique, la question de la mise en place et de l'implémentation de systèmes de gestion de la conformité (CMS) fait désormais l'objet de discussions même dans les milieux qui ne se sentaient pas concernés jusqu'à présent.
Paysage des risques et stratégie de gestion des risques
Dans toute entreprise – quels que soient son secteur d’activité, ses produits et son modèle économique –, il existe des risques susceptibles de se concrétiser et, par conséquent, de causer un préjudice à l’entreprise. Dans le sillage de la mondialisation et de l’internationalisation, les exigences réglementaires se sont renforcées. Certains secteurs sont particulièrement touchés. Citons à titre d’exemple le secteur de l’énergie, qui doit faire face à un afflux de nouvelles lois dans un contexte de mutations importantes du marché. Mais la prolifération des réglementations au sein des entreprises, en particulier des grands groupes, ne cesse de s’accentuer, ce qui implique également de devoir respecter un nombre croissant de directives internes.
Avec la multiplication des réglementations, le risque augmente également à son insud'enfreindre les dispositions légales, normatives et internes. Cela ne concerne pas les infractions commises intentionnellement.
Tous les risques n’ont pas nécessairement des conséquences critiques ou existentielles lorsqu’ils se concrétisent. Dans ce contexte, la définition du paysage des risques et de la stratégie de gestion des risques constitue une base essentielle pour l’orientation future du système de gestion de la conformité. Dans un premier temps, il convient d’identifier les risques ; cela permet de dresser le paysage des risques (quels sont les risques présents dans quel contexte commercial). Dans un deuxième temps, on procède à l’évaluation des risques en quantifiant les dommages potentiels et en estimant leur probabilité de survenue. Dans un troisième temps, les risques sont hiérarchisés et affectés à une gestion stratégique (en règle générale, la stratégie de gestion des risques distingue la prévention des risques, la minimisation des risques, le transfert des risques et la prise en charge des risques). Les risques faibles sont souvent pris en charge par l’entreprise elle-même, tandis que les risques pouvant entraîner des dommages importants sont transférés à des tiers (par exemple, une assurance). En ce qui concerne les risques non transférables, l’entreprise s’efforce de les minimiser, voire de les éviter, par des mesures appropriées.
Obligation de mettre en place une fonction de conformité
Tout dirigeant a tout intérêt à protéger son entreprise – et lui-même – contre les risques liés aux manquements en matière de conformité. Cela passe généralement par la mise en place d'un système spécifique de gestion des risques (CMS). Mais dans quelle mesure existe-t-il une obligation de mettre en place une telle fonction de conformité ?
Les avis à ce sujet sont loin d'être unanimes. Il n'existe d'obligations légales explicites que dans des cas particuliers, comme par exemple l'article 33 de la loi allemande sur le commerce des valeurs mobilières (WpHG)[1] et l'article 25a de la loi allemande sur le crédit (KWG)[2]. Les dispositions susmentionnées exigent expressément la mise en place de fonctions de conformité ; cette obligation s'applique aux entreprises qui fournissent des services d'investissement ou des services financiers.
Les partisans de cette mesure partent du principe qu'il existe une obligation générale de mettre en place une fonction de conformité. Cette obligation découle d'une analyse globale des dispositions légales existantes, telles que les articles 76, 91, alinéa 2, et 93, alinéa 1, de la loi sur les sociétés par actions (AktG) ou les articles 35, 41, 43 et 85 de la loi sur les sociétés à responsabilité limitée (GmbHG) (fonction de direction de la direction définie par la loi).[3].
Les dispositions de la loi allemande sur les infractions administratives (OWiG) (§§ 3, 9, 130 OWiG) permettent également de conclure que se en déduire une obligation de mettre en place une fonction de conformité[4].
Enfin, le Code allemand de gouvernance d'entreprise exige Code (DCGK) selon laquelle le directoire doit veiller au respect des dispositions légales et des directives internes de l'entreprise et s'assurer que les sociétés du groupe s'y conforment[5].
Les détracteurs ne partagent pas cet avis. Leur principal argument est que, hormis les dispositions susmentionnées de la WpHG et de la KWG, ainsi que, à titre complémentaire, la disposition de l'article 64a de la VAG[6] – il n'existe aucune disposition légale explicite à ce sujet. Si le législateur avait souhaité rendre obligatoires les fonctions de conformité, sous quelque forme que ce soit, il l'aurait prévu dans les dispositions légales applicables.
L'interprétation de la loi sur les sociétés anonymes (AktG) et de la loi sur les sociétés à responsabilité limitée (GmbHG) visant à en déduire l'obligation de mettre en place une fonction de conformité est également jugée excessive.
Enfin, le Code allemand de gouvernance d'entreprise (DCGK) est également rejeté en tant que fondement juridique, car il revêt un caractère de simple recommandation et n'est donc pas juridiquement contraignant. De plus, il s'applique exclusivement aux sociétés anonymes cotées en bourse et ne prend donc pas en compte toutes les autres entreprises.
Tous les arguments avancés sont valables et justifiés. Ils perdent toutefois de leur poids face à la question de savoir si les membres de la direction souhaitent s'exposer à un risque de responsabilité civile et pénale en raison d'un manque de gestion de la conformité.
Le système de gestion de la conformité doit être adapté à l'entreprise
En ce qui concerne cette question, il convient tout d’abord de constater une chose simple : il n’existe aucune exigence légale ou normative spécifique relative à un système de gestion de la conformité. À cet égard, chaque direction d’entreprise est en principe libre de choisir les structures fonctionnelles et organisationnelles de la fonction de conformité au sein de son entreprise. Néanmoins, il existe un certain nombre d’aspects dont la prise en compte est utile lors de la mise en place du CMS et qui peuvent avoir, directement ou indirectement, des implications sur la conception de celui-ci. En effet, une telle fonction mobilise des ressources humaines et matérielles et représente donc un facteur de coût non négligeable.
La fonction de conformité ne peut déployer efficacement ses effets escomptés que si elle est intégrée dans l'organisation globale de l'entreprise en tant que système de gestion. Il s'agit donc de mettre en place un système adapté à chaque entreprise. Cela nécessite au minimum :
- Affectation du personnel
En matière de conformité, il convient de désigner des responsables, c'est-à-dire de confier cette responsabilité à des personnes spécifiques. Dans les petites entreprises, cette responsabilité peut être assumée en parallèle d’autres fonctions (par exemple, le contrôle de gestion), tandis que les grandes entreprises emploient à cet effet des responsables de la conformité dédiés. Un recours à un consultant spécialisé est également envisageable. - Ancrage organisationnel
La fonction de conformité doit être ancrée au sein de l'organisation de l'entreprise. Cet aspect dépend lui aussi de la taille et de la structure de l'entreprise : de l'unité administrative au service dédié à la conformité, toutes les variantes sont présentes dans la pratique. Quelle que soit la manière dont elle est intégrée dans l'organisation, il est important que la fonction de conformité ne soit pas une solution isolée. Il est indispensable de veiller à ce qu'il existe une étroite articulation avec les autres systèmes de gestion (gestion de la qualité, gestion des risques, etc.). - Définition des tâches
La définition des missions de la fonction de conformité comporte deux dimensions. D’une part, il convient de décrire les missions opérationnelles concrètes (par exemple, le conseil à la direction et à d’autres services de l’entreprise, l’élaboration et la mise en œuvre de réglementations internes, la formation des collaborateurs, ainsi que le contrôle et la détection des manquements en matière de conformité). D'autre part, il convient de veiller à ce que les missions de la fonction de conformité soient de nature à garantir le respect des obligations de la direction de l'entreprise (obligations d'organisation, de contrôle et d'enquête) – il s'agit en effet de la délégation de missions de surveillance et, dans ce contexte, de l'interaction pertinente entre l'acte de délégation, la décision de sélection et la surveillance du mandataire. - Suivi, contrôle et reporting
Une fonction de conformité nécessite une surveillance et un contrôle. Cela s'effectue généralement par le biais d'un système de reporting, dont le cadre élargi inclut également la réalisation d'audits internes et externes.
Le CMS doit être adapté sur mesure à l'entreprise, en tenant compte de ses exigences et de ses besoins spécifiques, ainsi que de son profil de risque propre. À cet égard, il est indispensable de procéder à une analyse minutieuse des paramètres déterminants avant de mettre en place ou de développer un CMS.
[1] À l'article 33 de la loi allemande sur le commerce des valeurs mobilières (WpHG), le législateur a imposé aux entreprises de courtage des obligations organisationnelles particulières (mise en place d'une fonction de conformité indépendante)
[2] § 25a de la loi allemande sur le crédit (KWG) : Un établissement doit disposer d'une organisation interne adéquate garantissant le respect des dispositions légales auxquelles il est soumis ainsi que des impératifs économiques (extrait)
[3] L'article 91, paragraphe 2, de la loi sur les sociétés par actions (AktG), par exemple, stipule que le directoire doit prendre les mesures appropriées, notamment mettre en place un système de surveillance. Il en va de même pour la société à responsabilité limitée (GmbH).
[4] Conformément à l'article 9 de l'OWiG (loi sur les infractions administratives), la „ propriété “ de l'entreprise au sens de l'OWiG est imputée aux personnes agissant directement. Dans la pratique, la responsabilité pour une faute organisationnelle au sens de l’OWiG n’incombe donc pas à l’entreprise elle-même, mais à ses dirigeants.
[5] N° 4.1.3 du DCGK (Code allemand de gouvernance d'entreprise)
[6] L'article 64 de la loi sur la surveillance des assurances (VAG) n'est pas pertinent en l'espèce.
Le deuxième article de blog abordera les pratiques en entreprise et les exigences qui en découlent.
À propos de l'auteur
Eckart Achauer : études de droit et de gestion d'entreprise, formation postuniversitaire sanctionnée par un Master of Business Administration (MBA). Formations continues en parallèle de son activité professionnelle pour devenir European Quality Manager (DGQ), médiateur spécialisé en médiation commerciale et Certified Compliance Manager (TÜV).
Il a occupé pendant une dizaine d'années diverses fonctions (sinistres, commercialisation, assistance) au sein de la direction d'un groupe d'assurance suisse, dans le secteur international de l'assurance, avant de se tourner, en 1997, vers le conseil en gestion et en stratégie d'entreprise.
En tant que consultant et directeur général de différentes sociétés de conseil, M. Achauer s'est spécialisé dans l'optimisation des organisations et des processus, ainsi que dans la conception et la mise en œuvre de systèmes de gestion – gestion de la qualité, gestion des risques et de la conformité.
Chez Senator Executive Search Partners, M. Achauer est responsable du domaine de la gestion de la conformité. Dans le cadre d'audits de conformité, il analyse la „ conformité organisationnelle “ des entreprises, sensibilise et forme la direction, les cadres et les collaborateurs, et accompagne les entreprises dans la mise en place et l'implémentation de systèmes de gestion de la conformité sur mesure. Ce faisant, il tient toujours compte de la situation spécifique de chaque entreprise en matière de risques. Fort de ses nombreuses années d’expérience en tant que cadre dirigeant et consultant, il connaît parfaitement les défis auxquels les entreprises sont confrontées dans la pratique.
