Pleins feux sur la conformité

Update

Pleins feux sur la conformité : comment établir et maintenir un programme de conformité efficace

Cristian Manganiello
Assurance Partner

Les sociétés se lancent actuellement dans des initiatives numériques dans un contexte marqué par une augmentation de la quantité de données, une automatisation accrue, des cyberattaques sophistiquées, un paysage réglementaire et des attentes des clients en constante évolution. D’après la 22e enquête annuelle « Global CEO Survey » de PwC, la surabondance de réglementations continue de compter parmi les premières menaces identifiées par les CEO. Du fait de l’élargissement de la portée et de l’accélération de la transformation numérique, les exigences en matière de conformité réglementaire continuent d’évoluer, et de plus en plus souvent de nouveaux problèmes apparaissent. Un effet boule de neige est désormais beaucoup plus probable lorsque des problèmes surgissent.

L’application plus stricte de la réglementation, les pressions croissantes de mouvements mondiaux (tels que #metoo) et d’acteurs tels que les lanceurs d’alerte, les groupes d’activistes et les journalistes d’investigation renforcent l’importance de disposer d’une culture éthique solide ainsi que de canaux de communication internes plus transparents. Les défaillances en matière de conformité peuvent compromettre la réputation des sociétés, faire perdre des clients et être à l’origine d’amendes coûteuses. De fait, le risque lié à la non-conformité est plus important que jamais.

Une nouvelle norme d’audit pour établir des systèmes fiables de gestion de la conformité

EXPERTsuisse a publié la nouvelle Norme d’Audit Suisse NAS 980 qui définit des principes pour l’audit des systèmes de gestion de la conformité (ci-après « CMS », de l’anglais « compliance management system »). Pour la première fois, la norme fournit aux spécialistes un cadre complet pour évaluer l’efficacité d’un CMS, permettant aux entreprises de bénéficier d’une plus grande transparence sur leur programme, d’établir la confiance avec leurs partenaires et de créer potentiellement un avantage compétitif. En fin de compte, une attestation d’un auditeur indépendant, sous la forme d’un rapport pouvant être remis à des tiers, agit comme un catalyseur de confiance entre les entreprises et leurs partenaires.

Tout en fournissant aux spécialistes des conseils sur la manière d’évaluer, de conclure et d’attester de manière indépendante la conception, la mise en œuvre et l’efficacité du CMS, la norme d’audit constitue également pour les entreprises une excellente base pour passer en revue et améliorer leur programme de conformité existant.

Principes fondamentaux pour un programme de conformité efficace

La norme non seulement traite des procédures d’audit requises pour formuler des conclusions concernant l’efficacité d’un CMS, mais introduit également sept principes interdépendants. Ces principes constituent les composantes essentielles pour garantir l’efficacité d’un programme de conformité et doivent être intégrés dans les processus stratégiques de l’entreprise : 1) culture de conformité, 2) objectifs de conformité, 3) risques de conformité, 4) programme de conformité, 5) organisation de la conformité, 6) communication de conformité et 7) surveillance et amélioration de la conformité.
Les entreprises qui parviennent à appliquer ces principes et les critères associés sont en mesure :

d’établir une culture d’éthique et de conformité à tous les niveaux concernés de l’entreprise ;
de tenir compte de l’impact des objectifs commerciaux généraux sur le CMS ;
de déployer une approche structurée d’évaluation et de gestion des risques afin d’identifier les risques liés à la conformité ;
de mettre en œuvre un CMS efficace permettant à la fois la détection et la prévention des risques liés à la conformité ;
de définir les différents rôles et responsabilités en ce qui concerne l’organisation de la conformité ;
d’établir et de maintenir un programme de conformité efficace.

Figure 1 : Les sept principes régissant le CMS conformément à la norme NAS 980

Domaines dans lesquels les principes fondamentaux peuvent s’appliquer

Outre les principes fondamentaux d’un CMS couvrant l’ensemble de l’entreprise, un certain nombre d’autres domaines requièrent des cadres de gouvernance adéquats pour établir et maintenir un niveau efficace de conformité, par exemple :

1) Chaîne d’approvisionnement distribuée

L’écosystème actuel se caractérise notamment par le fait que la production de presque tous les produits ou services physiques ou virtuels fait intervenir des réseaux de contributeurs. Les fournisseurs et producteurs de composants exercent dans des univers intégrés ou coopératifs, liés par des contrats et des relations fondées sur des intérêts financiers.

À titre de mesure du risque et de la qualité, mais également pour protéger leur propre réputation, les entreprises multinationales exigent de leurs fournisseurs des attestations les engageant à respecter les exigences légales minimales ainsi que les principes généralement acceptés. Pour les fournisseurs comme pour les multinationales, il ne peut y avoir confiance réciproque que si une attestation relative au CMS en place est fournie en tant que préalable à l’établissement ou à la poursuite de relations d’affaires. Citons, à titre d’exemples, quelques sujets susceptibles d’être pris en compte : la gouvernance d’entreprise, la lutte contre le blanchiment d’argent, la lutte contre la corruption, les sanctions ou des principes volontaires tels que les normes décrites par les conventions de l’Organisation internationale du travail, l’initiative pour le commerce éthique, la responsabilité sociale, les objectifs de développement durable du Pacte mondial, le Greenhouse Gas Protocol ou d’autres exigences en matière de développement durable émises par un fabricant international.

2) Protection des données

Le principe de responsabilité est de plus en plus ancré dans les lois et règlements sur la protection des données. Par exemple, les entreprises assujetties au Règlement général sur la protection des données (RGPD) promulgué par l’Union européenne (UE) doivent démontrer qu’elles en respectent les règles. En faisant preuve de transparence sur la façon de satisfaire aux exigences des lois applicables, les entreprises instaurent la confiance requise par les partenaires commerciaux, les autres parties prenantes et la société en général.

Dans ce domaine, un certain nombre de normes et de directives peuvent être appliquées dans le cadre d’un CMS spécifique visant la protection des données. Par exemple, un spécialiste pourra appliquer le GDPR-CARPA (Certified Assurance Report-based Processing Activities Certification Criteria) du Luxembourg ou le NOREA-PCF (Privacy Control Framework) des Pays-Bas pour évaluer un CMS en particulier.

3) Conformité fiscale

Se conformer à l’ensemble des lois fiscales, des obligations comptables et de déclaration fiscale devient toujours plus complexe. Les entreprises s’efforcent de faire plus avec moins tout en puisant de la valeur dans leurs fonctions fiscales et financières. Par ailleurs, la centralisation des fonctions financières et comptables présente d’autres défis, particulièrement lorsque l’on doit faire face à des règles locales complexes, des technologies disparates et des processus manuels au cours du cycle de conformité. Il en résulte un risque accru de défaut de conformité et très peu de temps disponible pour la prévision ou la planification stratégique.

Les CMS dédiés spécifiquement à la fiscalité aident les entreprises à se doter d’un programme de conformité robuste, tout en repensant leur approche en matière de conformité et de communication à l’échelle nationale et internationale en examinant de plus près leurs technologies, leurs processus, leurs ressources et leurs fournisseurs de services (y compris le co-sourcing/l’outsourcing).

4) Développement durable

Du fait de l’importance accrue accordée au développement durable à l’échelle mondiale, les entreprises sont confrontées à de nouvelles restrictions sur les matériaux qu’elles utilisent, les sous-produits qu’elles produisent, la sécurité de leurs installations et d’autres aspects opérationnels. Ces restrictions, aussi bien volontaires qu’imposées, émanent d’un ensemble d’initiatives sectorielles et d’organisations gouvernementales et non gouvernementales, souvent avec des juridictions qui se chevauchent, chacune imposant son propre arsenal d’exigences en matière d’annonces et de déclarations. La nécessité de vérifier le respect de ces multiples normes et restrictions ajoute une pression considérable sur les fonctions de conformité et d’assurance des entreprises.

Les entreprises durables savent que les équipes chargées du développement durable et de la conformité jouent un rôle essentiel dans la promotion d’un comportement éthique et l’intégration des valeurs au sein de l’entreprise dans son ensemble. Il est important que ces équipes se coordonnent davantage entre elles et à l’échelle de l’entreprise dans le cadre d’un CMS intégré afin de concevoir des moyens plus efficaces de générer des avantages en matière de résilience.

Comment PwC peut vous aider

Pour comprendre l’impact qu’aura sur vous la nouvelle Norme d’Audit Suisse NAS 980 et les opportunités qu’elle vous apportera, nous vous aidons à évaluer l’incidence des différents principes qui y sont énoncés. Nos activités de soutien, d’analyse des lacunes et d’attestation se focalisent sur la culture de conformité nécessaire à vos objectifs et sur vos principaux risques en tenant compte de votre programme dans sa globalité et des aspects organisationnels spécifiques de votre CMS – dans l’ensemble de votre entreprise ou quelques domaines spécifiques de votre choix.

Aperçu des articles