Les enjeux de compliance ne doivent pas être limités aux grandes entreprises et méritent aussi largement d’être intégrés au sein des ETI ?
Dans de trop nombreuses ETI, notamment en Suisse, la compliance est une notion qui fait peur, tant sa mise en œuvre est, à tort, jugée éminemment complexe. Pourtant, le déploiement d’un Compliance Management System (CMS) peut être couronné de succès, même avec un budget raisonnable, à condition que le projet soit abordé de manière pragmatique.
Au sein de leur environnement, les ETI sont, comme les grandes entreprises, confrontées à des enjeux de prévention de la corruption, de droit de la concurrence, de contrôle du commerce extérieur, de blanchiment d’argent, de respect de la directive européenne sur les lanceurs d’alerte ou encore de protection des données. Autant d’éléments qui relèvent de la compliance. Le type d’activité de l’entreprise joue évidemment beaucoup. Avant de se lancer, la direction d’une ETI doit comprendre les risques de conformité auxquels ils sont exposés. Une entreprise qui opère principalement dans un pays de l’UE présente un profil de risque de corruption différent de celui d’un fabricant qui exporte en Afrique.
Les dirigeants considèrent à tort que seules les multinationales, qui disposent en interne de départements dédiés et de moyens budgétaires conséquents, peuvent se permettre de mettre en œuvre une stratégie de compliance. Chez certains dirigeants, le sujet est d’ailleurs refoulé autour de croyances ancrées et très dangereuses. Ils se disent : « ça s’est toujours bien passé » ; « la justice ne s’intéresse pas à nous » ; ou encore « personne ne respecte pas les règles établies chez nous ».
Vous avez occupé des fonctions de Chief Compliance Officer au sein du groupe suisse SICPA. Comment une ETI comme SICPA a-t-elle réussi à atteindre un haut niveau de performance dans le domaine de la conformité ?
En 2015, la direction de SICPA, qui est pourtant une entreprise suisse importante comptant pour majorité des clients publics, a reçu une visite surprise du parquet local pour des faits remontant à plusieurs années. Comme dans la plupart des ETI, les tâches relevant de la compliance étaient fragmentées et, finalement, gérées par personne.
Après cet évènement, un nouveau responsable de la conformité a été nommé. Il s’agissait d’un collaborateur expérimenté issu du département financier. Il s’est immédiatement consacré à la mise en place d’un système de gestion de la conformité. Dans une démarche proactive et collaborative avec le service juridique, une évaluation des risques a été introduite, des formations ont été organisées, les procédures de due diligence pour les prestataires extérieurs ont été améliorées…
Malgré tout, ces mesures ambitieuses se sont révélées encore insuffisantes sur le long-terme. Au cours des années suivantes, SICPA a profondément renouvelé son système de gestion de la conformité et a réussi à égaler en qualité les CMS des grandes entreprises et des multinationales. Le tout, avec un budget certes suffisant, mais bien loin de rogner sur les marges de manœuvre de l’entreprise. En 2020, les efforts du groupe ont été récompensés par l’obtention de la certification ISO 37001 des systèmes de management anti-corruption.
Quelles sont pour vous les conditions essentielles au déploiement réussi d’un programme de conformité au sein des ETI ?
Selon moi, l’une des conditions essentielles à la réussite d’un programme de conformité au sein d’une entreprise qui n’en possédait pas est la nomination d’un responsable de la compliance expérimenté, capable de diriger sa mise en œuvre, et compétent pour identifier les domaines de risque. Il pourra jouer le rôle de catalyseur et faire infuser une culture de la compliance au sein de l’organisation.
C’est en effet un budget, mais qui amène de grands avantages. Au vu des enjeux, ce responsable doit, selon moi, être placé au plus près du dirigeant dans l’organigramme de l’entreprise. C’est exactement le choix fait par le Président de SICPA en 2018, après que les efforts et le savoir-faire internes se sont révélés insuffisants. Il avait ainsi identifié l’un des facteurs de réussite décisifs : l’implication d’une personne externe, capable de mettre en œuvre durablement un CMS moderne et assurer ainsi le succès de l’entreprise à long-terme. D’ailleurs, un système de gestion de la conformité efficace constitue un avantage concurrentiel et contribue ainsi au succès à long-terme des ETI.
Vous évoquez à plusieurs reprises le besoin de pragmatisme dans le déploiement d’un CMS ?
En effet, beaucoup de dirigeants de ETI, notamment en Suisse, pensent parfois à tort que leurs CMS doivent être un copier-coller de ceux que l’on trouve dans les multinationales. Ce faisant, ils oublient souvent que ces grands groupes sont eux-mêmes des structures complexes et lourdes. Ce n’est pas le cas de la plupart des ETI. Une ETI peut souvent adopter une approche beaucoup plus pragmatique, car les voies de décision sont beaucoup plus courtes. En termes de volume, les cas à traiter sont aussi bien moindres. Pour les ETI, il ne s’agit pas de mener des opérations de due diligence sur des milliers de partenaires extérieurs ou de former des dizaines de milliers de collaborateurs. Dans de nombreuses situations, une simple solution informatique, voire un tableau Excel, suffit. Dans le même temps, les éventuelles mesures disciplinaires ne doivent pas d’abord être documentées dans des systèmes et soumises à la décision de comités, mais peuvent être décidées en temps réel par la direction de l’entreprise.
Concrètement, quelles sont les mesures les plus évidentes et simples à mettre en œuvre pour une ETI désireuse de déployer un programme de compliance ?
J’en identifie plusieurs. Le « Tone-from-the-Top », c’est-à-dire la sensibilisation menée depuis le plus haut niveau de l’entreprise aux équipes, est un premier pas ; la mise en œuvre de politiques et procédures établies une bonne fois pour toutes et lisibles pour l’ensemble des personnels ; le déploiement d’une stratégie de formation à partir d’outils existants en interne ou externe — chez SICPA, nous avons formé 1 600 personnes avec un webinaire — ; l’organisation d’une communication interne adaptée ; la diffusion interne d’un outil dédié pour les mesures de diligence raisonnable destinées aux contrôles des partenaires extérieurs ; la création d’une ligne d’assistance pour les lanceurs d’alerte ; l’ajout une dimension « compliance » aux politiques de contrôle interne déjà existantes ; ou encore le déploiement d’un « réseau de conformité » dans l’entreprise : j’entends par là la mise en avant de certains collaborateurs qui, dans les différentes divisions du groupe, seront en charge de sensibiliser leurs collègues et de diffuser les bonnes pratiques. Ces différentes implémentations nous ont permis d’obtenir en avril 2023 la certification ISO 37001. Et ce, pour la troisième année consécutive.
