Qu'est-ce que la conformité (compliance) ?

En français, « conformité » et « compliance » désignent la même chose. L'Autorité de la concurrence emploie d'ailleurs les deux termes indifféremment dans ses publications.

La définition tient en une phrase : la conformité est l'ensemble des dispositifs par lesquels une organisation s'assure qu'elle respecte les lois, réglementations, normes et règles internes qui lui sont applicables.

Rédiger des procédures ne suffit pas. Une organisation conforme est celle qui peut démontrer que ces procédures sont appliquées. Cette nuance sépare les dispositifs qui résistent à un contrôle de ceux qui s'effondrent au premier examen.

Définition de la conformité en entreprise

La conformité regroupe les politiques, procédures, contrôles et dispositifs de surveillance qui permettent à une organisation de respecter ses obligations et d'en apporter la preuve.

Elle poursuit quatre objectifs :

• Éviter les sanctions : amendes, injonctions, poursuites pénales, exclusion des marchés publics
• Protéger la réputation : un manquement sanctionné publiquement coûte souvent davantage que l'amende
• Sécuriser les opérations : un dispositif conforme est généralement un dispositif maîtrisé
• Rassurer les parties prenantes : investisseurs, clients, partenaires, salariés

Une précaution de vocabulaire. En français, « compliance » employé seul renvoie fréquemment à l'observance thérapeutique en contexte médical. Nous utilisons donc « conformité », en précisant « compliance » lorsque l'usage professionnel l'impose.

Les trois types de conformité

Conformité réglementaire

C'est la dimension la plus visible : respecter les textes qui s'imposent à l'organisation du fait de son secteur, de sa taille ou de son implantation géographique.

Elle est non négociable et assortie de sanctions. Notre guide dédié à la conformité réglementaire détaille les principaux textes applicables aux entreprises françaises.

Conformité corporate

Elle concerne les règles que l'organisation se fixe à elle-même : code de conduite, politique de cadeaux et invitations, règles de gestion des conflits d'intérêts, procédures de délégation.

Ces règles n'ont pas de force légale directe. Elles constituent pourtant le premier élément examiné lors d'un contrôle, parce qu'elles révèlent le niveau d'engagement réel de la direction. C'est un volet essentiel de la gouvernance d'entreprise.

Conformité opérationnelle

Elle porte sur le respect des normes techniques, sectorielles et qualité : certifications ISO, normes sectorielles, référentiels professionnels.

Elle est souvent portée par les métiers plutôt que par une fonction conformité dédiée, et produit néanmoins des obligations de preuve comparables.

Conformité et contrôle interne : la distinction

C'est la confusion la plus répandue, et elle a des conséquences pratiques.

La conformité est l'objectif, le contrôle interne le mécanisme, la preuve le livrable.

Prenons un exemple concret.

L'obligation de conformité : l'article 17 de la loi Sapin 2 impose aux entreprises concernées de disposer de contrôles comptables destinés à détecter les faits de corruption.

Le mécanisme de contrôle interne : une séparation des fonctions entre la création d'un fournisseur et l'autorisation de son paiement, assortie d'un seuil de double validation.

La preuve : le résultat du test, qui démontre que, sur les 18 400 paiements de l'exercice, aucun n'a été initié et validé par la même personne, ou qui identifie précisément les quatre cas où cela s'est produit et la façon dont ils ont été traités.

Une organisation peut avoir une fonction conformité structurée et un contrôle interne défaillant. Elle sera alors conforme sur le papier et vulnérable en pratique. Notre guide sur le contrôle interne développe le référentiel COSO et ses cinq composantes.

Le cadre réglementaire applicable

Vue synthétique des textes qui structurent la conformité des entreprises françaises. Le détail est traité dans notre page dédiée à la conformité réglementaire.

Les groupes français cotés outre-Atlantique cumulent fréquemment Sapin 2, SOX et FCPA. Ces textes se recoupent largement sur les contrôles comptables, mais pas totalement. Notre article sur la double conformité Sapin 2 et FCPA traite spécifiquement ce cas.

Ce que contient un programme de conformité

Sept composantes, communes à la quasi-totalité des référentiels.

1. Engagement de la direction. Sans portage visible au plus haut niveau, aucun dispositif ne tient. C'est le premier élément vérifié par les autorités de contrôle.
2. Cartographie des risques. Identifier où l'organisation est réellement exposée, selon ses activités, ses zones géographiques et ses relations d'affaires.
3. Politiques et procédures. Code de conduite, règles de délégation, procédures d'approbation, politique cadeaux et invitations.
4. Formation. Les collaborateurs doivent connaître les règles et savoir les appliquer dans leur contexte opérationnel.
5. Dispositif d'alerte. Canal de signalement accessible, confidentiel et protégé contre les représailles.
6. Contrôles. Les mécanismes qui empêchent ou détectent les manquements. C'est la composante la plus souvent sous-investie.
7. Remédiation et évaluation. Traiter les manquements identifiés, corriger les causes, et évaluer périodiquement l'efficacité de l'ensemble.

Le rôle du responsable conformité

Le responsable conformité, ou compliance officer, conçoit, déploie et pilote le programme.

Ses missions : veille réglementaire, cartographie des risques, rédaction des politiques, animation de la formation, gestion des alertes, reporting à la direction et aux instances de gouvernance.

Son positionnement : rattachement direct à la direction générale ou au conseil, afin de préserver son indépendance vis-à-vis des directions opérationnelles qu'il évalue.

Son articulation avec les autres fonctions :

• Audit interne : évalue indépendamment l'efficacité du programme de conformité. Le responsable conformité conçoit le dispositif ; l'audit interne vérifie qu'il fonctionne.
• Direction financière : porte les contrôles comptables, qui constituent une part significative des exigences de conformité.
• Direction juridique : interprète les textes et gère le contentieux.

Comment prouver sa conformité

C'est ici que la plupart des dispositifs révèlent leur fragilité.

Pendant des années, l'attendu était documentaire : procédures rédigées, formations dispensées, registres tenus. Ce niveau de preuve ne suffit plus.

L'AFA examine les dispositifs de surveillance réellement opérationnels. Le DOJ cite explicitement l'analyse de données et la surveillance des transactions comme marqueurs d'un programme robuste. Les commissaires aux comptes exigent des corroborations indépendantes plutôt que des classeurs de procédures.

La limite du test par sondage

Un contrôle qui s'applique à 40 000 transactions annuelles, testé sur un échantillon de 25, couvre moins de 0,1 % de la population.

Les manquements systématiques apparaissent dans un échantillon. Les manquements ciblés, ceux qui résultent d'une intention, sont précisément construits pour y échapper.

Le test exhaustif

Tester l'intégralité de la population supprime cet angle mort. Chaque transaction est confrontée à chaque critère de contrôle, à chaque période.

La preuve produite change de nature : on ne dit plus « sur 25 transactions testées, aucune anomalie » mais « sur 40 000 transactions testées, 14 anomalies identifiées, dont voici le traitement ».

Cette approche est développée dans notre guide sur la surveillance continue des contrôles.

Peut-on automatiser la conformité ?

Partiellement, et la distinction mérite d'être posée clairement.

Ce qui s'automatise :

• L'exécution des tests de contrôle sur les données transactionnelles
• La collecte et l'horodatage des preuves
• La détection d'anomalies et leur hiérarchisation par niveau de risque
• Le suivi des plans de remédiation
• La production des rapports réglementaires

Ce qui ne s'automatise pas :

• L'interprétation d'un texte ambigu
• L'arbitrage entre un risque de conformité et un enjeu commercial
• La qualification d'un signalement complexe
• La culture de conformité et l'exemplarité managériale

L'automatisation libère du temps sur la partie mécanique pour le réallouer là où le jugement humain est irremplaçable.

Ce qu'il faut retenir

La conformité se mesure à la capacité de démontrer que les procédures sont appliquées, pas au volume de procédures rédigées.

Les organisations qui passent les contrôles sans difficulté ont un point commun : elles ne construisent pas leur preuve au moment où on la leur demande. Elles la produisent en continu, sur l'ensemble de leurs transactions.