Nouvel article, subjectif, fruit d’une conviction certaine, au sujet d’une question qui se pose souvent au sein des entreprises assujetties aux dispositions de la loi Sapin 2.
Faut-il faire évaluer les risques d’une cartographie par des spécialistes de la prévention de la corruption, la fonction compliance par exemple, ou par un travail issu d’une réflexion collective, moins concentrée en spécialistes ?
Autrement dit, l’évaluation des risques doit-elle être faite à dire d’expert(s) ou de façon collective ou participative par un groupe moins « spécial ?
La loi ne dit rien à ce titre, et l’examen des recommandations de l’AFA n’en dit pas beaucoup plus. Ou ne répondent pas précisément à la question.
Pour autant, cette dernière se pose souvent, et nombre d’entreprises recourent à cette notion d’ateliers.
Sommaire
Différents points de vue de l’AFA.. 4
De la traçabilité et du caractère univoque des évaluations. 4
Annexe : quelques extraits des recommandations de l’AFA.. 5
De la notion d’atelier
Afin de répondre à la question pour ou contre des ateliers, il convient de définir ce que recouvre cette notion. Précisément.
Définition
Le Larousse définit le terme au premier sens, pour la bonne bouche, comme étant « Local où travaille manuellement quelqu’un pour son métier artisanal ou pour son plaisir : Atelier de couturière ».
Mais il le définit également comme « Groupe de travail constitué autour d’une activité, d’un thème, etc., en particulier dans le domaine de l’enseignement, d’un congrès scientifique, etc. ».
On parlera donc ici d’un Groupe de travail chargé de procéder à l’évaluation des risques de corruption identifiés. Evaluation brute, évaluation des moyens de maitrise des risques identifiés ou encore des risques nets.
Composition
La notion d’atelier assez simplement définie, il convient de s’assurer de quelle manière il est composé. Et c’est probablement là qu’est tout le nœud du problème du choix à opérer.
De 2 choses l’une :
Un atelier composé de spécialistes de la prévention de la corruption
Soit l’atelier est composé de spécialistes de la compliance, et la notion d’atelier importe peu. Ce sont des spécialistes de la question de la corruption qui vont évaluer les risques qui auront été identifiés. À eux de documenter et de justifier les raisons pour lesquelles un risque aura été coté de telle ou telle manière.
Un atelier composé de différents profils, pas tous spécialistes de la prévention de la corruption
Soit l’atelier est composé de non spécialistes de la corruption, et dans ce cas l’entreprise prend un risque. Non que les personnes composant l’atelier ne soient pas dignes de confiance, la question n’est pas là.
Un bagage technique potentiellement à parfaire
La prévention de la corruption étant un sujet relativement technique, baigné par les jurisprudences liées aux FCPA, UKBA et désormais AFA.
Il n’est pas impossible que les membres de l’atelier, n’aient pas les réflexes ou les connaissances suffisantes en matière de prévention de la corruption, pour évaluer un risque à sa juste mesure. C’est un premier point.
Un collectif à maîtriser
Ensuite, le principe de l’atelier est d’être collectif. Or un collectif, par nature, est composé d’une diversité de profils, de personnalités, et de positions hiérarchiques.
Partant de ce constat, il n’est pas incohérent de dire que certaines personnalités s’imposeront à d’autres, pour des questions de personnalité, d’autorité naturelle, ou que des liens hiérarchiques se feront immanquablement sentir.
Quels que soient les biais à l’œuvre, rien ne garantit que les conclusions de cet atelier soient techniquement suffisamment solides pour alimenter la cartographie..
Des notions à ne pas perdre de vue
En poussant un peu plus la notion de biais, on se rend parfois compte que l’évaluation des risques de corruption par un « atelier » conduit à poursuivre des objectifs très différents de ceux attendus, notamment par l’AFA.
Ainsi croise-t-on parfois des ateliers pilotés par un mandataire social qui opère, en toute bonne foi, une confusion entre risques purement « business », et risques de corruption. Où la boussole, est l’EBITDA plutôt qu’une notion vertueuse de la conduite des affaires.
On rencontre également des ateliers centrés sur le seul risque de fraude, ou sur des risques proches de la corruption sans pour autant en relever.
La corruption et les contextes dans lesquels elle est susceptible de se développer risquent alors de ne pas être suffisamment identifiés ou analysés.
Le fait de ne pas « baigner » dans la prévention de la corruption entraîne parfois des confusions. Ainsi, à titre d’illustration, la seule question de la fréquence est parfois interprétée comme l’estimation du nombre de fois où des faits de corruption se sont produits, alors qu’il faudrait évaluer le nombre de fois où les conditions pour qu’un fait de corruption surgisse ont été ou sont réunies. La nuance est d’importance.
Technique et démocratie
Autre travers potentiel des ateliers : le côté participatif.
En effet, en principe un risque devrait être évalué à l’aune des dommages qu’il est susceptible d’engendrer. Or, il arrive que cette notion échappe aux ateliers qui, sous l’effet de la dynamique de groupe, privilégient une évaluation moyenne ou consensuelle. Qualifions-la de différentes manières. Humainement, le phénomène est parfaitement compréhensible.
Mais prenons un exemple aussi différent de la prévention de la corruption qu’éclairant. Imaginons que l’on sache que le défaut d’huile moteur entraîne irrémédiablement, à terme, la casse de ce dernier. C’est un fait technique incontestable.
Maintenant supposons que parmi les évaluateurs, certains n’aient aucune notion de mécanique. Ils ne verraient en le défaut d’huile moteur qu’un sujet d’approvisionnement mineur, par exemple, et toujours en toute bonne foi, n’attribueraient audit risque qu’une gravité modérée. Mécaniquement donc, l’évaluation du risque serait minorée. A tort.
Et les moyens affectés à sa prévention potentiellement insuffisants.
Et la direction de l’entreprise mécaniquement – si l’on peut dire – plus exposée au risque de casse moteur.
Non pas parce que les uns ou les autres auraient failli, mais bien parce que la prise en compte d’un point de vue intuitif, ou fruit de convictions profondes, pourquoi pas, n’est pas un avis technique. Et c’est, dans un exercice de cartographie des risques de corruption bien un avis technique qui est attendu.
Et encore ne sont pas abordées les triviales, mais inévitables questions de disponibilité et d’agenda.
Différents points de vue de l’AFA
Si l’AFA n’a pas pris position pour ou contre l’existence d’ateliers, il est néanmoins possible d’observer au fil des rapports auxquels nous avons pu avoir accès, que les reproches formulés à l’endroit des « ateliers de cotation » sont les suivants :
La pluralité des ateliers
Il a pu être relevé le fait que différents ateliers de cotation sur une même cartographie des risques de corruption entrainent parfois une invalidation de la démarche de la part de l’Agence.
Non pas parce que plusieurs ateliers se réuniraient, mais parce que des ateliers de compositions différentes contribueraient à un seul et même exercice de cartographie. Or si l’on change la composition d’un atelier, l’on perd la notion d’une forme d’unicité dans la démarche.
A plus forte raison quand les échanges ne sont pas rigoureusement formalisés ou répondent à des impératifs ou une grille d’évaluation aux contours flottants.
De la traçabilité et du caractère univoque des évaluations
Doctrine très souvent vue dans les rapports de contrôle auxquels nous avons pu avoir accès : la traçabilité, et le caractère le plus objectif possible des évaluations produites.
L’évaluation des risques n’est pas une science exacte, c’est un fait incontestable. Et l’objectivité maximale est pourtant exigée dans ce type d’exercice. La moins mauvaise meilleure solution pour y parvenir est de se fixer des grilles d’analyse auxquelles se référer, et de rendre ainsi traçable l’exercice d’évaluation.
Les grilles définies à l’avance préciseraient les critères permettant d’évaluer à la fois la probabilité et la sévérité du risque identifié. A chaque échelon de cotation doivent être décrits des éléments de caractérisation précis ; idéalement suivant différents critères pour la sévérité : aspects financiers, judiciaires, réputationnels…
Ainsi, même si rien n’est parfait, la traçabilité des raisons pour lesquelles un risque a été évalué de telle ou telle manière est immédiate. Il est toujours possible de discuter des éléments produits, mais en substance le risque d’erreur devient très limité.
Et en présence d’un tel référentiel, appui technique à l’évaluation des risques, est-il nécessaire de réunir un atelier ?
Pour résumer
Le recours à des « ateliers » pour l’évaluation des risques de corruption, que ce fut en brut ou en net, ou encore pour évaluer des mesures de contrôle, ne semble pas, pour nous, la méthode la plus adaptée, parce qu’elle entraîne potentiellement différents biais de fonctionnement. Ces biais sont divers et peuvent fragiliser l’exercice de cartographie, comme l’AFA a pu le relever dans certaines circonstances.
L’évaluation des risques devrait sans doute rester un exercice confié à un ou plusieurs experts du sujet, idéalement issus de la fonction compliance, qui ont vocation à couvrir l’ensemble des travaux de cartographie, et qui doivent pouvoir rendre traçable, et aussi objectif que possible l’exercice d’évaluation.
Annexe : quelques extraits des recommandations de l’AFA
- La cartographie des risques procède d’une analyse objective, structurée et documentée des risques de corruption auxquels une entreprise est exposée dans le cadre de ses activités. Elle résulte de l’analyse de l’ensemble des processus de l’entreprise qui la conduisent à interagir avec les tiers, ainsi que de l’identification des risques de corruption, et ce à chaque stade de ces processus.
- La cartographie des risques procède d’une analyse objective, structurée et documentée des risques de corruption auxquels une entreprise est exposée dans le cadre de ses activités. La description fait ressortir l’impact potentiel des risques (gravité) et leur probabilité d’occurrence (fréquence), les éléments susceptibles de les accroître (facteurs aggravants) ainsi que les réponses apportées dans le cadre du dispositif de maîtrise des risques existant ou à apporter dans le cadre d’un plan d’actions.
- Les échanges organisés pour identifier les risques peuvent utilement conduire à leur évaluation. Qu’elle s’appuie ou pas sur ces échanges, l’évaluation des risques bruts est conduite sur le fondement d’une méthodologie homogène : l’entreprise veille notamment à ce que les évaluations des risques bruts émanant des différents métiers, filiales ou zones géographiques puissent être agrégées de manière cohérente.
- Idéalement, le recensement des moyens de maîtrise des risques déjà existants et mis en œuvre est réalisé à l’occasion des échanges avec le personnel, conduits dans le cadre de l’identification des risques inhérents aux activités de l’entreprise (2e étape). L’évaluation de l’efficacité de ces mesures et ce faisant des risques nets ou résiduels est faite par le responsable de la conformité, en lien si nécessaire avec les responsables des fonctions de l’entreprise concernées et avec l’appui éventuel de l’audit interne et du responsable de la maîtrise des risques, quand l’entreprise possède une telle fonction.
