Une politique de groupe n'est pas une preuve. C'est une intention établie par le siège et qui, dans le meilleur des cas, a également été déployée vers chaque entité. Que cela se soit produit, et que la politique soit effectivement appliquée, est une question différente de celle de savoir si la politique existe. Un conseil d'administration qui souhaite démontrer qu'il maîtrise la situation doit pouvoir combler cet écart : ne pas se contenter de montrer ce qui a été décidé, mais aussi ce qui se passe dans la pratique au sein de chaque entité relevant du périmètre concerné.
Dans un groupe comportant plusieurs entités, la politique est généralement écrite de manière centralisée et exécutée de manière décentralisée. Cela signifie que l'écart entre le texte de la politique et la pratique sur le terrain est plus important que dans une entreprise unique. Une filiale dans un autre pays, avec une autre langue, une autre équipe de direction et parfois une autre tradition comptable, applique la politique comme elle la comprend. Cela n'est pas automatiquement erroné, mais c'est bien quelque chose qui doit être constaté séparément. Un conseil d'administration qui suppose que la politique de groupe est appliquée de manière identique partout fait une hypothèse qui est rarement vérifiée jusqu'à ce qu'un auditeur ou un régulateur le demande.
La politique est un document. La preuve est autre chose : une activité, une approbation, un écart signalé et suivi, un contrôle réellement effectué à un moment qui peut être retracé. Ce qui compte comme preuve pour une obligation dépend de la nature de cette obligation, mais le principe reste toujours le même : il doit être démontrable qu'une chose s'est produite, pas seulement qu'elle aurait dû se produire. Dans un groupe comportant plusieurs entités, cette distinction devient plus nette, car la politique est écrite en un seul endroit et la preuve doit être récupérée dans un endroit tout à fait différent.
Le problème le plus fréquent n'est pas l'absence de preuve, mais le fait que la preuve existe, dispersée entre différentes entités, systèmes et responsables, sans que personne au niveau du groupe n'en ait une vue d'ensemble. Un contrôleur local a tenu une feuille de calcul, un responsable conformité d'une filiale a conservé des e-mails, un auditeur externe a finalisé un programme de travail qui n'est stocké nulle part de manière centralisée. Où la preuve se disperse décrit exactement ce schéma : non pas l'absence de preuve, mais l'absence d'un endroit où la preuve se rassemble. Plus un groupe est grand et international, plus ce schéma s'accentue, simplement parce qu'il y a davantage d'endroits où quelque chose peut être consigné et davantage de personnes qui pensent qu'un autre s'en occupe.
Pour organiser la démontrabilité sur plusieurs entités, une structure est nécessaire qui établit, par obligation, qui est responsable de quoi, même si cela varie selon l'entité. Ce qu'est une matrice de contrôle dans un groupe comportant plusieurs entités explique à quoi ressemble une telle matrice : pour chaque obligation, un propriétaire, la preuve qui s'y rattache et le contrôle qui démontre que la preuve a été vérifiée. Dans une entreprise unique, cette matrice reste claire. Dans un groupe, chaque ligne se multiplie par le nombre d'entités auxquelles l'obligation s'applique, et ce nombre n'est que rarement aussi clair pour tous au sein du groupe.
La démontrabilité n'est réelle que si quelqu'un d'extérieur au groupe peut la suivre. Il peut s'agir d'un auditeur externe, d'un régulateur, ou d'un nouveau membre du conseil d'administration qui doit reprendre le dossier de la situation précédente. Comment conserver la preuve pour qu'un auditeur la retrouve traite de cette accessibilité : non seulement si la preuve existe, mais si elle est stockée d'une manière compréhensible pour quelqu'un qui ne connaît pas la structure interne du groupe. Avec plusieurs entités, il s'agit d'une couche supplémentaire de complexité, car l'accessibilité ne doit pas seulement fonctionner au sein d'une seule entité, mais aussi entre les entités, afin que le niveau du groupe puisse présenter une image cohérente plutôt qu'une collection de dossiers isolés.
Une complication supplémentaire pour un groupe est que la même obligation européenne peut se traduire différemment selon le pays. Une filiale en Allemagne peut relever d'une transposition nationale différente de celle d'une filiale en France, même si la règle européenne sous-jacente est identique. Quelles transpositions nationales s'appliquent en Allemagne et quelles transpositions nationales s'appliquent en France montrent où cette différence devient concrète. Une politique de groupe rédigée uniquement sur la base du texte européen ne couvre donc pas automatiquement ce que chaque entité doit démontrer localement. C'est précisément là que de nombreux groupes sont pris au dépourvu : non pas par la règle principale, mais par la transposition nationale qui se trouve en dessous.
Cartographier les propriétaires, les preuves et les contrôles sur plusieurs entités est un travail qui consiste en grande partie à collecter, ordonner et tenir à jour de manière répétée des informations qui existent déjà quelque part. C'est précisément le type de tâche dont le scan de travail de FTE TO AI examine quelle part peut être reprise par l'IA, tâche par tâche, sans préjuger du résultat pour votre organisation.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.