Kennisbank

Des preuves qu'un auditeur peut trouver

Une obligation n'est démontrée que lorsqu'il existe quelque chose qu'une autre personne peut vérifier sans avoir à vous le demander. C'est là le cœur de la démonstrabilité : non pas ce que vous savez s'être produit, mais ce qu'un auditeur, un régulateur ou un nouveau responsable conformité peut retrouver sans que vous ayez besoin de l'expliquer. Beaucoup d'entreprises découvrent seulement lors d'un audit que la preuve existe bel et bien, mais qu'elle n'est pas retrouvable.

Ce qui compte comme preuve

Une preuve n'est pas la même chose qu'une politique. Un document de politique indique quelle est l'intention ; une preuve montre que cette intention a également été exécutée. Pensez à une décision approuvée avec date et nom de l'approbateur, un échange d'e-mails révélant un arbitrage, un journal d'un contrôle réellement effectué, ou un rapport qui correspond aux données sous-jacentes. Ce qui compte exactement comme preuve suffisante varie selon l'obligation, et ce qui compte comme preuve pour une obligation au sein d'un groupe comptant plusieurs entités montre comment cette question se précise dès que plusieurs établissements ou filiales entrent en jeu. Le fil rouge est systématiquement que la distinction entre la politique et la pratique est souvent sous-estimée : un document qui a fière allure n'est pas une preuve que quelqu'un a effectivement agi en conséquence. La manière de rendre cette différence visible est développée sur comment démontrer que la politique est aussi une pratique.

D'où vient la preuve

La preuve ne naît généralement pas à l'endroit où elle sera finalement nécessaire. Une évaluation des risques est réalisée par une équipe opérationnelle, une approbation se fait dans un e-mail, un contrôle est consigné dans une feuille de calcul qui ne se trouve que sur un disque local. Le moment où un auditeur demande de démontrer qu'une obligation a été respectée, quelqu'un doit retrouver cette preuve. Pour une seule entité, c'est déjà compliqué ; pour un groupe comptant plusieurs établissements, pays ou filiales, cela devient une véritable quête en soi. Chaque entité possède potentiellement ses propres archives, son propre système, sa propre manière de consigner les choses. L'endroit précis où cela déraille et pourquoi ce n'est pas seulement une question de discipline sont décrits sur où la preuve se disperse au sein d'un groupe comptant plusieurs entités. Pour les structures de groupe en particulier, il existe un développement de cette même question, appliqué à cette situation : comment conserver des preuves pour qu'un auditeur les trouve au sein d'un groupe.

Qui doit pouvoir la trouver

La retrouvabilité commence par la propriété (ownership). Une preuve qui n'a nulle part de propriétaire n'est tenue à jour nulle part et n'est donc pas non plus conservée à un endroit où quelqu'un peut la trouver. Pour chaque obligation, il existe une personne qui peut finalement expliquer ce qui a été fait et pourquoi ; qui est cette personne n'est pas toujours évident au sein d'une organisation comptant plusieurs départements ou entités. La manière d'établir cette propriété et la raison pour laquelle elle n'incombe pas automatiquement au service conformité sont expliquées sur qui est propriétaire d'une obligation. Une fois cette propriété clarifiée, la question suivante n'est pas encore un document, mais une structure qui relie obligation, propriétaire et preuve entre eux. Cette structure s'appelle généralement une control matrix, et ce que cette matrice résout ou non est expliqué sur ce qu'est une control matrix.

Conserver n'est pas une question de stocker davantage

Le réflexe en matière de démonstrabilité est souvent : consigner davantage, archiver davantage, créer davantage de dossiers. Cela ne résout pas le problème. Un auditeur qui doit fouiller trois systèmes pour vérifier une seule obligation ne ressent pas cela comme étant sous contrôle, même si la preuve existe bel et bien. La question n'est pas de savoir combien de preuves il y a, mais si elles sont traçables : de l'obligation vers le propriétaire, vers la preuve, vers le contrôle qui démontre que cela s'est produit. Sans cette traçabilité, la preuve reste dispersée, même si elle est complète sur papier.

Cela vaut d'autant plus qu'une organisation est grande et complexe. Les transpositions nationales d'une même règle européenne diffèrent selon les pays, avec des délais différents, des instances différentes et des attentes différentes quant à ce qui vaut comme preuve. Ce qui est suffisant dans un pays ne l'est pas automatiquement dans un autre. Cela fait d'une structure centrale et traçable pour les preuves non pas une question de rigueur formelle, mais une condition pour garder une vue d'ensemble de ce qui a effectivement été consigné par pays, par entité et par obligation.

À quoi cela mène

Consigner, tenir à jour et rendre retrouvable la preuve constitue en soi une forme de travail : classer des documents, établir des renvois, vérifier qu'un dossier est complet avant qu'un auditeur ne le demande. Une partie de ce travail est répétitive et suit un schéma fixe par obligation. Qui souhaite savoir quelle part de ce travail peut être reprise par l'IA et quelle part reste dépendante du jugement humain peut le faire calculer avec le scan de travail de FTE TO AI, qui indique par tâche quelle marge existe pour l'automatisation.