Un groupe avec plusieurs entités dispose rarement d'un seul endroit où les preuves de conformité se rassemblent. L'une des filiales conserve ses politiques dans un système de qualité local, une autre sur un disque partagé, une troisième dans la tête d'un seul collaborateur qui établit le même rapport depuis des années. Tant que personne ne pose de questions, cela fonctionne. Au moment où un auditeur, une autorité de contrôle ou la direction elle-même souhaite voir en quoi consiste une obligation et comment elle est respectée, il s'avère que la preuve est fragmentée, obsolète, ou uniquement transmissible oralement.
Un document de politique n'est pas une preuve de conformité. C'est une intention. La preuve, c'est ce qui démontre que cette intention a également été exécutée : une procédure signée, un journal des contrôles effectués, un e-mail signalant et traitant un écart, un rapport qui correspond aux données sous-jacentes. Au sein d'un groupe multi-entités, la question n'est pas seulement ce qu'est une preuve, mais aussi où elle doit se trouver et qui en est responsable. Sans cette réponse, c'est le hasard qui détermine qui peut retrouver la preuve, et ce n'est pas une base permettant à une direction de déclarer que l'organisation maîtrise la situation.
La preuve se disperse selon les lignes qui divisent déjà le groupe lui-même : par entité, par pays, par fonction. Une société mère peut établir une politique valable pour tout le groupe, tandis que chaque filiale la met en œuvre et la documente à sa manière, ou ne la documente pas du tout parce que personne, localement, ne sait qu'elle est obligatoire. À cela s'ajoute la couche nationale. Une même obligation européenne peut être transposée différemment selon les pays, avec ses propres délais, ses propres autorités compétentes ou ses propres exigences supplémentaires. Ce qui constitue une preuve suffisante dans un pays ne l'est pas nécessairement dans un autre. Qui ne regarde que la règle applicable au groupe dans son ensemble passe à côté du fait que quelles surtranspositions nationales s'appliquent en Allemagne est une question différente de quelles surtranspositions nationales s'appliquent en France, et que la preuve doit donc également être constituée et conservée différemment selon le pays.
La preuve se disperse également sur le plan fonctionnel. Le service juridique conserve les contrats, la finance conserve les rapports, les RH conservent les registres de formation, et aucun des trois n'a une vue d'ensemble complète. Lors d'une fusion, d'une acquisition ou d'une réorganisation, ce problème s'accentue : la preuve qui se trouvait auprès d'une entité ne se déplace pas automatiquement avec elle lorsque la responsabilité change de mains.
La question de savoir qui doit pouvoir retrouver la preuve est liée à celle de savoir qui est propriétaire d'une obligation. Au sein d'un groupe multi-entités, ce propriétaire n'est pas automatiquement la personne la plus proche du sujet ; il peut s'agir de la société mère, d'un directeur local, ou d'une fonction désignée au niveau du groupe. Sans réponse consignée à la question de qui est propriétaire d'une obligation au sein d'un groupe multi-entités, une situation se crée où chacun présume qu'un autre gère la preuve, jusqu'au moment où on la demande et que personne ne peut la produire.
Un auditeur qui demande une preuve ne tient pas compte de la structure organisationnelle interne du groupe. Il la demande en fonction de l'obligation, pas du service où elle se trouve par hasard rangée. Cela signifie que la manière dont la preuve est conservée doit être indépendante de l'endroit où elle est née par hasard. La façon dont cela fonctionne en pratique, et les choix qui en découlent, sont décrits dans comment conserver la preuve de sorte qu'un auditeur la retrouve au sein d'un groupe multi-entités.
Une deuxième forme de fragmentation apparaît lorsque la politique et la pratique divergent sans que personne ne le remarque. Un document de politique valable pour tout le groupe peut être pleinement appliqué dans une entité et n'exister que sur papier dans une autre. Cette différence n'est visible que s'il existe une méthode systématique permettant de constater que ce qui a été convenu a également été mis en œuvre. Le fait de le démontrer constitue une étape distincte, indépendante de l'établissement de la politique elle-même, et est expliqué dans comment démontrer que la politique est également appliquée en pratique au sein d'un groupe multi-entités.
Pour éviter que chaque entité développe sa propre version de la preuve et de la responsabilité, on travaille souvent avec un aperçu regroupant les obligations, les propriétaires et les preuves. Cet aperçu est appelé en pratique une matrice de contrôle, et sa structure déterminera si un groupe pourra plus tard démontrer ce qui a été fait ou seulement raconter ce qui était prévu. Les principes d'une telle matrice, et la raison pour laquelle elle prend une forme différente au sein d'un groupe multi-entités par rapport à une entreprise unique, sont décrits sur ce qu'est une matrice de contrôle au sein d'un groupe multi-entités.
La Compliance Check réunit ces éléments : quelles obligations s'appliquent, qui en est propriétaire, ce qui compte comme preuve et quel contrôle y est associé. Non pas comme un substitut à la réglementation elle-même, mais comme la couche qui rend visible si une direction peut démontrer qu'elle maîtrise la situation, même lorsque la preuve est dispersée entre plusieurs entités et pays.
Le rassemblement de preuves dispersées est en grande partie un travail reconnaissable et répétitif : vérifier où se trouve un document, contrôler s'il est à jour, le relier à l'obligation et au propriétaire concernés. C'est précisément le type de tâche dont le scan de travail de FTE TO AI calcule quelle part peut être reprise par l'IA, afin de déterminer clairement quelle proportion de la collecte et du classement des preuves reste un travail manuel et quelle proportion peut être fournie de manière automatisée.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.