Un conseil d'administration auquel on demande de démontrer qu'il maîtrise la situation ne peut se contenter d'affirmer qu'une politique existe. Il faut une structure qui montre, pour chaque obligation, qui en est responsable, quelle preuve existe, et quel contrôle garantit que cette preuve reste exacte. Cette structure s'appelle une matrice de contrôle. Ce n'est pas une forme de rapport ni un modèle que l'on remplit pour un auditeur ; c'est la manière dont une organisation peut s'expliquer à elle-même ce qui se passe et pourquoi cela suffit.
Une matrice de contrôle est plus qu'une liste d'obligations. Pour chaque obligation figurent au minimum trois éléments : qui en est le responsable, quelle est la preuve que l'obligation est remplie, et quel contrôle veille à ce que cette preuve reste actuelle et exacte. Sans responsable, une obligation ne relève de la tâche de personne. Sans preuve, une obligation n'est qu'une intention. Sans contrôle, une preuve n'est qu'une photographie instantanée qui devient obsolète dès que l'organisation change. Qui est responsable d'une obligation au sein d'un groupe comptant plusieurs entités n'est donc pas un détail que l'on complète plus tard, mais la première chose qui doit être fixée avant qu'une matrice ait un sens.
Ce qui compte comme preuve diffère selon l'obligation et selon le pays dans lequel elle s'applique. Une règle européenne qui paraît univoque dans le texte de base reçoit souvent une transposition nationale différente : une autre forme de preuve, une autre fréquence, un autre organe chargé de la constater. Une matrice qui ne laisse pas de place à cela paraît complète sans l'être. Pour une analyse précise de ce qui compte comme preuve dans un cas concret, ce qui compte comme preuve pour une obligation au sein d'un groupe comptant plusieurs entités constitue le point de départ, pas cette page.
Au sein d'un groupe comptant plusieurs entités, plusieurs pays ou plusieurs départements, la preuve naît rarement en un seul endroit. La politique relève du service juridique, l'exécution d'une implantation locale, le rapport de la finance, et l'approbation d'un conseil d'administration qui ne voit pas l'ensemble au quotidien. Une matrice de contrôle qui ne cartographie pas cela masque le fait que la fragmentation est le véritable risque. Non pas l'absence de politique, mais l'impossibilité de retrouver la preuve que cette politique a bien été appliquée. L'endroit précis où cela dérape, et pourquoi cela se produit plus souvent dans les structures de groupe que dans une entité unique, est détaillé sur où la preuve se disperse au sein d'un groupe comptant plusieurs entités.
Une matrice ne résout pas cette fragmentation en rassemblant tout en un seul endroit — cela est souvent irréalisable et n'est pas non plus nécessaire. Ce que la matrice fait, en revanche, c'est indiquer où se trouve chaque élément de preuve et qui peut l'indiquer au moment où on le demande. C'est un objectif différent de la centralisation : il s'agit de traçabilité, pas de rassemblement.
Une erreur fréquente dans une matrice de contrôle consiste à faire du document de politique lui-même la preuve. Un document de politique montre qu'une organisation a décidé quelque chose, pas que cela se produit. Un auditeur ou un régulateur qui approfondit veut savoir comment la politique se traduit en un acte concret et répétable : une approbation consignée, un contrôle effectué, un écart signalé et suivi. La manière dont cette distinction fonctionne en pratique est expliquée sur comment démontrer que la politique est aussi une pratique au sein d'un groupe comptant plusieurs entités. Une matrice de contrôle qui ne fait pas cette distinction donne une fausse sécurité : complète sur papier, indéfendable en pratique.
La valeur d'une matrice de contrôle ne dépend pas de son degré d'exhaustivité au moment de sa rédaction, mais de sa capacité à résister au moment où une personne extérieure s'y intéresse. Cela signifie que la preuve ne doit pas seulement exister, mais aussi être conservée d'une manière qu'un auditeur sans connaissance préalable de l'organisation puisse suivre. Une matrice qui renvoie à une preuve que plus personne ne peut retrouver est, en pratique, une matrice vide. Ce qui est nécessaire en matière de conservation et de structure est expliqué sur comment conserver la preuve pour qu'un auditeur la retrouve au sein d'un groupe comptant plusieurs entités. Au sein d'un groupe comptant plusieurs entités, il s'agit d'un point d'attention distinct, car une preuve conservée localement est rarement visible d'elle-même pour celui qui rend des comptes au niveau du groupe. De plus amples informations sur la construction de la matrice elle-même dans une telle structure figurent sur ce qu'est une matrice de contrôle au sein d'un groupe comptant plusieurs entités.
Une matrice de contrôle rend visible qui doit rassembler quelle preuve, la maintenir à jour et pouvoir la présenter. C'est un travail qui revient sans cesse : le même contrôle, le même rassemblement, la même vérification, encore et encore, souvent sur plusieurs entités et plusieurs pays à la fois. Dès que cette répétition devient visible, la question se pose de savoir quelle part de ce travail est une tâche que quelqu'un doit refaire chaque fois, et quelle part est suffisamment systématique pour être organisée différemment. Le scan de travail de FTE TO AI calcule, pour chaque tâche, quelle part de ce travail peut être reprise par l'IA, sur la base des tâches déjà décrites dans une matrice de contrôle.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.