Dans une entreprise unique, la question de savoir qui est responsable de quoi trouve généralement une réponse rapide. Dans un groupe composé de plusieurs entités — société mère, filiales, éventuellement une coentreprise ou une entité dans un autre pays — cette évidence disparaît. Une obligation peut avoir été établie au niveau du groupe, mais son exécution incombe à une filiale qui n'en a jamais été explicitement chargée. Ou inversement : chaque entité pense qu'une autre entité s'en occupe.
Un organigramme montre qui rend compte à qui. Il ne montre pas qui est responsable de la fourniture des données, qui doit traduire la politique en pratique locale, et qui peut démontrer que cela a été fait. Ces trois responsabilités peuvent incomber à trois personnes ou services différents, même au sein d'une seule entité. Avec plusieurs entités, ce problème se multiplie : une même obligation peut relever du directeur financier dans le pays A et d'un responsable opérationnel dans le pays B, sans que personne au niveau du groupe n'ait consigné cette différence.
S'ajoute à cela le fait que certaines obligations ne s'appliquent pas de manière uniforme. Ce qu'un groupe doit démontrer sur la base d'une règle européenne varie selon le pays dès que la législation nationale renforce ou interprète différemment cette règle. Quiconque souhaite savoir quelles surtranspositions nationales s'appliquent en Allemagne ou quelles surtranspositions nationales s'appliquent en France constate donc que la propriété n'est pas seulement une question organisationnelle, mais aussi juridique : l'obligation elle-même peut différer selon l'entité.
La propriété n'est démontrable que si elle est consignée, pas si elle est présumée. Cela signifie : un nom ou une fonction rattaché à une obligation spécifique, une description de ce que cette personne ou ce service doit fournir, et une trace montrant que cela a effectivement été fait. Sans cette trace, la question « qui en est propriétaire » ne peut être répondue par un document lors d'un contrôle, mais uniquement par une hypothèse que personne ne peut vérifier.
La question de ce qui compte réellement comme preuve — un document de politique, une approbation, un jeu de données, un rapport — est détaillée sur la page qui décrit ce qui compte comme preuve pour une obligation. Pour un groupe composé de plusieurs entités, une exigence supplémentaire s'applique : la preuve doit être traçable jusqu'à l'entité où l'obligation joue réellement, et pas seulement jusqu'au groupe dans son ensemble.
Dans une entreprise unique, la preuve se trouve généralement dans un nombre limité d'endroits. Dans un groupe, elle se disperse entre des administrations distinctes, des systèmes informatiques distincts, des conseillers locaux et des équipes qui ne communiquent pas entre elles. Une filiale dans un autre pays conserve peut-être des preuves dans une langue et un système que la société mère ne consulte pas. Quiconque doit démontrer au niveau du groupe qu'une obligation a été respectée doit donc non seulement savoir que la preuve existe, mais aussi savoir précisément où elle se trouve et qui y a accès.
Cette fragmentation est l'un des risques les plus sous-estimés dans les groupes composés de plusieurs entités, et elle est détaillée sur la page consacrée à là où la preuve se disperse. Sans une vue d'ensemble centralisée de l'emplacement de chaque preuve, il existe un risque réel qu'une obligation soit attribuée sur le papier, mais ne puisse pas être étayée dans la pratique au moment où cela s'avère nécessaire.
Un groupe peut établir une politique claire au niveau central et ne toujours pas la voir se refléter dans la pratique de chaque entité. Une filiale peut ne pas connaître la politique, l'interpréter de manière erronée, ou suivre une autre méthode de travail pour des raisons locales. C'est précisément dans l'écart entre une politique établie et une politique appliquée que la propriété devient visible : qui est responsable de signaler cet écart, et qui doit pouvoir démontrer que cet écart n'existe pas ou a été résorbé.
La manière dont cette démonstrabilité fonctionne au sein d'une structure de groupe se trouve sur la page qui explique comment démontrer que la politique est aussi appliquée dans la pratique au sein d'un groupe composé de plusieurs entités. La réponse dépend fortement de la manière dont le groupe est organisé et des obligations qui jouent à quel niveau.
Une façon de réunir la propriété, la preuve et le contrôle consiste en une matrice dans laquelle est consigné, pour chaque obligation, qui en est propriétaire, quelle preuve est attendue et quel contrôle s'y applique. Ce n'est pas un instrument juridique ni une garantie que tout est couvert — c'est une structure qui rend visible où se situe la responsabilité et où subsiste encore une lacune. Ce que représente une telle matrice au sein d'un groupe composé de plusieurs entités est décrit sur la page consacrée à ce qu'est une control matrix au sein d'un groupe composé de plusieurs entités.
L'attribution de la propriété et la collecte de preuves ne constituent pas seulement une question organisationnelle, c'est aussi du travail : quelqu'un doit collecter des données, vérifier des documents, suivre des versions et établir des rapports, encore et encore, par entité. Quiconque souhaite avoir une idée précise de la part de ces tâches récurrentes pouvant être reprise par l'IA et de la part qui reste un travail humain peut le faire calculer avec le scan de travail de FTE TO AI.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.