Avez-vous déjà travaillé dans un contexte d’une PME fournisseur d’un grand groupe ?

On pourrait utiliser l’image du combat de David contre Goliath.

On pourrait parler d’une relation déséquilibrée.

On pourrait s’abandonner à la fatalité :

Pour évoquer ce sujet, nous allons distinguer :

- un sujet conformité qui s’impose en vertu de la loi ;

- un sujet éthique qui s’impose en vertu de la prévention des risques.

Nous prenons l’exemple de la contractualisation obligatoire d’une relation de sous-traitance RGPD avec la PME en tant que sous-traitant.

❌Des groupes sont tentés de vouloir imposer une 

A l’idée de la clause-type, il serait préférable de favoriser et développer la 

Les pré-requis consistent à déterminer le minimum de conditions strictes à respecter. L’exercice pousse à synthétiser à l’extrême ce qui est attendu du fournisseur, sans “faire les questions et les réponses”. Du côté de la PME, l’exercice est parfois chronophage. Pourtant, il recouvre l’avantage d’entrer dans des détails techniques et opérationnels dans le cadre d’une discussion. La PME est accompagnée dans la construction de sa compliance avec le grand groupe : elle peut ainsi s’approprier le niveau d’exigence du grand groupe.

Nous prenons l’exemple d’une politique de déclaration de cadeaux du grand groupe.

La situation est plus épineuse : le grand groupe peut avoir développer sa politique cadeaux au titre d’une démarche éthique. La PME peut ne pas se sentir concernée.

Ici encore, l’essentiel est de faire d’une clause-type un point de départ.

La PME peut négocier une clause éthique si :

Une fois acceptée, la jurisprudence a eu l’occasion de le dire clairement : la possibilité de résilier un contrat sur un fondement compliance est une clause tout à fait valable.

D’où l’importance de ne jamais signer les yeux fermées ces clauses.

MCG #10 les clauses compliance dans les relations PME / grands groupes

Dans la plupart des organisations, la compliance est centralisée.

Cette centralisation permet de donner l’impulsion et de créer une cohérence d’ensemble.

Cependant, cette idée de la compliance ne résiste pas à la question de l’échelle.

Passé un stade artisanal, il est nécessaire de constituer un réseau de référents :

Au regard de l’augmentation des sujets qui justifient un système de prévention sophistiqué, ce ne sont pas des “référents compliance” mais souvent des “référents” de telle ou telle compliance qui permettent de mettre en oeuvre un dispositif.

Le référent devient alors un nouveau centre : il devient le centre de son sujet au sein de sa filiale, son business unit... Par capillarité, la compliance se propage avec un nouvel agent qui donne l’impulsion et crée une cohérence d’ensemble à son niveau.

Les référents, c’est pour la décentralisation maîtrisée.

Car il existe une décentralisation non maîtrisée.

: les agents vont communiquer entre eux et générer un réseau alimentant les connaissances de chacun. Il peut être mis toutes les procédures de remontées de questions à une personne dédiée, il est humain de solliciter une personne qui a le même statut. Un opérationnel préférera poser une question à un autre opérationnel que remonter une question au “centre”.

Quel type de “pair” est sollicité dans ce cadre ? Il s’agit d’un pair qui aura une crédibilité professionnelle plus importante, soit en général soit au regard du sujet en particulier.

L’importance du “peer-to-peer” dans l’organisation est proportionnelle aux différences d’avancement et de maturités entre les entités. Il permet donc de combler les asymétries et de renforcer l’homogénéité.

  : en intégrant les principes éthiques et compliance, les agents vont générer des nouvelles pratiques compliant qui répondent autant ou mieux aux objectifs que les process du centre.

Ici, le centre doit capter et contrôler l'émergence d'une telle compliance, pour en vérifier la validité et/ou généraliser ladite pratique.

Cette shadow compliance peut être involontaire comme être le signe d’un excès de zèle.

Dans ce dernier cas, une pratique excessive est en mesure de porter préjudice au reste du réseau. Le centre doit donc également contrôler en vue de vérifier que la barre n’est pas placée trop haut et maitriser la fixation de l’objectif.

MCG 9 Faut-il décentraliser la compliance ?

Quand on débute en tant que compliance officer, on ne connait parfois rien du risque.

Dans l’ignorance, le risque est alors comme un rocher brut.

A mesure que le temps passe, on apprend des choses.

Toute connaissance pertinente devient un burin.

Un burin qui permet de tailler son risque.

person throwing crystal stone

Avez-vous remarqué que je viens de faire une allégorie ?

Je viens de rattacher le risque, une abstraction, à une activité concrète.

Si on reprend la définition, le risque est 

une possibilité que se produise un événement susceptible d’avoir un impact sur la réalisation des objectifs

Cela emporte des conséquences sur des expressions courantes :

Revenons à ce risque-diamant que vous peaufinez à force d’expériences.

Celui qui cartographie aujourd’hui un risque participe de sa représentation quand celui qui y renonce se soumet à celle des autres.

Cela se vérifie dans plusieurs compliances :

La représentation du risque n’est donc pas une vulgaire question technique.

La porte est pourtant étroite pour l’entreprise assujettie.

Devenir le moins contestable possible par le régulateur.

Ainsi, peut-elle se mettre en position de contribuer à cette représentation.

MCG #8 C'est quoi un risque ?

Si tu as aimé cette interview, merci de mettre un ❤️

Cette semaine, je lance un nouveau format dans les missives : les interviews.

Je vais aller à la rencontre des acteurs qui innovent, qui critiquent, qui construisent, bref ceux qui font vivre la compliance en France.

Ceux qui ne savent qu’une seule chose : qu’il y a encore tout à découvrir.

En toute simplicité, je les appellerai les “explorateurs de la compliance”.

Pour cette première interview, je rencontre 

, doctorant en droit public à l'Université Paris-Nanterre. Membre de 

, il enseigne également à l’Université Paris Nanterre, à Sciences Po Paris et Sciences Po Lille. Yanisse développe une pratique de la compliance dans le secteur public en tant que juriste au sein du 

1/ Yanisse, on a peu de publicistes et peu de thésards dans le milieu de la compliance. Tu es donc un oiseau rare. Peux-tu nous présenter le sujet de ta thèse ? Quels sont les premiers enseignements de ce travail de recherche ? 

Merci pour le compliment, compte tenu des difficultés rencontrées par l’Université publique, espérons que je ne sois pas un 

Pour ce qui est de mon travail de recherche, je m’intéresse à l’introduction des outils de la compliance dans le secteur public :  

Prenons l’exemple de la commande publique 

Du point de vue des choix de politique économique de lutte contre la corruption, il est possible d’en déduire que 

certains outils de la compliance reposent sur la capacité des acteurs à s’autoréguler et supposent donc le recul d’une forme de régulation davantage centralisée ou en d’autres termes le recul du droit de l’Etat.

 Le législateur doit alors se limiter à un droit flou, habilitant les régulés à décider du contenu des obligations de prévention.

Du point de vue de l’activité de conseil en prévention des risques de corruption, cela révèle que 

l’accompagnement d’un acteur public implique une connaissance précise de la gestion publique

, du droit applicable aux entités publiques ainsi qu’une certaine compréhension de la déontologie voire de la culture du secteur public.

2/ Ton propos met en exergue l’importance d’avoir une compliance adaptée à son environnement. Plus spécifiquement sur la cartographie des risques, quelles difficultés as-tu identifiées ?

Mon expérience est claire sur ce point : il y a encore trop d’acteurs qui répliquent au secteur public les mêmes  solutions de mise en conformité qu’au secteur privé. 

Les offres de compliance « surgelée », le « prêt-à-réguler », relèvent des mauvaises pratiques.

La cartographie des risques d’une collectivité territoriale en pâtit particulièrement.

Imaginons qu’un consultant parvienne à identifier les différents scénarios de risques présents au sein de l’entité. Il devra ensuite être en mesure de connaitre l’ensemble des dispositifs existants au sein de l’entité. Or, du point de vue de la prévention des atteintes à la probité, ces dispositifs existants, et par conséquent le droit public, constituent une manne, même s’ils ne suppriment pas tout risque de corruption. Sans connaissance du secteur public, il est possible de passer à côté de certaines règles.

On retrouve cet écueil au sein de travaux visant à comparer le déploiement des outils de prévention de la corruption au sein des secteurs publics et privés. Bien souvent, l’évaluation ne prend pas en compte les mécanismes déjà présents au sein de la gestion publique, pour ne comptabiliser que les outils de prévention importés du secteur privé.

Cette approche me parait utile à l’ensemble des praticiens de la compliance et peut  être étendue à d’autres comparaisons sectorielles.

Je ne dis pas qu’il n’est pas possible de travailler avec différents secteurs, mais le coût d’entrée est parfois important sur le plan des connaissances nécessaires et il convient de se doter des ressources adéquates.

3/ Je vois la compliance du secteur privé et du secteur public comme un tout et non deux mondes séparés. S’il n’y avait qu’un seul aspect du secteur public auquel le secteur privé devait faire attention, quel serait-il ?

Je suis d’accord avec toi, ce sont les deux faces d’une même pièce : il y a toujours un corrupteur et un corrompu. 

Lorsque l’on s’intéresse à la prévention de la corruption, il convient de traiter la chose par les prismes plus larges de la probité et des risques inhérents aux interactions entre le secteur public et le secteur privé

. Cela comprend donc également les conflits d’intérêts, le pantouflage, la régulation du lobbying ou la transparence de la vie publique.

Aussi, il me semble important pour les acteurs privés, notamment ceux qui sont amenés à fréquenter des acteurs publics ou des élus dans le cadre de leurs activités, de compléter leur programme de prévention de la corruption par un volet spécifique à ces interactions. Cela peut notamment être le cas pour des entreprises qui candidatent à des marchés publics ou de celles qui exercent une activité de lobbying.

MCG #7 la compliance se fond-t-elle dans le secteur public ? (Interview)

La chaine Métropole Télévision, dite “M6”, est créé en 1987. Le cahier des charges de l’Etat lui impose de consacrer au moins 30% de son temps d’antenne à la production musicale. Avec le retard pris sur les autres chaines et une couverture incomplète du territoire, M6 n’a pas d’autre choix que d’accentuer sa différence : elle va créé le principe de « contre-programmation », une chaîne avec un minimum d’émissions hors musique, et un maximum de clips. Dans l’esprit des Français, elle devient alors vite “la chaine de la musique” (M6 pour “Musique 6” pensent-ils) puis la “petite chaine qui monte” avant de devenir un acteur de référence dans les années 2010.

C’est un excellent exemple qui illustre l’adage business :

Dans le milieu de la compliance, l’adage a été repris.

De prime abord, on ne peut qu'approuver une démarche où on se projette sur du positif et un horizon d'initiatives au lieu d'une litanie de contraintes règlementaires.

Pourtant, cet adage risquerait en compliance d’entrainer une inversion des valeurs, comme je l’écrivais en conclusion d’un article paru en 2020 dans Dalloz Avocats :

Si on aborde la question de la motivation à susciter chez les interlocuteurs à contribuer à la compliance de leur organisation, j’ai observé une ligne de crête relative à la responsabilité pénale, avant de vous donner un retour terrain d’une bonne pratique.

Commence ta semaine de compliance officer avec la prose de la missive (tous les lundis 8h) en t’inscrivant ici

Nassim Taleb a popularisé le concept de 

Et je me pose régulièrement la question :

"A quel point mon interlocuteur joue-t-il sa peau ?"

Le premier levier de la compliance, et en particulièrement liée à un objectif pénal, c'est que vous devez respecter la loi.

Pour le dirigeant qui a une responsabilité pénale, l'argument du risque juridique qui pèse personnellement sur lui suffit généralement.

Le dirigeant est maintenant habitué à se coltiner un nouveau risque pénal dès le législateur s'est levé du mauvais pied.

Au-delà des dirigeants, la responsabilité des salariés relève davantage du risque social (avoir un avertissement, perdre son travail en cas d'énorme faute) que du risque pénal.

En conséquence, pour une population sans risque pénal, le levier de l'opportunité est beaucoup plus pertinent.

Si on part de l’hypothèse qu’on n’agit que si on se sent concerné, l’opérationnel doit être motivé spécifiquement en rapport avec son métier.

“ Quelle est la motivation profonde de mon interlocuteur ?”

L’idée ici est de comprendre ou de demander les grandes orientations de ses projets, ou les réalisations qu’il accomplirait s’il avait une baguette magique.

On ne cherche pas à faire adopter son point de vue, on va identifier l’intérêt convergent.

L’opportunité va jaillir de la rencontre entre l’obligation et la motivation profonde de l’opérationnel :

 : vous voulez appliquer plus strictement le principe de minimisation du RGPD dans votre organisation.

Sur les données personnelles de salariés, le RH peut avoir une affinité avec le principe de minimisation si cela lui permet par exemple d’améliorer l’expérience du salarié d’onboarding.

Si en revanche on va du côté d’un service marketing, comment identifier l’intérêt convergent ? Sur un formulaire de contact, cela pourrait consister à relever que plus on demande d’informations à un contact, plus il abandonne en cours de route. Minimiser les données demandées à un prospect, c’est alors augmenter le taux de validation du formulaire.

Dans toutes les situations, l’opportunité se trouvera en faisant preuve d’empathie et en considérant que les objectifs métiers de vos interlocuteurs sont les vôtres.

Mettez tout de suite en pratique l’empathie, par exemple en mettant un petit coeur sur cette missive (à côté du titre en haut).

MCG #6 comment transformer une contrainte compliance en opportunité

« Ce que nous vendons à Coca-Cola, c'est du temps de cerveau humain disponible ».

A l’époque, c’était un vrai scandale.

Aujourd’hui, la compétition de l’attention relève du lieu commun.

Est-ce bien sérieux de faire une introduction et de retomber sur la compliance ? J’ai commencé d’autres missives sur le tiramisu ou Michael Scott, merci de ne pas me sous-estimer.

Mais il faut avoir à l’esprit deux phénomènes qui se cumulent :

De manière générale, en 2022, on trouve une majorité de cadres transformés en 

, dont le but est de recevoir et d’envoyer le maximum d’emails dans la journée, confondant le travail et la gesticulation.

Si on parle des ETI et grands groupes, les opérationnels sont assaillis de centaines de communications venant du “siège” chaque mois.

Et même dans les start-up, il reste très compliqué de grossir sans créer un humus de procédures.

L’existence d’audits permanents de tout et n’importe quoi par un siège peut constituer une preuve de faillite de la gouvernance et non l’aboutissement d’un contrôle total.

Bonne nouvelle ! Vous avez le droit de prendre la tangente.

Cette tangente constitue un long processus qui se passe en 4 étapes :

Avant toute chose, il faut sortir du déni sur la compétition. Le compliance officer doit prendre conscience qu’un nouveau process des RH peut entraver son propre déploiement, qu’un mail urgent du marketing peut enrayer son action prévue de longue date etc.

Ce n’est pas la guerre que vous avez choisie, mais c’est celle que vous devez mener.

Même si les sujets traités par les compliance officer sont généralement obligatoires, il faut considérer que rien n’est acquis.

Parler comme au premier jour de travail consiste à prendre la parole comme si on n’avait aucune autorité et que le sujet était facultatif. Il s’agit de s’investir à 100% dans l’effort de conviction au détriment de l’autorité acquise. Cet état d’esprit amène à ne jamais s’endormir sur ses lauriers.

A cette étape, vous cherchez à entrer dans la niche de l’attention, à l’écart du vacarme ambiant.

Il s’agit de moins envoyer de communication, pour conserver une parole rare.

Il s’agit que chaque communication soit taillée dans une concision extrême. L’idéal est de s’astreindre à faire des procédures tenant sur une page (A4 ou A3) pour pouvoir être imprimée, voire accrochée.

Le legal design vous sera utile dans cette exercice. Le legal design peut aussi devenir une question de survie dans certaines situations.

En captant l’attention avec une expression rare et très maîtrisée, vous entrez dans la niche de l’attention. Etre lu en 2022 est une immense victoire et vous en faites partie.

Comme un créateur de contenus sur Internet, vous expérimentez des formats différents. Cette expérience permettra de reconnaitre le 

 idoine pour chaque message. Une telle exigence vous permettra de bâtir des programmes de conformité plus robustes. Enfin, maîtriser la concordance fond/forme est une compétence qui inscrira votre parole dans le long terme.

En résumé, en sortant du déni de l’absence de compétition, vous prendrez moins la parole avec des propos plus concis et directs, avec l’effort de conviction d’un 

, tout en gardant à l’esprit de construire les programmes sur le long terme.

Pour ceux qui auraient atteint ce niveau, l’étape d’après, c’est comme Zarathoustra, non pas d’

(la philosophie, une autre ultra-Nietzsche à investir)

MCG #5 c’était pas ma guerre

(Avoir vu the Office n’est pas un pré-requis à la lecture de cette missive)

Voir les formations éthiques de Michael Scott, c’est quelque chose :

Régulièrement lors de ses formations, Michael commet trois impairs :

Celle de rendre sa formation la plus vivante possible.

Pas de plans ronflants où on déroule le programme.

En tant que compliance officer, quels sont les écueils à éviter quand on veut gamifier ses formations en éthique et compliance ?

 de votre sujet. Une démarche ludique ne doit pas masquer :

) ne doit pas atteindre l’engagement de l’instance dirigeante (

 qui fait appel à la gamification, risquerait de :

. Le caractère ludique ne doit pas empêcher :

Puisque Michael Scott est un homme plein de ressources, il a une deuxième bonne intention.

Un compliance officer ne doit pas déléguer la conception, et réduire la délégation de la tenue des formations.

D’abord, il faut concevoir soi-même le format et le contenu de la formation. Qu’il s’agisse d’un e-learning ou d’une formation physique, le compliance officer doit contrôler la cohérence de toute sa communication.

Car il existe une continuité évidente entre les procédures diffusées et leur sensibilisation lors des formations.

L’objectif c’est l’hyper-cohérence dans le programme de conformité.

Cela peut supposer de renforcer ses compétences en copywriting.

Mais vous créez avec une telle exigence un système plus engageant pour les salariés.

Ensuite, dans la mesure du possible, pour les formations physiques, il s’agit de les exécuter soi-même. Présenter les formations permet une remontée de précieuses réactions sur la compréhension, les points de vue ainsi que la maturité de la culture compliance.

Enfin, il ne faut pas que ce soit trop long.

MCG # 4 peut-on gamifier la formation éthique et compliance ?

La “Missive Compliance de Gattegno”, c’est chaque semaine une astuce ou expérience inspirée du quotidien d'un compliance officer.

Traditionnellement, la cartographie des risques était un outil d’experts.

Rugueux, je vous en donne la formule mathématique la plus utilisée dans l’anticor ou encore le devoir de vigilance :

On définit les risques qui s’appliquent à la société (

). Pour chacun de ces scénarios de risques, on fait une pondération savante entre impact, probabilité et facteur aggravant, ce qui donne le risque brut (

). On analyse toutes les mesures existantes pour prévenir ce risque brut, ce qui donne le risque net (

). On compile tous les risques nets dans la cartographie, dans laquelle on va préciser le plan d’action de mesures préventives supplémentaires pour les risques nets encore trop élevés (

Cette présentation rugueuse n’est pas pour tout le monde.

Elle est désormais un outil de la communication interne.

A mesure que l’on demande à des filiales d’appliquer une philosophie, et non simplement uniquement des procédures, la cartographie peut constituer un élément central de la sensibilisation aux risques.

La cartographie permet de prendre de la hauteur.

En exposant les causes des risques, elle légitime les actions sollicitées par les acteurs de terrain.

Dans cette perspective, elle devient alors un document nécessairement incontestable.

Incontestable dans le sens qu’elle se doit d’être la plus objective possible.

A contrario, voici 5 phrases que peuvent prononcer des opérationnels et qui appellent une réaction de votre part :

1️⃣ "?? ?? ????????? ??? ????? ?????" : c’est un cas classique. Il s’agit d’un problème de lisibilité et d’accessibilité. C’est très grave, c’est comme si la cartographie n’existait pas. Si l’opérationnel ne comprend pas, et en conséquence n’est pas convaincu, il devra faire plus d’efforts pour agir.

2️⃣ "?? ? ????̀ ??? ??????? ???? ?? ??????" : quelque chose vous a échappé pendant l’identification des mesures existantes. Qu’il s’agisse d’une mesure provenant d’une autre règlementation ou de 

, la seule question pertinente est de savoir si la mesure locale est suffisante au regard du respect de la règle. Le cas échéant, vous pouvez écarter la nouvelle mesure.

3️⃣ "?? ?????? ??? ?????????? ???" : auriez-vous cédé à l’analogie, ce terrible vice qu’on voue aux gémonies dès la première année de droit ? L’excès de modélisation vous a sûrement amené à généraliser des éléments particuliers à mauvais escient.

4️⃣ "????? ?? ??? ??? ?? ???????" : bah alors, on ne sort pas de sa tour d’ivoire ? Allez sur le terrain, prenez un café avec les opérationnels, comprenez leur métier. Vous êtes de leur côté, vous n’êtes pas contre eux, et ils doivent le comprendre.

5️⃣ "?? ???? 4 ???? ??? ?? ?????? ? ?́??́ ?????????́ ??? ??? ????????́?, ???????? ?? ?? ?’? ??? ???? ?? ????? ?"

C'est un problème de vélocité. Vous n’êtes pas dans le bon rythme. Il doit se passer le moins de temps possible entre la manifestation d’un risque et son traitement.

Je mets toute la crédibilité de mes dons divinatoires en jeu.

Voici les 3 évolutions que je pressens :

 : le régulateur exigerait un système où le remontée d’information et ses conséquences sur la cartographie seraient intégrées quasi-automatiquement.

 : au-delà d’une cartographie commune à une filiale, chaque métier voire chaque poste aurait sa propre cartographie adaptée et la plus proche de sa situation.

 : de plus en plus d’opérationnels auraient accès à la cartographie.

Et on appellera cette cartographie agile, personnalisée et étendue, la “

Tu dois bien connaître un autre compliance officer ? et si tu lui partageais cette missive ?

MCG #3 Vers une cartographie pour tous

Je fais un très bon tiramisu. Il ne s’agit pas d’un petit talent, c’est juste que le monde capitaliste ne le valorise pas.

Ce niveau, je l’ai atteint en pratiquant une bonne recette.

Ça va être la même chose pour la recette de process compliance que je vous donne aujourd’hui : c’est à force de l’appliquer, de pratiquer, que vous tendrez vers le process compliance parfait.

Il s’agit d’un essayiste de la Silicon Valley qui est devenu connu avec la vidéo ci-dessous que je vous invite à regarder (18 minutes) :

Si vous êtes maintenant convaincu de répondre d’abord au « pourquoi? », voici l’application à une norme de compliance que vous devez faire respecter dans votre organisation :

des éléments d’engagement, le « pourquoi »

C’est l’objectif collectif à atteindre dans l’organisation.

C’est l’affirmation de l’importance de poursuivre un horizon bénéfique pour tous.

des éléments de contexte, le “comment”

C’est la déclinaison de l’objectif sur une situation concrète.

Il peut s’agit d’axes ou d’axiomes pour donner la direction.

Ce sont les actions à mener, selon les cas.