Pendant des années, la conformité s’est articulée autour de normes, de politiques, de procédures et d’audits. Les organisations identifiaient les obligations qui leur étaient applicables, élaboraient la documentation nécessaire et vérifiaient régulièrement leur respect.
Ce modèle reste nécessaire. Mais cela ne suffit plus.
Les entreprises sont confrontées à un nombre croissant d’exigences en matière de cybersécurité, de protection de la vie privée, d’éthique, d’intelligence artificielle, de développement durable ou de gestion des tiers. Parallèlement, les clients, les auditeurs et les autres parties prenantes ne se contentent plus de demander si une organisation respecte ces exigences : ils exigent des preuves qui le démontrent.
Le défi ne consiste plus seulement à définir la manière dont une organisation devrait agir. Il s’agit désormais de faire en sorte que la conformité fasse partie intégrante de son fonctionnement quotidien.
C’est ce passage du document à la mise en œuvre que nous entendons par « conformité opérationnelle ».
Qu’est-ce que la conformité opérationnelle ?
On peut définir la conformité opérationnelle comme la gestion continue de la conformité d’une organisation, qui consiste à traduire les normes et les politiques en processus, en responsables, en contrôles et en preuves permettant de se conformer et de démontrer cette conformité.
En termes simples, cela consiste à pouvoir répondre à tout moment à quatre questions :
Que devons-nous faire ? Qui doit s’en charger ? Quand cela doit-il être fait ? Pouvons-nous prouver que cela a été fait ?
Cela ne signifie pas pour autant remplacer les connaissances juridiques ni les modèles traditionnels de conformité. Cela signifie ajouter la dimension opérationnelle qui les transpose dans le fonctionnement réel de l’organisation.
Une politique peut stipuler que les fournisseurs critiques doivent faire l’objet d’une évaluation périodique. La conformité opérationnelle permet de s’assurer que nous savons quels sont les fournisseurs critiques, qui doit les évaluer, à quel moment cette évaluation doit avoir lieu, quels contrôles doivent être vérifiés, quelles pièces justificatives doivent être demandées et quelles sont les conséquences si le résultat n’est pas satisfaisant.
En résumé :
Passer d’une conformité documentée à une conformité effective.
La conformité évolue
Deux évolutions expliquent pourquoi ce changement d’approche est devenu nécessaire.
D’une obligation légale à une obligation commerciale
Traditionnellement, le principal moteur de la conformité a été la réglementation : une nouvelle obligation légale amenait les organisations à mettre en place certaines procédures ou certains contrôles.
Ce facteur reste essentiel, mais un autre, tout aussi important, est apparu : les clients.
Les grandes entreprises répercutent de plus en plus leurs exigences en matière de cybersécurité, de protection de la vie privée, d’éthique, de développement durable, de continuité d’activité ou de gouvernance de l’intelligence artificielle sur leur chaîne d’approvisionnement. En conséquence, de nombreuses petites et moyennes entreprises doivent mettre en œuvre certaines mesures, non pas parce qu’une norme leur est directement applicable, mais parce que leurs clients ont besoin de s’assurer qu’elles offrent des garanties suffisantes.
Les questionnaires de sécurité, les évaluations des fournisseurs, les codes de déontologie, les politiques de confidentialité, les certifications, les contrôles d’accès, la gestion des incidents ou les informations relatives à l’utilisation de l’intelligence artificielle font désormais partie intégrante de nombreuses relations B2B.
La conformité n’est plus seulement une obligation légale, mais devient également une condition indispensable à l’exercice de toute activité commerciale.
Pour de nombreuses entreprises, le fait de pouvoir démontrer leur conformité commence à constituer un avantage concurrentiel et, dans certains cas, une condition préalable pour accéder à certains clients.
Du document à la preuve
La deuxième transformation est tout aussi importante.
Le fait de disposer d’une politique de sécurité ne prouve pas que les accès font l’objet d’un contrôle. Le fait de disposer d’une procédure d’agrément des fournisseurs ne prouve pas que les fournisseurs critiques aient été évalués. Le fait de disposer d’un plan de formation ne prouve pas que les personnes concernées l’aient suivi jusqu’au bout. Et le fait de disposer d’une procédure de gestion des incidents ne prouve pas comment on a réagi lors du dernier incident.
La conformité effective laisse des traces : autorisations, évaluations, registres, contrôles effectués, documents, signatures, révisions, communications et mesures prises.
C’est pourquoi il est de plus en plus important que les organisations puissent passer de la simple affirmation « nous disposons d’une procédure pour cela » à la capacité de démontrer « nous le faisons, et voici les preuves ».
La conformité passe désormais de la simple documentation à la preuve concrète : il ne suffit plus de définir ce qui doit être fait, il faut pouvoir démontrer que cela est réellement mis en œuvre.
Le problème lié à la gestion de la conformité en silos
À mesure que les obligations se multiplient, un autre problème apparaît : la fragmentation.
La norme ISO 27001 d’une part. La directive NIS2 d’autre part. L’ENS, le RGPD, la loi sur l’IA, la conformité pénale, les exigences ESG, les attentes des clients…
Si chaque nouvelle réglementation donne lieu à un nouveau fichier Excel, un nouveau référentiel documentaire, un nouveau questionnaire, de nouveaux contrôles et, parfois, un nouvel outil, la complexité ne cesse de croître.
Mais la réalité de l’organisation n’est pas cloisonnée par des réglementations.
Un fournisseur reste le même, qu’il soit examiné sous l’angle de la protection des données, de la cybersécurité ou de l’intelligence artificielle. Un incident peut avoir des répercussions simultanées sur plusieurs obligations. Une politique peut répondre à plusieurs exigences à la fois. Et un même contrôle peut atténuer différents risques et servir de preuve dans le cadre de différentes réglementations.
Le problème ne réside donc pas seulement dans la gestion d’un nombre croissant de réglementations : il s’agit de gérer correctement les relations qui existent entre elles.
De la conformité documentée à la conformité opérationnelle
La conformité opérationnelle ne vise pas à se substituer au modèle traditionnel de conformité. Elle vient le compléter en intégrant les obligations, les politiques et les contrôles dans le fonctionnement quotidien de l’organisation.
| Approche documentaire | Approche opérationnelle |
|---|---|
| Règlements | Processus |
| Documents | Preuves |
| Politiques | Mise en œuvre de la politique |
| Contrôles définis | Contrôles effectués |
| Contrôles périodiques | Suivi continu |
| Informations éparses | Informations associées |
| Tâches manuelles | Automatisation |
| « Nous tenons nos engagements » | « Nous pouvons le prouver » |
Ces deux approches sont indispensables l’une à l’autre.
La réglementation définit les obligations et les objectifs à respecter ; les connaissances spécialisées permettent de les interpréter et de les transposer à la réalité de chaque organisation.
Le service « Operational Compliance » organise la mise en œuvre de tout cela au quotidien.
Les éléments de la conformité opérationnelle
Pour y parvenir, il faut cesser de se concentrer uniquement sur les réglementations et commencer à réfléchir aux éléments concrets qui constituent une organisation :
Personnes · Fournisseurs · Actifs · Applications · Risques · Politiques · Contrôles · Incidents · Évaluations · Preuves
Ils sont tous liés les uns aux autres.
Imaginons un fournisseur de technologies essentielles qui stocke des informations relatives à l’entreprise, traite des données à caractère personnel et utilise l’intelligence artificielle dans le cadre de la prestation de ses services.
Cette information ne devrait pas être saisie plusieurs fois simplement parce qu’elle concerne différentes obligations. Les informations relatives à ce fournisseur devraient suffire pour déterminer quels sont les risques existants, quels contrôles sont nécessaires, quels documents il convient de demander, quels questionnaires il doit remplir, à quelle fréquence il doit faire l’objet d’une réévaluation et quels cadres de conformité peuvent être concernés.
Les informations ne devraient exister qu’une seule fois et être réutilisées là où cela s’avère nécessaire.
Le service de conformité opérationnelle doit établir des liens entre :
Risques → Contrôles → Politiques → Personnes → Tiers → Actifs → Incidents → Évaluations → Preuves
La valeur ne réside pas seulement dans la gestion de chacun de ces éléments pris séparément. Elle réside dans la gestion des relations qui les unissent.
Un modèle de conformité vivant
Lorsque ces éléments sont reliés entre eux, la conformité cesse d’être un simple instantané pris au moment d’un audit et peut devenir un système dynamique.
Si vous changez de fournisseur, si un nouveau risque apparaît, si un justificatif arrive à échéance, si une personne est embauchée, si un contrôle échoue ou si un incident se produit, le système devrait être capable de déterminer quelles parties de la conformité peuvent être affectées et quelles mesures sont nécessaires.
Cela permet de passer d’un modèle reposant principalement sur des révisions périodiques à un autre dans lequel certains changements au sein de l’organisation peuvent déclencher automatiquement des révisions, des tâches ou des contrôles.
La conformité cesse ainsi d’être un élément faisant l’objet d’un contrôle ponctuel pour s’intégrer progressivement au fonctionnement même de l’entreprise.
Une source d’information unique pour plusieurs cadres
Cette méthode de travail permet de résoudre un autre des grands problèmes actuels en matière de conformité : la duplication. Prenons l’exemple d’un contrôle d’authentification multifactorielle. L’organisation ne devrait pas avoir besoin d’un contrôle MFA pour la norme ISO 27001, d’un autre pour la directive NIS2 et d’un troisième pour l’ENS.
Il dispose d’un système d’authentification à plusieurs facteurs.
Ce contrôle peut ensuite être associé à différents risques, actifs et exigences réglementaires. Il en va de même pour une politique, une évaluation des fournisseurs, une formation ou un élément de preuve.
C’est pourquoi l’un des principes fondamentaux de la conformité opérationnelle est le suivant :
Les contrôles relèvent de l’organisation ; les différents cadres de conformité les réutilisent.
C’est ainsi que l’on progresse vers un modèle bien plus efficace :
Une action → une preuve → de multiples exigences en matière de conformité.
Une source d’information unique capable de répondre à différents référentiels, clients, audits ou processus d’évaluation.
Automatiser sans alourdir la bureaucratie
Mettre en œuvre la conformité ne devrait pas signifier surcharger l’organisation de tâches administratives. Ce devrait être exactement le contraire.
Lorsque les processus et les informations sont structurés, une grande partie du travail peut être automatisée.
Si le certificat d’un prestataire arrive à échéance, le système peut demander automatiquement son renouvellement. Si une nouvelle personne rejoint l’entreprise, les politiques, formations et acceptations correspondantes peuvent lui être attribuées. Si un prestataire commence à utiliser l’intelligence artificielle, de nouvelles questions, contrôles ou évaluations peuvent être activés.
En cas d’incident, la procédure correspondante peut être lancée automatiquement, avec ses tâches, ses responsables et ses délais. Et si un contrôle cesse d’être exécuté, une action peut être générée et transmise à un niveau supérieur si nécessaire.
L’objectif n’est pas d’automatiser pour le simple plaisir d’automatiser, mais de permettre aux personnes de consacrer leur temps aux décisions pour lesquelles elles apportent réellement de la valeur.
Ce sont les systèmes qui doivent être au service des personnes, et non l’inverse.
Quel est le rôle de l’intelligence artificielle ?
L’intelligence artificielle offre d’énormes possibilités en matière de conformité, mais il existe une étape préalable qui est souvent négligée :
Il faut d’abord structurer les informations ; ensuite, on peut les analyser.
Si les informations sont dispersées entre des documents, des e-mails, des feuilles de calcul et des applications indépendantes, les possibilités d’automatisation et d’analyse sont limitées.
En revanche, lorsque l’on connaît les liens entre les fournisseurs, les risques, les contrôles, les politiques, les incidents et les éléments probants, l’IA peut devenir un véritable assistant pour le professionnel de la conformité : elle peut l’aider à examiner la documentation, à détecter les informations manquantes, à localiser les éléments probants, à préparer des évaluations, à identifier les risques potentiels ou à proposer des mesures à prendre.
L’objectif n’est pas que l’IA prenne la décision, mais que le professionnel parvienne à cette décision grâce au travail préparatoire déjà effectué, en garantissant à tout moment la confidentialité des informations, la protection des données, la sécurité et une supervision humaine adéquate.
Conformité opérationnelle pour les petites et moyennes entreprises
Depuis des années, les grandes entreprises gèrent ces besoins à l’aide de plateformes GRC, de services spécialisés et de projets complexes.
Mais la mise en conformité s’étend bien au-delà des grandes organisations.
Une entreprise comptant 100 ou 200 salariés peut aujourd’hui être amenée à répondre aux questionnaires de sécurité de ses clients, à évaluer ses fournisseurs stratégiques, à gérer ses politiques, à former ses salariés, à consigner les incidents, à analyser les risques et à fournir des preuves de ses contrôles.
La réponse ne peut pas consister à lui transposer la même structure et la même complexité que celles utilisées par une multinationale.
Les petites et moyennes entreprises ont besoin de la même rigueur, mais pas de la même complexité.
Et c’est là que la technologie joue un rôle décisif : simplifier les processus, réutiliser les informations, automatiser les tâches et rendre accessible une méthode de gestion de la conformité qui, jusqu’à présent, était principalement réservée aux organisations disposant de ressources bien plus importantes.
La vision d’ithikios : rendre la conformité opérationnelle
Chez ithikios, nous évoluons d’une solution initialement conçue autour du canal de signalement vers une plateforme de conformité opérationnelle.
Le canal de signalement, la gestion des politiques, les tiers, les risques, les contrôles, les incidents, les évaluations, le Trust Center ou encore l’automatisation font partie de ce parcours.
Mais notre objectif n’est pas de regrouper un grand nombre d’outils de conformité au sein d’une même plateforme.
Il s’agit de faire en sorte que toutes ces entités partagent des informations et travaillent ensemble.
Qu’un risque soit lié aux contrôles qui permettent de l’atténuer. Que ces contrôles génèrent des éléments probants. Qu’un changement de fournisseur puisse donner lieu à une évaluation. Qu’un incident ait une incidence sur les risques et les contrôles. Qu’un même élément probant puisse s’appliquer à différents cadres.
Et que toutes ces informations permettent de savoir, à tout moment, non seulement ce que l’organisation devrait faire, mais aussi ce qu’elle fait réellement.
Car l’avenir de la conformité ne réside pas dans l’accumulation de documents, d’outils et de formalités administratives.
Il s’agit d’intégrer la conformité au cœur même du fonctionnement de l’entreprise.
De la conformité à la confiance
Le résultat final de la conformité opérationnelle ne se limite pas au simple respect des règles. Il s’agit de susciter la confiance.
La confiance pour la direction, qui connaît l’état réel de la conformité. La confiance pour le responsable de la conformité, qui dispose d’une traçabilité et de preuves. La confiance pour les clients et les partenaires, qui peuvent vérifier certaines garanties. Et la confiance pour l’organisation elle-même, qui sait que ses politiques et ses contrôles ne sont pas seulement théoriques.
La conformité opérationnelle consiste à mettre en œuvre la conformité au quotidien : transformer les obligations en actions, les actions en preuves et les preuves en confiance.
ithikios · Conformité opérationnelle
Nous rendons la conformité opérationnelle : facile à gérer, intégrée au quotidien et étayée par des preuves tangibles.
