12 étapes pour évaluer les risques en éthique et conformité

Une évaluation des risques en éthique et conformité permet d’identifier les situations dans lesquelles des comportements non éthiques ou illégaux pourraient survenir au sein de l’organisation. Elle constitue un élément clé de la définition du profil de risque de l’entreprise. Elle permet notamment d’identifier :

• Les risques éthiques, de conformité et de réputation auxquels l’organisation peut être exposée, en fonction de son secteur d’activité et de sa présence géographique
• Les risques liés à la population de collaborateurs
• Les stratégies de mitigation existantes et prévues, visant à ramener les risques à un niveau jugé acceptable par l’organisation

Le risque en éthique et conformité correspond à toute menace pesant sur la situation opérationnelle, juridique, financière ou réputationnelle d’une organisation, résultant notamment de :

• Le non-respect des lois, réglementations et normes internes de conduite éthique applicables
• Des comportements illégaux ou contraires à l’éthique de la part des personnes agissant pour le compte de l’organisation, susceptibles d’entraîner des sanctions juridiques et des atteintes à la réputation de l’entreprise, des individus concernés ou de tiers

L’évaluation des risques en éthique et conformité s’inscrit dans un processus plus large et intégré de gestion des risques (Integrated Risk Management – IRM) et peut être menée conjointement avec d’autres évaluations de risques.

La gestion des risques consiste classiquement à analyser les menaces au regard de leur impact potentiel sur la capacité de l’organisation à atteindre ses objectifs stratégiques.

Par exemple, le versement d’un pot-de-vin pour remporter un contrat peut contribuer à un objectif de chiffre d’affaires à court terme, mais expose l’organisation à des sanctions financières, des poursuites pénales et des dommages réputationnels majeurs. Une évaluation des risques E&C efficace prend donc en compte les impacts à long terme, au-delà des gains immédiats.

Une évaluation des risques pertinente analyse notamment :

• Le modèle économique de l’organisation
• Les zones géographiques d’activité
• Le secteur et le niveau de concurrence du marché
• L’environnement réglementaire
• Les clients et partenaires commerciaux
• Les produits et services
• La chaîne d’approvisionnement et les tiers
• Les transactions et projets
• Les différentes façons dont les risques peuvent se matérialiser

L’approche présentée dans ce guide s’applique à l’ensemble des risques liés à la conformité, à l’éthique et aux comportements, notamment : la protection des données, la corruption et le trafic d’influence, les conflits d’intérêts, l’intégrité financière et la fraude, ainsi que l’esclavage moderne.

Les évaluations des risques constituent un pilier fondamental d’un programme d’éthique et de conformité efficace pour trois raisons principales :

• Elles permettent de comprendre et de structurer le profil de risque de l’organisation
• Elles contribuent à répondre aux attentes des autorités réglementaires
• Elles constituent une base solide pour bâtir et faire évoluer le programme d’éthique et de conformité

Bien que souvent associées, l’évaluation des risques et la diligence raisonnable (due diligence) relèvent de démarches distinctes.

La diligence raisonnable consiste en une analyse approfondie d’un tiers et de ses informations financières, réalisée avant l’entrée en relation commerciale. Dans ce cadre, l’évaluation des risques permet généralement de déterminer le niveau et l’intensité des diligences à mener aux différentes étapes d’une relation ou d’une transaction avec un tiers.

Il n’existe pas d’approche universelle en matière d’évaluation des risques : l’exercice doit reposer sur une analyse globale et transversale de l’organisation et de l’ensemble de ses interactions avec l’environnement externe.

Une évaluation des risques efficace repose sur 12 étapes structurées en deux phases : la planification et la mise en œuvre.

1. Obtenir l’adhésion de la direction
2. Définir le processus
3. Sécuriser les ressources
4. Construire un cadre et une méthodologie
5. Déterminer l’appétence au risque
6. Identifier les opportunités d’automatisation
7. Collecter les données
8. Identifier les facteurs de risque et les risques
9. Évaluer les risques inhérents
10. Identifier, cartographier et évaluer les contrôles de mitigation
11. Calculer le risque résiduel
12. Élaborer le plan d’action

Les évaluations des risques en éthique et conformité doivent être réalisées au minimum une fois par an. Dans les secteurs à haut risque, elles peuvent être menées de manière semestrielle, voire trimestrielle, selon les exigences réglementaires.

Par ailleurs, toute organisation devrait lancer une nouvelle évaluation des risques lors de changements significatifs, tels que l’introduction de nouveaux fournisseurs, de nouveaux processus ou d’équipements, ou toute évolution majeure des modes de fonctionnement. Une évaluation actualisée permet d’identifier et de suivre l’émergence de nouveaux risques liés à ces transformations.