Un fournisseur change de statut juridique sans prévenir, et trois mois plus tard, un virement part vers un compte qui ne correspond plus à aucune entité vérifiée. Ce type de scénario, banal en apparence, illustre un risque de conformité que la plupart des entreprises sous-estiment : celui qui naît non pas d’une fraude, mais d’un contrôle qui n’a pas été mis à jour.
Risque de conformité lié aux tiers : le contrôle ne s’arrête pas à l’onboarding
On pense souvent que vérifier un fournisseur ou un partenaire à l’entrée en relation suffit. En pratique, c’est la surveillance continue qui fait défaut.
A lire en complément : Qu'est-ce qu'une obligation de conformité environnementale ?
Les pratiques récentes de gestion du risque fournisseur incluent la réévaluation périodique, la veille sur les sanctions, les personnes politiquement exposées et la presse négative. Un tiers conforme au moment de la signature peut basculer en zone de risque six mois plus tard, après un changement de dirigeant, une inscription sur une liste de sanctions ou une procédure judiciaire.
Le risque de conformité ne se limite pas au moment de la contractualisation. Il se déplace dans le temps. Et c’est précisément là que les organisations se font surprendre : entre deux audits, entre deux campagnes de vérification.
A lire également : Comment faire un audit de conformité ?
Les conséquences vont de la sanction financière à l’atteinte réputationnelle.
Cyber Resilience Act : de nouvelles obligations de conformité pour les produits numériques
Le risque de conformité cyber ne concerne plus uniquement les opérateurs d’infrastructures critiques. Le Cyber Resilience Act européen étend progressivement ses exigences aux fabricants et éditeurs de produits numériques.
Concrètement, ce règlement impose une sécurité dès la conception, une gestion des vulnérabilités pendant tout le cycle de vie du produit, une documentation technique et, selon les catégories de produits, un marquage CE. Les obligations de signalement s’appliquent dès le 11 septembre 2026, et les obligations principales entreront en vigueur le 11 décembre 2027.
Ce calendrier crée un risque de conformité immédiat pour les entreprises qui n’ont pas encore cartographié leurs produits concernés. Les retours varient sur ce point, mais beaucoup de PME industrielles découvrent tardivement que leurs objets connectés ou leurs logiciels embarqués tombent dans le périmètre du règlement.
Ce que le non-respect des délais de notification implique
Le non-respect des délais de notification devient lui-même un risque de conformité critique. Ne pas signaler une vulnérabilité exploitée dans les temps constitue une infraction distincte, indépendante de la faille elle-même. On passe d’un incident technique à une faute réglementaire documentée.
RGPD, loi Sapin 2, NIS 2 : l’empilement réglementaire comme source de risques
Sur le terrain, ce qui génère le plus de non-conformité n’est pas l’ignorance d’un texte isolé. C’est l’accumulation de réglementations qui se chevauchent sans se coordonner.
Une entreprise française de taille intermédiaire peut être simultanément soumise au RGPD pour la protection des données, à la loi Sapin 2 pour la prévention de la corruption, à la directive NIS 2 pour la sécurité des réseaux, et bientôt au Cyber Resilience Act pour ses produits numériques. Chaque texte a ses propres délais, ses propres autorités de contrôle et ses propres sanctions.
- Le RGPD prévoit des amendes pouvant atteindre un pourcentage significatif du chiffre d’affaires mondial, avec la CNIL comme autorité compétente en France.
- La loi Sapin 2, après dix ans d’application, entre dans une phase de contrôle renforcé où l’Agence française anticorruption vérifie non seulement l’existence des dispositifs, mais leur efficacité réelle.
- NIS 2 et DORA imposent aux secteurs financier et aux entités dites « importantes » ou « importantes » des obligations de notification d’incidents et de tests de résilience opérationnelle.
Chaque réglementation prise isolément semble gérable. C’est leur superposition qui crée des angles morts : un même traitement de données peut relever du RGPD pour le volet « données personnelles » et de NIS 2 pour le volet « sécurité des systèmes d’information », avec des obligations de notification différentes.
Évaluation du risque de conformité : cartographier avant de corriger
On ne gère pas un risque de conformité qu’on n’a pas identifié. La première étape opérationnelle reste la cartographie, mais pas sous la forme d’un tableau Excel figé rempli une fois par an.
Une évaluation efficace repose sur trois éléments concrets :
- L’inventaire des obligations applicables à l’entreprise, texte par texte, avec leurs échéances et leurs autorités de contrôle respectives.
- L’identification des processus internes exposés : gestion des données personnelles, chaîne de paiement, relations fournisseurs, sécurité des produits numériques.
- La mise en place d’indicateurs de suivi qui déclenchent une alerte avant l’échéance, pas après le contrôle.
Automatisation et surveillance continue
Les organisations qui réduisent réellement leur exposition sont celles qui passent d’un modèle de contrôle ponctuel à une surveillance continue et partiellement automatisée. Vérifier manuellement la conformité de plusieurs centaines de fournisseurs ou le respect de plusieurs dizaines d’obligations réglementaires n’est tout simplement pas tenable sur la durée.
L’automatisation ne remplace pas le jugement humain, mais elle permet de détecter les écarts en temps réel : un fournisseur inscrit sur une liste de sanctions, un certificat expiré, un délai de notification dépassé.
Sanctions et atteinte à la réputation : le coût réel de la non-conformité
Les sanctions financières constituent la partie visible du risque. La partie invisible, souvent plus coûteuse, est la perte de confiance des partenaires commerciaux et des clients.
Une sanction publique de la CNIL ou de l’Agence française anticorruption ne se limite pas à l’amende. Elle déclenche une couverture médiatique, des questions d’investisseurs, parfois la rupture de contrats avec des donneurs d’ordres qui ne veulent pas être associés à un partenaire non conforme.
Dans le secteur bancaire, une défaillance de conformité peut entraîner une sanction disciplinaire, une restriction d’activité ou un relèvement des exigences prudentielles. Pour les entreprises cotées, l’impact sur le cours de bourse peut dépasser largement le montant de l’amende elle-même.
Le risque de conformité n’est pas un sujet juridique cantonné au département conformité. C’est un risque opérationnel qui touche la chaîne de valeur, la relation client et la capacité à répondre à des appels d’offres. Les entreprises qui l’intègrent à leur gestion courante, plutôt que de le traiter comme une contrainte administrative, sont celles qui évitent les mauvaises surprises au moment du contrôle.
