L’espace entre les règles
Une conversation avec Daniel Pharaon, SVP – Audit Interne chez Midis Group, sur ce que signifie réellement la conformité et ce qu’elle construit discrètement sur des marchés où l’intégrité est constamment mise à l’épreuve.
1. La plupart des gens pensent que la conformité concerne les règles. Mais les règles appartiennent au Juridique. De quoi s’agit réellement la conformité, et pourquoi cette distinction est-elle importante ?
La confusion est compréhensible. Le rôle du service juridique est d’interpréter les règles, de vous dire ce que dit la loi, où se trouvent les limites, et comment défendre l’organisation si ces limites sont mises à l’épreuve. C’est un travail essentiel. La conformité est autre chose, il s’agit de construire des conditions dans lesquelles les employés agissent systématiquement pour ce qui est juste, même lorsqu’aucune règle ne couvre explicitement la situation devant eux. La conformité se situe entre les règles écrites et ce qui se passe sur le terrain. Cet espace, surtout sur nos marchés, est immense.
En pratique, cela signifie que la conformité repose fondamentalement sur la culture, le jugement et la confiance.
Il s’agit, par exemple, de savoir si un responsable commercial dans un trimestre sous haute pression sait, instinctivement, où se situe la limite s’agissant d’un cadeau client. C’est aussi pourquoi nous essayons de garder ces conversations réelles à l’intérieur de Midis, avec des exemples, pas par la théorie. Et le retour sur ce changement ? C’est largement invisible, mais très réel. À court terme, cela devient visible pour un concurrent qui fait l’autre choix. À long terme, c’est lorsque notre réputation d’intégrité nous permet de gagner des clients et des fournisseurs majeurs. L’histoire de Midis en est la preuve.
2. L’IA entre dans nos flux de travail. Qu’est-ce que la plupart des dirigeants sous-estiment à propos de ce que cela signifie pour la conformité ?
La plupart des dirigeants posent la bonne question : « comment utiliser l’IA de manière responsable ? » Mais ils la formulent de manière trop restrictive, je pense. La conversation porte généralement sur la confidentialité des données et la précision des résultats, mais ce ne sont que la couche superficielle. Ce qui est vraiment sous-estimé, c’est le fossé de responsabilité que l’IA crée au sein des processus existants. Quand un humain prend une décision, il y a une personne, un jugement, une justification traçable. Quand un processus assisté par l’IA produit un résultat, cette chaîne de responsabilité est perdue. Qui a détendu cette décision ? Quelles hypothèses étaient intégrées dans le modèle ? Ce sont des questions de conformité, et la plupart des cadres de gouvernance n’ont pas été conçus pour y répondre.
3. Que nécessite réellement le maintien d’un haut niveau d’intégrité, et qu’a-t-il construit au fil du temps qui n’aurait pas pu être construit autrement ?
Cela demande de la constance sous pression. N’importe qui peut maintenir des standards lorsque les environnements sont stables et que les marges sont confortables.
« Le caractère d’une organisation se révèle lorsque l’accord est important, que le calendrier est court, et qu’il y a quelqu’un de l’autre côté de la table qui suggère que ce n’est pas ainsi que cela fonctionne ici. »
Maintenir cette norme signifie avoir des cadres clairs, un leadership visible et un environnement où soulever une préoccupation est traité comme une contribution et non comme un point de friction. Cela signifie être prêt à partir sans drame ni excuses – reflétant une position, pas une limitation. Ce que cela construit avec le temps, c’est la confiance à grande échelle, avec les partenaires, régulateurs, clients et les personnes au sein même de l’organisation. Les fournisseurs savent qu’un engagement de la part de Midis est important. En interne, les meilleurs talents choisissent des organisations où ils n’ont pas à compromettre leur jugement pour réussir.
En fin de compte, la norme de conformité est une norme de talent. Elle façonne qui reste, qui prospère, et la qualité du jugement intégrée à l’ensemble de l’entreprise. C’est un atout concurrentiel que vous ne pouvez tout simplement pas acheter.
Elle s’accumule, lentement et délibérément, et devient un véritable actif concurrentiel sur des marchés où la confiance est toujours mise à l’épreuve.
4. La carte de conformité dans les EMEA émergentes ne cesse d’évoluer. À quoi ressemble-elle actuellement, et quel signal observez-vous que le reste de l’entreprise n’observe probablement pas ?
Actuellement, la carte se caractérise par trois dynamiques qui se chevauchent : l’accélération réglementaire, la maturation de l’application de la loi et la fragmentation géopolitique.
L’accélération réglementaire, en particulier dans la protection des données et la gouvernance de l’IA, est la plus visible, mais pas la plus importante. La maturation de l’application est le changement plus discret, mais sans doute le plus conséquent. Les marchés où l’application était historiquement faible renforcent désormais la capacité institutionnelle, des régulateurs mieux dotés de ressources, une coopération transfrontalière, une plus grande volonté d’utiliser l’application comme signe de sérieux institutionnel. Le profil de risque a changé, même si les règles écrites ne l’ont pas fait.
La fragmentation géopolitique ajoute une couche supplémentaire ; le réalignement des relations commerciales et les blocs réglementaires concurrents font que les décisions de conformité prennent de plus en plus une dimension géopolitique qui n’existait pas il y a cinq ans.
Mais le signal que nous suivons de très près, et que je pense être réellement inaperçu pour la plupart de l’entreprise, est l’évolution des cadres de responsabilité tierce et des chaînes d’approvisionnement dans la région. Plusieurs juridictions évoluent vers des modèles où votre exposition à la conformité s’étend au comportement des partenaires, agents et distributeurs au sein de votre écosystème.
La diligence raisonnable sur un nouveau partenaire n’est plus une case à cocher une seule fois lors de l’intégration, c’est une obligation continue avec des conséquences juridiques potentielles. Les organisations qui continuent à mener des évaluations statiques et déclenchées par des événements construisent une vulnérabilité qu’elles ne détecteront peut-être pas avant d’être testée. C’est là où nous passons du temps aujourd’hui.
