Que faire après la découverte d'un manquement à la conformité ?

Lorsque vous découvrez un manquement à la conformité (compliance violation) au sein de votre entreprise, les premiers jours donnent le ton de tout ce qui suit. Faites cesser les agissements, conservez les documents, impliquez un avocat avant que quiconque n’écrive un long e-mail sur ce qui s’est passé, et seulement ensuite décidez si l’entreprise doit le signaler ou si elle choisit de le faire. Les erreurs les plus dommageables à ce stade partent généralement d’une bonne intention : un manager confronte le salarié et efface par accident la trace des preuves, ou quelqu’un adresse une explication franche à un régulateur avant que l’on connaisse l’ensemble des faits.

Nos avocats en conformité juridique et gestion des risques prennent en charge cette séquence pour les entreprises qui doivent agir vite sans aggraver le problème. Voici l’ordre que nous suivons.

Étape 1 : faire cesser les agissements et contenir le préjudice

Si le problème est en cours, mettez-y fin. Cela peut signifier suspendre une pratique de facturation, retirer une allégation sur un produit de votre site web, bloquer un paiement à un tiers ou couper l’accès d’un prestataire à vos systèmes. Contenir le problème ne suppose pas de désigner un responsable. Cela suppose d’agir vite, car poursuivre les agissements après en avoir eu connaissance change la façon dont les régulateurs et les tribunaux les perçoivent : une erreur devient une violation commise en connaissance de cause.

Si le problème concerne une violation de données, le confinement comprend des mesures techniques prises par votre équipe informatique ou par un cabinet externe d’investigation numérique, et des délais de notification peuvent déjà courir. Chaque État dispose d’une loi sur la notification des violations de données, et les délais comme les destinataires diffèrent.

Étape 2 : conserver les documents et les données

Dès qu’une entreprise peut raisonnablement anticiper un litige ou une enquête des autorités, elle est tenue de conserver les preuves pertinentes. Suspendez la suppression automatique pour les comptes de messagerie, les canaux de discussion et les espaces de stockage partagés concernés, et adressez un avis écrit de conservation aux personnes impliquées. Ne laissez personne faire le ménage dans les fichiers, même avec de bonnes intentions. La destruction de preuves peut entraîner des sanctions judiciaires et transformer un problème gérable en entrave à la justice (obstruction). Notre guide sur le moment où une entreprise doit émettre un avis de conservation des preuves détaille la marche à suivre.

Étape 3 : enquêter sous la direction d’un avocat

Avant de décider quoi que ce soit d’autre, établissez ce qui s’est passé, pendant combien de temps, qui était au courant et quel préjudice en a résulté. Confiez la direction de l’enquête à un avocat afin que les entretiens, les analyses et les conclusions aient les meilleures chances de rester couverts par le secret professionnel. Les faits eux-mêmes ne sont jamais couverts par le secret, mais l’analyse qu’en fait l’avocat peut l’être. Nous expliquons comment organiser cela dans notre article sur le secret professionnel dans les enquêtes internes.

Gardez une enquête proportionnée. Une erreur ponctuelle sur une seule facture n’exige pas la même procédure qu’une série de fausses certifications remises à un client public.

Étape 4 : devez-vous signaler le manquement à la conformité ?

Il s’agit de deux questions différentes.

Déclaration obligatoire

Certaines obligations imposent une divulgation dans un délai donné. On peut citer les notifications de violation de données aux personnes concernées et parfois aux procureurs généraux des États, l’obligation pour les titulaires de contrats fédéraux de divulguer les preuves crédibles de certaines fraudes et violations relatives aux fausses demandes de paiement (false claims), et les conditions de déclaration intégrées aux licences et permis dans les secteurs réglementés. Les contrats peuvent aussi vous obliger à informer vos clients ou vos prêteurs d’une violation de la loi. L’avocat doit recenser chaque obligation applicable, car manquer une déclaration obligatoire est souvent plus grave que le problème initial.

Divulgation volontaire

De nombreuses agences tiennent compte d’une démarche spontanée. La politique du ministère de la Justice en matière de poursuites contre les entreprises (corporate enforcement policy) récompense la divulgation volontaire (voluntary self-disclosure), la coopération et les mesures correctives. L’OFAC considère la divulgation volontaire de violations des sanctions comme un facteur atténuant important, et les autorités chargées du contrôle des exportations et de la fiscalité disposent de leurs propres procédures de divulgation. La divulgation volontaire est un choix stratégique : elle peut réduire les sanctions, mais elle garantit que l’agence apprendra l’existence du problème et peut entraîner un examen plus large. Prenez cette décision en connaissant l’ensemble des faits et avec l’avis de l’avocat, pas au cours de la première semaine.

Étape 5 : corriger la cause, pas seulement l’incident

Les régulateurs et les tribunaux s’intéressent à ce que vous avez changé. Les mesures correctives comprennent généralement :

• Rembourser ou créditer toute personne lésée, par exemple les clients surfacturés ou les salariés sous-payés.
• Sanctionner les personnes responsables, de manière cohérente avec la pratique passée.
• Modifier le processus qui a permis le problème : une étape d’approbation, un contrôle dans les systèmes, une politique révisée ou une formation pour l’équipe concernée.
• Documenter ce qui a été fait et à quelle date, pour pouvoir le prouver plus tard.

Soyez prudent si la personne qui a soulevé le problème est un salarié. Les lois fédérales et étatiques protègent de nombreuses catégories de lanceurs d’alerte (whistleblowers) contre les représailles, et une action pour représailles peut survivre à la violation initiale.

Étape 6 : tirer les leçons pour votre programme

Une violation met votre programme de conformité à l’épreuve. Demandez-vous pourquoi les contrôles existants ne l’ont pas détectée plus tôt et si des risques similaires existent ailleurs dans l’entreprise. Si l’entreprise n’avait pas de véritable programme, c’est le moment d’en construire un ; notre guide sur les éléments d’un programme de conformité pour petite entreprise est un point de départ pratique.

Si l’affaire risque de déboucher sur un litige avec un client, un partenaire ou un ancien salarié, faites intervenir tôt un avocat en contentieux. L’équipe contentieux commercial et résolution des litiges de Capitol Law Partners travaille aux côtés de l’équipe conformité afin que le dossier de l’enquête soutienne ensuite la position de l’entreprise.

Si votre entreprise vient de découvrir un problème de conformité et doit décider de la suite, Capitol Law Partners peut vous aider à le contenir, à enquêter et à évaluer l’opportunité d’une divulgation. Prenez rendez-vous.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Cette communication ne crée aucune relation avocat-client.

Cagatay Ersoy. Une stratégie concrète pour les fondateurs, les investisseurs et les entreprises en croissance.

Besoin d’aide sur ce sujet ? Consultez notre page conformité d’entreprise et gestion des risques juridiques ou prenez rendez-vous.