Que doit contenir le programme de conformité d'une petite entreprise ?

Le programme de conformité (compliance program) d’une petite entreprise n’exige pas de service de conformité. Il exige un responsable désigné, des règles écrites adaptées à vos risques réels, des formations dont on se souvient, un moyen sûr de signaler les problèmes et l’habitude de corriger ce que vous découvrez. Ce sont les mêmes éléments que les procureurs fédéraux et les régulateurs recherchent dans une grande entreprise. La différence est une question d’échelle : une société de 40 personnes peut les couvrir avec quelques politiques, un dirigeant responsable et une courte formation annuelle.

Pourquoi s’en préoccuper avant que quelque chose ne tourne mal ? Parce qu’un programme qui fonctionne change l’issue le jour où cela arrive. Il détecte les problèmes plus tôt, il constitue une preuve de bonne foi si une agence se manifeste, et il répond aux questions de conformité que les clients, les prêteurs et les investisseurs posent désormais dans leurs questionnaires. Notre pratique de conformité juridique et de gestion des risques met en place ces programmes pour les entreprises dont les règles informelles ne suffisent plus.

Les éléments qu’attendent les lignes directrices fédérales

Le cadre le plus souvent cité est la norme des U.S. Sentencing Guidelines (lignes directrices fédérales en matière de peines) relative à un programme efficace de conformité et d’éthique (section 8B2.1). Elle s’applique formellement lorsqu’une organisation est condamnée pour une infraction fédérale, mais les régulateurs et les grands clients l’utilisent comme référence générale. Concrètement, elle attend :

• Des normes et procédures écrites conçues pour prévenir et détecter les comportements fautifs.
• Une direction qui connaît le programme et le supervise, avec une personne précise chargée de le faire fonctionner au quotidien.
• Une vigilance raisonnable pour ne pas confier de postes d’autorité à des personnes ayant des antécédents de comportements fautifs.
• Une formation et une communication adaptées au rôle de chacun.
• Un suivi et des audits, ainsi qu’un moyen de signaler des préoccupations sans crainte de représailles, y compris de manière anonyme.
• Une application cohérente, avec des sanctions disciplinaires en cas de violation et une reconnaissance des bons comportements.
• Un plan de réponse lorsqu’un comportement fautif est découvert, comprenant des changements pour éviter qu’il ne se reproduise.

Les lignes directrices prévoient aussi une évaluation périodique des risques, afin que le programme suive les risques que vous avez réellement. Lorsque le ministère de la Justice (Department of Justice) évalue le programme d’une entreprise, il pose trois questions : le programme est-il bien conçu ? Dispose-t-il de l’autorité et des ressources nécessaires pour fonctionner ? Fonctionne-t-il en pratique ? Une petite entreprise peut répondre oui à ces trois questions sans gros budget.

Dimensionner un programme de conformité selon vos risques

Partez d’une évaluation des risques, pas d’un modèle. Un code de conduite rédigé pour une société cotée parlera de délit d’initié et de corruption d’agents publics étrangers tout en ignorant ce qui peut réellement vous nuire, comme le calcul des heures supplémentaires, les licences expirées ou le traitement des données clients. Si vous n’avez pas encore cartographié vos risques, notre article sur le déroulement d’une évaluation des risques juridiques présente cette première étape. Faites ensuite correspondre chaque élément à votre taille.

Responsable

Choisissez une personne dotée d’une autorité suffisante pour obtenir des réponses de chaque service. Dans une petite entreprise, il s’agit souvent du directeur des opérations (COO), du directeur financier (CFO) ou du directeur juridique (general counsel). Donnez à cette personne un accès direct au PDG ou au conseil d’administration, car un responsable de la conformité qui rend compte à la personne qu’il pourrait devoir mettre en cause n’est pas indépendant.

Politiques écrites

Gardez-les courtes et précises. Un ensemble type pour une entreprise en croissance couvre un code de conduite, la lutte contre le harcèlement et les discriminations, les pratiques en matière de salaires et de durée du travail, la confidentialité et la sécurité des données, les conflits d’intérêts, les cadeaux et les frais, et la conservation des documents. Ajoutez des politiques sectorielles lorsqu’elles s’appliquent : règles anti-rétrocommissions (anti-kickback) dans la santé, contrôle des exportations pour certaines technologies ou intégrité des marchés publics pour les titulaires de contrats publics.

Formation

Une formation courte et adaptée à chaque fonction vaut mieux qu’une longue vidéo annuelle. Les managers doivent savoir comment traiter une plainte. Les commerciaux doivent savoir ce qu’ils peuvent promettre par écrit. Les équipes financières doivent savoir reconnaître une fraude au paiement.

Canal de signalement

Donnez aux salariés un moyen de faire part de leurs préoccupations en dehors de leur ligne hiérarchique, par exemple une adresse e-mail dédiée surveillée par le responsable de la conformité ou un service externe de ligne d’alerte. Indiquez clairement que les représailles sont interdites, et tenez parole. De nombreuses plaintes pour représailles naissent de la réaction d’un manager face à une plainte, et non du problème initial.

Enquête et sanctions

Décidez à l’avance qui examine un signalement, à quel moment un avocat externe intervient et comment les résultats sont documentés. Appliquez les sanctions de la même manière quel que soit le niveau hiérarchique. Des sanctions incohérentes sont l’une des premières choses que recherchent l’avocat d’un demandeur ou un régulateur.

Révision

Réexaminez le programme au moins une fois par an et chaque fois que l’activité évolue. Mettez à jour les politiques lorsque la loi change, et pas seulement lorsque quelqu’un y pense.

Où échouent les programmes de conformité des petites entreprises

Le schéma est connu. Une entreprise adopte un ensemble de politiques lors d’une levée de fonds ou de l’évaluation fournisseur menée par un grand client, le range dans un tiroir et ne forme jamais personne. Deux ans plus tard, un manager fait l’inverse de ce que prévoit la politique, et celle-ci devient la preuve que l’entreprise connaissait la bonne réponse et l’a ignorée.

Le deuxième échec est le canal de signalement qui ne mène nulle part. Si les salariés signalent des problèmes et que rien de visible ne se passe, ils cessent de signaler en interne et commencent à s’adresser aux agences ou à des avocats.

Le troisième est une supervision qui n’existe que sur le papier. Les dirigeants ou le conseil d’administration devraient recevoir à intervalles réguliers un bref point sur la conformité : signalements reçus, enquêtes clôturées, formations suivies, politiques modifiées. Notre équipe gouvernance d’entreprise et politiques internes aide souvent à intégrer ce compte rendu aux documents du conseil.

La place de l’avocat

Vous pouvez construire un programme en interne. L’avocat apporte le plus de valeur à trois niveaux : concevoir l’évaluation des risques pour que ses conclusions soient protégées par le secret professionnel lorsque c’est possible, rédiger des politiques conformes au droit en vigueur dans chaque État où vous avez des salariés, et mener les enquêtes lorsqu’un signalement laisse entrevoir une véritable responsabilité juridique. Lorsque quelque chose tourne mal, le plan de réponse du programme doit renvoyer aux étapes décrites dans notre guide sur ce qu’il faut faire après avoir découvert un manquement à la conformité.

Si vous mettez en place votre premier programme de conformité ou si vous reprenez un programme resté lettre morte, nos avocats peuvent vous aider à le dimensionner selon vos risques réels. Prenez rendez-vous.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Cette communication ne crée aucune relation avocat-client.

Cagatay Ersoy. Une stratégie concrète pour les fondateurs, les investisseurs et les entreprises en croissance.

Besoin d’aide sur ce sujet ? Consultez notre page gestion des risques et programmes de conformité juridique ou prenez rendez-vous.