La conformité effective va au-delà de l’éducation des employés sur les nouvelles réglementations et du suivi du nombre d’incidents de non-conformité. Dans ce guide de mise en œuvre, nous mettons l’accent sur une vision holistique de la conformité qui implique les parties prenantes clés et suggère une quantification spécifique des efforts et des résultats de conformité à travers 7 étapes.
Définition des parties prenantes
Commençons par la définition des parties prenantes génériques impliquées dans la conformité :
- Conseil d’administration. Représente les intérêts des organisations.
- Bureau de conformité. Un département spécialisé qui assure la conformité de l’organisation conformément aux lois, règlements, politiques internes applicables, etc.
- Systèmes internes de l’entreprise. Les systèmes informatiques et autres systèmes d’entreprise qui soutiennent les efforts de conformité.
- Employés qui peuvent impacter ou être impactés par les politiques de conformité.
- Parties tierces. Partenaires et parties prenantes externes similaires.
- Auditeur externe. Un expert dans la réglementation en question.
- Régulateur. Autorité qui établit la réglementation.
Dans BSC Designer, allez dans Paramètres > Stratégie > Parties prenantes pour ajouter les parties prenantes pertinentes à la liste. Plus tard, ces parties prenantes peuvent être alignées avec des objectifs et des métriques spécifiques via le champ Propriétaire.
Modèle de conformité et indicateurs clés de performance
Les utilisateurs de BSC Designer ont accès au modèle de tableau de bord de conformité avec des indicateurs clés de performance discutés dans l’article :
Modèle de conformité. - Ce modèle peut être personnalisé pour répondre aux exigences de la réglementation spécifique.
- Les tableaux de bord créés pour diverses réglementations peuvent ensuite être combinés en un tableau de bord de conformité complet présentant un indice de conformité global.
1. Adapter les stratégies de manière proactive
Les autorités réglementaires commencent à formuler de nouvelles réglementations en réponse à une variété de facteurs, y compris sociaux, technologiques, politiques, etc. Les organisations peuvent préparer de manière proactive des stratégies pour les réglementations potentielles en menant une analyse des facteurs externes, similaire à celle menée par les autorités réglementaires.
Utilisez le modèle d’analyse PESTEL disponible dans BSC Designer pour :
- Formuler des forces motrices potentielles et
- Définir des indicateurs de signes précoces.
Pour quantifier cette préparation proactive, nous pouvons utiliser l’indicateur suivant :
Nombre de forces motrices identifiées avec une analyse PESTEL régulière.
Dans le modèle, cette métrique est configurée pour des mises à jour annuelles :
Compliance Template. Par exemple, les technologies émergentes, en particulier les avancées en IA, sont identifiées comme l’une des forces motrices dans l’analyse PESTEL.
2. Identifier tôt les nouvelles réglementations applicables
Le rôle du bureau de conformité est d’identifier tôt les nouvelles réglementations applicables et de commencer la préparation au sein de l’organisation. En général, les régulateurs fournissent suffisamment de temps pour l’analyse et la préparation en publiant d’abord un projet de la réglementation, et il y a une période de transition une fois que la réglementation est officiellement publiée.
Pour quantifier l’efficacité du bureau de conformité, nous utilisons :
Couverture des réglementations, %. Suivi du pourcentage de réglementations applicables détectées par le bureau de conformité à un stade précoce.
Dans le modèle, la métrique de couverture des réglementations a un poids plus élevé dans l’indice, comparé à d’autres métriques.
Temps de révision des réglementations. Temps moyen écoulé entre la publication initiale de la réglementation et le développement du plan de préparation.
Temps de développement des politiques. Temps moyen nécessaire pour développer des politiques internes directrices et des documents éducatifs pertinents.
Compliance Template. Les estimations pour les métriques temporelles peuvent être utilisées comme critères pour déterminer si le travail sur des réglementations spécifiques doit être effectué en interne ou externalisé à une société de conseil tierce.
Par exemple, de nombreux organismes de réglementation publient et mettent à jour des politiques liées à l’IA. En utilisant les métriques mentionnées, nous pouvons nous assurer que ces politiques sont correctement examinées dans le contexte d’une organisation spécifique et traduites en procédures directrices.
3. Former les employés pour suivre la nouvelle réglementation
Une fois que les politiques correspondantes sont formulées, l’organisation doit former ses employés à suivre les nouvelles réglementations. Pour suivre le processus, nous utilisons un indicateur basique :
Achèvement de la formation réglementaire. Peut inclure une sensibilisation de base à la nouvelle réglementation ou une modélisation détaillée des scénarios de conformité et de non-conformité.
Pour des réglementations plus complexes, envisagez d’employer une carte de score de formation dédiée pour suivre le processus.
4. Valider la conformité des tiers
La plupart des réglementations nécessitent d’examiner la chaîne de valeur et de valider la conformité des tiers. L’organisation pourrait ne pas être intéressée à examiner les détails ; à la place, elle peut se concentrer sur le suivi du score de conformité global des partenaires et du pourcentage de partenaires évalués pour la conformité.
% de partenaires évalués pour la conformité.
Score de conformité global des partenaires (voir par exemple, fiche d’évaluation du risque fournisseur).
L’identification et l’atténuation des risques sont essentielles pour le succès à long terme de la conformité. Dans ce cas, un risque a été identifié comme « Changements dans la réglementation » avec un plan d’atténuation :
- « Atténuer l’impact des changements réglementaires sur les tiers qui ont déjà passé la vérification de conformité grâce à des examens réguliers et des révisions du score de conformité. »
Modèle de conformité. 5. Simuler des incidents de non-conformité
Pour valider le succès de la formation à la conformité, l’organisation peut simuler des incidents de non-conformité et évaluer les réactions appropriées des employés responsables. Les résultats de cette validation peuvent être quantifiés comme suit :
Efficacité de la formation réglementaire, telle que validée par des simulations de non-conformité.
Quantifier l’impact de la non-conformité
L’impact de la non-conformité peut être validé en utilisant :
Métrique des dommages réputationnels – peut être quantifiée par la durée de la couverture médiatique négative.
Perte directe de profit.
Amendes et pénalités réglementaires.
Leur dynamique au fil du temps indiquera l’efficacité des efforts de conformité introduits. Bien que toutes ces métriques soient de nature réactive, le bureau de conformité peut utiliser les risques associés à ces métriques pour prioriser certaines activités et justifier les budgets de conformité.
6. Auditer les systèmes par un auditeur externe
Dans les cas impliquant des réglementations critiques, où une éventuelle non-conformité pourrait entraîner des conséquences économiques et réputationnelles significatives, le conseil d’administration engage des auditeurs indépendants.
Les indicateurs à privilégier dans le contexte d’un auditeur externe :
Couverture d’audit, %. Nous sommes intéressés par un audit complet de toutes les fonctions pertinentes de l’organisation pour s’assurer que les risques de non-conformité possibles ont été détectés à un stade précoce.
Nombre de constatations d’audit. Outre son application directe, cet indicateur peut être utilisé pour valider l’efficacité du bureau de conformité dans l’analyse et la mise en œuvre des exigences de la réglementation.
Pour des actions répétitives comme les audits externes, il est conseillé de suivre les indicateurs au fil du temps. Les utilisateurs de BSC Designer peuvent établir des intervalles de mise à jour pour les indicateurs afin d’assurer la cohérence des données.
Une autre nuance concernant ce type d’indicateur est la difficulté à établir un objectif. Par exemple, un petit nombre de constatations d’audit pourrait être perçu comme une attention insuffisante de la part de l’auditeur, tandis qu’un niveau élevé de constatations peut indiquer que le bureau de conformité n’a pas mené un audit interne efficace. Pour saisir cette idée, la fonction de performance de l’indicateur a été modifiée.
Compliance Template. En outre, toutes les constatations peuvent être catégorisées selon leur impact, en donnant le poids le plus élevé aux constatations les plus critiques. Cela aidera à éviter de détourner l’utilisation de l’indicateur en se concentrant sur un grand nombre de constatations de faible valeur. Un exemple de telle catégorisation est l’indice de risque pondéré dans le tableau de bord de la cybersécurité.
Certaines indications de l’efficacité de la mise en œuvre des constatations de l’auditeur peuvent être quantifiées par :
Taux de clôture des constatations d’audit. Bien que l’objectif évident pour cet indicateur soit de 100 %, il peut y avoir des contraintes de temps et de ressources qui empêchent de mettre en œuvre immédiatement toutes les recommandations de l’auditeur.
Temps de réponse aux constatations d’audit. Une autre perspective sur la correction des vulnérabilités de non-conformité détectées par l’audit, nous examinons le temps nécessaire pour résoudre le problème depuis sa détection.
Les utilisateurs de BSC Designer peuvent mettre à jour les indicateurs avec les dernières données et inclure une note sur la mise à jour la plus récente. Par exemple, ils peuvent fournir des détails supplémentaires expliquant pourquoi, à un certain stade, il peut ne pas être possible de clôturer certaines constatations d’audit.
Le taux de clôture et le temps de réponse sont des indicateurs avancés pour l’amélioration des systèmes de conformité, en se concentrant sur la simplification du processus global pour les parties prenantes utilisateurs finaux.
Gérer les incidents de non-conformité
Des préparations adéquates par le bureau de conformité interne et les audits externes n’assurent pas l’organisation contre d’éventuelles violations de conformité.
Les indicateurs à suivre dans ce contexte :
Temps de réponse aux incidents. Pour s’assurer que les violations de conformité sont résolues rapidement afin de minimiser l’impact sur l’organisation.
Récurrence des incidents. Prévenir la récurrence d’incidents du même type est un indicateur de la capacité d’une organisation à tirer des leçons de ses erreurs.
L’unité de mesure pour l’indicateur de temps de réponse peut être des heures ou des jours, selon la nature de l’incident.
En suivant la logique que la récurrence des incidents est un indicateur de l’efficacité du bureau de conformité, l’indicateur « Récurrence des incidents » a été aligné avec l’objectif ‘Former les employés à suivre les nouvelles réglementations’ par les données en tant qu’indicateur retardé.
7. Aligner les fiches d’évaluation de conformité
Les métriques discutées seront spécifiques à une certaine réglementation. Pour chaque réglementation, il y aura sa propre fiche d’évaluation de conformité comportant les métriques ajustées pour cette réglementation spécifique. Par exemple, il existe des fiches d’évaluation pour la reprise après sinistre, la continuité des activités, et la validation des fournisseurs.
Cascading de stratégie. Pour avoir une vue d’ensemble des efforts de GRC (Gouvernance, Risque et Conformité), nous pouvons aligner les fiches d’évaluation GRC pour des réglementations spécifiques dans une fiche d’évaluation GRC globale.
Utiliser le modèle Fiche d’évaluation de conformité
BSC Designer aide les organisations à mettre en œuvre leurs stratégies complexes :
- Inscrivez-vous pour un plan gratuit sur la plateforme.
- Utilisez le modèle
Fiche d'évaluation de conformité comme point de départ. Vous le trouverez dans Nouveau > Nouveau tableau de bord > Plus de modèles. - Suivez notre Système de mise en œuvre stratégique pour aligner les parties prenantes et les ambitions stratégiques dans une stratégie globale.
Commencez dès aujourd'hui et voyez comment BSC Designer peut simplifier la mise en œuvre de votre stratégie !
Alexis est un consultant en stratégie senior et PDG de BSC Designer, avec plus de 20 ans d’expérience en planification stratégique. Avec une formation en mathématiques appliquées et en technologies de l’information, il apporte une perspective analytique et orientée systèmes à la gestion de la stratégie et de la performance. Alexis a développé le « Système de mise en œuvre de la stratégie en 5 étapes » qui aide les entreprises à mettre en œuvre leurs stratégies de manière pratique. Il est un conférencier régulier lors de conférences industrielles et a écrit plus de 100 articles sur la stratégie et la gestion de la performance, ainsi que le livre « Système KPI en 10 étapes ». Son travail est fréquemment cité dans la recherche académique.