La conformité effective va au-delà de l’éducation des employés sur les nouvelles réglementations et du suivi du nombre d’incidents de non-conformité. Dans ce guide de mise en œuvre, nous mettons l’accent sur une vision holistique de la conformité qui implique les parties prenantes clés et suggère une quantification spécifique des efforts et des résultats de conformité à travers 7 étapes.
Définition des parties prenantes
Commençons par la définition des parties prenantes génériques impliquées dans la conformité :
- Conseil d’administration. Représente les intérêts des organisations.
- Bureau de conformité. Un département spécialisé qui assure la conformité de l’organisation conformément aux lois, règlements, politiques internes applicables, etc.
- Systèmes internes de l’entreprise. Les systèmes informatiques et autres systèmes d’entreprise qui soutiennent les efforts de conformité.
- Employés qui peuvent impacter ou être impactés par les politiques de conformité.
- Parties tierces. Partenaires et parties prenantes externes similaires.
- Auditeur externe. Un expert dans la réglementation en question.
- Régulateur. Autorité qui établit la réglementation.
Dans BSC Designer, allez dans Paramètres > Stratégie > Parties prenantes pour ajouter les parties prenantes pertinentes à la liste. Plus tard, ces parties prenantes peuvent être alignées avec des objectifs et des métriques spécifiques via le champ Propriétaire.
Modèle de conformité et indicateurs clés de performance
Les utilisateurs de BSC Designer ont accès au modèle de tableau de bord de conformité avec des indicateurs clés de performance discutés dans l’article :
Modèle de conformité. - Ce modèle peut être personnalisé pour répondre aux exigences de la réglementation spécifique.
- Les tableaux de bord créés pour diverses réglementations peuvent ensuite être combinés en un tableau de bord de conformité complet présentant un indice de conformité global.
1. Adapter les stratégies de manière proactive
Les autorités réglementaires commencent à formuler de nouvelles réglementations en réponse à une variété de facteurs, y compris sociaux, technologiques, politiques, etc. Les organisations peuvent préparer de manière proactive des stratégies pour les réglementations potentielles en menant une analyse des facteurs externes, similaire à celle menée par les autorités réglementaires.
Utilisez le modèle d’analyse PESTEL disponible dans BSC Designer pour :
- Formuler des forces motrices potentielles et
- Définir des indicateurs de signes précoces.
Pour quantifier cette préparation proactive, nous pouvons utiliser l’indicateur suivant :
Nombre de forces motrices identifiées avec une analyse PESTEL régulière.
Dans le modèle, cette métrique est configurée pour des mises à jour annuelles :
Compliance Template. Par exemple, les technologies émergentes, en particulier les avancées en IA, sont identifiées comme l’une des forces motrices dans l’analyse PESTEL.
2. Identifiez tôt les nouvelles réglementations applicables
Le rôle du service conformité est d’identifier tôt les nouvelles réglementations applicables et de commencer la préparation au sein de l’organisation. En général, les régulateurs accordent un délai suffisant pour l’analyse et la préparation en publiant d’abord un projet de réglementation, et une période de transition est prévue une fois la réglementation officiellement publiée.
Pour quantifier l’efficacité du service conformité, nous utilisons :
Couverture des réglementations, %. Suivi du pourcentage de réglementations applicables détectées à un stade précoce par le service conformité.
Dans le modèle, la métrique de couverture des réglementations a un poids plus élevé dans l’indice, par rapport aux autres métriques.
Délai de revue de la réglementation. Temps moyen nécessaire entre la publication initiale de la réglementation et l’élaboration du plan de préparation.
Délai d’élaboration des politiques. Temps moyen nécessaire pour élaborer des politiques internes directrices et des supports pédagogiques pertinents.
Modèle de conformité. Les estimations des métriques de temps peuvent être utilisées comme critères pour déterminer si le travail sur des réglementations spécifiques doit être réalisé en interne ou externalisé auprès d’un cabinet de conseil tiers.
Par exemple, de nombreux organismes de réglementation publient et mettent à jour des politiques liées à l’IA. En utilisant les métriques mentionnées, nous pouvons nous assurer que ces politiques sont correctement examinées dans le contexte d’une organisation spécifique et traduites en procédures directrices.
Découvrez comment une exigence générale de conformité ou de gouvernance peut être décomposée en contrôles spécifiques et mesurables, en prenant la gouvernance de l’IA comme exemple pratique.
3. Former les employés pour suivre la nouvelle réglementation
Une fois que les politiques correspondantes sont formulées, l’organisation doit former ses employés à suivre les nouvelles réglementations. Pour suivre le processus, nous utilisons un indicateur basique :
Achèvement de la formation réglementaire. Peut inclure une sensibilisation de base à la nouvelle réglementation ou une modélisation détaillée des scénarios de conformité et de non-conformité.
Pour des réglementations plus complexes, envisagez d’employer une carte de score de formation dédiée pour suivre le processus.
4. Valider la conformité des tiers
La plupart des réglementations nécessitent d’examiner la chaîne de valeur et de valider la conformité des tiers. L’organisation pourrait ne pas être intéressée à examiner les détails ; à la place, elle peut se concentrer sur le suivi du score de conformité global des partenaires et du pourcentage de partenaires évalués pour la conformité.
% de partenaires évalués pour la conformité.
Score de conformité global des partenaires (voir par exemple, fiche d’évaluation du risque fournisseur).
L’identification et l’atténuation des risques sont essentielles pour le succès à long terme de la conformité. Dans ce cas, un risque a été identifié comme « Changements dans la réglementation » avec un plan d’atténuation :
- « Atténuer l’impact des changements réglementaires sur les tiers qui ont déjà passé la vérification de conformité grâce à des examens réguliers et des révisions du score de conformité. »
Modèle de conformité. 5. Simuler des incidents de non-conformité
Pour valider le succès de la formation à la conformité, l’organisation peut simuler des incidents de non-conformité et évaluer les réactions appropriées des employés responsables. Les résultats de cette validation peuvent être quantifiés comme suit :
Efficacité de la formation réglementaire, telle que validée par des simulations de non-conformité.
Quantifier l’impact de la non-conformité
L’impact de la non-conformité peut être validé en utilisant :
Métrique des dommages réputationnels – peut être quantifiée par la durée de la couverture médiatique négative.
Perte directe de profit.
Amendes et pénalités réglementaires.
Leur dynamique au fil du temps indiquera l’efficacité des efforts de conformité introduits. Bien que toutes ces métriques soient de nature réactive, le bureau de conformité peut utiliser les risques associés à ces métriques pour prioriser certaines activités et justifier les budgets de conformité.
6. Auditez les systèmes par un auditeur externe
Dans les cas impliquant des réglementations critiques, où une non-conformité potentielle pourrait entraîner des conséquences économiques et réputationnelles significatives, le conseil d’administration fait appel à des auditeurs indépendants.
Les métriques sur lesquelles se concentrer dans le contexte d’un auditeur externe :
Couverture de l’audit, %. Nous nous intéressons à un audit complet de toutes les fonctions pertinentes de l’organisation afin de garantir que le maximum de risques de non-conformité possibles soient détectés à un stade précoce.
Nombre de constats d’audit. Outre son application directe, cette métrique peut être utilisée pour valider l’efficacité du service conformité dans l’analyse et la mise en œuvre des exigences de la réglementation.
Pour des actions répétitives comme les audits externes, il est conseillé de suivre les métriques dans le temps. Les utilisateurs de BSC Designer peuvent définir des intervalles de mise à jour pour les métriques afin de garantir la cohérence des données.
Une autre nuance concernant ce type de métrique est la difficulté à définir une cible. Par exemple, un faible nombre de constats d’audit pourrait être perçu comme une attention insuffisante de la part de l’auditeur, tandis qu’un niveau élevé de constats peut indiquer que le service conformité n’a pas mené un audit interne efficace. Pour refléter cette idée, la fonction de performance de l’indicateur a été modifiée.
Compliance Template. De plus, tous les constats peuvent être catégorisés selon leur impact, en donnant le poids le plus élevé aux constats les plus critiques. Cela aidera à éviter de détourner la métrique en se concentrant sur un grand nombre de constats à faible valeur. Un exemple d’une telle catégorisation est l’indice de risque pondéré dans le tableau de bord de la cybersécurité.
Une indication de l’efficacité de la mise en œuvre des constats de l’auditeur peut être quantifiée par :
Taux de clôture des constats d’audit. Bien que la cible évidente pour cette métrique soit 100 %, il peut exister des contraintes de temps et de ressources qui empêchent de mettre en œuvre immédiatement toutes les recommandations de l’auditeur.
Délai de réponse aux constats d’audit. Autre perspective sur la correction des vulnérabilités de non-conformité détectées par l’audit : nous examinons le temps nécessaire pour clôturer le problème à partir de sa détection.
Les utilisateurs de BSC Designer peuvent mettre à jour les indicateurs avec les données les plus récentes et inclure une note sur la dernière mise à jour. Par exemple, ils peuvent fournir des détails additionnels expliquant pourquoi, à un certain stade, il peut ne pas être possible de clôturer certains constats d’audit.
Le taux de clôture comme le délai de réponse sont des métriques avancées pour l’amélioration des systèmes de conformité, en visant à rendre l’ensemble du processus plus agile et moins complexe pour les parties prenantes finales.
Gérer les incidents de non-conformité
Des préparations adéquates par le bureau de conformité interne et les audits externes n’assurent pas l’organisation contre d’éventuelles violations de conformité.
Les indicateurs à suivre dans ce contexte :
Temps de réponse aux incidents. Pour s’assurer que les violations de conformité sont résolues rapidement afin de minimiser l’impact sur l’organisation.
Récurrence des incidents. Prévenir la récurrence d’incidents du même type est un indicateur de la capacité d’une organisation à tirer des leçons de ses erreurs.
L’unité de mesure pour l’indicateur de temps de réponse peut être des heures ou des jours, selon la nature de l’incident.
En suivant la logique que la récurrence des incidents est un indicateur de l’efficacité du bureau de conformité, l’indicateur « Récurrence des incidents » a été aligné avec l’objectif ‘Former les employés à suivre les nouvelles réglementations’ par les données en tant qu’indicateur retardé.
7. Aligner les tableaux de bord de conformité
Les métriques abordées seront spécifiques à une réglementation donnée. Pour chaque réglementation, il y aura son propre tableau de bord de conformité, présentant des métriques adaptées à cette réglementation spécifique. Par exemple, il existe des tableaux de bord pour la reprise après sinistre, la continuité des activités et la validation des fournisseurs.
Strategy Cascading. Pour obtenir une vue d’ensemble des efforts de GRC (gouvernance, risque et conformité), nous pouvons aligner les tableaux de bord de GRC pour des réglementations spécifiques au sein d’un tableau de bord de GRC global.
Pour relier les contrôles de conformité à la supervision des fournisseurs, examinez comment l’évaluation des risques fournisseurs soutient les preuves d’audit, la notation des risques et les actions correctives.
Déplacez votre tableau de bord de conformité au-delà d’Excel
Partagez votre plan de conformité existant ou votre tableau de bord Excel avec notre équipe. Nous discuterons de la manière dont BSC Designer peut aider les équipes de conformité à mettre en place un suivi des KPI connecté et à décliner des tableaux de bord spécifiques à chaque réglementation dans une vue globale de la conformité.
Discuter d’un pilote de conformité
Testez l’approche avec une réglementation ou un service avant d’envisager un déploiement plus large.
Utiliser le modèle Compliance Scorecard
BSC Designer aide les organisations à mettre en œuvre leurs stratégies complexes :
- Inscrivez-vous pour un plan gratuit sur la plateforme.
- Utilisez le modèle
Compliance Scorecard comme point de départ. Vous le trouverez dans Nouveau > Nouveau tableau de bord > Plus de modèles. - Suivez notre Système de mise en œuvre stratégique pour aligner les parties prenantes et les ambitions stratégiques dans une stratégie globale.
Commencez dès aujourd'hui et voyez comment BSC Designer peut simplifier la mise en œuvre de votre stratégie !
Alexis Savkín est un architecte de la stratégie et le fondateur de BSC Designer, une plateforme d’exécution de la stratégie dont le tableau de bord équilibré est au cœur. Il est le créateur du Strategy Execution Canvas, l’auteur de deux livres et de plus de 100 articles sur la stratégie et la mesure de la performance, ainsi qu’un conférencier international. Entrez en contact avec Alexis sur LinkedIn.