# Faire fonctionner la conformité Risques & Méthodes. Ressource gratuite du site. Édition du 21 octobre 2026. Repérer les situations sensibles et construire une réponse traçable. ## Traduire une obligation en action Identifier l'exigence applicable, l'activité concernée et la responsabilité associée. Définir ensuite une opération observable et la trace qui en résulte. Un dispositif de conformité devient concret lorsque l'équipe sait quoi faire dans une situation réelle. En pratique : Pour une invitation sensible : déclarer, examiner, décider, conserver la décision et vérifier le respect des suites. ## Repérer les zones de décision sensible Les achats, recrutements, partenariats et choix de prestataires peuvent exposer une personne à des intérêts concurrents. Le lien personnel n'est pas une preuve de faute. La méthode consiste à rendre la situation visible puis à organiser une décision impartiale. En pratique : Une personne signale son lien avec un candidat et n'intervient plus dans la notation de son offre. ## Collecter moins, justifier mieux Pour chaque information demandée, poser une question simple : quelle décision ou quel service rend ce champ nécessaire ? Supprimer les données sans usage défini. Une finalité claire aide aussi à fixer les accès, la conservation et l'information des personnes. En pratique : Un lien de webinaire envoyé par courriel ne nécessite pas, dans le cas proposé, une copie de pièce d'identité. ## Traiter une alerte sans préjuger Séparer l'information reçue, les éléments vérifiés et la conclusion. Limiter l'accès au dossier et définir qui peut instruire la situation. Préserver les traces utiles et prendre en compte les droits des personnes. Les modalités exactes dépendent du dispositif applicable. En pratique : Un courriel évoquant une faveur commerciale devient un point à vérifier, pas un fait établi dans un rapport. ## Construire un contrôle utile Un contrôle comprend un objectif, une population, une méthode et un résultat. Le contrôleur doit savoir quoi comparer et comment traiter les exceptions. Mesurer uniquement le nombre de contrôles réalisés peut masquer leur qualité ou l'absence de suites. En pratique : Comparer les invitations acceptées aux validations préalables et documenter les dossiers incomplets. ## Chercher la cause de l'écart Une anomalie répétée peut provenir d'un chemin de validation trop long, d'un outil qui ne conserve pas la preuve ou d'une responsabilité floue. Vérifier ces hypothèses avant de choisir l'action. Une action proportionnée traite le mécanisme qui produit l'écart. En pratique : Si la validation est impossible sur mobile alors que l'équipe travaille sur le terrain, un rappel par courriel ne résout pas tout. ## Mesurer sans faux confort Associer les chiffres à leur périmètre et à leur qualité. Un faible volume d'alertes peut signifier peu d'incidents, mais aussi un canal mal connu. Un taux de conformité élevé peut résulter d'une sélection de dossiers trop favorable. Croiser les signaux et documenter les limites. En pratique : Compléter le nombre d'alertes par un test de connaissance du canal et une revue des délais de traitement. ## Flashcards Question : Conflit d'intérêts Réponse : Situation dans laquelle un intérêt personnel peut interférer avec l'exercice impartial d'une fonction. La situation doit être identifiée et gérée, sans assimiler automatiquement le lien à une infraction. Question : Déport Réponse : Retrait d'une personne d'une étape d'instruction, d'évaluation ou de décision exposée à un conflit d'intérêts. Son périmètre et son remplacement sont documentés. Question : Finalité d'un traitement Réponse : Objectif précis pour lequel des données personnelles sont utilisées. La finalité guide le choix des informations nécessaires et des personnes autorisées à y accéder. Question : Minimisation Réponse : Collecter et utiliser seulement les données pertinentes et nécessaires à la finalité définie. Une donnée potentiellement utile un jour n'est pas, pour ce seul motif, nécessaire aujourd'hui. Question : Contrôle de conformité Réponse : Vérification d'une pratique par rapport à un critère applicable, avec un périmètre, une méthode, une preuve et un traitement des écarts. Question : Signalement et constat Réponse : Le signalement apporte une information à examiner. Le constat résulte de travaux documentés. Les deux doivent rester distincts dans la formulation et les décisions. Question : Confidentialité Réponse : Accès réservé aux personnes qui ont besoin de l'information pour leur mission. Elle concerne les dossiers, les échanges et les restitutions, pas seulement le lieu de stockage. Question : Exception encadrée Réponse : Dérogation à une règle interne autorisée par une personne compétente, motivée, limitée dans le temps et suivie. Elle ne neutralise pas une obligation légale. Question : Cause d'une non-conformité Réponse : Mécanisme qui explique l'écart, au-delà de son symptôme. Il peut s'agir d'un défaut de compréhension, de paramétrage, de responsabilité ou de moyens. Question : Taux de conformité Réponse : Rapport entre les éléments conformes et les éléments évalués selon un critère défini. Il faut préciser la période, le périmètre, les exclusions et le mode de sélection. ## QCM corrigés Une responsable achats évalue une offre déposée par l'entreprise de sa sœur. Quel premier réflexe convient ? A. Garder l'information privée si le prix est bon B. Déclarer le lien et faire définir une mesure de gestion adaptée C. Écarter automatiquement toutes les offres D. Signer seule pour aller plus vite Réponse : B. Le lien doit être rendu visible aux personnes compétentes. Une mesure comme le retrait de l'évaluation et de la décision peut protéger l'impartialité. Le lien ne prouve pas à lui seul une infraction. Un formulaire d'inscription à un webinaire demande l'adresse postale sans besoin identifié. Quel principe faut-il examiner ? A. La rotation des stocks B. La séparation des exercices C. La minimisation des données D. La consolidation des comptes Réponse : C. La collecte doit être reliée à une finalité précise et limitée à ce qui est nécessaire. La possibilité technique de collecter une donnée ne justifie pas son utilisation. Quel élément distingue une règle effectivement appliquée d'une règle seulement publiée ? A. Des contrôles, des décisions et des suites documentés B. La longueur du document C. Le nombre de logos D. Le titre du fichier Réponse : A. L'application se constate dans les opérations : qui contrôle, avec quelles données, quelles anomalies, quelle réponse. La publication n'établit ni la compréhension ni le respect de la règle. Un signalement contient des informations encore non vérifiées. Quelle posture est adaptée ? A. Le diffuser largement B. Déclarer immédiatement la personne coupable C. Le supprimer pour éviter le conflit D. Limiter les accès et instruire les faits selon une procédure impartiale Réponse : D. Le traitement doit protéger la confidentialité et les personnes concernées, tout en recherchant des éléments vérifiables. Un signalement n'est pas une conclusion. Sur 80 invitations examinées, 12 n'ont pas la validation prévue par la procédure. Quel taux est calculable ? A. 12 % B. 15 % C. 80 % D. 6,7 % Réponse : B. 12 ÷ 80 = 15 %. Ce taux décrit les dossiers examinés selon le critère choisi. Il ne mesure pas un taux de corruption et ne s'étend pas automatiquement à d'autres périodes. Pourquoi faut-il documenter une exception à une règle interne ? A. Pour rendre toutes les exceptions acceptables B. Pour supprimer le contrôle C. Pour conserver le motif, l'autorité de décision, la durée et les mesures compensatoires D. Pour éviter toute révision future Réponse : C. Une exception encadrée reste visible et réévaluable. Elle ne permet pas de déroger à une obligation légale impérative. Une entreprise reçoit peu d'alertes. Que peut-on conclure ? A. Le nombre seul ne permet pas de juger l'efficacité du dispositif B. Aucune faute n'existe C. Les salariés connaissent tous le canal D. Le risque est nul Réponse : A. Le volume dépend aussi de la confiance, de la connaissance du dispositif et de l'accès au canal. Des données qualitatives et des tests sont nécessaires pour interpréter le chiffre. Quelle réaction correspond à une non-conformité récurrente ? A. Renvoyer toujours le même courriel B. Changer uniquement le nom de la procédure C. Réduire le périmètre des contrôles D. Analyser la cause, adapter le processus puis vérifier l'effet obtenu Réponse : D. La répétition peut provenir d'une règle incomprise, d'un outil mal paramétré, d'une charge excessive ou d'une incitation contradictoire. Le traitement doit viser la cause étayée. ## Cas pratiques ### Lumen Conseil : l'invitation du fournisseur Cas fictif. Lumen Conseil choisit un prestataire pour un contrat de 90 000 €. La responsable qui note les offres reçoit d'un candidat une invitation à un week-end, transport et hébergement compris. Aucun seuil légal n'est présumé dans cet exercice. La procédure interne exige une déclaration des cadeaux et une validation avant acceptation. Sur 40 déclarations antérieures, 6 ont été enregistrées après l'événement. Aucun registre de refus n'existe. Identifier la situation sensible sans conclure à une infraction. Définir la réponse immédiate. Calculer le taux de déclarations tardives et proposer un contrôle. Corrigé Qualifier la situation La personne participe à une décision commerciale en cours et reçoit un avantage proposé par un candidat. Le contexte crée un risque d'influence ou d'apparence de partialité. Le prix du contrat et la valeur de l'invitation ne suffisent pas à qualifier juridiquement les faits. Traiter l'invitation Ne pas accepter avant examen. Déclarer l'offre au référent prévu, conserver les éléments, faire décider du refus ou du traitement adapté par une personne indépendante du choix. Examiner si la responsable doit être retirée de certaines étapes de sélection. Le dossier doit expliquer la mesure et éviter la diffusion inutile d'informations personnelles. Mesurer et prévenir Le taux de déclarations tardives est de 6 ÷ 40 = 15 %. Il porte uniquement sur les déclarations connues. Un contrôle complémentaire confronte les déclarations à un échantillon de frais et aux situations d'achats sensibles, avec un accès proportionné. La procédure peut intégrer les offres refusées pour suivre les sollicitations, selon les règles de protection des données. À retenir : La décision dépend du contexte, de la transparence et de l'indépendance du traitement, pas d'un montant isolé. ### Orbe Formation : un formulaire trop curieux Cas fictif. Orbe Formation propose un webinaire gratuit. Le formulaire exige le nom, l'adresse électronique, le téléphone, la date de naissance complète, l'adresse postale, l'employeur et une copie de pièce d'identité. L'équipe utilise uniquement l'adresse électronique pour envoyer le lien de connexion. Elle souhaite mesurer l'intérêt des participants pour la comptabilité ou la conformité. Aucune vente ni vérification d'âge n'est prévue. Distinguer les informations nécessaires, facultatives et injustifiées dans ce scénario. Proposer une version réduite du formulaire. Définir les décisions à documenter avant mise en ligne. Corrigé Relier chaque champ à un besoin L'adresse électronique sert à envoyer le lien. Les autres champs ne sont pas nécessaires au fonctionnement décrit. Une préférence thématique facultative peut répondre à l'objectif d'analyse, après examen de la pertinence et de la base juridique. La copie d'identité et la date de naissance complète sont disproportionnées dans ce scénario. Réduire la collecte Conserver une adresse électronique obligatoire et, si le besoin est confirmé, une question thématique facultative. Ne pas conditionner l'accès à des champs sans nécessité. Distinguer l'inscription au webinaire d'une éventuelle communication commerciale ultérieure et vérifier les règles applicables à cette dernière. Organiser l'utilisation Documenter les finalités, la base juridique retenue, les destinataires, la durée ou ses critères, les mesures de sécurité et l'information des participants. Prévoir l'exercice des droits et une suppression cohérente avec l'usage. Ces décisions s'adaptent à l'organisation réelle et ne se résument pas à une case à cocher. À retenir : Partir de l'usage réel des données réduit les risques et simplifie le service. ## Sources CNIL · Principe de minimisation : https://www.cnil.fr/fr/definition/minimisation AFA · Prévention des conflits d'intérêts : https://www.agence-francaise-anticorruption.gouv.fr/toutes-les-ressources/guide-prevention-des-conflits-dinterets-en-entreprise CNIL · Organiser les processus internes : https://www.cnil.fr/fr/organiser-les-processus-internes