ISO 37301 : tout savoir sur la norme du compliance management

Qu’est-ce que l’ISO 37301, la norme du compliance management ?

L'ISO 37301 est une norme internationale publiée en 2021 par l'Organisation internationale de normalisation (ISO). Elle fournit des lignes directrices pour l’élaboration, le développement, la mise en œuvre, l'évaluation, la maintenance et l'amélioration d'un système de management de la conformité (compliance management) efficace et réactif au sein d'une organisation, en l’occurrence ici une entreprise.

Cette norme remplace l'ISO 19600:2014 et lui apporte quelques améliorations suite aux retours d’expérience des utilisateurs et des experts (clarification des rôles et des responsabilités, critères plus précis pour l’évaluation des performances, analyse du contexte, gestion des risques, etc.).

L'ISO 37301 peut s’appliquer à tous types d'organisations, indépendamment de leur taille, de leur secteur d'activité ou de leur nature, qu'elles soient publiques, privées ou à but non lucratif. Elle adopte une approche basée sur le risque et s'intègre dans le cadre plus large de la gouvernance, de la gestion des risques et de l'éthique des affaires.

La conformité au sens de la norme ISO 37301

Cette norme définit la conformité comme le respect de toutes les obligations de l'organisation, qui comprennent non seulement les exigences légales, mais aussi les engagements volontaires comme le code de conduite, la charte éthique, l’engagement RSE, etc.

Elle met l'accent sur l'intégration de la gestion de la conformité dans les processus opérationnels de l’entreprise en encourageant une culture de l'intégrité et de la conformité à tous les niveaux.

L'ISO 37301 suit la structure de haut niveau (HLS) commune à toutes les normes de systèmes de management ISO, ce qui facilite son intégration avec d’autres normes comme l'ISO 9001 pour la qualité, l'ISO 14001 pour l'environnement, l’ISO 26000 pour la RSE ou encore l’ISO 27001 pour la sécurité de l’information.

L’ISO 37301, une norme certifiable

Contrairement à la norme qui l’a précédée (ISO 19600), l'ISO 37301 est une norme certifiable : l’entreprise peut faire évaluer son système de management de la conformité par un organisme tiers accrédité et obtenir une certification qui atteste de sa conformité aux exigences de la norme.

Cette possibilité de certification apporte une validation externe du système de management de la conformité de l'organisation pour renforcer sa crédibilité auprès des parties prenantes.

Quelles sont les principales exigences de la norme ISO 37301 ?

Le cadre général de la norme ISO 37301

L'ISO 37301 établit un cadre robuste pour le management de la conformité, avec des exigences qui visent à intégrer profondément la conformité dans la culture et les opérations de l'organisation. Elle met l'accent sur la prévention, la détection et la correction des non-conformités tout en insufflant une dynamique d’amélioration continue, notamment par le cycle PDCA (Plan-Do-Check-Act).

La norme met également l’accent sur le rôle de la direction dans la promotion d'une culture de conformité (top-down). Elle reconnaît que sans un engagement fort au plus haut niveau, les efforts de conformité risquent d'être superficiels et inefficaces.

Les exigences de la norme ISO 37301 (+ exemple concret)

Comme les autres normes ISO de systèmes de management, l’ISO 37301 comprend 10 sections principales, dont 7 qui contiennent les exigences clés du système de compliance management. Pour éviter la présentation vague et théorique, nous avons opté pour un tableau en trois colonnes qui explique l’exigence et qui donne un exemple concret de sa mise en œuvre.

Prenons l’exemple d’une banque internationale. Le secteur financier est fortement réglementé, et les banques internationales sont confrontées à des défis de conformité complexes en raison de leur présence dans plusieurs juridictions.

Elles sont également tenues de déployer des mesures contre le blanchiment d’argent, le financement du terrorisme et la corruption, sans oublier la protection des données des clients et les conséquences (très) lourdes de tout manquement à la conformité, tant sur le plan financier que réputationnel.

Section ISO 37301 Explication des exigences Exemples d’actions Contexte de l'organisme Comprendre l'organisation et son contexte, les besoins et attentes des parties prenantes et déterminer le périmètre du système de management de la conformité Réaliser une analyse PESTEL, cartographier les parties prenantes (régulateurs, clients, actionnaires) et identifier les lois applicables dans chaque pays d'opération Leadership Démontrer le leadership et l'engagement de la direction, établir et communiquer la politique de conformité et définir les rôles et les responsabilités Le conseil d'administration approuve la politique de conformité, nomme un Chief Compliance Officer directement lié au CEO et alloue un budget à la conformité Planification Identifier et évaluer les risques et opportunités liés à la conformité et établir des objectifs de conformité Réaliser une évaluation des risques de blanchiment d'argent, fixer des objectifs de formation (100 % des employés formés sur la lutte anti-corruption) Support Fournir les ressources nécessaires, assurer les compétences, sensibiliser le personnel et gérer la communication et l'information documentée Mettre en place un programme de formation continue sur la conformité et implémenter un système de gestion documentaire pour les procédures de conformité Réalisation des activités opérationnelles Planifier et contrôler les opérations et établir des contrôles de conformité Mettre en place un processus de due diligence pour les nouveaux clients et implémenter des contrôles automatisés pour détecter les transactions suspectes Évaluation des performances Surveiller, mesurer, analyser et évaluer la performance, conduire des audits internes et effectuer une revue de direction Réaliser des audits internes trimestriels, suivre des KPIs de conformité (nombre d'alertes traitées par exemple) et organiser une revue annuelle avec le comité exécutif Amélioration Traiter les non-conformités, mettre en œuvre des actions correctives et engager l’amélioration continue Mettre en place un processus de remontée et de traitement des incidents de conformité et réviser régulièrement les procédures en fonction des retours d'expérience

Quel intérêt pour une entreprise à se faire certifier ISO 37301 sur la compliance ?

1. Amélioration de la gestion des risques de conformité

La certification ISO 37301 guide l’entreprise dans la mise en place d’un système structuré pour identifier, évaluer et traiter les risques de conformité.

Cette approche systématique réduit les angles morts et les zones grises dans la gestion de la conformité. L'entreprise peut ainsi anticiper les changements réglementaires, prévenir les violations potentielles et réagir plus efficacement aux incidents.

Le processus d'évaluation continue exigé par la norme assure une vigilance constante et une adaptation rapide aux nouveaux risques émergents. Cette gestion proactive réduit la probabilité de sanctions, de poursuites judiciaires ou de dommages réputationnels coûteux tout en renforçant la résilience de l’entreprise face aux défis de conformité et aux législations mouvantes.

💡 À savoir

Concrètement, une entreprise certifiée ISO 37301 sera moins exposée aux risques suivants :

·        Des manquements au RGPD à cause d’une mauvaise gestion des consentements ou de processus de suppression de données inadéquats ;

·        Des défaillances dans la détection de situations à risque de corruption, comme l'absence de vérification des tiers dans des transactions internationales ;

·        Des retards dans la mise en conformité avec de nouvelles réglementations sectorielles par manque de veille juridique structurée ;

·        Des lacunes dans la formation des employés sur les enjeux de conformité, qui mènent à des erreurs évitables.

2. Avantage concurrentiel sur les marchés

La certification ISO 37301 démontre un engagement tangible envers l'éthique et la conformité, des valeurs de plus en plus prisées par les clients, les partenaires, les investisseurs et même les bailleurs de fonds.

Dans les appels d'offres, particulièrement pour les marchés publics ou les grands comptes privés, la certification peut être un critère de sélection plus ou moins déterminant. Elle rassure les donneurs d'ordre sur la fiabilité et l'intégrité de l'entreprise en faveur de la conformité, ce qui augmente mathématiquement ses chances de remporter des contrats.

La certification facilite également l'établissement de partenariats stratégiques. Les entreprises certifiées sont perçues comme des partenaires de confiance, et les risques associés à la collaboration sont moins élevés.

Sur le plan financier, la certification peut éventuellement améliorer l'accès aux investissements. Les investisseurs considèrent souvent la certification comme un indicateur de bonne gouvernance et de gestion des risques efficace.

💡 À savoir

Concrètement, une entreprise certifiée ISO 37301 bénéficiera des avantages suivants sur les marchés :

·        Qualification préférentielle pour les appels d'offres publics et des grands comptes privés ;

·        Sélection comme fournisseur privilégié par les multinationales qui ont des critères stricts de conformité pour leurs partenaires ;

·        Attraction d'investisseurs institutionnels sensibles aux critères ESG (Environnement, Social, Gouvernance) ;

·        Meilleure évaluation du risque de l'entreprise par les institutions financières qui peut indirectement influencer les décisions (et les conditions) de crédit.

3. Optimisation des processus internes

La certification ISO 37301 favorise une approche systématique de la gestion de la conformité, qui débouche forcément sur l’optimisation des processus internes de l'entreprise pour viser l’excellence opérationnelle.

La mise en place du système de management de la conformité nécessite une revue approfondie des procédures existantes pour identifier les inefficacités, les redondances et les lacunes dans les processus en place. L'entreprise peut alors rationaliser ses opérations et éliminer les étapes superflues. Résultat : les coûts opérationnels sont réduits et l’entreprise gagne en compétitivité.

La norme ISO 37301 exige également une documentation claire et structurée des processus de conformité qui va améliorer la transparence et la traçabilité des activités. Les avantages sont nombreux : la formation des employés est plus fluide, le transfert de connaissances gagne en qualité et la continuité des opérations en cas de changement de personnel est assurée.

💡 À savoir

Voici quelques exemples concrets d'optimisation des processus internes :

·        Identification et correction des redondances dans le processus d'approbation des contrats. Résultat : réduction des délais de signature ;

·        Révision du processus de formation en conformité. Le nouveau programme, plus ciblé et interactif, améliore la compréhension et l'application des règles par les employés ;

·        Refonte du système de signalement des incidents de conformité pour encourager les collaborateurs à signaler les suspicions de non-conformité ;

·        Amélioration du processus de veille réglementaire pour anticiper et se préparer aux changements réglementaires de manière proactive (Sapin II à Sapin III, NIS 2, CSRD, etc.).

4. Réduction des coûts liés aux non-conformités

En mettant en place un système de management de la conformité robuste, l'entreprise minimise les risques de violations réglementaires et leurs conséquences financières potentiellement lourdes.

La prévention des non-conformités permet d'éviter des coûts directs comme les amendes, les pénalités et les frais juridiques. La certification permet également de prévenir les coûts indirects liés aux non-conformités, comme les pertes de productivité liées aux enquêtes internes (déclenchées par une non-conformité avérée), les dommages réputationnels qui peuvent affecter les ventes et les relations avec les partenaires ainsi que les coûts de remédiation pour corriger les problèmes identifiés.

💡 À savoir

Exemples concrets de coûts évités par un système de compliance management certifié :

·        Économies réalisées en évitant des amendes pour non-respect des normes d'émissions industrielles. Exemple : en investissant dans un système de surveillance en temps réel de ses rejets, une usine peut désormais ajuster rapidement ses processus et éviter des pénalités potentielles de plusieurs centaines de milliers d'euros ;

·        Réduction des frais juridiques grâce à une diminution des litiges liés à des pratiques de vente trompeuses. Exemple : une entreprise de télécom a mis en place un processus rigoureux de validation des offres promotionnelles.

·        Baisse des coûts de remédiation suite à des audits internes plus efficaces.

ISO 37301 pour le compliance management : l’importance de la collecte des documents des tiers

La norme ISO 37301 aborde la gestion des documents et informations des tiers dans plusieurs sections.

La section 8.2, intitulée « Établissement des contrôles et procédures », stipule que l’entreprise doit mettre en place des contrôles de due diligence pour ses relations avec les tiers, ce qui englobe naturellement la collecte et l'évaluation de documents de conformité (légale ou mieux-disante).

La section 8.3, « Due diligence », détaille cette exigence en précisant que l’entreprise doit évaluer la nature et l'étendue des risques de non-conformité liés aux tiers fournisseurs, sous-traitants et prestataires. Cette évaluation nécessite la collecte, l’authentification et l'analyse de documents de conformité.

Citons également la section 7.5, « Informations documentées », qui souligne l'importance de maintenir et de contrôler les informations documentées nécessaires à l'efficacité du système de management de la conformité, ce qui englobe là encore les documents relatifs aux tiers.

Ces exigences visent à permettre aux organisations de vérifier la conformité de leurs partenaires aux lois et réglementations applicables, ainsi qu'à leurs propres standards mieux-disants, comme le code de conduite, la charte éthique et (surtout) la politique RSE.

La norme recommande une approche basée sur le risque, comme indiqué dans la section 6.1, « Actions à mettre en œuvre face aux risques et opportunités ».

La solution Provigis pour vous conformer à la norme ISO 37301 sur le compliance management

Dans le cadre de la mise en conformité avec l'ISO 37301, les entreprises doivent mettre en place des processus rigoureux pour évaluer et gérer la conformité de leurs tiers fournisseurs, prestataires, sous-traitants… Provigis répond directement à ces exigences par une solution intuitive et 100 % digitale.

En tant que Tiers de Collecte Probatoire (TCP), Provigis sécurise les relations avec les tiers localisés en France et à l'étranger en vous permettant de :

• Collecter, authentifier et archiver les documents légaux comme les k-bis, attestations URSSAF, RIB/IBAN, attestations et liasses fiscales, assurances RCP, chartes Sapin II, certifications ISO et sectorielles, bilans carbone, etc. ;
• Administrer des questionnaires, notamment sur la RSE, la loi Sapin II ou encore le bilan carbone ;
• Réaliser un screening des tiers pour identifier les risques potentiels ;
• Disposer de toutes les preuves nécessaires, juridiquement opposables en cas d'audit ;
• Centraliser le suivi de conformité des tiers depuis une seule et même plateforme ;
• Suivre les indicateurs de conformité grâce à des statistiques avancées, des exports et des rapports mensuels disponibles depuis la même interface.

En automatisant et centralisant ces processus, Provigis aide les entreprises à maintenir une vigilance constante sur la conformité de leurs tiers, à réagir rapidement aux changements de situation et à disposer d'une traçabilité complète de leurs actions de due diligence.  Demandez votre démo.