Un risque de non-conformité reste caché pour l’une de ces deux raisons. Soit personne ne le cherche, soit personne ne sait qu’il faudrait le chercher.
Le premier cas est agaçant, mais il se corrige. Des politiques obsolètes, une procédure de départ qui laisse des accès ouverts, un prestataire payé par carte personnelle il y a trois ans et qui détient désormais des données clients. Une personne déterminée, un tableur et une semaine de disponibilité suffisent pour tout retrouver. C’est un problème de rigueur, et les efforts permettent d’y remédier.
Dans le second cas, les efforts ne suffisent pas, parce qu’ils portent au mauvais endroit. Personne ne regarde à l’extérieur de l’organisation.
Cet article traite des deux cas, ainsi que de la manière de les évaluer et de les cartographier. Commençons par les risques internes, parce que vous pouvez réellement les corriger ce mois-ci, et parce que je préfère éviter d’être ce fournisseur qui passe rapidement sur les solutions gratuites pour arriver à celle qui est payante.
Qu’est-ce que le risque de non-conformité ?
Le risque de non-conformité désigne l’exposition d’une organisation qui ne respecte pas, ou pourrait ne pas respecter, une obligation légale, réglementaire ou contractuelle qui lui est applicable.
Trois éléments de cette phrase sont essentiels.
« Organisation » est celui que l’on comprend mal, et une grande partie de cet article explique pourquoi. Son périmètre ne s’arrête pas à vos salariés.
« Pourrait » compte, parce que le risque de non-conformité existe avant même qu’un problème survienne. Une faille constitue un risque, qu’elle ait été exploitée ou non, et une entreprise qui n’a jamais connu d’incident ne dispose pas nécessairement d’un programme efficace. Elle a peut-être simplement de la chance, et de l’extérieur, les deux situations se ressemblent à s’y méprendre.
« Qui lui est applicable » compte, parce que, dans la plupart des entreprises, la moitié des inquiétudes en matière de conformité porte sur des obligations qui ne les concernent pas, tandis que celles qui les concernent restent sans suivi. Déterminer lesquelles s’appliquent réellement est la toute première tâche. L’exercice est généralement plus court et plus surprenant qu’on ne l’imagine.
Il faut distinguer ce risque des notions voisines. Le risque juridique est l’exposition au contentieux. Le risque opérationnel est l’exposition aux défaillances de vos propres processus. Le risque de réputation correspond aux conséquences de la divulgation publique de l’un de ces problèmes. Le risque de non-conformité recoupe ces trois risques, sans se confondre avec aucun d’eux.
Ce que coûte réellement la non-conformité
La non-conformité est le fait de manquer à une obligation. La question intéressante n’est pas sa définition, mais son coût. Or celui-ci comporte plusieurs composantes que la plupart des calculs ne prennent pas en compte.
L’amende est la partie visible, et souvent la plus petite. Vient ensuite le programme de remédiation exigé par le régulateur : un projet qui s’étend sur plusieurs trimestres et mobilise du personnel. Puis les frais juridiques, qui s’accumulent même si aucune sanction n’est finalement prononcée. Puis les obligations d’information envers les clients, les investisseurs du fonds, les co-investisseurs et les partenaires bancaires.
Et enfin, ce que personne ne modélise correctement : des cadres dirigeants qui consacrent trois mois à gérer l’incident au lieu de diriger l’entreprise. Dans une petite structure, c’est souvent le poste le plus coûteux, et il ne figure dans aucun tableur.
Nous avons construit un véritable modèle de calcul de ces coûts, plutôt qu’une énième page de statistiques alarmantes. Car pour défendre une ligne budgétaire devant les associés, il vous faut un chiffre qui résiste à l’examen.
Pourquoi la conformité ne relève plus seulement des fonctions support
Un changement s’est produit ces dernières années. Il mérite d’être nommé, parce qu’il modifie la liste de ceux qui s’intéressent au sujet.
La conformité était autrefois un centre de coûts qui rendait compte à la direction une fois par trimestre, et qu’on laissait tranquille le reste du temps. Elle est devenue une condition d’accès aux contrats avec les grandes entreprises, aux levées de fonds et aux relations bancaires. C’est un changement commercial qui se présente sous les traits d’un changement de gouvernance.
Le mécanisme est assez simple. Les grandes entreprises examinent désormais la sécurité et la conformité de leurs fournisseurs avant de signer. Les investisseurs des fonds s’enquièrent systématiquement de la due diligence opérationnelle, au lieu d’en faire une demande exceptionnelle. Les banques posent à leurs partenaires les questions que leur propre régulateur leur pose. Les mêmes exigences se propagent ainsi jusqu’à des entreprises qui sont très loin de toute autorité de supervision.
Une lacune de conformité n’est donc plus seulement un problème qui pourrait un jour vous valoir une sanction. C’est un problème qui ralentit une transaction dès le mois prochain. Ce changement de perspective a fait entrer le sujet à l’ordre du jour des conseils d’administration. Il explique aussi pourquoi les discussions budgétaires sont devenues plus faciles, alors même que le travail s’est compliqué.
Les 10 principaux risques de non-conformité, classés selon la durée pendant laquelle ils restent cachés
La plupart des classements des « 10 principaux risques » se fondent sur la gravité. Ce critère est peu utile, puisque la gravité dépend entièrement de votre secteur et de votre taille.
Un classement plus utile repose sur le délai de détection.
Les équipes de sécurité ont emprunté cette notion pour décrire le temps qu’un intrus passe dans un réseau avant que quelqu’un le remarque. Elle s’applique presque parfaitement à la conformité et révèle ce qu’un classement par gravité ne peut pas montrer : non pas la nature du risque, mais le temps dont il dispose pour s’aggraver avant que vous en ayez connaissance.
Les voici, du plus longtemps caché au plus rapidement découvert. Les cinq premiers sont les plus dangereux, et vous remarquerez qu’ils ont un point commun.
1. Usurpation d’identité et attaques contre la marque
De faux canaux d’assistance. Des comptes clonés sur les réseaux sociaux. De faux profils de fondateurs qui sollicitent des investissements auprès de personnes convaincues de traiter avec une entreprise dont vous détenez une participation.
Ce risque est, par nature, impossible à découvrir lors de l’entrée en relation. Je le dis au sens propre. Au moment où vous avez conclu l’investissement, le produit n’avait pas encore été lancé. Il n’y avait rien à imiter. Le problème ne pouvait pas figurer dans l’espace documentaire de la transaction, puisqu’il n’existait pas.
Les fonds l’apprennent généralement lorsqu’un fondateur les appelle, paniqué. Parfois, ils le découvrent dans une capture d’écran publiée par un utilisateur qui a déjà perdu de l’argent, ce qui est nettement pire.
2. Évolution de la situation des fondateurs et des dirigeants
Vous les avez contrôlés à la conclusion de l’investissement. Le contrôle n’a rien révélé, parce qu’il n’y avait rien à signaler. Aucun contrôle n’a été effectué depuis.
Dix-huit mois plus tard, une action en justice vise personnellement le fondateur, dans une affaire liée à une entreprise qu’il dirigeait auparavant. L’information est publique. Elle figure dans un acte de procédure. Il faudrait environ quatre minutes pour la trouver, à condition de penser à chercher.
Personne n’y pense, parce que ce contrôle a été effectué une seule fois, pendant la transaction, qui s’est achevée il y a un an et demi.
3. Exposition aux sanctions par l’intermédiaire d’une contrepartie
Vous avez contrôlé l’entreprise. Très bien. Avez-vous contrôlé sa banque ? Sa plateforme d’échange ? Son principal client ? OFAC et ses homologues publient régulièrement de nouvelles désignations. Une sanction visant la principale contrepartie d’une entreprise place cette dernière, et donc votre participation, dans une situation de non-conformité qu’elle n’a pas provoquée et qu’elle n’a peut-être même pas remarquée.
Le premier signe est généralement un compte gelé. À ce stade, on est passé de la gestion des risques à la gestion de crise, dont le coût est bien plus élevé.
4. Restructuration juridique
Transfert de siège. Nouveaux dirigeants. Cessions de parts à des parties qui n’ont fait l’objet d’aucune due diligence. Filiales créées dans des juridictions qui ne figuraient pas dans le dossier à la conclusion de l’investissement. Dans la crypto, c’est courant : une levée de fonds, un transfert vers les îles Vierges britanniques ou les Émirats arabes unis, une réorganisation de l’actionnariat, et l’entreprise que vous aviez examinée n’existe plus sous la même forme. Des registres comme OpenCorporates vous montreront tous ces changements, à condition que quelqu’un les consulte.
En général, personne ne le fait. La découverte survient plutôt lors de la due diligence du tour suivant, quand l’analyste d’un autre fonds trouve l’information et vous demande pourquoi vous ne l’avez pas vue.
5. Requalification réglementaire
L’entreprise n’a absolument rien changé. Les règles, si.
Un jeton devient une valeur mobilière. Un service relève désormais de la catégorie des prestataires de services monétaires dans une juridiction où ce n’était pas le cas l’année précédente. Un produit légal lorsque vous avez viré les fonds est désormais soumis à un régime d’agrément qui n’existait pas.
Par définition, aucun processus d’entrée en relation ne peut détecter ce changement. Il est généralement découvert à la réception d’un courrier de l’autorité de contrôle ou lorsqu’une banque commence à poser des questions précises.
6. Prestataires engagés hors du processus d’achat
Des outils achetés avec une carte personnelle. Le service de transcription par IA auquel quelqu’un s’est inscrit et qui traite désormais vos réunions d’associés. L’outil de planification qui dispose d’un accès en lecture à tous les agendas de l’entreprise.
Vous ne pouvez pas encadrer ce dont vous ignorez l’existence. Commencez par les notes de frais : ce n’est pas très attrayant, mais cela fonctionne.
7. Lacunes dans les procédures de départ
Des accès qui subsistent après le départ d’un salarié. Un sujet banal, et un problème omniprésent.
Une personne est partie en mars. Sa messagerie a été désactivée le jour même. Ses accès au CRM des transactions, au disque partagé, à l’espace Slack lié à une société en portefeuille et à la console cloud qu’elle avait configurée deux ans auparavant ne l’ont pas été. Tous avaient été créés séparément, au gré des besoins de chacun.
Une liste de contrôle écrite et une revue trimestrielle des accès. Un après-midi de travail suffit pour combler l’une des failles les plus systématiquement exploitées dans les petites organisations.
8. La seule personne qui sait comment tout fonctionne
Toute petite structure en compte une. Compétente, présente depuis quatre ans, et si elle part, la fonction conformité part avec elle : rien n’est consigné ailleurs que dans sa tête.
Presque personne n’inscrit ce risque dans un registre, parce que le nommer donne l’impression de porter une accusation. Consignez-le malgré tout.
9. Des politiques rédigées une fois, puis jamais relues
Quelqu’un a rédigé une superbe politique de sécurité de l’information en 2023 parce qu’un client l’exigeait. Elle a été rangée dans un dossier. Depuis, l’entreprise a changé de fournisseur cloud, de système de paie et renouvelé la moitié de ses effectifs.
La solution ne coûte rien. Chaque politique se voit attribuer un responsable et une date de révision, inscrite dans un agenda plutôt que dans un plan.
10. Des formations suivies, mais pas assimilées
Tout le monde a suivi le module. Le taux d’achèvement atteint cent pour cent. Et pourtant, quelqu’un vire quand même quarante mille dollars vers un faux compte de prestataire, parce que le module consistait à faire défiler des diapositives pendant vingt minutes à seize heures.
Je n’ai pas de solution ingénieuse à proposer. Pour être honnête, une formation courte, précise et fréquente vaut mieux qu’une formation longue, générale et annuelle. Cinq minutes sur l’attaque concrète à laquelle votre entreprise sera réellement confrontée, quatre fois par an.
La même liste, sous forme de cartographie
| Risque | Où il se situe | Jusqu’à quand il reste généralement caché |
| 1. Usurpation d’identité | À l’extérieur | Jusqu’à ce que des utilisateurs aient déjà perdu de l’argent |
| 2. Évolution de la situation des fondateurs | À l’extérieur | Jusqu’à ce que l’information soit publique et qu’un tiers vous prévienne |
| 3. Sanctions visant une contrepartie | À l’extérieur | Jusqu’à ce qu’une banque gèle un compte |
| 4. Restructuration juridique | À l’extérieur | Jusqu’à la due diligence du tour suivant |
| 5. Requalification réglementaire | À l’extérieur | Jusqu’à la réception d’un courrier de l’autorité de contrôle |
| 6. Prestataires non encadrés | À l’intérieur | Jusqu’à une violation de données ou une facture de renouvellement |
| 7. Lacunes dans les procédures de départ | À l’intérieur | Jusqu’au signalement des accès d’un ancien salarié |
| 8. Dépendance à une seule personne | À l’intérieur | Jusqu’à sa démission |
| 9. Politiques obsolètes | À l’intérieur | Jusqu’au prochain audit |
| 10. Formations non assimilées | À l’intérieur | Jusqu’à ce que quelqu’un commette une erreur |
Ces délais de détection correspondent à des tendances observées, pas à des mesures. Votre expérience sera différente. Mais regardez la répartition.
Tous les risques de la première moitié se situent à l’extérieur de votre organisation. Tous ceux de la seconde moitié se situent à l’intérieur.
Les risques internes apparaissent au fil des processus habituels, en quelques semaines ou quelques mois, parce qu’un événement finit par imposer leur examen. Un audit. Un renouvellement. Une erreur. Les risques externes apparaissent lorsqu’une personne extérieure à votre entreprise les découvre pour vous. Autrement dit, vous ne les découvrez pas. Ils s’imposent à vous.
Ce qui pose la question des limites de votre organisation
Vous avez une entité juridique. Vous avez un organigramme. Aucun des deux ne décrit votre périmètre d’exposition aux risques. Si vous construisez votre programme de conformité autour d’eux, vous obtiendrez un ensemble cohérent en interne, mais aveugle à l’extérieur.
Pensez aux problèmes qui arrivent réellement sur votre bureau. Le fondateur d’une société en portefeuille fait l’objet d’une désignation au titre des sanctions. Un sous-traitant ultérieur de l’administrateur de votre fonds subit une violation de données, dont les vôtres. La plateforme d’échange utilisée par une société en portefeuille pour ses règlements s’effondre pendant le week-end, et vous l’apprenez par un groupe Telegram avant que l’entreprise vous prévienne.
Aucune de ces personnes ne fait partie de vos salariés. Toutes appartiennent, dans les faits, à votre périmètre de conformité.
La position réglementaire est claire, et mérite d’être connue même si vous n’êtes pas soumis à une supervision. Les orientations précisent qu’une entreprise peut externaliser une activité, mais pas la responsabilité qui en découle. La due diligence continue et la surveillance des tiers sont considérées comme une composante à part entière d’un système de gestion de la conformité. Le même principe figure dans les recommandations du GAFI relatives à la vigilance constante à l’égard de la clientèle.
La plupart des fonds de capital-risque et des fonds crypto ne sont pas soumis à cette supervision. Je tiens à être précis sur ce point, car il serait facile et malhonnête d’en exagérer la portée. Personne ne viendra vous contrôler au prochain trimestre. Mais le raisonnement reste valable, qu’une autorité en impose l’application ou non, et les investisseurs des fonds commencent à poser les mêmes questions que les régulateurs.
Comment évaluer le risque de non-conformité
La méthode habituelle comporte quatre étapes et en oublie une cinquième.
Première étape : recenser les obligations qui vous sont réellement applicables
Il ne s’agit pas des référentiels qui feraient bonne impression. Il s’agit des règles, des contrats et des engagements réglementaires pour lesquels vous devriez vous expliquer en cas de manquement. Cette liste est généralement plus courte qu’on ne le craint et plus surprenante qu’on ne le pense. Elle contiendra un ou deux éléments négligés jusqu’ici parce que personne n’avait compris qu’ils s’appliquaient.
Deuxième étape : recenser les entités, et pas seulement les processus
C’est l’étape que la méthode habituelle omet, et la raison pour laquelle la plupart des évaluations sont incomplètes.
L’évaluation classique des risques recense les processus : entrée en relation, paiements, traitement des données, déclarations. Cela convient à une entreprise dont les risques sont internes.
Si votre exposition est externe, il vous faut aussi un inventaire des entités. Chaque société en portefeuille. Chaque contrepartie importante. Votre administrateur, votre dépositaire, vos principaux prestataires. Toute partie dont la défaillance arrive sur votre bureau.
La plupart des entreprises n’ont jamais établi cette liste. Elle est toujours plus longue que prévu, et le simple fait de la dresser change la discussion avant même d’avoir attribué la moindre note.
Troisième étape : noter la probabilité et l’impact
C’est la partie familière. Quelle est la probabilité que cela se produise, et quelle serait la gravité des conséquences ? Utilisez l’échelle qui vous convient, à trois ou cinq niveaux. Ce choix compte bien moins que ne le laissent penser les débats qu’il suscite.
Quatrième étape : noter la détectabilité, ce que personne ne fait
Combien de temps vous faudrait-il pour en avoir connaissance ?
La question n’est pas : « Pourrions-nous le trouver si nous cherchions ? » Elle est de savoir combien de temps s’écoulerait, en pratique et avec les dispositifs effectivement en place, entre l’événement et le moment où quelqu’un dans votre entreprise en serait informé.
Exprimez ce délai en jours. Soyez honnête. Si la réponse sincère est « nous l’apprendrions quand le fondateur nous en parlerait », inscrivez un chiffre qui reflète cette réalité.
Cinquième étape : hiérarchiser selon ces trois critères
Ce qui nous amène à l’élément qui, selon moi, manque réellement aux référentiels habituels.
Construire une cartographie des risques de non-conformité : l’axe que tout le monde oublie
La cartographie classique des risques est une matrice à quatre cases. La probabilité sur un axe, l’impact sur l’autre. Vous y placez vos risques, et ceux qui se retrouvent en haut à droite obtiennent le budget. ISO 31000 et COSO suivent globalement cette logique, qui sert très bien la gestion des risques en entreprise depuis des décennies.
Elle repose pourtant sur une hypothèse implicite, qui cause beaucoup de dégâts.
Elle suppose que vous saurez quand un risque se concrétise.
Regardez la cartographie : la détection n’y figure nulle part. La probabilité est là. L’impact est là. Le délai entre l’événement et le moment où vous en prenez connaissance est tout simplement absent, comme s’il était nul, comme si les risques s’annonçaient d’eux-mêmes.
Ce n’est pas le cas. Et le temps multiplie l’impact ; ce n’est pas un détail secondaire.
Prenez un risque de probabilité moyenne et d’impact moyen. Si vous pouvez le repérer en moins d’une journée, il reste maîtrisable. Vous intervenez tôt, l’exposition est contenue, la remédiation coûte peu, et vous pouvez faire valoir auprès du régulateur que vous l’avez détecté vous-même, ce qui compte beaucoup.
Prenez le même risque avec un délai de détection de quatorze mois. L’exposition s’aggrave. Toutes les occasions d’intervenir à moindre coût sont passées. La remédiation devient un projet à part entière. Et ce n’est pas vous qui l’avez découvert, mais quelqu’un d’autre : votre position au moment de vous expliquer est nettement moins favorable.
Même probabilité. Même impact théorique. Une réalité radicalement différente.
La formule
La cartographie a donc besoin d’une troisième dimension. La façon la plus simple de l’exprimer est la suivante :
Exposition effective = probabilité × impact × délai de détection.
Vous pouvez la représenter sur une page en conservant la matrice à quatre cases et en utilisant la taille ou la couleur des points pour indiquer la détectabilité. En pratique, la plupart des équipes se contentent de pondérer la note, ce qui convient aussi. Le formalisme compte moins que la discipline consistant à poser cette troisième question.
Appliquez cet ajustement à votre cartographie actuelle, et un résultat dérangeant apparaît. Des risques jugés moyens, qui semblaient inoffensifs au centre de la grille, se rapprochent fortement du coin prioritaire. Presque tous se révèlent externes, parce qu’aucun dispositif ne les surveille.
Ce reclassement résume l’argument en faveur de la surveillance continue. Et cet argument découle de la méthode elle-même, plutôt que du discours d’un fournisseur.
Les erreurs que presque tout le monde commet lors de la cartographie
Il y en a six, et la première est fatale.
Ne cartographier que ce que vous contrôlez. La cartographie couvre vos processus, vos systèmes, vos équipes, puis s’arrête à la porte. Vous obtenez un document rigoureux sur le plan interne, qui décrit peut-être quinze pour cent de votre exposition réelle.
Ne cartographier qu’une seule fois. Une cartographie établie en mars et jamais rouverte est une photographie. Le monde qu’elle décrit a changé. Cette situation est plus dangereuse que l’absence de cartographie, parce que vous disposez désormais d’un document qui donne l’impression d’une maîtrise alors qu’aucun contrôle ne fonctionne.
Confondre probabilité et détectabilité. « Nous n’avons jamais vu cela se produire » est souvent interprété comme « c’est peu probable ». Parfois, cela signifie « nous ne le verrions pas si cela se produisait ». Ces deux situations produisent les mêmes observations, mais appellent des réponses opposées.
Cartographier les entités plutôt que les relations. Vous avez cartographié votre société en portefeuille. Vous n’avez pas cartographié sa banque, sa plateforme d’échange ni son principal client, alors que chacun peut la placer dans une situation de non-conformité qu’elle n’a pas provoquée.
Laisser chacun noter son propre périmètre. Les personnes attribuent un risque faible aux domaines qu’elles gèrent. Cela tient moins à la malhonnêteté qu’à la proximité. La solution consiste à confier la notation à quelqu’un d’extérieur à la fonction, ou au moins à lui demander de la remettre en question.
Laisser la cartographie devenir un document plutôt qu’un outil. Si elle ne détermine pas ce qui est surveillé, ce qui est remonté aux responsables et ce qui reçoit un budget, elle ne remplit pas son rôle. C’est un livrable produit pour répondre aux attentes de quelqu’un d’autre.
La cartographie des risques dépend de votre activité
La forme de la cartographie varie énormément selon le secteur. Voilà pourquoi les modèles génériques déçoivent presque tous ceux qui les téléchargent.
Un industriel ou une entreprise traditionnelle présente des risques très majoritairement internes. Chaîne d’approvisionnement, installations, personnel, données. Des éléments qu’il possède et dirige. Les référentiels habituels ont été conçus pour cela, et ils fonctionnent.
Une entreprise SaaS est elle aussi surtout tournée vers l’interne, avec des risques concentrés sur le traitement des données et les contrôles de sécurité. SOC 2, ISO 27001, GDPR. C’est ce qui explique l’existence des solutions d’automatisation de la conformité en matière de sécurité et leur croissance rapide.
Une fintech se partage entre les deux. Vers l’intérieur pour ses propres contrôles, vers l’extérieur pour ses clients, qu’il faut vérifier lors de l’entrée en relation puis surveiller. Deux programmes différents, souvent gérés par la même personne déjà débordée.
Un établissement réglementé supporte de lourdes obligations internes, auxquelles s’ajoutent des exigences formelles de surveillance des tiers. Il finit donc généralement par acheter une plateforme GRC et recruter quelqu’un pour la gérer.
Un fonds de capital-risque ou de capital-investissement présente la configuration inverse. Onze personnes en interne, deux cents millions investis dans trente-huit entreprises qu’il ne contrôle pas. Le risque interne est réel, mais limité. Presque toute l’exposition se situe dans des entités extérieures au fonds, et aucun référentiel habituel ne décrit cette situation.
Un fonds crypto présente la configuration la plus inversée de toutes, avec deux périmètres d’exposition externe distincts qui ne se recoupent pas. Le risque sur la blockchain, couvert par l’analyse des portefeuilles numériques. Et le risque lié aux entités hors blockchain — fondateurs, structures juridiques, usurpation d’identité — qui n’est pas couvert par cette analyse. Les fonds qui ont acheté la première solution et pensent avoir couvert le second risque commettent l’erreur coûteuse la plus courante sur ce marché. Nous avons cartographié ici l’ensemble des catégories de solutions si cette distinction ne vous est pas familière.
Les bonnes pratiques, pour la plupart gratuites
Cinq mesures. Trois ne coûtent rien. Autant le préciser d’emblée, car cette rubrique consiste habituellement à laisser un fournisseur expliquer que la solution passe par un bon de commande.
Commencez par tracer le véritable périmètre. Listez chaque entité dont la défaillance arrive sur votre bureau. Sociétés en portefeuille, principales contreparties de ces sociétés, administrateur, dépositaire, prestataires externalisés. C’est gratuit et cela prend un après-midi.
Exprimez votre délai de détection par un nombre, pas par un mot. Pas « en continu ». Un nombre. Si la réponse honnête est une fréquence trimestrielle, vous acceptez un délai maximal d’environ quatre-vingt-dix jours entre la publication d’un signal et le moment où quelqu’un dans votre entreprise le voit. Cela peut parfaitement convenir. Mais ce doit être une décision prise délibérément, plutôt qu’une lacune héritée, et elle doit figurer dans votre politique de gestion des risques, pas seulement dans la tête de quelqu’un.
Attribuez un responsable à chaque risque avant d’en avoir besoin. Un risque sans responsable reste sans réponse : c’est de très loin la raison la plus fréquente pour laquelle les alertes ne sont pas traitées. Ce n’est pas un problème d’outillage, et aucun logiciel ne le résoudra à votre place. Pour en savoir plus sur l’acheminement des alertes.
Automatisez la surveillance. N’automatisez pas la décision. Une machine peut lire dix mille articles en six langues en une nuit et faire ressortir les quatre qui concernent les entités qui vous intéressent. Aucune équipe humaine ne le fait. En revanche, une machine ne peut pas décider de la suite à donner. Tout système qui vous livre une conclusion plutôt qu’un signal sourcé constitue un risque : vous détenez alors un document qui fait autorité en apparence, associé à une décision que vous ne pouvez pas auditer. Exigez le lien vers la source primaire. Exigez-le aussi de nous.
Testez ensuite le dispositif que vous avez construit, ce qui m’amène au dernier point.
L’audit d’une heure
Vous pouvez savoir où vous en êtes dès cet après-midi.
Choisissez trois sociétés en portefeuille au hasard. Pas celles qui vous posent problème. Des sociétés tirées au sort, dont idéalement une qui ne vous inquiète absolument pas.
Pour chacune, répondez à quatre questions. Les dirigeants ont-ils changé depuis la conclusion de l’investissement ? La juridiction ou la structure juridique a-t-elle changé ? Quelles sont ses principales contreparties aujourd’hui, et lesquelles l’étaient déjà à la conclusion de l’investissement ? Quelqu’un usurpe-t-il actuellement son identité sur les réseaux sociaux ?
Chronométrez-vous. Multipliez ensuite ce temps par le nombre de sociétés en portefeuille.
Si le résultat dépasse le temps dont vous disposez réellement, vous n’avez pas de processus de surveillance. Vous avez une intention. La différence est considérable, et elle tend à se révéler au pire moment.
Dernier point. Si vous ne pouvez pas répondre à ces quatre questions pour une seule entreprise sans écrire au fondateur, vous avez déjà votre conclusion. Inutile de répéter l’exercice sur les trente-sept autres.
Questions fréquentes
Ils méritent d’être corrigés, et représentent aussi la moitié la plus facile à traiter. Les risques qui coûtent réellement de l’argent se situent à l’extérieur : évolution de la situation d’un fondateur, désignation d’une contrepartie au titre des sanctions, transfert discret du siège d’une entreprise. La plupart des fonds n’ont absolument aucun dispositif pour les surveiller.
Une cartographie des contrôles internes peut probablement tenir un an. Une cartographie couvrant trente-huit sociétés en portefeuille ne le peut pas : ces sociétés changent de dirigeants, de juridictions et de contreparties selon leur propre calendrier, pas le vôtre. Révisez le volet interne tous les six mois. Révisez le volet externe en continu, ou reconnaissez que vous ne le révisez pas réellement.
Conclusion
Les risques internes peuvent être repérés. C’est fastidieux, mais possible, et cet article vous a donné une idée des endroits où chercher. Attribuez-leur des responsables et des échéances, et la plupart cesseront tout simplement d’être des risques.
Les risques externes ne seront pas découverts en cherchant davantage, puisque personne ne les cherche. Ce n’est pas un manque de rigueur, et les efforts ne suffiront pas à combler cette lacune.
C’est pour combler cette lacune que Beady AI existe. Elle assure une surveillance continue des entités auxquelles vous êtes exposé — sociétés en portefeuille, fondateurs, contreparties — dans les listes de sanctions, les médias défavorables, les registres d’entreprises et les cas d’usurpation d’identité sur les réseaux sociaux. Chaque signal renvoie à sa source. Réservez une session : nous l’appliquerons à vos participations réelles plutôt qu’à un jeu de démonstration. La plupart des fonds découvrent quelque chose dès le premier passage, ce qui est rassurant ou non, selon votre tempérament.
