Deux personnes vous disent qu’elles évaluent des logiciels de conformité.
La première parle d’un outil qui collecte des captures d’écran de sa configuration cloud pour qu’un auditeur puisse valider un rapport SOC 2. La seconde parle d’un système capable de lui dire si l’entreprise à laquelle elle a viré huit millions de dollars au printemps dernier a discrètement transféré son siège aux îles Vierges britanniques et nommé un dirigeant dont personne au sein du fonds n’a jamais entendu parler.
Même expression. Aucun recoupement fonctionnel. Aucune des deux personnes n’emploie le terme à tort, ce qui en dit long sur ses limites.
Nous voyons les trois mêmes erreurs se répéter. Des sociétés achètent des plateformes GRC et découvrent, quatre mois plus tard, qu’elles ont acquis une armoire de classement très coûteuse et entièrement vide. D’autres achètent une solution de vérification d’identité et constatent que le produit, conformément à sa conception, cesse d’être utile dès le deuxième jour de la relation. Et des fonds crypto achètent des outils d’analyse on-chain, supposent que le risque lié aux entités est désormais couvert et se trompent d’une manière qui ne devient évidente que plus tard.
Ces trois erreurs sont commises par des personnes attentives et intelligentes. C’est précisément le problème. Ce sont les noms des catégories qui induisent en erreur, pas les acheteurs qui manquent de discernement.
Voici donc une cartographie. Elle explique ce qu’est réellement un logiciel de conformité, en quoi il diffère d’un système de gestion de la conformité, les six catégories de produits qui partagent cette appellation, les points forts réels et les limites de chacune, et comment déterminer celle dont vous avez besoin. Elle comprend les catégories dans lesquelles nous ne sommes pas présents, ainsi qu’une catégorie voisine avec laquelle on nous confond presque chaque semaine.
Ce qu’est réellement un logiciel de conformité
Au-delà du discours commercial, un logiciel de conformité remplit l’une de deux fonctions. Il vous aide soit à prouver que vous respectez un ensemble d’obligations, soit à détecter des risques qui vous échapperaient autrement.
Ces fonctions semblent proches. Elles ne le sont pas, et cette différence détermine presque entièrement ce que vous devriez acheter.
Prouver le respect des obligations est une question de documentation. Il vous faut des éléments probants, des contrôles, des politiques, une piste d’audit et de quoi satisfaire un inspecteur ou un auditeur muni d’une liste de vérification. Le résultat est un dossier défendable.
Détecter les risques est une question de renseignement. Il vous faut des données extérieures à votre organisation, un moyen de distinguer l’utile du reste et un chemin entre le signal et la décision. Le résultat est une alerte suffisamment précoce pour agir.
De très nombreux produits prétendent faire les deux. Très peu y parviennent, et ceux qui le revendiquent le plus bruyamment sont généralement solides sur le premier volet et faibles sur le second : la documentation est un problème d’ingénierie que l’on peut résoudre, tandis que le renseignement est un problème de données qui ne se termine jamais vraiment.
Gestion de la conformité et système de gestion de la conformité
Ces expressions sont utilisées indifféremment, alors qu’elles ne devraient pas l’être.
La gestion de la conformité est une discipline. C’est le travail lui-même : comprendre quelles règles s’appliquent à vous, les traduire en politiques que les équipes peuvent suivre, former le personnel, vérifier que ces politiques sont effectivement respectées et corriger les écarts. Elle existe, que vous disposiez ou non d’un logiciel. Beaucoup d’organisations la pratiquent mal avec des outils coûteux, et quelques-unes la pratiquent bien avec un tableur et une personne rigoureuse.
Un système de gestion de la conformité, ou CMS, est la structure qui assure la continuité de cette discipline malgré les départs, la croissance et les contrôles. C’est le cadre, pas l’application.
Dans la finance réglementée, le terme a un sens assez précis. Les procédures d’examen de la gestion de la conformité du CFPB organisent le CMS autour de plusieurs composantes : la supervision par le conseil d’administration et la direction générale, un programme formalisé de conformité couvrant les politiques, la formation, la surveillance et les mesures correctives, la supervision des prestataires et des tiers, le traitement des réclamations des consommateurs et l’audit indépendant de conformité. Les inspecteurs évaluent chacune séparément. Des politiques solides avec un conseil d’administration désengagé donnent tout de même lieu à un constat de carence.
C’est ici que les termes se brouillent, et cela compte. La plupart des personnes qui disent « nous achetons un système de gestion de la conformité » achètent un logiciel. Mais au sens réglementaire, le logiciel n’est pas le système. Il en est une composante, généralement assez petite.
Inversez cette logique et vous obtenez l’échec le plus courant de ce marché : une plateforme parfaitement déployée dans une organisation sans pratique fonctionnelle de la conformité, qui produit des rapports impeccables décrivant un programme que personne ne met réellement en œuvre.
Pourquoi un système de gestion de la conformité compte, et le volet que tout le monde néglige
Commençons par les réponses évidentes, car elles sont justes.
Un CMS permet à la conformité de durer. Le savoir ne reste pas dans la tête d’une seule personne : si elle part au neuvième mois, le programme ne part pas avec elle. Il vous donne une position défendable lorsqu’un régulateur, un auditeur, un investisseur du fonds ou un client grand compte vous demande comment vous gérez les risques. Il crée aussi une boucle de retour entre ce que vous aviez prévu de faire et ce que vous avez réellement fait, seul mécanisme permettant aux programmes de conformité de s’améliorer plutôt que de dériver.
Venons-en au volet négligé, qui est la raison d’être de cet article.
Reprenons les composantes d’un CMS au sens réglementaire. Supervision du conseil d’administration. Programme de conformité. Traitement des réclamations. Audit. Et due diligence et supervision continues des tiers et des prestataires.
Ce dernier volet porte une exigence considérable, et presque personne ne le remarque.
Il regarde vers l’extérieur. Il concerne d’autres entités que la vôtre. Et surtout, il est continu : il ne s’agit pas d’un contrôle effectué une seule fois à la signature du contrat. Le régulateur est explicite : externaliser une activité ne revient pas à en externaliser la responsabilité.
L’obligation de surveiller en continu les entités externes fait donc déjà partie de la définition d’un système de gestion de la conformité. C’est le cas depuis des années. Ce qui manque, ce n’est pas l’obligation. C’est un logiciel qui y réponde, lacune étonnante sur un marché aussi encombré. La suite de cet article explique en grande partie pourquoi cette lacune existe.
Deux axes pour situer tous les produits
Chaque produit de ce marché répond à deux questions, que sa page d’accueil les présente ainsi ou non.
Première question : que regarde-t-il ?
Certains outils regardent vers l’intérieur. Vos propres contrôles, vos politiques, vos éléments probants, votre configuration. C’est vous qui faites l’objet de l’examen.
D’autres regardent vers l’extérieur. Les entités auxquelles vous êtes exposés. Les contreparties. Les sociétés en portefeuille. Les clients. Les fournisseurs. Les fondateurs que vous avez déjà financés et pour lesquels vous ne pouvez pas revenir en arrière. L’examen porte sur quelqu’un d’autre.
Deuxième question : quand regarde-t-il ?
Certains vérifient à un instant précis. Entrée en relation, audit, finalisation d’une opération. Un point de passage que vous franchissez puis laissez derrière vous.
D’autres continuent d’observer, indéfiniment, et vous préviennent lorsqu’un changement survient.
Quatre quadrants. Chaque fournisseur de votre sélection se situe dans l’un d’eux. Ceux qui prétendent couvrir les quatre sont généralement solides dans un seul et faibles partout ailleurs.
| Regard interne (vos propres contrôles) | Regard externe (les autres entités) | |
| Ponctuel | Préparation manuelle des audits. Tests de contrôles sur tableur. La course annuelle. | Vérification d’identité à l’entrée en relation. Rapports de due diligence à la finalisation. Filtrage à la signature. |
| Continu | Surveillance continue des contrôles : Vanta, Drata, Sprinto, Scrut. | Analyse on-chain (portefeuilles, transactions). Renseignement sur les risques liés aux entités (personnes, entreprises). La case la moins fournie de la carte. |
Gardez en tête la case en bas à droite. C’est la plus intéressante, elle est plus peuplée qu’il n’y paraît, et presque toutes les confusions de ce marché s’y produisent.
Les six catégories de logiciels de conformité
Six types de produits partagent cette appellation. Ils ne se remplacent pas, et les acheteurs acquièrent régulièrement l’un en espérant les capacités d’un autre.
1. Vérification d’identité (KYC et KYB)
Vérification documentaire, contrôles biométriques, détection du vivant, vérification des personnes morales, filtrage des sanctions et des PPE à l’inscription. Sumsub est le nom que la plupart connaissent. Persona et Onfido figurent dans la plupart des évaluations.
Il faut distinguer ces acronymes, car les acheteurs les emploient sans grande précision alors que les produits diffèrent. Le KYC vérifie une personne. Le KYB vérifie une entreprise, ce qui est nettement plus difficile : une entreprise a une structure de détention, parfois conçue par des personnes qui préféreraient qu’on ne la comprenne pas.
Sur les marchés réglementés, cette catégorie est mature, rapide et, franchement, très performante. Un parcours KYB bien conçu vérifie une personne morale en moins d’une minute. Il y a vingt ans, il fallait un analyste conformité, une semaine et trois appels à un service de registre situé dans un fuseau horaire où personne ne répondait.
Le périmètre est clairement défini, et les fournisseurs sont transparents à ce sujet. Il s’agit d’un point de passage. Le contrôle est effectué, le résultat est validé, la relation commence. Le produit n’a jamais été conçu pour observer ce que l’entité fait au quatre-centième jour. Ce n’est pas une critique. C’est une limite de conception. L’ignorer conduit les acheteurs à être déçus par un logiciel qui a fait exactement ce qu’il promettait.
2. Automatisation de la conformité en matière de sécurité
SOC 2, ISO 27001, HIPAA, GDPR. Collecte des éléments probants, correspondance entre contrôles et exigences, préparation aux audits et centre de confiance vers lequel votre page commerciale destinée aux grands comptes renvoie pour que les achats cessent de vous envoyer des e-mails.
Vanta et Drata ont créé cette catégorie. Sprinto et Scrut y ont développé des activités importantes, et la concurrence est désormais suffisante pour que les prix aient effectivement baissé, ce que l’on ne peut pas dire de la plupart des outils de conformité.
Cette catégorie n’a pas simplement automatisé un processus existant. Elle en a changé le modèle. Avant Vanta, les tests de contrôles se faisaient dans la panique trois semaines avant un audit, avec un disque partagé rempli de captures d’écran et un prestataire facturant à l’heure. Après Vanta, les contrôles étaient surveillés en continu et l’audit devenait une conséquence du travail quotidien plutôt qu’un événement.
C’était un véritable changement de conception, pas une fonctionnalité. Le marché l’a récompensé en conséquence, et les personnes qui l’ont construit avaient compris quelque chose que les acteurs établis avaient manqué pendant deux décennies. Gardez cette idée en tête, nous y reviendrons.
Sa limite est simplement de regarder vers l’intérieur. Ces outils vous en diront beaucoup sur votre propre niveau de sécurité et absolument rien sur l’entreprise dans laquelle vous avez investi, la plateforme d’échange par laquelle votre société en portefeuille effectue ses règlements ou la personne entrée à votre capital lors du dernier tour.
3. Plateformes GRC
Registres des risques. Gestion des politiques. Bibliothèques de contrôles. Moteurs de processus. Rapports au conseil d’administration. Archer, LogicGate, OneTrust, Hyperproof, Onspring, StandardFusion.
À l’échelle d’une véritable grande entreprise, ces outils sont nécessaires, et les meilleurs sont des réalisations techniques impressionnantes. Si vous êtes un établissement réglementé avec quatre cents contrôles, onze référentiels et un comité des risques du conseil qui se réunit chaque trimestre, il vous faut un système de référence. À cette échelle, les tableurs ne sont plus viables depuis longtemps.
Partez toutefois avec les bonnes attentes. Le déploiement se mesure en mois. Un budget à six chiffres est normal. Et il vous faudra une personne dont le travail consiste réellement à administrer la plateforme : c’est donc autant une question d’effectifs que de logiciel.
Il y a ensuite ce que les acheteurs découvrent généralement au bout de quatre mois.
Une plateforme GRC est un contenant. Elle excelle à organiser les informations sur les risques, à les acheminer et à produire un résultat qu’un conseil d’administration acceptera sans difficulté. En revanche, elle ne va pas chercher ces informations dans le monde extérieur.
Il faut toujours l’alimenter. La plateforme est l’étagère, pas les provisions. Les sociétés qui achètent de la GRC en attendant du renseignement externe ont acquis une pièce vide parfaitement organisée, puis passent une bonne partie de l’année à se demander pourquoi rien n’y apparaît. Ce n’est pas la faute du fournisseur. C’est une erreur de compréhension de la catégorie, et elle coûte cher.
4. Fournisseurs de données sur les risques
Listes de sanctions. Bases de données de PPE. Archives de médias défavorables remontant à plusieurs décennies. Registres d’entreprises et données sur les bénéficiaires effectifs. LexisNexis Risk Solutions, Moody’s, Dow Jones, OpenCorporates.
Il faut préciser leur nature, car le mot « logiciel » induit ici discrètement en erreur. Ce sont, pour la plupart, des entreprises de données. Elles fournissent des données d’entrée. Plusieurs sont irremplaçables, et tout produit sérieux de gestion des risques sur ce marché utilise leurs flux d’une manière ou d’une autre. Le nôtre aussi, et il serait absurde de prétendre le contraire.
Elles vous placent devant le choix entre développer et acheter. Si vous disposez d’ingénieurs, d’une équipe de données et d’un cahier des charges clair, vous pouvez acquérir les licences des flux et construire vous-même la couche de renseignement. Certains grands établissements le font, et pour quelques-uns, c’est le bon choix.
La plupart de ceux qui essaient sous-estiment la seconde moitié du problème. La couverture est la partie facile. La pertinence est la partie difficile.
Un flot de mentions dans les médias défavorables n’est pas du renseignement sur les risques. C’est un travail de recherche que l’on vous confie et qui revient chaque matin. Quelqu’un doit encore distinguer le signal du bruit, reconnaître une ancienne information sous un nouveau titre et décider de ce qui nécessite un examen humain avant vendredi. Cette couche représente l’essentiel du travail, et les fournisseurs de données vous la laissent délibérément.
5. Analyse on-chain
C’est la catégorie que l’on confond le plus souvent avec la nôtre, et dans la crypto, cette erreur coûte cher.
Chainalysis, TRM Labs, Elliptic. Filtrage des portefeuilles, traçage des transactions, notation de l’exposition, analyse des flux de fonds. Si l’adresse de trésorerie d’une société en portefeuille a reçu des fonds passés par deux intermédiaires depuis un mixeur sanctionné, c’est cette catégorie qui vous le dit, et elle vous le dit vite.
Regardez sa place sur la carte. Elle regarde vers l’extérieur, puisqu’elle examine l’activité d’autrui. Elle est continue, puisqu’elle surveille la blockchain en temps réel. Elle se situe donc bien dans la case en bas à droite, ce qui explique exactement pourquoi je disais que cette case était plus peuplée qu’il n’y paraît.
Ce sont d’excellents produits. Dans la crypto, ils sont presque incontournables, et un fonds qui fonctionne aujourd’hui sans filtrage on-chain fait un choix que j’aurais du mal à défendre auprès d’un investisseur.
Mais voici la distinction qui compte.
L’analyse on-chain examine les portefeuilles et les transactions. Elle répond à la question : d’où vient cet argent et où va-t-il ?
Le renseignement sur les risques liés aux entités examine les personnes et les entreprises. Il répond aux questions : qui sont ces personnes, que font-elles hors de la blockchain et qu’est-ce qui a changé depuis notre dernière vérification ?
Ce ne sont pas les mêmes questions, et les réponses ne se remplacent pas.
Une plateforme on-chain ne vous dira pas que le nouveau directeur financier d’une société en portefeuille a été mis en cause dans une action en justice pour fraude à Singapour six semaines plus tôt. Elle ne vous dira pas que l’entreprise a transféré son siège aux Émirats arabes unis en mars et remplacé deux dirigeants. Elle ne vous dira pas que onze fausses chaînes Telegram usurpent actuellement l’identité du service d’assistance du projet et détournent discrètement l’argent d’utilisateurs qui pensent parler à l’équipe.
Rien de tout cela ne laisse de trace sur une blockchain. Rien de tout cela ne s’y déroule.
L’inverse est également vrai, et il faut le dire clairement plutôt que le dissimuler. Nous ne traçons pas les flux de fonds. Si vous devez connaître l’exposition d’un portefeuille à une entité sanctionnée, il vous faut une solution d’analyse on-chain, à acheter auprès de l’une des trois entreprises citées plus haut.
6. Renseignement continu sur les risques liés aux entités
Le coin de la carte qui est resté le moins fourni le plus longtemps.
La question : qu’est-ce qui a changé concernant les entités auxquelles nous sommes exposés depuis la dernière fois que quelqu’un les a réellement examinées ?
Un regard externe, comme les fournisseurs de vérification d’identité. Une activité continue, comme Vanta. Les mêmes flux que ceux des fournisseurs de données. Une catégorie voisine de l’analyse on-chain, mais tournée vers un objet entièrement différent. Et, par sa structure, distincte de toutes ces catégories.
Trois caractéristiques la définissent. Elle surveille les entités externes plutôt que les contrôles internes. Elle fonctionne indéfiniment plutôt que de s’exécuter une fois à un point de passage. Et elle réagit aux événements : elle fait remonter les changements lorsqu’ils surviennent, au lieu de produire tous les quatre-vingt-dix jours un rapport décrivant un monde qui a déjà changé.
C’est là que se situe Beady AI, et je serai direct : nous avons évidemment intérêt à ce que cette case vous intéresse. Mais elle existe, que vous nous achetiez quelque chose ou non. Et la raison pour laquelle elle est restée vide si longtemps est plus intéressante que n’importe quel argumentaire commercial.
Le parallèle que personne n’a formulé à voix haute
Revenons à l’argument réel des fournisseurs de conformité en matière de sécurité, car c’est ce qui s’est dit de plus utile sur ce marché depuis quinze ans.
Selon eux, les tests ponctuels de contrôles présentent une défaillance structurelle. Un audit annuel vous dit que vos contrôles fonctionnaient un mardi d’octobre. Il ne dit rien des trois cent soixante-quatre autres jours. Les contrôles doivent être surveillés en continu, car leurs défaillances ne consultent pas le calendrier des audits avant de survenir.
Cet argument était juste. Il a permis de bâtir plusieurs grandes entreprises. Plus personne dans la sécurité ne défend sérieusement le modèle de l’audit annuel, et ceux qui le faisaient ont discrètement cessé de le dire à voix haute.
Formulons maintenant la même phrase sur l’autre axe.
Le filtrage ponctuel des entités présente une défaillance structurelle. La due diligence à l’entrée en relation vous dit qu’une entité ne présentait pas de problème le jour du contrôle. Elle ne dit rien du quatorzième mois. Le risque externe exige une surveillance continue, car les inscriptions sur les listes de sanctions, les restructurations d’entreprises, les contentieux et les campagnes d’usurpation d’identité ne consultent pas le calendrier de votre revue trimestrielle du portefeuille avant de survenir.
Même argument. Autre axe. Et il reste largement à formuler.
Voici ce qui devrait mettre mal à l’aise : comme nous l’avons vu, la définition réglementaire d’un CMS exige déjà une supervision continue des tiers. L’obligation a toujours été là. Nous avons développé cet argument dans Au-delà de l’entrée en relation, qui présente la version longue de ce que cette section condense.
Le constat n’a rien de subtil, et je reste un peu surpris que le marché n’ait pas suivi. Mais il faut du temps pour que les catégories deviennent lisibles, et tant qu’une chose n’a pas de nom, personne ne lui consacre de ligne budgétaire.
Ce qu’un logiciel de conformité change réellement pour votre entreprise
Derrière la question des catégories, il y en a une plus directe. Qu’est-ce qui change au quotidien si vous achetez ce produit ?
Trois choses, qu’il faut présenter honnêtement, car les fournisseurs ont tendance à en promettre une quatrième qui ne se concrétise pas.
Il change la répartition du travail. Le logiciel prend en charge les tâches de conformité qui consommaient des heures d’analystes, et ceux-ci passent de la collecte à la décision. Ce bénéfice est réel, et c’est la principale raison d’être de cette catégorie.
Il change la vitesse à laquelle vous êtes informés. Le délai entre l’apparition d’un problème et sa détection se réduit, parfois de plusieurs mois à quelques heures. En pratique, c’est là que se concentre l’essentiel de la valeur, et c’est aussi ce qu’il est le plus difficile de présenter sur une page de tarifs.
Il change ce que vous pouvez prouver. Lorsqu’un investisseur du fonds, un auditeur ou un acheteur grand compte vous demande comment vous gérez les risques, vous disposez d’une réponse datée plutôt que d’un récit.
Ce qu’il ne change pas, et c’est la quatrième chose que les fournisseurs laissent entendre : il ne vous donne pas une fonction conformité. Un logiciel ne peut ni fixer votre appétence au risque, ni assumer une décision, ni en prendre la responsabilité. Si personne dans l’organisation n’est responsable de ses résultats, le logiciel produit un compte rendu très bien présenté d’une absence d’action.
Les difficultés que personne ne présente sur sa page de tarifs
Il y en a cinq. Elles ne sont pas toutes aussi difficiles, et je ne prétendrai pas le contraire : elles n’occuperont donc pas la même place.
Les obligations ne font que croître. Nouveaux référentiels, nouvelles juridictions, nouvelles interprétations d’anciennes règles. Rien ne disparaît. Vos effectifs ne suivront jamais le rythme de vos obligations, et cela ne va pas changer.
Les éléments probants sont dispersés entre quatre systèmes et une boîte de réception. Leur assemblage manuel est fastidieux. Mais le problème est réellement résolu. C’est sur cette base que les fournisseurs de conformité en matière de sécurité ont construit leur catégorie.
La fatigue liée aux alertes. C’est elle qui tue les programmes.
Voici comment cela se passe réellement. La plateforme est installée. Les alertes commencent à arriver. Pendant les deux premières semaines, tout le monde les lit, encore un peu enthousiasmé par la nouveauté. À la sixième semaine, la proportion d’alertes pertinentes s’est stabilisée à un niveau faible, ignorer une alerte n’a encore rien coûté à personne, et ce canal a rejoint mentalement les e-mails de maintenance du bâtiment.
Personne ne le décide. Cela arrive, tout simplement.
Et voici le point que je contesterais si un client me disait avoir réglé le problème en parlant à son équipe : ce n’est pas une question de discipline. Des consignes ne suffisent pas à changer ce comportement. C’est une réponse parfaitement rationnelle à un flux peu pertinent. La seule véritable solution consiste à changer ce qui parvient aux équipes, avec des niveaux de gravité, des responsables nommément désignés et beaucoup moins d’informations justifiant une interruption.
Les tiers sont l’angle mort de tout le monde. Vous pouvez externaliser une activité. Vous ne pouvez pas en externaliser la responsabilité. Les régulateurs sont explicites sur ce point. Pourtant, la plupart des sociétés continuent de superviser leurs tiers dans un tableur dont la dernière mise à jour remonte à la signature du contrat.
Personne ne peut prouver une absence. De l’extérieur, une année sans incident a exactement le même aspect, que votre programme soit excellent ou que vous ayez eu de la chance. Le directeur financier ne peut pas faire la différence. Et, honnêtement, vous non plus.
C’est pour cette dernière raison que nous avons pris la peine de construire un modèle de ROI plutôt qu’une nouvelle page de statistiques alarmantes. Si vous présentez un chiffre à des associés, il doit résister à une analyse détaillée.
Ce qu’un bon logiciel de conformité vous apporte réellement
Sans les exagérations habituelles.
- Du temps récupéré. La collecte des éléments probants, le filtrage et la préparation des rapports ne consomment plus des semaines de travail d’analyste. C’est le bénéfice le plus facile à mesurer et celui qui est le plus souvent survendu.
- Une information plus rapide. Le délai entre un événement et le moment où quelqu’un dans votre organisation en prend connaissance se réduit fortement. Le délai de détection est l’indicateur qui prédit réellement les conséquences, et presque personne ne le suit.
- De la constance. Les mêmes contrôles s’exécutent de la même manière à chaque fois, ce qui compte énormément lorsque la personne qui les effectuait manuellement est partie.
- Une position défendable. Un historique daté et sourcé de ce que vous saviez et du moment où vous le saviez. En cas de litige, cela vaut davantage que tout le reste réuni.
- Moins de surprises, et des surprises moins coûteuses. Les problèmes détectés tôt sont moins importants. C’est banal, mais c’est aussi tout l’argument économique.
- Une préparation aux exigences institutionnelles. Les investisseurs du fonds, les acheteurs grands comptes et les partenaires bancaires demandent de plus en plus comment vous gérez ces questions. Disposer d’une réponse raccourcit les cycles de vente et les levées de fonds : un bénéfice commercial présenté comme un bénéfice de conformité.
Remarquez ce qui ne figure pas dans cette liste. Un logiciel de conformité ne vous rend pas conforme. Il rend un programme de conformité fonctionnel moins coûteux, plus rapide et plus constant. S’il n’y a aucun programme derrière, vous avez automatisé le vide.
Ce qui se passe lorsque vous achetez dans le mauvais quadrant
Les abstractions passent facilement inaperçues. Voici les quatre scénarios d’échec que nous observons le plus souvent. Tous peuvent être corrigés, tous peuvent être évités, aucun n’est bon marché.
Le contenant vide. Une société achète une plateforme GRC en attendant qu’elle fasse remonter les risques externes. Neuf mois et un déploiement conséquent plus tard, le registre des risques contient exactement ce que quelqu’un y a saisi. La plateforme fonctionne parfaitement. Elle n’a simplement jamais été une source de renseignement.
Le fonds qui s’arrête à l’entrée en relation. Une excellente due diligence à la finalisation de l’opération, puis plus rien. Le fonds est protégé contre les risques qui existaient le jour du virement et aveugle à tous ceux apparus depuis. Avec des durées de détention de sept ou huit ans, cela représente la plupart des risques.
Le fonds crypto limité à l’on-chain. L’exposition des portefeuilles est parfaitement surveillée. Les antécédents des fondateurs, la structure des entreprises et les activités d’usurpation d’identité ne le sont pas du tout. Une surveillance attentive d’un périmètre pendant qu’un autre évolue hors du champ de vision.
Le déluge d’alertes. La société a acquis directement des licences de flux de données, construit une couche de filtrage et reçoit désormais quatre cents alertes par semaine que personne ne lit. Techniquement, il y a une couverture. En pratique, le résultat est identique à une absence de dispositif, pour un coût supérieur.
Comment mettre en place un système de gestion de la conformité et les quatre causes d’échec
La plupart des guides décrivent un processus linéaire et ordonné que personne n’a jamais réellement suivi. Il est plus utile de savoir où il échoue, car les points de rupture sont prévisibles et se résument à quatre environ.
Premier point de rupture : vous avez acheté le logiciel en premier.
C’est de loin le plus courant. Quelqu’un voit une démonstration, celle-ci est réellement impressionnante, les achats interviennent et, six semaines plus tard, il y a une plateforme mais aucun programme.
La solution n’a rien de séduisant. Avant d’examiner un seul fournisseur, consignez toutes les règles, tous les référentiels et tous les engagements contractuels qui vous lient réellement. Pas ceux qui font bonne impression. Cette liste est généralement plus courte et plus inattendue qu’on ne le pense. Lorsque nous avons établi la nôtre, elle comportait deux obligations auxquelles personne dans l’entreprise n’avait pensé depuis plus d’un an. Elle réduira aussi votre sélection de fournisseurs d’environ la moitié avant même le premier appel, ce qui est un bon retour sur un après-midi de travail.
Deuxième point de rupture : aucun cadre dirigeant n’en est réellement responsable.
Si vous ne venezz pas d’un secteur réglementé, voici un point à connaître : lorsque les inspecteurs évaluent un système de gestion de la conformité, la supervision du conseil d’administration et de la direction est notée comme une composante distincte, indépendamment des politiques et des outils. Vous pouvez avoir une documentation impeccable, une plateforme bien configurée et du personnel formé, et tout de même échouer parce que la personne officiellement responsable n’a rien examiné depuis la réunion de déploiement.
Un cadre dirigeant doit disposer de l’autorité, du budget et d’un accès aux instances de gouvernance de l’organisation. Il ne suffit pas de désigner un volontaire.
Troisième point de rupture : automatiser des décisions que vous n’avez pas prises.
Le logiciel traduit les décisions que vous avez déjà prises. Si les politiques n’existent pas, vous automatisez votre propre incertitude, et vous le faites à grande échelle.
Rédigez d’abord les politiques. Les procédures, les responsabilités et une description explicite de ce qui se passe en cas de problème. C’est le paragraphe le moins intéressant de cet article, et je serais moi aussi tenté de le sauter. C’est précisément pourquoi tant de programmes sont creux en leur centre.
Quatrième point de rupture, et le plus coûteux : les tiers.
Recensez tous ceux dont la défaillance devient votre problème. Fournisseurs, prestataires, sociétés en portefeuille, contreparties.
La plupart des sociétés le font une fois, à la signature du contrat ou pendant la due diligence, puis jamais plus. Le cadre réglementaire indique très clairement que cela ne suffit pas : une supervision continue des tiers est attendue, et externaliser une activité ne revient pas à en externaliser la responsabilité. Une cartographie établie à la signature puis jamais actualisée n’est pas une supervision. C’est une archive.
Faites donc un choix délibéré. Périodique ou continu ? Et si vous choisissez le périodique, soyez précis sur son coût : avec un contrôle trimestriel, une inscription sur une liste de sanctions survenant en troisième semaine passe inaperçue pendant onze semaines.
Ensuite, et seulement ensuite, passez aux achats.
Une fois les obligations cartographiées et les tiers recensés, le choix des outils devient presque mécanique. Vous saurez s’il vous faut automatiser les éléments probants, disposer d’un système de référence, effectuer un filtrage à l’entrée, assurer une surveillance continue ou combiner deux de ces fonctions.
Adressez les résultats à des personnes nommément désignées, avec des niveaux de gravité et des délais de réponse, dans les outils que l’équipe utilise déjà. Et planifiez dès maintenant une revue dans six mois, tant que vous êtes encore suffisamment mobilisés pour vous y tenir : un programme que personne ne teste dérive en silence, sans vous prévenir.
De quelle solution avez-vous réellement besoin ?
Répondez honnêtement, car acheter dans le mauvais quadrant coûte cher et prend du temps à se révéler.
Vous vendez aux grands comptes et avez besoin de SOC 2 ou d’ISO 27001. Adressez-vous à Vanta, Drata ou Sprinto. Vraiment. Cet article ne vous est pas destiné, et notre offre non plus.
Vous êtes une grande organisation qui a besoin d’un système de référence pour les risques, de gestion des politiques et de rapports au conseil d’administration. C’est de la GRC. LogicGate, Archer, OneTrust. Prévoyez le budget en conséquence : ce n’est pas bon marché et le déploiement n’est pas rapide.
Vous vérifiez les utilisateurs ou les entreprises à l’inscription dans un parcours réglementé. C’est de la vérification d’identité. Sumsub et ses équivalents vous permettront d’être opérationnels plus vite que vous ne le pensez.
Vous devez savoir d’où viennent les fonds en cryptomonnaies et où ils sont allés. Analyse on-chain. Chainalysis, TRM, Elliptic. Il n’existe pas de substitut et vous ne devriez pas en chercher.
Vous construisez votre propre couche de filtrage et souhaitez disposer des flux sous-jacents. Adressez-vous directement aux fournisseurs de données, évitez l’intermédiaire et budgétez honnêtement la couche de pertinence que vous devrez construire vous-même.
Vous êtes exposés à des entités externes dont les risques apparaissent après le début de la relation. Sociétés en portefeuille. Contreparties. Fondateurs que vous avez déjà financés. C’est la sixième catégorie, celle que personne ne vous a vendue, parce que, jusqu’à une période assez récente, personne ne la commercialisait.
La plupart des sociétés ont besoin de deux ou trois de ces catégories
C’est ce que les fournisseurs hésitent à dire. Disons-le donc.
Ces catégories sont complémentaires, elles ne se remplacent pas. Une gestion sérieuse des risques en mobilise généralement plusieurs à la fois.
Quelle que soit sa taille, un fonds crypto a en pratique besoin d’analyse on-chain et de renseignement sur les risques liés aux entités : chacun surveille un périmètre différent que l’autre ne voit pas. Une fintech a besoin de vérifier l’identité à l’entrée, puis d’assurer une surveillance continue : vérifier un client une seule fois ne dit rien de ce qu’il est devenu. Un établissement réglementé a besoin d’un système de référence GRC et d’une solution qui l’alimente réellement.
Quiconque vous affirme que son seul produit couvre toute la carte ne la comprend pas, ou espère que vous ne la comprenez pas.
L’avenir des logiciels de conformité : IA, prédiction et problème de traçabilité
Tous les fournisseurs de ce marché affichent désormais l’IA sur leur page d’accueil, nous compris. Il faut donc distinguer les capacités réelles de l’habillage.
Ce qui est réel : la couche de pertinence. Le véritable goulet d’étranglement de la conformité n’a jamais été l’accès aux données, mais l’identification de celles qui comptent. Les modèles de langage excellent à lire dix mille articles et à repérer les quatre qui concernent l’entité qui vous intéresse, dans une langue que votre équipe ne lit pas, publiés par un média régional dont personne n’a entendu parler. Cette capacité n’existait pas il y a cinq ans et elle transforme entièrement l’économie de la surveillance.
Ce qui est réel mais survendu : l’analyse prédictive. La promesse est que l’IA vous dira quelle contrepartie va devenir problématique avant qu’elle ne le devienne. Certaines approches fonctionnent, notamment la détection de schémas communs à plusieurs entités. Une grande partie se résume à un moteur de corrélation qui s’exprime avec assurance, et c’est cette assurance qui est dangereuse.
Ce qui m’amène au problème auquel le secteur devra, selon moi, se confronter rapidement.
Un rapport de risque généré par l’IA qui ne peut pas présenter ses sources est un risque, pas un atout. Si un modèle résume un résultat issu des médias défavorables et que le résumé comporte une erreur subtile, vous venez de prendre une décision fondée sur une hallucination, sans moyen de le découvrir. Pire encore, vous avez dans votre dossier un document qui fait autorité en apparence.
La seule approche défendable exige que chaque signal renvoie à une source primaire qu’une personne peut ouvrir, lire et vérifier. Le rôle du modèle est de filtrer et de hiérarchiser, pas d’être cru sur parole. Cette distinction paraît pointilleuse jusqu’au jour où un inspecteur demande l’origine d’une conclusion et où la réponse honnête est : « C’est l’IA qui l’a dit. »
Nous concevons nos outils selon cette approche traçable, qui relève autant d’un choix commercial que d’un choix éthique. Mais vous devriez l’exiger de tous les fournisseurs de ce marché, nous compris. La réponse devrait être un lien, pas un paragraphe.
Questions fréquentes
Un système de gestion de la conformité permet à ce travail de continuer après la démission de la personne qui l’a mis en place. C’est la structure, pas l’effort.
Le logiciel fait partie du système. Il n’est pas le système. Les sociétés qui l’achètent comme s’il l’était le découvrent généralement au bout de six mois, souvent pendant un audit.
Conclusion
L’expression « logiciel de conformité » perdure parce qu’elle est pratique, pas parce qu’elle est précise. Elle survivra probablement encore dix ans pour la même raison, et les analystes continueront de dessiner des quadrants réunissant six activités sans rapport sur un même graphique.
Mais ce n’a jamais été la bonne question. La question utile, celle qui détermine réellement ce que vous devriez acheter, est plus précise et un peu plus embarrassante.
Que cherchons-nous à voir, et à quelle fréquence devons-nous le voir ?
Répondez honnêtement, et le choix devient nettement plus facile. Répondez mal, et vous dépenserez six chiffres pour découvrir dans quel quadrant vous vous trouviez depuis le départ.
Si votre réponse vous mène à la case en bas à droite, c’est le périmètre que nous couvrons : la surveillance continue des sociétés en portefeuille, des fondateurs et des contreparties à travers les listes de sanctions, les médias défavorables, les registres d’entreprises et l’usurpation d’identité sur les réseaux sociaux, chaque signal étant traçable jusqu’à sa source d’origine. Réservez une séance et nous appliquerons la solution à vos participations réelles plutôt qu’à un jeu de données de démonstration.
