Qu'est-ce que la conformité des risques ?
La conformité des risques désigne la pratique consistant à garantir que les activités de gestion des risques d'une organisation répondent aux exigences réglementaires applicables et aux politiques internes. Elle occupe le recouvrement de deux disciplines : la gestion des risques demande ce qui peut mal tourner, la conformité demande ce que les règles imposent, et la conformité des risques traite la zone considérable où les deux coïncident.
Là où risque et conformité se rejoignent
La réglementation prescrit de plus en plus non seulement des résultats mais les processus de risque qui les sous-tendent. SOX impose des contrôles internes sur l'information financière documentés et testés. Les règles LCB-FT imposent une approche par les risques assortie d'étapes d'évaluation définies. Le RGPD exige une analyse d'impact avant tout traitement à risque élevé.
Cela change la nature de l'obligation. Une entreprise ne démontre plus sa conformité en montrant que rien n'a dysfonctionné, mais en prouvant qu'un processus de risque existe, fonctionne et est documenté. L'absence d'incident ne vaut pas preuve de conformité.
Construire un dispositif défendable
Quatre composants reviennent dans tous les référentiels. Un inventaire réglementaire identifiant quelles obligations s'appliquent à quelle entité et à quel processus. Une cartographie des contrôles reliant chaque obligation aux contrôles qui la satisfont. Des tests vérifiant que ces contrôles opèrent. Et un reporting offrant au conseil et aux régulateurs un compte rendu défendable.
L'échec habituel tient à la fragmentation. Une cartographie des risques tenue par une direction, la documentation des contrôles par une autre et les preuves de tests dans une troisième font que personne ne peut répondre rapidement à une question du régulateur. L'intégration compte moins pour l'élégance que pour le temps de réponse sous contrôle.
Conformité des risques et Supervizor
La solution conformité de Supervizor teste en continu les contrôles réglementaires et de politique interne sur la population complète des transactions. Les équipes l'utilisent pour :
- Tester les contrôles réglementaires sur 100 % des transactions, en produisant des preuves plutôt que des déclarations
- Maintenir un historique de conformité continu au lieu de reconstituer les preuves avant chaque audit
- Répondre aux demandes du régulateur sur pièces, en indiquant ce qui a été testé, quand et avec quel résultat