Les réglementations successives rendent toujours plus de contrôle interne obligatoire. La dernière salve avec Sapin 2, RGPD et devoir de vigilance confirme la tendance. D’où la question : le contrôle interne obligatoire est-il une bonne idée ? Et si oui, pourquoi ne pas obliger toutes les sociétés au-dessus d’un certain seuil à couvrir tous leurs risques, comme c’est déjà le cas dans la réglementation bancaire ?
HAUSSE DU NIVEAU DE CONTRÔLE
Il y a deux façons de voir la question. La première consiste à voir les progrès suscités par les réglementations de contrôle interne. Qu’il s’agisse de SOX ou de Sapin 2, elles ont obligé les directions générales à s’emparer des sujets et à faire déployer des dispositifs de contrôle. Des standards ont peu à peu émergé, et incontestablement amélioré le niveau de contrôle. Sapin 2 permettra ainsi d’améliorer l’efficacité des dispositifs anti-corruption.
PEUR DU GENDARME OU VERTU DU CONTRÔLE INTERNE ?
L’autre façon de voir est de considérer que ce n’est pas l’obligation de contrôle interne qui fait bouger les choses, mais la peur du gendarme, ou la prise de conscience que certains risques ont augmenté et appellent donc plus de contrôle. L’exemple de Sapin 2 est parlant. Le risque de corruption est récent : il n’était quasiment pas sanctionné avant 2007 et l’application du FCPA par les États-Unis. Il a considérablement augmenté depuis, avec des amendes dépassant régulièrement les 100 MUSD. La probabilité d’être mis en cause a aussi augmenté : la liste des pays « sûrs », c’est-à-dire sans risque que les montages de corruption ne remontent à la surface, s’est considérablement réduite : la Libye, l’Arabie Saoudite, le Brésil, la Chine, viennent ainsi d’envoyer des messages très clairs à ce sujet. C’est surtout cette évolution qui a poussé les directions à mettre en place des dispositifs anti-corruption, le rapport Risque/ Opportunité ayant complètement changé ces dernières années.
RISQUE DE DÉRESPONSABILISATION
Imposer réglementairement le contrôle interne fait courir le risque de mauvais ciblage et de rejet du dispositif. Est-on sûr que l’on n’a pas déployé le contrôle interne sur des zones de risque faible, voire inexistant ? Reprenons l’exemple de Sapin 2 : les milliers de sociétés soumises à la loi vont toutes faire une cartographie des risques et toutes mettre en place des contrôles sur les tiers. Lesquelles présentent objectivement un risque ? Quel est le pourcentage des contrôles qui va effectivement porter sur les zones de risque ? Le danger est que les cas à risque se retrouvent noyés dans la masse, et que le dispositif ne soit vu que comme le énième dispositif de conformité, délégué à une direction Conformité chargée de s’en occuper sans trop déranger ses collègues. Loin de promouvoir le sujet, la réglementation risque donc de le reléguer, alors que le point clef est justement que le message soit porté par la DG.
En une phrase : le contrôle interne est efficace parce qu’on veut le faire, pas parce qu’on doit le faire.
Antoine de Boissieu
Associé, Finaction
