Avril 2021

ACTUALITÉ DU RISQUE – BLOCAGE DU CANAL DE SUEZ –

Nouvelle illustration de l’élargissement du domaine du risques/ de l’importance de suivre une à une les étapes de la démarche de gestion des risques / de le la transversalité de la Fonction Risk Manager.

Mars 2021

Assurances & Risques

Le sujet est toujours d’actualité, devenu conflictuel voire douloureux pendant la crise de la Covid-19. Les articles du mois de mars seront consacrés à ce sujet.

• Nous commencerons aujourd’hui par présenter le point de vue des entreprises d’assurances. Retour sur les fondamentaux : risque assurable, appétit au risque.
• Nous l’illustrerons la semaine prochaine via l’exemple du Cyberrisque et analyserons le marché des assurances.
• Nous proposerons dans la deuxième quinzaine de mars des conseils et pistes de solutions : quelles solutions pour faire face à cette situation ? La gestion des risques transversale et le Risk Manager sont au premier plan. 

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Février 2021

• Retour sur la journée en ligne organisée par l’AMRAE – La sagesse du risque, pour une immunité collective – 3-4 février 2021. Ce qui se cache derrière ce titre. A lire et re(voir).

Merci à Cécile Desjardins de relayer mes propos dans son article « Management du Risques : le retour de l’humilité. »

• A lire : le dossier RISK MANAGEMENT 2021, Les Echos, 3 février 2021.
• A (re)voir les REPLAYS des tables rondes. Il suffit de s’inscrire) à cette adresse : https://lnkd.in/eEpjQSy

Exemples de thèmes abordés : Risques, climat et RSE ; Risques RH et associés ; Cyberrisque ; Gestion globale des risques ; Financement des risques par les assureurs intégrant le riskmanagement.

Ces thèmes, à l’exception du dernier, ont fait l’objet de nombreux articles dans ce blog (voir Archives ou moteur de recherche). Je décris pourtant la logique de transfert du risque des assureurs vers les entreprises comme le 3^ème facteur ayant contribué à faire du risque, une variable stratégique de la réflexion des entreprises. Je l’aborderai dans les publications des semaines à venir sur le blog.

il suffit de s’inscrire) à cette adresse : https://lnkd.in/eEpjQSy

Le mois de janvier du blog sera consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Aujourd’hui, 11 janvier 2021. Rappel du contexte réglementaire : le RGPD. 1^er éléments de bilan 2020 à partir de deux articles :

• « Pourquoi le RGPD n’a (presque) rien changé pour les internautes » et constat d’un relatif échec
• Quelques chiffres sur le montant des sanctions en Europe

Au programme. Le 18 janvier 2021. SANCTIONS

• article / sanctions H&M
• article / sanctions Google
• article / sanctions Carrefour / avec les délibérations et pour approfondir les références aux articles de la CNIL

Au programme. Le 25 janvier 2021. QUELS PLANS D’ACTIONS ?

• Règles de l’ANSSI et de la CNIL à suivre / Quels Plans d’Actions ? (source : I-Trust)

23 décembre 2020. Dernier post avant 2021. TOUT SAVOIR SUR LA GESTION DES RISQUES ET LE RISK MANAGER EN FRANCE. UNE LECTURE DE NOEL : « LA FONCTION RISK MANAGER : ORGANISATION, MÉTHODES ET POSITIONNEMENT»  https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

14 décembre 2020. Le Risque de Réputation. Une définition. Références à deux articles du Blog. Rôle des médias comme amplificateur de risques. Risque de Réputation et éthique. Résumé de l’étude VisioBrain : REPUTATION DES MARQUES : 5 ENJEUX NUMERIQUES A INTEGRER EN 2021.

2 décembre 2020. Continuons nos investigations sur les outils « hors contrôle » qui pourraient permettre aux RM français de mettre en place le « risk management intelligent» préconisé par Power (2004, 2007, 2009, 2016). Je vous propose aujourd’hui deux articles parus dans Harvard Business Review, écrits par deux chercheurs qui proposent de mettre mettre l’acteur au cœur de la démarche : responsabilisation, confiance plutôt que contrôle, sanctions et méfiance de la DG. SAVOIR AUGMENTER LA RESPONSABILITE SANS SUSCITER LA MEFIANCE. LES NEUROSCIENCES DE LA CONFIANCE.

24 novembre 2020. Pour continuer notre réflexion sur la mise en place d’outils issus du « risk management intelligent » un article intitulé : « S’EMANCIPER DE LA LOGIQUE DU REPORTING »

18 novembre 2020. Dernier article mis en ligne : POUR UNE APPROCHE GLOBALE TECHNIQUE ET SOCIO-COGNITIVE DE LA DEMARCHE DE GESTION DES RISQUES. LES OUTILS DE L’ORGANISATION APPRENANTE.

A venir : je vais vous proposer dans deux semaines à venir quelques lectures en lien avec cette problématique.

Risque de Corruption. Dispositifs anti-corruption : des progrès à faire

Dans les archives mensuelles (situées tout en bas à gauche de la page) ou en recherchant « Risque de corruption » retrouver et relire :

1. Loi Sapin : rôle du régulateur-législateur et résumé de la loi / article « Trois ans après, où en sont les entreprises ? » ; Archives octobre 2020
2. Cartographies de risques de corruption ; Archives juillet 2020

Aujourd’hui, après la présentation de la loi, le bilan à N+3 et la présentation de l’outil de gestion des risques, je vous propose un article sur les progrès dans la mise en place des plans d’actions anti-corruption.

Dispositifs anti-corruption : des progrès à faire

Grant Thornton a publié début octobre la 3e édition de son baromètre sur les dispositifs anti-corruption des entreprises. Axé cette année sur la maturité, il constate des progrès dans tous les domaines mais pointe également de nombreux retards.

Près de 4 ans après l’instauration de la loi Sapin 2, où en sont les entreprises en termes de dispositifs anti-corruption ? C’est la question à laquelle le Baromètre de Grant Thornton consacré au sujet essaie de répondre, pour la troisième année consécutive. « Le constat général est qu’il y a des progrès dans tous les domaines même si c’est parfois un peu poussif », résume Nicolas Guillaume, Business Risk Services & Forensic Lead Associé chez Grant Thornton qui a supervisé la réalisation de ce baromètre. Il reconnaît cependant que le baromètre Grant Thornton est exigeant puisque pour être jugé conforme en termes de dispositif anti-corruption, il faut être conforme à tout.

Difficile évaluation des tiers

Et force est de constater que peu d’entreprises sont en conformité : 90% des entreprises sont  » non conformes « . Ce chiffre est certes un mieux par rapport à 2019 (seules 6% des entreprises étaient alors conformes) mais il y a encore de nets progrès à faire, notamment dans le domaine de l’évaluation des tiers : seules 19% d’entités sont conformes. « C’est opérationnellement très lourd de passer au peigne fin toute sa chaîne, d’autant plus quand le business est très éclaté, avec beaucoup de transactions », analyse Nicolas Guillaume.

Deux autres thèmes progressent doucement : le dispositif de suivi (44% d’entités conformes) et les contrôles comptables (46%). « Sur les contrôles comptables, les entreprises rencontrent des difficultés à identifier quels sont les points spécifiques à relever et comment s’organiser pour le faire. Quant au dispositif de suivi, ce n’est pas étonnant qu’il ne soit pas avancé : il faut d’abord progresser sur les autres sujets », explique Nicolas Guillaume.

Doublement de la maturité sur la cartographie des risques

Le Baromètre note par contre de gros progrès en matière de cartographie des risques : nous avons presque constaté un doublement de la maturité, les entreprises conformes étant passées de 40% en 2018 à 71% aujourd’hui », rapporte

L’associé Grant Thornton souligne également que si la proportion d’entités totalement conformes évolue lentement (10% contre 6 % précédemment), le taux de conformité moyen progresse quant à lui fortement, passant de de 57 % à 79 %.

Prévention des risques

Les progrès sont là mais les entreprises doivent mieux faire, ne serait-ce que pour éviter de se faire rattraper par le régulateur sur les questions d’anti-corruption. « Il y a également un aspect de responsabilité sociétale : les entreprises ont tout intérêt à utiliser leurs ressources dans d’autres sujets qu’en faveur d’intermédiaires véreux », souligne Nicolas Guillaume. Il insiste aussi sur la notion de risque : « Un dispositif efficace peut permettre d’éviter de se faire piéger par des gens peu scrupuleux et de protéger son activité ».

C’est pourquoi la cartographie des risques est si importante : cela permet de prendre conscience de la nécessité d’agir sur certains sujets dans l’intérêt de son entreprise. « Les entreprises débutent leurs travaux pour des raisons réglementaires mais quand les dirigeants se rendent compte en avançant que des collaborateurs se sont retrouvés dans des situations compliquées le sujet devient moins technocratique et les intéresse davantage », observe Nicolas Guillaume.

L’associé Grant Thornton rapporte par ailleurs que le panel du Baromètre est constitué d’entités non soumises aux exigences de la loi Sapin 2 mais qui ont décidé volontairement d’engager les démarches pour satisfaire aux exigences. « Ces entités évoluant majoritairement à l’international et ayant des clients soumis à Sapin 2 ont perçu l’enjeu commercial de se positionner comme un partenaire compliant« , pense Nicolas Guillaume.

Identifier les enjeux

Nicolas Guillaume reconnaît cependant la complexité de certains sujets de la loi Sapin 2. « L’Agence française anticorruption (AFA) est en train de mettre à jour certaines de ses recommandations : elles seront plus explicites pour les entreprises », indique Nicolas Guillaume. Il entrevoit un autre problème à la mise en place des dispositifs anti-corruption dans les entreprises : le manque de temps et de ressources. « Dans la période actuelle, les entreprises ont de plus d’autres préoccupations ».

Il conseille de débuter par une cartographie des risques établie avec sérieux afin d’identifier les sujets à enjeux pour l’entreprise. « Cela permet de ne pas adopter une approche monolythique : il s’agit non pas de faire tous les tiers ni tous les contrôles comptables à la fois mais de se concentrer sur les vraies zones d’enjeux », recommande-t-il.

Nicolas Guillaume insiste aussi sur la culture d’entreprise: « Les procédures sont importantes mais ce qui compte c’est la façon dont se comportent les collaborateurs face à une situation compliquée : il s’agit d’éduquer les gens, de leur faire prendre conscience de ces problématiques afin qu’ils acquièrent les bons réflexes ». Les dispositifs anti-corruption comprennent donc un volet management et formation.

Eve Mennesson. 2 nov. 2020 

2 novembre 2020

CLOTURE DU CYBERMOIS. APPRENTISSAGE DE LA CYBERSECURITE PAR LE JEU

La mise en place par certains Risk Managers d’outils hors contrôle tels que le retours d’expérience, les réunions, la responsabilité des opérationnels, l’appropriation des outils permettraient aux Risk Managers d’avoir l’appui des opérationnels et d’acquérir une légitimité cognitive (celle qui consiste à s’ancrer dans l’inconscient collectif pour être compris par les parties prenantes, devenir incontournable ; elle est le « graal » de la légitimité.) Nous évoquons ces outils dans nos travaux (Aubry et Montalan, 2007) et dans l’ouvrage La Fonction Risk Manager. Organisation, méthodes et positionnement (2019, p.96).

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

L’apprentissage par le jeu fait notamment son apparition pour sensibiliser les équipes à l’enjeu de la cybersécurité.

Je vous propose ci-dessous pour clôturer le Cybermois :

1. Un jeu proposé par l’ANSII pour vous tester
2. Un article sur l’apprentissage de la cybersécurité par les serious games

Pour clôturer le Cybermois, l’ANSSI propose cet apprentissage par le jeu.

ILLUSTRATION

C’est à vous de jouer !
Pour la dernière semaine du #Cybermois, Léa, alias Dark Sissi, cherche de nouvelles victimes sur #Internet … Qui va-t-elle cibler aujourd’hui ? #cybersécurité #rançongiciel
Et vous, que feriez-vous ?
➡️ https://lnkd.in/dDh_eNr

Et vous, que feriez-vous ?

cybermois.fr • Lecture de 1 min

Pour clôture le Cybermois, je vous propose de découvrir l’univers des serious games :

Sensibilisation à la cybersécurité : les serious game tirent leur épingle du jeu

Vous souhaitez familiariser vos collaborateurs aux enjeux de cybersécurité de votre entreprise ? En les sensibilisant par le jeu plutôt que par des sessions de formation classiques, il devient possible de susciter leur intérêt et d’améliorer leur apprentissage. Bonnes pratiques.

Pour sensibiliser leurs équipes à ces épineuses questions, les entreprises recourent traditionnellement à des sessions de formation. Le décor : une salle de réunion peuplée de collaborateurs plus ou moins attentifs. Sur scène : un formateur faisant défiler les slides d’une présentation avec le rythme d’un métronome. Ce format comporte de nombreuses limites, notamment celle de devoir assimiler un très grand volume d’informations en un temps restreint. La session présentielle étant peu interactive, les participants se sentent moins impliqués, ce qui influe sur la quantité d’informations retenues

e-Learning, la panacée ?

Avec la démocratisation du e-learning dans les années 2000, les entreprises ont pu affiner leur stratégie de formation, avec la possibilité d’inclure des cas pratiques concrets, et proposer ces modules à un grand nombre de salariés, permettant à chacun de se former au moment qui l’arrange. Cependant, l’e-learning à lui seul reste insuffisant. Rapidement lassés par un format redondant, les apprenants finissent par faire défiler les modules de manière automatique, sans assimiler les contenus. Tout miser sur l’e-learning serait donc une erreur.

Pour impliquer les collaborateurs, les méthodes d’apprentissage les plus ludiques tirent aujourd’hui leur épingle du jeu. Celles-ci permettent de mémoriser des informations sans s’en rendre compte. Il est ainsi conseillé de miser sur une approche plus informelle, en imaginant des campagnes de sensibilisation marquantes, fondées sur le jeu, renforçant la cohésion d’équipe.

Pour marquer les esprits, le mieux est de simuler par le jeu les conséquences d’une attaque informatique. Il peut s’agir par exemple de démonstrations de piratage d’outils bureautiques, via de fausses campagnes de phishing ou des prises de contrôle de PC à distance. Pour un public évoluant au sein d’environnements industriels, le piratage de maquettes SCADA est aussi très visuel et montre très bien l’impact d’une cyberattaque sur une chaîne de production.

Questions pour un cyber-champion

Parce que le sel du jeu, c’est la compétition, organiser un challenge entre les collaborateurs au cours d’une session de formation permet de dynamiser l’apprentissage et de faciliter l’appropriation des messages-clés. Plusieurs formats peuvent inspirer les entreprises. Ainsi, le code de la cybersécurité reproduit les sessions du code de la route, en mettant à disposition des participants une télécommande pour répondre à une question parmi quatre propositions. Ces séances sont l’occasion d’aborder les bonnes pratiques du quotidien comme le verrouillage des sessions, la politique de mots de passe ou les bons réflexes en cas d’impression d’un document.

Les collaborateurs peuvent également s’affronter autour de Questions pour un cyber-champion : 200 questions traitent des bases de la cybersécurité, des simples bonnes pratiques pour protéger ses données personnelles, en passant par des thèmes plus difficiles abordant les protocoles sécurisés, les attaques informatiques, ou les équipements de sécurité, etc.

Jeu de cartes, escape game : les vertus de l’apprentissage en équipe

L’apprentissage collaboratif compte parmi les solutions les plus efficaces. La discussion permet en effet de reformuler les notions, facilitant ainsi leur appropriation. Ce travail d’équipe va également participer au renforcement des liens entre les salariés. Orange Cyberdefense a par exemple conçu un jeu de cartes pour découvrir les menaces liées à la navigation sur Internet. Chaque joueur doit déjouer les attaques informatiques de ses adversaires en mettant en œuvre les bonnes pratiques de sécurité.

Pour aller plus loin, un escape game au cours duquel les participants se mettent dans la peau d’un espion offre une expérience encore plus réaliste. Par équipe de cinq, ils doivent voler une formule secrète en moins d’une heure, en tirant parti des mauvaises pratiques de sécurité (mots de passe, mauvaise manipulation de documents, etc.).

Ces vecteurs de sensibilisation ludiques et innovants viennent ainsi compléter les approches plus traditionnelles utilisées en entreprise. Ce type de démarche suscite un intérêt particulier auprès des équipes qui enrichissent leur culture en cybersécurité et adoptent des comportements plus vertueux.

Notes : *Intermedia, 2017, Data Vulnerability Report

16 Octobre 2020

THE EUROPEAN CYBERSECURITY MONTH 2020

Au programme : en savoir plus / une menace croissante / où chercher l’information ? / quels métiers ? / un exemple de cyberrésilience.

Ce mois d’octobre marque le 8e mois européen de la cybersécurité de l’Union européenne.

Pour en savoir plus sur la campagne et s’impliquer dès aujourd’hui. https://europa.eu/!Xr98gU

Une menace informatique croissante et en mutation.

Entre septembre et mi-octobre 2020 : un quartier de Londres victime d’une cyberattaque d’envergure, la ville de Besançon, Edenred, ORPEA, Groupe CMA CGM, Bridgestone Norvège, Le Ritz, Garmin. 

Il est nécessaire d’identifier le risque, de l’évaluer et de mettre en place des PCA si ceux-ci sont nécessaires.

Quelles ressources ?

Guide « Organiser un exercice de gestion de crise cyber » réalisé par l’ Agence nationale de la sécurité des systèmes d’information (ANSII) en collaboration avec le Club de la Continuite d’Activite (CCA). L’amélioration de la résilience numérique par l’entraînement à la gestion de crise cyber n’est plus seulement une opportunité, mais bien une nécessité pour toutes les organisations.
Ce nouveau guide vise à accompagner, pas à pas, les organisations dans la mise en place d’un exercice de gestion de crise d’origine cyber vraisemblable et formateur, pour les joueurs comme pour les organisateurs ;

https://lnkd.in/dfs2pQf

Revue annuelle de l’ANSII, Edition 2020, disponible sur le site de l’organisation;

Guide ANSII-AMRAE « Maîtrise du Risque Numérique », disponible sur les sites des deux organisations ;

« Anti Fraud Playbook » publié par the Association of Certificated Fraud Examiners. 

A venir :

Conférence « Du cyber risque à la cyber résilience : quels enjeux pour la direction juridique ? » animée par Philippe Cotelle, lors du Sommet du Droit en Entreprise 2020.
📌 Mercredi 25 Novembre 2020 à partir de 14h15
📌 Pavillon d’Armenonville, allée de Longchamp, Paris 75116
📌  Rendez-vous sur le site web :

https://lnkd.in/dZ4kuf9

Quels sont les métiers de la cybersécurité ?

L’ANSII vient de publier le panorama des métiers de la cybersécurité. A retrouver sur https://graces.community

Parce que la gestion des risques ça marche : un exemple de cyberrésilience.

ORPEA a résisté à une cyberattaque

Orpea a révélé avoir détecté dans la nuit du 17 septembre l’intrusion d’un logiciel malveillant sur certains de ses serveurs. Les équipes de sécurité informatique ont pris les mesures immédiates pour sécuriser les systèmes, isoler les serveurs concernés (moins de 1% de la totalité des serveurs) et fermer temporairement l’ensemble du réseau, empêchant ainsi la propagation du logiciel. Cette interruption volontaire a provoqué des perturbations sur les systèmes informatiques mais n’affecte en rien la continuité des soins et la vie sociale au sein des établissements du groupe.

Après l’analyse d’experts reconnus en cyber sécurité et grâce à la réactivité et au bon fonctionnement des systèmes de sécurité, l’ensemble des sauvegardes sont intactes et aucune donnée n’a été détruite ou transférée.

L’infrastructure informatique du groupe, ses logiciels et applications et l’ensemble des données sont sains et n’ont subi aucun dommage.

Les équipes IT et des experts externes en cyber sécurité travaillent activement pour relancer progressivement l’ensemble des serveurs et des applications.

La direction générale a souhaité que ce processus se déroule étape par étape avec une extrême vigilance, et avec toutes les précautions nécessaires. Le bon fonctionnement, tant des établissements que des services administratifs, est assuré.

Orpea a informé les autorités compétentes de cet acte de malveillance.

Régulateur/législateur amplificateur de risques. Dispositifs anticorruption : trois ans après la Loi Sapin II, où en sont les entreprises ?

Amplificateur de Risques

Comme le suggère le concept d’amplification sociale du risque, des facteurs sociaux, institutionnels et psychologiques influencent les perceptions du risque et les comportements à travers un réseau de canaux de communication qui les structurent et les transmettent socialement (Kaperson et al, 1988) ; les risques sont amplifiés et instrumentalisés par des institutions telles que le régulateur-législateur et les médias (Pidgeon et al, 2003).

Le rôle du régulateur-législateur a commencé en France avec la Loi de Sécurité Financière. L’analyse de la période 2008-2018 conduit à constater un renforcement institutionnel de l’obligation de prudence et de vérification. Sur fond de scandales et de crise, les interventions du régulateur-législateur amènent les entreprises à renforcer les systèmes de contrôle interne et de gestion des risques : loi du 3 juillet 2008, ordonnance du 8 décembre 2008 ; rapport du 8 décembre 2009 de l’AMF ; loi Sapin II du 9 décembre 2016…

La loi Sapin II vise à prévenir les risques de blanchiment des capitaux, de financement du terrorisme et de la corruption – la corruption est le fait pour toute personne de solliciter une personne dépositaire de l’autorité publique, moyennant rémunération, un acte relevant de ses fonctions -.

Elle propose six mesures pour cartographier le risque de corruption et le prévenir au niveau organisationnel et individuel. Cette loi n’oblige pas à une communication extérieure spécifique mais elle engage la responsabilité personnelle des dirigeants et celle de la société en tant que personne morale.

Nicolas Dufour et moi-même présentons davantage la loi Sapin II ainsi que les réglementations en vigueur et la soft-law (principe de précaution) dans notre ouvrage ; voir « La Fonction Risk Manager. Organisation. Méthodes et Positionnement », Ed Gereso, p.50.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

En février 2020, un peu plus de trois ans après, l’Autorité Française de Anticorruption lançait une enquête sur le niveau de maturité des dispositions anticorruption en entreprise.

L’article ci-dessous présente les principaux résultats de cette enquête, un lien pour y accéder, un article à lire ou relire sur la cartographie des risques de corruption posté sur le blog en juillet 2020

Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Un questionnaire destiné à toutes les entreprises a été transmis aux fédérations professionnelles pour diffusion à leurs adhérents.

Soit près de 2000 entreprises touchées et une collecte de données actualisées sur l’état de la prévention de la corruption dans le secteur privé

L’AFA publie ses résultats dans un rapport d’analyse. Il apporte un éclairage sur la connaissance des entreprises en matière d’atteintes à la probité et identifie différents dispositifs mis en place et axes de progrès:

– 70 % ont un dispositif de prévention perfectible pour la cartographie des risques, l’évaluation de tiers ou le positionnement du responsable de la fonction conformité.  

– focus sur les PME/ ETI non-assujetties à la loi Sapin2 (art.17), quant à leur appropriation des dispositifs anticorruption

– lien avec le plan national pluriannuel de lutte contre la corruption…

Ce diagnostic national permettra à l’AFA d’adapter davantage ses recommandations.

Lien vers le rapport d’analyse :
https://lnkd.in/efX85yY

A relire : le très bon article de Stéphanie Dominguez et Stella Vitchénian « Etablir la cartographie des risques de corruption : un défi en pratique » posté sur ce blog en juillet 2020.

A retrouver dans les archives juillet 2020 (tout en bas du menu déroulant à gauche).

Les affaires et la règlementation. Enron…Wirecard. 

Pourquoi le risque devient-t-il une variable centrale de la réflexion organisationnelle ?

Il le devient sous l’effet de cinq facteurs.

L’un de ces facteurs est l’actualité du risque et les affaires.

« Les scandales en série (Maxwell, 1991 ; Enron, 2001 ; Vivendi, 2002 ; Nike, 1990-2000) posent l’exigence de conditions nouvelles d’auditabilité du risque et de transparence. L’objectif est d’accroître la transparence et la fiabilité de l’information comptable et financière des entreprises. » En p.10 de l’ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », nous présentons de manière détaillée l’affaire Enron (2001). https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Les réglementations qui ont suivi ces affaires (Turnbull Report…loi Sarbanes Oxley…) ont posé l’exigence de nouvelles conditions d’auditabilité du risque et de transparence.

Il y en a eu beaucoup d’autres affaires depuis…Wirecard est clairement l’un d’elles.

Le premier article ci-dessous présente les détails de ce que l’on peut appeler l’affaire Wirecard.

Le second présente les similitudes entre les affaires Enron et Wirecard.

Le régulateur et le cabinet d’audit au coeur de la tempête Wirecard

Comment une entreprise cotée en Bourse, valorisée à plus de 20 milliards d’euros, a-t-elle pu s’écrouler en deux semaines? Après l’arrestation de son patron, le scandale Wirecard place le gendarme financier allemand et le cabinet d’audit EY sur le banc des accusés.

Au lendemain de la demande de mise en liquidation de la fintech Wirecard, les interrogations pullulent quant à ce qui est déjà considéré comme un « scandale sans équivalent dans le monde de la finance », selon les termes du gouvernement allemand. Après avoir reporté la publication de ses résultats à quatre reprises, Wirecard a été contrainte d’admettre que quasiment deux milliards d’euros avaient tout simplement disparu, voire jamais existés. On soupçonne son désormais ex-patron, Markus Braun, d’avoir réalisé de fausses transactions avec des tiers afin de gonfler le bilan de l’entreprise dans le but de la rendre plus attractive pour les investisseurs.

« Comment une fraude aussi audacieuse n’est pas devenue apparente Wirecard est non seulement une société cotée en Bourse à Francfort, mais elle fait de plus partie du Dax, l’indice boursier allemand de référence et la vitrine de l’économie germanique. « Comment une fraude aussi audacieuse n’est pas devenue apparente plus tôt, devra faire l’objet d’une enquête », a estimé jeudi Olav Gutting, chef de groupe CDU/CSU au Bundestag. »La BaFin (l’autorité fédérale allemande de supervision financière, NDLR) devra également répondre à des questions. »

La BaFin ne pourra échapper à une sérieuse remise en question de ses méthodes de travail. Dans une lettre envoyée jeudi soir à Steven Maijoor, le président de l’Autorité européenne de supervision des marchés financiers (ESMA), la Commission européenne demande qu’une « analyse préliminaire » soit conclue « au plus tard le 15 juillet » quant au rôle de la BaFin dans cette débâcle.

Selon les résultats de cette enquête préliminaire, il pourrait y avoir une investigation complète conduisant à la remise d’un rapport par l’ESMA. Ce rapport énumérerait les lacunes de la supervision et donnerait des instructions au gendarme allemand de la finance pour introduire des réformes dans ses méthodes de travail.

Signaux d’alarme ignorés

Si le régulateur doit affronter le courroux du monde politique, c’est parce qu’il a été informé à plusieurs reprises d’irrégularités dans les comptes de Wirecard et de pratiques douteuses dans son chef. En 2015, déjà, le Financial Times (FT) publie une enquête intitulée « House of Wirecard » dans laquelle le quotidien suggère qu’il existe un trou de 250 millions d’euros dans la comptabilité de la fintech.

Un an plus tard, plusieurs vendeurs à découvert publient une enquête sous le pseudonyme de Zatarra dans laquelle ils accusent Wirecard de procéder à du blanchiment d’argent pour le compte de sites de poker américains. Informée des faits, la BaFin ouvre une enquête pour découvrir qui se cache derrière Zatarra, estimant que ses auteurs tentent de manipuler le marché.

En janvier 2019, le Financial Times reprend ses investigations sur la fintech. Il découvre que son responsable pour la région Asie-Pacifique a fait usage de faux, blanchi de l’argent et falsifié des comptes. Quand la police de Singapour, où est basé le QG asiatique de Wirecard, perquisitionne les bureaux de l’entreprise, la BaFin réagit en empêchant les ventes à découvert sur l’action Wirecard, soulignant « son importance pour l’économie » et ouvre une enquête contre le FT, qu’elle soupçonne également de manipulation de marché.

Mea culpa

En réponse à une question parlementaire, le ministre allemand des Finances Olaf Scholz a indiqué que la BaFin avait mis plus d’un an pour se pencher sur les manipulations de marché dont était soupçonné Wirecard après le signalement d’un donneur d’alertes.

Le régulateur avait donc été avisé des faits, mais a préféré soit fermer les yeux, soit attaquer ceux qui avaient eu l’outrecuidance de dénoncer les actes frauduleux. Face à un tel constat, plusieurs députés ont demandé la démission du patron de la BaFin, Felix Hufeld.

Après quelques tergiversations, celui-ci a publiquement présenté ses excuses lundi. Il estime que la BaFin fait partie des institutions responsables de ce « désastre complet », en ayant failli à son rôle de supervision. Il s’est engagé à régler les manquements apparus dans le fonctionnement de l’autorité, mais a également tenté de faire porter le chapeau à d’autres, précisant que la direction de Wirecard ainsi que « plusieurs commissaires aux comptes » ont failli dans leurs missions.

Audit défaillant

L’attaque se dirige plus spécifiquement sur EY, l’un des quatre principaux bureaux d’audit et de conseil dans le monde. C’est en effet l’ancienne Ernst & Young qui auditait les comptes de la fintech allemande depuis 2011 et c’est elle qui a refusé ce mois-ci de les valider. 

« Une société cotée en Bourse doit en principe d’abord faire ses comptes en interne, ceux-ci sont ensuite approuvés par le conseil d’administration, avant de faire l’objet de l’analyse d’un réviseur. Ces comptes sont alors transmis avec le rapport du réviseur à l’assemblée générale, qui peut poser des questions avant de les approuver ou de les rejeter », explique Eric Steghers, directeur général de l’Institut des experts-comptables et des conseils fiscaux.

Le rôle du réviseur est ainsi de vérifier les comptes, pas de détecter les fraudes. « Les comptes doivent correspondre à une situation, c’est cela que regarde le réviseur. »

EY a eu le nez plongé dans le bilan de Wirecard pendant neuf ans. Le fait que le géant de l’audit dénonce aujourd’hui une fraude massive dans le chef de son client peut ressembler à une fuite en avant. « L’auditeur a failli, pas parce qu’il n’a pas découvert la fraude, mais parce qu’il est totalement passé à côté de l’essentiel dans les comptes », estime un ancien auditeur qui a passé plus de dix ans dans le secteur.

 

Image salie

« Plusieurs cas de figure peuvent se présenter, le plus grave étant une collusion entre le cabinet et l’entreprise« , pointe-t-il. Il se pourrait également que le commissaire aux comptes n’ait pas réalisé correctement sa diligence, ou qu’il ait réalisé son travail en toute bonne foi, mais que son client ait réussi à particulièrement bien maquiller sa fraude.

Ce vendredi, le FT révélait que EY n’avait plus demandé d’information à la banque de référence de Wirecard à Singapour depuis trois ans. L’établissement était pourtant supposé conserver un milliard de dollars de liquidités pour le compte de la fintech. Cette procédure de routine aurait permis de déceler la fraude très rapidement.

EY voit son image une nouvelle fois éreintée. Le cabinet, qui déclare poursuivre son travail sans faire de commentaire, traîne déjà quelques casseroles derrière lui. Le régulateur britannique, le Financial Reporting Council (FRC), enquête sur lui dans le cadre de l’affaire NMC Health, un groupe hospitalier parvenu à dissimuler les deux tiers de sa dette et par rapport au dossier de Thomas Cook, le voyagiste tombé en faillite l’année passée. EY est suspecté d’avoir manqué à sa mission dans les deux cas.

Il est encore trop tôt pour évaluer la puissance de l’onde de choc du scandale Wirecard, mais il semble certain que, tant les fintechs, que les régulateurs et les cabinets d’audit ne travailleront désormais plus de la même manière…

OLIVIER SAMOIS 

26 juin 2020 20:37

Enron. Le scandale, il y a 20 ans, était un parfait exemple de la matérialisation d’un énorme risque opérationnel (pour Enron, classé par Fortune le magazine « l’entreprise la plus innovante d’Amérique » entre 1996 et 2000) et du risque de réputation (pour leurs auditeurs, Arthur Andersen & Co., alors l’un des 5 grands cabinets d’experts-comptables), conduisant à l’effondrement des deux sociétés.

S’il est trop tôt pour connaître l’issue exacte de ce qu’on a appelé « l’Enron allemand » Wirecard impliquant, cet article revient sur les premiers indicateurs présentant des similitudes entre les deux scandales.

Wirecard, Enron et panneaux d’avertissement sur deux décennies.

L’auteur George Santayana a écrit: «Ceux qui ne se souviennent pas du passé sont condamnés à le répéter.» Et Mark Twain a écrit: « L’histoire ne se répète pas, mais elle rime souvent ».

Pourrions-nous former un couplet d’Enron pour marquer le début du millénaire et Wirecard pour marquer la fin des années 2010?

Dans l’état actuel des choses, Wirecard s’annonce comme l’une des plus grandes fraudes financières depuis des années, établissant au moins quelques comparaisons avec Enron des décennies passées. Ce sont des industries différentes, bien sûr – Enron a fait sa maison (et sa tombe) dans l’énergie, et Wirecard est un processeur de paiements. Mais malgré les verticales disparates, certains des signes avant-coureurs font écho.

Prix ​​des actions de la fusée? Sûr. Il y a dix ans, les actions Wirecard se négociaient à un faible taux à un chiffre et atteignaient 200 euros en 2018. Les actions d’Enron ont culminé à environ 90 $ à l’été 2000, après avoir commencé l’année à environ 40 $.

L’augmentation rapide des cours des actions laisse présager de l’optimisme que l’horizon (et les bénéfices) restent clairs pour les entreprises.

Les deux entreprises ont promis de transformer leurs industries. Wirecard, axé sur les paiements en ligne, a créé ces dernières années Boon, un système de paiement par application mobile lié à l’Europe, et a proposé WeChat Pay aux marchands européens aussi récemment que cette année. Enron a mis le doigt sur tout, du gaz naturel aux réseaux Internet.

La sonnette d’alarme avait sonné pour les deux entreprises avant que les choses ne se déroulent. Pour Wirecard, les racines d’un examen plus approfondi de ce qui se passait dans les coulisses peuvent être retracées dans un article du Financial Times (FT) du début de 2019 qui disait que la société avait falsifié des documents liés aux activités asiatiques de Wirecard dans le but d’induire les régulateurs en erreur.

Une couverture plus tardive de l’année a indiqué que les résultats des filiales avaient été gonflés. Le New York Times a noté le 26 juin que les services de recherche sur les actions ciblant les vendeurs à découvert (qui parient que les prix vont baisser) signalaient que Wirecard était un «château de cartes».

Puis le ralentissement rapide – et l’insolvabilité. Enron a déposé son bilan en 2001 après que des irrégularités comptables ont fait surface; une grande partie des activités commerciales de la société – comptabilisées en tant que revenus et bénéfices – avait été réalisée par le biais d’entités ad hoc (où elle détenait des participations). Wirecard, selon FT en février 2019, s’était engagé dans un «round trip». Dans le cadre de cette activité, selon le journal, l’argent quitterait la banque de Wirecard détenue en Allemagne, «montrerait son visage au bilan d’une filiale dormante à Hong Kong, partirait pour s’asseoir momentanément dans les livres d’un« client »externe», puis voyagerait retour aux opérations de Wirecard en Inde pour être comptabilisé en tant que revenu.

Plus récemment, Wirecard a déclaré qu’environ 2,1 milliards de dollars de soldes de compte qui ne peuvent pas être retracés « n’existent pas ».

L’histoire a encore des jambes, bien sûr, car ces dernières semaines, la banque centrale des Philippines a déclaré qu’il n’y avait aucun signe que les 2,1 milliards de dollars avaient été déposés en premier lieu. Les banques citées – BDO Unibank Inc. et BPI – avaient été utilisées pour « induire en erreur » les enquêteurs, selon la banque centrale.

Ailleurs, comme l’a noté le New York Times, le fournisseur de recherche indépendant The Analyst, basé à Londres (et où le partenaire fondateur Mark Hiley a qualifié Wirecard de « château de cartes ») a soulevé des questions sur les acquisitions Wirecard d’acquéreurs marchands et sur la performance financière de ces acquisitions.

« Lorsque vous avez examiné les documents financiers des entreprises locales, vous avez pu constater qu’il s’agissait de très petites entreprises, avec des revenus très faibles et une rentabilité limitée », a déclaré Hiley, cité dans le Times. « Nous étions inquiets: pourquoi payaient-ils autant d’argent pour ces petites entreprises à peine rentables? »

Et maintenant, Wirecard a déposé un dossier d’insolvabilité en partie en raison du «surendettement», les prêts d’une valeur cumulée de 1,3 milliard d’euros (1,46 milliard de dollars) venant à échéance le 1er juillet.

À certains égards, au moins dans cette histoire de deux montées et descentes spectaculaires s’étalant sur 2000 et 2020, l’histoire ne s’est peut-être pas répétée, mais elle a certainement des échos familiers.

Même s’ils ne riment pas.

Risque de réputation. Définition, illustration à travers les affaires NIKE, 1990-2000, 2020 

Dans notre ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », Editions Gereso, 2019, Nicolas Dufour et moi-même reprenons la définition de Rayner (2003). Il définit le risque de réputation comme « toute action, évènement ou circonstance qui pourrait avoir un impact positif ou négatif sur la réputation d’un organisme…ou encore… comme un ensemble de perceptions et opinions présentes ou passées sur un organisme, nichées dans la conscience des parties prenantes. »

Contrefaçons, rumeurs, guerre économique, diffamation…sont autant de vecteurs de risques que l’entreprise devra contrôler afin de maîtriser son image. Les risques associés à l’image ou à la réputation de l’entreprise ne sont pas dédiés aux grandes entreprises. Ils sont également un enjeu pour chaque PME-PMI, ETI.

Nous l’illustrons à travers « l’affaire Nike ».

Vous trouverez ci-dessous un extrait des faits reprochés à Nike et qui ont affecté sa réputation (p.39).

« En résumé, Nike a opté pour une stratégie basée sur une forte capacité d’innovation, un marketing agressif mettant en scène des superstars du monde sportif… Cette stratégie a relativement bien fonctionné, jusqu’à ce qu’elle fasse l’objet de critiques véhémentes par des activistes, dénonçant les pratiques des sous-traitants, considérées comme non conformes à l’éthique communément acceptée dans les pays développés. Au nombre des pratiques dénoncées, figuraient en bonne place le non-respect de certaines conventions internationales portant, entre autres, sur la liberté syndicale, les conditions de travail, le travail forcé, le travail des enfants et les questions salariales…

Puis un article écrit par O.Cimelière, Directeur-adjoint ESJ Entreprise sur la nouvelle tourmente qui affecte de nouveau la réputation de l’entreprise.  

« Dr Jekyll & Mr Nike : De la nécessité impérative d’avoir une communication RSE alignée pour sa réputation

Très active durant les mouvements de protestation liés à #BlackLivesMatter, la marque Nike se retrouve actuellement confrontée à des mises en accusations graves de la part d’une ONG australienne et du député européen Raphaël Glucksmann. L’entreprise s’approvisionnerait auprès d’usines chinoises où la minorité ouïghoure est réduite en esclavage. Jusqu’où tolérer un grand écart réputationnel sans s’égarer dans le « woke washing » ? Analyse.

Il s’intitule sobrement « You can’t stop us ». En 1 minute 30, le dernier film publicitaire de Nike magnifie le monde du sport dont les événements et les compétitions ont dû être annulés ou reportés durant la pandémie du coronavirus. Depuis fin juillet, ce vibrant appel à la résilience et à la volonté a été visionné 50 millions de fois à ce jour sur YouTube. La marque au swosh est familière de ces messages engagés et puissants qu’elle égrène au fil des mois. En mai dernier, c’était le spot « « We are never too far down to come back » qui invitait au relèvement après d’éprouvantes semaines de confinement en jouant avec l’allégorie de grands sportifs mythiques ayant vécu l’échec avant de retrouver le sommet. Sur YouTube, plus 1,1 millions de personnes ont plébiscité le film.

Il est pourtant un sujet actuel où Nike est étonnamment aux abonnés absents malgré les likes qui s’empilent en sa défaveur et les messages d’exhortation qui circulent sur les réseaux sociaux et dans des pétitions en ligne : le travail forcé des Ouïghours dans des usines chinoises manufacturant des produits textile pour la marque. Peut-on sincèrement être #BlackLivesMatter et fermer les yeux par ailleurs sur des atteintes fondamentales aux Droits de l’Homme ?

Nike, esclavagiste par procuration ?

L’épineux dossier des Ouïghours éclate début mars 2020 avec les révélations d’un rapport très fouillé de l’ONG australienne, Australian Strategic Policy Institute (ASPI). Dans celui-ci, il est question de la déportation de plus de 80 000 Ouïghours, une population turcophone et majoritairement musulmane vivant dans la région chinoise du Xinjiang. Depuis des années, celle-ci est persécutée par le régime central de Pékin qui entend dissoudre la culture ouïghoure en internant des millions de personnes dans des camps de rééducation (lire à ce sujet les articles conseillés en bas de l’article). Or, dans ces camps, l’ONG explique qu’entre 2017 et 2019, 80 000 d’entre elles ont été transférées de force pour travailler dans des usines chinoises (1) « appartenant aux chaînes d’approvisionnement de 83 marques connues mondialement dans la technologie, le textile et l’automobile. Des usines recourent au travail forcé des Ouïghours dans le cadre d’un mécanisme de transfert encadré par l’Etat (chinois), ce qui entache des chaînes de production à l’échelle mondiale ».

Nike n’est certes pas la seule marque emblématique pointée du doigt. A ses côtés, on retrouve d’autres noms illustres comme Apple, Samsung, BMW, Adidas ou encore Lacoste. En revanche, elle est sûrement celle qui interpelle le plus du fait de son activisme sociétal prononcé aux Etats-Unis et ailleurs. Souvent prompte à dénoncer la ségrégation raciale et à soutenir des sportifs engagés comme Colin Kaepernick ou Megan Rapinoe, Nike se veut une entreprise à raison d’être assumée et incarnée. Dans son rapport, l’ONG australienne s’appesantit toutefois particulièrement sur l’usine de Quingdao Taekwang Shoes qui fait travailler de force 600 ouvrières et qui est un établissement important pour Nike (2) : « Il s’agit pour la majorité de femmes ouïghoures des préfectures du Hotan et du Kashgar, considérées par le gouvernement chinois comme ‘arriérées’ et ‘contaminées par l’extrémisme religieux’. A l’usine, les ouvrières ouïghoures fabriquent des chaussures Nike pendant la journée. Le soir, elles sont obligées de suivre des cours où elles étudient le mandarin, chantent l’hymne national chinois et reçoivent des leçons d’éducation patriotique ».

Nike, do you hear us ?

La mise en cause de l’ONG n’a pourtant pas vraiment fait bouger l’entreprise. A la suite de la publication du rapport, Nike se retranche d’abord derrière le communiqué officiel du syndicat de branche « Retail Industry Leaders Association » qui précise notamment que des actions vont être engagées mais que ce problème ne peut être résolu par le seul truchement des entreprises et requiert une implication plus poussée du gouvernement américain (3).

Fin juin 2020, c’est le député européen Raphaël Glucksmann qui décide de remettre la pression sur le sujet. Depuis ses comptes Twitter et Instagram, il hèle publiquement Nike mais aussi Adidas et Lacoste à propos des conditions inhumaines que subissent les Ouïghours dans les usines chinoises qui fabriquent pour leur compte. Assez rapidement, Adidas et Lacoste reçoivent l’élu européen et prennent des engagements clairs pour changer les prestataires de leur chaîne d’approvisionnement et de production. En revanche, Nike fait la sourde oreille aux requêtes du philosophe qui tweete (4) : « Nike n’a pas répondu à nos demandes précises. Ce rejet de la transparence souligne l’importance cruciale de notre combat au Parlement pour une législation européenne sur le devoir de vigilance des entreprises. Là où le volontariat ne suffit pas, il faut imposer par la loi ». Et les internautes d’essayer de lancer un boycott de la marque récalcitrante.

Un démenti ambivalent

Courant juillet, Nike se décide enfin à sortir du bois avec un communiqué diffusé sur le site Web corporate. La marque au swosh réfute les assertions contenues dans le rapport de l’ASPI qu’elle qualifie d’inexactes. Elle explique ensuite que l’entreprise est particulièrement pointilleuse en matière de respect des Droits humains et qu’elle s’efforce de faire appliquer son Code de Conduite à ses partenaires et fournisseurs. Concernant l’usine de Qingdao Taekwang Shoes plus particulièrement vilipendée, elle précise qu’après avoir été alertée en 2019, elle a enjoint l’établissement à arrêter d’employer des ouvriers ouïghours en provenance de la région autonome du Xinjiang (5) et que les effectifs actuels n’en comptent plus.

Le plaidoyer ne semble pas convaincre tout le monde, à commencer par Gordon G. Chang, un auteur et éditorialiste américain. Il fait notamment référence à un reportage publié en Février 2020 par The Washington Post. Le journaliste y raconte qu’il a vu des ouvriers ouïghours travailler et être effrayés de parler à des interlocuteurs étrangers dans l’usine de Taekwang, par ailleurs fournisseur de Nike depuis 30 ans à raison de 8 millions de paires de chaussures de sport produites annuellement (6). Un témoignage qui vient donc quelque peu contredire les allégations de Nike dans son communiqué.

Schéma extrait du rapport de l’ASPI

Risque de résurgence d’un passé embarrassant

Avec la controverse sur le travail forcé des Ouïghours, la marque sportive joue avec le feu en termes de réputation. C’est en effet loin d’être la première fois que celle-ci se voit morigéner pour laisser perdurer des dérives dans les usines de ses fournisseurs (Nike ne possédant pas de sites de production en propre). Déjà dans les années 70, la marque avait été blâmée pour recourir à des ateliers de misère (les tristement connus « sweatshops ») en Chine, à Taïwan et en Corée du Sud. Des accusations qui sont réitérées en 1991 par des activistes qui dénoncent des dérives similaires en Indonésie. Un film intitulé « Behind the swosh » est même consacré au sujet. Rebelote en 1996 avec le magazine Life qui publie en particulier une photo qui va faire mondialement sensation (et réaction !). Celle-ci montre un enfant de 12 ans en train de coudre un ballon de football estampillé Nike.

C’est en 1998 que Nike commence à prendre la mesure du problème d’image qui ternit grandement la réputation de l’entreprise et de ses produits. Phil Knight, fondateur de Nike et PDG jusqu’en 2006, finit par admettre que sa société doit prendre sa part de responsabilité d’autant que l’opinion publique s’émeut ouvertement (7) : « Le produit Nike est devenu synonyme de salaires d’esclave, de travail forcé sans limite et d’abus arbitraires ». Malgré des actions concrètes réalisées sur le terrain, Nike éprouve des difficultés à se défaire de cette encombrante réputation d’entreprise méchante.

Une réputation entretenue de surcroît par les organisations activistes particulièrement suspicieuses et à l’affût du moindre dérapage. Lequel intervient à nouveau en 2006 à l’ouverture de la Coupe du Monde de football où de nouvelles photos d’enfants pakistanais cousant des ballons sont dévoilées. L’électrochoc est cette fois sévère. Nike rompt son contrat avec le fabricant en cause et rappelle les ballons pour un coût de 100 millions de dollars (8).

© Marie DORIGNY

Nike prend le taureau par les cornes

Depuis ces déboires, Nike a démontré un engagement nettement plus solide sur les questions de responsabilité sociétale. En 2013, la société va même prendre une décision radicale qui ne fut pas sans aller avec quelques débats houleux et réticents en interne avec les responsables des achats. À la suite des alertes répétées de Hannah Jones, vice-présidente de Nike en charge du développement durable et de l’innovation, sur les conditions de travail régnant au Bangladesh, Nike met un terme aux contrats passés avec plusieurs fournisseurs. Quelques semaines plus tard (le 24 avril 2013 précisément), une grande usine de confection, le Rana Plaza, s’écroule et tue 1135 personnes travaillant pour des marques de textile occidentales à des salaires miséreux et avec un niveau de sécurité inexistant. Nike ne fera pas partie des sociétés alors épinglées par les ONG et les médias.

L’affaire du travail forcé des Ouïghours remet le projecteur sur cet incessant pas-de-deux qui tiraille en permanence nombre d’entreprises occidentales et auquel Nike n’échappe pas. Si la question de l’éthique et de la responsabilité sociétale a concrètement avancé (mais il reste du chemin), il n’en demeure pas moins que les discussions demeurent âpres en interne pour parvenir à concilier la maîtrise des coûts de production et la décence des conditions de travail dans les pays où la main d’œuvre est moins chère. En réagissant bien tardivement dans la foulée de sa mise en cause sur le sujet des Ouïghours, Nike met en péril une réputation longtemps mise à mal puis rebâtie à force d’opiniâtreté et de concrétude.

Le cas d’école Boohoo en Grande-Bretagne

Pour s’en convaincre, il suffit de se référer aux récents avatars de Boohoo. Cette marque britannique de commerce en ligne de produits textiles se veut un parangon en matière d’éthique, de conformité, de transparence envers ses salariés mais aussi de production locale (c’est-à-dire au Royaume-Uni). Pourtant, en juillet 2020, une enquête du Sunday Times jette un gros pavé dans la mare. Le journaliste s’est infiltré dans l’atelier de confection d’un sous-traitant basé à Leicester où il met en lumière les conditions de travail déplorables des ouvriers. Depuis les révélations du Sunday Times, l’action qui a valu jusqu’à 4,15 livres à mi-juin 2020, a dévissé jusqu’à 2,10 livres à la mi-juillet (9). Banques, analystes et investisseurs regimbent désormais à accorder des lignes de crédit jugées non responsables pour une entreprise qui ne joint pas vraiment la parole aux actes.

La dichotomie entre impératifs de rentabilité et de compétitivité et exigences RSE va sans nul doute encore peser sur les stratégies de communication et de responsabilité sociale et environnementale. Il est fort à parier que d’autres entreprises à l’instar de Nike ou Boohoo, se feront encore pincer pour ce grand écart réputationnel. Il n’en demeure pas moins qu’il est fortement souhaitable de voir la dimension RSE s’imposer en lieu et place de la marge financière à tout prix. Ne pas le faire, c’est s’exposer à des violents retours de bâton où la réputation est ternie et non sans un certain impact sur les ventes mais aussi sur la durabilité des emplois. La route est longue mais elle vaut le coup. Entre Dr Jekyll et Mr Nike, il faudra trancher ! »

Source

– (1) – « Apple, Volkswagen, Nike associés au travail forcé de la minorité ouïghour en Chine » – Les Echos – 2 mars 2020
– (2) – « Chine : les Ouïghours transférés en masse pour travailler dans des usines fournissant Apple, Nike ou Sony » – TV5 Monde – 2 mars 2020
– (3) – Communiqué officiel de la Retail Industry Leaders Association – 10 mars 2020
– (4) – Reuben Attia – « Nike : pourquoi des internautes appellent-ils au boycott de la marque ? » – GQ Magazine – 10 juillet 2020
– (5) – Communiqué officiel de Nike – 21 juillet 2020 –
– (6) – Jilil Kashgari & Joshua Lipes – « Nike Says China-based Supplier Sent All Uyghur Workers Home Amid Forced Labor Allegations » – Radio Free Asia – 21 juillet 2020
– (7) – « Nike and child labour – how it went from laggard to leader » – Mallen Baker – 29 février 2016
– (8) – Ibid.
– (9) – Isabelle Couet – « L’affaire Boohoo, un cas d’école pour l’investissement responsable » – Les Echos – 22 juillet 2020

Pour en savoir plus sur le drame des Ouïghours

– Richard Artz – « Persécution de la minorité ouïghoure: Pékin dément et poursuit ses méthodes » – Slate – 11 août 2020
– Robin Tutinges – « Camps, arrestations, répression: cinq Ouïghours témoignent » – Slate – 19 juillet 2020
– Joshua Keating – « La Chine montre la voie de l’épuration ethnique en toute impunité » – Slate – 26 novembre 2019

Une rentrée 2020 sur le risque environnemental : 

• le 3 septembre : Risque environnemental. Définition et illustration à partir du cas Lafarge
• le 11 septembre : Préjudice écologique et responsabilité environnementale. Quelle responsabilité pour l’entreprise ? Poscast à écouter.

A suivre : le risque et les affaires. retour sur l’affaire Wirecard.

Je terminerai l’année universitaire sur ce conseil de lecture. Ce sera le dernier post.

Avant dernier post avant la déconnexion estivale. A écouter. La Cybersécurité : tous concernés !

Un grand merci à la Mêlée Numérique de m’avoir permis de participer à la première édition Jobstic 100% en ligne ! 🤩 Initialement prévue le 25 mars, elle s’est tenu en ligne la 25 juin. Super organisation !

Stéphanie BUSCAYRET – Chief Information Security Officer (CISO)  du groupe LATECOERE – , classée dans les « 100 français qui comptent dans la Cybersécurité », Rémy DAUDIGNY – Délégué Occitanie de l’ANSII -, Laurent Simeoni – Chargé de Mission Lutte contre la cybercriminalité à POLE EMPLOI -, Fabrice Vermande – Product Security Engineer au sein du groupe AIRBUS – et moi-même avons participé à la première table ronde :

 » Cybersécurité, tous concernés ».

Si vous souhaitez nous écouter, voir ou revoir les tables rondes et l’atelier, c’est par ici 👉 https://lnkd.in/gdJyziu

La cartographie des risques de corruption 

Le législateur a adopté des textes ciblant des risques spécifiques : financier et éthiques. Ils ont en commun de conduire les entreprises à mettre en place des plans d’actions de prévention et de renforcer la responsabilité des dirigeants.

La loi Sapin II du 9 décembre 2016 vise à prévenir les risques de blanchiment des capitaux, de financement du terrorisme et de la corruption – la corruption est le fait pour toute personne de solliciter une personne dépositaire de l’autorité publique, moyennant rémunération, un acte relevant de ses fonctions -.

Elle propose six mesures pour cartographier le risque de corruption et le prévenir au niveau organisationnel et individuel. Cette loi n’oblige pas à une communication extérieure spécifique mais elle engage la responsabilité personnelle des dirigeants et celle de la société en tant que personne morale.

Nicolas Dufour et moi-même présentons davantage la loi Sapin II dans notre ouvrage ; voir « La Fonction Risk Manager. Organisation. Méthodes et Positionnement », Ed Gereso, p.50.

L’article ci-dessous réfléchit à la manière de construire une cartographie des risques de corruption.

La démarche est une démarche « classique » de construction d’une cartographie (voir Chapitre 4, Méthodes, démarches et outils des Risk Managers de notre ouvrage, p.127). Les grandes étapes sont :

• d’identifier les risques, passés, présents et émergents ;
• d’évaluer le niveau de criticité des risques en tenant compte de leur probabilité de survenance et de leur impact ;
• de hiérarchiser les risques ;
• d’identifier les zones de risques insuffisamment couvertes par le dispositif de maîtrise ;
• de mettre en place des plans d’actions et des outils de reporting.

La démarche présente certaines spécificités propres aux risques de corruption évoqués dans l’article.

Vous y retrouverez également une approche de la gestion des risques et des outils utilisés qui me sont chère et que je développe dans mes travaux (voir Chapitre 2, L’activité des Risk Managers de notre ouvrage, p.94) :

• la connexion avec les opérationnels et les processus / l’implication de la direction générale / la collaboration avec les autres fonctions pour mettre en place la démarche
• les ateliers et les entretiens individuels pour identifier et évaluer les risques ;
• la responsabilisation des acteurs et la proactivité pour les analyser et les suivre.

La gestion des risques et la cartographie deviennent ainsi des outils de pilotage – évolutifs et vecteurs d’innovation -.

Etablir la cartographie des risques de corruption : un défi en pratique

« Près de 3 ans après l’entrée en vigueur de la loi Sapin II, bon nombre d’interrogations planent encore quant à la meilleure méthodologie à déployer pour construire une cartographie des risques de corruption. Dans leur chronique, Stéphanie Dominguez, senior manager et Stella Vitchénian, associée global assurance, gestion des risques, contrôle interne et conformité chez KPMG France, nous livrent leur mode d’emploi.

Le sujet de la cartographie des risques reste sensible et l’exercice relativement technique. Si certaines modalités de réalisation sont communes à tous les exercices de cartographie, d’autres relèvent d’un dispositif plus spécifique, propre aux particularités de ce domaine de risques. Pour apporter un éclairage sur la question, il peut être utile de balayer quelques idées reçues.

Gestion des risques et conformité

Il est établi aujourd’hui que réaliser une cartographie des risques de corruption efficace et pertinente est un exercice qui fait appel à deux expertises cumulatives et complémentaires : une expertise de la conformité (ou compliance) d’une part et une expertise méthodologique de la gestion des risques d’autre part. Ceci étant dit, la fonction conformité n’est pas toujours portée par quelqu’un qui possède ces deux expertises. Il est donc courant dans cette situation que les sociétés fassent appel – et c’est une pratique tout à fait légitime – à un soutien externe, nécessaire pour ne pas avoir à réitérer / revisiter l’exercice à courte échéance voire à revoir complètement la méthodologie a posteriori.

Ce que la cartographie n’est pas…

La cartographie des risques de corruption n’est pas un audit et encore moins une investigation, il s’agit d’avoir une image à un instant donné des zones d’exposition potentielles et des risques de corruption susceptibles de survenir au sein de son entreprise.

La cartographie des risques doit intégrer l’ensemble des dimensions des risques de corruption affectant une entité. Pour autant, la cartographie des risques de corruption n’est pas une liste exhaustive de l’ensemble des risques auxquels est exposée une entité. Elle doit être adaptée au contexte de l’entreprise. Elle ne fonctionne pas seule et doit être reliée à la cartographie des risques globaux et opérationnels du groupe pour avoir une vraie cohérence.

Ce dispositif ne doit pas être le fruit d’une réflexion théorique et très chronophage pour les opérationnels, déconnectée des opérations, des processus et de l’environnement de gestion des risques et de contrôle interne de l’entreprise. Elle ne devrait pas non plus être un outil complexe et sophistiqué, ni un instrument destiné exclusivement au management.

Une cartographie pertinente doit au contraire se concevoir pour devenir un outil de pilotage utile à tous et constituer le socle du déploiement du programme de conformité de l’entreprise, et ce de façon différenciée et éclairée dans toutes ses strates. Il doit s’agir d’un outil utile, opérationnel, homogène mais évolutif. Véritable pierre angulaire, elle permettra au responsable de la conformité –  group compliance officer, responsable ou directeur de la conformité ou toute autre personne qui pilote officiellement la fonction conformité au sein de l’entreprise – de responsabiliser les acteurs du dispositif de prévention, de coordonner les actions engagées ou à engager, d’apprécier leur efficacité et leur degré de maîtrise et de suivre le plan de déploiement et d’amélioration continue de son programme de conformité au sein de l’organisation.

Sensibilisation, diplomatie et écoute

La cartographie étant un exercice interne destiné à recenser les risques de l’entreprise et mieux comprendre les ressorts de leur survenance, le responsable de la conformité adaptera, en accord avec sa direction, la méthode employée à la taille, la (les) zone(s) géographique(s) où le groupe opère ou est implanté, la nature des activités exercées ainsi qu’aux caractéristiques des tiers avec lesquels le groupe interagit dans la marche de ses affaires. Il peut choisir de collecter les informations relatives aux facteurs de risques et d’exposition à la corruption au travers d’ateliers, par entretiens individuels ou encore – mais c’est le moins souhaitable si l’analyse se limite à cela – via l’administration de questionnaires d’évaluation, envoyés aux opérationnels et au management.

Chaque technique est acceptable tant qu’elle est adaptée et que la société est capable – lors d’un audit du régulateur et en conformité avec les recommandations de celui-ci – d’expliciter, documenter et justifier de façon rationnelle et suffisamment robuste les choix méthodologiques retenus.

Par exemple, en pratique, effectuer un unique atelier de 2h réunissant une quinzaine de managers et d’opérationnels pour recenser les risques de corruption de l’ensemble de la zone Europe d’un groupe présent dans 17 pays paraîtra certainement insuffisant.

Au contraire, passer en revue un certain nombre d’indicateurs choisis, exogènes et endogènes, pré-identifier les zones, processus et transactions les plus exposés, puis lancer une mission, avec ou sans aide extérieure, d’un mois avec 15 entretiens individuels de 2h chacun sur les 2 sites d’implantation en Inde par exemple afin d’effectuer une cartographie des risques de corruption adaptée au pays pourra constituer un bon niveau de granularité, ou du moins permettre une meilleure appréhension du niveau de risques de corruption par la direction.

Les entretiens, dont il convient de conserver une trace écrite, doivent refléter l’implication de la direction et de ses collaborateurs. Ceux-ci s’efforceront d’examiner lors des entretiens pour chacun des principaux processus métiers les facteurs de risques et les procédures attenantes, les dispositifs de contrôles existants et les axes d’amélioration à mettre en œuvre par la suite. De plus, il est nécessaire de veiller à la cohérence entre le verbatim collecté lors des entretiens et les notations remontées (criticité du risque ou degré de maîtrise des activités de contrôle) afin de garantir le sérieux et l’implication de l’exercice effectué par tous.

Jusqu’où doit-on aller et à quel niveau de granularité doit-on descendre pour examiner les processus visés ? 

A cette question, il n’y a pas de réponse toute faite et préétablie. Le champ de l’examen est à construire avec les personnes interrogées : si l’entretien du directeur des ressources humaines par exemple, fait ressortir des failles dans les procédures de notes de frais, le responsable de la conformité devra s’intéresser plus particulièrement à ces procédures.

Il faut garder à l’esprit que la construction d’un programme de conformité n’est pas une obligation de résultats mais bien une obligation de moyens, encore faut-il que ces moyens soient réellement donnés par la direction.

L’exercice de cartographie : le premier acte fort d’engagement de l’instance dirigeante ! 

En effet, l’engagement de l’instance dirigeante se reflète d’abord et avant tout dans l’efficacité de la méthodologie déployée, les moyens alloués et le niveau élevé des équipes mobilisées pour aider le compliance officer dans cet exercice.

Dans ce projet stratégique et lourd pour la société, l’erreur est admise. Cependant, le fait d’omettre de faire ressortir le risque de corruption dans un pays donné sous prétexte que son plan d’action sera intégré à ceux des autres pays de la zone géographique à laquelle il appartient peut être considérée comme une autre manière de minimiser la perception des risques pour le groupe.

La bonne pratique réside donc très certainement dans le fait de mettre en avant le choix stratégique de la direction de la société : prioriser son implication pour combattre la corruption au sein du groupe et dans ses filiales plutôt que de réaliser l’exercice à l’économie, en sous estimant les risques, notamment à l’international, en ne faisant preuve que d’un effort faible.

Y-a-t-il un pilote dans l’avion ?

On l’a dit, il est attendu que le responsable de la conformité pilote cet exercice crucial de cartographie avec le soutien réel et visible de l’instance dirigeante au siège comme sur les sites français ou étrangers car de cet exercice dépend le plan d’actions du programme de conformité qui sera porté pendant plusieurs années.

Or, le responsable de la conformité ne pilote pas seul, il sera soutenu par le management, la gouvernance de l’entreprise et les acteurs clés de l’environnement de contrôle du groupe : du comité exécutif au conseil d’administration et à ses comités spécialisés tel le comité d’audit, de la direction des ressources humaines au directeur juridique ou financier, de l’audit interne au contrôle interne et au risk manager, l’implication de tous est la condition de la réussite de ce travail d’équipe, qui s’inscrit dans un projet d’amélioration continue du groupe, en accord avec les valeurs du groupe, stratégique et d’avenir si celui-ci veut présenter sa candidature devant un fonds d’investissement par exemple.

En conclusion, une cartographie non validée par la gouvernance est très vraisemblablement un exercice voué à l’échec. Un plan d’actions non suivi par le comité de direction produira un programme de conformité inutile.

Lorsqu’il est construit sur une analyse pertinente des risques et au-delà du seul impératif juridique, un engagement volontaire, proactif peut faire de ce programme de conformité un avantage compétitif, une valeur commerciale, mais aussi un vecteur d’innovation sur le plan des process opérationnels, des organisations, des outils ou du reporting.

Lorsque l’entreprise n’a pas été sanctionnée par une autorité française ou étrangère, c’est pour elle le moment où il est plus facile et stratégique de structurer et de « penser » son programme de conformité de la manière la plus efficace, homogène et en intégrant ses démarches dans l’amélioration continue et globale du groupe. Cette opportunité se fait de plus en plus rare, il ne tient qu’aux sociétés de se lancer aujourd’hui. »

15/06/2020