Tous les articles par carolineaubry

Risques de corruption. Dispositifs anti-corruption : des progrès à faire

Dans les archives mensuelles (situées tout en bas à gauche de la page) ou en recherchant « Risque de corruption » retrouver et relire :

  1. Loi Sapin : rôle du régulateur-législateur et résumé de la loi / article « Trois ans après, où en sont les entreprises ? » ; Archives octobre 2020
  2. Cartographies de risques de corruption ; Archives juillet 2020

Aujourd’hui après la présentation de la loi, le bilan à N+3 et la présentation de l’outil de gestion des risques, je vous propose un article sur les progrès dans la mise en place des plans d’actions anti-corruption.

Dispositifs anti-corruption : des progrès à faire

Grant Thornton a publié début octobre la 3e édition de son baromètre sur les dispositifs anti-corruption des entreprises. Axé cette année sur la maturité, il constate des progrès dans tous les domaines mais pointe également de nombreux retards.

Près de 4 ans après l’instauration de la loi Sapin 2, où en sont les entreprises en termes de dispositifs anti-corruption ? C’est la question à laquelle le Baromètre de Grant Thornton consacré au sujet essaie de répondre, pour la troisième année consécutive. « Le constat général est qu’il y a des progrès dans tous les domaines même si c’est parfois un peu poussif », résume Nicolas Guillaume, Business Risk Services & Forensic Lead Associé chez Grant Thornton qui a supervisé la réalisation de ce baromètre. Il reconnaît cependant que le baromètre Grant Thornton est exigeant puisque pour être jugé conforme en termes de dispositif anti-corruption, il faut être conforme à tout.

Difficile évaluation des tiers

Et force est de constater que peu d’entreprises sont en conformité : 90% des entreprises sont  » non conformes « . Ce chiffre est certes un mieux par rapport à 2019 (seules 6% des entreprises étaient alors conformes) mais il y a encore de nets progrès à faire, notamment dans le domaine de l’évaluation des tiers : seules 19% d’entités sont conformes. « C’est opérationnellement très lourd de passer au peigne fin toute sa chaîne, d’autant plus quand le business est très éclaté, avec beaucoup de transactions », analyse Nicolas Guillaume.

Deux autres thèmes progressent doucement : le dispositif de suivi (44% d’entités conformes) et les contrôles comptables (46%). « Sur les contrôles comptables, les entreprises rencontrent des difficultés à identifier quels sont les points spécifiques à relever et comment s’organiser pour le faire. Quant au dispositif de suivi, ce n’est pas étonnant qu’il ne soit pas avancé : il faut d’abord progresser sur les autres sujets », explique Nicolas Guillaume.

Doublement de la maturité sur la cartographie des risques

Le Baromètre note par contre de gros progrès en matière de cartographie des risques : nous avons presque constaté un doublement de la maturité, les entreprises conformes étant passées de 40% en 2018 à 71% aujourd’hui », rapporte

L’associé Grant Thornton souligne également que si la proportion d’entités totalement conformes évolue lentement (10% contre 6 % précédemment), le taux de conformité moyen progresse quant à lui fortement, passant de de 57 % à 79 %.

Prévention des risques

Les progrès sont là mais les entreprises doivent mieux faire, ne serait-ce que pour éviter de se faire rattraper par le régulateur sur les questions d’anti-corruption. « Il y a également un aspect de responsabilité sociétale : les entreprises ont tout intérêt à utiliser leurs ressources dans d’autres sujets qu’en faveur d’intermédiaires véreux », souligne Nicolas Guillaume. Il insiste aussi sur la notion de risque : « Un dispositif efficace peut permettre d’éviter de se faire piéger par des gens peu scrupuleux et de protéger son activité ».

C’est pourquoi la cartographie des risques est si importante : cela permet de prendre conscience de la nécessité d’agir sur certains sujets dans l’intérêt de son entreprise. « Les entreprises débutent leurs travaux pour des raisons réglementaires mais quand les dirigeants se rendent compte en avançant que des collaborateurs se sont retrouvés dans des situations compliquées le sujet devient moins technocratique et les intéresse davantage », observe Nicolas Guillaume.

L’associé Grant Thornton rapporte par ailleurs que le panel du Baromètre est constitué d’entités non soumises aux exigences de la loi Sapin 2 mais qui ont décidé volontairement d’engager les démarches pour satisfaire aux exigences. « Ces entités évoluant majoritairement à l’international et ayant des clients soumis à Sapin 2 ont perçu l’enjeu commercial de se positionner comme un partenaire compliant« , pense Nicolas Guillaume.

Identifier les enjeux

Nicolas Guillaume reconnaît cependant la complexité de certains sujets de la loi Sapin 2. « L’Agence française anticorruption (AFA) est en train de mettre à jour certaines de ses recommandations : elles seront plus explicites pour les entreprises », indique Nicolas Guillaume. Il entrevoit un autre problème à la mise en place des dispositifs anti-corruption dans les entreprises : le manque de temps et de ressources. « Dans la période actuelle, les entreprises ont de plus d’autres préoccupations ».

Il conseille de débuter par une cartographie des risques établie avec sérieux afin d’identifier les sujets à enjeux pour l’entreprise. « Cela permet de ne pas adopter une approche monolythique : il s’agit non pas de faire tous les tiers ni tous les contrôles comptables à la fois mais de se concentrer sur les vraies zones d’enjeux », recommande-t-il.

Nicolas Guillaume insiste aussi sur la culture d’entreprise: « Les procédures sont importantes mais ce qui compte c’est la façon dont se comportent les collaborateurs face à une situation compliquée : il s’agit d’éduquer les gens, de leur faire prendre conscience de ces problématiques afin qu’ils acquièrent les bons réflexes ». Les dispositifs anti-corruption comprennent donc un volet management et formation.

Eve Mennesson. 2 nov. 2020 

Cloture du CYBERMOIS : L’apprentissage par le jeu comme outil de sensibilisation des equipes à la Cybersecurité

La mise en place par certains Risk Managers d’outils hors contrôle tels que le retours d’expérience, les réunions, la responsabilité des opérationnels, l’appropriation des outils permettraient aux Risk Managers d’avoir l’appui des opérationnels et d’acquérir une légitimité cognitive (celle qui consiste à s’ancrer dans l’inconscient collectif pour être compris par les parties prenantes, devenir incontournable ; elle est le « graal » de la légitimité.) Nous évoquons ces outils dans nos travaux (Aubry et Montalan, 2007) et dans l’ouvrage La Fonction Risk Manager. Organisation, méthodes et positionnement (2019, p.96).

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

L’apprentissage par le jeu fait notamment son apparition pour sensibiliser les équipes à l’enjeu de la cybersécurité.

Je vous propose ci-dessous pour clôturer le Cybermois :

  1. Un jeu proposé par l’ANSII pour vous tester
  2. Un article sur l’apprentissage de la cybersécurité par les serious games

Pour clôturer le Cybermois, l’ANSSI propose cet apprentissage par le jeu.

ILLUSTRATION

C’est à vous de jouer !
Pour la dernière semaine du #Cybermois, Léa, alias Dark Sissi, cherche de nouvelles victimes sur #Internet … Qui va-t-elle cibler aujourd’hui ? #cybersécurité #rançongiciel
Et vous, que feriez-vous ?
➡️ https://lnkd.in/dDh_eNr

Et vous, que feriez-vous ?

cybermois.fr • Lecture de 1 min

Pour clôture le Cybermois, je vous propose de découvrir l’univers des serious games :

Sensibilisation à la cybersécurité : les serious game tirent leur épingle du jeu

Vous souhaitez familiariser vos collaborateurs aux enjeux de cybersécurité de votre entreprise ? En les sensibilisant par le jeu plutôt que par des sessions de formation classiques, il devient possible de susciter leur intérêt et d’améliorer leur apprentissage. Bonnes pratiques.

Pour sensibiliser leurs équipes à ces épineuses questions, les entreprises recourent traditionnellement à des sessions de formation. Le décor : une salle de réunion peuplée de collaborateurs plus ou moins attentifs. Sur scène : un formateur faisant défiler les slides d’une présentation avec le rythme d’un métronome. Ce format comporte de nombreuses limites, notamment celle de devoir assimiler un très grand volume d’informations en un temps restreint. La session présentielle étant peu interactive, les participants se sentent moins impliqués, ce qui influe sur la quantité d’informations retenues

e-Learning, la panacée ?

Avec la démocratisation du e-learning dans les années 2000, les entreprises ont pu affiner leur stratégie de formation, avec la possibilité d’inclure des cas pratiques concrets, et proposer ces modules à un grand nombre de salariés, permettant à chacun de se former au moment qui l’arrange. Cependant, l’e-learning à lui seul reste insuffisant. Rapidement lassés par un format redondant, les apprenants finissent par faire défiler les modules de manière automatique, sans assimiler les contenus. Tout miser sur l’e-learning serait donc une erreur.

Pour impliquer les collaborateurs, les méthodes d’apprentissage les plus ludiques tirent aujourd’hui leur épingle du jeu. Celles-ci permettent de mémoriser des informations sans s’en rendre compte. Il est ainsi conseillé de miser sur une approche plus informelle, en imaginant des campagnes de sensibilisation marquantes, fondées sur le jeu, renforçant la cohésion d’équipe.

Pour marquer les esprits, le mieux est de simuler par le jeu les conséquences d’une attaque informatique. Il peut s’agir par exemple de démonstrations de piratage d’outils bureautiques, via de fausses campagnes de phishing ou des prises de contrôle de PC à distance. Pour un public évoluant au sein d’environnements industriels, le piratage de maquettes SCADA est aussi très visuel et montre très bien l’impact d’une cyberattaque sur une chaîne de production.

Questions pour un cyber-champion

Parce que le sel du jeu, c’est la compétition, organiser un challenge entre les collaborateurs au cours d’une session de formation permet de dynamiser l’apprentissage et de faciliter l’appropriation des messages-clés. Plusieurs formats peuvent inspirer les entreprises. Ainsi, le code de la cybersécurité reproduit les sessions du code de la route, en mettant à disposition des participants une télécommande pour répondre à une question parmi quatre propositions. Ces séances sont l’occasion d’aborder les bonnes pratiques du quotidien comme le verrouillage des sessions, la politique de mots de passe ou les bons réflexes en cas d’impression d’un document.

Les collaborateurs peuvent également s’affronter autour de Questions pour un cyber-champion : 200 questions traitent des bases de la cybersécurité, des simples bonnes pratiques pour protéger ses données personnelles, en passant par des thèmes plus difficiles abordant les protocoles sécurisés, les attaques informatiques, ou les équipements de sécurité, etc.

Jeu de cartes, escape game : les vertus de l’apprentissage en équipe

L’apprentissage collaboratif compte parmi les solutions les plus efficaces. La discussion permet en effet de reformuler les notions, facilitant ainsi leur appropriation. Ce travail d’équipe va également participer au renforcement des liens entre les salariés. Orange Cyberdefense a par exemple conçu un jeu de cartes pour découvrir les menaces liées à la navigation sur Internet. Chaque joueur doit déjouer les attaques informatiques de ses adversaires en mettant en œuvre les bonnes pratiques de sécurité.

Pour aller plus loin, un escape game au cours duquel les participants se mettent dans la peau d’un espion offre une expérience encore plus réaliste. Par équipe de cinq, ils doivent voler une formule secrète en moins d’une heure, en tirant parti des mauvaises pratiques de sécurité (mots de passe, mauvaise manipulation de documents, etc.).

Ces vecteurs de sensibilisation ludiques et innovants viennent ainsi compléter les approches plus traditionnelles utilisées en entreprise. Ce type de démarche suscite un intérêt particulier auprès des équipes qui enrichissent leur culture en cybersécurité et adoptent des comportements plus vertueux.

Notes : *Intermedia, 2017, Data Vulnerability Report

The European Cybersecurity Month 2020

Au programme : en savoir plus / une menace croissante / où chercher l’information ? / quels métiers ? / un exemple de cyberrésilience.

Ce mois d’octobre marque le 8e mois européen de la cybersécurité de l’Union européenne.

Pour en savoir plus sur la campagne et s’impliquer dès aujourd’hui. https://europa.eu/!Xr98gU

Une menace informatique croissante et en mutation.

Entre septembre et mi-octobre 2020 : un quartier de Londres victime d’une cyberattaque d’envergure, la ville de Besançon, Edenred, ORPEA, Groupe CMA CGM, Bridgestone Norvège, Le Ritz, Garmin. 

Il est nécessaire d’identifier le risque, de l’évaluer et de mettre en place des PCA si ceux-ci sont nécessaires.

Quelles ressources ?

Guide « Organiser un exercice de gestion de crise cyber » réalisé par l’ Agence nationale de la sécurité des systèmes d’information (ANSII) en collaboration avec le Club de la Continuite d’Activite (CCA). L’amélioration de la résilience numérique par l’entraînement à la gestion de crise cyber n’est plus seulement une opportunité, mais bien une nécessité pour toutes les organisations.
Ce nouveau guide vise à accompagner, pas à pas, les organisations dans la mise en place d’un exercice de gestion de crise d’origine cyber vraisemblable et formateur, pour les joueurs comme pour les organisateurs ;

https://lnkd.in/dfs2pQf

Revue annuelle de l’ANSII, Edition 2020, disponible sur le site de l’organisation;

Guide ANSII-AMRAE « Maîtrise du Risque Numérique », disponible sur les sites des deux organisations ;

« Anti Fraud Playbook » publié par the Association of Certificated Fraud Examiners

A venir :

Conférence « Du cyber risque à la cyber résilience : quels enjeux pour la direction juridique ? » animée par Philippe Cotelle, lors du Sommet du Droit en Entreprise 2020.
📌 Mercredi 25 Novembre 2020 à partir de 14h15
📌 Pavillon d’Armenonville, allée de Longchamp, Paris 75116
📌  Rendez-vous sur le site web : 

https://lnkd.in/dZ4kuf9

Quels sont les métiers de la cybersécurité ?

L’ANSII vient de publier le panorama des métiers de la cybersécurité. A retrouver sur https://graces.community

Parce que la gestion des risques ça marche : un exemple de cyberrésilience.

ORPEA a résisté à une cyberattaque

Orpea a révélé avoir détecté dans la nuit du 17 septembre l’intrusion d’un logiciel malveillant sur certains de ses serveurs. Les équipes de sécurité informatique ont pris les mesures immédiates pour sécuriser les systèmes, isoler les serveurs concernés (moins de 1% de la totalité des serveurs) et fermer temporairement l’ensemble du réseau, empêchant ainsi la propagation du logiciel. Cette interruption volontaire a provoqué des perturbations sur les systèmes informatiques mais n’affecte en rien la continuité des soins et la vie sociale au sein des établissements du groupe.

Après l’analyse d’experts reconnus en cyber sécurité et grâce à la réactivité et au bon fonctionnement des systèmes de sécurité, l’ensemble des sauvegardes sont intactes et aucune donnée n’a été détruite ou transférée.

L’infrastructure informatique du groupe, ses logiciels et applications et l’ensemble des données sont sains et n’ont subi aucun dommage.

Les équipes IT et des experts externes en cyber sécurité travaillent activement pour relancer progressivement l’ensemble des serveurs et des applications.

La direction générale a souhaité que ce processus se déroule étape par étape avec une extrême vigilance, et avec toutes les précautions nécessaires. Le bon fonctionnement, tant des établissements que des services administratifs, est assuré.

Orpea a informé les autorités compétentes de cet acte de malveillance.

Le régulateur/législateur, amplificateur de risques. Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Amplificateur de Risques

Comme le suggère le concept d’amplification sociale du risque, des facteurs sociaux, institutionnels et psychologiques influencent les perceptions du risque et les comportements à travers un réseau de canaux de communication qui les structurent et les transmettent socialement (Kaperson et al, 1988) ; les risques sont amplifiés et instrumentalisés par des institutions telles que le régulateur-législateur et les médias (Pidgeon et al, 2003).

Le rôle du régulateur-législateur a commencé en France avec la Loi de Sécurité Financière. L’analyse de la période 2008-2018 conduit à constater un renforcement institutionnel de l’obligation de prudence et de vérification. Sur fond de scandales et de crise, les interventions du régulateur-législateur amènent les entreprises à renforcer les systèmes de contrôle interne et de gestion des risques : loi du 3 juillet 2008, ordonnance du 8 décembre 2008 ; rapport du 8 décembre 2009 de l’AMF ; loi Sapin II du 9 décembre 2016…

La loi Sapin II vise à prévenir les risques de blanchiment des capitaux, de financement du terrorisme et de la corruption – la corruption est le fait pour toute personne de solliciter une personne dépositaire de l’autorité publique, moyennant rémunération, un acte relevant de ses fonctions -.

Elle propose six mesures pour cartographier le risque de corruption et le prévenir au niveau organisationnel et individuel. Cette loi n’oblige pas à une communication extérieure spécifique mais elle engage la responsabilité personnelle des dirigeants et celle de la société en tant que personne morale.

Nicolas Dufour et moi-même présentons davantage la loi Sapin II ainsi que les réglementations en vigueur et la soft-law (principe de précaution) dans notre ouvrage ; voir « La Fonction Risk Manager. Organisation. Méthodes et Positionnement », Ed Gereso, p.50.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

En février 2020, un peu plus de trois ans après, l’Autorité Française de Anticorruption lançait une enquête sur le niveau de maturité des dispositions anticorruption en entreprise.

L’article ci-dessous présente les principaux résultats de cette enquête, un lien pour y accéder, un article à lire ou relire sur la cartographie des risques de corruption posté sur le blog en juillet 2020

Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Un questionnaire destiné à toutes les entreprises a été transmis aux fédérations professionnelles pour diffusion à leurs adhérents.

Soit près de 2000 entreprises touchées et une collecte de données actualisées sur l’état de la prévention de la corruption dans le secteur privé

L’AFA publie ses résultats dans un rapport d’analyse. Il apporte un éclairage sur la connaissance des entreprises en matière d’atteintes à la probité et identifie différents dispositifs mis en place et axes de progrès:

– 70 % ont un dispositif de prévention perfectible pour la cartographie des risques, l’évaluation de tiers ou le positionnement du responsable de la fonction conformité.  

– focus sur les PME/ ETI non-assujetties à a loi Sapin2 (art.17), quant à leur appropriation des dispositifs anticorruption

– lien avec le plan national pluriannuel de lutte contre la corruption…

Ce diagnostic national permettra à l’AFA d’adapter davantage ses recommandations.

Lien vers le rapport d’analyse :
https://lnkd.in/efX85yY

A relire : le très bon article de Stéphanie Dominguez et Stella Vitchénian « Etablir la cartographie des risques de corruption : un défi en pratique » posté sur ce blog en juillet 2020.

A retrouver dans les archives juillet 2020 (tout en bas du menu déroulant à gauche).

Les affaires et la règlementation. Enron…Wirecard.

Pourquoi le risque devient-t-il une variable centrale de la réflexion organisationnelle ?

Il le devient sous l’effet de cinq facteurs.

L’un de ces facteurs est l’actualité du risque et les affaires.

« Les scandales en série (Maxwell, 1991 ; Enron, 2001 ; Vivendi, 2002 ; Nike, 1990-2000) posent l’exigence de conditions nouvelles d’auditabilité du risque et de transparence. L’objectif est d’accroître la transparence et la fiabilité de l’information comptable et financière des entreprises. » En p.10 de l’ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », nous présentons de manière détaillée l’affaire Enron (2001).

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Les réglementations qui ont suivi ces affaires (Turnbull Report…loi Sarbanes Oxley…) ont posé l’exigence de nouvelles conditions d’auditabilité du risque et de transparence.

Il y en a eu beaucoup d’autres affaires depuis…Wirecard est clairement l’un d’elles.

Le premier article ci-dessous présente les détails de ce que l’on peut appeler l’affaire Wirecard.

Le second présente les similitudes entre les affaires Enron et Wirecard.

Le régulateur et le cabinet d’audit au coeur de la tempête Wirecard

Comment une entreprise cotée en Bourse, valorisée à plus de 20 milliards d’euros, a-t-elle pu s’écrouler en deux semaines? Après l’arrestation de son patron, le scandale Wirecard place le gendarme financier allemand et le cabinet d’audit EY sur le banc des accusés.

Au lendemain de la demande de mise en liquidation de la fintech Wirecard, les interrogations pullulent quant à ce qui est déjà considéré comme un « scandale sans équivalent dans le monde de la finance », selon les termes du gouvernement allemand. Après avoir reporté la publication de ses résultats à quatre reprises, Wirecard a été contrainte d’admettre que quasiment deux milliards d’euros avaient tout simplement disparu, voire jamais existés. On soupçonne son désormais ex-patron, Markus Braun, d’avoir réalisé de fausses transactions avec des tiers afin de gonfler le bilan de l’entreprise dans le but de la rendre plus attractive pour les investisseurs.

« Comment une fraude aussi audacieuse n’est pas devenue apparente Wirecard est non seulement une société cotée en Bourse à Francfort, mais elle fait de plus partie du Dax, l’indice boursier allemand de référence et la vitrine de l’économie germanique. « Comment une fraude aussi audacieuse n’est pas devenue apparente plus tôt, devra faire l’objet d’une enquête », a estimé jeudi Olav Gutting, chef de groupe CDU/CSU au Bundestag. »La BaFin (l’autorité fédérale allemande de supervision financière, NDLR) devra également répondre à des questions. »

La BaFin ne pourra échapper à une sérieuse remise en question de ses méthodes de travail. Dans une lettre envoyée jeudi soir à Steven Maijoor, le président de l’Autorité européenne de supervision des marchés financiers (ESMA), la Commission européenne demande qu’une « analyse préliminaire » soit conclue « au plus tard le 15 juillet » quant au rôle de la BaFin dans cette débâcle.

Selon les résultats de cette enquête préliminaire, il pourrait y avoir une investigation complète conduisant à la remise d’un rapport par l’ESMA. Ce rapport énumérerait les lacunes de la supervision et donnerait des instructions au gendarme allemand de la finance pour introduire des réformes dans ses méthodes de travail.

Signaux d’alarme ignorés

Si le régulateur doit affronter le courroux du monde politique, c’est parce qu’il a été informé à plusieurs reprises d’irrégularités dans les comptes de Wirecard et de pratiques douteuses dans son chef. En 2015, déjà, le Financial Times (FT) publie une enquête intitulée « House of Wirecard » dans laquelle le quotidien suggère qu’il existe un trou de 250 millions d’euros dans la comptabilité de la fintech.

Un an plus tard, plusieurs vendeurs à découvert publient une enquête sous le pseudonyme de Zatarra dans laquelle ils accusent Wirecard de procéder à du blanchiment d’argent pour le compte de sites de poker américains. Informée des faits, la BaFin ouvre une enquête pour découvrir qui se cache derrière Zatarra, estimant que ses auteurs tentent de manipuler le marché. 

En janvier 2019, le Financial Times reprend ses investigations sur la fintech. Il découvre que son responsable pour la région Asie-Pacifique a fait usage de faux, blanchi de l’argent et falsifié des comptes. Quand la police de Singapour, où est basé le QG asiatique de Wirecard, perquisitionne les bureaux de l’entreprise, la BaFin réagit en empêchant les ventes à découvert sur l’action Wirecard, soulignant « son importance pour l’économie » et ouvre une enquête contre le FT, qu’elle soupçonne également de manipulation de marché.

Mea culpa

En réponse à une question parlementaire, le ministre allemand des Finances Olaf Scholz a indiqué que la BaFin avait mis plus d’un an pour se pencher sur les manipulations de marché dont était soupçonné Wirecard après le signalement d’un donneur d’alertes.

Le régulateur avait donc été avisé des faits, mais a préféré soit fermer les yeux, soit attaquer ceux qui avaient eu l’outrecuidance de dénoncer les actes frauduleux. Face à un tel constat, plusieurs députés ont demandé la démission du patron de la BaFin, Felix Hufeld.

Après quelques tergiversations, celui-ci a publiquement présenté ses excuses lundi. Il estime que la BaFin fait partie des institutions responsables de ce « désastre complet », en ayant failli à son rôle de supervision. Il s’est engagé à régler les manquements apparus dans le fonctionnement de l’autorité, mais a également tenté de faire porter le chapeau à d’autres, précisant que la direction de Wirecard ainsi que « plusieurs commissaires aux comptes » ont failli dans leurs missions.

Audit défaillant

L’attaque se dirige plus spécifiquement sur EY, l’un des quatre principaux bureaux d’audit et de conseil dans le monde. C’est en effet l’ancienne Ernst & Young qui auditait les comptes de la fintech allemande depuis 2011 et c’est elle qui a refusé ce mois-ci de les valider. 

« Une société cotée en Bourse doit en principe d’abord faire ses comptes en interne, ceux-ci sont ensuite approuvés par le conseil d’administration, avant de faire l’objet de l’analyse d’un réviseur. Ces comptes sont alors transmis avec le rapport du réviseur à l’assemblée générale, qui peut poser des questions avant de les approuver ou de les rejeter », explique Eric Steghers, directeur général de l’Institut des experts-comptables et des conseils fiscaux.

Le rôle du réviseur est ainsi de vérifier les comptes, pas de détecter les fraudes. « Les comptes doivent correspondre à une situation, c’est cela que regarde le réviseur. »

EY a eu le nez plongé dans le bilan de Wirecard pendant neuf ans. Le fait que le géant de l’audit dénonce aujourd’hui une fraude massive dans le chef de son client peut ressembler à une fuite en avant. « L’auditeur a failli, pas parce qu’il n’a pas découvert la fraude, mais parce qu’il est totalement passé à côté de l’essentiel dans les comptes », estime un ancien auditeur qui a passé plus de dix ans dans le secteur.

Image salie

« Plusieurs cas de figure peuvent se présenter, le plus grave étant une collusion entre le cabinet et l’entreprise« , pointe-t-il. Il se pourrait également que le commissaire aux comptes n’ait pas réalisé correctement sa diligence, ou qu’il ait réalisé son travail en toute bonne foi, mais que son client ait réussi à particulièrement bien maquiller sa fraude.

Ce vendredi, le FT révélait que EY n’avait plus demandé d’information à la banque de référence de Wirecard à Singapour depuis trois ans. L’établissement était pourtant supposé conserver un milliard de dollars de liquidités pour le compte de la fintech. Cette procédure de routine aurait permis de déceler la fraude très rapidement.

EY voit son image une nouvelle fois éreintée. Le cabinet, qui déclare poursuivre son travail sans faire de commentaire, traîne déjà quelques casseroles derrière lui. Le régulateur britannique, le Financial Reporting Council (FRC), enquête sur lui dans le cadre de l’affaire NMC Health, un groupe hospitalier parvenu à dissimuler les deux tiers de sa dette et par rapport au dossier de Thomas Cook, le voyagiste tombé en faillite l’année passée. EY est suspecté d’avoir manqué à sa mission dans les deux cas.

Il est encore trop tôt pour évaluer la puissance de l’onde de choc du scandale Wirecard, mais il semble certain que, tant les fintechs, que les régulateurs et les cabinets d’audit ne travailleront désormais plus de la même manière…

OLIVIER SAMOIS 

26 juin 2020 20:37

Enron. Le scandale, il y a 20 ans, était un parfait exemple de la matérialisation d’un énorme risque opérationnel (pour Enron, classé par Fortune le magazine « l’entreprise la plus innovante d’Amérique » entre 1996 et 2000) et du risque de réputation (pour leurs auditeurs, Arthur Andersen & Co., alors l’un des 5 grands cabinets d’experts-comptables), conduisant à l’effondrement des deux sociétés.

S’il est trop tôt pour connaître l’issue exacte de ce qu’on a appelé « l’Enron allemand » Wirecard impliquant, cet article revient sur les premiers indicateurs présentant des similitudes entre les deux scandales.

Wirecard, Enron et panneaux d’avertissement sur deux décennies.

L’auteur George Santayana a écrit: «Ceux qui ne se souviennent pas du passé sont condamnés à le répéter.» Et Mark Twain a écrit: « L’histoire ne se répète pas, mais elle rime souvent ».

Pourrions-nous former un couplet d’Enron pour marquer le début du millénaire et Wirecard pour marquer la fin des années 2010?

Dans l’état actuel des choses, Wirecard s’annonce comme l’une des plus grandes fraudes financières depuis des années, établissant au moins quelques comparaisons avec Enron des décennies passées. Ce sont des industries différentes, bien sûr – Enron a fait sa maison (et sa tombe) dans l’énergie, et Wirecard est un processeur de paiements. Mais malgré les verticales disparates, certains des signes avant-coureurs font écho.

Prix ​​des actions de la fusée? Sûr. Il y a dix ans, les actions Wirecard se négociaient à un faible taux à un chiffre et atteignaient 200 euros en 2018. Les actions d’Enron ont culminé à environ 90 $ à l’été 2000, après avoir commencé l’année à environ 40 $.

L’augmentation rapide des cours des actions laisse présager de l’optimisme que l’horizon (et les bénéfices) restent clairs pour les entreprises.

Les deux entreprises ont promis de transformer leurs industries. Wirecard, axé sur les paiements en ligne, a créé ces dernières années Boon, un système de paiement par application mobile lié à l’Europe, et a proposé WeChat Pay aux marchands européens aussi récemment que cette année. Enron a mis le doigt sur tout, du gaz naturel aux réseaux Internet.

La sonnette d’alarme avait sonné pour les deux entreprises avant que les choses ne se déroulent. Pour Wirecard, les racines d’un examen plus approfondi de ce qui se passait dans les coulisses peuvent être retracées dans un article du Financial Times (FT) du début de 2019 qui disait que la société avait falsifié des documents liés aux activités asiatiques de Wirecard dans le but d’induire les régulateurs en erreur.

Une couverture plus tardive de l’année a indiqué que les résultats des filiales avaient été gonflés. Le New York Times a noté le 26 juin que les services de recherche sur les actions ciblant les vendeurs à découvert (qui parient que les prix vont baisser) signalaient que Wirecard était un «château de cartes».

Puis le ralentissement rapide – et l’insolvabilité. Enron a déposé son bilan en 2001 après que des irrégularités comptables ont fait surface; une grande partie des activités commerciales de la société – comptabilisées en tant que revenus et bénéfices – avait été réalisée par le biais d’entités ad hoc (où elle détenait des participations). Wirecard, selon FT en février 2019, s’était engagé dans un «round trip». Dans le cadre de cette activité, selon le journal, l’argent quitterait la banque de Wirecard détenue en Allemagne, «montrerait son visage au bilan d’une filiale dormante à Hong Kong, partirait pour s’asseoir momentanément dans les livres d’un« client »externe», puis voyagerait retour aux opérations de Wirecard en Inde pour être comptabilisé en tant que revenu.

Plus récemment, Wirecard a déclaré qu’environ 2,1 milliards de dollars de soldes de compte qui ne peuvent pas être retracés « n’existent pas ».

L’histoire a encore des jambes, bien sûr, car ces dernières semaines, la banque centrale des Philippines a déclaré qu’il n’y avait aucun signe que les 2,1 milliards de dollars avaient été déposés en premier lieu. Les banques citées – BDO Unibank Inc. et BPI – avaient été utilisées pour « induire en erreur » les enquêteurs, selon la banque centrale.

Ailleurs, comme l’a noté le New York Times, le fournisseur de recherche indépendant The Analyst, basé à Londres (et où le partenaire fondateur Mark Hiley a qualifié Wirecard de « château de cartes ») a soulevé des questions sur les acquisitions Wirecard d’acquéreurs marchands et sur la performance financière de ces acquisitions.

« Lorsque vous avez examiné les documents financiers des entreprises locales, vous avez pu constater qu’il s’agissait de très petites entreprises, avec des revenus très faibles et une rentabilité limitée », a déclaré Hiley, cité dans le Times. « Nous étions inquiets: pourquoi payaient-ils autant d’argent pour ces petites entreprises à peine rentables? »

Et maintenant, Wirecard a déposé un dossier d’insolvabilité en partie en raison du «surendettement», les prêts d’une valeur cumulée de 1,3 milliard d’euros (1,46 milliard de dollars) venant à échéance le 1er juillet.

À certains égards, au moins dans cette histoire de deux montées et descentes spectaculaires s’étalant sur 2000 et 2020, l’histoire ne s’est peut-être pas répétée, mais elle a certainement des échos familiers.

Même s’ils ne riment pas.

Risque de réputation. Définition, illustration à travers les affaires NIKE, 1990-2000, 2020

Dans notre ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », Editions Gereso, 2019, Nicolas Dufour et moi-même reprenons la définition de Rayner (2003). Il définit le risque de réputation comme « toute action, évènement ou circonstance qui pourrait avoir un impact positif ou négatif sur la réputation d’un organisme…ou encore… comme un ensemble de perceptions et opinions présentes ou passées sur un organisme, nichées dans la conscience des parties prenantes. »

Contrefaçons, rumeurs, guerre économique, diffamation…sont autant de vecteurs de risques que l’entreprise devra contrôler afin de maîtriser son image. Les risques associés à l’image ou à la réputation de l’entreprise ne sont pas dédiés aux grandes entreprises. Ils sont également un enjeu pour chaque PME-PMI, ETI.

Nous l’illustrons à travers « l’affaire Nike (1990-2000) ».

Vous trouverez ci-dessous un extrait des faits reprochés à Nike et qui ont affecté sa réputation (p.39).

« En résumé, Nike a opté pour une stratégie basée sur une forte capacité d’innovation, un marketing agressif mettant en scène des superstars du monde sportif… Cette stratégie a relativement bien fonctionné, jusqu’à ce qu’elle fasse l’objet de critiques véhémentes par des activistes, dénonçant les pratiques des sous-traitants, considérées comme non conformes à l’éthique communément acceptée dans les pays développés. Au nombre des pratiques dénoncées, figuraient en bonne place le non-respect de certaines conventions internationales portant, entre autres, sur la liberté syndicale, les conditions de travail, le travail forcé, le travail des enfants et les questions salariales…

Puis l’extrait d’un article écrit par Olivier Cimelière, que vous pouvez lire dans son intégralité sur son blog, le blog du communicant, en cliquant sur son titre,  sur la nouvelle tourmente qui affecte de nouveau la réputation de l’entreprise.  

Dr Jekyll & Mr Nike : De la nécessité impérative d’avoir une communication RSE alignée pour sa réputation

Très active durant les mouvements de protestation liés à #BlackLivesMatter, la marque Nike se retrouve actuellement confrontée à des mises en accusations graves de la part d’une ONG australienne et du député européen Raphaël Glucksmann. L’entreprise s’approvisionnerait auprès d’usines chinoises où la minorité ouïghoure est réduite en esclavage. Jusqu’où tolérer un grand écart réputationnel sans s’égarer dans le « woke washing » ? Analyse.

Il s’intitule sobrement « You can’t stop us ». En 1 minute 30, le dernier film publicitaire de Nike magnifie le monde du sport dont les événements et les compétitions ont dû être annulés ou reportés durant la pandémie du coronavirus. Depuis fin juillet, ce vibrant appel à la résilience et à la volonté a été visionné 50 millions de fois à ce jour sur YouTube. La marque au swosh est familière de ces messages engagés et puissants qu’elle égrène au fil des mois. En mai dernier, c’était le spot « « We are never too far down to come back » qui invitait au relèvement après d’éprouvantes semaines de confinement en jouant avec l’allégorie de grands sportifs mythiques ayant vécu l’échec avant de retrouver le sommet. Sur YouTube, plus 1,1 millions de personnes ont plébiscité le film.

Il est pourtant un sujet actuel où Nike est étonnamment aux abonnés absents malgré les likes qui s’empilent en sa défaveur et les messages d’exhortation qui circulent sur les réseaux sociaux et dans des pétitions en ligne : le travail forcé des Ouïghours dans des usines chinoises manufacturant des produits textile pour la marque. Peut-on sincèrement être #BlackLivesMatter et fermer les yeux par ailleurs sur des atteintes fondamentales aux Droits de l’Homme ?

Nike, esclavagiste par procuration ?…

La blog du communicant. O.Cimelière. Août 2020

Préjudice écologique et responsabilité environnementale, quelle responsabilité pour l’entreprise ?

Pour continuer sur les risques environnementaux des entreprises.
Pollution de l’air ou de l’eau, dépollution d’un site… Les atteintes à l’environnement sont de plus en plus présentes.

Trop souvent sous-estimés, complexes, longs et onéreux à réparer…

Face au risque écologique, quelle responsabilité pour l’entreprise et ses dirigeants ?

En pleine actualité Lafarge – pollution de la Seine – (voir article de la semaine dernière), je vous propose pour en savoir plus sur le risque environnemental un podcast éclairant.
Ecoutez sur ce sujet le Responsable des risques environnementaux de Chubb.  

Ecouter le podcast

chubb.com

Risque EnVIRONNEMENTAL. DEFINITION. ILLUSTRATION : LAFARGE

<p value="<amp-fit-text layout="fixed-height" min-font-size="6" max-font-size="72" height="80"><strong>Pourquoi le risque devient-il une variable centrale de la réflexion organisationnelle des entreprises ?</strong>Pourquoi le risque devient-il une variable centrale de la réflexion organisationnelle des entreprises ?

Il le devient sous l’effet de cinq facteurs.

Le premier est l’élargissement du domaine de la gestion des risques Au début des années 1990, de nouveaux risques voient le jour : les changements technologiques dans le système d’informations font partie des premiers cités par les entreprises. Des qualificatifs viennent préciser la nature du risque : aux risques traditionnels (incendie, inondation…) s’ajoutent le risque éthique, le risque environnemental.

Encadré 3 – Le risque éthique  

L’éthique peut être définie comme la mise en pratique quotidienne des valeurs de l’entreprise et plus largement le respect des valeurs humaines et sociétales. Elle a pris de plus en plus de place dans les cursus universitaires comme dans le discours des hommes politiques et des entrepreneurs qui la déclinent en : (1) développement durable en matière d’environnement ; le risque éthique est alors proche du risque environnemental ; (2) gouvernance ; il s’agit alors de respect des engagements pris, de transparence et ouverture aux besoins de l’environnement dans lequel opère l’organisation, de prise en compte des parties prenantes (actionnaires et autres)[1]. Ainsi le niveau éthique d’une entreprise sera celui de ses dirigeants et de ses salariés, se traduisant par une pratique commune et cohérente avec les valeurs affichées.

En pratique, cette considération se traduit notamment par la capacité de la gestion des risques à amener le débat sur des risques sous-estimés : le risque de corruption, de conflits d’intérêt, le risque de fraude interne, le risque de blanchiment des capitaux, le risque de dérive des prestations externalisées, le curseur que l’entreprise doit mettre sur sa sécurité au travail.

Source : extrait La Fonction Risk Manager. Organisation, Méthodes et Positionnement ; p. 30 ; Aubry C et Dufour N.

C’est à ce risque que l’entreprise Lafarge est aujourd’hui confrontée.

Ouverture d’une enquête après une « suspicion de pollution » de la Seine par Lafarge

Europe 1 révèle que l’entreprise a laissé s’écouler des boues polluées au ciment et au plastique dans la Seine. Pour l’Association agréée de pêche et de protection du milieu aquatique, cette pollution est volontaire. La Mairie de Paris a annoncé qu’elle allait porter plainte.

Le parquet de Paris a annoncé l’ouverture d’une enquête à l’encontre du cimentier français Lafarge, pour « suspicion de pollution de la Seine par une entreprise de travaux publics ».L’industriel a laissé s’écouler dans la Seine, en plein Paris, des boues polluées au ciment et au plastique : un « incident » reconnu par l’entreprise, qui toutefois nie le caractère volontaire de cette pollution dénoncé par une association, rapporte Europe 1 mardi 1er septembre.

La Mairie de Paris a annoncé qu’elle allait porter plainte contre Lafarge. « C’est un véritable scandale écologique, alors que nous travaillons avec nos partenaires depuis de nombreuses années pour améliorer la qualité du fleuve. La Ville de Paris va saisir le procureur de la République pour ces faits graves qui portent atteinte à notre environnement », a réagi Anne Hidalgo, la maire de Paris, sur Twitter.

Près du ministère de l’économie, dans le 12e arrondissement de la capitale, le cimentier Lafarge dispose d’un entrepôt sur les quais de Seine. Sur une vidéo publiée par Europe 1, on voit un camion à béton vider sa cuve dans une autre cuve sur le quai, mais celle-ci est percée et laisse s’écouler une eau blanchâtre dans le fleuve parisien. Selon la radio, ce qui s’échappe est « un mélange liquide de particules de ciment et de tiges en plastique ».

« Clairement, c’est volontaire. Dans ces cuves, ce sont toutes les eaux et les restes de béton fabriqué dans la journée qui reviennent dans les camions en fin de journée, dénonce à Europe 1 Jacques Lemoine, agent de développement de l’Association agréée de pêche et de protection du milieu aquatique (AAPPMA). Ensuite, la société est censée traiter ses déchets. »

Lafarge plaide l’erreur

L’Office français de la biodiversité, une agence de l’Etat, a porté plainte pour cette pollution environnementale, assure la radio, et des constats ont été effectués par la police, qui a transmis l’affaire à la justice. Lafarge déplore auprès d’Europe 1 « un incident tout à fait exceptionnel et indépendant de sa volonté » et se dit « victime d’une détérioration manifestement délibérée d’une plaque d’étanchéité qui a entraîné un écoulement temporaire d’eau recyclée dans la Seine ». L’entreprise compte également porter plainte.

Mais pour l’AAPPMA, cette pratique est ancienne ; ses membres ne croient pas à la non-implication de l’entreprise, récemment fusionnée avec le suisse Holcim, devenue LafargeHolcim. Pour l’AAPPMA, cette pollution « étouffe les poissons et pollue les algues ».

En mars 2020, une filiale du groupe Vinci avait été condamnée à 90 000 euros d’amende – dont 40 000 avec sursis – pour avoir déversé, « de manière accidentelle »« de l’eau grise chargée de sable et de traces de ciment désactivé » dans la Seine, en aval de Paris. L’entreprise avait été condamnée dans le cadre d’une procédure de « comparution sur reconnaissance préalable de culpabilité ».

Le Monde


[1] Selon Freeman (1984), une partie prenante désigne un groupe ou un individu qui peut affecter ou est affecté par la réalisation des objectifs de l’organisation.

Tout savoir sur la Gestion des Risques et le Risk Manager en France. Une lecture d’été : « La Fonction Risk Manager : Organisation, Méthodes et Positionnement » !  

Je terminerai l’année universitaire sur ce conseil de lecture. Ce sera le dernier post.

A la rentrée : analyse de la nouvelle affaire « Wirecard », facteur d’élargissement du domaine du risque des entreprises ; quelles leçons tirer de la crise sanitaire pour une approche moins « contrôle » de la démarche de gestion des risques ? Ou encore le cyberisque, risque numéro un des entreprises, petites, moyennes ou grandes (baromètre Allianz 2020)…

Lien vers l’ouvrage : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Plan détaillé : IMG-20200723-WA0003

Chapitre 1 Définition des notions mobilisées et contextualisation de la Fonction Risk Manager

  • Définition des notions mobilisées : risques, gestion des risques, Risk Manager
  • Histoire récente des risques, de la gestion des risques, de la Fonction Risk Manager
  • Mise en perspective de la Fonction Risk Manager

Chapitre 2 L’activité des Risk Managers

  • Ce que font les Risk Managers
  • Les relations des Risk Managers
  • Mise en perspective de la Fonction Risk Manager

Chapitre 3 Définition et illustration des différentes classes de risques auxquelles sont confrontés les Risk Managers

  • Les risques stratégiques et économiques
  • Les risques techniques
  • Les risques financiers
  • Les risques opérationnels

Chapitre 4 Méthodes, démarches et outils des Risk Managers

  • Les méthodes les plus usitées en gestion des risques
  • L’approche organisationnelle par les processus
  • La méthode et les outils face à l’urgence : la gestion de crise
  • La connaissance outil : les systèmes d’information de gestion des risques

Chapitre 5 La place des Risk Managers dans l’organisation

  • Les conditions de centralisation/décentralisation de la Fonction Risk Manager
  • Positionnement du Risk Manager et autorité de la Fonction Risk Manager
  • Implication de la direction générale
  • Mise en perspective de la fonction Risk Manager

Chapitre 6  Les compétences des Risk Managers

  • Le Risk Manager est-il un expert de la gestion des risques ?
  • Une connaissance de l’activité, du groupe et des opérations
  • Le Risk Manager est un communiquant