Archives pour la catégorie RISQUES

approche socio-cognitive: rex, apprentissage, élargissement du domaine du risque, cyberisque-cybersécurité, dispositifs de contrôle et plans d'actions, GESTION DES RISQUES, réglementation et amplification du risque, rgpd, RISQUES, sanctions

RGPD. SANCTIONS. CARREFOUR. GOOGLE. H&m.

Laisser un commentaire

Le mois de janvier est consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Au programme :

  • article / sanctions Carrefour France (2,25 millions euros) et Carrefour Banque (800 000 euros) / avec les délibérations et pour approfondir les références aux articles de la CNIL
  • article / sanctions Google LLC (60 millions d’euros) et Google Ireland Limited (40 millions d’euros)
  • article sanctions H&M (35 millions d’euros)

Sanctions de 2 250 000 euros et de 800 000 euros pour les sociétés CARREFOUR FRANCE et CARREFOUR BANQUE

26 novembre 2020

Saisie de plusieurs plaintes, la CNIL a sanctionné deux sociétés du groupe CARREFOUR pour des manquements au RGPD concernant notamment l’information délivrée aux personnes et le respect de leurs droits.

Saisie de plusieurs plaintes à l’encontre du groupe CARREFOUR, la CNIL a effectué des contrôles entre mai et juillet 2019 auprès des sociétés CARREFOUR FRANCE (secteur de la grande distribution) et CARREFOUR BANQUE (secteur bancaire). À cette occasion, la CNIL a constaté des manquements concernant le traitement des données des clients et des utilisateurs potentiels. La Présidente de la CNIL a donc décidé d’engager une procédure de sanction à l’encontre de ces sociétés.

À l’issue de cette procédure, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a effectivement considéré que les sociétés avaient manqué à plusieurs obligations prévues par le RGPD.

Elle a ainsi sanctionné la société CARREFOUR FRANCE d’une amende de 2 250 000 euros et la société CARREFOUR BANQUE d’une amende de 800 000 euros. En revanche, elle n’a pas prononcé d’injonction dès lors qu’elle a constaté que des efforts importants avaient permis la mise en conformité sur tous les manquements relevés.

Des manquements à l’obligation d’informer les personnes (article 13 du RGPD)

L’information fournie aux utilisateurs des sites carrefour.fr et carrefour-banque.fr comme aux personnes désirant adhérer au programme de fidélité ou à la carte Pass n’était pas facilement accessible (accès à l’information trop compliqué, dans des documents très longs contenant d’autres informations), ni facilement compréhensible (information rédigée en des termes généraux et imprécis, utilisant parfois des formulations inutilement compliquées). De plus, elle était incomplète en ce qui concerne la durée de conservation des données.

Concernant le site carrefour.fr, l’information était également insuffisante en ce qui concerne les transferts de données hors de l’Union européenne et la base légale des traitements (fichiers).

Sur ce point, les sociétés ont modifié leurs mentions d’information et sites web durant la procédure pour se mettre en conformité.

Des manquements relatifs aux cookies (article 82 de la loi Informatique et Libertés)

La CNIL a constaté que, lorsqu’un utilisateur se connectait au site carrefour.fr ou au site carrefour-banque.fr, plusieurs cookies étaient automatiquement déposés sur son terminal, avant toute action de sa part. Plusieurs de ces cookies servant à la publicité, le consentement de l’utilisateur aurait pourtant dû être recueilli avant le dépôt.

Les sociétés ont modifié, durant la procédure, le fonctionnement de leurs sites web. Plus aucun cookie publicitaire n’est désormais déposé avant que l’utilisateur n’ait donné son accord.

Un manquement à l’obligation de limiter la durée de conservation des données (article 5.1.e du RGPD)

La société CARREFOUR FRANCE ne respectait pas les durées de conservation des données qu’elle avait fixées. Les données de plus de vingt-huit millions de clients inactifs depuis cinq à dix ans étaient ainsi conservées dans le cadre du programme de fidélité. Il en était de même pour 750 000 utilisateurs du site carrefour.fr inactifs depuis cinq à dix ans.

Par ailleurs, en l’espèce, la formation restreinte considère qu’une durée de conservation de 4 ans des données clients après leur dernier achat est excessive. En effet, cette durée, initialement retenue par la société, excède ce qui apparaît nécessaire dans le domaine de la grande distribution, compte tenu des habitudes de consommation des clients qui font principalement des achats réguliers. 

Pendant la procédure, la société CARREFOUR FRANCE a engagé d’importants moyens pour procéder aux modifications nécessaires à sa mise en conformité avec le RGPD. Toutes les données trop anciennes ont notamment été supprimées.

Un manquement à l’obligation de faciliter l’exercice des droits (article 12 du RGPD)

La société CARREFOUR FRANCE exigeait, sauf pour l’opposition à la prospection commerciale, un justificatif d’identité pour toute demande d’exercice de droit. Cette demande systématique n’était pas justifiée dès lors qu’il n’existait pas de doute sur l’identité des personnes exerçant leurs droits. Par ailleurs, la société n’a pas été en mesure de traiter dans les délais exigés par le RGPD plusieurs demandes d’exercice de droits.

Sur ces deux points, la société a modifié ses pratiques durant la procédure. Elle a notamment déployé d’importants moyens humains et organisationnels pour répondre à l’ensemble des demandes reçues dans un délai inférieur à un mois.

Un manquement au respect des droits (articles 15, 17 et 21 du RGPD et L34-5 du Code des postes et des communications électroniques)

Tout d’abord, la société CARREFOUR FRANCE n’a pas donné suite à plusieurs demandes de personnes souhaitant accéder à leurs données personnelles. La société s’est rapprochée de toutes les personnes concernées durant la procédure.

Ensuite, dans plusieurs cas, la société n’a pas procédé à l’effacement de données demandé par plusieurs personnes alors qu’elle aurait dû le faire. Sur ce point également, la société a fait droit à toutes les demandes durant la procédure.

Enfin, la société n’a pas pris en compte plusieurs demandes de personnes s’étant opposées à recevoir de la publicité par SMS ou courrier électronique, notamment en raison d’erreurs techniques ponctuelles. La société s’est mise en conformité durant la procédure sur ce point également.

Un manquement à l’obligation de traiter les données de manière loyale (article 5 du RGPD)

Lorsqu’une personne souscrivant à la carte Pass (carte de crédit pouvant être rattachée au compte fidélité) souhaitait également adhérer au programme de fidélité, elle devait cocher une case indiquant qu’elle acceptait que CARREFOUR BANQUE communique à « Carrefour fidélité » son nom, son prénom et son adresse de courrier électronique. CARREFOUR BANQUE indiquait explicitement qu’aucune autre donnée n’était transmise. La CNIL a pourtant constaté que d’autres données étaient transmises, comme l’adresse postale, le numéro de téléphone et le nombre de ses enfants, bien que la société se fût engagée à ne transmettre aucune autre donnée.

Sur ce point, la société a modifié ses pratiques durant la procédure. Elle a entièrement refondu son parcours de souscription en ligne à la carte Pass et les personnes sont désormais informées de l’ensemble des données transmises à la société CARREFOUR FRANCE.

Les délibérations

> Délibération de la formation restreinte n° SAN-2020-008 du 18 novembre 2020 concernant la société CARREFOUR FRANCE 

> Délibération de la formation restreinte n° SAN-2020-009 du 18 novembre 2020 concernant la société CARREFOUR BANQUE 

Pour approfondir

> La procédure de sanction

Les textes de référence

> Article 5 du règlement général sur la protection des données (principes relatifs au traitement des données personnelles) 

> Article 5.1.e du RGPD (conservation des données) 

> Article 12 du RGPD (transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée) 

> Article 13 du RGPD (informations à fournir lorsque des données personnelles sont collectées auprès de la personne concernée) 

> Article 15 du RGPD (droits de la personne concernée) 

> Article 17 du RGPD (droit à l’effacement ou droit à l’oubli) 

> Article 21 du RGPD (droit d’opposition) 

> Article 82 de la loi Informatique et Libertés (droits et obligations propres aux traitements dans le secteur des communications électroniques) 

> Article L34-5 du Code des postes et des communications électroniques 

Cookies : sanction de 60 millions d’euros à l’encontre de GOOGLE LLC et de 40 millions d’euros à l’encontre de GOOGLE IRELAND LIMITED

10 décembre 2020

Le 7 décembre 2020, la formation restreinte de la CNIL a sanctionné les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED d’un montant total de 100 millions d’euros d’amende, notamment pour avoir déposé des cookies publicitaires sur les ordinateurs d’utilisateurs du moteur de recherche google.fr sans consentement préalable ni information satisfaisante.

Le 16 mars 2020, la CNIL a effectué un contrôle en ligne sur le site web google.fr qui a permis de constater que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient automatiquement déposés sur son ordinateur, sans action de sa part. Plusieurs de ces cookies poursuivaient un objectif publicitaire.

Les manquements à la loi Informatique et Libertés

La formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a relevé trois violations à l’article 82 de la loi Informatique et Libertés :

Un dépôt de cookies sans recueil préalable du consentement de l’utilisateur

Lorsqu’un utilisateur se rendait sur la page google.fr, plusieurs cookies poursuivant une finalité publicitaire étaient automatiquement déposés sur son ordinateur sans action de sa part.

Ce type de cookies ne pouvant être déposé sans que l’utilisateur ait exprimé son consentement, la formation restreinte a considéré que les sociétés n’avaient pas respecté l’exigence prévue par l’article 82 de la loi Informatique et Libertés de recueil préalable du consentement avant le dépôt de cookies non essentiels au service.

Un défaut d’information des utilisateurs du moteur de recherche google.fr

Lorsqu’un utilisateur se rendait sur la page google.fr, un bandeau d’information s’affichait en pied de page, portant la mention suivante « Rappel concernant les règles de confidentialité de Google » en face de laquelle figuraient deux boutons intitulés « Me le rappeler plus tard » et « Consulter maintenant ».

Ce bandeau ne fournissait à l’utilisateur aucune information relative aux cookies qui avaient pourtant déjà été déposés sur son ordinateur, dès son arrivée sur le site. Cette information ne lui était pas non plus fournie lorsqu’il cliquait sur le bouton « Consulter maintenant ».

La formation restreinte a donc estimé que l’information fournie par les sociétés ne permettait pas aux utilisateurs résidant en France d’être préalablement et clairement renseignés quant au dépôt de cookies sur leur ordinateur ni, par conséquent, des objectifs de ces cookies et des moyens mis à leur disposition quant à la possibilité de les refuser.

La défaillance partielle du mécanisme « d’opposition »

Lorsqu’un utilisateur désactivait la personnalisation des annonces sur la recherche Google en recourant au mécanisme mis à sa disposition à partir du bouton « Consulter maintenant », un des cookies publicitaires demeurait stocké sur son ordinateur et continuait de lire des informations à destination du serveur auquel il est rattaché.

La formation restreinte a donc estimé que le mécanisme « d’opposition » mis en place par les sociétés était partiellement défaillant, en violation de l’article 82 de la loi Informatique et Libertés.

La sanction prononcée par la formation restreinte

La formation restreinte a sanctionné la société GOOGLE LLC d’une amende de 60 millions d’euros et la société GOOGLE IRELAND LIMITED d’une amende de 40 millions d’euros, rendues publiques.

La formation restreinte a justifié ces montants au regard de la gravité du triple manquement précité à l’article 82 de la loi Informatique et Libertés.

Elle a également souligné la portée du moteur de recherche Google Search en France et le fait que les pratiques des sociétés ont affecté près de cinquante millions d’utilisateurs.

Enfin, elle a relevé les bénéfices considérables que les sociétés tirent des revenus publicitaires indirectement générés à partir des données collectées par ces cookies publicitaires.

La formation restreinte a pris acte que, depuis une mise à jour de septembre 2020, les sociétés cessent de déposer automatiquement les cookies publicitaires dès l’arrivée de l’utilisateur sur la page google.fr.

Elle a néanmoins relevé que le nouveau bandeau d’information mis en œuvre par les sociétés lors de l’arrivée sur la page google.fr ne permettait toujours pas aux utilisateurs résidant en France de comprendre les finalités pour lesquelles les cookies sont utilisés et ne les informait pas du fait qu’ils pouvaient refuser ces cookies.

Dès lors, en complément des amendes administratives, la formation restreinte a également adopté une injonction sous astreinte afin que les sociétés procèdent à une information des personnes conforme à l’article 82 de la loi Informatique et Libertés dans un délai de 3 mois à compter de la notification. Dans le cas contraire, les sociétés s’exposeront au paiement d’une astreinte de 100 000 euros par jour de retard.

Une compétence de la CNIL 

Dans sa délibération, la formation restreinte a rappelé que la CNIL est matériellement compétente pour contrôler et sanctionner les cookies déposés par les sociétés sur les ordinateurs des utilisateurs résidant en France. Elle a souligné ainsi que le mécanisme de coopération prévu par le RGPD (mécanisme de « guichet unique ») n’avait pas vocation à s’appliquer dans cette procédure étant donné que les opérations liées à l’utilisation des cookies relèvent de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés.

Elle a considéré qu’elle est également territorialement compétente en application de l’article 3 de la loi Informatique et Libertés car le recours à des cookies est effectué dans le « cadre des activités » de la société GOOGLE FRANCE qui constitue « l’établissement » sur le territoire français des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED et y assure la promotion de leurs produits et services.

Elle a également estimé que les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED sont conjointement responsables dès lors qu’elles déterminent toutes les deux les finalités et les moyens liés à l’usage des cookies.

L’articulation de la sanction avec les travaux de la CNIL sur les cookies

Dans le cadre de son plan d’action sur le ciblage publicitaire et pour tenir compte de l’entrée en application du RGPD, la CNIL a publié le 1er octobre 2020 ses lignes directrices modificatives ainsi qu’une recommandation portant sur l’usage de cookies et autres traceurs. La CNIL a demandé aux acteurs de se conformer aux règles ainsi clarifiées, en estimant que cette période d’adaptation ne devrait pas dépasser six mois.

À cette occasion, elle a néanmoins précisé qu’elle continuerait notamment à contrôler pleinement le respect des autres obligations qui n’ont fait l’objet d’aucune modification et le cas échéant, d’adopter des mesures correctrices pour protéger la vie privée des internautes.

Les obligations dont la CNIL sanctionne aujourd’hui le non-respect par les sociétés préexistaient au RGPD et ne font donc pas partie de celles qui ont été clarifiées par les nouvelles lignes directrices et la recommandation du 1er octobre 2020.

Note : La société GOOGLE LLC, établie en Californie, développe le moteur de recherche Google Search. La société GOOGLE IRELAND LIMITED, dont le siège est en Irlande, se présente comme le siège européen du groupe Google. La société GOOGLE FRANCE est l’établissement en France de la société GOOGLE LLC.

Une amende de 35 millions d’euros pour H&M qui a stocké les données personnelles des salariés

Ces faits ont été dévoilés en octobre 2019, lorsqu’une erreur informatique les a rendus accessibles, pendant quelques heures, à l’ensemble de l’entreprise.     

Une amende de plus de 35 millions d’euros a été prononcée contre l’enseigne H&M en Allemagne jeudi. Le groupe a été condamné pour avoir rassemblé et stocké des informations sur une centaine de salariés.

L’Allemagne a infligé jeudi une amende sans précédent de 35,3 millions d’euros au groupe de prêt-à-porter H&M, pour avoir enregistré des données privées de certains salariés à leur insu, a annoncé le centre de protection des données du pays jeudi.

« Large connaissance » de la vie privée des employés

« Une amende de 35 258 707,95 euros est requise contre H&M (…) pour une affaire de surveillance de plusieurs centaines de ses collaborateurs », a indiqué le Commissariat à la protection des données de Hambourg. Il s’agit du montant le plus important infligé par l’Allemagne à une entreprise au nom de la législation européenne sur la protection des données privées (RGPD), depuis son entrée en vigueur en 2018, a indiqué une porte-parole de l’institution.

Les autorités reprochent au groupe de prêt-à-porter d’avoir laissé des responsables d’un site H&M, à Nuremberg (sud), rassembler et stocker des informations sur leurs salariés, entre 2014 et 2019. « Certains de ces supérieurs ont acquis une large connaissance de la vie privée de leurs employés », a constaté le centre de protection.

Une erreur informatique

Après l’absence d’un collaborateur, les responsables du site organisaient systématiquement un entretien, traitant « des vacances », ou des « symptômes et diagnostics » du salarié, en cas de congés maladie. Ces informations étaient ensuite « enregistrées », stockées numériquement, et servaient à « établir des profils individuels ».

H&M insiste sur l’aspect « local » de ces pratiques

Les supérieurs obtenaient également des éléments de vie privée de leurs collaborateurs lors de discussions informelles, notamment sur des « problèmes familiaux », ou des « croyances religieuses ». Ces données étaient ensuite « disponibles à la lecture pour jusqu’à 50 responsables du groupe ».

Réagissant à la décision des autorités allemandes, la marque de prêt-à-porter a présenté ses excuses pour des faits qu’elle estime « non conformes aux directives et instructions » du groupe. H&M insiste sur l’aspect « local » de ces pratiques, et affirme avoir « signalé immédiatement les faits » aux autorités, après en avoir pris connaissance.

Ces faits ont été dévoilés en octobre 2019, lorsqu’une erreur informatique les a rendus accessibles, pendant quelques heures, à l’ensemble de l’entreprise. 

L’Europe veut protéger la vie privée

Le Règlement européen de protection des données a renforcé les obligations des entreprises en termes de protection de la vie privée. Il prévoit des amendes pouvant aller jusqu’à 4% de leur chiffre d’affaires.

En 2019, l’Allemagne a déjà condamné le groupe immobilier Deutsche Wohnen à une amende de 14,5 millions d’euros pour avoir archivé des données sensibles de ses locataires. La France a de son côté infligé une sanction de 50 millions d’euros au géant de l’informatique Google, pour défaut d’information de ses utilisateurs de leurs données personnelles. L’amende la plus élevée a été infligée par le Royaume-Uni à la compagnie aérienne British Airways, qui a écopé en 2019 d’une sanction de 183 millions de livres (200 millions d’euros), pour un vol des données financières de centaines de milliers de ses clients.

élargissement du domaine du risque, cyberisque-cybersécurité, dispositifs de contrôle et plans d'actions, GESTION DES RISQUES, réglementation et amplification du risque, rgpd, RISQUES

RGPD. RAPPEL. BILAN 2020. QUELS PLANS D’ACTIONS ?

Laisser un commentaire
Je vous souhaite à tous une Excellente Année 2021 : respiration, aération, inspiration…
Le mois de janvier du blog sera consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html
Nous avons déjà abordé le sujet en 2019 et 2020. Vous pouvez relire en avril 2019 « RGPD, les sanctions tombent » et en avril 2020 « Le contexte réglementaire qui accentue l’intérêt des entreprises pour les risques liés au télétravail, à savoir le RGPD…» A retrouver dans les archives tout en bas du menu déroulant en bas à gauche.
Aujourd’hui, 11 janvier 2021. Rappel du contexte réglementaire : le RGPD. 1er éléments de bilan 2020 à partir de deux articles :
  • « Pourquoi le RGPD n’a (presque) rien changé pour les internautes » et constat d’un relatif échec
  • Quelques chiffres sur le montant des sanctions en Europe

Au programme. Le 18 janvier 2021

  • article / sanctions H&M
  • article / sanctions Google
  • article / sanctions Carrefour / avec les délibérations et pour approfondir les références aux articles de la CNIL

Au programme. Le 25 janvier 2021

  • Règles de l’ANSSI et de la CNIL à suivre / Quels Plans d’Actions ? (source : I-Trust)

Rappel du contexte réglementaire : le RGPD.

General Data Protection Regulation (GDPR) ou Réglement Général pour la Protection de données (RGPD)

Date : entrée en vigueur le 26 mai 2016 ; applicable à partir du 25 mai 2018.

Dispositif : le nouveau règlement européen modifie le cadre juridique relatif à la protection des données à caractère personnel au sein de l’Union européenne. Les entreprises devront déclarer aux autorités de leur pays (et dans certains cas aux personnes concernées) les violations de données à caractère personnel sous 72 heures en suivant les dispositions spécifiques du GDPR  et en conservant un registre de violation.

Champ d’application : toutes les entreprises qui collectent, traitent, et stockent des données à caractère personnel.

Sanctions : action judiciaire des individus pour réclamer des dommages et intérêts ; actions de groupe ; amende administrative jusqu’à 20 millions d’euros ou 4% du Chiffre d’Affaires mondial.

Il s’attarde sur les risques de notre époque post-moderne (violation de données, perte des données, traitement illicite de données…).

Pour en savoir plus : « Règlement Général pour la Protection des Données. Comment l’entreprise doit-elle protéger les données personnelles ?, Cahier technique de l’AMRAE, juillet 2018.

Quelques Chiffres

En 2020, le montant des amendes pour non-respect du RGPD s’élève à 171 millions d’euros. C’est l’Italie qui a infligé le plus de sanctions, avec 34 infractions constatées, soit un montant correspondant à 58,16 millions d’amendes.

Le nombre d’affaires croissant porté devant les autorités de protection des données personnelles devrait toutefois mener à une hausse du montant total de sanctions dans les années à venir, notamment après l’invalidation du Privacy Shield par la Cour de Justice européenne (CJUE).
En 2020, le montant des amendes pour non-respect du RGPD s’est élevé à 171 millions d’euros

C’est l’Italie qui a infligé le plus de sanctions.

Le classement des pays qui ont infligé le plus d’amendes au titre du règlement général sur la protection des données vient de sortir. Selon Finbold, le montant total des sanctions s’élève cette année à 171,3 millions d’euros. C’est l’Italie qui arrive en tête du classement avec 34 infractions constatées pour ses entreprises et un total de 58,16 millions d’euros d’amendes infligées.

L’étonnante dernière position de l’Irlande

En mai 2018, après plusieurs années de réflexion et de travail, le RGPD voyait le jour. Ce règlement européen précède à la directive 95/46/CE instaurée en 1995 par le Parlement Européen. Un véritable chantier juridique qui semble désormais porter ses fruits. En effet, si entre mai 2018 (date d’entrée en vigueur du texte) et janvier 2020, seulement 114 millions d’euros d’amendes avaient été comptabilisés, entre janvier 2020 et décembre 2020, le montant total des sanctions est plus élevé. Il atteint précisément 171,3 millions d’euros.

Il est intéressant de s’arrêter sur le classement des pays. Premier constat étonnant : l’Irlande est en dernière position dans ce classement des pays qui ont infligé le plus d’amendes au titre du RGPD. Seulement 630 000 euros d’amendes. Ce pays est pourtant le centre névralgique de la protection des données. C’est là que Google, Facebook, LinkedIn, Microsoft, Airbnb, Hubspot, Stripe, Smartbox, Dropbox, Slack, Salesforce ou encore IBM ont leur siège social… Des entreprises susceptibles de ne pas respecter le règlement général sur la protection des données.

La France inflige 3 millions d’euros d’amendes

En première position de ce classement, nous retrouvons l’Italie. La Garante per la protezione dei dati personali, l’équivalent de la Cnil en Italie, a délivré un total de 58,16 millions d’euros d’amendes. Parmi les entreprises concernées, nous retrouvons Eni Gas et Luce, un fournisseur italien d’électricité et de gaz. L’entreprise a dû s’acquitter d’une grosse amende de 11,5 millions d’euros. Le Royaume-Uni se classe en deuxième position avec 49,3 millions d’euros d’amendes. On se souvient notamment de l’amende prononcée à l’encontre de British Airways.

L’Allemagne est troisième avec 37,39 millions d’euros d’amendes. Ensuite nous retrouvons la Suède, l’Espagne et la France en sixième position avec seulement 3 millions d’euros d’amendes. L’amende la plus importante est celle dont Carrefour Banque a dû s’acquitter en fin d’année. En 2021, l’invalidation du Privacy Shield par la Cour de justice européenne (CJUE) devrait représenter un véritable défi pour les autorités de protection des données. 5 300 entreprises sont concernées et cela rebat totalement les cartes des flux de données. Enfin, notons que malgré le Brexit, le RGPD reste applicable jusqu’en juillet 2021.

Par Valentin Cimino 

 

approche socio-cognitive: rex, apprentissage, contrôle, GESTION DES RISQUES, les "affaires", normes

TOUT SAVOIR SUR LA GESTION DES RISQUES ET LE RISK MANAGER EN FRANCE. UNE LECTURE DE Noel : « LA FONCTION RISK MANAGER : ORGANISATION, MÉTHODES ET POSITIONNEMENT » !  

Laisser un commentaire

Merci d’avoir suivi mon blog.

A la rentrée : retour sur le rôle du législateur-régulateur comme amplificateur de risques avec les premières sanctions pour infraction au RGPD, point sur le marché des assurances, le rôle des captives…

Je terminerai l’année civile sur ce conseil de lecture. Ce sera le dernier post avant 2021.

Lien vers l’ouvrage : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

élargissement du domaine du risque, éthique-gouvernance, médias et amplification du risque, réputation-image, RISQUES

Risque de Reputation : Quelles Evolutions ? Médias, E-REPUTATION, ETHIQUE

Laisser un commentaire

Risque de Réputation. Définition

Dans notre ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », Editions Gereso, 2019, Nicolas Dufour et moi-même reprenons la définition de Rayner (2003) : « toute action, évènement ou circonstance qui pourrait avoir un impact positif ou négatif sur la réputation d’un organisme…ou encore… comme un ensemble de perceptions et opinions présentes ou passées sur un organisme, nichées dans la conscience des parties prenantes. » p.35

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Voir blog janvier 2020 / « What Price Reputation ? Impact d’une dégradation de l’image sur la valorisation boursière. »

Voir blog septembre 2020 / « Risque de réputation. Définition, illustration à travers les affaires Nike 1990-2000, 2020. »

Risque de Réputation. Les médias comme amplificateur de risque.

Nous présentons les médias comme un des deux amplificateurs du risque qui a contribué à mettre en place l’image d’un monde plus risqué : « les médias tendent à amplifier la notion de responsabilité du dirigeant en cas de négligence et les logiques de compensation…Ces évolutions rendent les entreprises plus vulnérables et le risque est partout mais ce qu’elles craignent le plus, c’est la perte de réputation. » p.58.

Risque de Réputation. Evolutions : e-réputation ; éthique

Les entreprises doivent de plus en plus compter avec la viralité des réseaux sociaux. Le risque de réputation croise de plus en plus le risque éthique dans sa dimension développement durable et de plus en plus dans sa dimension gouvernance (respect des engagements pris).t soigner leur e-réputation. Le risque de réputation est exacerbé. Le rôle des médias et ces évolutions récentes (e-réputation / éthique de l’entreprise) sont très bien illustrés dans l’étude VISIBRAIN. Je vous propose un extrait de l’article d’Olivier Cimelière sur ce sujet ; vous pouvez le lire dans son intégralité sur son blog, le blog du communicant, en cliquant sur le titre de l’article.

Réputation des marques : 5 enjeux numériques à intégrer en 2021

2021, année de tous les dangers réputationnels ? A l’aune de cette année très particulière qui s’achève (enfin !) et qui aura dopé comme jamais les conversations et les contenus en ligne, Visibrain, la plateforme de veille d’Internet et des réseaux sociaux, a tracé 5 tendances majeures qui devraient perdurer, voire s’amplifier à l’encontre des marques et des entreprises. Points saillants d’un rapport instructif.

Pour le meilleur et pour le pire, l’année 2020 marque la consécration du digital dans la construction des réputations et des perceptions. Confinement oblige, jamais les citoyens ne se sont autant connectés sur les réseaux sociaux. Même si chaque génération a ses terrains numériques de prédilection, le volume des conversations et des partages de contenus n’a cessé de gonfler. La pandémie de la Covid-19 est évidemment le vecteur principal des commentaires des internautes. Néanmoins, les causes sociétales et environnementales ne sont pas en reste. Pour les marques et les entreprises, il s’avère plus que jamais d’être agile face aux menaces comme aux opportunités sous peine de réputation entamée.

Tendance n°1 : La réputation des marques est plus que jamais liée aux enjeux de société

Les débats sociétaux et environnementaux rattrapent et embarquent de plus en plus les marques. Même si ces dernières sont loin d’être demeurées à l’écart en lançant des programmes de développement durable, en soutenant des initiatives citoyennes et en se préoccupant davantage de leur raison d’être, elles sont de plus en plus souvent interpelées, voire sommées de s’engager et prendre des positions sur un sujet donné. En 2020, les thèmes n’ont pas manqué. Il y a bien sûr eu la crise sanitaire où les entreprises ont redoublé d’efforts pour apporter une contribution à mesure de leurs expertises et de leurs possibilités. Cela ne doit pas occulter d’autres causes qui ont tiré par la manche nombre de marques afin qu’elles évoluent dans leur positionnement ou leurs promesses.

A cet égard, on peut citer deux cas emblématiques : l’arrestation mortelle de George Floyd aux USA qui a entraîné l’explosion du mouvement #BlackLivesMatter et la campagne intense autour de l’esclavagisme de la minorité ouïghoure pratiqué par le gouvernement chinois. Dans le premier cas, plusieurs marques renommées ont senti le vent du boulet à tel point que le groupe Mars, propriétaire de la célèbre marque Uncle Ben’s, a décidé de se débarrasser de la bobine conviviale de son effigie face à la résurgence d’un passé esclavagiste dans les Etats du Sud. D’autres marques se sont engouffrées à leur tour dans le débat antiraciste mais non sans déclencher parfois des grincements de dent et des critiques cinglantes. Nike s’est aussi profondément impliqué avant de se faire flasher par le deuxième cas. Une ONG accuse en effet la marque d’exploiter le travail forcé des Ouïghours dans des manufactures chinoises.

Ces illustrations montrent concrètement que les entreprises ne peuvent plus ignorer la tectonique permanente des enjeux de société. Le rapport Visibrain note ainsi : « La RSE, qui était jusqu’alors un moyen de différenciation, est aujourd’hui un prérequis. Il en va de même pour le bien-être animal, l’égalité homme-femme, mais aussi le respect des droits de l’Homme, autant de causes qui prennent de plus en plus de place sur la scène sociale et pour lesquelles il faudra rendre des comptes en cas de mauvaises conduites. Ainsi, le degré d’engagement social d’une marque contribue directement sur sa perception, positivement comme négativement ».

Tendance n°2…

Blog Le Communicant. O. Cimelière. Décembre 2020

élargissement du domaine du risque, Corruption, GESTION DES RISQUES, loi sapin II, quantification-cartographies, RISQUES

Risques de corruption. Dispositifs anti-corruption : des progrès à faire

Laisser un commentaire

Dans les archives mensuelles (situées tout en bas à gauche de la page) ou en recherchant « Risque de corruption » retrouver et relire :

  1. Loi Sapin : rôle du régulateur-législateur et résumé de la loi / article « Trois ans après, où en sont les entreprises ? » ; Archives octobre 2020
  2. Cartographies de risques de corruption ; Archives juillet 2020

Aujourd’hui après la présentation de la loi, le bilan à N+3 et la présentation de l’outil de gestion des risques, je vous propose un article sur les progrès dans la mise en place des plans d’actions anti-corruption.

Dispositifs anti-corruption : des progrès à faire

Grant Thornton a publié début octobre la 3e édition de son baromètre sur les dispositifs anti-corruption des entreprises. Axé cette année sur la maturité, il constate des progrès dans tous les domaines mais pointe également de nombreux retards.

Près de 4 ans après l’instauration de la loi Sapin 2, où en sont les entreprises en termes de dispositifs anti-corruption ? C’est la question à laquelle le Baromètre de Grant Thornton consacré au sujet essaie de répondre, pour la troisième année consécutive. « Le constat général est qu’il y a des progrès dans tous les domaines même si c’est parfois un peu poussif », résume Nicolas Guillaume, Business Risk Services & Forensic Lead Associé chez Grant Thornton qui a supervisé la réalisation de ce baromètre. Il reconnaît cependant que le baromètre Grant Thornton est exigeant puisque pour être jugé conforme en termes de dispositif anti-corruption, il faut être conforme à tout.

Difficile évaluation des tiers

Et force est de constater que peu d’entreprises sont en conformité : 90% des entreprises sont  » non conformes « . Ce chiffre est certes un mieux par rapport à 2019 (seules 6% des entreprises étaient alors conformes) mais il y a encore de nets progrès à faire, notamment dans le domaine de l’évaluation des tiers : seules 19% d’entités sont conformes. « C’est opérationnellement très lourd de passer au peigne fin toute sa chaîne, d’autant plus quand le business est très éclaté, avec beaucoup de transactions », analyse Nicolas Guillaume.

Deux autres thèmes progressent doucement : le dispositif de suivi (44% d’entités conformes) et les contrôles comptables (46%). « Sur les contrôles comptables, les entreprises rencontrent des difficultés à identifier quels sont les points spécifiques à relever et comment s’organiser pour le faire. Quant au dispositif de suivi, ce n’est pas étonnant qu’il ne soit pas avancé : il faut d’abord progresser sur les autres sujets », explique Nicolas Guillaume.

Doublement de la maturité sur la cartographie des risques

Le Baromètre note par contre de gros progrès en matière de cartographie des risques : nous avons presque constaté un doublement de la maturité, les entreprises conformes étant passées de 40% en 2018 à 71% aujourd’hui », rapporte

L’associé Grant Thornton souligne également que si la proportion d’entités totalement conformes évolue lentement (10% contre 6 % précédemment), le taux de conformité moyen progresse quant à lui fortement, passant de de 57 % à 79 %.

Prévention des risques

Les progrès sont là mais les entreprises doivent mieux faire, ne serait-ce que pour éviter de se faire rattraper par le régulateur sur les questions d’anti-corruption. « Il y a également un aspect de responsabilité sociétale : les entreprises ont tout intérêt à utiliser leurs ressources dans d’autres sujets qu’en faveur d’intermédiaires véreux », souligne Nicolas Guillaume. Il insiste aussi sur la notion de risque : « Un dispositif efficace peut permettre d’éviter de se faire piéger par des gens peu scrupuleux et de protéger son activité ».

C’est pourquoi la cartographie des risques est si importante : cela permet de prendre conscience de la nécessité d’agir sur certains sujets dans l’intérêt de son entreprise. « Les entreprises débutent leurs travaux pour des raisons réglementaires mais quand les dirigeants se rendent compte en avançant que des collaborateurs se sont retrouvés dans des situations compliquées le sujet devient moins technocratique et les intéresse davantage », observe Nicolas Guillaume.

L’associé Grant Thornton rapporte par ailleurs que le panel du Baromètre est constitué d’entités non soumises aux exigences de la loi Sapin 2 mais qui ont décidé volontairement d’engager les démarches pour satisfaire aux exigences. « Ces entités évoluant majoritairement à l’international et ayant des clients soumis à Sapin 2 ont perçu l’enjeu commercial de se positionner comme un partenaire compliant« , pense Nicolas Guillaume.

Identifier les enjeux

Nicolas Guillaume reconnaît cependant la complexité de certains sujets de la loi Sapin 2. « L’Agence française anticorruption (AFA) est en train de mettre à jour certaines de ses recommandations : elles seront plus explicites pour les entreprises », indique Nicolas Guillaume. Il entrevoit un autre problème à la mise en place des dispositifs anti-corruption dans les entreprises : le manque de temps et de ressources. « Dans la période actuelle, les entreprises ont de plus d’autres préoccupations ».

Il conseille de débuter par une cartographie des risques établie avec sérieux afin d’identifier les sujets à enjeux pour l’entreprise. « Cela permet de ne pas adopter une approche monolythique : il s’agit non pas de faire tous les tiers ni tous les contrôles comptables à la fois mais de se concentrer sur les vraies zones d’enjeux », recommande-t-il.

Nicolas Guillaume insiste aussi sur la culture d’entreprise: « Les procédures sont importantes mais ce qui compte c’est la façon dont se comportent les collaborateurs face à une situation compliquée : il s’agit d’éduquer les gens, de leur faire prendre conscience de ces problématiques afin qu’ils acquièrent les bons réflexes ». Les dispositifs anti-corruption comprennent donc un volet management et formation.

Eve Mennesson. 2 nov. 2020 

approche socio-cognitive: rex, apprentissage, élargissement du domaine du risque, cyberisque-cybersécurité, GESTION DES RISQUES, RISQUES, suivi des risques-analyse des résultats

Cloture du CYBERMOIS : L’apprentissage par le jeu comme outil de sensibilisation des equipes à la Cybersecurité

Laisser un commentaire

La mise en place par certains Risk Managers d’outils hors contrôle tels que le retours d’expérience, les réunions, la responsabilité des opérationnels, l’appropriation des outils permettraient aux Risk Managers d’avoir l’appui des opérationnels et d’acquérir une légitimité cognitive (celle qui consiste à s’ancrer dans l’inconscient collectif pour être compris par les parties prenantes, devenir incontournable ; elle est le « graal » de la légitimité.) Nous évoquons ces outils dans nos travaux (Aubry et Montalan, 2007) et dans l’ouvrage La Fonction Risk Manager. Organisation, méthodes et positionnement (2019, p.96).

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

L’apprentissage par le jeu fait notamment son apparition pour sensibiliser les équipes à l’enjeu de la cybersécurité.

Je vous propose ci-dessous pour clôturer le Cybermois :

  1. Un jeu proposé par l’ANSII pour vous tester
  2. Un article sur l’apprentissage de la cybersécurité par les serious games

Pour clôturer le Cybermois, l’ANSSI propose cet apprentissage par le jeu.

ILLUSTRATION

C’est à vous de jouer !
Pour la dernière semaine du #Cybermois, Léa, alias Dark Sissi, cherche de nouvelles victimes sur #Internet … Qui va-t-elle cibler aujourd’hui ? #cybersécurité #rançongiciel
Et vous, que feriez-vous ?
➡️ https://lnkd.in/dDh_eNr

Et vous, que feriez-vous ?

cybermois.fr • Lecture de 1 min

Pour clôture le Cybermois, je vous propose de découvrir l’univers des serious games :

Sensibilisation à la cybersécurité : les serious game tirent leur épingle du jeu

Vous souhaitez familiariser vos collaborateurs aux enjeux de cybersécurité de votre entreprise ? En les sensibilisant par le jeu plutôt que par des sessions de formation classiques, il devient possible de susciter leur intérêt et d’améliorer leur apprentissage. Bonnes pratiques.

Pour sensibiliser leurs équipes à ces épineuses questions, les entreprises recourent traditionnellement à des sessions de formation. Le décor : une salle de réunion peuplée de collaborateurs plus ou moins attentifs. Sur scène : un formateur faisant défiler les slides d’une présentation avec le rythme d’un métronome. Ce format comporte de nombreuses limites, notamment celle de devoir assimiler un très grand volume d’informations en un temps restreint. La session présentielle étant peu interactive, les participants se sentent moins impliqués, ce qui influe sur la quantité d’informations retenues

e-Learning, la panacée ?

Avec la démocratisation du e-learning dans les années 2000, les entreprises ont pu affiner leur stratégie de formation, avec la possibilité d’inclure des cas pratiques concrets, et proposer ces modules à un grand nombre de salariés, permettant à chacun de se former au moment qui l’arrange. Cependant, l’e-learning à lui seul reste insuffisant. Rapidement lassés par un format redondant, les apprenants finissent par faire défiler les modules de manière automatique, sans assimiler les contenus. Tout miser sur l’e-learning serait donc une erreur.

Pour impliquer les collaborateurs, les méthodes d’apprentissage les plus ludiques tirent aujourd’hui leur épingle du jeu. Celles-ci permettent de mémoriser des informations sans s’en rendre compte. Il est ainsi conseillé de miser sur une approche plus informelle, en imaginant des campagnes de sensibilisation marquantes, fondées sur le jeu, renforçant la cohésion d’équipe.

Pour marquer les esprits, le mieux est de simuler par le jeu les conséquences d’une attaque informatique. Il peut s’agir par exemple de démonstrations de piratage d’outils bureautiques, via de fausses campagnes de phishing ou des prises de contrôle de PC à distance. Pour un public évoluant au sein d’environnements industriels, le piratage de maquettes SCADA est aussi très visuel et montre très bien l’impact d’une cyberattaque sur une chaîne de production.

Questions pour un cyber-champion

Parce que le sel du jeu, c’est la compétition, organiser un challenge entre les collaborateurs au cours d’une session de formation permet de dynamiser l’apprentissage et de faciliter l’appropriation des messages-clés. Plusieurs formats peuvent inspirer les entreprises. Ainsi, le code de la cybersécurité reproduit les sessions du code de la route, en mettant à disposition des participants une télécommande pour répondre à une question parmi quatre propositions. Ces séances sont l’occasion d’aborder les bonnes pratiques du quotidien comme le verrouillage des sessions, la politique de mots de passe ou les bons réflexes en cas d’impression d’un document.

Les collaborateurs peuvent également s’affronter autour de Questions pour un cyber-champion : 200 questions traitent des bases de la cybersécurité, des simples bonnes pratiques pour protéger ses données personnelles, en passant par des thèmes plus difficiles abordant les protocoles sécurisés, les attaques informatiques, ou les équipements de sécurité, etc.

Jeu de cartes, escape game : les vertus de l’apprentissage en équipe

L’apprentissage collaboratif compte parmi les solutions les plus efficaces. La discussion permet en effet de reformuler les notions, facilitant ainsi leur appropriation. Ce travail d’équipe va également participer au renforcement des liens entre les salariés. Orange Cyberdefense a par exemple conçu un jeu de cartes pour découvrir les menaces liées à la navigation sur Internet. Chaque joueur doit déjouer les attaques informatiques de ses adversaires en mettant en œuvre les bonnes pratiques de sécurité.

Pour aller plus loin, un escape game au cours duquel les participants se mettent dans la peau d’un espion offre une expérience encore plus réaliste. Par équipe de cinq, ils doivent voler une formule secrète en moins d’une heure, en tirant parti des mauvaises pratiques de sécurité (mots de passe, mauvaise manipulation de documents, etc.).

Ces vecteurs de sensibilisation ludiques et innovants viennent ainsi compléter les approches plus traditionnelles utilisées en entreprise. Ce type de démarche suscite un intérêt particulier auprès des équipes qui enrichissent leur culture en cybersécurité et adoptent des comportements plus vertueux.

Notes : *Intermedia, 2017, Data Vulnerability Report

élargissement du domaine du risque, cyberisque-cybersécurité, RISQUES

The European Cybersecurity Month 2020

Laisser un commentaire

Au programme : en savoir plus / une menace croissante / où chercher l’information ? / quels métiers ? / un exemple de cyberrésilience.

Ce mois d’octobre marque le 8e mois européen de la cybersécurité de l’Union européenne.

Pour en savoir plus sur la campagne et s’impliquer dès aujourd’hui. https://europa.eu/!Xr98gU

Une menace informatique croissante et en mutation.

Entre septembre et mi-octobre 2020 : un quartier de Londres victime d’une cyberattaque d’envergure, la ville de Besançon, Edenred, ORPEA, Groupe CMA CGM, Bridgestone Norvège, Le Ritz, Garmin. 

Il est nécessaire d’identifier le risque, de l’évaluer et de mettre en place des PCA si ceux-ci sont nécessaires.

Quelles ressources ?

Guide « Organiser un exercice de gestion de crise cyber » réalisé par l’ Agence nationale de la sécurité des systèmes d’information (ANSII) en collaboration avec le Club de la Continuite d’Activite (CCA). L’amélioration de la résilience numérique par l’entraînement à la gestion de crise cyber n’est plus seulement une opportunité, mais bien une nécessité pour toutes les organisations.
Ce nouveau guide vise à accompagner, pas à pas, les organisations dans la mise en place d’un exercice de gestion de crise d’origine cyber vraisemblable et formateur, pour les joueurs comme pour les organisateurs ;

https://lnkd.in/dfs2pQf

Revue annuelle de l’ANSII, Edition 2020, disponible sur le site de l’organisation;

Guide ANSII-AMRAE « Maîtrise du Risque Numérique », disponible sur les sites des deux organisations ;

« Anti Fraud Playbook » publié par the Association of Certificated Fraud Examiners. 

A venir :

Conférence « Du cyber risque à la cyber résilience : quels enjeux pour la direction juridique ? » animée par Philippe Cotelle, lors du Sommet du Droit en Entreprise 2020.
📌 Mercredi 25 Novembre 2020 à partir de 14h15
📌 Pavillon d’Armenonville, allée de Longchamp, Paris 75116
📌  Rendez-vous sur le site web : 

https://lnkd.in/dZ4kuf9

Quels sont les métiers de la cybersécurité ?

L’ANSII vient de publier le panorama des métiers de la cybersécurité. A retrouver sur https://graces.community

Parce que la gestion des risques ça marche : un exemple de cyberrésilience.

ORPEA a résisté à une cyberattaque

Orpea a révélé avoir détecté dans la nuit du 17 septembre l’intrusion d’un logiciel malveillant sur certains de ses serveurs. Les équipes de sécurité informatique ont pris les mesures immédiates pour sécuriser les systèmes, isoler les serveurs concernés (moins de 1% de la totalité des serveurs) et fermer temporairement l’ensemble du réseau, empêchant ainsi la propagation du logiciel. Cette interruption volontaire a provoqué des perturbations sur les systèmes informatiques mais n’affecte en rien la continuité des soins et la vie sociale au sein des établissements du groupe.

Après l’analyse d’experts reconnus en cyber sécurité et grâce à la réactivité et au bon fonctionnement des systèmes de sécurité, l’ensemble des sauvegardes sont intactes et aucune donnée n’a été détruite ou transférée.

L’infrastructure informatique du groupe, ses logiciels et applications et l’ensemble des données sont sains et n’ont subi aucun dommage.

Les équipes IT et des experts externes en cyber sécurité travaillent activement pour relancer progressivement l’ensemble des serveurs et des applications.

La direction générale a souhaité que ce processus se déroule étape par étape avec une extrême vigilance, et avec toutes les précautions nécessaires. Le bon fonctionnement, tant des établissements que des services administratifs, est assuré.

Orpea a informé les autorités compétentes de cet acte de malveillance.

Corruption, dispositifs de contrôle et plans d'actions, GESTION DES RISQUES, loi sapin II, RISQUES

Le régulateur/législateur, amplificateur de risques. Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Laisser un commentaire

Amplificateur de Risques

Comme le suggère le concept d’amplification sociale du risque, des facteurs sociaux, institutionnels et psychologiques influencent les perceptions du risque et les comportements à travers un réseau de canaux de communication qui les structurent et les transmettent socialement (Kaperson et al, 1988) ; les risques sont amplifiés et instrumentalisés par des institutions telles que le régulateur-législateur et les médias (Pidgeon et al, 2003).

Le rôle du régulateur-législateur a commencé en France avec la Loi de Sécurité Financière. L’analyse de la période 2008-2018 conduit à constater un renforcement institutionnel de l’obligation de prudence et de vérification. Sur fond de scandales et de crise, les interventions du régulateur-législateur amènent les entreprises à renforcer les systèmes de contrôle interne et de gestion des risques : loi du 3 juillet 2008, ordonnance du 8 décembre 2008 ; rapport du 8 décembre 2009 de l’AMF ; loi Sapin II du 9 décembre 2016…

La loi Sapin II vise à prévenir les risques de blanchiment des capitaux, de financement du terrorisme et de la corruption – la corruption est le fait pour toute personne de solliciter une personne dépositaire de l’autorité publique, moyennant rémunération, un acte relevant de ses fonctions -.

Elle propose six mesures pour cartographier le risque de corruption et le prévenir au niveau organisationnel et individuel. Cette loi n’oblige pas à une communication extérieure spécifique mais elle engage la responsabilité personnelle des dirigeants et celle de la société en tant que personne morale.

Nicolas Dufour et moi-même présentons davantage la loi Sapin II ainsi que les réglementations en vigueur et la soft-law (principe de précaution) dans notre ouvrage ; voir « La Fonction Risk Manager. Organisation. Méthodes et Positionnement », Ed Gereso, p.50.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

En février 2020, un peu plus de trois ans après, l’Autorité Française de Anticorruption lançait une enquête sur le niveau de maturité des dispositions anticorruption en entreprise.

L’article ci-dessous présente les principaux résultats de cette enquête, un lien pour y accéder, un article à lire ou relire sur la cartographie des risques de corruption posté sur le blog en juillet 2020

Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Un questionnaire destiné à toutes les entreprises a été transmis aux fédérations professionnelles pour diffusion à leurs adhérents.

Soit près de 2000 entreprises touchées et une collecte de données actualisées sur l’état de la prévention de la corruption dans le secteur privé

L’AFA publie ses résultats dans un rapport d’analyse. Il apporte un éclairage sur la connaissance des entreprises en matière d’atteintes à la probité et identifie différents dispositifs mis en place et axes de progrès:

– 70 % ont un dispositif de prévention perfectible pour la cartographie des risques, l’évaluation de tiers ou le positionnement du responsable de la fonction conformité.  

– focus sur les PME/ ETI non-assujetties à a loi Sapin2 (art.17), quant à leur appropriation des dispositifs anticorruption

– lien avec le plan national pluriannuel de lutte contre la corruption…

Ce diagnostic national permettra à l’AFA d’adapter davantage ses recommandations.

Lien vers le rapport d’analyse :
https://lnkd.in/efX85yY

A relire : le très bon article de Stéphanie Dominguez et Stella Vitchénian « Etablir la cartographie des risques de corruption : un défi en pratique » posté sur ce blog en juillet 2020.

A retrouver dans les archives juillet 2020 (tout en bas du menu déroulant à gauche).

les "affaires", réglementation et amplification du risque, RISQUES

Les affaires et la règlementation. Enron…Wirecard.

Laisser un commentaire

Pourquoi le risque devient-t-il une variable centrale de la réflexion organisationnelle ?

Il le devient sous l’effet de cinq facteurs.

L’un de ces facteurs est l’actualité du risque et les affaires.

« Les scandales en série (Maxwell, 1991 ; Enron, 2001 ; Vivendi, 2002 ; Nike, 1990-2000) posent l’exigence de conditions nouvelles d’auditabilité du risque et de transparence. L’objectif est d’accroître la transparence et la fiabilité de l’information comptable et financière des entreprises. » En p.10 de l’ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », nous présentons de manière détaillée l’affaire Enron (2001).

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Les réglementations qui ont suivi ces affaires (Turnbull Report…loi Sarbanes Oxley…) ont posé l’exigence de nouvelles conditions d’auditabilité du risque et de transparence.

Il y en a eu beaucoup d’autres affaires depuis…Wirecard est clairement l’un d’elles.

Le premier article ci-dessous présente les détails de ce que l’on peut appeler l’affaire Wirecard.

Le second présente les similitudes entre les affaires Enron et Wirecard.

Le régulateur et le cabinet d’audit au coeur de la tempête Wirecard

Comment une entreprise cotée en Bourse, valorisée à plus de 20 milliards d’euros, a-t-elle pu s’écrouler en deux semaines? Après l’arrestation de son patron, le scandale Wirecard place le gendarme financier allemand et le cabinet d’audit EY sur le banc des accusés.

Au lendemain de la demande de mise en liquidation de la fintech Wirecard, les interrogations pullulent quant à ce qui est déjà considéré comme un « scandale sans équivalent dans le monde de la finance », selon les termes du gouvernement allemand. Après avoir reporté la publication de ses résultats à quatre reprises, Wirecard a été contrainte d’admettre que quasiment deux milliards d’euros avaient tout simplement disparu, voire jamais existés. On soupçonne son désormais ex-patron, Markus Braun, d’avoir réalisé de fausses transactions avec des tiers afin de gonfler le bilan de l’entreprise dans le but de la rendre plus attractive pour les investisseurs.

« Comment une fraude aussi audacieuse n’est pas devenue apparente Wirecard est non seulement une société cotée en Bourse à Francfort, mais elle fait de plus partie du Dax, l’indice boursier allemand de référence et la vitrine de l’économie germanique. « Comment une fraude aussi audacieuse n’est pas devenue apparente plus tôt, devra faire l’objet d’une enquête », a estimé jeudi Olav Gutting, chef de groupe CDU/CSU au Bundestag. »La BaFin (l’autorité fédérale allemande de supervision financière, NDLR) devra également répondre à des questions. »

La BaFin ne pourra échapper à une sérieuse remise en question de ses méthodes de travail. Dans une lettre envoyée jeudi soir à Steven Maijoor, le président de l’Autorité européenne de supervision des marchés financiers (ESMA), la Commission européenne demande qu’une « analyse préliminaire » soit conclue « au plus tard le 15 juillet » quant au rôle de la BaFin dans cette débâcle.

Selon les résultats de cette enquête préliminaire, il pourrait y avoir une investigation complète conduisant à la remise d’un rapport par l’ESMA. Ce rapport énumérerait les lacunes de la supervision et donnerait des instructions au gendarme allemand de la finance pour introduire des réformes dans ses méthodes de travail.

Signaux d’alarme ignorés

Si le régulateur doit affronter le courroux du monde politique, c’est parce qu’il a été informé à plusieurs reprises d’irrégularités dans les comptes de Wirecard et de pratiques douteuses dans son chef. En 2015, déjà, le Financial Times (FT) publie une enquête intitulée « House of Wirecard » dans laquelle le quotidien suggère qu’il existe un trou de 250 millions d’euros dans la comptabilité de la fintech.

Un an plus tard, plusieurs vendeurs à découvert publient une enquête sous le pseudonyme de Zatarra dans laquelle ils accusent Wirecard de procéder à du blanchiment d’argent pour le compte de sites de poker américains. Informée des faits, la BaFin ouvre une enquête pour découvrir qui se cache derrière Zatarra, estimant que ses auteurs tentent de manipuler le marché. 

En janvier 2019, le Financial Times reprend ses investigations sur la fintech. Il découvre que son responsable pour la région Asie-Pacifique a fait usage de faux, blanchi de l’argent et falsifié des comptes. Quand la police de Singapour, où est basé le QG asiatique de Wirecard, perquisitionne les bureaux de l’entreprise, la BaFin réagit en empêchant les ventes à découvert sur l’action Wirecard, soulignant « son importance pour l’économie » et ouvre une enquête contre le FT, qu’elle soupçonne également de manipulation de marché.

Mea culpa

En réponse à une question parlementaire, le ministre allemand des Finances Olaf Scholz a indiqué que la BaFin avait mis plus d’un an pour se pencher sur les manipulations de marché dont était soupçonné Wirecard après le signalement d’un donneur d’alertes.

Le régulateur avait donc été avisé des faits, mais a préféré soit fermer les yeux, soit attaquer ceux qui avaient eu l’outrecuidance de dénoncer les actes frauduleux. Face à un tel constat, plusieurs députés ont demandé la démission du patron de la BaFin, Felix Hufeld.

Après quelques tergiversations, celui-ci a publiquement présenté ses excuses lundi. Il estime que la BaFin fait partie des institutions responsables de ce « désastre complet », en ayant failli à son rôle de supervision. Il s’est engagé à régler les manquements apparus dans le fonctionnement de l’autorité, mais a également tenté de faire porter le chapeau à d’autres, précisant que la direction de Wirecard ainsi que « plusieurs commissaires aux comptes » ont failli dans leurs missions.

Audit défaillant

L’attaque se dirige plus spécifiquement sur EY, l’un des quatre principaux bureaux d’audit et de conseil dans le monde. C’est en effet l’ancienne Ernst & Young qui auditait les comptes de la fintech allemande depuis 2011 et c’est elle qui a refusé ce mois-ci de les valider. 

« Une société cotée en Bourse doit en principe d’abord faire ses comptes en interne, ceux-ci sont ensuite approuvés par le conseil d’administration, avant de faire l’objet de l’analyse d’un réviseur. Ces comptes sont alors transmis avec le rapport du réviseur à l’assemblée générale, qui peut poser des questions avant de les approuver ou de les rejeter », explique Eric Steghers, directeur général de l’Institut des experts-comptables et des conseils fiscaux.

Le rôle du réviseur est ainsi de vérifier les comptes, pas de détecter les fraudes. « Les comptes doivent correspondre à une situation, c’est cela que regarde le réviseur. »

EY a eu le nez plongé dans le bilan de Wirecard pendant neuf ans. Le fait que le géant de l’audit dénonce aujourd’hui une fraude massive dans le chef de son client peut ressembler à une fuite en avant. « L’auditeur a failli, pas parce qu’il n’a pas découvert la fraude, mais parce qu’il est totalement passé à côté de l’essentiel dans les comptes », estime un ancien auditeur qui a passé plus de dix ans dans le secteur.

Image salie

« Plusieurs cas de figure peuvent se présenter, le plus grave étant une collusion entre le cabinet et l’entreprise« , pointe-t-il. Il se pourrait également que le commissaire aux comptes n’ait pas réalisé correctement sa diligence, ou qu’il ait réalisé son travail en toute bonne foi, mais que son client ait réussi à particulièrement bien maquiller sa fraude.

Ce vendredi, le FT révélait que EY n’avait plus demandé d’information à la banque de référence de Wirecard à Singapour depuis trois ans. L’établissement était pourtant supposé conserver un milliard de dollars de liquidités pour le compte de la fintech. Cette procédure de routine aurait permis de déceler la fraude très rapidement.

EY voit son image une nouvelle fois éreintée. Le cabinet, qui déclare poursuivre son travail sans faire de commentaire, traîne déjà quelques casseroles derrière lui. Le régulateur britannique, le Financial Reporting Council (FRC), enquête sur lui dans le cadre de l’affaire NMC Health, un groupe hospitalier parvenu à dissimuler les deux tiers de sa dette et par rapport au dossier de Thomas Cook, le voyagiste tombé en faillite l’année passée. EY est suspecté d’avoir manqué à sa mission dans les deux cas.

Il est encore trop tôt pour évaluer la puissance de l’onde de choc du scandale Wirecard, mais il semble certain que, tant les fintechs, que les régulateurs et les cabinets d’audit ne travailleront désormais plus de la même manière…

OLIVIER SAMOIS 

26 juin 2020 20:37

Enron. Le scandale, il y a 20 ans, était un parfait exemple de la matérialisation d’un énorme risque opérationnel (pour Enron, classé par Fortune le magazine « l’entreprise la plus innovante d’Amérique » entre 1996 et 2000) et du risque de réputation (pour leurs auditeurs, Arthur Andersen & Co., alors l’un des 5 grands cabinets d’experts-comptables), conduisant à l’effondrement des deux sociétés.

S’il est trop tôt pour connaître l’issue exacte de ce qu’on a appelé « l’Enron allemand » Wirecard impliquant, cet article revient sur les premiers indicateurs présentant des similitudes entre les deux scandales.

Wirecard, Enron et panneaux d’avertissement sur deux décennies.

L’auteur George Santayana a écrit: «Ceux qui ne se souviennent pas du passé sont condamnés à le répéter.» Et Mark Twain a écrit: « L’histoire ne se répète pas, mais elle rime souvent ».

Pourrions-nous former un couplet d’Enron pour marquer le début du millénaire et Wirecard pour marquer la fin des années 2010?

Dans l’état actuel des choses, Wirecard s’annonce comme l’une des plus grandes fraudes financières depuis des années, établissant au moins quelques comparaisons avec Enron des décennies passées. Ce sont des industries différentes, bien sûr – Enron a fait sa maison (et sa tombe) dans l’énergie, et Wirecard est un processeur de paiements. Mais malgré les verticales disparates, certains des signes avant-coureurs font écho.

Prix ​​des actions de la fusée? Sûr. Il y a dix ans, les actions Wirecard se négociaient à un faible taux à un chiffre et atteignaient 200 euros en 2018. Les actions d’Enron ont culminé à environ 90 $ à l’été 2000, après avoir commencé l’année à environ 40 $.

L’augmentation rapide des cours des actions laisse présager de l’optimisme que l’horizon (et les bénéfices) restent clairs pour les entreprises.

Les deux entreprises ont promis de transformer leurs industries. Wirecard, axé sur les paiements en ligne, a créé ces dernières années Boon, un système de paiement par application mobile lié à l’Europe, et a proposé WeChat Pay aux marchands européens aussi récemment que cette année. Enron a mis le doigt sur tout, du gaz naturel aux réseaux Internet.

La sonnette d’alarme avait sonné pour les deux entreprises avant que les choses ne se déroulent. Pour Wirecard, les racines d’un examen plus approfondi de ce qui se passait dans les coulisses peuvent être retracées dans un article du Financial Times (FT) du début de 2019 qui disait que la société avait falsifié des documents liés aux activités asiatiques de Wirecard dans le but d’induire les régulateurs en erreur.

Une couverture plus tardive de l’année a indiqué que les résultats des filiales avaient été gonflés. Le New York Times a noté le 26 juin que les services de recherche sur les actions ciblant les vendeurs à découvert (qui parient que les prix vont baisser) signalaient que Wirecard était un «château de cartes».

Puis le ralentissement rapide – et l’insolvabilité. Enron a déposé son bilan en 2001 après que des irrégularités comptables ont fait surface; une grande partie des activités commerciales de la société – comptabilisées en tant que revenus et bénéfices – avait été réalisée par le biais d’entités ad hoc (où elle détenait des participations). Wirecard, selon FT en février 2019, s’était engagé dans un «round trip». Dans le cadre de cette activité, selon le journal, l’argent quitterait la banque de Wirecard détenue en Allemagne, «montrerait son visage au bilan d’une filiale dormante à Hong Kong, partirait pour s’asseoir momentanément dans les livres d’un« client »externe», puis voyagerait retour aux opérations de Wirecard en Inde pour être comptabilisé en tant que revenu.

Plus récemment, Wirecard a déclaré qu’environ 2,1 milliards de dollars de soldes de compte qui ne peuvent pas être retracés « n’existent pas ».

L’histoire a encore des jambes, bien sûr, car ces dernières semaines, la banque centrale des Philippines a déclaré qu’il n’y avait aucun signe que les 2,1 milliards de dollars avaient été déposés en premier lieu. Les banques citées – BDO Unibank Inc. et BPI – avaient été utilisées pour « induire en erreur » les enquêteurs, selon la banque centrale.

Ailleurs, comme l’a noté le New York Times, le fournisseur de recherche indépendant The Analyst, basé à Londres (et où le partenaire fondateur Mark Hiley a qualifié Wirecard de « château de cartes ») a soulevé des questions sur les acquisitions Wirecard d’acquéreurs marchands et sur la performance financière de ces acquisitions.

« Lorsque vous avez examiné les documents financiers des entreprises locales, vous avez pu constater qu’il s’agissait de très petites entreprises, avec des revenus très faibles et une rentabilité limitée », a déclaré Hiley, cité dans le Times. « Nous étions inquiets: pourquoi payaient-ils autant d’argent pour ces petites entreprises à peine rentables? »

Et maintenant, Wirecard a déposé un dossier d’insolvabilité en partie en raison du «surendettement», les prêts d’une valeur cumulée de 1,3 milliard d’euros (1,46 milliard de dollars) venant à échéance le 1er juillet.

À certains égards, au moins dans cette histoire de deux montées et descentes spectaculaires s’étalant sur 2000 et 2020, l’histoire ne s’est peut-être pas répétée, mais elle a certainement des échos familiers.

Même s’ils ne riment pas.

les "affaires", médias et amplification du risque, réputation-image, RISQUES

Risque de réputation. Définition, illustration à travers les affaires NIKE, 1990-2000, 2020

4 commentaires

Dans notre ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement », Editions Gereso, 2019, Nicolas Dufour et moi-même reprenons la définition de Rayner (2003). Il définit le risque de réputation comme « toute action, évènement ou circonstance qui pourrait avoir un impact positif ou négatif sur la réputation d’un organisme…ou encore… comme un ensemble de perceptions et opinions présentes ou passées sur un organisme, nichées dans la conscience des parties prenantes. »

Contrefaçons, rumeurs, guerre économique, diffamation…sont autant de vecteurs de risques que l’entreprise devra contrôler afin de maîtriser son image. Les risques associés à l’image ou à la réputation de l’entreprise ne sont pas dédiés aux grandes entreprises. Ils sont également un enjeu pour chaque PME-PMI, ETI.

Nous l’illustrons à travers « l’affaire Nike (1990-2000) ».

Vous trouverez ci-dessous un extrait des faits reprochés à Nike et qui ont affecté sa réputation (p.39).

« En résumé, Nike a opté pour une stratégie basée sur une forte capacité d’innovation, un marketing agressif mettant en scène des superstars du monde sportif… Cette stratégie a relativement bien fonctionné, jusqu’à ce qu’elle fasse l’objet de critiques véhémentes par des activistes, dénonçant les pratiques des sous-traitants, considérées comme non conformes à l’éthique communément acceptée dans les pays développés. Au nombre des pratiques dénoncées, figuraient en bonne place le non-respect de certaines conventions internationales portant, entre autres, sur la liberté syndicale, les conditions de travail, le travail forcé, le travail des enfants et les questions salariales…

Puis l’extrait d’un article écrit par Olivier Cimelière, que vous pouvez lire dans son intégralité sur son blog, le blog du communicant, en cliquant sur son titre,  sur la nouvelle tourmente qui affecte de nouveau la réputation de l’entreprise.  

Dr Jekyll & Mr Nike : De la nécessité impérative d’avoir une communication RSE alignée pour sa réputation

Très active durant les mouvements de protestation liés à #BlackLivesMatter, la marque Nike se retrouve actuellement confrontée à des mises en accusations graves de la part d’une ONG australienne et du député européen Raphaël Glucksmann. L’entreprise s’approvisionnerait auprès d’usines chinoises où la minorité ouïghoure est réduite en esclavage. Jusqu’où tolérer un grand écart réputationnel sans s’égarer dans le « woke washing » ? Analyse.

Il s’intitule sobrement « You can’t stop us ». En 1 minute 30, le dernier film publicitaire de Nike magnifie le monde du sport dont les événements et les compétitions ont dû être annulés ou reportés durant la pandémie du coronavirus. Depuis fin juillet, ce vibrant appel à la résilience et à la volonté a été visionné 50 millions de fois à ce jour sur YouTube. La marque au swosh est familière de ces messages engagés et puissants qu’elle égrène au fil des mois. En mai dernier, c’était le spot « « We are never too far down to come back » qui invitait au relèvement après d’éprouvantes semaines de confinement en jouant avec l’allégorie de grands sportifs mythiques ayant vécu l’échec avant de retrouver le sommet. Sur YouTube, plus 1,1 millions de personnes ont plébiscité le film.

Il est pourtant un sujet actuel où Nike est étonnamment aux abonnés absents malgré les likes qui s’empilent en sa défaveur et les messages d’exhortation qui circulent sur les réseaux sociaux et dans des pétitions en ligne : le travail forcé des Ouïghours dans des usines chinoises manufacturant des produits textile pour la marque. Peut-on sincèrement être #BlackLivesMatter et fermer les yeux par ailleurs sur des atteintes fondamentales aux Droits de l’Homme ?

Nike, esclavagiste par procuration ?…

La blog du communicant. O.Cimelière. Août 2020