Poste
Conformité
Qui répond de ce qu'une procédure soit appliquée : son auteur ou le chef de service qui ne l'a pas écrite ? La conformité commence là où cette réponse cesse d'être évidente.
Entretien préalable
Quatre questions par lesquelles nous commencerions
Qui répond de l'application d'une procédure ?
Si vous ne pouvez pas nommer une personne pour chacune, certaines obligations n'ont pas de propriétaire, et cela ressort en général pendant un contrôle.
Comment savez-vous qu'une procédure est à jour au regard de la réglementation ?
Si c'est parce que personne n'a émis d'objection, le fait qu'elle soit à jour est une hypothèse.
Qu'est-ce que vous ne faites pas, tout en sachant qu'il le faudrait ?
En général : revoir les procédures, les contrôles internes et rafraîchir les formations. Toujours pour la même raison : pas le temps.
Où va le signalement d'une irrégularité possible par un salarié ?
S'il n'y a pas de voie unique et protégée pour cela, soit le signalement n'a pas lieu, soit il part à l'extérieur.
Nous prenons le suivi, vous gardez le jugement et l'entretien
Tenir la cartographie des obligations, veiller à l'actualité des procédures, gérer les formations et préparer les contrôles peuvent être retirés du bureau. Juger si quelque chose est une irrégularité reste à une personne.
- Une obligation a un propriétaire et une échéance. - Chaque exigence est rattachée à un processus, à une personne et à la procédure qui la met en œuvre, et les manques se voient comme des manques.
- Une procédure a une date de revue. - Un document inchangé depuis des années s'annonce lui-même au lieu d'attendre un contrôle.
- Un signalement a une voie protégée. - Avec accusé de réception, un délai et un accès restreint, pour que la confidentialité ne dépende pas de qui regarde la boîte.
Périmètre
Ce qui peut être retiré de la conformité
Vingt tâches à titre d'exemple. Chacune a un point de validation humaine. Ci-dessous une sélection ; le périmètre, nous l'ajustons à vos obligations réglementaires.
La cartographie des obligations
- Un registre des obligations par domaine et base légale
- Lier une obligation à un processus et à une procédure
- Signalement des obligations sans propriétaire attribué
- Un signal quand une règle affectant une obligation change
Procédures et actualité
- Un registre des procédures avec la date de la dernière revue
- Un signal quand une procédure doit être revue
- Signalement des procédures affectées par un changement de réglementation
- Le circuit de validation d'une nouvelle version (validation : le propriétaire du processus)
Formations et déclarations
- La liste des personnes soumises à une obligation de formation
- Le statut des formations et des déclarations par personne et par date
- Un rappel avant l'échéance
- Les retards récapitulés par service
Signalements et lanceurs d'alerte
- Une voie de signalement protégée avec accusé de réception
- Affectation du dossier avec accès restreint
- Surveillance des délais de réponse fixés par la réglementation
- Un registre des signalements sans données identifiantes dans les récapitulatifs
Contrôles internes
- Un plan de contrôles fondé sur le risque du domaine (décision : le spécialiste)
- La liste des questions et des preuves à réunir
- Un registre des constats et des actions correctives
- Matière pour un contrôle externe
Une journée de travail
Aujourd'hui
- Votre cartographie des obligations est un tableur, mis à jour irrégulièrement
- Vous apprenez un changement réglementaire par une lettre d'information ou par un avocat
- Vous vérifiez à la main quelles procédures doivent être revues
- Vous recueillez les formations en retard en demandant des listes aux services
- Les signalements arrivent dans une boîte à laquelle plusieurs personnes ont accès
- Avant un contrôle, vous réunissez les preuves pendant deux semaines
Avec l'assistance de l'IA
- Les obligations sont rattachées à des processus et à des propriétaires, et les manques se voient
- Un changement réglementaire signale les procédures et les obligations qu'il affecte
- Une procédure à revoir s'annonce toute seule
- Vous voyez les formations en retard par service sans demander
- Un signalement a une voie protégée et un délai surveillé
- Les preuves pour un contrôle se réunissent au fil de l'eau
- Obligations couvertes
moins d'exigences sans propriétaire attribué
les obligations sont liées à un processus et à une personne
- Procédures à jour
moins de documents décrivant l'état antérieur à un changement réglementaire
une revue a une date et un signal
- Formations obligatoires à temps
moins de personnes sans la formation exigée
les statuts et les rappels se font sans travail manuel
- Prêts pour un contrôle externe
les preuves sont réunies à l'avance et non la semaine d'avant
la matière se construit au fil de l'eau
Nous commençons par la cartographie des obligations, parce que sans elle on ne sait pas quoi surveiller.
- Étape 1
Obligations, processus, propriétaires
Un registre avec la base légale et le rattachement. Les manques apparaissent en général dès cette phase.
- Étape 2
Procédures et dates de revue
Des signaux sur les documents à mettre à jour.
- Étape 3
Formations et signalements
Statuts, rappels et une voie de signalement protégée.
- Étape 4
Contrôles internes
Un plan fondé sur le risque et un registre des constats. En dernier, parce que cela repose sur la cartographie de l'étape 1.
Questions fréquentes
Les questions qui reviennent à la première réunion
En quoi est-ce différent d'un avocat et d'un délégué à la protection des données ?
Un avocat apprécie un cas et un contrat précis. Un délégué à la protection des données surveille un domaine, les données personnelles, et a ses propres obligations légales. La conformité répond de ce que les processus de l'entreprise correspondent aux obligations qui la lient, quelle que soit la matière.
La conformité peut-elle être tenue par une équipe plus petite ?
La conformité dans la plupart des entreprises, ce sont une ou deux personnes pour un domaine qui couvre toute l'organisation : le problème n'est pas un excédent de bras, c'est qu'on ne peut pas tout surveiller. Reprendre le suivi des échéances et des statuts ne remplace personne : cela permet à l'attention d'atteindre les obligations qui existent aujourd'hui dans le registre et nulle part ailleurs.
Cela relève-t-il du règlement sur l'IA ?
Soutenir la conformité n'est pas un usage à haut risque au sens du règlement sur l'IA. La limite à retenir pour les signalements concernant des personnes précises vient d'un autre ordre, de l'article 22 du RGPD : l'existence d'une irrégularité ne peut pas être tranchée uniquement par des moyens automatisés. Il vaut la peine de tenir les deux régimes séparés, parce que les confondre est l'erreur la plus fréquente dans les conversations sur la conformité.
Une question qui ne figure pas ici ? Réservez un appel
Étape suivante
Combien de vos procédures n'ont pas été revues depuis plus de deux ans ?
Nous vous montrerons à quoi ressemble la conformité quand une obligation a un propriétaire et qu'une procédure périmée s'annonce toute seule.