L'émergence des nouvelles règlementations internationales, européennes et nationales incite les acteurs privés et publics à se responsabiliser, et ce dans de nombreux domaines socio-économiques. Ce changement de paradigme oblige les entreprises à adopter une approche par le risque permettant dans un premier temps de détecter leurs faiblesses pour, dans un second temps, se mettre en conformité. Le prisme couramment utilisé est alors celui de l'analyse des risques. Les méthodes d'analyse des risques diffèrent selon le contexte de l'étude, la nature des aléas, les objectifs de conformité mais à bien des égards, elles peuvent se compléter.

 

L'un des sujets permettant d'illustrer cette opportunité est celui de l'évaluation du risque lié aux tiers. Les tiers désignant en l'espèce les organismes externes avec lesquels une entreprise est en relation pour maintenir son activité (fournisseurs, sous-traitants, clients, partenaires...). Ces tiers peuvent parfois bénéficier d'un accès privilégié aux informations et systèmes de l'organisation, un accès certes proportionné au périmètre de leur mission mais qui fait peser des risques sur la société avec laquelle ils collaborent. Ces risques transverses font l'objet d'un examen minutieux notamment dans deux domaines : la sécurité des systèmes d'information et la lutte anticorruption. Etant donné que ces univers sont a priori très éloignés, cela peut brouiller les pistes d'actions communes. C'est pourquoi l'analyse de l'imbrication des différents travaux relatifs à la gestion des risques liés aux tiers semble ici judicieuse.

 

L'analyse du risque lié aux tiers : un sujet éminemment d'actualité

 

Que ce soit pour apprécier le niveau de sécurité informatique d'un tiers ou son niveau d'intégrité, il existe des textes de référence, méthodes normes et règlementations spécifiques à chaque situation. Parmi ceux-ci, on peut citer pour la sécurité de l'information et des systèmes associés la norme ISO 27 001, la Loi de Programmation Militaire (LPM) et les standards du NIST, ainsi que la réglementation relative à la protection des données à caractère personnel (RGPD).  Côté lutte anti-corruption, la loi Sapin II est un exemple emblématique.
 

La norme ISO 27001 est une norme internationale portant sur la gestion de la sécurité de l'information. Publié en octobre 2005 et révisé en 2013 et 2017, ce standard définit les exigences de sécurité en matière de management des systèmes d'information pour tous types d'organisations. L'objectif est de protéger les ressources qui permettent de collecter, stocker, traiter et diffuser de l'information contre la perte, le vol ou l'altération.

 

La loi Sapin II quant à elle est entrée en vigueur le 1er juin 2017. Elle a pour but de renforcer la transparence relative aux activités économiques des entreprises et de lutter contre la corruption. Elle s'applique aux entreprises de plus de 500 salariés, dont le chiffre d'affaires est supérieur à 100 millions d'euros.

 

Le Règlement général sur la protection des données (RGPD), quant à lui, est entré en vigueur le 25 mai 2018. L'objectif principal est de renforcer la protection des données personnelles, de responsabiliser les acteurs qui traitent ces données, et d'harmoniser la réglementation au niveau européen. Le RGPD s'applique à toutes les entreprises, organismes publics et associations qui traitent les données personnelles de personnes physiques qui se trouvent sur le territoire de l'Union Européenne ou de citoyens européens.

 

Un point commun semble rapprocher ces normes et réglementations : les risques que font encourir les tiers doivent être examinés dès le déclenchement de la mise en conformité. En effet, les échanges inter-entreprises sont de nos jours largement portés par les systèmes d'information. La sécurité des informations qui y sont contenues et l'intégrité des acteurs ayant accès à ces données sont donc primordiales. L'écosystème d'une société ne se réduit plus désormais à ses seuls collaborateurs et à sa clientèle. Tout un réseau d'acteurs intervient sur le cycle du produit, du service ou à l'appui d'une fonction support, offrant par la même occasion de nouveaux points d'entrées pour nuire à une organisation. Le risque lié aux tiers doit dès lors être analysé avec la plus grande attention pour permettre ensuite de l'atténuer au maximum. C'est pourquoi les autorités publiques et les organismes de normalisation incitent les entreprises à être plus prudentes et à surveiller de près leurs tiers.

 

Une approche mutualisée de ces sujets au travers d'une méthode et d'outils peut dès lors permettre un gain d'efficacité et une meilleure visibilité de l'ensemble de ces relations.

 

La cartographie du système d'information : un socle commun et un prérequis à l'analyse du risque tiers

 

De nombreuses entreprises proposent aux organismes publics et privés un large choix de services pour accompagner la mise en conformité. Les entreprises sont ainsi poussées à multiplier les outils relatifs à chaque réglementation, bien que certaines approches de gestion du risque puissent être mutualisées.

 

La cartographie du système d'information (SI) est un outil indispensable dans le domaine de la sécurité informatique. Elle permet de connaître l'ensemble des éléments constitutifs du SI, d'identifier les tiers avec lesquels l'entreprise échange des informations et les flux qui sous-tendent ces échanges. Grâce à sa vision globale (métier, applicative et infrastructure), elle s'intègre dans une démarche générale de gestion des risques. Les organisations concernées par la loi Sapin II peuvent donc se baser sur les cartographies réalisées en sécurité informatique pour alimenter celles qui doivent être élaborées dans le cadre de la lutte contre la corruption. Il en va de même pour les organisations concernées par le RGPD, qui peuvent se baser sur ces cartographies pour alimenter celles qui doivent être élaborées dans le cadre de la mise conformité au RGPD. Les relations avec les tiers seront préalablement explicitées, il suffira donc de procéder à l'identification des risques de corruption susceptibles d'émerger et des risques de non-conformité au RGPD. Les risques diffèrent mais les relations avec les tiers demeurent identiques.

 

Une expertise nécessaire à la mise en place d'une approche mutualisée

 

Optimiser la démarche d'investigation

 

Le parallèle entre la loi Sapin II et la sécurité de l'information est présent lors de l'élaboration de la cartographie mais aussi dans l'ensemble de la démarche de gestion de la conformité. Pour suivre le niveau de conformité d'un tiers, il faut le tester, l'évaluer, lui adresser des recommandations et suivre son évolution sur les points de vigilance.

 

La phase d'évaluation nécessite de collecter des informations et des preuves auprès du tiers pour attester de son intégrité ou du degré de sécurité déclaré. Il est alors primordial de croiser l'information interne et externe.

 

Dans le domaine légal, on vérifie que le tiers dispose d'une recommandation, d'une expérience reconnue pour le service à effectuer, de schémas de rémunération licites. A cette information interne s'ajoute un questionnaire externe permettant de vérifier l'identité du bénéficiaire effectif pour éviter les détournements. Enfin, il est possible d'utiliser des outils tels que des bases de données externes permettant de recueillir des informations sur les listes de sanctions, de condamnations, les bénéficiaires effectifs, les personnes politiquement exposées.

 

En sécurité des systèmes d'information, le tiers, quand il n'est pas supervisé à l'aide de solution dynamique (i.e. le Security Rating d'Almond, qui permet de combiner analyse externe indépendante, remplissage de questionnaires, fourniture de preuves et monitoring continu) répond à des questionnaires de sécurité et fournit une documentation qui permet d'évaluer son niveau de maturité. Les résultats de ces évaluations servent alors à s'assurer de la liste des exigences de sécurité qui couvriront tous les risques identifiés. Elles devront être converties en clauses de sécurité jointes en annexe d'un contrat entre l'entreprise et le tiers, ce contrat devant prévoir la surveillance du risque tout au long de la relation par différents mécanismes tels que, le cas échéant, la fourniture de tableaux de bord incluant des indicateurs orientés sécurité, des comités de pilotage abordant spécifiquement la sécurité, la gestion des incidents de sécurité, des audits de sécurité, des exercices de continuité informatiques...

 

La démarche est sensiblement la même, si ce n'est identique, sur le sujet de la conformité à la réglementation relative à la protection des données à caractère personnel.

 

A ce stade, les acteurs contribuant à la mise en conformité (services conformité, juridique, cabinets de conseil etc.) ne tirent sans doute pas encore suffisamment parti des liens existants entre les disciplines, ces approches de collecte / recherche d'information sur les tiers ne se nourrissant que rarement mutuellement.

 

Au lieu de traiter les sujets les sujets RGPD, SSI et corruption en parallèle, il serait intéressant d'exploiter les résultats d'une investigation pour enrichir la suivante ou de mener en combinaison la recherche d'informations sur l'intégrité et la sécurité des tiers. Une approche mutualisée consisterait à s'appuyer sur les outils et process d'investigation de la SSI pour collecter les preuves, exploiter les bases de données publiques et consolider les informations sur les niveaux de risques. On pourrait ainsi constituer et partager des répertoires de preuves qui allègeraient la collecte et favoriseraient le suivi simultané de la conformité à plusieurs référentiels.

 

Développer des outils multifonctionnels

 

De nombreuses sociétés de conseil proposent des outils adaptés aux référentiels de conformité qui s'appliquent à leurs clients : pré-évaluation, procédures d'évaluation, cartographies et analyses des risques, tests automatisés, dispositifs de contrôle, audits de suivi.

 

Les outils pré-packagés couvrent le plus souvent les référentiels phares du domaine d'expertise de la société de services. Une telle entreprise développe par exemple une offre de services autour des normes ISO, du RGPD, des réglementations sectorielles en SSI. Un prestataire de services juridiques s'assure du respect des lois anti-corruption à l'aide de ses procédures et dispositifs de contrôle de la légalité.

 

La responsabilisation croissante des organisations rend nécessaire le développement d'une solution « tout en un » pour évaluer des tiers au regard de leur conformité à l'ensemble des standards. Cela permettrait d'adopter une approche pluridisciplinaire améliorant l'efficacité et la qualité de la gestion des risques liés aux tiers.

 

En définitive, une approche commune de gestion de la conformité pourrait être un réel gain de temps et de productivité pour les entreprises, par le biais de process, d'outils et de compétences transverses applicables à de multiples référentiels.

 A propos de l'auteur : Florence Exmelin est consultante sécurité chez Almond.
 

Maintenant, le pays a un nouveau gouvernement qui a pris le pouvoir de manière incorrecte, avec peu de soutien au sein de la population. Or, ce gouvernement devra prendre des mesures drastiques qui affecteront la plupart des Brésiliens. Sous le prétexte d’une lutte légitime contre la corruption, Dilma – contre qui aucune preuve de corruption ou de détournement de fonds publics n’a été trouvée – a été destituée par des individus qui ont été accusés eux-mêmes de corruption. Ceci semble un climat propice à l’instabilité politique et, surtout, aux troubles sociaux. La jeune démocratie brésilienne est ainsi confrontée à une crise existentielle qui n’a probablement pas encore atteint son apogée. Les marchés financiers ont une approche très différente de la crise brésilienne.

Les investisseurs ont un horizon à court terme. Les seules choses qui leur importent à l’heure actuelle sont les perspectives de réformes et d’austérité. La composition du gouvernement temporaire de Michel Temer et les annonces de mesures économiques incitent les investisseurs, surtout brésiliens, à croire que des mesures fermes seront prises pour enrayer le déficit budgétaire, restaurer le climat d’investissement et, par conséquent, mettre fin à la récession. On peut toutefois se demander si le nouveau gouvernement pourra rapidement mettre en œuvre les réformes. Beaucoup de points demeurent obscurs : les intentions de Temer et de son équipe (veulent-ils réellement s’attaquer aux principaux problèmes ou voudront-ils d’abord assurer des positions politiques et des contrats à leurs relations), le temps dont Temer disposera avant d’être lui-même soit destitué (le nouveau président a déjà été accusé de fraude électorale et de corruption) et la mesure dans laquelle la menace de troubles sociaux aura un impact sur l’efficacité du gouvernement.

Entre-temps, la récession se poursuit. Le chômage a grimpé en flèche et dépasse 10 %. De nombreux ménages brésiliens connaissent de sérieux problèmes financiers car ils ne peuvent pas rembourser leurs dettes. Les sociétés hésitent à investir, non seulement en raison de la récession ou de la difficulté à obtenir des crédits, mais aussi parce que l’incertitude politique est considérable. On ignore combien de temps ce gouvernement restera au pouvoir et ce qu’il réalisera, mais également qui sera élu président en 2018. La plupart des membres réputés des principaux partis politiques sont suspectés d’implication dans les nombreux scandales de corruption qui font actuellement l’objet d’une investigation. Cela signifie que l’élection d’un ‘outsider’, quelqu’un qui ne serait pas issu du sérail politique, à la présidence est une réelle possibilité. Pour le milieu des affaires brésilien, ceci est une pensée perturbante qui n’incite guère à investir.

A propos de l'auteur : Maarten-Jan Bakkum est senior strategist emerging markets chez NN IP.

En premier lieu, par la structure des échanges commerciaux du Brésil, qui repose principalement sur la Chine, son principal partenaire. Viennent ensuite les Etats-Unis, puis l’Argentine. Le ralentissement de la croissance chinoise et l’effondrement de l’économie Argentine ont ainsi précipité la chute de l’activité économique brésilienne. Et pourtant, malgré l’importance de ses ressources naturelles, le Brésil est plutôt bien diversifié en termes de secteurs d’activité. En effet, l’agriculture ne représente que 6% du PIB, l’industrie 27% et les services 67%.  

Cependant, le secteur industriel est lui-même fortement dépendant des matières premières, puisqu’il repose essentiellement sur l’exploitation des ressources minières, notamment fer et aluminium, et dispose également d’importantes réserves pétrolières. Les secteurs du textile, de l’aéronautique, de la pharmacie, de la sidérurgie et de l’automobile contribuent également à la diversification sectorielle du pays.

Mais les pays « clients » du Brésil font pâle figure et les marchés de prédilection sont trop corrélés aux commodités touchées de plein fouet par une crise de surproduction et une faible demande. Le résultat ne se fait pas attendre : fuite des capitaux, effondrement de la devise, hausse des taux, risque de dégradation du rating du pays et donc nécessité de réduire le poids de l’état providence dans l’économie brésilienne, entrainant une baisse du pouvoir d’achat avec comme corollaire une baisse généralisée de l’activité économique.

L’arrivée du nouveau gouvernement, renforcé par un ministre de l’économie compétent et déterminé à sortir le pays de l’ornière, est un espoir pour cette nation. Il est décidé à ne plus intervenir sur les devises pour soutenir le Réal, afin de préserver les réserves de changes et laisser l’ajustement se produire naturellement. Mais le bilan reste médiocre : Inflation à 7%, déficit public proche de 6%, taux court terme à 13,25%, balance des comptes courants à -4,20% du PIB représentant 91 milliards de dollars de déficit et balance des revenus déficitaire de 40 milliards de dollars. Et la balance brésilienne commence à gronder.

La balance des paiements est constituée essentiellement de deux postes : la balance des biens et des services (-91 milliards de dollars) majorée des flux de capitaux (+97 milliards). Le premier poste relève de l’activité propre du pays, le second des investisseurs internationaux plus volatiles et moins contrôlables. Le souci est que la balance des paiements n’est équilibrée que par les flux de capitaux, ce qui traduit l’état de dégradation du pays. En parallèle, la balance commerciale est  dans le rouge de 40 milliards de dollars pour la première fois depuis 13 ans et l’ambiance générale peu rassurante a également provoqué un retrait de capitaux de 40 milliards, dû aux rapatriements massifs de bénéfices et dividendes.

Alors comment sortir de l’impasse quand votre économie s’appuie sur trop peu de pays à l’export et sur quelques secteurs eux-mêmes dépendants de facteurs exogènes tels que la météo ? L’équation n’est pas simple mais elle est solutionnable, car le potentiel démographique, naturel et économique, même s’il est fragilisé aujourd’hui par une  diversification réelle mais encore insuffisante, ne doit pas être sous-estimé. En effet, les investisseurs « économiques », c’est-à-dire ceux qui s’implantent et apportent de l’emploi durable ne s’y trompent pas et continuent d’investir dans cette économie, car ils ont une vision long terme et comprennent bien les enjeux de demain.

Pour s’en convaincre, il faut observer que le montant des investissements directs étrangers dépasse les 40 milliards de dollars. Ceci est à nos yeux la preuve du potentiel de redéploiement d’un tel pays. Alors, si le moment opportun pour revenir sur le Brésil ne sera pas encore en vue au cours des 12 prochains mois, il semble se rapprocher. Le Brésil est à la croisée des chemins, entre les court-termistes qui se sauvent et les visionnaires qui comprennent bien l’intérêt économique qu’une telle nation représente,  sur un continent d’avenir et en pleine reconfiguration.

A propos de l'auteur : Daniel Gerino est président et directeur de la gestion de Carlton Sélection. stratégiste d'Intersélection. Il est également économiste et membre diplômé de l’Institut des Actuaires Français.

Au Brésil, la guerre entre les deux candidats du second tour (Dilma Rousseff et José Serra) fait rage. Pour salir l’image de l’autre, tous les moyens sont bons. Lors du débat télévisé avant le second tour, Dilma Rousseff n’a pas hésité à accuser son adversaire d’être un "pion entre les mains d’investisseurs étrangers responsable des privatisations réalisées dans les années 1990". De son côté, José Serra, le candidat du Parti social-démocrate brésilien, a remis un coup sur son positionnement pro avortement et sa vie religieuse : "Vous avez défendu l'avortement puis vous avez changé de position. C'est la même chose à propos de Dieu. D'abord, vous ne savez pas si vous êtes ou non croyante puis brusquement vous devenez pieuse".

Pourtant, malgré cette bataille, il y a un sujet sur lequel les deux candidats ne s’affronteront pas : la corruption. Et pour cause, l’ensemble des partis brésiliens est touché par le phénomène. Un moyen d'éviter de sortir les cadavres du placard. Selon une estimation récente, près de 5 % du produit intérieur brut (PIB) brésilien est perdu dans la corruption. Au cours du mandat de Lula, le Parti des travailleurs (PT) avait été accusé d'avoir versé des pots-de-vin aux députés d'autres partis pour s'assurer leur soutien au parlement.

Pour le sociologue Luiz Eduardo Soares, cette affaire est à relativisée par rapport aux scandales plus "classiques" qu'a connus la démocratie brésilienne. Selon lui, les responsables du PT n'ont pas cherché à s'enrichir personnellement, mais à faire passer des lois qu'ils estimaient nécessaires pour le développement du pays. Autrement dit, la fin justifierait les moyens.

Si cette interprétation est à nuancer, il faut néanmoins constater que la corruption à légèrement baisser au Brésil depuis l’arrivée de Lula au pouvoir. En huit ans, la corruption a baissé de 18 % selon l’indice réalisé par Transparency International. Mais il reste encore du chemin à faire…

Le feuilleton des scandales politico-financier n’en finit pas. En l’espace de quelques mois, les cas s’empilent :

- les 12 000 euros de cigares payés par les deniers publics du secrétaire d’Etat, Christian Blanc,
- le salaire exorbitant versé à l’ex-ministre du Logement Christine Boutin (en plus de ses 6 000 euros de retraite parlementaire) pour une mission à l’utilité douteuse,
- le double logement de fonction pour Christian Estrosi et sa fille à Paris,
- le trouble permis de construire octroyé au secrétaire d’Etat à la Coopération, Alain Joyandet
- l’hôtel de luxe de Rama Yade en Afrique du Sud alors qu’elle critiquait le choix de l’hôtel des joueurs de France.

L’affaire Woerth/Sarkozy apparaît désormais comme la (grosse) goutte d’eau qui fait déborder le vase (déjà bien plein). Résultat, les dirigeants politiques français passent comme majoritairement corrompus. Selon un récent sondage, 64 % des Français estiment que les dirigeants politiques sont plutôt corrompus. En 1977, ils n’étaient que 38 %. Pour retrouver, un tel score, il faut remonter en 1991 lors des affaires qui touchaient le Parti socialiste (PS).

En 1971, la direction du Parti socialiste décide de créer une société chargée essentiellement de centraliser et de récolter des fonds perçus à l’occasion de la passation de marchés publics, en vue de financer les campagnes électorales à venir. En 1973, Urba naît de cette volonté. Les entreprises qui souhaitaient obtenir des marchés publics devaient verser, par le biais de fausses factures, à hauteur de 2 % à 4 % du montant des marchés concernés à des bureaux d’études, tels qu’Urba.

La société se chargeait alors de reverser les commissions, dont ils conservaient 40 % du montant, dans les caisses du Parti Socialiste (30 % au niveau national et 30 % au niveau local), dans le but de financer les campagnes électorales. Henri Emmanuelli a finalement été reconnu coupable par la justice de complicité de trafic d'influence, et a été condamné en décembre 1997 à dix-huit mois de prison avec sursis et à deux ans de privation de ses droits civiques.

L'affaire Urba avait été alors à l'origine de deux lois sur le financement des partis politiques par l'État : la loi de janvier 1990 et la loi Sapin de janvier 1993. Ce dispositif a été achevé par la loi Séguin de janvier 1995. Ces dispositifs n'ont malheureusement pas eu l’effet escompté. Des doutes sur le financement des partis subsistent encore.

Il faut dire que la France n’est pas aussi parfaite qu’elle le prétend. En 2009, elle figurait seulement à la 26ème des pays les moins corrompus, loin derrière la Nouvelle-Zélande et les pays nordiques. Avec l’affaire Woerth/ Sarkozy, le gouvernement est fragilisé. Tout juste trois ans après son accession au pouvoir.

Télécharger le rapport de Transparency International, en cliquant ici.

Les mesures pour essayer de faire oublier ces scandales sont jugée non suffisantes par 75 % des Français. Résultat, les électeurs n’ont plus confiance dans les politiques. Le fossé entre électeurs et politiques se creusent et l’incompréhension grandit. La logique du "tout pourris" risque malheureusement de conduire à encore plus de populisme. Comme le montre le retour en force de Marine Le Pen (+ 6 points dans les sondages).