La place du Risk Manager dans la mise en place des nouvelles réglementations Loi Sapin II et devoir de vigilance 1 INTERVENANTS 2 • Anne-France Arnoux Saugnac BUREAU VERITAS • Emmanuel Pitron ADIT • Franck Poindessault BOKEN • Modérateur - Anne Piot d’Abzac IPSEN PHARMA Plan général 3 I.LE CADRE DES CONTRAINTES JURIDIQUES II.RISK MANAGER ET GOUVERNANCE DE LA CONFORMITÉ III.RISK MANAGER ET MISE EN ŒUVRE OPÉRATIONNELLE DE LA CONFORMITÉ 4 I.LE CADRE DES CONTRAINTES JURIDIQUES A. Le régime juridique de la corruption et du trafic d’influence (définitions et sanctions) B. Le dispositif anti-corruption Sapin II C. Le devoir de vigilance La corruption consiste à proposer sans droit (corruption active) ou solliciter ou agréer (corruption passive) à tout moment, directement ou indirectement, •À : un agent public: personne dépositaire de l’autorité publique, chargée d’une mission de service public ou investie d’un mandat électif public (corruption d’agent public – articles L. 433-1 1° et L.432-11 1° du code pénal ) ou un agent privé: personne qui exerce dans le cadre d'une activité professionnelle ou sociale, une fonction de direction ou un travail pour une personne physique ou morale ou pour un organisme quelconque (corruption d’agent privé - articles 445-1 et 445-2 du code pénal) ; •Des offres, des promesses, des dons, des présents ou des avantages quelconques, pour elle-même ou pour autrui ; •pour que cette personne accomplisse ou s’abstienne d’accomplir un acte de son activité ou de sa fonction ou facilité par son activité ou sa fonction, en violation de ses obligations légales, contractuelles ou professionnelles. Définir la corruption (I.A 1/4) 5 LA DEFINITION LARGE DE LA CORRUPTION QUELQUES TRAITS DU DELIT •Un fléau sempiternel (Antiquité / scandale de Panama / marchés de construction des Lycées d’Ile de France….) •Plusieurs sortes de corruption (active / passive - privée / publique – agent de justice / étranger) •Evolution du texte : pour une incrimination toujours plus large QUELQUES EXEMPLES D’« AVANTAGES QUELCONQUES » -Le versement d’argent (sous formes d’espèces ou de chèques); -Pourcentage sur des opérations; -Prise de participations dans le capital de sociétés; -Dividendes distribués par une société; -Un voyage pour le salarié et son épouse; -Des articles divers gratuits, des véhicules; -La jouissance pendant quelques années d’un studio; -Intérêt moral, faveur sexuelle… Le trafic d’influence consiste à proposer sans droit ou solliciter ou agréer à tout moment, directement ou indirectement, •À : un agent public: personne dépositaire de l’autorité publique, chargée d’une mission de service public ou investie d’un mandat électif public (trafic d’influence d’agent public – articles L. 433-1 2° et dernier alinéa et L.432-11 2° du code pénal) ou un agent privé: personne une personne qui exerce dans le cadre d'une activité professionnelle ou sociale, une fonction de direction ou un travail pour une personne physique ou morale ou pour un organisme quelconque (trafic d’influence d’agent privé - articles 433-2 alinéas 1 et 2 du code pénal) ; •Des offres, des promesses, des dons, des présents ou des avantages quelconques, pour elle-même ou pour autrui ; •Pour que cette personne abuse de son influence réelle ou supposée en vue de faire obtenir d’une autorité ou d’une administration publique des distinctions, des emplois, des marchés ou tout autre décision favorable -6- Définir le trafic d’influence (I.A 2/4) LA DEFINITION LARGE DU TRAFIC D’INFLUENCE QUELQUES TRAITS DU DELIT •Prolongement de la « corruption » •Créé en 1889, à la suite de l’affaire « Wilson » (gendre du Président Grévy qui monnayait les décorations) •Réputation de bénéficier de l’indulgence de la justice •Mais son importance devrait suivre l’évolution récente du droit contemporain sur la transparence Comme pour la corruption, il y a également un régime spécifique pour certains agents : •Les trafics d’influence d’agents de justice •Les trafics d’influence sur agent international (agent public ou agent de justice) -Concurrent étrangement favorisé -Commission pour le perdant -Divulgation d’informations confidentielles -Rétro-commission frauduleuse -Partenariat imposé -Commission de clôture imprévue -Approbation technique soumise à des conditions -Autorisations conditionnelles -Chantage aux poursuites (pénales, fiscales) -Employé / produits bloqués aux douanes -Raccordement au réseau compromis -Approbation technique soumise a une taxe spéciale -Syndicat véreux -Demande de traitement de faveur -Agent public demande des cadeaux -Demande de sponsoring -Marchandises non conformes -Paiements unilatéralement interrompus 7 Quelques situations de corruption et trafic d’influence (I.A 3/4) UNE EXPOSITION A TOUT MOMENT : AVANT LA SIGNATURE OU PENDANT L’EXECUTION DU CONTRAT Les services exposés au sein de l’entreprise -Le service achat (Validation des achats) -Les commerciaux de terrain (vis à vis des prospects, clients ou intermédiaires) -Construction des partenariats (vis à vis des partenaires potentiels) -Comptabilité (validation des paiements) -Chaque service (pour ses dépenses dans le cadre de sa délégation) -Achats de société (vis à vis des actionnaires)… Quelques exemples pratiques retours d’expérience de Transparency : Pour les personnes physiques: interdiction de droits (civiques, civils, famille) ; interdiction d’exercer (fonction publique ou certaines activités professionnelles, sociales, commerciales ou industrielles), de diriger/administrer/gérer/contrôler directement ou indirectement une entreprise commerciale ou industrielle… Les personnes morales peuvent être placées sous surveillance judiciaire pour une durée de cinq ans au plus, et/ou être exclues des marchés publics à titre définitif ou pour une durée de cinq ans au plus, ou encore faire l’objet d’une mesure de dissolution (en cas de corruption ou trafic d’influence actif)…. 8 De lourdes sanctions (I.A 4/4) PEINES PRINCIPALES POUR LES AUTEURS DE CORRUPTION OU TRAFIC D’INFLUENCE D’AGENTS PUBLICS [OU PRIVES] NOMBREUSES PEINES COMPLEMENTAIRES (articles 432-17, 433-22, 433-23 433-25, 445-3 et 445-4 du code pénal) 10 ans [5 ans] d’emprisonnement 1 million [500 K] d’euros d’amende ou jusqu’au double du produit de l’infraction AUTRES CONSEQUENCES DOMMAGEABLES POUR L’ENTREPRISE (COMPLICE) : -condamnation au quintuple de l’amende prévue pour les personnes physiques soit 5 millions d’euros en cas de corruption ou trafic d’influence actifs et jusqu’au décuple du produit de l’infraction (art. 131-38 du c. pén.) -Si Convention Judiciaire d’Intérêt Public : amende peut s’élever jusqu’à 30 % du CA . -Préjudice financier (perte de partenaires commerciaux) / Préjudice d’image (publication de la décision) ; -Actions judiciaires des concurrents (concurrence déloyale). 9 70 personnes -- 10 à 15 millions de budget Direction par Charles Duchaîne (magistrat) Commission des sanctions Sous-direction de l’analyse stratégique et des affaires internationales Sous- direction du contrôle Conseil stratégique Secrétariat général Rôle: prévenir et aider à détecter les faits de corruption, trafic d’influence, de concussion, de prises illégales d’intérêts, de détournement de fonds publics et de favoritisme Membres récusables et soumis à des règles déontologiques Missions: Elaboration de recommandations opposables aux entreprises (« comply or explain ») Aide à la détection et à la prévention (coordination administrative, centralisation des informations, transmissions au procureur de faits révélés lors des enquêtes Contrôle de l’efficacité des procédures de lutte contre la corruption Pouvoirs d’enquête étendus: communication de documents, vérification sur place, auditions. Pouvoir de sanction: injonctions aux entreprises, sanctions pécuniaires, publication et diffusion de la sanction TRANSITION L’Agence Française Anti-Corruption 10 I.LE CADRE DES CONTRAINTES JURIDIQUES A. Le régime juridique de la corruption et du trafic d’influence (définitions et sanctions) B. Le dispositif anti-corruption Sapin II C. Le devoir de vigilance Adoption de la loi Sapin II le 9 décembre 2016 Poursuite de l’effort législatif par la mise en place d’outils et d’obligations pour porter les entreprises françaises aux meilleurs standards européens et internationaux dans la prévention et la lutte contre la corruption Un contexte législatif français annonciateur : Sapin I (1993) : publicité et mise en concurrence des marchés publics et règlementation du financement des partis politiques Lois de 2013 relatives à la transparence de la vie publique: déclaration de patrimoine des élus, création de la HATVP, protection des lanceurs d’alerte Un contexte législatif européen incitatif : UE: la Commission invite les Etats membres à mettre en place d’urgence des dispositifs efficaces de prévention et de lutte contre la corruption (2014) GB: lancement d'un plan national de lutte anti- corruption (2014) Italie: sanctions, peines durcies et renforcement du rôle et des pouvoirs de l’Autorita Nazionale Anti Corruzione (2015) Un contexte international pressant : Le mauvais résultat de la France dans le classement de Transparency International (26/174 en 2014 ; 23/174 en 2015) ; Les critiques du groupe anti- corruption de l’OCDE, 12/2014 Les entreprises françaises insuffisamment concernées par la lutte contre la corruption (rapport HATVP 2015) LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (1/11) LE CONTEXTE 11 12 Un sujet de direction générale : Un programme anti-corruption doit créer une culture du respect de la loi grâce à un engagement visible et durable de la part des plus hauts dirigeants. Leur engagement ne doit pas seulement rappeler que la corruption est une infraction légale mais aussi que le respect de la loi fait partie de la culture et l’éthique de l’entreprise (ses « business principles ») et que sa violation aurait des conséquences graves pour cette dernière. Le « tone from the top » suppose donc l’implication personnelle de la direction pour donner une impulsion visible dans la lutte contre la corruption notamment avec des : –Écrits (E-mails, bulletins d’information, lettres, autre) – et/ ou vidéos (avec présence des dirigeants) soulignant l’importance dans la stratégie du groupe de cette compliance. LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (2/11) L’IMPLICATION DE LA DIRECTION GENERALE Une responsabilité personnelle des dirigeants (Présidents, Directeurs Généraux, gérants et certains membres de directoires) c’est-à-dire des sanctions personnelles quasi pénales (de la mise en demeure à la sanction pécuniaire jusqu’à 200.000 euros pour les personnes physiques) pour les dirigeants dont les entreprises ne mettent pas en œuvre un dispositif anticorruption efficace. Chercher à déléguer cette responsabilité serait pour le moins risqué ! Même si les conditions nécessaires à l’efficacité de la délégation (transfert du pouvoir de décision, transfert de moyens, autorité et compétence du délégataire) sont remplies, le fait de vouloir échapper à cette responsabilité peut constituer une faute au regard de la finalité de la loi. 13 Obligation générale de « prendre les mesures destinées à prévenir et détecter la commission, en France ou à l’étranger, des faits de corruption ou de trafic d’influence » (article 17) Une cartographie des risques Code de conduite décrivant les comportements à proscrire Procédure de vérification de l’intégrité des clients, fournisseurs, partenaires et intermédiaires les plus importants Formation des cadres et personnels les plus exposés Mise en place d’une politique de sanctions disciplinaires Dispositif d’alerte interne (pour le risque corruption et intégrer à terme l’obligation plus générale de l’article 8, III) Procédures de contrôles comptables internes ou externes (travail du CAC en principe) Un dispositif d’évaluation et de contrôle interne des mesures mises en œuvre Fondamentale pour mettre en place les suivantes Obligation pour entreprises de 500 salariés (ou grpes de 500 salariés avec €100 M CA) 1 2 3 4 5 6 7 8 LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (3/11) UNE OBLIGATION GENERALE ET HUIT MESURES PARTICULIERES Six étapes recommandées par l’AFA 1.Clarification des rôles et responsabilités dans la démarche de cartographie (élaboration, mise en œuvre, suivi-mise à jour) ; 2.Identification des risques inhérents et spécifiques aux activités de l’entreprise (processus mis en œuvre au sein de l’entreprise et de l’intervention de tiers) ; 3.Evaluation de l’exposition aux risques de corruption, c’est-à-dire son niveau de vulnérabilité aux risques bruts (facteurs ou sources de risques / probabilité / gravité) ; 4.Evaluation de l’adéquation et de l’efficacité des moyens de lutte contre la corruption (structuration des dispositifs mis en place et bilan tiré de leur mise en œuvre), afin d’apprécier le risque « net » ; 5.Hiérarchisation et traitement des risques nets, comprenant la détermination des mesures mises en œuvre pour corriger les lacunes du dispositif actuel et limiter le risque et sur ces bases élaborer un plan d’actions ; 6.Formalisation de la cartographie, afin de permettre son usage comme outil de pilotage des risques de corruption, et actualisation / mise à jour régulière; Trois objectifs principaux 1.Identifier les principales expositions à la corruption 2.Quantifier et hiérarchiser ces expositions 3.Préparer l’évaluation des parties prenantes. Quelques apports pour l’Entreprise 1.Création et partage d’un référentiel homogènes de risques 2.Garantie de légalité / conformité avec la règlementation, les normes locales, les lois et les marchés 3.Contribution à une entreprise plus performante et efficace : (dispositif de pilotage des risques). LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (4/11) LA CARTOGRAPHIE RECOMMANDEE PAR L’AFA 14 Contenu A partir des risques identifiés par la cartographie le code décrit les situations et comportements à proscrire, en s’appuyant sur des d’illustrations pertinentes au regard des organisations concernées. En plus de préciser les « bonnes pratiques », le code formule également des interdictions d’usages constitutifs de manquements à la probité, dans le contexte particulier de l’organisation, en traitant a minima des thèmes suivant : cadeaux et invitations, paiements de facilitations, conflits d’intérêts, représentation d’intérêts (lobbying), mécénat et sponsoring. Le code précisera les conséquences disciplinaires sanctionnant les comportements proscrits et/ou non conformes au dispositif anti-corruption. Le Code devra également contenir le dispositif d’alerte interne destiné à recueillir les signalements par les employés de conduites et situations contraires au code de conduite. Objectifs principaux 1.manifester la démarche de l’instance dirigeante d’engager l’entreprise dans la prévention corruption. 2.définir et illustrer les types de comportements prohibés. Quelques aspects formels 1.Ecrit en français (traductions possibles) 2.Intégré au règlement intérieur 3.Exigence de simplicité / clarté 4.Nécessité de mise à jour 5.Proposition d’une déclaration de la direction en préambule LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (5/11) LE CODE DE CONDUITE RECOMMANDE PAR L’AFA 15 16 Eléments à prendre en compte pour l’évaluation de la partie prenante : -Identité, Actionnariat -Risque pays, Secteur d’activité -Expertise, Intégrité et réputation, Conformité, Coopération -Nature et objet de la relation -Autres intervenants -Interaction avec agents publics ou PPE -Aspects financiers en jeu, -Modalités de rémunération -Modalités et flux des paiements Contrôle du processus d’évaluation à trois niveaux (opérationnels / responsable conformité / audit interne). Nécessité de traçabilité / conserver la trace du respect du processus KYC pendant 5 ans Objectifs principaux 1.Permettre de décider de l’entrée en relation ou poursuite d’activité avec une partie prenante 2.Optimiser l’efficacité des mesures de prévention de la corruption liées à l’évaluation de tiers Exploitation de l’évaluation: -Conclusions tirées sur la relation (approuver ou clôturer la relation ou reporter décision) -Intégration dans accords contractuels (clause anti-corruption dans contrat / acceptation du code de conduite & procédure anti-corruption -Actualisation régulière de l’évaluation -Suivi de la relation avec le tiers (avec différents indicateurs et résultats de contrôle) LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (6/11) LES PROCEDURES D’EVALUATION RECOMMANDEES PAR L’AFA 17 Contenu: -Contrôler les habilitations d’accès au système de saisie comptable et le principe de séparation des tâches; -Contrôle sur les opérations à risques identifiées comme tel dans la cartographie: •Dons, legs, sponsoring, cadeaux; •Flux atypiques; •Opérations exceptionnelles à enjeu; •Recours à des intermédiaires/tiers/consultants •Flux vers des comptes ou tiers à risques (collectivité publique certaines localisations géographiques) Objectifs principaux : 1.S’assurer que l’absence d’utilisation des documents comptables à fin de dissimuler opérations de corruption; 2.Améliorer la maîtrise des activités de l’organisation sur les aspects financiers, opérationnels et sécurité Modalités : -Elaboration d’un plan et de procédures de contrôle comptable permettant de tester non seulement les opérations spécifiques qui présentent un risque particulier de corruption mais aussi les situations de risques liées aux activités principales de l’entreprise, et enfin des transactions sélectionnées de manière aléatoire ; -Évaluations périodiques des contrôles opérationnels (audit interne et/ou audit externe reposant sur cartographie des risques de corruption); -Traitement des anomalies (mesures correctives + sanctions) et suivi des contrôles. LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (7/11) PROCEDURES DE CONTRÔLES COMPTABLES RECOMMANDEES PAR L’AFA 18 Exemple de méthode d’élaboration de la formation 1.Identifier les personnes à former au sein du groupe, au regard des fonctions « exposées » (direction générale, direction commerciale, ventes / achats, logistique, direction conformité) et des fonctions « concernées » par la lutte contre la corruption (RH, audit, direction financière, SI,…) 2.Construire les programmes de formation avec un cadre général (sur le cadre légal, les processus et les risques induits, les diligences à accomplir pour réduire les risques, les comportements à adopter face à une sollicitation indue, les sanctions disciplinaires encourues en cas de pratiques non-conformes); 3.Organiser les formations : définition du calendrier / sessions de formation sur site ou vision conférence / élaboration d’une documentation pratique (fiches sur différents thèmes en cohérence avec le code éthique) Objectifs principaux 1.Former les cadres et personnels les plus exposés au risque de corruption pour leur permettre de détecter et prévenir les situations de corruption 2.Faire de ces personnes les acteurs de la lutte anti-corruption 3.Diffuser la culture « conformité » au sein de l’entreprise Caractéristiques de la formation -Pragmatique, pédagogique, accessible, adapté; -Fait l’objet de réactualisations périodiques (ex. tous les 2 ans) et d’indicateurs qui doivent permettre d’apprécier le taux de couverture des programmes établis; -Mise en place de contrôles sur l’efficacité des dispositifs par l’encadrement (1 er niveau); les responsables conformité (2 ème niveau); et l’audit interne). LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (8/11) LE DISPOSITIF DE FORMATION RECOMMANDE PAR L’AFA 19 Pour l’essentiel Objet : permettre signalements anonymes par des employés de bonne foi des violations du code de conduite dans des conditions évitant toutes représailles (disciplinaire, civile, pénale) Modalité : alerte donnée via un numéro de téléphone, une plateforme de déclaration en ligne, une adresse de courrier électronique Traitement de l’alerte par le supérieur hiérarchique ou le référent – information de l’émetteur de l’alerte Suivi des alertes doit être organisé LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (9/11) LE DISPOSITIF D’ALERTE RECOMMANDE PAR L’AFA Précisions du dispositif recommandées : -rôle du supérieur hiérarchique ; -l’identité du référent pour recueillir les alertes ; -les dispositions prises pour garantir la stricte confidentialité du signalement (auteur, objet et personnes visées) et dialoguer avec l’auteur d’un signalement anonyme, afin de pouvoir investiguer sur les faits dénoncés ; -les modalités de fournitures par l’auteur du signalement des informations -les modalités d’échange avec l’auteur du signalement -les dispositions prises pour informer sans délai l’auteur du signalement (réception de son alerte et du délai prévisible de traitement, puis de sa clôture) -les dispositions prises pour informer les personnes visées par le signalement , de la clôture -les dispositions prises pour détruire, si aucune suite n’a été donnée, et dans les deux mois suivant la clôture, les éléments du dossier -si un traitement automatisé des signalements est mis en place, auprès autorisation de la CNIL (Cf autorisation AU 004). 20 Pour l’essentiel, le régime disciplinaire défini dans le règlement intérieur déposé au greffe et communiqué à l’inspecteur du travail : il doit comporter précisément la typologie de sanctions, échelles et durée des sanctions / durée des sanctions applicables. La sanction devra être adaptée (justifiée et proportionnée) à la gravité de la violation du code de conduite : -Avertissement verbal ou écrit; Blâme ; -Mise à pied; Mutation ; Rétrogradation; -Licenciements (pour cause réelle et sérieuse ; faute grave ; faute lourde). Objectifs principaux -Le dispositif anti-corruption doit rappeler les mesures disciplinaires du règlement intérieur ; -Sanctionner les écarts au code de conduite pour faire évoluer culture d’entreprise en conformité avec la loi. Modalités : -Dispositif de pilotage permettant des contrôles et évaluations internes réguliers permettant une restitution à la direction générale -Le suivi sous forme de reporting permettra de prendre le cas échéant, les mesures d’ajustement pour tenir compte des résultats des l’évaluation des mesures mises en œuvre -Le reporting permettra également, le cas échéant, de justifier de la conformité de la politique anticorruption de l’Entreprise (AFA ou partenaires) LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (10/11) LE REGIME DISCIPLINAIRE RECOMMANDE PAR L’AFA 21 Quelques thèmes de contrôle : -Adaptation de l’organisation; -Processus KYC / due diligences par rapport aux parties prenantes (catégories / pays); -communication sur le risque corruption; -Formations ; -Alignement sur les bonnes pratiques de marché; -Revues & audits de conformité / suivi de plans d’actions; -Suivi des alertes.. Objectifs principaux -Contrôler et évaluer la mise en œuvre et l’efficacité du dispositif ; -Identifier et comprendre les manquements dans les procédures; -Définir les recommandations et autres mesures correctives adaptées Modalités : -Dispositif de pilotage permettant une restitution à la direction générale -Reporting permettant des ajustements en fonction des résultats des l’évaluation et de justifier de la conformité de la politique anticorruption de l’Entreprise (AFA ou partenaires) 1 er niveau 2 ème niveau 3 ème niveau S’assurer que les tâches inhérentes à un processus opérationnel ou support ont été effectuées conformément aux procédures édictées par l’organisation Le responsable conformité Équipe opérationnelle Vérifier la bonne exécution des contrôles de 1 er niveau et fait apparaître une description des points clés du contrôle « Audits internes » Evaluation objective et indépendante de la mise en œuvre des mesures et rédaction d’un rapport d’audit communiqué aux dirigeants Auditeurs sélectionnés LE DISPOSITIF ANTICORRUPTION SAPIN II I.B (11/11) LE DISPOSITIF DE CONTRÔLE ET D’EVALUATION INTERNE RECOMMANDE 22 I.LE CADRE DES CONTRAINTES JURIDIQUES A. Le régime juridique de la corruption et du trafic d’influence (définitions et sanctions) B. Le dispositif anti-corruption Sapin II C. Le devoir de vigilance 23 LE DEVOIR DE VIGILANCE 1/2 LA LOI DU 27 MARS 2017 LES GRANDES SOCIETES MERES ET DONNEUSES D’ORDRE FRANCAISES ≥ 5000 salariés en son sein et dans ses filiales directes ou indirectes dont le siège social est fixé sur le territoire français ≥ 10 000 salariés en son sein et dans ses filiales directes ou indirectes et dont le siège social est fixé à l’étranger MISE EN PLACE ET PUBLICATION D’UN « PLAN DE VIGILANCE Prévention des atteintes graves envers les droits humains et libertés fondamentales, la santé et la sécurité des personnes ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation Réduction des impacts négatifs sur l’ensemble des « droits humains fondamentaux » dans les relations d’affaires SOURCES NORMATIVES Principes directeurs de l’ONU, principes directeurs de l’OCDE, Directive 2014/95/UE sur la publication d'informations non financières •Périmètre opérationnel: les relations d’affaires, les produits ou les services de l’entreprise, qui sont susceptibles d’entraîner des incidences négatives dans ces domaines, et la manière dont l’entreprise gère ces risques •Périmètre organisationnel: périmètre de contrôle exclusif (contrôle de pouvoir et pas uniquement un contrôle capitalistique) 24 REGIME DU PLAN DE VIGILANCE (art. L. 225-102- 4 & 5 du c. com) Une obligation de moyens: le juge pourra sanctionner l’absence de moyens mis en œuvre pour prévenir les risques 1- Une cartographie des risques destinée à leur identification / analyse / hiérarchisation. 2- Evaluation régulière de la situation des filiales / sous-traitants / fournisseurs avec lesquels est entretenue une relation d’affaires établie 3- Des actions adaptées d’atténuation des risques ou de prévention des atteintes graves 4- Mécanisme d’alerte et de recueil des signalements relatifs à l’existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société. 5- Dispositif de suivi des mesures mises en œuvre et d’évaluation de leur efficacité Publication obligatoire qui peut être ordonnée judiciairement SANCTION Mise en demeure de respecter les obligations susmentionnées et à défaut de respecter dans un délai de 3 mois, injonction du juge Mise en demeure et saisine du juge à l’initiative de toute personne justifiant d’un intérêt à agir La société engage sa responsabilité civile à hauteur des préjudices que l'exécution de ses obligations de vigilance aurait permis d'éviter NB: l’amende prévue de 10 M € d’amende a été censurée par le Conseil Constitutionnel LE DEVOIR DE VIGILANCE 2/2 LA LOI DU 27 MARS 2017 25 II.RISK MANAGER ET GOUVERNANCE DE LA CONFORMITÉ A. Le rôle majeur des Risk Managers dans la mise en œuvre des obligations Compliance B. La dimension opérationnelle du diptyque Vigilance-Compliance 26 08/02/2018 A. Le rôle majeur des Risk Managers dans la mise en œuvre des obligations Compliance Le « Tone at the top » → L’engagement des dirigeants au plus haut niveau Préalable à la mise en place des autres mesures de prévention Doit être explicitement, voire publiquement, porté par l’organisation Doit être impulsée à tous les niveaux hiérarchiques Le Risk Manager participe ainsi au tone from the middle •Le Risk Manager est une composante essentielle de la deuxième ligne de maîtrise des risques. A ce titre, il se doit d’assurer la coordination avec les activités des autres fonctions dédiées à l’animation du dispositif global de maîtrise des risques (Compliance Officer, Contrôle interne notamment). • L’audit interne, soit la troisième ligne de maitrise des risques, permet ensuite de manière indépendante de donner une assurance globale des dispositifs de gestion des risques. 27 08/02/2018 A. Le rôle majeur des Risk Managers dans la mise en œuvre des obligations Compliance Les cas d’engagement de la responsabilité du Risk Manager varient au regard de sa place dans l’organisation et de ses missions. La responsabilité pénale en France : quid de la complicité? Principe: une abstention ne caractérise pas la complicité Exceptions: complicité « par abstention » réservée à une catégorie de professionnels Cette complicité d’abstention s’explique par la profession du complice, puisque, de par sa profession, pèsent sur lui des obligations de vigilance, d’information, de conseil. La jurisprudence a retenu la complicité de celui qui avait les moyens et le devoir de s’opposer aux actes délictueux et ne l’a pas fait. La responsabilité pénale à l’étranger : extension de l’extra-territorialité juridictionnelle Royaume-Uni: Fraud Act de 2006 : une faute peut être commise par un manquement dans l’obligation de dévoiler une information que la loi impose de révéler UKBA : La responsabilité des dirigeants d’une entreprise peut être recherchée si cette dernière est elle-même reconnue coupable au titre des sections 1, 2 et 6 du Bribery Act 2010. Etats-Unis: FCPA : le Foreign Corrupt Practices Act s’applique aux personnes non américaines qui, directement ou indirectement, commettent un acte quelconque sur « le territoire des Etats Unis ». NB : la loi américaine prévoit de manière générale la responsabilité pénale de toute personne physique qui aide, facilite, conseille, ordonne ou finance une infraction de n’importe quelle règle pénale américaine. 28 08/02/2018 A. Le rôle majeur des Risk Managers dans la mise en œuvre des obligations Compliance “I am a people person, I like putting people in jail” George “Ren” McEachern Supervisory Special Agent FCPA, Kleptocracy & Antitrust Matters, FBI Conférence internationale sur la lutte contre la corruption C5 – Londres – Juin 2017 En l’absence de CCO, c’est le Risk Manager qui est en première ligne. Alstom : Jean-Daniel Lainé, directeur Ethique et Conformité chez Alstom Power de 2004 à 2006, puis au sein du groupe jusqu’en 2013 a été accusé pour des faits de corruption en lien avec des projets en Hongrie en mai 2015. Money Gram : En mai 2017, l’ancien responsable de la conformité de MoneyGram International, Thomas E. Haider, a conclu un accord transactionnel avec le Réseau de Lutte contre la Criminalité Financière américain et le département de la Justice américain (DOJ) et a accepté de s’acquitter d’une amende de 250 000 dollars pour avoir omis de mettre en œuvre le programme de lutte contre le blanchiment. SBM : En décembre 2015, Sietze Hepkema, Chief Governance and Compliance Officer de SBM, a été inculpée en lien avec des allegations de corruption impliquant SBM et Petrobras. Dans un accord plus global, SBM a finalement accepté de payer l’amende de 64 000 euros (BRL 250 000) de Sietze Hepkema. 29 II. RISK MANAGER ET GOUVERNANCE DE LA CONFORMITÉ A. Le rôle majeur des Risk Managers dans la mise en œuvre des obligations Compliance B. La dimension opérationnelle du diptyque Vigilance-Compliance 08/02/2018 30 08/02/2018 B. La dimension opérationnelle du diptyque Vigilance-Compliance Une approche globale Au-delà d’un outil de prévention et de gestion des risques, le respect des différentes obligations par une démarche intégrée de la compliance prenant en compte les enjeux de vigilance, peut notamment procurer un avantage opérationnel, stratégique et concurrentiel pour l’entreprise : Opérationnel par une maitrise et un contrôle effectif de ces partenaires et de l’ensemble de sa chaine de production, Stratégique par l’attractivité induite par une démarche responsable, Concurrentiel par un impact bénéfique sur leur compétitivité à l’international, dans un contexte d’évolution vers davantage de responsabilité pour les acteurs économiques et d’une demande croissante de standards anti- corruption (ISO 37 001 en particulier) Evaluer les risques de vigilance- compliance en prenant en compte les enjeux spécifiques liés aux activités, aux pays, à la règlementation, aux relations commerciales, au business model en particulier. Adopter des plans d’actions (préventifs, défectifs ou correctifs) adaptés à l’organisation, aux opérations et à la culture de l’entreprise en fonction des risques identifiés : pour déjà mesurer et partager la portée et les conséquences du risque. 31 08/02/2018 B. La dimension opérationnelle du diptyque Vigilance-Compliance Les enjeux: anticiper les risques Les outils : Mesurer et maîtriser les risques le plus en amont possible Des outils concrets pour qualifier et identifier les risques • Evaluer les risques de vigilance en prenant en compte les enjeux spécifiques liés aux activités, aux pays, à la règlementation, aux relations commerciales, au business model. • Adopter des plans d’actions (préventifs, défectifs ou correctifs) adaptés à l’organisation, aux opérations et à la culture de l’entreprise en fonction des risques identifiés : pour déjà mesurer et partager la portée et les conséquences du risque. • Cartographie des parties prenantes & des acteurs locaux → Un appel d’offres international dans les pays du Golfe • M&A Intelligence report et M&A compliance report → Une usine en Russie et risque environnemental + challenge d’une data room • Cartographie et screening de la Supply Chain → Filtrage intelligent des fournisseurs les plus sensibles • Décryptage des barrières non-tarifaires sur un secteur ou un pays donné → Une industrie lourde dans un pays d’Afrique du Nord • Enhanced Due diligence ciblées de parties tierces → Des minerais de conflit et le rôle des intermédiaires clefs 32 08/02/2018 B. La dimension opérationnelle du diptyque Vigilance-Compliance Des due diligence de qualité, une nécessité, en France comme à l’étranger SAPIN II: Article 17 :« 4. …Des procédures d’évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques » ; DEVOIR DE VIGILANCE: Article 1 : « 2° Des procédures d'évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, au regard de la cartographie des risques. » RESSOURCE GUIDE DU FCPA: “Risk-based due diligence is particularly important with third parties and will also be considered by DOJ and SEC in assessing the effectiveness of a company’s compliance program.”; GUIDANCE DU UKBA: Principle 4 - Due diligence : “The commercial organisation applies due diligence procedures, taking a proportionate and risk based approach, in respect of persons who perform or will perform services for or on behalf of the organisation, in order to mitigate identified bribery risks.” Les due diligence ont vocation à accompagner les entreprises dans leur développement international et préparer, déployer et sécuriser leurs opérations. 33 08/02/2018 B. La dimension opérationnelle du diptyque Vigilance-Compliance Gestion des risques en situation nominale Gestion des risques en cas de crise • Système d’alerte éthique → Traitement de toutes les alertes d’un groupe exposé • Formalisation de procédures internes → Cartographie des risques (corruption/vigilance) pays par pays dans une multinationale • Sensibilisation & Formation → Prise en compte pour des comités exécutifs mobilisés, des personnels exposés • Détection et suivi d’influenceurs → Monitoring des ONG • Veille & et indicateurs de suivi et de gestion des incidents → Système d’alerte sur la base de signaux faibles • Benchmarks sectoriels → Analyses et évaluation des meilleures pratiques du secteur • Investigations et audits sur sites en cas de crise → Décryptage de situations de crise dans un pays • Appui au contentieux en situation critique → Objectivation des intérêts « subjectifs » d’une ONG • Diplomatie d’affaires et médiation opérationnelle → Advocacy dans des pays d’Afrique sur le trafic illicite Sans compter les enjeux et les outils de communication → Communication interne → Communication avec les parties prenantes → E-réputation 34 08/02/2018 B. La dimension opérationnelle du diptyque Vigilance-Compliance De l’obligation de moyen juridique à une obligation de résultat en communication : Mettre en œuvre une stratégie de communication par la preuve COMMUNICATION INTERNE  FORMATRICE ET ENGAGEANTE Communication sur l’intranet de l’entreprise Consultation numérique des collaborateurs Organisation de modules de formation Distribution de kits COMMUNICATION EXTERNE  TRANSPARENTE, RAPIDE, LARGE ET SINCÈRE Communication via le site Internet de l’entreprise Valorisation des dispositifs mis en œuvre sur les réseaux sociaux Sensibilisation des parties prenantes grâce à une stratégie de communication en affaires publiques et en relations presse (au niveau local, national et international) 35 III.RISK MANAGER ET MISE EN ŒUVRE OPÉRATIONNELLE DE LA CONFORMITÉ A. Retour d’expérience BUREAU VERITAS B. Retour d’expérience IPSEN Risk ou Compliance ? 36 Retour d’expérience 1 37 L’un des leaders mondiaux du marché du TIC (Test en laboratoire, Inspection et Certification) Société Cotée au SBF 120 4,55 milliards EUR de chiffre d’affaires (2016) +74 000 collaborateurs (2016) Présence dans 140 pays Au travers de plus de 400 entités juridiques Une Direction qui intègre Juridique Risques et Compliance Un exemple d’intégration Une Direction unique Risques et Compliance Une même posture 16/11/2017 39 Risques et Compliance Un objectif commun Risques et Compliance Qui pilote quoi ? 16/11/2017 41 Sapin 2-Devoir de vigilance Process et outils communs 42 Outil unique Process Cartographie Compétences Multiplier les réseaux (internes et externes) 43 Ensemble on est plus fort ! 44 45 III.RISK MANAGER ET MISE EN ŒUVRE OPÉRATIONNELLE DE LA CONFORMITÉ A. Retour d’expérience BUREAU VERITAS B. Retour d’expérience IPSEN 46 Ipsen est un groupe biopharmaceutique mondial focalisé sur l’innovation et la médecine de spécialité, qui a pour vocation d’améliorer la vie des patients en proposant des medicaments innovants et différenciés en oncologie, dans les neurosciences et les maladies rares. IPSEN, un groupe biopharmaceutique mondial de spécialité Quelques chiffres clés 1929 €1,6 milliard 115 5 €300 millions 3 Une entreprise familiale créée en 1929 Ventes totales de près de 1,6 milliard d’euros en 2016, en hausse de 12% tirée par la médecine de spécialité Un acteur mondial opérant dans 115 pays Nos 5 principales filiales : États-Unis, France, Chine, Allemagne, Italie Les États-Unis ont réussi à réaliser environ 300 millions d’euros de ventes en 2016, en hausse de 72,5% Centres de R&D majeurs : États-Unis, Royaume-Uni & France TOP ~ 47 1 - Appétit aux risques 2 - Gouvernance 3 - Lancement de programme 4 - Cartographie des risques RETOUR D’EXPERIENCE IPSEN 48 APPETIT AUX RISQUES 1/2 Risks related to BUSINESS OPPORTUNITY Risks related to RESILIENCE Risk NON NEGOCIABLE Secure growth Control “Poor” acceptable / “Moderate” if possible Protect key assets Control at least “High” Ethics & Compliance Quality Security Minimum “High” Best effort to be “Very High” Context & constraints: Ipsen’s Values/Resources/Time 3 risk areas Control Impact Low Moderate High Very High Critical Very Critical Control Impact Low Moderate High Very High Critical Very Critical Control Impact Low Moderate High Very High Critical Very Critical Control Level Target 49 49 08/02/2018 BUSINESS OPPORTUNITY 7. ….  “Poor” acceptable 8. …  At least “Moderate” Risks related to RESILIENCE 2. …  At least “High” 3. … Control Impact Poor Moderate High Very High Critical Very Critical Current control (2015) Target control x Risks related to BUSINESS OPPORTUNITY 6. …  At least “Moderate” 10. … 12. … 14. … 15. … 18. … 19. … 9. Risks related to RESILIENCE 11. …  At least “High” 13. … 1. … 5. … 20. … Ethics & Compliance Quality Security 4. …  Minimum “High” Best effort to be “Very High” 16. … 17. … x x Ethics & Compliance Quality Security 23. …  Minimum “High” Best effort to be“Very High” 22. … 21. … Plans d’action v/s maîtrise cible Control Impact Poor Moderate High Very High Critical Very Critical Control Impact Poor Moderate High Very High Critical Very Critical APPETIT AUX RISQUES 2/2 GOUVERNANCE 51 Country Historical cases Activity 3 rd PARTIES RISK ASSESSMENT Criteria Scoring Corruption Perceptions Index (CPI) = ranking from Transparency International based on how corrupt public sector in the country is perceived to be. Grade /3 CPI = 8 - 34 (72 countries) 3 CPI = 35 - 59 (66 countries) 2 CPI = 60 - 91 (39 countries) 1 Number of corruption cases in the country in the pharmaceutical sector Grade /3 Several cases in the country 3 One case in the country 2 No case in the country 1 Grade /3 High 3 Medium 2 Low 1 Grade /3 High 3 Medium 2 Low 1 Type of activity - - - CPI map in annex List of cases in annex L’APPROCHE PAR LES RISQUES LORS DE LA MISE EN PLACE DU PROGRAMME 52 Risk Monitoring reporting Risk Analysis Risk Treatment 1 2 3 Major Risks mapping: •Identify major risks •Assess them •Actions plan to mitigate major risks (Protection & Prevention / Business Continuity Management) •Insurance coverage •Report annually Group major risks map •Monitor implementation of action plans in the frame of Business review CARTOGRAPHIE DU RISQUE DE CORRUPTION 1/7 APPROCHE METHODOLOGIQUE 53 CARTOGRAPHIE DU RISQUE DE CORRUPTION 2/7 APPROCHE METHODOLOGIQUE Risques présentant des sources de risque 2 critères d’évaluation : Impact & Maîtrise IDENTIFICATION DU RISQUE EVALUATION DU RISQUE 54 Possible sources of risk •Liste détaillée CARTOGRAPHIE DU RISQUE DE CORRUPTION 3/7 APPROCHE METHODOLOGIQUE- IDENTIFICATION DU RISQUE 55 CARTOGRAPHIE DU RISQUE DE CORRUPTION 4/7 APPROCHE METHODOLOGIQUE- IDENTIFICATION DU RISQUE Possible sources of risk •Liste détaillée 56 Level 1 (Moderate) Level 2 (Significant) Level 3 (Critical) Level 4 (Very critical) Financial* + … K€ - < € …M € …M – …M € …M – …M > € …M Reputation -Impact on IPSEN's brand image requires a few days to be resolved without further consequence at international level -Impact on IPSEN's brand image requires a few weeks to be resolved without further consequence at international level -Impact on IPSEN's brand image requires a few months to be resolved international media coverage -Major impact on/change of IPSEN's brand image, durability or definitely altering market perception -Local media coverage -National media coverage -Adverse media coverage (internet-government & stock market websites) Human -Limited…. -Serious… -Serious.. CARTOGRAPHIE DU RISQUE DE CORRUPTION 5/7 APPROCHE METHODOLOGIQUE- EVALUATION DU RISQUE ECHELLE D’IMPACT •Tone-at / from-the-Top •Code of Conduct •Written summary of the Compliance Management System (CMS) •Policies & Procedures •Continuous Risk Assessment & benchmarking, Due Diligence process … •Education & Training •Monitoring and control •Regular Audits •Escalation process (proper reporting opportunities, whistleblowing) •Corrective actions •Disciplinary sanctions •Third party compliance program 57 Mitigation measures CARTOGRAPHIE DU RISQUE DE CORRUPTION 6/7 APPROCHE METHODOLOGIQUE- EVALUATION DU RISQUE MESURE DE MAITRISE Level 1 (Very High) Level 2 (High) Level 3 (Moderate) Level 4 (Poor) Control effectiveness description -Exposure is minimized -Formalized / tested measures provide reasonable assurance exposure is by and large addressed -Further enhancements of existing control or additional measures could be taken -Efficient measure has been effectively implemented -Further enhancements of existing control or additional measures could be taken -The risk source is an external factor out of -No measure has been effectively implement -There are measures that could reduce exposure. -The risk source is an external factor 58 Impact Control Risk / Risk sources Risk Assessment Trend Risk Treatment SP08 - Risk of corruption Business corruption: Country/Pharma environment -Highly competitive environment -Corruption cases in country -…………. Ipsen environment -………………….. -………………….. Business corruption impact: Very Critical (>…M€) As defined in ………. criminal code Worst case but realistic scenario: Fine: from the triple of the value or advantage Prison: up to 4 years Disqualification/ incapacitation: industry or trade exercise from 1 to 6 years Reputational impact Control effectiveness: High XXXX XXXX XXXX XXXX E&C program …………… CARTOGRAPHIE DU RISQUE DE CORRUPTION 7/7 APPROCHE METHODOLOGIQUE 59 ANNEXES MÉTHODOLOGIE CARTOGRAPHIE DES RISQUES (OCDE, BM ET BNU) 60 La méthodologie de cartographie du risque (source OCDE/BM/BNUBC) 3. Identifier les risques 4. Noter les risques inhérents 5. Identifier et noter les contrôles destinés à atténuer les risques 6. Calculer les risques résiduels 1 Etablir la procédure 2. Développer un plan d’action 61 Détail méthodologie (1/3) 1 Etablir la procédure Sensibiliser les parties prenantes Ateliers introductifs mis en place par l’auteur du programme Identifier l’exposition au risque de la société oA qui appartient le processus, quelles sont les parties prenantes clés? oQuel temps à investir dans le processus? oQuel type de donnée devrait être collecté et comment? oQuelles ressources internes et externes sont nécessaires? oQuel cadre sera utilisé pour archiver, mesurer et gérer le risque de corruption 2 Identifier les risques Déterminer les facteurs de risques propres à l’entreprise Collecter les informations et les données pertinentes Où se situent les vulnérabilités? Recherches, audit interne, sources externes, compréhension des interactions potentielles avec les agents publics, entretiens avec les professionnels expérimentés, enquêtes (ex: auto-évaluation des employés), ateliers 62 Détails méthodologie(2/3) 3 Noter les risques inhérents Evaluer la probabilité de réalisation du risque Evaluer l’impact potentiel de chaque procédé •Echelle qualitative pour classifier la probabilité ou l’impact potentiel •Echelle quantitative avec des résultats 4 Identifier et noter les contrôles destinés à atténuer les risques Portée des contrôles Finalité des contrôles générale spécifique prévention détection Evaluer la performance des mesures de contrôles en fonction des niveaux de risques considérés 63 Détail méthodologie (3/3) 5 Calculer les risques résiduels Peut être calculé en tant que fonction du risque inhérent et du contrôle du risque Risque résiduel peut être peu élevé/moyen/élevé 6 Développer un plan d’action Si une réponse associée au risque résiduel de corruption est-elle nécessaire ou souhaitable? Facteur déterminant: le niveau de tolérance au risque ou (« appétit au risque ») Le niveau de tolérance au risque: Ratio coût/bénéfice (à un moindre niveau) Seuil de tolérance fixé par les responsables conformité est atteint ou non (doit être impérativement inférieur) 64 08/02/2018 A. Corruption/Compliance : Deux faces d’un même risque Corruption/Compliance Si le programme de compliance est mal maitrisé ou peu stratégique, l’entreprise peut se retrouver démunie et/ou déstabilisée. Conséquences multiples Amendes, frais d’enquêtes Chute du cours boursier Perte de contrats publics « Monitors » Surveillance réglementaire accrue Contrôle gouvernemental Perte de confiance des investisseurs et des clients Presse négative Financières Judiciaires Réputationnelles Ces risques sont réels mais ne doivent pas faire renoncer les entreprises à faire du business ou exporter car la compliance est un instrument de guerre économique. 65 08/02/2018 A. Corruption/Compliance : Deux faces d’un même risque L’ensemble des sujets liés à la compliance sont au cœur des questions de compétitivité des entreprises évoluant à l’international. Au-delà de la volonté de moraliser les affaires, ces textes recoupent les intérêts de certains pays, notamment anglo-saxons, qui ont tendance à utiliser l’extraterritorialité de leur droit et leur pouvoir de poursuite comme stratégie d’influence dans le contexte actuel de guerre commerciale. • Multiplication des législations anti-corruption ; → Depuis 2010, plus de 40 pays ont renforcé leur législation anti-corruption. La majorité de ces pays sont des pays « en développement » • Alourdissement des sanctions en cas de non- respect de ces législations ; → Amende Odebrecht (2,6 milliards de dollars US que se partagent les autorités US, BR et CH) • Globalisation des enquêtes et coopération accrue entre autorités étrangères. → Le nombre de demandes d’entraides dans le cadre d’enquête pour corruption a augmenté de -75% des autorités américaines vers leurs homologues étrangers -147% de la part d’autorités étrangères vers les autorités américaines • Emergence d’un « droit mondial » • Risque « d’impérialisme juridique » • Risque « d’inégalités de traitement »