Pourquoi la conformité échoue quand elle n’est qu’un projet
- Un projet a une fin ; une obligation réglementaire n'en a pas. Le dispositif doit donc survivre à l'équipe projet
- Les trois causes d'érosion : absence de propriétaire, documentation déconnectée du réel, aucun suivi après livraison
- La norme ISO 37301 décrit un système de management de la conformité, pas une opération ponctuelle
- Intégrer les contrôles aux processus métier vaut mieux que les ajouter à côté
Une scène revient souvent dans les organisations régulées. Pendant huit mois, une équipe projet prépare la mise en conformité : cartographie des risques, politiques, procédures, registres, formations. L’audit a lieu, les écarts sont mineurs, la direction se félicite. Douze mois plus tard, un contrôle de suivi révèle que la moitié des procédures n’est plus appliquée, que le registre n’a pas été mis à jour, et que la personne qui pilotait le projet a changé de poste. Rien n’a été falsifié : la conformité et la culture d’entreprise n’ont tout simplement pas évolué avec la livraison.
Cette note de recherche examine pourquoi ce schéma est si fréquent, ce qu’en disent les référentiels, et ce qui permet d’en sortir.
Le problème de la forme projet
La gestion de projet est un outil puissant pour livrer quelque chose avec une date de fin : un site, une migration, un déploiement. Elle repose sur un périmètre, un budget, un calendrier, une équipe dédiée. Au jour de la livraison, l’équipe se disperse, le budget est clos, et l’objet livré passe en « exploitation ».
Une obligation de conformité ne fonctionne pas ainsi. Le RGPD, NIS 2, DORA, les normes sectorielles ne s’arrêtent pas à une date de livraison. Elles demandent de maintenir dans le temps un niveau de pratique : tenir à jour un registre, traiter les demandes d’accès, gérer les incidents, former les nouveaux arrivants, revoir les risques quand l’activité évolue. La forme projet convient pour la mise en place ; elle est inadaptée à la tenue.
Trois causes d’érosion
1. Personne n’est propriétaire de la règle
Pendant le projet, la responsabilité est portée par le chef de projet. Après, elle se dilue : la fonction conformité « suit », les directions métier « appliquent », et nul ne sait qui décide quand une règle gêne un objectif commercial. Sans propriétaire nommé pour chaque obligation, les dérogations se multiplient sans arbitrage.
2. La documentation se détache du travail réel
Les procédures rédigées pour l’audit décrivent le fonctionnement souhaité. Elles sont écrites par des spécialistes, validées par des cadres, et rarement testées avec les personnes qui font le travail. À la première évolution (un nouvel outil, une réorganisation), le document ne correspond plus à la pratique, et personne n’a pour mission de le corriger.
3. Aucun suivi n’est prévu après la livraison
Les budgets financent la mise en place, rarement la surveillance. Résultat : aucun indicateur, aucun contrôle interne planifié, aucune revue périodique. L’écart ne se voit qu’à l’audit suivant, quand il est devenu structurel.
Une organisation n’est pas conforme parce qu’elle a des documents ; elle l’est parce que ses équipes travaillent d’une certaine manière, et le restent.
Ce que disent les référentiels
La norme ISO 37301, publiée en 2021, sur les systèmes de management de la conformité, formule cette idée dans sa structure même. Elle ne décrit pas un état à atteindre mais un système : engagement de la direction, politique, identification des obligations, évaluation des risques, ressources, compétences, sensibilisation, surveillance, audit interne, traitement des non-conformités, amélioration continue. Le cycle « planifier, faire, vérifier, agir » y est appliqué à la conformité, comme dans les autres normes de management (ISO 27001 pour la sécurité de l’information, par exemple).
Les textes réglementaires convergent. Le RGPD parle de responsabilité (accountability) : le responsable de traitement doit être en mesure de démontrer qu’il respecte le règlement, de façon continue. NIS 2 exige des mesures de gestion des risques et un pilotage par les organes de direction. DORA impose un cadre de gestion du risque lié aux technologies de l’information avec des revues régulières. Aucun ne se satisfait d’une photographie à date.
Ce qui fait tenir un dispositif
| Facteur | En pratique |
|---|---|
| Propriété claire | Chaque obligation a un responsable métier nommé, avec une suppléance, inscrit dans sa fiche de poste |
| Intégration aux processus | Le contrôle est une étape du processus (validation, case obligatoire, droit d’accès), non un document à consulter |
| Documentation vivante | Procédures courtes, écrites avec ceux qui les appliquent, revues à chaque changement de processus ou d’outil |
| Indicateurs simples | Quelques mesures régulières présentées à la direction : actions en retard, incidents, écarts de contrôle interne |
| Contrôle interne | Des vérifications par échantillon, planifiées, indépendantes de ceux qui exécutent |
| Soutien de la direction | Les arbitrages entre conformité et objectif sont rendus visibles, et les dérogations tracées |
L’intégration au processus : le levier le plus sous-estimé
Un contrôle ajouté à côté du travail dépend de la bonne volonté. Un contrôle intégré au processus devient une condition du travail. Quelques exemples : l’accès à un nouveau système impossible tant que la fiche de traitement n’est pas renseignée ; un bon de commande qui exige la clause de sécurité pour un fournisseur traitant des données ; un workflow de validation qui bloque l’envoi d’un document sans relecture juridique. Les outils de gestion documentaire et de workflow le permettent, à condition de partir du processus et non de la règle.
Passer du projet au fonctionnement
- Prévoir la transition dès le cadrage Le plan de projet inclut la remise à l’exploitation : qui reprend, avec quel budget, selon quel calendrier de revue.
- Nommer les propriétaires avant la clôture Un nom et une suppléance par obligation, validés par la direction.
- Planifier la première année de tenue Calendrier de revues, de contrôles internes et de formations, avec une enveloppe budgétaire.
- Mesurer à trois et six mois Un point formel de contrôle, avant que l’écart ne se creuse.
Limites de cette analyse
Ces constats reposent sur la lecture des référentiels et sur l’observation générale des pratiques, non sur une étude quantitative que nous aurions menée. Il n’existe pas, à notre connaissance, de chiffre fiable sur la part des organisations qui perdent leur conformité après un audit ; l’affirmer serait imprudent. Le schéma décrit ici est celui que les normes elles-mêmes cherchent à prévenir.
Pour passer d’une conformité de projet à une conformité de fonctionnement, notre expertise en cybersécurité et conformité décrit notre manière de travailler, et la page gouvernance présente les outils de pilotage associés.
Sources
- ISO 37301:2021, Systèmes de management de la conformité : exigences et lignes directrices.
- Règlement (UE) 2016/679 (RGPD), article 5, paragraphe 2, et article 24.
- Directive (UE) 2022/2555 (NIS 2), article 20 et article 21.
- Règlement (UE) 2022/2554 (DORA), chapitre II.
Questions fréquentes
Pourquoi une organisation conforme à l'audit peut-elle ne plus l'être six mois plus tard ?
Parce que la conformité a été atteinte par un effort ponctuel (documents, preuves, mises en place) sans changer la manière dont les équipes travaillent. Les processus reviennent à leurs habitudes et les documents deviennent obsolètes.
Qui doit être responsable de la conformité ?
Une fonction conformité coordonne et contrôle, mais chaque obligation a un propriétaire dans le métier qui l'applique. La conformité ne peut pas reposer sur une seule personne ou une seule équipe.
La certification garantit-elle la conformité continue ?
Non. Elle atteste d'un état audité à un moment et d'un système de management. Les audits de suivi vérifient son maintien, mais la conformité quotidienne reste une affaire de fonctionnement.
Comment mesurer la conformité dans la durée ?
Par des indicateurs simples et réguliers : actions échues, incidents et leur délai de traitement, écarts constatés lors des contrôles internes, mises à jour de la documentation.