Conformité réglementaire : définition et démarche de mise en conformité
Ce que recouvre la conformité réglementaire, comment mener une mise en conformité étape par étape, qui en porte la responsabilité et pourquoi le numérique a changé la donne.
La conformité réglementaire, c'est le fait de respecter les lois, règlements et normes qui s'appliquent à votre activité, et de pouvoir le prouver. Longtemps cantonnée à la banque et au juridique, elle est devenue l'affaire de toutes les directions avec le RGPD, NIS 2, DORA, l'AI Act ou le Cyber Resilience Act. Cet article pose les définitions, détaille une démarche de mise en conformité en six étapes et clarifie qui fait quoi. Pour le pilotage au quotidien une fois le projet terminé, voyez notre article sur la gestion de la conformité cyber.
Qu'est-ce que la conformité ?
Dans une organisation, la conformité (on dit aussi compliance) désigne l'ensemble des moyens qui garantissent que l'activité respecte les règles qui la concernent. Ces règles viennent de plusieurs sources :
- les lois et règlements, français et européens : c'est la conformité réglementaire au sens strict ;
- les normes professionnelles et les référentiels de place, imposés par une autorité de contrôle ou par un secteur ;
- les engagements contractuels, de plus en plus souvent des clauses de sécurité exigées par vos clients ;
- les règles internes : code de conduite, politiques, procédures.
Le secteur bancaire a donné au sujet sa définition la plus précise. L'arrêté du 3 novembre 2014 sur le contrôle interne des banques et des prestataires de services d'investissement décrit le risque de non-conformité comme le risque d'une sanction judiciaire, administrative ou disciplinaire, d'une perte financière importante ou d'une atteinte à la réputation, dû au non-respect des règles propres à l'activité. Cette définition se transpose bien à tout secteur : la non-conformité se paie en amendes, en contrats perdus et en confiance.
Il existe aussi une norme internationale pour organiser le sujet : ISO 37301, publiée en 2021, fixe les exigences d'un système de management de la conformité. Elle se veut applicable à toute organisation, quelle que soit sa taille, et peut être certifiée. Elle demande notamment d'identifier ses obligations, d'évaluer les risques de non-conformité et d'obtenir l'engagement de la direction. La conformité est le « C » de la GRC (gouvernance, risques et conformité).
Les grands domaines de la conformité réglementaire
Chaque domaine a ses textes et son autorité de contrôle. Les plus courants pour une entreprise française :
| Domaine | Exemples de textes | Qui contrôle |
|---|---|---|
| Contrôle interne bancaire et financier | Arrêté du 3 novembre 2014, règlement DORA | ACPR, AMF |
| Lutte contre la corruption | Loi Sapin II, article 17 | Agence française anticorruption (AFA) |
| Données personnelles | RGPD, loi Informatique et Libertés | CNIL |
| Cybersécurité | Loi de programmation militaire, NIS 2 | ANSSI |
| Produits numériques et IA | Cyber Resilience Act, AI Act | Autorités de surveillance du marché |
Les seuils varient d'un texte à l'autre. L'article 17 de la loi Sapin II, par exemple, ne vise que les sociétés de plus de 500 salariés dont le chiffre d'affaires dépasse 100 millions d'euros, ou qui appartiennent à un tel groupe : elles doivent déployer un dispositif anticorruption en huit mesures, que contrôle l'AFA. Le RGPD, lui, s'applique à tout organisme qui traite des données personnelles, quelle que soit sa taille.
Conformité et numérique : ce qui a changé
Pendant longtemps, la conformité informatique se résumait au RGPD et, pour quelques centaines d'opérateurs, à la loi de programmation militaire. Trois évolutions ont changé l'échelle du sujet.
Des textes qui s'empilent
Depuis 2022, l'Union européenne a adopté NIS 2, DORA, l'AI Act et le Cyber Resilience Act, chacun avec ses exigences de sécurité, ses délais de notification et ses sanctions. Une même entreprise peut relever de trois ou quatre d'entre eux. Notre article sur la gestion de la conformité cyber fait le point texte par texte ; celui sur les référentiels de cybersécurité présente les normes sur lesquelles s'appuyer.
Une responsabilité qui remonte à la direction
L'article 20 de NIS 2 demande aux organes de direction d'approuver les mesures de cybersécurité et d'en superviser l'application ; l'article 5 de DORA leur confie la responsabilité ultime de la gestion du risque lié aux technologies de l'information et de la communication. La conformité numérique n'est plus un sujet que l'on délègue entièrement à la DSI.
Des exigences qui descendent la chaîne
Une entreprise qui n'est soumise à aucun de ces textes peut quand même devoir s'y conformer, par contrat. Les clients soumis à NIS 2 ou à DORA répercutent leurs obligations sur leurs prestataires sous forme de questionnaires et de clauses (voir ce qu'exigent NIS 2 et DORA face aux prestataires). Pour beaucoup de PME, c'est par cette voie que la conformité cyber arrive.
La mise en conformité étape par étape
La mise en conformité est le projet qui fait passer une organisation d'un état non conforme à un état conforme et démontrable. Quel que soit le texte, elle suit les mêmes six étapes.
1. Recenser les exigences applicables
Quels textes s'appliquent, sur quel périmètre (entités, sites, activités, produits, traitements) et à quelle échéance ? Notez aussi les exigences contractuelles et vos propres règles. Ce travail se prolonge ensuite par une veille réglementaire organisée, faute de quoi l'inventaire sera faux dans six mois.
2. Faire l'état des lieux
Comparez vos pratiques à chaque exigence : c'est l'analyse d'écarts. Entretiens, questionnaires, revue documentaire et vérifications techniques se complètent ; un audit de cybersécurité peut servir de point de départ. Chaque exigence reçoit un statut (conforme, partiellement conforme, non conforme) et une justification.
3. Prioriser et planifier
Tous les écarts ne se valent pas. Classez-les selon le risque qu'ils font courir, à l'aide de votre analyse de risques, et selon les échéances des textes. Le plan d'action fixe pour chaque écart une mesure, un responsable, un délai et un budget. Il est validé par la direction : c'est elle qui arbitre les moyens.
4. Mettre en œuvre
Les mesures sont organisationnelles (gouvernance, procédures, formation, clauses avec les fournisseurs) et techniques (gestion des accès, journalisation, sauvegardes, chiffrement). Les règles internes se formalisent dans des politiques, comme la politique de sécurité des systèmes d'information pour le volet cyber.
5. Documenter et prouver
Le RGPD a posé le principe en 2018 : le responsable de traitement doit respecter le règlement et être en mesure de le démontrer (article 5, paragraphe 2). La même logique vaut pour les autres textes. Rattachez à chaque exigence une preuve datée et à jour : registre, procès-verbal, rapport de test, capture de configuration, attestation de formation.
6. Maintenir
Une mise en conformité qui s'arrête au rapport final se dégrade dès le lendemain : nouveaux textes, nouveaux systèmes, départs, fournisseurs qui changent. Le projet doit déboucher sur une activité permanente de contrôle et de mise à jour, la gestion de la conformité, que l'automatisation de certaines vérifications transforme en conformité continue.
Qui fait quoi : fonction conformité, DPO et RSSI
Trois fonctions se partagent le sujet dans la plupart des organisations, sous la responsabilité de la direction. Leurs missions se recoupent sans se confondre.
| Fonction | Ce qu'elle porte | Cadre |
|---|---|---|
| Fonction conformité (compliance) | Cartographie des obligations, évaluation du risque de non-conformité, conseil et alerte de la direction, souvent aussi l'anticorruption et l'éthique | Obligatoire dans le secteur financier ; ailleurs, choix d'organisation |
| Délégué à la protection des données (DPO) | Informer et conseiller, contrôler le respect du RGPD, conseiller sur les analyses d'impact, coopérer avec la CNIL | RGPD, articles 37 à 39 ; désignation obligatoire dans trois cas |
| Responsable de la sécurité des systèmes d'information (RSSI) | Mesures de sécurité, analyse des risques numériques, réponse aux exigences de NIS 2, de la LPM ou d'ISO 27001 | Pas de statut légal général ; rôle défini par l'organisation |
Le DPO bénéficie d'une protection particulière : il ne peut être ni relevé de ses fonctions ni sanctionné pour avoir exercé ses missions, et l'organisme doit lui donner les moyens d'agir (articles 37 à 39 du RGPD, détaillés dans le guide pratique de la CNIL). Il peut cumuler d'autres fonctions, à condition de ne pas se retrouver juge et partie : la CNIL considère par exemple qu'il ne doit pas déterminer lui-même les finalités et les moyens des traitements qu'il contrôle ; un RSSI peut ainsi être désigné DPO s'il n'a pas, en tant que RSSI, de pouvoir de décision sur les traitements. Notre guide sur le DPO détaille ces règles.
Le RSSI et le DPO travaillent sur des sujets communs, comme la sécurité des données personnelles, les violations de données ou l'analyse d'impact, mais avec des angles différents : le premier protège l'organisation et son information, le second les droits des personnes. La fonction conformité, quand elle existe, assure la cohérence d'ensemble et rend compte à la direction. Dans une PME, ces casquettes sont souvent portées par deux ou trois personnes ; l'important est que chaque exigence ait un responsable nommé. La répartition détaillée des tâches au quotidien figure dans notre article sur la gestion de la conformité.
Les pièges d'une mise en conformité
- La conformité de papier. Des politiques bien rédigées que personne n'applique. L'auditeur ou le régulateur demande la preuve que la règle fonctionne, pas seulement qu'elle existe.
- Un texte, un projet. Traiter le RGPD, puis NIS 2, puis DORA comme trois chantiers séparés, c'est évaluer trois fois les mêmes mesures. Mieux vaut un socle commun de contrôles, construit par exemple autour d'un SMSI ISO 27001.
- Un périmètre flou. Sans périmètre écrit, l'état des lieux ne se compare à rien et le projet n'a pas de fin.
- Oublier les fournisseurs. Une partie de vos obligations repose sur vos prestataires : hébergeur, infogérant, éditeurs. Leur évaluation fait partie de la démarche (voir la gestion des risques tiers).
- S'arrêter au rapport. Sans propriétaire ni contrôle régulier après le projet, le niveau atteint s'érode en quelques mois.
Comment Phinasoft vous aide
Phinasoft est un logiciel français de gouvernance, de gestion des risques et de conformité dédié à la cybersécurité. Pour une mise en conformité, il vous permet de :
- partir des textes : un catalogue de plus de vingt référentiels, dont ISO 27001/2, NIS 2, DORA et le RGPD, auquel vous ajoutez votre PSSI ou tout autre référentiel, avec des exigences reliées entre elles (module Référentiels) ;
- faire l'état des lieux par des campagnes d'évaluation auprès de vos entités, avec dépôt de preuves ;
- prioriser avec les analyses de risques, puis suivre le plan d'action avec ses échéances et ses relances ;
- tenir dans la durée grâce aux contrôles récurrents et aux tableaux de bord pour la direction.
Le DPO et le RSSI y travaillent sur les mêmes bases, chacun avec ses droits. Pour voir comment passer de l'état des lieux au plan d'action sur votre propre périmètre, réservez une démonstration, ou découvrez le logiciel GRC.
Synthèse
Une obligation de résultat… et de preuve
Être conforme, c'est respecter les règles qui s'appliquent à votre activité, et pouvoir le démontrer. Sans preuve, la conformité n'existe pas aux yeux d'un régulateur ou d'un client.
Un projet, puis une activité
La mise en conformité comble les écarts en six étapes : exigences, état des lieux, plan d'action, mise en œuvre, preuves, maintien. Ensuite, la gestion de la conformité prend le relais.
Des rôles distincts
La fonction conformité, le DPO et le RSSI ne font pas le même métier. La direction, elle, reste responsable : NIS 2 et DORA l'ont écrit noir sur blanc.
Questions fréquentes
Qu'est-ce que la conformité réglementaire ?
La conformité réglementaire est le fait, pour une organisation, de respecter les lois, règlements et normes professionnelles qui s'appliquent à son activité, et d'être en mesure de le démontrer. Elle couvre des domaines variés : protection des données personnelles, cybersécurité, lutte contre la corruption, règles sectorielles du secteur financier ou de la santé.
Quelle est la différence entre mise en conformité et gestion de la conformité ?
La mise en conformité est un projet : elle part d'un état des lieux, comble les écarts et produit les preuves, souvent avant une échéance réglementaire ou un audit. La gestion de la conformité est l'activité permanente qui suit : veille sur les textes, contrôles réguliers, traitement des nouveaux écarts et mise à jour des preuves.
Combien de temps dure une mise en conformité ?
Aucun texte ne fixe de durée : elle dépend du nombre d'exigences, de l'ampleur des écarts et des moyens disponibles. L'état des lieux donne la mesure du chantier ; le plan d'action fixe ensuite des échéances réalistes, en traitant d'abord les écarts qui exposent le plus l'organisation.
Qui est responsable de la conformité dans une entreprise ?
La responsabilité finale revient à la direction. Les directives et règlements récents le précisent : NIS 2 demande aux organes de direction d'approuver et de superviser les mesures de cybersécurité, DORA leur confie la responsabilité ultime du risque lié aux technologies de l'information. La fonction conformité, le DPO et le RSSI organisent et contrôlent chacun leur domaine.
Le DPO peut-il être responsable de la conformité ?
Le DPO contrôle le respect du RGPD et conseille l'organisme, mais la responsabilité de la conformité reste celle du responsable de traitement. Il peut exercer d'autres fonctions, à condition qu'elles ne le placent pas en conflit d'intérêts : la CNIL considère par exemple qu'il ne doit pas décider lui-même des finalités et des moyens des traitements qu'il contrôle.
Existe-t-il une norme pour la conformité ?
Oui. ISO 37301, publiée en 2021, fixe les exigences d'un système de management de la conformité applicable à tout type d'organisation, quelle que soit sa taille. Elle peut faire l'objet d'une certification. Pour la sécurité de l'information, ISO 27001 joue un rôle comparable.
Sources (8)
- Légifrance — Arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement
- ISO/TC 309 — ISO 37301:2021, Compliance management systems — Requirements with guidance for use
- Agence française anticorruption — Acteurs économiques (article 17 de la loi Sapin II)
- EUR-Lex — Règlement (UE) 2016/679 (RGPD), articles 5, 37 à 39
- EUR-Lex — Directive (UE) 2022/2555 (NIS 2), article 20
- EUR-Lex — Règlement (UE) 2022/2554 (DORA), article 5
- CNIL — Guide pratique RGPD : délégués à la protection des données
- CNIL — Délégué à la protection des données : identifier et gérer les conflits d'intérêts
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.