Étude de cas n°1 au sein d’une banque patrimoniale

35Notre première étude de cas concerne une entreprise du secteur bancaire, spécialisée dans la gestion patrimoniale et l’assurance-vie, et dans laquelle nous avons mis en place un dispositif de prévention des conflits d’intérêts et de la corruption en 2017. Cette banque est une succursale d’une banque internationale. Elle comprend 1 000 collaborateurs en France et plus de 100 000 clients. Nous intervenions en tant que risk managers en recherche-intervention transformative afin de revoir le dispositif de contrôle interne, notamment pour l’adapter au dispositif réglementaire Sapin II. Dans cette entité, les dispositifs de contrôle, de recensement des risques de corruption et de conflit d’intérêts, de procédure d’alerte professionnelle, etc., étaient déjà en place avant la réforme Sapin II, principalement pour satisfaire à d’autres réglementations (marchés financiers, UK Bribery Act, etc.).

36Toutefois, la réforme Sapin II a permis, dans le cadre de la mise en conformité avec cette loi, de redynamiser les dispositifs préexistants et de les adapter au contexte français. Une information des partenaires sociaux et de l’ensemble des collaborateurs a été réalisée ainsi que des formations auprès des équipes commerciales et d’investissement. Une actualisation des risques a néanmoins été faite auprès de ces mêmes partenaires sociaux et collaborateurs sur ce dispositif. Ces formations de sensibilisation ont donné lieu à différentes situations d’alertes professionnelles, en partie poussées par les contrôles dédiés. En effet, comme le souligne le directeur général adjoint de l’entité : « Sapin II, c’est encore une couche de superposition réglementaire. En soi, cela ne révolutionne pas les choses dans notre contexte où l’on applique des politiques internationales de groupes sur la fraude fiscale, l’abus de marché, la corruption. Cela a néanmoins permis aux locaux ici en France de se rappeler qu’il y avait ces réglementations. Le Bribery Act anglais date du début des années 2000. Certains avaient tendance à l’oublier et tant que l’on n’a pas de cas détecté, on n’est jamais conscient du danger. »

37Dans ces situations, on observe principalement des cas sur le volet commercial : cas d’abus et de fraude interne dans les pratiques commerciales, consistant à faire souscrire à des clients des opérations qu’ils n’avaient pas demandées, et ce dans le but d’accroître les commissions touchées par les commerciaux. Les contrôles, via les falsifications constatées de documents et les témoignages de clients, ont permis de qualifier ces cas en tant que fraudes avérées. Le rôle des RM face à ces situations (fraudes de plusieurs collaborateurs), dans un contexte post-entrée en vigueur de la loi Sapin II, s’est traduit par une alerte remontée à la gouvernance et au comité des risques.

38Comme l’évoque ce contrôleur interne : « La culture de l’alerte est ancrée dans l’entité : notre métier peut être à risque, alors on est formé à ces remontées d’alertes. Il y a des sommes importantes, des clients qui ne font pas toujours attention, des rémunérations variables et des commissions qui peuvent inciter à l’abus (une opération risquée pour le client pour laquelle il n’a pas toute la transparence), voire à la fraude (un client n’a jamais demandé un produit ou service financier qui lui est quand même délivré). » Un autre contrôleur confirme : « On doit être en mesure dans les métiers des risques de remonter ces alertes ! On sait que l’on va subir une pression potentielle de la part des agences et des commerciaux, que cela peut être anti-business, voire démotiver les collègues des personnes ayant fraudé. Mais ne rien faire nous exposerait à un risque de conformité, cela ne ferait pas cesser ces pratiques et cela peut même engendrer un effet de collusion et une démultiplication des fraudes internes s’il y a impunité, car pas de remontée d’alerte. L’alerte professionnelle, c’est donc vertueux ! » Comme l’évoque encore ce responsable fraude : « Les alertes professionnelles, cela ne fonctionne pas que si on les traite, il faut aussi communiquer dessus et montrer qu’on les a traitées ! La confidentialité, c’est bien mais cela peut tuer le dispositif faute d’appui et par méconnaissance des mécanismes coercitifs mis en place. » Cette première étude de cas visait à conclure qu’en un an, après une quinzaine d’alertes professionnelles remontées, un tel dispositif d’alerte professionnelle peut sembler vertueux à condition de communiquer sur ce dispositif, afin de mettre à la fois en avant son caractère effectif et son côté vertueux du fait de la dissuasion qu’il permet à moyen terme.

39Certains cas également détectés concernaient des pratiques de favoritisme commercial de certains clients au détriment d’autres, notamment en raison de cadeaux que recevaient directement des commerciaux ou responsables commerciaux de la part de ces clients. Comme l’évoque ce compliance officer : « Cela a toujours existé, le tout est d’arriver à les détecter ces pratiques de cadeaux et invitations. On ne vise pas la boîte de chocolats ou même la bouteille de vin à 100 euros. On vise les cas disproportionnés. » Ainsi, à titre illustratif, le lancement de contrôles dédiés (enregistrement téléphonique et écoute des opérations de marchés, analyse des réclamations clients sur des collaborateurs, rapprochement entre registre des colis reçus et registre des cadeaux déclarés, audit et enquêtes des processus commerciaux, de gestion d’actifs et de gestion de fortune) a permis de détecter différents cas. Au titre de ces cas figurent :

• le fait pour un gérant de fortune d’avoir donné des informations privilégiées à un client à la suite de l’invitation dans une résidence de vacances ;
• le fait pour un client d’avoir bénéficié de rabais tarifaires indus (rendant le compte client non rentable pour la banque) à la suite de différents cadeaux (stylos, montres de marque) et invitations (restaurants luxueux) au collaborateur par lesdits clients.

Tiepolo (Gianbattista), La luce dell’intelligenza vince l’oscurità dell’ignoranza, détail d’une fresque de la Villa Cordelina à Montecchio Maggiore près de Vicence, 1743

Tiepolo (Gianbattista), La luce dell’intelligenza vince l’oscurità dell’ignoranza, détail d’une fresque de la Villa Cordelina à Montecchio Maggiore près de Vicence, 1743

« Les contrôles et témoignages permettent de qualifier les fraudes. »

40Même sur un dispositif en place depuis longtemps, il convient de réaffirmer le positionnement du contrôle interne par des actions de contrôle concrètes et ciblées. Le ciblage était ici sur les collaborateurs internes, et notamment les plus exposés aux risques de conflits d’intérêts, car en lien direct avec des clients, et ce, sur des enjeux financiers importants.

Étude de cas n°2 réalisée au sein d’une mutuelle d’assurance

41Notre seconde étude de cas a été réalisée au sein d’une mutuelle complémentaire en 2018 dans le cadre de la mise en conformité avec le dispositif Sapin II. Ce dispositif n’était pas en place avant notre étude de cas. Notre recherche-intervention en tant que risk managers a consisté, en tant que recherche-intervention transformative, à définir et mettre en place sur un an les briques du dispositif (cartographie des risques, formations, contrôles permanents dédiés anticorruption, dispositif d’alertes professionnelles, etc.). Dans ce second cas, la culture de la conformité était bien moins prononcée que dans le premier. Il n’y avait pas de dispositif préexistant et, de fait, les contrôles mis en place ont aussi permis d’observer que les pratiques de conflits d’intérêts étaient présentes et pouvaient laisser entrevoir des mécanismes de corruption ainsi que d’éventuels risques pour la mutuelle. À titre d’exemples, on a constaté dans les relations entre les fournisseurs et les entités des cas de collusion entre des associés de sociétés de conseil et des collaborateurs de l’entité. Certains collaborateurs cumulaient ainsi des fonctions internes et des fonctions de consultant indépendant facturant ainsi pour la mutuelle. L’absence de politiques cadeaux et invitations a permis la réception par certains collaborateurs de cadeaux incitatifs, biaisant ainsi des choix de prestataires par exemple. Ces pratiques avaient pour conséquences des surcoûts ou des décisions de choix de fournisseurs non optimales pour la mutuelle.

42Dans ce contexte d’entreprise, et face à ces pratiques, la fonction gestion des risques de la mutuelle a été confrontée à des remontées d’alertes. Toutefois le contexte de faible culture de conformité et la pluralité d’alertes à faire remonter ont généré plusieurs dilemmes éthiques : le premier consistait à savoir s’il n’était pas prématuré dans ce contexte d’entreprise, et avec un dispositif encore naissant, de faire remonter de telles alertes. La remarque alors faite au risk management par les métiers concernés était : « Ne peut-on pas traiter ces cas entre nous et ne pas les remonter ? On s’assure que cela cesse et s’améliore sans “tirer” sur les métiers. Cela donnerait un mauvais signal et alimenterait un climat de défiance dans l’entreprise », nous indiquait le directeur de la mutuelle. Était-ce adapté et légitime dans ce contexte de dispositif encore naissant de traiter de telles alertes dans une culture d’entreprise qui a longtemps toléré ces cas de figure ? Tel a été le cas remonté.

43Le second dilemme éthique a consisté à savoir quelles alertes faire remonter en priorité, et ce, face aux nombreux cas de figure à traiter (sur les fournisseurs, sur les cadeaux reçus, sur les investissements à risques pris par l’entreprise du fait d’absence de sélection indépendante par le passé, etc.). En effet, nos contrôles ont vite révélé des pratiques de conflits d’intérêts et des cas avérés. Par exemple, une directrice de projet stratégique a été invitée à une conférence d’une semaine dans une résidence balnéaire, le tout pris en charge par les fournisseurs. L’objectif de cette conférence était, pour la directrice, d’établir un réseau de fournisseurs dans le but d’avoir une liste réduite de fournisseurs critiques pour un appel d’offres à venir. Le budget fournisseur de cet appel d’offres dépassait les 3 millions d’euros. Aussi, au regard des enjeux, être invitée à une conférence d’une semaine avec experts-intervenants, hôtels et restaurants pris en charge, pour un montant estimé à plus de 4 000 euros pour la semaine, pouvait engendrer un conflit d’intérêts. Le risque était pour la mutuelle de biaiser le choix de la liste des fournisseurs identifiés à venir. La préconisation de la gestion des risques a été de refuser cette invitation ou de la faire prendre en charge par l’entreprise en assistant à tout ou partie de la conférence. Cette préconisation a été suivie d’effet par la mutuelle.

44Un autre cas consistait pour une responsable achats et relations fournisseurs d’avoir fait travailler l’entreprise de son mari, dans le cadre de travaux d’aménagements au sein de la mutuelle. Un tel cas était en soi la conséquence d’une politique achats visant à faire travailler en priorité des entreprises locales pour des raisons notamment de RSE (responsabilité sociétale des entreprises). Toutefois, le contrôle réalisé en recherche-intervention a démontré que le choix du fournisseur a conduit à une surfacturation de 30 % par rapport à ce que la mutuelle aurait pu obtenir en termes de positionnement-prix d’autres fournisseurs si un appel d’offres impartial avait été mené à terme. En outre, le manque d’approfondissement de cette situation lors de l’appel d’offres a également conduit à disposer d’une prestation sans véritable suivi qualité. Un allongement des délais de livraison a été constaté.

45Cela pose la question de la priorisation des alertes et ce, face à une incapacité de la direction à traiter toutes les situations en même temps ou face au cas de figure où la direction ne souhaitait pas que son mode de management soit totalement remis en cause du fait de trop nombreuses alertes survenant dans un court laps de temps. « On veut éviter l’effet massue, on sait que l’on a des cas et que cela peut remonter si vous faites bien vos contrôles. Mais cela pourrait être contre-productif au global d’aller trop loin », nous indique un des managers reçus en entretien.

46Ce dilemme éthique consiste donc en un biais de sélection des alertes. Lesquelles sont les plus pertinentes ? Lesquelles sont les plus graves ? Lesquelles supposent des marges de tolérance et lesquelles constituent des non-négociables qu’il faut traiter sans attendre ? « La conformité à Sapin II est négociée ! Cela dépend des cas de figure ! Parfois cela est trop sensible et on n’a pas la main ! Si cela touche le conseil d’administration, il faut l’appui des membres du conseil, sans cela ce sera dur à traiter ! Si cela touche des collaborateurs, on doit regarder s’ils sont IRP (instances représentatives du personnel) ou non, s’ils sont proches de la direction, c’est assez difficile en pratique. Pour résoudre ces cas de dilemmes, la réglementation ne donnant pas de grilles de lecture, on a donc établi une cartographie des risques de conformité Sapin II, donnant des priorités de traitement. On essaie de s’en servir pour prioriser les cas à traiter. Mais cela donne lieu à des cas où on doit nous-mêmes revoir nos priorités si cela est trop sensible pour la mutuelle », nous confiait le directeur-adjoint.

Étude de cas n° 2 bis

49Lors de la même étude de cas, il revenait à la mutuelle de définir son exposition aux risques de corruption sur plusieurs axes dans une logique de cartographie des risques : relations avec les tiers et fournisseurs, axes collaborateurs, axes commercial et investissements, etc. La difficulté résidait dans le fait que cette évaluation des risques devait à la fois être crédible et refléter la perception qu’avaient les dirigeants et managers d’une exposition au risque de corruption. Mais elle devait aussi correspondre au plus proche à la réalité des situations de risques de corruption que pouvait subir l’entreprise. De ce fait, il revenait à l’entreprise d’identifier et d’évaluer la réalité de ces risques et des facteurs de risques associés (sources de conflits d’intérêts pouvant engendrer des cas de corruption) en associant les métiers concernés dans l’organisation. Cette approche supposait de définir ce que l’on appelle des limites de risques, les caractéristiques illégitimes de l’activité.

50Comme l’évoquait ce directeur général adjoint : « On sait que dans le secteur des mutuelles, il y a toujours eu quelques conflits d’intérêts. Par exemple sur le lobbying, on est très proche de certains politiques, des ministères, la mouvance syndicale est inhérente à notre mode de gouvernance. Cela ne permet pas une indépendance totale sur le plan des conflits d’intérêts. La limite entre l’illégitime et l’inacceptable est que l’on cherche à éviter les pratiques illégales et ensuite on regarde dans nos pratiques celles qui restent conformes au cadre de fonctionnement d’une mutuelle et à ses valeurs, à son histoire, voire à ses traditions. Appliquer une règle à la lettre peut gommer certains de nos traits et il ne faut pas voir de la corruption derrière chaque conflit d’intérêts. Sans notre engagement de terrain et associatif, on ne serait plus une mutuelle, juste une entreprise d’assurance. Il faut surtout identifier ces conflits d’intérêts et les gérer au cas par cas ; si un administrateur est en conflit pour une décision, il s’abstient, mais il ne faut pas qu’il interrompe ses différents mandats pour autant, car l’essence même de certains mandats d’élus dans un conseil est leur double casquette. »

51Comme le précise ce directeur en charge des activités d’entraide : « On sait que l’entraide, le service à la personne, les aides aux personnes en situation de handicap, on perd de l’argent, ce n’est pas rentable et on fait travailler des gens que l’on connaît. On peut soit tout arrêter, soit contrôler qu’il n’y ait pas de dérive majeure. Mais le risque zéro n’existe pas. Dans ce milieu, c’est beaucoup de relationnel et allez trouver des gens qui s’impliquent autant que sur du service rentable, cela n’existe pas. On perd donc de l’argent et ce n’est pas choquant tant que la mutuelle est à l’équilibre. Notre objet social est de ne pas chercher à être rentable. » Ce que confirme ce directeur général adjoint : « Cela se traduit concrètement par ne pas chercher à poursuivre des adhérents dans l’abus ou ayant fraudé. Suite à une fraude, on cherche juste à ne plus aider les adhérents en difficulté ayant fraudé. On ne fera pas de poursuites, car cela les mettrait encore plus en difficulté. »

Étude de cas n°1 bis

54Nous illustrons ce propos au travers de notre étude de cas n°1 (la banque patrimoniale). Comme l’expliquait la directrice conformité de la banque : « Les risques de corruption et la cartographie qui synthétise et représente notre exposition à ces risques ont mis des années à être compris et acceptés. Il nous a fallu des années avant que la direction générale, la direction commerciale, les risques et la conformité soient d’accord sur ce qui constitue ou non une alerte légitime sur les risques de conformité aux lois anticorruption. » Ce que confirmait ce directeur de gestion d’actifs : « Pour certains, le risque était toujours sous-estimé sur les alertes corruption. Pour d’autres, on était en permanence dans une vision dans laquelle le risque était absent alors que l’on percevait des pratiques étonnantes ou nous semblant risquées. » Et de poursuivre : « On s’est constitué peu à peu une jurisprudence des alertes graves, des alertes à relativiser ou à investiguer et des cas tolérables en l’état sans rien faire. Cette approche nous a permis au fil des années d’embarquer les métiers avec nous dans ce qui se fait et ce qui ne se fait pas. Cela a permis peu à peu de créer une culture de la remontée d’alerte à bon escient. Là où on a le plus de mal, c’est avec le turnover et les départs des gens. Il faut tout recommencer avec leurs remplaçants et certains viennent avec une vision différente des choses », nous confiait encore la directrice conformité.

55« Ce que l’on attend du risk manager, c’est de détecter et de remonter les cas flagrants, ceux suffisamment graves pour nous valoir une sanction ou pour porter atteinte à la réputation de la banque. Les cas interprétatifs, on peut les remonter, mais on s’en occupera dans un second temps », explique ce directeur général adjoint. Ainsi, à titre illustratif, un cas de conflit d’intérêts jugé grave et flagrant consiste pour un intermédiaire vendant des solutions complexes de types assurance-vie adossée à des produits structurés (fonds dédiés, produits de taux ou de crédit) à privilégier auprès des clients de la banque les fonds qu’il structure lui-même. Il y a ainsi conflit d’intérêts entre son activité d’intermédiaire d’assurance et de structureur de fonds d’investissement. Le conflit résidera dans le fait de vouloir toucher une double commission (d’intermédiation, d’une part, et de gestionnaire de fonds, d’autre part), avec comme risque de ne pas proposer aux clients les meilleurs supports d’investissement compte tenu de leur profil de risque. Ce cas a été considéré comme particulièrement risqué pour la banque et traité via un contrôle des gérants et des clauses contractuelles interdisant ces pratiques.

56A contrario, une alerte considérée comme moins importante consistait pour un des collaborateurs, commercial au sein de la banque, qui avait des liens personnels avec un intermédiaire, à traiter en priorité les clients de ce dernier au détriment des autres clients : le conflit d’intérêts réside dans le fait que le collaborateur privilégie les assurés de l’intermédiaire, celui-ci étant un proche. Ainsi les autres assurés et les autres partenaires intermédiaires risquent-ils d’être lésés ou de voir leurs demandes non traitées. Ce cas, considéré comme moins risqué, a été partiellement traité. La banque n’a pas réalisé d’action afin d’interdire cette pratique, mais a mis en place un suivi du portefeuille du commercial pour s’assurer que les autres clients étaient bien suivis commercialement dans le respect du devoir de conseil.

57Au travers de ses trois dimensions, la question de la légitimité renvoie à l’éthique en ce qu’elle porte « sur le bon et le mauvais, considérés comme valeurs relatives (à un individu, à un groupe, à une société) et immanentes » (Comte-Sponville, 1995). Elle relève de l’impératif hypothétique kantien (Kant, 1993) qui conditionne l’éthique au critère de l’individu : celui-ci doit agir avec discernement et prudence, car il s’agit d’interprétations en fonction de situations spécifiques. De fait, l’éthique est toujours appliquée (Ricœur, 1990) et demeure plurielle en raison des impératifs uniques en toutes circonstances. D’où la création et le développement d’éthiques déontologiques. Ces dernières renvoient à des règles, devoirs et autres obligations de comportement par métier : il s’agit d’éthiques professionnelles (Hottois et Missa, 2001) qui concernent le RM en tant qu’il exerce un métier déterminé et qui a, dans ce cadre, des obligations, des responsabilités et des droits au sein d’une société elle-même globalement régulée par la morale, les lois et le droit (Lecomte, 2012).