Série Flowlysis · Fiche de tête · N° C-15 · Conformité, hors cybersécurité

LE RÉGULATEUR ET LES AUDITS

Un délai rappelé par le régulateur, les mêmes écarts à chaque audit, un contrôle refait par trois services, une preuve refaite la veille : ces situations naissent dans le flux, et s'y traitent. Cette page dit ce que la direction des opérations tranche, ce qu'elle laisse au juriste, et quelle fiche ouvrir. La cybersécurité a sa fiche, C-10.

Pour quidirections générales et des opérations des services régulés Sert àalléger le circuit sans s'exposer Se lit en8 minutes À lire avecP-25, P-22 et O-28
flowlysis.
Ce que tranchent les opérations
1Où se place chaque contrôle, et qui en répond
2Le délai tenu, dossier par dossier
3La trace produite par le geste lui-même
Ce que dit le juriste
1Ce qu'un texte impose, et depuis quand
2Si un cas relève de ce texte
3Son avis écrit avant que le circuit change
Gérer pour l'audit n'est pas gérer le risque. Le flux produit la conformité, l'audit la vérifie.
1

Ce que les textes demandentTrois exemples, à faire qualifier pour votre cas

Pouvoir démontrer, pas seulement respecter
Le responsable d'un traitement de données personnelles répond du respect des principes du RGPD, et doit être en mesure de démontrer qu'il les respecte. La preuve fait partie de l'obligation, et c'est au responsable du traitement de la produire.
RGPD, art. 5.2 et 24.1
Un délai qui court pour chaque demande
La personne qui exerce ses droits sur ses données reçoit une réponse dans les meilleurs délais, au plus tard un mois après réception de sa demande. Prolongation possible de deux mois, selon la complexité et le nombre de demandes, annoncée et motivée dans le mois.
RGPD, art. 12.3
Paiements : la réponse aux réclamations
Le prestataire de services de paiement répond aux réclamations sur les droits et obligations que pose le texte au plus tard quinze jours ouvrables après leur réception. Exceptionnellement, pour des raisons qui échappent à son contrôle, une réponse d'attente motivée donne la date ultime de la réponse définitive, dans la limite du texte.
DSP2, art. 101.2 ; en Belgique, CDE, art. VII.55/14
Ce que cette page ne fait pas
Elle ne qualifie aucun cas. Le juriste ou le responsable de la conformité dit, par écrit et daté, quel texte s'applique, à quoi, depuis quand, et le revoit quand l'activité change.
Aucun avis juridique ici
2

Quelle fiche ouvrirSelon la phrase qu'on entend en comité

« Le régulateur nous a rappelés à l'ordre sur nos délais. »
Fiches O-34, O-03 et O-16 · lire le délai dossier par dossier
« Chaque audit relève les mêmes écarts. »
Fiches O-10, O-17 et O-09 · traiter la façon de faire
« Personne ne sait ce qui vient de la loi et ce qui vient de nous. »
Fiches O-28 et O-13 · chaque règle avec sa source
« Le même contrôle est refait par trois services. »
Fiches P-25 et O-01 · une pièce, un contrôle
« Chaque audit ajoute un contrôle, aucun n'est retiré. »
Fiches P-25 et C-06 · ce que chaque contrôle arrête
« L'échéance approche, et le projet n'a pas démarré. »
Fiches P-07 et O-57 · la date de démarrage au plus tard
« Pour l'audit, on reconstitue la preuve après coup. »
Fiches O-21 et O-17 · la trace née du geste
« Ces fichiers font tourner le service, et personne ne les vérifie. »
Fiches O-59 et O-30 · les outils de l'ombre
3

Ce qui change dans le circuitEt qui décide de chaque changement

Le délai se lit sur les dossiers en retard
Le texte fixe un délai pour chaque demande. Une moyenne au vert peut cacher des centaines de réponses tardives. On suit la part hors délai, et les dossiers qui en approchent.
Fiches O-34 et O-18
La relecture et le visa sont des étapes du flux
Leur attente se compte dans le délai, comme les autres. Une relecture faite une fois par semaine, quand le reste avance chaque jour, devient le goulot.
Fiches O-06 et O-64
La trace naît du geste
Date de réception, validation, version du courrier : l'outil les enregistre au moment où le travail se fait. La veille de l'audit, il n'y a plus rien à refaire.
Fiches O-21 et O-17
Un décideur par décision
Le juriste qualifie, par écrit. Le propriétaire d'un contrôle décide de son sort et signe. La direction des opérations change le circuit après leur avis, et signe le risque gardé.
Fiches P-25 et P-14
L'écart d'audit se traite à sa cause
Corrigé seul, l'écart relevé revient à l'audit suivant. Une page par écart : ce qui le produit, la façon de faire changée, et la vérification au prochain passage.
Fiches O-10 et O-17
Le cas type

Un établissement de paiement, 9 600 réclamations par an, soumises au délai de quinze jours ouvrables selon ses juristes. Chiffres hypothétiques.

Le déclencheur
L'audit interne relève, deux années de suite, 1 152 réponses parties après quinze jours ouvrables, 12 %. Le délai moyen, 9 jours ouvrables, est au vert. Trois personnes ont refait les dates depuis les boîtes de réception, quatre jours chacune.
Le geste
La directrice des opérations fait suivre cent réclamations en retard, et lister chaque contrôle avec sa source, qualifiée par écrit par la conformité.
Ce qu'ils ont vu
46 attendaient la relecture de la conformité, faite en lot le mardi ; 31, une pièce du service des paiements. Relire toutes les réponses vient d'une décision interne, pas d'un texte. Cela arrête 64 réponses par an, dont 52 pour un même paragraphe du modèle.
La décision
Le responsable de la conformité, propriétaire de la relecture, la fait chaque jour et la limite aux réclamations sensibles et à une réponse sur vingt. La directrice fait corriger le modèle, dater chaque réclamation à l'entrée, et signe le risque gardé.
Refaites-le : cent dossiers en retard, et pour chacun l'étape où il attendait
Le parcours conseillé, et ce qu'il a donné À droite, le cas type chiffré.
SIX ÉTAPES, LA PREMIÈRE AVEC LE JURISTE 1 · SÉPARER LE TEXTE ET LA MAISON Chaque règle et chaque contrôle avec sa source, qualifiée par écrit O-28 · O-13 · O-49 · O-37 2 · LIRE LE DÉLAI DOSSIER PAR DOSSIER La part hors délai et les dossiers qui en approchent, pas la moyenne O-34 · O-18 · O-03 · O-36 · P-13 3 · COMPTER CE QUE CHAQUE CONTRÔLE ARRÊTE Un propriétaire, une source, un compte ; une pièce vérifiée une fois P-25 · P-22 · O-01 · P-05 · O-65 4 · METTRE L'AUDIT DANS LE FLUX Relectures et visas comptés dans le délai ; le plus lent est le goulot O-06 · O-64 · O-16 · O-30 5 · PRODUIRE LA TRACE EN FAISANT LE TRAVAIL Dates, validations et versions enregistrées par le geste lui-même O-21 · O-17 · O-59 · O-11 6 · TRAITER L'ÉCART QUI REVIENT, ET L'ÉCHÉANCE Une page par écart d'audit ; une date de démarrage au plus tard O-10 · O-09 · P-12 · P-07 · O-57 · O-27 Ce qu'un texte impose reste. Il se place et se compte comme le reste du circuit. LE CAS · LES RÉPONSES HORS DÉLAI Par an, rangées selon l'étape où le dossier attendait. Avant 1 152 530 357 265 Un an après 622 357 265 relecture du mardi pièce des paiements autres CE QUE ÇA A DONNÉ, EN UN AN Relecture chaque jour : les retards du mardi disparaissent. 1 152 × 46 % = 530. Hors délai : 1 152 → 622, 12 → 6,5 %. Relues : 768 sensibles + une sur vingt des 8 832 autres = 1 210. À 12 min : 9 600 → 1 210 réponses, 1 920 h → 242 h. Modèle de courrier corrigé à la source : 52 erreurs → 0. Restent 12 erreurs par an, 13 % relues : 12 × 87 % ≈ 10 réponses par an reprises par un second courrier. Risque gardé, signé. Preuve pour l'audit : 3 × 4 jours × 7,5 h = 90 h → une extraction de l'outil, en une heure. 9 gestionnaires : 9 600 × 70 min = 11 200 h sur 13 500 h utiles. Charge inchangée, 83 % : le gain vient de l'attente, pas d'eux. Prochain chantier : les 357 dossiers qui attendent une pièce. Le délai moyen était au vert. 12 réponses sur 100 partaient en retard.

À gauche, le parcours de la difficulté « conformité » hors cybersécurité, chaque étape avec ses fiches. À droite, les réponses hors délai de l'établissement du cas : chaque barre est découpée selon l'étape où le dossier attendait, avant et un an après.

Les quatre piègesEt ce qu'on fait à la place

Gérer pour l'auditLe dossier d'audit est complet, et la réponse au client part en retard. On suit ce que vit le dossier ; l'audit le vérifie.
Tout garder par prudenceFaute de savoir ce qui vient du texte, aucune règle ne part et chaque audit en ajoute une. On fait qualifier chaque règle, puis on compte (fiche O-28).
Lire le délai en moyenneLa moyenne est au vert, des centaines de dossiers sont en retard. On suit la part hors délai (fiche O-34).
Conclure soi-même sur le texte« La loi l'impose », ou « rien ne l'impose », se dit en comité sans texte en main. Le juriste qualifie, par écrit et daté.
La phrase à retenirLe texte dit ce qu'il faut prouver. Le circuit décide si la preuve existe déjà.