Compliance en Europe : stop ou encore ?

La compliance européenne : définitions

La compliance consiste à confier aux acteurs économiques, notamment aux entreprises, la responsabilité de la réalisation d’objectifs déterminés par les autorités publiques, en vue d’assurer le respect de principes ou prévenir des risques que ces autorités déterminent. Autrement dit, si la compliance est souvent le fruit d’une démarche volontaire de la part d’un acteur économique, le législateur a imposé de façon sectorielle des mesures préventives pour se conformer aux obligations qui pèsent sur lui.

Ces mesures de compliance doivent être mises en amont par des mécanismes de conformité : programme de conformité, procédure d’alerte, cartographie des risques, etc. Elle peut couvrir tous les domaines qui représentent un risque pour l’entreprise. Mais certains secteurs d’activité sont plus susceptibles d’être au cœur d’une politique de compliance que d’autres, notamment en raison du risque juridique qu’ils présentent : lutte contre la corruption, conflits d’intérêts, protection des données, antitrust, lutte contre la fraude, protection de l’environnement, etc. Les thématiques sont nombreuses et les exemples d’actes de compliance européens ces dernières années ne manquent pas.

La directive CSRD (“Corporate Sustainability Reporting Directive”) représente une étape majeure dans la réglementation européenne en matière de durabilité. Adoptée par le Parlement et le Conseil de l’Union européenne en décembre 2022, elle renforce les obligations des entreprises en termes de publication d’informations sur les questions environnementales, sociales et de gouvernance (ESG). Cette directive vise à créer un cadre normatif harmonisé à l’échelle communautaire, en garantissant une transparence accrue des données relatives à la durabilité. Pour la première fois, l’objectif des autorités publiques européennes est de faire comprendre aux entreprises que leur ambition ne peut plus reposer uniquement sur le profit, mais doit également prendre en compte le bien-être des êtres humains et de la nature. Par ailleurs, elle impose aux acteurs économiques davantage de transparence dans leurs pratiques commerciales.

La directive CS3D (“Corporate Sustainability Due Diligence Directive”), adoptée par le Parlement et le Conseil de l’Union européenne en 2024, vise à favoriser un comportement responsable des entreprises, pour qu’elles fassent preuve de diligence raisonnable dans leurs propres activités mais aussi dans celles des acteurs liés à leur chaîne d’activité. Ainsi, les entreprises doivent veiller aux incidences négatives sur les droits de l’Homme et l’environnement liées à leurs propres activités, celles de leurs filiales et les opérations de leurs partenaires commerciaux. Cela signifie que les entreprises non européennes, leurs sociétés mères et franchises de pays tiers atteignant certains seuils de chiffre d’affaires sont également concernées. Il s’agit donc d’un instrument essentiel d’extra-territorialisation du droit européen, à l’instar des politiques américaines en matière de pratique des affaires, comme le FCPA (“Foreign Corrupt Practices Act”).

Enfin, un exemple marquant de mesures de compliance européenne est évidemment le RGPD (Règlement général sur la protection des données). Entré en application le 25 mai 2018, ce règlement européen impose à tous les professionnels un strict encadrement du traitement des données, quels que soient leur secteur et leur taille. Il s’applique à toutes les structures, privées ou publiques, qui collectent et/ou traitent des données personnelles sur le territoire de l’Union européenne. Il concerne également les sous-traitants qui traiteraient ou collecteraient des données personnelles pour le compte d’une autre entité. Les entreprises établies hors de l’Union mais ciblant des résidents européens sont également dans son champ d’application.

Un poids supplémentaire pour les entreprises ?

Malgré la volonté louable d’assainir la pratique des affaires, ces normes supplémentaires sont parfois considérées comme des obstacles pour certaines entreprises, en raison notamment de la lourdeur administrative qu’elles peuvent impliquer.

Tout d’abord, les nouvelles obligations sont en pratique étendues aux fournisseurs et sous-traitants des entreprises européennes. Les petites et moyennes entreprises (PME) qui veulent contracter avec les grands groupes n’ont ainsi souvent d’autres choix que de s’engager à respecter des procédures lourdes et coûteuses qu’elles ne peuvent pas toujours appréhender ni mettre en œuvre en leur sein si elles veulent seulement une chance d’être sélectionnées pour un marché.

Ensuite, ces obligations normatives ont pour conséquence directe et opérationnelle de contraindre les entreprises à allouer des budgets conséquents à leur mise en conformité, sous peine d’être sanctionnées par le régulateur ou le juge pour son inaction ou sa négligence. Ces entreprises peuvent alors se sentir démunies face à cette évolution normative constante et les coûts qu’elle implique.

Pourtant, ces mesures constituent une part essentielle de la philosophie européenne en matière de pratique des affaires et d’évolution du monde de l’entreprise.

Un outil de rayonnement international des valeurs de l’Union

Alors que les États-Unis de Donald Trump viennent de suspendre l’application du FCPA, au nom de l’avantage concurrentiel des entreprises américaines face au marché mondial, l’Union européenne se place en défenseur de l’assainissement de la pratique des affaires dans l’ordre international.

D’après Éric Ouzilleau, vice-président audit, risk and compliance de Manitou Group : « la compliance va se renforcer, elle s’adapte, mais elle est surtout devenue un enjeu civilisationnel ». Une dynamique qui trouve un écho particulier chez les jeunes générations, qui sont attirées par les valeurs de l’entreprise qu’elles rejoignent. La compliance devient ainsi un levier d’attraction des talents et de différenciation concurrentielle.

De plus, cette politique de compliance devient un outil d’affirmation réglementaire de l’Europe. Dans un contexte d’ordre international fragmenté, le Vieux Continent fait figure de résistant à travers un cadre réglementaire robuste, qui inspire les pays tiers. Le RGPD, par exemple, est une source d’inspiration à travers le monde. En effet, le RGPD prévoit un mécanisme de correspondance pour garantir que, lorsque les textes encadrant la protection des données personnelles dans un pays sont équivalents aux dispositions du RGPD, les échanges commerciaux de données entre ce pays et l’Union européenne sont facilités. Ce mécanisme, dit « décision d’adéquation », a notamment été activé par l’Europe pour le Japon. Selon un sondage conduit par Akamai en 2019, 66 % des citoyens américains déclarent être favorables à une loi inspirée par le RGPD. En parallèle, Sundar Pichai, alors président de Google, déclarait en 2019 au New York Times que « l’Europe a élevé le niveau en matière de loi sur la vie privée ».

Dans un contexte international incertain, l’Europe dispose d’atouts uniques : une tradition juridique robuste, une expertise en matière de compliance et une capacité d’innovation réglementaire reconnue mondialement. Le Vieux Continent se trouve donc à la croisée des chemins, avec la nécessité d’utiliser la compliance comme un levier de puissance, en particulier face à l’extra-territorialisation américaine du droit et l’expansion économique de la Chine.