L’audit de conformité réglementaire

L’entreprise doit avoir identifié et constitué préalablement la liste des textes, rattachés à une ou plusieurs thématiques, qui s’appliquent à elle, selon ses activités, la natures des produits utilisés, du nombre de salariés, les installations utilisées et les autres réglementations (locales, PLU, convention rejets, clients, …).

Ce profil rassemble ainsi des références en vigueur, législatives et réglementaires. Chacune d’entres elles faisant état d’une à plusieurs exigences.

Il est considéré qu’une exigence est une obligation édictée par un texte réglementaire ou par un tiers (partie intéressée) auquel l’organisme est rattaché (clients, institution publique locale, branche, syndicat professionnel, …). L’exigence peut donc être de nature administrative, technique, organisationnelle et structurelle ou financière.

Ce profil réglementaire est alors à la fois la base de la « dite » veille réglementaire et de l’audit (grille d’audit).

L’association du processus de veille réglementaire et celui d’audit assure d’année en année de conduire l’audit réglementaire sur un profil réglementaire à jour et dont les références sont toujours applicables.

Une fois, la liste de textes (profil réglementaire) établie, chaque exigence doit alors être accessible et compréhensible afin de pouvoir définir, de la manière la plus factuelle possible, si l’entreprise y répond complètement, partiellement ou pas du tout.

Chaque appréciation doit être questionnée pour choisir l’état de conformité retenu. Cette appréciation sera basée sur l’importance du texte ou du différentiel entre l’exigence et la réalité de l’entreprise (activités principales, quantités de produits stockées, …).

Ainsi, pas à pas, chaque exigence, contenue dans les références du profil réglementaire, va être évaluée par un auditeur interne ou externe, afin de fixer sa conformité ou sa non-conformité.

Chaque non-conformité va entrainer une ou plusieurs actions correctives.

Le choix de la nature de l’action et de son délai de mise en œuvre va dépendre de plusieurs facteurs :

• Les moyens financiers
• Les ressources humaines
• Les axes stratégiques et de pilotage / gouvernance
• Les risques encourus par les salariés (intégrité physique et mentale) ou les impacts sur l’environnement
• Les risques de sanctions administratives, pénales ou assurantielles

Le principe de contingence est souvent le plus fort, ce qui conduit l’entreprise, bien souvent, à faire un choix selon ses moyens et ressources plus que sur la notion de risque.

La réglementation étant dense, il est très rare que les premiers audits de conformité réglementaire démontrent d’un niveau de conformité important (+ 90% de conformité).

Afin de faciliter et gérer la mise en œuvre des actions décidées, il est souhaitable de les hiérarchiser, selon une grille définie préalablement, contenant des critères de gravité d’une non-conformité (déclinés suivant des contextes généraux, exemple : enjeux pénaux /assurantiels, risques pour l’intégrité physiques des personnes, impacts pour l’environnement/pollution, …).

Cette phase de hiérarchisation se doit d’être conduite le plus possible transversalement au sein des services de l’organisation afin d’appréhender les différents points de vue.

Une fois hiérarchisées, les actions sont reportées dans un plan d’actions spécifique ou générique, attaché au système de management existant. Le suivi de leur avancement est identique à celui des autres actions issues d’un SMQSE.

Afin de statuer définitivement sur le niveau de conformité de l’organisme, il est nécessaire de posséder des données chiffrées agrégées, permettant de mettre au regard du nombre total d’exigences contenues dans le profil, le nombre de celles pour lesquelles l’organisme est conforme et le nombre de celles pour lesquelles il est non conforme.

Il sera très intéressant pour le responsable de mettre lumière, parmi les non conformités, celles pour lesquelles a été établie une hiérarchisation haute.

Par ailleurs, l’ensemble des références non conformes passées conformes dans l’année sont identifiées afin de valoriser les efforts de l’organisation.

Les différents pourcentages ont pour vocation d’alerter éventuellement la direction sur des manquements importants et de suivre ou accélérer (suivant la hiérarchisation fixée) l’évolution du niveau de conformité d’année en année, et de vérifier par là-même, le bon fonctionnement de l’amélioration continue.